Frigoriferi connessi, l’attacco riapre il caso sicurezza

L’attacco ai frigoriferi dei supermercati in diversi Paesi europei ha riportato l’attenzione sulla sicurezza dei dispositivi industriali collegati a Internet.

Segnalare una falla può diventare rischioso

La direttiva NIS2 sulle infrastrutture critiche prevede che anche ricercatori indipendenti possano comunicare la scoperta di vulnerabilità, con la possibilità di mantenere riservata la loro identità. La procedura dovrebbe favorire la raccolta delle segnalazioni e la protezione dei sistemi pubblici e privati.

Il problema, secondo l’analisi, è che chi conduce verifiche tecniche può rischiare una denuncia se utilizza strumenti simili a quelli impiegati dai criminali informatici. La direttiva riconosce la questione nel considerando 60 e richiama anche i programmi aziendali che premiano la scoperta di falle, ma la tutela resta legata al rispetto di limiti giuridici non sempre chiari.

Una difficoltà analoga esisteva già nel 1993, quando l’introduzione dei reati informatici nel Codice penale sollevò dubbi sullo sviluppo degli antivirus. Per sostenere la legittimità di quelle attività fu necessario ricorrere a un’interpretazione fondata sulla finalità benefica, senza però eliminare il rischio di un procedimento penale.

A distanza di tre decenni il problema si è allargato dalle infezioni informatiche alle vulnerabilità dei sistemi. La sicurezza può quindi richiedere comportamenti tecnici che la legge non consente di spiegare con sufficiente chiarezza.

Software senza standard adeguati

Il caso dei frigoriferi viene presentato come la conseguenza visibile di una debolezza molto più ampia. Le tecnologie di controllo industriale, i controllori logici programmabili e i dispositivi dell’Internet delle cose espongono da decenni problemi noti agli specialisti, anche se raramente arrivano all’attenzione del grande pubblico.

Il software è uno dei punti critici. Per anni l’industria ha trattato blocchi, perdita di dati e malfunzionamenti come inconvenienti legati al prodotto, invece che come difetti da prevenire. Un livello di affidabilità simile a quello normalmente tollerato nei programmi informatici sarebbe impensabile per i sistemi di sicurezza delle automobili.

Nel 2024 l’Unione Europea ha inserito il software nella disciplina sulla responsabilità per i prodotti. La misura, però, viene giudicata incompleta e capace di generare nuove difficoltà invece di risolvere quelle già esistenti.

L’illusione della protezione totale

Anche il settore della sicurezza informatica viene criticato per la distanza tra i messaggi promozionali e i risultati. Le aziende insistono sulla necessità di processi continui e formazione del personale, ma spesso vendono una protezione complessiva affidata soprattutto a strumenti e servizi centralizzati.

L’aggiornamento difettoso distribuito nel 2024 da Crowdstrike è indicato come esempio di quanto un errore interno possa provocare conseguenze molto estese. I suoi effetti, sostiene l’analisi, sono stati più gravi di quelli attribuiti all’attacco contro i frigoriferi dei supermercati.

Quando il bersaglio aiuta l’attaccante

La rappresentazione pubblica tende a concentrare l’attenzione sulla figura dell’hacker onnipotente. In questo modo il responsabile viene descritto come un soggetto capace di superare ogni difesa, mentre le carenze dei proprietari dei sistemi passano in secondo piano.

Per individuare pannelli di controllo accessibili dall’esterno può bastare una ricerca su Shodan, il motore che indicizza dispositivi e server collegati alla rete. L’eventuale coinvolgimento di gruppi sostenuti da Stati non cancella quindi il ruolo delle configurazioni lasciate esposte dai soggetti colpiti.

La distinzione tra attacco criminale e incidente tecnico modifica spesso anche il modo in cui l’evento viene raccontato. Nel primo caso la responsabilità viene attribuita ai cosiddetti cattivi; nel secondo si tende a ricondurre tutto a un programma difettoso o a una gestione inadeguata dell’infrastruttura.

Norme ferme sulla carta

L’episodio ha riaperto una discussione sui controlli costruiti attorno ad analisi del rischio, centri di competenza, schemi di sicurezza e liste di verifica. Secondo l’analisi, questi strumenti si fermano troppo spesso alla produzione dei documenti senza misurare in modo concreto la resistenza dei sistemi.

La quantità di attacchi rivolti ogni giorno a oggetti raggiungibili via Internet viene indicata come la prova dei limiti di questo metodo. Nonostante ciò, l’Unione Europea continua a produrre norme basate in larga parte su adempimenti formali, mentre le organizzazioni si adeguano senza sempre modificare le proprie pratiche tecniche.