L’allarme è urgente. E riguarda un sistema invisibile da cui dipendono ogni giorno la sicurezza alimentare, la conservazione dei farmaci, le attività sanitarie e interi settori industriali. La catena del freddo è diventata un bersaglio degli attacchi informatici. Basta violare un sistema di controllo, alterare una temperatura, disattivare un allarme. E ciò che dovrebbe essere conservato in sicurezza può deteriorarsi senza che nessuno se ne accorga in tempo. Il sabotaggio non ha bisogno di uomini sul posto. Può arrivare da migliaia di chilometri di distanza, attraverso una connessione Internet.
Hacker contro i frigoriferi del sangue, l’Italia alza la guardia: “Massima attenzione dopo la Francia”È questa la minaccia che ha spinto l’Agenzia per la cybersicurezza nazionale a lanciare un richiamo alla massima urgenza rivolto a tutti gli operatori pubblici e privati. Un avvertimento motivato da nuove evidenze internazionali e che va ben oltre i frigoriferi industriali: nel perimetro del rischio ci sono anche acquedotti, impianti energetici e infrastrutture essenziali. Il pericolo non è più soltanto che gli hacker rubino informazioni. È che riescano a prendere il controllo delle macchine da cui dipende la nostra sicurezza.
Il documento dell’Agenzia arriva dopo un’offensiva che, nel giro di poche settimane, ha attraversato l’Europa. Centinaia di supermercati francesi colpiti in ottobre. Una seconda ondata il 2 novembre, con incursioni in diversi Paesi. Frigoriferi e congelatori portati a temperature incompatibili con la conservazione degli alimenti. Prodotti distrutti. E infine un bersaglio che sposta il confine della minaccia dal danno economico alla sicurezza sanitaria: tre strutture francesi nelle quali viene conservato il plasma destinato alle trasfusioni e alla produzione di medicinali.
È qui che l’attacco informatico mostra il suo volto più inquietante. Non vengono sottratti dati sanitari. Gli aggressori tentano di modificare le temperature e i cicli di sbrinamento delle celle frigorifere. L’Établissement français du sang, il servizio nazionale francese del sangue, conferma che i sistemi di monitoraggio hanno individuato le anomalie. Il personale interviene, mettendo in sicurezza il plasma. Nessun prodotto viene perduto, nessun paziente subisce conseguenze. Eppure il tentativo dimostra quanto possa essere sottile la distanza tra un’intrusione digitale e un’emergenza sanitaria.
Per comprendere la dimensione dell’offensiva bisogna tornare alla notte tra il primo e il 2 novembre. A Stoccolma, in un supermercato della catena Ica, i sistemi di refrigerazione vengono manipolati intorno alle due del mattino. Quando il personale scopre l’accaduto, i congelatori hanno raggiunto i cinquanta gradi. Il cibo conservato è da buttare. La responsabile delle vendite, Engla Ingwall, racconta di aver trovato la merce distrutta.La stessa scena si ripete in Belgio. Luc De Laet, proprietario di una catena di macellerie, viene svegliato alle tre e mezza da un dipendente. Corre nel negozio a sud di Anversa. I frigoriferi sono stati portati fino a diciotto gradi. La carne non è più utilizzabile. Il danno stimato è di quindicimila euro. A spaventarlo non è soltanto la perdita economica. È scoprire che qualcuno può entrare nel sistema che registra le temperature e riprogrammarlo a distanza.
Non sono episodi isolati. Vengono coinvolte catene come Carrefour, Delhaize, Coop e Ica. Secondo il Financial Times, la seconda ondata investe quasi cento supermercati europei. In Francia, tre settimane prima, l’offensiva aveva interessato circa settecento esercizi commerciali. Il conto dei danni raggiunge milioni di euro. E l’Italia non è rimasta fuori.
L’Agenzia per la cybersicurezza aveva ricevuto il 2 novembre una segnalazione da un’azienda toscana della ristorazione collettiva e individuato un attacco contro un’impresa emiliana produttrice di surgelati. Successivamente emergono altri episodi. Cinque supermercati Conad tra Veneto e Sicilia vengono colpiti nei sistemi di refrigerazione. A Palermo, Catania e Messina gli addetti devono intervenire sui banchi dei surgelati. In un punto vendita siciliano gli aggressori modificano da remoto i parametri degli impianti, impostando a cinquanta gradi dispositivi destinati a mantenere temperature comprese tra meno diciotto e meno venticinque.
A Sassari viene segnalato un attacco a un supermercato Viro. In Abruzzo, a Silvi Marina, un altro impianto viene programmato per raggiungere centocinquanta gradi, una temperatura impossibile per quei macchinari. I frigoriferi arrivano comunque a quaranta gradi effettivi. Gli allarmi consentono l’intervento dei tecnici.Il governo convoca una riunione a Palazzo Chigi con il sottosegretario Alfredo Mantovano, il ministro Francesco Lollobrigida, i vertici dell’intelligence e dell’Agenzia per la cybersicurezza. Il ministro dell’Interno Matteo Piantedosi parla di un’iniziativa presumibilmente coordinata a livello europeo. La polizia postale avvia le indagini.
L’impatto italiano resta per il momento limitato. Gli attacchi segnalati in Italia hanno interessato un numero circoscritto di strutture. L’allarme di adesso, invece, riguarda una vulnerabilità potenzialmente molto più estesa. Il documento indica il rischio di accessi non autorizzati, modifiche dei parametri operativi, alterazioni delle soglie di allarme e compromissione delle notifiche. Un aggressore potrebbe intervenire non soltanto sulla temperatura di un impianto, ma anche sui meccanismi destinati a segnalare il pericolo. Se il controllo è centralizzato, avverte l’Acn, le conseguenze di un singolo incidente possono estendersi contemporaneamente a più strutture. Gli esperti di sicurezza industriale hanno individuato una delle principali debolezze nei dispositivi utilizzati per amministrare da remoto gli impianti frigoriferi. Software non aggiornati, credenziali deboli e interfacce esposte direttamente su Internet possono consentire intrusioni senza che sia necessario violare l’intera rete informatica di un’azienda. È il punto che rende questi attacchi diversi dai ransomware ai quali imprese e amministrazioni si sono abituate. Gli hacker non devono necessariamente sequestrare archivi o chiedere un riscatto. Possono intervenire direttamente sul funzionamento delle macchine. Un conto è rendere indisponibile un sistema informatico. Un altro è modificarne i comandi affinché produca un effetto fisico: innalzare la temperatura, interrompere un processo, impedire a un apparato di funzionare correttamente. La stessa tecnologia che consente a un tecnico di sorvegliare a distanza centinaia di impianti può diventare il punto d’ingresso di un aggressore.
L’Agenzia italiana allarga per questo il richiamo ai sistemi Scada, le piattaforme utilizzate per supervisionare e controllare processi industriali. Indica esplicitamente impianti di climatizzazione, reti idriche, sistemi di produzione energetica, videosorveglianza e altre infrastrutture connesse. Non significa che questi settori siano già stati colpiti dall’offensiva europea. Significa che possono condividere vulnerabilità analoghe. La raccomandazione è perentoria: verificare immediatamente i sistemi, eliminare l’esposizione diretta su internet delle interfacce amministrative, controllare i parametri e il funzionamento degli allarmi. Proteggere gli accessi remoti, separare le reti industriali da quelle informatiche aziendali, aggiornare gli apparati e individuare eventuali segnali di compromissione. Resta la domanda alla quale gli investigatori non hanno ancora dato risposta. Chi sta attaccando l’Europa? Nessuna organizzazione ha rivendicato in modo attendibile l’intera offensiva. La simultaneità degli episodi e la somiglianza delle tecniche alimentano il sospetto di un’azione coordinata.
Alcuni ricercatori hanno ipotizzato collegamenti con gruppi filorussi e con precedenti attacchi ai sistemi di refrigerazione negli Stati Uniti. Sono piste tecniche, non attribuzioni accertate. Le informazioni pubbliche disponibili non consentono di identificare una regia statale. Il problema è che il bersaglio non coincide più con il singolo supermercato. È l’intera rete di dispositivi industriali che permette a una società moderna di conservare alimenti, distribuire medicinali, controllare l’acqua e produrre energia. Il documento dell’agenzia contiene un avvertimento che va letto oltre l’emergenza di questi giorni. La vulnerabilità non riguarda soltanto ciò che gli hacker sono riusciti a fare. Gli investigatori cercano gli autori. I tecnici cercano le vulnerabilità. Nel frattempo, resta un fatto: qualcuno è riuscito a trasformare il comando di un frigorifero in uno strumento di sabotaggio. E ha mostrato quanto possa essere fragile il confine tra il mondo digitale e quello reale.