Frigoriferi connessi hackerati: la colpa non è dell'hacker, ma di un'industria che ignora vulnerabilità note da decenni

Nei giorni scorsi i frigoriferi di molti supermercati europei sono finiti al centro di un attacco informatico, e la notizia ha trovato subito spazio nei media generalisti, con toni preoccupati. Secondo l'autore del commento pubblicato da la Repubblica, però, ci sarebbe poco da stupirsi: la fragilità dei sistemi SCADA, dei PLC e in generale dei dispositivi dell'Internet delle cose è nota da decenni a chi si occupa di sicurezza informatica.

L'autore osserva che attacchi di questo tipo raramente arrivano sulle prime pagine o sui tavoli di chi decide, a differenza di quanto accade per banche, e-commerce e trasporti. Fanno eccezione i casi in cui il bersaglio è sotto gli occhi di tutti, come in questa vicenda dei banchi frigo.

Primo bersaglio della critica è la figura dell'hacker onnipotente, che a suo giudizio serve da alibi. Ricorda che hacker non è sinonimo di criminale: quest'ultimo, spiegava ventisei anni fa Richard Stallman, padre del Free Software, si chiama cracker. Per i frigoriferi, sostiene, non serve alcuna sofisticazione: basta usare Shodan, il motore di ricerca che indicizza dispositivi e sistemi connessi a Internet, e cercare i pannelli di controllo raggiungibili direttamente dall'esterno. Gli autori dell'attacco potrebbero anche essere sostenuti da uno Stato, scrive, ma di sicuro hanno ricevuto un grande aiuto dai bersagli stessi. Aggiunge che le stesse narrative, già superate alla fine degli anni Ottanta, riemergono a ogni episodio, che si chiami «attacco» se la colpa è dei cattivi o «incidente» se dipende da software mal costruito o infrastrutture mal gestite.

Il secondo capitolo riguarda il software. L'industria, nel suo complesso, avrebbe convinto il mondo, politici e legislatori compresi, che un blocco o una perdita di dati fossero una funzionalità e non un difetto. Il paragone proposto è con le automobili: con gli stessi standard di sicurezza accettati per i computer, i freni difettosi avrebbero causato una strage. Solo nel 2024 l'Unione Europea ha incluso il software nella direttiva sulla responsabilità da prodotto, ma, secondo l'autore, in modo sbagliato, creando più problemi di quelli che voleva risolvere.

Il terzo bersaglio è l'industria della cybersecurity. Gli slogan sulla sicurezza come processo e sulla formazione del personale, nota l'autore, contrastano con un marketing che promette una gestione globale della sicurezza. Come prova cita l'incidente del 2024 causato da un aggiornamento difettoso della società Crowdstrike, con effetti ben più gravi dell'attacco ai frigoriferi.

Il quarto livello è politico e giuridico. Per l'autore, la gran quantità di attacchi quotidiani a qualunque oggetto raggiungibile via internet confessa il fallimento di una visione burocratica della sicurezza, fatta di analisi del rischio, centri di competenza, framework e checklist che si fermano alla fase documentale. L'UE, scrive, continua a legiferare così e chi deve rispettare le norme si adegua pensando «tanto cosa vuoi che capiti».

L'esempio che giudica paradigmatico è la coordinated disclosure prevista dalla direttiva NIS2 sulle infrastrutture critiche, che permette di ricevere segnalazioni di vulnerabilità anche da ricercatori indipendenti, garantendo loro l'anonimato. Ma chi trovasse falle usando le stesse tecniche dei criminali rischierebbe una denuncia penale se le comunicasse alle istituzioni. Il considerando 60 della direttiva, che non ha valore vincolante ma ne spiega la logica, mostra consapevolezza del problema, così come dei programmi di bug bounty finanziati dalle aziende, che premiano chi scopre vulnerabilità a condizione di non violare la legge.

L'autore richiama un precedente: nel 1993, quando i reati informatici entrarono nel Codice penale, ci si chiese come sviluppare antivirus senza violare l'articolo 615-quinquies, che ne vietava la detenzione. Si ricorse a un salto mortale interpretativo per sostenere che l'attività fosse «a fin di bene», ma restava necessario passare da un processo penale per validarla. Il dibattito che ne discende riguarda la riforma della responsabilità di prodotto e delle regole sulla divulgazione coordinata in Europa.