Fuori gli hacker dalla cameretta: da oggi nuovi obblighi Ue per i giocattoli connessi

La voce arrivava dalla cameretta ma non era né della mamma né del papà. «Wake up baby», svegliati. Era il 2014, in Ohio, e Heather e Adam Schreck sentirono un uomo urlare attraverso il baby monitor della figlia Emma di dieci mesi. Quando il papà entrò nella stanza, vide la telecamera muoversi: qualcuno dall’altra parte del dispositivo connesso a Internet la stava comandando. Il dispositivo venne subito staccato dalla presa e l’intruso rimase senza un nome ma intanto, invece di una ninna nanna, nella culla era entrato un hacker.

Dodici anni dopo se un episodio del genere fosse capitato in Europa avrebbe perlomeno una conseguenza in più. Da oggi infatti nell'Unione Europea scattano i primi obblighi per i fabbricanti previsti dal Cyber Resilience Act, la legge che stabilisce nuove regole di sicurezza per i prodotti connessi a Internet e per i dispositivi collegabili in rete: se i produttori scoprono che una vulnerabilità in un oggetto è stata sfruttata oppure che si è verificato un grave incidente di sicurezza, non potranno semplicemente chiudere la falla - magari sperando nessuno se ne accorga - ma dovranno notificare l'accaduto alle autorità competenti.

Il nuovo sistema funziona così: entro 24 ore dalla scoperta di un problema di sicurezza già utilizzato per violare il prodotto o di un incidente grave, il produttore deve inviare un primo avviso con le informazioni essenziali spiegando, per esempio, quale prodotto è coinvolto, quale problema è stato individuato e se ci sono già segnali di attacco. Ha poi ulteriori due giorni per integrare la segnalazione con una descrizione tecnica, uno scenario delle possibili conseguenze e un elenco delle prime contromisure adottate per limitare i danni che – entro 14 giorni – devono trasformarsi in una soluzione efficace per arginare il problema. Tutto viene gestito da una piattaforma europea unica che dirama l’allarme alle agenzie informatiche dei Paesi europei dove il prodotto attaccato è in vendita. Tutti devono adeguarsi: anche perché chi non segue la procedura rischia di sborsare 15 milioni di euro di multa o una sanzione pari al 2,5% del fatturato. 

Nel radar finiranno computer, smartphone, tablet, router, telecamere di sicurezza, elettrodomestici connessi, smartwatch ma anche oggetti da cameretta: dai baby monitor ai giocattoli smart capaci di parlare, filmare o localizzare un bambino. E si tratta solo del primo passo di un regolamento che entrerà pienamente in vigore dall'11 dicembre 2027. Da quella data, infatti, i prodotti digitali avranno l'obbligo non solo di essere controllati a valle ma anche di essere progettati con requisiti più stringenti di cybersicurezza.

A proteggere i giocattoli connessi finora ci avevano pensato soprattutto – per quel che riguarda i dati sensibili – il regolamento Gdpr e, dal 2025, la direttiva sulle apparecchiature radio che impone specifiche protezioni contro intrusioni e furti anche a giocattoli wireless e baby monitor. Obbligando i fabbricanti a far scattare l’allarme quando una falla viene sfruttata, il Cyber Resilience Act aggiunge un altro tassello al puzzle in attesa del 2030 quando arriverà il nuovo Regolamento europeo sulla sicurezza dei giocattoli che aggiornerà la vecchia cornice pensata quando bambole e orsacchiotti parlavano, al massimo, tirando una cordicella.

Per capire quanto ci sia bisogno di una tutela specifica dei giocattoli smart conviene consultare quello che ormai è un piccolo museo degli orrori digitali di pupazzi intelligenti. Tra i primi a finire sotto accusa furono, nel 2017, i CloudPets: questi peluche con cui genitori e bambini potevano scambiarsi messaggi vocali via Bluetooth venivano salvati su un database debole: negli anni l’archivio accumulò oltre due milioni di audio che furono in parte illecitamente scaricati e in parte usati come merce per ottenere riscatti elettronici.

Nello stesso anno dalla Norvegia iniziò il processo a My Friend Cayla, una bambola connessa la cui abilità era chiacchierare con i bambini. Peccato che il microfono e l'altoparlante del pupazzo erano facilmente hackerabili e le registrazioni vocali trasferite sistematicamente a un’azienda statunitense: bug gravi che, in Germania, portarono al ritiro della bambola dal mercato. Nel tempo anche gli orologi GPS per bambini hanno mostrato problemi: si è scoperto che alcuni modelli permettevano a estranei di localizzare il piccolo, ascoltare ciò che accadeva intorno a lui o comunicare con l’orologio e in certi casi i dati viaggiavano perfino senza essere criptati e così il dispositivo acquistato per sapere dove si trova il figlio rischiava di dirlo anche a qualcun altro.

Casi isolati? Fatti sorpassati dall'avanzata della tecnologia? Per niente. Solo l'anno scorso Mozilla Foundation ha messo alla prova dieci giocattoli connessi di nuova generazione: sei su dieci hanno rivelato vulnerabilità o controlli di autenticazione mancanti tanto che in certi casi a un aggressore bastava connettersi alla stessa rete di alcuni dei giocattoli per interferire con le comunicazioni. In Italia anche il Garante della privacy ha parlato più volte non a caso della sicurezza degli "smart toys" e dei dispositivi connessi per bambini raccomandando ai genitori di concedere solo i permessi necessari, disattivare la geolocalizzazione quando non serve, aggiornare sempre i software e disconnettere il giocattolo quando non viene usato.