Dai frigoriferi ai voli fino agli ospedali: «Vi spiego come funziona e fin dove può spingersi la guerra ibrida»

Nella guerra ibrida in cui l’Italia e l’Europa sono immerse da un paio d’anni si è aperto il fronte dei supermercati e di voli, ma presto potrebbero finire nel mirino anche altri bersagli critici. La sanità, ad esempio. Bernardino Grignaffini Gregorio, fondatore e ad di Certego, azienda italiana di cybersicurezza, analizza i fatti delle ultime settimane e prova a mettere a fuoco i rischi dell’immediato futuro. «Gli attacchi che dalla metà di ottobre hanno colpito i sistemi di refrigerazione di supermercati e aziende alimentari, prima in Francia e successivamente in oltre una decina di altri Paesi europei, Italia compresa, impongono prima di tutto una certa prudenza – è la sua premessa -. Mancano ancora molti dettagli e qualunque lettura dei fatti va intesa come un’ipotesi di lavoro più che come una conclusione«. Alcuni elementi, tuttavia, sembrano delinearsi. »Per quanto emerso finora, gli attacchi non avrebbero richiesto competenze tecniche particolarmente elevate. Si sarebbero sfruttati pannelli di gestione degli impianti raggiungibili da Internet. In molti casi erano installati su apparati fuori supporto che non ricevono più aggiornamenti di sicurezza, oppure erano protetti da credenziali deboli o sottratte. Attraverso questi pannelli gli autori hanno modificato temperature e cicli di sbrinamento usando funzioni del tutto legittime, senza ricorrere a particolari tecniche di compromissione». L’approccio «rudimentale» potrebbe però nascondere una regia sofisticata. «Il 4 novembre i gruppi filorussi NoName057(16) (lo stesso che sul dark web ha diffuso informazioni e messo una "taglia" sul vicepremier Antonio Tajani, ndr) e Z-Pentest hanno rivendicato gli attacchi con un video diffuso sui social. Dall’inizio dell’anno si contano peraltro una ventina di azioni contro impianti di refrigerazione, per lo più rivendicate da gruppi hacktivisti filorussi. La rivendicazione va comunque presa con cautela. Attualmente i canali Telegram da cui è partita la rivendicazione risultano indisponibili e NoName057(16) è noto soprattutto per utilizzare attacchi con altre modalità. Non si può pertanto escludere un tentativo opportunistico di intestarsi un’operazione condotta da altri. L’assenza di particolare complessità fa pensare più all’azione di gruppi di attivisti che a operazioni condotte direttamente da apparati statali. La distinzione, però, è meno netta di quanto sembri, perché alcuni di questi gruppi sono considerati vicini ai servizi russi».

La preoccupazione cresce, anche perché troppi dispositivi sono ormai obsoleti, e dunque esposti alle offensive di ultima generazione. «Oggi buona parte delle attività di ricognizione e di sfruttamento delle vulnerabilità può essere affidata ad agenti di intelligenza artificiale. Questi strumenti possono analizzare la rete, riconoscere i sistemi esposti e agire su di essi molto più rapidamente e su scala molto più ampia di quanto fosse possibile fino a poco tempo fa. Non è dimostrato che sia accaduto in questo caso ma la tendenza è chiara: il tempo tra la scoperta di una debolezza e il suo sfruttamento si riduce e con esso il margine di reazione per chi difende. Proprio per questo i ritardi nel correggere lacune già note diventano sempre meno tollerabili». Il peggio, mette in guardia Grignaffini Gregorio, potrebbe ancora arrivare. «Nei supermercati il danno si è tradotto soprattutto in merce da buttare e in perdite economiche, in alcuni casi anche in principi di incendio. Ma il perimetro si sta già allargando. In Francia sono state colpite anche le celle frigorifere usate dalla banca del sangue, attraverso un loro fornitore. In quel caso l’intervento è stato tempestivo e non ci sono state conseguenze sanitarie ma l’episodio mostra che lo stesso schema può toccare la conservazione di sangue, farmaci e vaccini o gli impianti che regolano temperatura e ventilazione delle sale operatorie. In quei contesti le conseguenze riguarderebbero direttamente la salute delle persone».È necessario alzare le difese, possibilmente anche in fretta. «Mitigare questo tipo di rischi è possibile ma richiede il contributo di almeno tre attori, ciascuno con responsabilità precise. Il primo è chi produce tecnologie dotate di interfacce di gestione remota. A questi soggetti spetta il compito di immettere sul mercato prodotti sicuri fin dalla progettazione: niente password predefinite, accessi protetti per impostazione di default, aggiornamenti di sicurezza garantiti per tutta la vita utile del prodotto e comunicazioni chiare ai clienti quando un apparato non è più supportato. Il secondo è chi acquista e utilizza queste tecnologie. Molte organizzazioni non sanno nemmeno quali dei propri impianti siano raggiungibili da Internet, perché sono stati installati e vengono gestiti da manutentori esterni. Il primo passo è quindi conoscere i propri sistemi e regolare in modo rigoroso, anche sul piano contrattuale, le modalità di accesso remoto dei fornitori». C’è anche un terzo ruolo, di regolazione e coordinamento: quello dell’Agenzia per la Cybersicurezza Nazionale. «All’Acn spetta il compito di emanare indicazioni tempestive, come ha fatto concretamente in questi giorni. Deve inoltre favorire lo scambio di informazioni tra aziende dello stesso settore e verificare che gli obblighi della normativa siano applicati. Nessuno di questi attori può risolvere il problema da solo: la sicurezza di un frigorifero di un supermercato, come quella di un impianto ospedaliero, dipende dall’anello più debole della catena».