Tradizionalmente, la cybersecurity si è concentrata sulla protezione delle informazioni: dati dei clienti, informazioni finanziarie fino alla proprietà intellettuale. Oggi, tuttavia, ci troviamo di fronte a una nuova realtà: gli attacchi informatici non mirano necessariamente a sottrarre o rendere inaccessibili i dati, ma possono arrivare a modificare la temperatura di un frigorifero. I recenti attacchi ai sistemi di refrigerazione dei supermercati in diversi Paesi europei, Italia compresa, dimostrano come le minacce informatiche non si limitino più alla sfera digitale, ma possano avere conseguenze concrete sulle infrastrutture fisiche e sui servizi da cui dipendiamo ogni giorno.
Il principio alla base degli attacchi
La maggior parte delle organizzazioni non considera i sistemi di refrigerazione parte del proprio perimetro di sicurezza. Gli stessi accessi da remoto che consentono ai tecnici esterni di intervenire su un dispositivo di refrigerazione senza doversi recare fisicamente sul posto possono offrire una porta d’accesso anche ai criminali informatici, in assenza di adeguati controlli di sicurezza. I ricercatori esperti di cybersecurity hanno individuato un numero elevato di queste interfacce di gestione direttamente accessibili da Internet, molte delle quali utilizzano software non aggiornati o presentano certificati scaduti.
Una parte del problema risiede nel fatto che i controller dei sistemi di refrigerazione vengono generalmente installati da tecnici specializzati in refrigerazione, e non da esperti di sicurezza informatica.
Il compito di un frigorifero è mantenere gli alimenti alla giusta temperatura. Una volta installato, il sistema viene collaudato, collegato alla rete e poi lasciato funzionare senza ulteriori controlli. In questo processo, però, raramente qualcuno si preoccupa di valutare i rischi per la sicurezza informatica legati alla connessione a Internet dei sistemi di refrigerazione. Le credenziali di accesso possono rimanere quelle impostate dal produttore oppure essere scelte in modo da risultare facili da ricordare per il tecnico che dovrà occuparsi della manutenzione.
Poiché non sono considerati veri e propri sistemi informatici, questi dispositivi spesso non vengono inclusi nell’inventario delle risorse tecnologiche aziendali, né nei programmi di aggiornamento dei software e di installazione delle patch di sicurezza. Di conseguenza, possono rimanere completamente fuori dal radar dei team che si occupano di cybersecurity.
Gli attacchi recenti dimostrano, invece, che anche un frigorifero può diventare un bersaglio concreto dei cybercriminali.
Perché il problema va ben oltre i supermercati
Questi episodi mettono in luce i rischi che derivano dalla possibilità che un attacco informatico abbia conseguenze dirette sul mondo fisico. Non si tratta di un problema circoscritto ai sistemi di refrigerazione: le stesse minacce possono colpire le tecnologie che regolano il funzionamento di edifici, reti idriche ed energetiche, strutture sanitarie, sistemi logistici e impianti industriali.
In particolare, i rischi riguardano sia i sistemi IT (Information Technology), ovvero le tecnologie informatiche utilizzate per gestire dati, applicazioni e attività aziendali, sia i sistemi OT (Operational Technology), cioè le tecnologie che controllano e gestiscono macchinari, impianti e infrastrutture fisiche. È proprio l’interazione tra questi due ambienti a rendere sempre più concreto il rischio che un attacco informatico possa ripercuotersi sul funzionamento di servizi e attività essenziali.
Il Cyber Resilience Act (CRA), il regolamento europeo sulla resilienza informatica, interviene per affrontare il problema alla radice, introducendo nuovi obblighi per i produttori di dispositivi connessi. L’obiettivo è fare in modo che la sicurezza venga integrata fin dalla progettazione e sia garantita per tutta la vita del prodotto, attraverso aggiornamenti e un’adeguata gestione delle vulnerabilità.
Il regolamento prevede, infatti, l’adozione di principi di security-by-design e security-by-default, affinché la sicurezza sia incorporata nei prodotti fin dalle prime fasi di sviluppo e le impostazioni iniziali siano già configurate per garantire un adeguato livello di protezione. Introduce inoltre obblighi di gestione della sicurezza e delle vulnerabilità per l’intero ciclo di vita del prodotto, con un periodo di supporto di almeno cinque anni, salvo che la vita utile prevista del prodotto sia inferiore.
Dall’11 settembre 2026 sono in vigore gli obblighi di segnalazione delle vulnerabilità informatiche attivamente sfruttate. Si tratta di un passo avanti significativo, perché introduce requisiti che riguardano anche i dispositivi consumer e quelli industriali non critici, categorie che non erano pienamente coperte dalle normative europee già esistenti, come la direttiva NIS 2.
La nuova regolamentazione, tuttavia, guarda soprattutto ai dispositivi di nuova generazione e non risolve automaticamente i problemi di sicurezza di quelli già in uso. In linea generale, i prodotti già presenti sul mercato rientreranno nel campo di applicazione del regolamento solo se sottoposti a modifiche sostanziali dopo il dicembre 2027. Gli obblighi di segnalazione delle vulnerabilità rappresentano un’eccezione: si applicano infatti anche ai prodotti più datati che rientrano nell’ambito del regolamento.
Proteggere con il modello Zero Trust ciò che non può essere sostituito
Questi attacchi dimostrano quanto sia rilevante questa lacuna. Secondo quanto riportato, alcuni dei modelli presi di mira avevano raggiunto la fine del loro ciclo di vita già da diversi anni e alcuni dispositivi utilizzavano ancora le credenziali predefinite.
Un produttore non può rilasciare patch per dispositivi che non supporta più e difficilmente pochi retailer sono in grado di sostituire migliaia di controller nel giro di una notte.
La regolamentazione innalza il livello di sicurezza per i dispositivi di nuova generazione, ma non elimina i rischi legati al parco tecnologico di cui le organizzazioni dispongono già oggi.
Ecco alcune azioni da intraprendere subito:
1. Evitare che i dispositivi siano direttamente esposti a Internet. Una centralina di controllo per i sistemi di refrigerazione non dovrebbe essere accessibile a chiunque tenti di raggiungerla. L’accesso da remoto dovrebbe essere consentito esclusivamente attraverso canali controllati e autenticati.
2. Mantenere separate le reti che gestiscono i sistemi informatici aziendali (IT) da quelle che controllano macchinari e infrastrutture fisiche (OT). Una centralina compromessa non dovrebbe poter diventare una porta d’accesso ai sistemi di pagamento, alle applicazioni aziendali o ad altre apparecchiature. La segmentazione delle reti dovrebbe basarsi sulle effettive esigenze di comunicazione dei dispositivi, e non semplicemente sulla loro posizione all’interno della rete.
3. Gestire gli accessi di terze parti in modo controllato. Spesso sono tecnici e fornitori esterni a occuparsi della manutenzione di questi sistemi. Le organizzazioni dovrebbero quindi monitorare chi può accedere ai singoli dispositivi e in quali momenti. Per garantire un livello di protezione più elevato, è opportuno prevedere credenziali di accesso individuali, autenticazione a più fattori (MFA), autorizzazioni temporanee e registri delle attività (audit trail).
4. Adottare misure di protezione alternative quando non è possibile aggiornare i dispositivi. Questa tecnica, nota come virtual patching, consiste nell’interporre un sistema di sicurezza tra il dispositivo vulnerabile e la rete, in modo da intercettare e bloccare eventuali richieste malevole prima che possano raggiungerlo. Non elimina la vulnerabilità presente nel dispositivo né garantisce la protezione da tutte le tipologie di attacco, in particolare quelle che sfruttano protocolli proprietari, ma consente comunque di ridurre i rischi di compromissione.
5. Conoscere i dispositivi presenti e monitorarne il funzionamento. È fondamentale mantenere un inventario aggiornato dei dispositivi, dei rispettivi responsabili, delle versioni software installate e dello stato del supporto da parte dei produttori. Questo è particolarmente importante quando la gestione di tali sistemi coinvolge più soggetti, come i team IT, i responsabili della manutenzione degli edifici e i fornitori esterni.
Sostituire tutti i dispositivi vulnerabili è certamente l’obiettivo da perseguire nel lungo periodo, ma nella realtà è un’operazione spesso difficile da realizzare. Nell’attesa, è fondamentale proteggere i sistemi e le reti a cui questi dispositivi sono collegati. In questo contesto, un approccio alla sicurezza basato sul modello Zero Trust può fare la differenza. Il principio è semplice: nessun dispositivo deve essere considerato automaticamente affidabile solo perché si trova all’interno della rete aziendale.
Nelle reti tradizionali, infatti, i dispositivi collegati alla rete interna vengono generalmente considerati affidabili, almeno in parte. Questo significa che, se una centralina di controllo viene compromessa può diventare un punto di accesso anche agli altri sistemi aziendali. Il modello Zero Trust supera questa logica: ogni accesso viene verificato sulla base dell’identità di chi lo richiede, delle regole di sicurezza e della risorsa a cui si vuole accedere. In questo modo, la semplice connessione alla stessa rete non garantisce la possibilità di raggiungere altri dispositivi o sistemi.
Il modello Zero Trust non rappresenta una soluzione definitiva a ogni problema di sicurezza. Non risolve le vulnerabilità dei dispositivi, né garantisce una protezione efficace se non viene configurato tenendo conto dei reali flussi di comunicazione tra i sistemi e monitorato costantemente nel tempo. Tuttavia, quando si ha a che fare con apparecchiature che non possono essere facilmente sostituite, costituisce uno strumento concreto per ridurre la superficie di attacco e limitare i danni in caso di intrusione.
La cybersecurity, oggi, non riguarda più soltanto la protezione delle informazioni, ma anche la salvaguardia delle infrastrutture e dei servizi essenziali da cui dipende la nostra vita quotidiana.
