Cyberattacchi in Europa, Zanero (Polimi): escalation probabile e reti industriali non ancora pronte

Frigoriferi di supermercati riprogrammati per salire a temperature che rovinano il cibo. Celle frigorifere di banche del sangue manomesse. Una raffica di falsi allarmi bomba che paralizza il traffico aereo del continente, con caccia militari costretti a scortare i voli civili. È l'ondata di sabotaggi che negli ultimi giorni ha scosso l'Europa, e che Stefano Zanero, professore di Ingegneria informatica e Cybersecurity al Politecnico di Milano, legge in un'intervista a Open come qualcosa di diverso dal solito cybercrimine.

Non si tratta, spiega, delle consuete estorsioni ransomware a caccia di riscatto, né di incursioni contro infrastrutture militari tradizionali. Sono azioni coordinate, a basso costo, pensate per colpire servizi civili diffusi, seminare scompiglio e toccare la quotidianità delle persone: i tratti, dice, di una guerra ibrida. Quanto a ciò che verrà, il giudizio è netto: un'escalation è molto probabile, e l'impatto dell'intelligenza artificiale sugli attacchi informatici non lo stiamo ancora vivendo. «Lo tsunami deve ancora arrivare».

Zanero precisa che molti attacchi oggi non hanno bisogno dell'IA e vengono condotti senza alcun supporto. I nuovi modelli, però, permetteranno ad aggressori meno esperti di ottenere capacità offensive finora riservate a un'élite, e abbasseranno i costi per i gruppi statali che vogliano moltiplicare queste strategie ibride per fare pressione su un punto strategico.

Il bersaglio sono i sistemi di controllo industriale, quelli che in sigla si chiamano ICS/OT. Non sono i sistemi critici a cui si pensa di solito, come elettricità, acqua o sanità, ma lo diventano: pochi avrebbero pensato alla catena del freddo dei supermercati, eppure l'impatto sulla popolazione è molto elevato. La debolezza nasce dalla progettazione. Questi impianti vengono spesso installati da persone il cui mestiere è montare impianti industriali, non da esperti informatici, e restano in esercizio per anni o decenni. A differenza di uno smartphone non ricevono aggiornamenti continui: la macchina per le Tac di un ospedale può essere stata comprata trent'anni fa, ed è giusto che si ammortizzi, ma il computer che la governa può girare ancora su Windows XP, non più aggiornabile né mantenibile. In fabbrica o in ospedale, osserva, la sicurezza informatica deve essere subordinata alla funzionalità. Servono specialisti rari e costosi, che non scalano facilmente verso il basso in un Paese di piccole e medie imprese come l'Italia.

Chi colpisce è particolarmente abile, o siamo noi scoperti? Zanero risponde che entrambe le cose sono vere. Le minacce si dividono in due categorie: quelle a motivazione economica, come i gruppi ransomware, e quelle senza movente finanziario, di origine diversa. Nella prima c'è un'industrializzazione dell'aggressione, con molto denaro in circolo e specializzazione elevatissima. Nella seconda, in un clima di forte tensione internazionale, agiscono più attori con attacchi diversi per struttura, finalità e risorse.

Su questo punto il modello di difesa aziendale, dice, crolla. Contro un estorsore, un'impresa che fattura X spende una frazione di X per difendersi: stesso campionato, stesso budget. Ma se il servizio interessa a uno Stato che vuole interromperlo, l'impresa diventa una squadra di serie C contro la capolista di Serie A. Per questo serve la cooperazione tra pubblico e privato: lo Stato deve intervenire tramite l'Agenzia per la Cybersicurezza Nazionale (ACN), in sinergia con associazioni come Confindustria, per aiutare le Pmi della filiera senza budget autonomi.

Sulla prontezza delle difese europee Zanero è cauto: non crede che siano pronte, teme di no, perché le vulnerabilità industriali sono difficili da eliminare del tutto. Si dice anche scettico verso gli appelli ad «alzare gli scudi» dopo ogni allarme: perché non tenerli sempre alzati? In sicurezza informatica o si previene l'attacco con difese già in posto, oppure si risponde il più in fretta possibile. Poiché la prevenzione non sarà mai al 100%, conta la resilienza. Lo mostra il caso delle banche del sangue: l'attacco sarebbe andato a segno, ma un monitoraggio costante ha riconosciuto subito la violazione ed evitato conseguenze gravi. Decisivi sono backup e ripristino rapido.

I cittadini, infine, sono colpiti in modo indiretto: la minaccia è su larga scala e punta ai fornitori a cui siamo collegati, spegnendo intere flotte di apparecchi. Servono igiene informatica, con software aggiornati, e pragmatismo: se una funzione connessa non serve, meglio lasciare il dispositivo scollegato dalla rete. Il banco di prova, per l'Europa, sarà la capacità di rispondere e ripristinare prima ancora che di prevenire.