Cyberattacchi alla catena del freddo: la fragilità delle nostre società connesse

La digitalizzazione ha trasformato impianti autonomi in sistemi governati da istruzioni modificabili a distanza, con una controindicazione: per comprometterne la funzione non occorre più danneggiarli, ma può bastare convincerli a fare qualcosa di diverso da ciò per cui sono stati progettati. Così centinaia di impianti frigoriferi, invece di conservare gli alimenti, li hanno cotti. Anche in Italia. Le macchine hanno continuato a obbedire al soggetto sbagliato.

Non si conoscono gli autori, ma una nota dalla Commissione UE parla di “tentativo deliberato di interrompere la nostra catena di approvvigionamento alimentare e minare la fiducia dei consumatori in essa”.

Gli attacchi cyber ai frigoriferi: i fatti

Dopo gli attacchi del 12 ottobre a circa settecento attività francesi, tra il primo e il 2 novembre episodi analoghi sono stati segnalati in almeno otto Paesi europei. Impostazioni modificate senza autorizzazione, merci deteriorate, perdite economiche: conseguenze decisamente meno virtuali delle modalità dell’aggressione.

Il 2 novembre gli attacchi sono arrivati anche nei supermercati italiani: Giuseppe Spadaro, direttore generale del gruppo Radenza, ha confermato ad Ansa episodi informatici in almeno quattro punti vendita Coop in Sicilia, con temperature alterate e alimenti deteriorati. Nell’isola sono circolate segnalazioni relative a un numero maggiore di negozi, ancora da verificare caso per caso. Secondo fonti di Palazzo Chigi, oggi è previsto un vertice con l’Agenzia per la cybersicurezza nazionale (Acn) e i vertici dell’intelligence. Secondo fonti di Open, l’Acn ha inoltre ricevuto la segnalazione di un incidente informatico da un’impresa della ristorazione collettiva in Toscana e ha rilevato un attacco a un produttore di surgelati in Emilia-Romagna. Il problema, dunque, tocca anche la preparazione e la conservazione degli alimenti prima che raggiungano i supermercati.

A fine agosto malfunzionamenti analoghi erano stati registrati nei supermercati di almeno sei basi militari americane; secondo Axios, il Pentagono sta verificando se derivino da attacchi informatici. Non esistono però prove di una regia comune tra gli episodi nei diversi Paesi.

Perché questi frigoriferi sono collegati a Internet? Nei supermercati la connessione permette ai manutentori di controllare a distanza le temperature, ricevere avvisi di guasto e intervenire sugli impianti senza recarsi in negozio. Il sistema di supervisione può coordinare anche lo sbrinamento e ridurre i consumi energetici: sono funzioni descritte da Danfoss per i propri gestori di sistema. Ma se il pannello di controllo è raggiungibile direttamente dalla rete pubblica, la comodità del servizio può trasformarsi in un accesso per gli aggressori.

Secondo un portavoce di Danfoss citato dalla stampa olandese, già il 13 ottobre i clienti olandesi erano stati invitati a scollegare da Internet gli apparati vulnerabili o a proteggerne gli accessi, ma alcuni avrebbero mantenuto i controllori raggiungibili, persino con password predefinite. Anche il CERT-FR aveva segnalato l’esposizione di apparati Danfoss, Copeland e Dixell. Almeno in parte dei casi, quindi, non sarebbe servito un attacco sofisticato: porta ben visibile e chiave nella serratura. Ridurre tutto alla negligenza di qualche tecnico sarebbe però troppo semplice e perfino rassicurante: fra produttore, installatore, manutentore e utilizzatore, la responsabilità della sicurezza rischia di disperdersi.

Una vulnerabilità condivisa, dal supermercato alla caserma

Un frigorifero non evoca l’immagine di un’infrastruttura critica. Eppure, quando partecipa alla conservazione e alla distribuzione degli alimenti, la sua compromissione può provocare danni ben superiori al costo della riparazione. La criticità non è necessariamente una proprietà dell’oggetto, ma una funzione che svolge nel contesto in cui è inserito. La standardizzazione riduce i costi, replicando però le stesse debolezze in organizzazioni indipendenti. Non serve che migliaia di apparecchi dipendano da un unico sistema: possono funzionare autonomamente e condividere la medesima configurazione vulnerabile. Questo significa che il problema non è necessariamente un effetto domino, nel quale il guasto di uno trascina gli altri, lo è, invece, la possibilità di ripetere molti attacchi separati con un solo metodo. La stessa standardizzazione rende conveniente anche sfruttarne le debolezze.

Il bollettino pubblicato dall’Acn il 13 ottobre segnala anche il rischio opposto: quando più negozi dipendono da un’unica piattaforma di supervisione, un accesso centrale compromesso può coinvolgere molti impianti insieme. I due meccanismi possono coesistere: tanti controllori separati con lo stesso difetto e un unico sistema che governa molti impianti.

Il coinvolgimento del Pentagono aggiunge un’altra dimensione. Una base militare può proteggere i sistemi riservati, ma deve ricevere merci, distribuire alimenti e utilizzare servizi che impiegano tecnologie commerciali. Se anche i militari devono mangiare, il fatto che un supermercato si trovi dentro una base non rende automaticamente più sicuro il controllore del suo impianto frigorifero. Fornitori e vulnerabilità possono essere condivisi tra organizzazioni civili e militari, rendendo meno netta la distinzione tra fronte e retrovia. Questo non prova un sabotaggio strategico: mostra però che il rischio non dipende soltanto dal valore del dispositivo o dalla natura dell’organizzazione che lo utilizza.

Le guerre diffuse non hanno bisogno di un generale

Di fronte a episodi simili in Paesi differenti, la tentazione è cercare un’unica regia, possibilmente sostenuta da un Governo. Nel mio ultimo libro, Guerre diffuse, ho proposto una distinzione utile anche in questo caso. La guerra ibrida conserva una direzione strategica riconoscibile e combina strumenti diversi per raggiungere uno scopo. Le guerre diffuse descrivono invece un ambiente nel quale attori differenti, anche senza coordinamento, sfruttano le medesime vulnerabilità, producendo effetti che possono sommarsi.

Un criminale, un gruppo interessato a provocare danni economici e chi voglia saggiare la vulnerabilità di un’infrastruttura possono utilizzare metodi analoghi senza conoscersi. Non significa che partecipino consapevolmente a una guerra. Cercando di essere precisi: gli attacchi ai frigoriferi non dimostrano l’esistenza di una campagna militare e non ogni crimine informatico è un atto di guerra. La prospettiva delle guerre diffuse permette di comprendere come l’insicurezza collettiva possa emergere anche senza una strategia comune.

Il danno non coincide soltanto con le merci distrutte: si aggiungono interventi straordinari, costi di prevenzione e perdita di fiducia nella continuità dei servizi. Episodi limitati e apparentemente scollegati possono trasformare l’insicurezza in una componente ordinaria dell’attività economica. Identificare gli autori rimane indispensabile, ma non basta, perché anche arrestando i responsabili, resterebbero le debolezze sfruttabili da altri. La questione si sposta dalle intenzioni di chi aggredisce alle responsabilità di chi deve difendere i sistemi.

La sicurezza come governo delle dipendenze: che fare?

Arriviamo così al problema probabilmente più difficile da risolvere, anche perché non riguarda principalmente la tecnologia. Un impianto frigorifero può essere acquistato da un’azienda, installato da un’altra, sottoposto a manutenzione da una terza e controllato attraverso software sviluppati da un quarto soggetto. Ognuno svolge un compito preciso, magari disciplinato da contratti dettagliatissimi, ma questo non implica che esista qualcuno in grado di governare l’intera catena delle responsabilità. Chi decide quando aggiornare un controllore? Chi verifica che gli accessi remoti siano protetti? Chi interviene se il produttore smette di fornire aggiornamenti di sicurezza? E soprattutto chi ha l’autorità di interrompere una connessione quando questa rappresenta un rischio per la continuità del servizio? Sono domande che appartengono alla governance, prima ancora che alla cybersecurity. Il problema non è soltanto stabilire chi debba fare qualcosa, ma assicurarsi che abbia anche il potere, le competenze e le risorse per farlo.

A questo si aggiunge una seconda questione, spesso trascurata nella progettazione dei sistemi connessi. Abbiamo imparato a misurare l’affidabilità delle tecnologie in condizioni normali, valutandone prestazioni, disponibilità ed efficienza. Molto meno frequentemente ci preoccupiamo di capire come dovrebbero comportarsi quando quelle condizioni vengono meno. Nel caso dei sistemi frigoriferi, per esempio, la possibilità di scollegare un controllore da Internet dovrebbe essere accompagnata dalla capacità di mantenere temperature adeguate, attraverso modalità locali di funzionamento, controlli indipendenti e procedure di emergenza. Non si tratta necessariamente di tornare a gestire manualmente ogni operazione, ma di prevedere che un sistema possa perdere alcune funzionalità senza compromettere quelle essenziali. Peraltro, scollegare un apparato già compromesso non garantisce automaticamente che torni a funzionare correttamente: prima occorre verificare l’integrità delle impostazioni e la sicurezza del processo. Tutto viene normalmente ricondotto al concetto di resilienza, termine ormai talmente abusato da rischiare di perdere qualsiasi significato. Nel nostro caso, invece, ne ha uno molto concreto: la capacità di continuare a conservare gli alimenti anche quando i sistemi digitali di controllo diventano inaffidabili. Una condizione che richiede investimenti, progettazione e soprattutto la disponibilità ad accettare qualche limite all’efficienza in cambio di una maggiore sicurezza. Non è una scelta particolarmente popolare in organizzazioni abituate a considerare ogni ridondanza un costo e ogni procedura aggiuntiva un rallentamento. Tuttavia, la continuità operativa non si improvvisa durante un’emergenza e certamente non si costruisce con un aggiornamento software effettuato quando i danni sono già stati provocati.

Le misure operative indicate dal CERT-FR nell’avviso aggiornato il 16 ottobre sono precise: eliminare l’esposizione diretta dei controllori su Internet, verificare che le fasce di sbrinamento non siano state alterate e permettere la manutenzione remota soltanto attraverso reti protette o una VPN sicura. Per gli impianti supportati occorrono anche firmware aggiornati e password diverse da quelle di fabbrica. Se un apparato è già compromesso, il ripristino deve comprendere controlli e riconfigurazioni; il solo reset di fabbrica lascia esposto al prossimo attacco un modello ormai privo di aggiornamenti.

Esiste, poi, una responsabilità collettiva che riguarda la circolazione delle informazioni. Se tecnologie analoghe sono utilizzate da migliaia di organizzazioni, la conoscenza di una vulnerabilità e delle modalità per contrastarla dovrebbe raggiungere tempestivamente tutti i soggetti interessati. In questo senso produttori, operatori, autorità competenti e strutture di risposta agli incidenti devono riuscire a collaborare, trasformando le segnalazioni in interventi effettivi. La differenza tra un avvertimento ricevuto e una misura adottata può sembrare una questione amministrativa, ma negli episodi descritti potrebbe aver rappresentato il confine tra un impianto rimasto operativo e uno compromesso. La sicurezza, quindi, non dipende soltanto dalla qualità delle soluzioni tecnologiche, ma anche dalla capacità delle organizzazioni di prendere decisioni e assumersene la responsabilità.

L’Acn ha diffuso per la filiera alimentare italiana un avviso operativo che chiede di censire i controllori collegati, proteggere gli accessi remoti con autenticazione robusta, verificare le impostazioni e preparare procedure per conservare gli alimenti anche se il sistema centrale smette di funzionare. È una richiesta che riguarda chi gestisce i negozi, chi installa gli impianti e chi ne cura la manutenzione: senza un responsabile incaricato di attuarla, la raccomandazione resta sulla carta.

In definitiva, la vicenda dei frigoriferi ci riporta a una contraddizione della società digitale. Abbiamo costruito sistemi sempre più efficienti grazie alla loro interconnessione, ma proprio questa caratteristica ha moltiplicato le dipendenze e reso più complesso governarle.

Nell’epoca delle guerre diffuse, la difesa non può limitarsi a individuare gli aggressori o a impedire le intrusioni: deve garantire che le funzioni essenziali continuino a essere svolte anche quando qualcosa va storto. Una responsabilità meno spettacolare della caccia ai criminali, ma probabilmente molto più importante per la vita quotidiana di cittadini e imprese. In fondo, una società non è sicura perché tutte le sue macchine rispondono a un comando, ma perché continuano a svolgere il proprio lavoro anche quando quel comando arriva dalla persona sbagliata.