Scegli l'Assistente
Cybersecurity nella GDO: così gli hacker hanno messo fuori uso i frigoriferi dei supermercati europei
Congelatori portati fino a 50 gradi nel giro di poche ore, banchi frigoriferi sbrinati prima dell’apertura, merce da ritirare dagli scaffali.
È il bilancio degli attacchi informatici che lunedì 2 novembre hanno colpito i sistemi di refrigerazione di supermercati in una decina di Paesi europei, tra cui Belgio, Paesi Bassi, Svezia, Irlanda e Germania, a poche settimane da un primo episodio registrato in Francia a ottobre, costato milioni di euro in alimenti da smaltire.
Episodi analoghi sono stati segnalati anche in Italia, in un numero limitato di punti vendita: al termine della riunione convocata a Palazzo Chigi con i responsabili dell’intelligence e dell’Agenzia per la Cybersicurezza Nazionale, il Governo ha confermato un impatto fortemente limitato e l’assenza, allo stato attuale, di rischi accertati per la salute dei cittadini.
Sugli episodi indaga la Polizia Postale; non risultano, finora, né richieste di riscatto né rivendicazioni.
Nel mirino le tecnologie industriali (OT) e la gestione da remoto
Al centro degli attacchi non ci sono i singoli frigoriferi, ma le centraline digitali di telegestione della catena del freddo: i dispositivi che regolano le temperature e consentono a fornitori e manutentori di intervenire da remoto sui parametri degli impianti.
Una tecnologia che ha migliorato l’efficienza dei processi, ma che rende altrettanto importante la protezione delle reti e dei dispositivi attraverso cui questi sistemi vengono gestiti.
La vicenda porta all’attenzione un settore della cybersicurezza spesso meno conosciuto rispetto alla tradizionale protezione dei dati: quello delle tecnologie operative, o Operational Technology (OT), che comprendono i sistemi utilizzati per controllare macchinari, impianti e processi industriali.
A evidenziarne la rilevanza è Massimo Centofanti, co-founder di ai.esra, società italiana che ha sviluppato ESRA (Enhanced Security Risk Analytics), piattaforma innovativa per l’analisi e la gestione del rischio cyber negli ambienti in cui convivono sistemi IT, OT e IoT.
«La crescente interconnessione tra sistemi informatici e tecnologie industriali rappresenta un’opportunità importante per l’efficienza e la competitività delle imprese.
Allo stesso tempo, episodi come quelli registrati nella grande distribuzione europea dimostrano quanto sia essenziale adottare un approccio alla sicurezza che tenga conto anche dei dispositivi e dei processi fisici.
Non si tratta soltanto di proteggere le informazioni, ma di garantire l’affidabilità e la continuità operativa di sistemi dai quali dipendono attività economiche e servizi quotidiani», dichiara Centofanti.
Come sono stati manipolati gli impianti
Secondo le prime ricostruzioni, richiamate anche nella nota di Palazzo Chigi, le apparecchiature coinvolte presentavano sistemi di protezione obsoleti, interfacce accessibili direttamente da Internet e carenze nei meccanismi di autenticazione.
Secondo diversi analisti internazionali, inoltre, le vulnerabilità sfruttate erano note e già correggibili, e migliaia di centraline risultavano ancora raggiungibili dalla rete anche dopo il primo attacco in Francia.
Un dato che sposta l’attenzione dalla sofisticazione degli attaccanti alla gestione quotidiana della sicurezza lungo l’intero ciclo di vita delle tecnologie, dall’installazione alla manutenzione.
Ma perché un impianto di refrigerazione può trasformarsi in un bersaglio così accessibile?
Per Centofanti il nodo è la distanza tra il modo in cui le aziende censiscono e proteggono i propri sistemi informatici e la realtà degli impianti sul campo, spesso installati e gestiti da fornitori esterni.
«Lo schema, in casi come questo, è purtroppo semplice. Esistono motori di ricerca che indicizzano in modo continuo i dispositivi connessi a Internet: individuare migliaia di pannelli di controllo esposti richiede pochi minuti.
Molti di questi apparati sono nati per lavorare in reti chiuse, usano protocolli industriali che non prevedono autenticazione, come Modbus o BACnet, oppure interfacce web protette da credenziali di fabbrica mai modificate, e montano firmware che non vengono aggiornati per anni perché l’impianto deve restare in funzione.
A quel punto basta cambiare un parametro, il setpoint di temperatura, magari alle quattro del mattino e disattivando gli allarmi, perché il danno diventi fisico.
Nella maggior parte delle organizzazioni, poi, l’inventario degli asset si ferma a server e postazioni di lavoro: centraline, controllori e gateway installati dai manutentori per l’assistenza remota restano fuori dal perimetro di controllo.
Il punto non è la singola vulnerabilità, ma il percorso che collega Internet a un processo fisico», spiega Centofanti.
«È per questo che con ESRA abbiamo scelto di leggere il rischio come un sistema di relazioni.
La piattaforma ricostruisce in un unico modello digitale, un vero e proprio gemello digitale del rischio, gli asset IT, OT e IoT, le loro connessioni e i processi di business che supportano.
Ogni vulnerabilità viene valutata non soltanto per la sua gravità teorica, ma per la probabilità concreta che venga sfruttata, misurata sulle evidenze di sfruttamento reale come il catalogo CISA KEV e l’indice predittivo EPSS, per il grado di esposizione del dispositivo e per le conseguenze che una sua compromissione avrebbe sull’operatività.
Così una centralina raggiungibile da Internet, con una falla già sfruttata dagli attaccanti e collegata a un processo critico, emerge in cima alle priorità, anche quando il suo punteggio di gravità tradizionale non è il più alto», prosegue Centofanti.
Le direttive dell’Agenzia per la Cybersicurezza Nazionale per blindare le centraline
In questo contesto si inseriscono le indicazioni diffuse dall’Agenzia per la Cybersicurezza Nazionale, che ha invitato gli operatori della grande distribuzione, della logistica alimentare, della refrigerazione industriale e della manutenzione a non esporre direttamente su Internet i sistemi di controllo degli impianti, a utilizzare canali protetti per gli accessi da remoto, a rafforzare le procedure di autenticazione e ad aggiornare i dispositivi non più adeguatamente supportati.
L’Agenzia sta inoltre incontrando le associazioni di categoria e i principali operatori per individuare i siti più esposti.
Le cinque azioni immediate indicate da Centofanti per gli operatori
- Mappare l’esposizione reale. Censire tutti i dispositivi OT e IoT, inclusi quelli installati e gestiti dai fornitori, e verificare quali siano raggiungibili da Internet, osservandoli anche dall’esterno, con lo stesso punto di vista di un attaccante.
- Chiudere gli accessi diretti. Eliminare le interfacce esposte, sostituire le credenziali di fabbrica e consentire la manutenzione remota solo attraverso canali cifrati, autenticazione a più fattori e accessi temporanei e tracciati.
- Separare le reti. Segmentare gli impianti dalla rete aziendale e da Internet per zone e condotti, secondo lo standard IEC 62443, così che la compromissione di un sistema non si propaghi agli altri.
- Mettere limiti fisici ai comandi digitali. Configurare soglie di sicurezza che impediscano setpoint fuori dai valori ammissibili e allarmi indipendenti dalla centralina, e monitorare le modifiche ai parametri, soprattutto fuori dall’orario di lavoro.
- Governare la catena di fornitura. Includere nei contratti di manutenzione requisiti di sicurezza, tempi di aggiornamento e obblighi di notifica, come richiesto dalla direttiva NIS2 per la gestione del rischio legato ai fornitori.
La protezione delle infrastrutture industriali richiede infatti un approccio che integri competenze informatiche e conoscenza dei processi produttivi, attraverso attività di monitoraggio, valutazione dei rischi e collaborazione tra aziende e fornitori tecnologici.
«La sicurezza dei sistemi industriali deve essere considerata un processo continuo, capace di evolvere insieme alle tecnologie. Investire nella prevenzione significa conoscere le proprie infrastrutture, individuare tempestivamente eventuali vulnerabilità e predisporre strumenti adeguati di protezione e risposta.
È attraverso l’integrazione tra innovazione, competenze specialistiche e cultura della sicurezza che possiamo accompagnare le imprese verso una trasformazione digitale sempre più affidabile e resiliente», aggiunge Centofanti.
Quali scenari si aprono ora per le imprese?
Secondo Centofanti, quanto accaduto nella grande distribuzione non è un episodio isolato, ma il segnale di un’evoluzione della minaccia destinata a interessare tutti i settori in cui processi fisici vengono governati da remoto.
«L’assenza di richieste di riscatto è il dato che dovrebbe preoccupare di più: quando non c’è un guadagno economico, l’obiettivo è il disservizio, e il disservizio di un processo fisico ha conseguenze immediate e visibili.
Ciò che è successo nei supermercati può ripetersi ovunque un impianto sia gestito a distanza: nella logistica, nell’energia, nel trattamento delle acque, nella sanità, nella manifattura.
La superficie di attacco cresce con ogni sensore connesso e ogni accesso concesso a un fornitore, e la catena di fornitura diventa a tutti gli effetti parte del perimetro da proteggere.
Dalla sicurezza statica al monitoraggio continuo del rischio
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, va esattamente in questa direzione: chiede di conoscere i propri asset, di governare il rischio legato ai fornitori e di dimostrare l’efficacia delle misure adottate», osserva Centofanti.
«Le imprese dovranno passare da una sicurezza fotografata una volta l’anno a una visione continua del rischio.
ESRA nasce proprio per questo: offrire al management e ai responsabili della sicurezza una lettura costantemente aggiornata dell’esposizione, capace di tradurre i dati tecnici in priorità di intervento e in decisioni di investimento, e di indicare prima, non dopo un incidente, i punti in cui un’intrusione può trasformarsi in un danno concreto per il business.
La domanda che ogni consiglio di amministrazione dovrebbe porsi oggi non è se i propri sistemi siano protetti, ma quali processi si fermerebbero domattina se qualcuno ne prendesse il controllo», conclude Centofanti.
