I rischi legati alla compromissione del digital twin da parte di attori malevoli non riguardano solo l’ambito della cybersecurity. Allargando lo sguardo, è facile capire il legame con il tema della sovranità digitale. La concentrazione di dati operativi, interfacce di controllo e rappresentazioni digitali degli impianti può trasformare il digital twin in un punto critico dell’ecosistema industriale che, in caso di incidente, può esporre informazioni sensibili, alterare la percezione dello stato reale degli asset o influenzare decisioni e comandi con effetti sul mondo fisico. Per questo motivo, la sicurezza del digital twin tocca anche la resilienza delle infrastrutture.
Lo spoofing, potenziato dall’uso malevolo dell’AI è, in questo contesto, da tenere in particolare considerazione parlando dei possibili attacchi. L’AI può essere usata per falsificare i dati e spingere infrastrutture e macchine a eseguire ordini sbagliati o prendere decisioni errate.
Nel caso del digital twin, questo “ha un valore che dipende in modo diretto dalla qualità dei dati che riceve – spiega Pierluigi Paganini, CEO di Cybhorus -. Se un sensore in campo invia informazioni errate o manipolate, il gemello digitale le interpreta come valide e costruisce su quelle la propria rappresentazione dello stato dell’impianto. Il problema è che, nella maggior parte dei casi, il sistema non ha strumenti sufficienti per distinguere tra dato autentico e dato falsificato, a meno di controlli di sicurezza avanzati che spesso non sono implementati in modo completo”.
Indice degli argomenti
I rischi cyber del digital twin
Come spiega l’internal report 8356 del NIST, ci sono almeno cinque caratteristiche tecniche del digital twin che espone questa innovazione a possibili rischi di cybersecurity. Si legge nelle carte che queste sono:
- Sensorizzazione estesa degli asset fisici, spesso attraverso dispositivi IoT industriali
- Raccolta e aggregazione centralizzata dei dati generati dagli asset
- Rappresentazione digitale dello stato operativo e del comportamento degli asset
- Gestione e intervento da remoto sugli asset connessi
- Adozione di standard per la descrizione dei gemelli digitali, con possibili implicazioni sull’interoperabilità, sull’accesso e sulle funzioni di comando.
L’evoluzione delle tecnologie IoT, spiegano i ricercatori autori del report, ha favorito la diffusione di numerosi sensori a basso costo, connessi in rete e facilmente integrabili negli ambienti industriali. Questi dispositivi permettono di acquisire dati dagli asset fisici e di alimentarli all’interno di istanze di gemelli digitali, rendendo possibile la modellazione di sistemi reali, l’osservazione quasi in tempo reale del loro funzionamento e, in alcuni casi, l’esecuzione di operazioni da remoto. Tuttavia, l’impiego esteso di sensori IoT economici e distribuiti introduce criticità di cybersecurity.
Queste debolezze possono compromettere l’affidabilità del gemello digitale e incidere sulla riservatezza, integrità e disponibilità delle informazioni raccolte. In scenari industriali, un attaccante potrebbe sfruttare tali vulnerabilità per ottenere visibilità sul funzionamento interno degli asset fisici, alterare la rappresentazione digitale del processo o, nei casi più critici, influenzare le decisioni operative e le funzioni di controllo collegate all’ambiente reale.
Inoltre, ogni sensore o sistema di controllo può essere considerato un dispositivo IoT autonomo. La loro numerosità e distribuzione sul campo possono rendere più difficile, per un soggetto malevolo, assumere il controllo completo dell’asset fisico strumentato o ottenere una visione sufficientemente estesa del suo funzionamento.
Tuttavia, l’uso dei gemelli digitali comporta la raccolta e l’accentramento dei flussi di dati e dei canali di comando provenienti da un’elevata quantità di dispositivi installati sull’oggetto fisico. Questo approccio migliora l’efficienza delle attività di simulazione, modellazione e gestione operativa, ma concentra anche informazioni sensibili e interfacce di controllo in un unico ambiente digitale. Di conseguenza, se il gemello digitale viene compromesso, l’attaccante potrebbe accedere in modo esteso ai dati relativi all’asset monitorato e, nei casi più critici, sfruttare le funzioni di controllo associate.
Spoofing e digital twin
Lo spoofing in questo contesto consente di generare dati falsi ma plausibili, adattarli al contesto operativo e modificarli dinamicamente per evitare i controlli. Considerando il digital twin, lo spoofing consiste nel falsificare l’identità o i dati di un componente del sistema: ad esempio un sensore, un dispositivo IoT, un controller, un flusso dati, un utente o persino un’altra istanza di digital twin. L’obiettivo è far credere al gemello digitale che stia ricevendo informazioni autentiche, quando invece sono state manipolate: “Il report NIST IR 8356 mette proprio in evidenza questo punto, sottolineando come l’integrità del flusso informativo tra mondo fisico e modello digitale sia una delle principali aree di fragilità dei digital twin. In altre parole, la fiducia nel sistema dipende dalla capacità di garantire accuratezza, coerenza e sincronizzazione continua dei dati provenienti dal campo”, spiega Paganini.
Il rischio si manifesta in diversi punti della catena: “Lo spoofing può avvenire direttamente sul sensore, alterando il segnale alla fonte, oppure a livello di rete industriale, con pacchetti falsificati che si inseriscono nel traffico legittimo. In alcuni casi l’attacco colpisce direttamente il livello digitale, modificando i dati già acquisiti nel sistema. L’introduzione dell’intelligenza artificiale rende lo scenario ancora più complesso, perché consente di generare dati sintetici coerenti con i pattern storici, difficili da distinguere da quelli reali attraverso i tradizionali sistemi di rilevamento delle anomalie”, aggiunge l’esperto.
MUAI e spoofing al digital twin
L’uso malevolo dell’AI amplifica in modo significativo la portata e la sofisticazione degli attacchi di spoofing ai digital twin, spostando il problema da una manipolazione manuale dei dati a una falsificazione dinamica, adattiva e difficile da rilevare: “Strumenti come le reti generative avversarie (GAN) consentono di produrre flussi di dati sintetici altamente realistici, in grado di imitare le distribuzioni statistiche e le correlazioni fisiche dei segnali provenienti da sensori industriali. Questo significa che un attaccante può generare telemetrie apparentemente autentiche, ma costruite per rappresentare condizioni operative alterate o completamente fittizie, senza introdurre anomalie evidenti nei pattern osservabili”, spiega Paganini.
Lo spoofing insomma diventa così una simulazione coerente dell’intero comportamento del sistema fisico: “Le GAN, insieme ad altri modelli generativi e predittivi, possono inoltre essere utilizzate per adattare in tempo reale i dati falsificati alle difese del sistema, riducendo la probabilità di rilevamento da parte di sistemi basati su anomaly detection”. Le conseguenze possono essere anche l’influenza su addestramento ed evoluzione del digital twin, con impatti sulla rappresentazione digitale della realtà “e aumentando così il rischio di decisioni operative errate su infrastrutture critiche”.
I quattro principali rischi legati al MUAI nel contesto del digital twin sono quindi:
- Generazione di dati sintetici credibili
- Data poisoning mirato ai modelli del digital twin
- Attacchi adattivi e continui, rimanendo sotto soglia.
- Ricostruzione inversa dei modelli industriali.
Casi pratici di spoofing ai danni del digital twin
L’alterazione dei dati può avvenire in diversi punti:
- Spoofing dei sensori: un attaccante invia dati falsi su temperatura, pressione, vibrazioni o stato macchina. Il digital twin rappresenta quindi un impianto che non corrisponde alla realtà.
- Spoofing dei dispositivi IoT: un dispositivo malevolo si presenta come sensore o controller legittimo e inizia a comunicare con il gemello digitale.
- Spoofing dei comandi: l’attaccante genera istruzioni che sembrano provenire da un sistema autorizzato, inducendo il twin o l’asset fisico a eseguire azioni non previste.
- Spoofing della rappresentazione digitale: l’interfaccia mostra all’operatore uno stato apparentemente normale, mentre l’asset reale è alterato, fermo o in condizioni pericolose.
- Spoofing tra digital twin collegati: un’istanza compromessa può fornire dati falsi ad altri gemelli digitali o sistemi che si fidano della sua rappresentazione.
Dunque lo spoofing è uno dei rischi centrali perché colpisce il presupposto su cui si basa il digital twin, cioè la corrispondenza affidabile tra oggetto fisico e rappresentazione digitale.
Gli impatti dello spoofing al digital twin
Le conseguenze degli attacchi di spoofing, spiega Paganini “non sono solo teoriche: dati manipolati possono portare a decisioni operative errate, fermate improvvise degli impianti o, nei casi peggiori, danni fisici dovuti a condizioni non correttamente rilevate. Anche la manutenzione predittiva può essere compromessa, accumulando informazioni distorte che portano a sottovalutare lo stato reale dei componenti fino a guasti improvvisi”.
I rischi OT dello spoofing industriale
Gli impatti su IT e OT sono ovviamente differenti: “Le conseguenze dello spoofing variano tra IT e OT. In ambito IT impattano soprattutto confidenzialità e qualità delle analisi, con decisioni e modelli predittivi compromessi – racconta Paganini -. In ambito OT possono invece essere fisiche e irreversibili: usura accelerata, guasti, fermo impianto e rischi per la sicurezza. Un errore IT si corregge con un rollback; un errore OT indotto da spoofing può richiedere settimane di fermo e la sostituzione di componenti compromessi”.
Come prevenire lo spoofing al digital twin
La prevenzione efficace richiede controlli su tutti gli strati dell’architettura, non solo al perimetro. Come consiglia Paganini, “a livello di sensori e acquisizione dati, le misure chiave includono autenticazione hardware dei dispositivi IoT, firma crittografica dei dati alla fonte e ridondanza fisica dei sensori su canali indipendenti per il confronto incrociato dei valori. Il rapporto NIST 8356 sottolinea che l’integrità del dato deve essere un requisito di progettazione del digital twin, non un’aggiunta successiva: ogni informazione deve includere una prova verificabile di origine e integrità, non solo un timestamp”.
Invece, a livello di rete e protocolli, “la segmentazione OT-IT è necessaria ma non sufficiente. I protocolli industriali legacy come Modbus e PROFIBUS, privi di autenticazione nativa, devono essere protetti tramite tunneling autenticato o sistemi di monitoraggio passivo capaci di rilevare anomalie. L’AI può supportare la difesa individuando sequenze di dati coerenti ma fisicamente impossibili, come vibrazioni incompatibili con la velocità di rotazione”, sottolinea.
Spoofing al digital twin: perché c’è un tema di sovranità tecnologica
Anche in questo caso, disporre di infrastrutture e sistemi sovrani metterebbe al riparo da alcuni rischi. La sovranità relativamente al digital twin riguarda chi controlla il flusso di dati che alimenta l’infrastruttura: “La maggior parte delle piattaforme twin industriali oggi distribuite in Europa fa capo a fornitori extraeuropei, con architetture cloud che prevedono la trasmissione di dati operativi verso server al di fuori della giurisdizione nazionale – spiega Paganini -. Questo crea una dipendenza doppia: tecnologica, perché le capacità di rilevamento delle anomalie e di autenticazione dei dati sono embedded nella piattaforma del fornitore; e geopolitica, perché in caso di tensione internazionale o di cambio di condizioni contrattuali, l’operatore industriale può perdere accesso ai propri modelli o ai propri dati storici senza preavviso”.
Lo spoofing sfrutta direttamente questo contesto: “Se la validazione dell’autenticità dei dati avviene su infrastrutture non controllate dall’operatore, un attore malevolo che vi abbia accesso o riesca a comprometterle può manipolare i dati prima che vengano elaborati dal digital twin, senza che l’operatore abbia strumenti per accorgersene. La sovranità del dato implica anche la capacità tecnica di verificare in autonomia l’integrità delle informazioni che alimentano le decisioni operative. In assenza di questa capacità, la resilienza dell’impianto dipende dalla sicurezza di sistemi terzi su cui non si ha visibilità né controllo”, conclude l’esperto.
Intelligence industriale e spoofing al digital twin: i rischi di spionaggio
Esiste inoltre una dimensione di intelligence industriale particolarmente insidiosa. I digital twin di infrastrutture critiche, reti energetiche, sistemi di trasporto o impianti farmaceutici non sono semplici repliche tecniche, ma incorporano logiche operative, parametri di processo, dipendenze tra asset e scenari decisionali di alto valore strategico. In questo contesto, “uno spoofing non rilevato può degradare gradualmente la qualità delle decisioni, mentre i dati corretti vengono sottratti e analizzati dall’attaccante”, commenta Paganini.
Ne deriva una forma di spionaggio industriale silenziosa, diluita nel tempo e complessa da individuare, perché può presentarsi come normale degrado del modello, anomalia di processo o semplice imprecisione previsionale.
Bibliografia
Jeffrey Voas, Peter Mell, Phillip Laplante, Vartan Piroumian, Security and Trust Considerations for Digital Twin Technology (NIST Internal report, febbraio 2025) https://doi.org/10.6028/NIST.IR.8356
Partecipa alla community