Basta alibi
perché gli attacchi IoT in Europa smascherano la superficialità nella gestione IT
La favola della “Guerra Ibrida” e l’asticella abbassata allo Script Kiddie
La realtà dei fatti? A prescindere da chi sia stato, l’infrastruttura era così scoperta che avrebbe potuto farlo chiunque. Persino un ragazzino con un computer portatile e un account base (script kiddie)
Come fanno i frigoriferi industriali a raggiungere improvvisamente i 50 gradi?
- Chiunque sia entrato in quei sistemi non ha fatto altro che sfruttare una funzione nativa e integrata dei dispositivi: il ciclo di sbrinamento (defrost cycle)
- progettato dai costruttori per riscaldare periodicamente le serpentine ed evitare il ghiaccio. È bastato accedere ai pannelli di controllo e forzare quel comando da remoto.
Come potrebbero essere stati individuati questi bersagli?
- Attraverso attività di OSINT (Open Source Intelligence) e strumenti di ricognizione come Shodan, il noto motore di ricerca per dispositivi e servizi esposti su Internet.
- A differenza dei motori di ricerca tradizionali, Shodan indicizza informazioni tecniche relative a sistemi raggiungibili pubblicamente, tra cui porte aperte, servizi attivi, banner e versioni software.
e quindi...
Anche senza competenze particolarmente avanzate, è possibile individuare rapidamente migliaia di dispositivi IoT e apparati di rete esposti, alcuni dei quali presentano configurazioni insicure, interfacce amministrative accessibili dall’esterno, credenziali predefinite o vulnerabilità note.
Il punto critico è che, in molti casi, l’individuazione di potenziali bersagli non richiede tecniche sofisticate: è sufficiente interrogare informazioni già pubblicamente disponibili.
Se lasci la porta di casa aperta e la chiave infilata nella serratura, l’intrusione è grave, a prescindere che ad entrare sia stata la criminalità organizzata o il primo passante curioso: il problema resta la porta aperta con la chiave infilata.
Il cortocircuito aziendale: Cybersecurity e Produzione non si parlano proprio
Mentre la stragrande maggioranza degli “esperti” si limita a dispensare consigli tecnici su patch, VLAN e configurazioni di rete, la realtà della media azienda italiana mostra un problema ben più profondo e strategico: la Governance e la responsabilità del business.
La trappola tipica in cui cadono i titolari e i responsabili aziendali ha un nome chiaro: Cybersecurity e Produzione vivono in due mondi separati che non si parlano affatto.
La produzione (OT) deve correre: ha bisogno di monitorare i macchinari, digitalizzare i processi per l’Industria 4.0, permettere al manutentore esterno di collegarsi in remoto o controllare la temperatura dell’impianto dallo smartphone per pura comodità. L’IT e la Cybersecurity vengono viste come un freno burocratico, una scocciatura che rallenta il lavoro.
Il risultato? Si collegano oggetti e impianti alla rete di nascosto, o senza coinvolgere chi si occupa di sicurezza. Ma nel momento esatto in cui un dispositivo tocca la rete – che sia un impianto di refrigerazione, un sistema di videoconferenza o perfino una banale stampante – cessa di essere un semplice attrezzo di lavoro ed entra a far parte della superficie d’attacco dell’impresa.
Dalla stampante al controllo totale: la prospettiva del Red Team
Nei nostri interventi di Infrastructure Penetration Testing e Red Teaming per mettere alla prova la sicurezza delle aziende, adottiamo esattamente la stessa mentalità degli attaccanti (Offensive Mindset). E la realtà sul campo conferma che i punti d’ingresso più devastanti sono quasi sempre quelli considerati “inoffensivi”.
Come racconta Mohammed Bellala il nostro CʏʙᴇʀSᴇᴄᴜʀɪᴛʏ Aʀᴄʜɪᴛᴇᴄᴛ,
Se un attaccante (o un bot automatizzato) trova un dispositivo apparentemente secondario lasciato esposto, lo usa come testa di ponte per arrampicarsi e conquistare le chiavi dell’intero regno aziendale.
Eterne Cassandre, senza ascolto
Noi di My Voice e SafeBreach lo predichiamo da anni, indossando i panni delle eterne Cassandre inascoltate: in un mondo iper-connesso, chiunque – dal privato che monta la telecamera smart in salotto alla multinazionale, fino alla media impresa manifatturiera – è un potenziale bersaglio.
Il problema non è che il rischio è nuovo. Il problema è che in Italia si preferisce fare spallucce finché il frigorifero non si scongela, i dati non vengono criptati o la produzione non si ferma. C’è troppa confusione: troppi “sales” che cercano di vendere il software del momento e pochissimi che affrontano il problema alla radice: la Security by Design.
La sicurezza informatica non si appicca alla fine con un bollino o un software acquistato all’ultimo minuto. È una scelta di governance che deve coinvolgere la direzione aziendale, la produzione e l’IT fin dalla prima riga di un nuovo progetto.
La lezione da applicare da domani mattina
Se vogliamo trarre un insegnamento reale da quanto accaduto in Europa, dobbiamo smettere di cercare alibi e iniziare ad applicare tre regole fondamentali di governance:
Ogni volta che la Produzione o le Operation devono connettere un macchinario, un sensore o un sistema di monitoraggio alla rete, la Cybersecurity deve sedersi al tavolo prima dell’acquisto, non a danno fatto.
L’integrazione tra ambienti IT e OT deve prevedere una rigorosa segmentazione della rete, comunicazioni controllate e principi Zero Trust, per ridurre la superficie d’attacco e limitare i movimenti laterali degli attaccanti
Identificare e ridurre l’esposizione di dispositivi e servizi su Internet, limitandola alle sole esigenze operative. Gli accessi remoti indispensabili devono essere protetti mediante connessioni sicure che includono protezione delle identità e meccanismi di strong authentication resistenti al phishing.
La sicurezza non è una questione di sfortuna geopolitica, ma di responsabilità aziendale. Smettere di fare le Cassandre inascoltate significa pretendere che la cybersecurity diventi una colonna portante del business.
Se la tecnologia guida il tuo business la Cybersecurity deve guidare la tua tecnologia Prima che a scongelarsi sia la tua operatività
