Dai supermercati alle scuole, gli attacchi digitali alla sicurezza reale: l’esperto pugliese, come difendersi Lino Fornaro: la vera risposta deve essere anche organizzativa e istituzionale

Falsi allarmi bomba prima nel trasporto aereo, poi nelle scuole, insieme agli attacchi hacker ai supermercati. Ci stiamo scoprendo un Paese poco sicuro e poco preparato agli attacchi informatici. Quando questi episodi coinvolgono la società civile, come nel caso delle scuole, possono generare panico. Ma come possiamo difenderci dalle email che possono arrivare da ovunque?

La cybersicurezza è certamente uno dei temi più importanti degli ultimi anni, ma credo sia fondamentale comprendere e inquadrare correttamente quello che sta accadendo. Perché non tutto ciò che avviene attraverso Internet è necessariamente un attacco informatico. E se non comprendiamo la natura di una minaccia, difficilmente riusciremo a difenderci in maniera efficace.

Partiamo dagli allarmi bomba nelle scuole.

L’11 novembre centinaia di istituti scolastici italiani ricevono un’email minatoria, apparentemente proveniente dall’indirizzo di un’università di Taiwan.

Il mittente si firma Mikhail Andropov, si dichiara leader di un fantomatico «Vilayat di Misoginistan» e annuncia di voler annientare gli italiani. Sostiene di aver collocato un potente ordigno esplosivo all’interno dell’edificio scolastico, nascosto in un sacchetto di plastica, con un dispositivo di innesco a distanza. Descrive le conseguenze dell’esplosione e arriva persino a minacciare la presidente del Consiglio.

Il messaggio è delirante, ma le conseguenze sono tutt’altro che immaginarie: scuole evacuate, lezioni interrotte, forze dell’ordine e artificieri mobilitati, famiglie comprensibilmente preoccupate.

L’email ha come obiettivo creare caos, paura, vuole destabilizzare.

Il meccanismo utilizzato richiama chiaramente le tecniche dell’ingegneria sociale, cioè quelle forme di manipolazione che sfruttano il comportamento umano per provocare una determinata reazione.

In questo caso si fa leva su tre elementi fondamentali: l’incertezza, perché il destinatario non può sapere immediatamente se la minaccia sia vera o falsa; l’urgenza, perché il tempo per prendere una decisione sembra estremamente limitato; e soprattutto il senso di responsabilità del dirigente scolastico, che sa di avere il dovere di proteggere centinaia di studenti, insegnanti e collaboratori.

In quest’ultimo punto c’è la differenza dalla classica tecnica di ingegneria sociale, perché non sfrutta l’ingenuità o l’impreparazione del destinatario, ma il suo senso del dovere, fa leva sulla sua responsabilità per innescare una reazione che lo porta la vittima a fare quello che vuole l’attaccante: creare caos e paura, destabilizzare l’opinione pubblica.

In altre parole, l’aggressore non sfrutta una vulnerabilità tecnologica, ma un meccanismo di protezione delle persone per provocare disagi e interrompere un servizio pubblico.

Non siamo però di fronte ad una azione del cybercrime. Non c’è monetizzazione dietro l’attacco.

Un’azione capace di provocare contemporaneamente allarmi, interruzioni dei servizi, mobilitazione delle autorità e paura nella popolazione presenta caratteristiche compatibili anche con le cosiddette operazioni di guerra ibrida.

Non sto affermando che questo episodio sia riconducibile a uno Stato o a un’organizzazione specifica: non abbiamo elementi per sostenerlo. Potrebbe trattarsi dell’iniziativa di un singolo individuo, di un gruppo organizzato o di un’azione con finalità diverse.

Ma il risultato è evidente: attraverso un semplice messaggio è possibile mettere sotto pressione un intero sistema di servizi pubblici, sfruttando le regole e le responsabilità di chi deve garantirne la sicurezza.

Ultima considerazione: gli allarmi bomba non sono una novità, esistevano molto prima di Internet. Una volta bastava una telefonata anonima,  oggi la posta elettronica consente di raggiungere migliaia di destinatari contemporaneamente, con costi irrisori e da qualunque parte del mondo.

Il digitale ha reso queste azioni enormemente più semplici da realizzare e più estese nei loro effetti.

L’intelligenza artificiale, infine, può amplificare ulteriormente questo fenomeno. Oggi può aiutare a raccogliere informazioni, individuare migliaia di destinatari, preparare comunicazioni e automatizzare attività che in passato avrebbero richiesto molto più tempo e lavoro. Non è necessario immaginare sistemi particolarmente sofisticati: anche strumenti facilmente accessibili possono aumentare enormemente la capacità di diffusione di una minaccia.

E allora come ci difendiamo?

Certamente attraverso strumenti tecnologici in grado di filtrare le email sospette, verificare l’autenticità dei mittenti e individuare comunicazioni potenzialmente malevole.

Ma sarebbe illusorio pensare che un filtro antispam possa risolvere il problema. Una minaccia può arrivare anche attraverso una casella legittima, magari compromessa, e nessuna tecnologia può garantire di bloccare ogni messaggio.

La vera risposta deve essere anche organizzativa e istituzionale.

Servono procedure chiare, una rapida condivisione delle informazioni, la capacità di riconoscere campagne coordinate e un sistema di valutazione delle minacce che coinvolga le autorità competenti, senza lasciare i singoli dirigenti scolastici soli davanti a decisioni così delicate.

La tecnologia può aiutarci a individuare la minaccia, ma è l’organizzazione che ci permette di gestirla.

Perché in questa vicenda il bersaglio non erano i computer delle scuole. Era il sistema di responsabilità e di decisioni che serve a proteggere le persone.

Oltre agli allarmi bomba, nelle ultime settimane ci sono stati attacchi informatici ai supermercati. Come fa un hacker ad attaccare i frigoriferi di un supermercato?

Qui siamo davanti a un fenomeno completamente diverso. E, per certi aspetti, ancora più preoccupante.

Quando pensiamo a un attacco hacker immaginiamo qualcuno che cerca di rubare dati, sottrarre password o bloccare i computer di un’azienda chiedendo un riscatto.

Ma oggi il digitale governa anche il mondo fisico: impianti industriali, macchinari, sistemi di climatizzazione, apparecchiature sanitarie e, appunto, frigoriferi dei supermercati.

Quello che è accaduto nelle ultime settimane in diversi Paesi europei, Italia compresa, è emblematico. Gli aggressori sono riusciti a intervenire da remoto sui sistemi che regolano la temperatura di frigoriferi e congelatori, provocando in diversi casi il deterioramento della merce e la necessità di ritirare prodotti dalla vendita.

In un supermercato svedese, ad esempio, i responsabili hanno raccontato di essersi accorti dell’attacco soltanto diverse ore dopo, quando ormai gli alimenti erano compromessi. In Belgio un commerciante ha riferito di aver trovato i frigoriferi impostati a temperature incompatibili con la corretta conservazione della carne. E’ successo anche in Italia, in molti più casi di quelli noti.

Non parliamo quindi di un danno virtuale, ma di un attacco informatico che produce conseguenze fisiche ed economiche immediate.

Ma come è possibile che qualcuno, magari dall’altra parte del mondo, riesca a modificare la temperatura di un frigorifero?

La spiegazione è più semplice di quanto si possa immaginare.

Molti impianti frigoriferi sono collegati a Internet per consentire il controllo delle temperature, il monitoraggio del funzionamento e gli interventi di manutenzione a distanza.

È una possibilità estremamente utile, perché permette ai tecnici di verificare lo stato degli impianti e intervenire senza doversi recare fisicamente sul posto.

Il problema nasce quando questi collegamenti vengono realizzati senza adeguate misure di sicurezza.

Se un sistema di controllo è direttamente esposto su Internet e non è sufficientemente protetto, un soggetto non autorizzato può riuscire ad accedervi e modificarne i parametri di funzionamento.

E c’è un aspetto che vorrei sottolineare.

Per compiere attacchi di questo tipo non sono necessariamente richieste competenze informatiche particolarmente sofisticate.

Esistono motori di ricerca specializzati, come Shodan, che consentono di individuare dispositivi collegati a Internet. Se questi apparati sono stati installati lasciando attive le password predefinite dal produttore, oppure presentano altre gravi carenze di sicurezza, possono diventare bersagli estremamente facili.

Al netto di come siano effettivamente avvenuti gli attacchi delle ultime settimane, sappiamo per certo che l’esposizione incontrollata dei sistemi industriali rappresenta un rischio concreto e ampiamente conosciuto.

Oggi, inoltre, l’intelligenza artificiale può rendere più semplici e veloci anche alcune attività preparatorie di un attacco, abbassando la soglia delle competenze necessarie.

E qui arriviamo a quello che considero il vero problema.

Molti di questi rischi potrebbero essere evitati con misure di sicurezza relativamente semplici.

Un impianto frigorifero può essere controllato e manutenuto da remoto senza essere direttamente accessibile da chiunque su Internet. Esistono soluzioni consolidate per proteggere i collegamenti, autorizzare soltanto gli accessi necessari e rilevare eventuali anomalie.

Perché, allora, continuiamo a trovare impianti industriali esposti?

La risposta, a mio avviso, è soprattutto nella scarsa consapevolezza del rischio e in un problema di responsabilità, nonché di mancanza di competenze all’interno delle aziende.

Per troppo tempo molti imprenditori hanno considerato la sicurezza informatica esclusivamente come un costo, senza riuscire a coglierne il valore strategico. Il problema è che, finché non si percepisce concretamente una minaccia, si tende a sottovalutare gli investimenti necessari per prevenirla.

Cosi nel tempo hanno collegato alla rete una quantità enorme di macchinari e dispositivi industriali, con produttori e manutentori degli impianti che hanno storicamente concentrato le proprie competenze sul solo funzionamento delle macchine.

Si è così creata una zona grigia nella quale tutti utilizzano la tecnologia, ma non sempre è chiaro chi debba occuparsi della sua sicurezza e alla fine non se ne occupa nessuno, creando le condizioni per essere facilmente attaccabili.

E la risposta al perché si dovrebbe essere attaccati non è una sola.

Nel cybercrime tradizionale il movente è prevalentemente economico. Si sottraggono dati, si bloccano sistemi e spesso si chiede un riscatto.

Negli episodi dei supermercati, nella fattispecie, dalle informazioni pubblicamente disponibili non emerge una richiesta di riscatto generalizzata. L’effetto immediato è stato provocare un danno, interrompere un servizio, generare disagi.

Questo apre interrogativi sulle reali motivazioni degli aggressori.

Potrebbe trattarsi di azioni dimostrative, di sabotaggio o di operazioni riconducibili a strategie di destabilizzazione. Anche in questo caso, però, dobbiamo essere prudenti: attribuire un attacco a un’organizzazione o, ancora di più, a uno Stato richiede prove tecniche e investigative solide.

L’assenza di una richiesta di riscatto non basta, da sola, a escludere la criminalità informatica o a dimostrare un coinvolgimento statale.

Ma è legittimo chiedersi quale sia l’obiettivo di chi colpisce contemporaneamente sistemi di refrigerazione in diversi Paesi, provocando danni senza un apparente beneficio economico diretto.

E soprattutto dobbiamo chiederci quali potrebbero essere le conseguenze se lo stesso meccanismo venisse utilizzato contro infrastrutture ancora più delicate.

Pensiamo agli ospedali, alle banche del sangue, come accaduto il 2 novembre in Francia, alle aziende farmaceutiche.

La sicurezza informatica, infatti, non consiste soltanto nell’impedire un attacco, ma anche nel riconoscerlo tempestivamente e limitarne le conseguenze.

Ed è questa la vera lezione che dovremmo trarre dagli episodi delle ultime settimane.

Abbiamo portato Internet dentro infrastrutture e impianti dai quali dipendono servizi fondamentali, ma non sempre abbiamo portato con esso un adeguato livello di sicurezza.

La cybersecurity non riguarda più soltanto la riservatezza dei dati o il funzionamento dei computer. Riguarda la capacità delle nostre imprese e delle nostre istituzioni di garantire servizi, proteggere le persone e continuare a operare anche quando qualcosa va storto.

È arrivato il momento di comprendere che la cybersecurity non è soltanto una questione tecnologica, ma un fattore di resilienza e competitività per le imprese e di sicurezza per i cittadini.

Perché la sicurezza non si compra come si compra un computer. Si costruisce attraverso competenze, organizzazione, investimenti e consapevolezza dei rischi.

---