Pubblicato il di Andrea Monti

L’attacco ai frigoriferi connessi non è colpa di chi lo ha sferrato

L’attacco ai sistemi di refrigerazione dei supermercati europei riporta in primo piano vulnerabilità note da decenni. Ma dietro il mito dell’hacker onnipotente si nascondono le responsabilità dell’industria del software, le promesse disattese della cybersecurity e un sistema di certificazioni e controlli che privilegia la conformità documentale rispetto alla sicurezza effettiva. Mentre chi cerca di individuare le vulnerabilità rischia ancora conseguenze penali di Andrea Monti – Inizialmente pubblicato su Italian Tech – La Repubblica

L’attacco ai frigoriferi dei supermercati di molti Paesi europei ha suscitato scalpore e reazioni preoccupate nei media generalisti ma in realtà non dovrebbe sorprendere più di tanto perché la vulnerabilità dei sistemi SCADA, PLC e, in generale, di quelli che rientrano nella categoria dell’Internet Of Thing è un fatto noto da decenni a chi lavora nel settore della sicurezza dei sistemi informativi. Tuttavia, a differenza di altri ambiti —banche, e-commerce, trasporti— difficilmente gli attacchi a questi sistemi raggiungono le prime pagine dei giornali e i tavoli dei decisori, salvo quando i bersagli sono sotto gli occhi di tutti, come nel caso dei frigoriferi dei supermercati.

L’alibi dell’hacker onnipotente

L’attenzione dei media si è concentrata sulla mitologica figura del “hacker” che, adeguatosi ai tempi, non veste più felpe con cappuccio per nascondere i brufoli da adolescente mentre sta “bucando la NASA”, ma sfoggia tatuaggi di vario tipo mentre, da un lato, scatena apocalissi tecnologiche e, dall’altro, controlla l’estratto conto in criptovalute per verificare se il cliente che ha commissionato l’attacco ha pagato il servizio. Ma hacker non è sinonimo di criminale perché quest’ultimo —come spiegava ventisei anni fa Richard Stallman, il padre del Free Software— si chiama cracker e, no, non ha nulla a che vedere con i salatini; partecipare a una conferenza sulla “cybersecurity” o ascoltare le presentazioni “a porte chiuse” che vengono organizzate nelle aziende è come trovarsi in una bolla dove il tempo non passa, mentre si ascoltano gli stessi discorsi, gli stessi argomenti, le stesse proposte con l’unica cosa che cambia è la qualità della presentazione, che da “lucidi” improvvisati ora assume la forma quasi di un cortometraggio cyberpunk; e per quanto riguarda i frigoriferi, basta andare su Shodan [motore di ricerca specializzato nell’indicizzazione di dispositivi, server e sistemi connessi a Internet. ndr] e cercare i pannelli di controllo raggiungibili direttamente dall’esterno, altro che “attacco sofisticatissimo”. Magari gli autori dell’attacco saranno anche State-sponsored, ma chiunque essi siano, di certo hanno avuto un grande aiuto da parte dei bersagli.

Questi sono solo alcuni dei luoghi comuni che riemergono puntualmente ogni volta che si deve commentare un “attacco” —se il fatto è commesso dai “cattivi”— o un “incidente” —se lo stesso fatto è causato da un software mal costruito, o da un’infrastruttura mal gestita— ed è francamente imbarazzante, a distanza di quasi quarant’anni, che circolino ancora narrative del genere che erano già vecchie, e comunque sbagliate, già prima dell’avvento dell’internet (parliamo della fine degli anni Ottanta, per capirci).

Certo, scaricare la colpa ad entità sovrumane dotate di superpoteri informatici di fronte alle quali nulla possono i “poveri mortali” è una comoda via d’uscita per nascondere le reali ragioni che hanno trasformato la nostra società in un colosso digitale dai piedi d’argilla, ma se togliamo il velo di ipocrisia che avvolge il settore la realtà colpisce con tutta la sua forza.

It’s a feature, not a bug!

Cominciamo dal software. L’industria di settore, presa nel suo complesso, è riuscita a convincere il mondo (politici e legislatori compresi) che se un programma per computer si bloccava o perdeva dati non era per colpa di un difetto ma per merito di una funzionalità. Come a dire: i freni dell’auto a volte non vanno, ma tutto sommato basta aspettare la prossima versione. Mantenendo il paragone con la sicurezza delle automobili, se avessimo adottato gli stessi livelli di sicurezza che accettiamo nei computer avremmo causato una strage. Nonostante il tema fosse arcinoto ci sono voluti decenni perché qualcuno finalmente se ne accorgesse: nel 2024 l’Unione Europea ha incluso il software nella direttiva sulla responsabilità da prodotto, ma lo ha fatto in modo sbagliato e dunque creando più problemi di quanti ne intendesse risolvere.

L’attacco ai frigoriferi dei supermercati di molti Paesi europei ha suscitato scalpore e reazioni preoccupate nei media generalisti ma in realtà non dovrebbe sorprendere più di tanto perché la vulnerabilità dei sistemi SCADA, PLC e, in generale, di quelli che rientrano nella categoria dell’Internet Of Thing è un fatto noto da decenni a chi lavora nel settore della sicurezza dei sistemi informativi. Tuttavia, a differenza di altri ambiti —banche, e-commerce, trasporti— difficilmente gli attacchi a questi sistemi raggiungono le prime pagine dei giornali e i tavoli dei decisori, salvo quando i bersagli sono sotto gli occhi di tutti, come nel caso dei frigoriferi dei supermercati.

L’alibi dell’hacker onnipotente

L’attenzione dei media si è concentrata sulla mitologica figura del “hacker” che, adeguatosi ai tempi, non veste più felpe con cappuccio per nascondere i brufoli da adolescente mentre sta “bucando la NASA”, ma sfoggia tatuaggi di vario tipo mentre, da un lato, scatena apocalissi tecnologiche e, dall’altro, controlla l’estratto conto in criptovalute per verificare se il cliente che ha commissionato l’attacco ha pagato il servizio. Ma hacker non è sinonimo di criminale perché quest’ultimo —come spiegava ventisei anni fa Richard Stallman, il padre del Free Software— si chiama cracker e, no, non ha nulla a che vedere con i salatini; partecipare a una conferenza sulla “cybersecurity” o ascoltare le presentazioni “a porte chiuse” che vengono organizzate nelle aziende è come trovarsi in una bolla dove il tempo non passa, mentre si ascoltano gli stessi discorsi, gli stessi argomenti, le stesse proposte con l’unica cosa che cambia è la qualità della presentazione, che da “lucidi” improvvisati ora assume la forma quasi di un cortometraggio cyberpunk; e per quanto riguarda i frigoriferi, basta andare su Shodan [motore di ricerca specializzato nell’indicizzazione di dispositivi, server e sistemi connessi a Internet. ndr] e cercare i pannelli di controllo raggiungibili direttamente dall’esterno, altro che “attacco sofisticatissimo”. Magari gli autori dell’attacco saranno anche State-sponsored, ma chiunque essi siano, di certo hanno avuto un grande aiuto da parte dei bersagli.

Questi sono solo alcuni dei luoghi comuni che riemergono puntualmente ogni volta che si deve commentare un “attacco” —se il fatto è commesso dai “cattivi”— o un “incidente” —se lo stesso fatto è causato da un software mal costruito, o da un’infrastruttura mal gestita— ed è francamente imbarazzante, a distanza di quasi quarant’anni, che circolino ancora narrative del genere che erano già vecchie, e comunque sbagliate, già prima dell’avvento dell’internet (parliamo della fine degli anni Ottanta, per capirci).

Certo, scaricare la colpa ad entità sovrumane dotate di superpoteri informatici di fronte alle quali nulla possono i “poveri mortali” è una comoda via d’uscita per nascondere le reali ragioni che hanno trasformato la nostra società in un colosso digitale dai piedi d’argilla, ma se togliamo il velo di ipocrisia che avvolge il settore la realtà colpisce con tutta la sua forza.

It’s a feature, not a bug!

Cominciamo dal software. L’industria di settore, presa nel suo complesso, è riuscita a convincere il mondo (politici e legislatori compresi) che se un programma per computer si bloccava o perdeva dati non era per colpa di un difetto ma per merito di una funzionalità. Come a dire: i freni dell’auto a volte non vanno, ma tutto sommato basta aspettare la prossima versione. Mantenendo il paragone con la sicurezza delle automobili, se avessimo adottato gli stessi livelli di sicurezza che accettiamo nei computer avremmo causato una strage. Nonostante il tema fosse arcinoto ci sono voluti decenni perché qualcuno finalmente se ne accorgesse: nel 2024 l’Unione Europea ha incluso il software nella direttiva sulla responsabilità da prodotto, ma lo ha fatto in modo sbagliato e dunque creando più problemi di quanti ne intendesse risolvere.

La promessa mancata della “sicurezza totale”

Passiamo all’industria della “cybersecurity”. Con buona pace di slogan come “la sicurezza è un processo, non un prodotto”, “la formazione delle risorse umane è la chiave” e varie altre amenità, la realtà è basata esattamente sul contrario perché il marketing di settore promuove una unique selling proposition basata sulla gestione globale della sicurezza, e poi succedono incidenti come quello causato nel 2024 da un aggiornamento software difettoso della cybersecurity company Crowdstrike che ebbe effetti ben più gravi di quelli dell’attacco ai frigoriferi di cui si parla in questi giorni.

La cybersecurity di carta

Concludiamo, in cauda venenum, con il livello politico/giuridico: eventi come quelli che hanno colpito i frigoriferi dei supermercati —ma in realtà la spropositata mole di attacchi quotidiani verso qualsiasi oggetto raggiungibile via internet— sono la palese confessione di fallimento di una visione burocratica della sicurezza dei sistemi informativi basata su “analisi del rischio”, “centri di competenza”, “cybersecurity framework”, “checklist” che si fermano alla sola fase documentale. Nonostante i fatti dimostrino che questo modo di scrivere le norme sulla sicurezza dei sistemi informativi e di verificare il loro rispetto non funziona, con una coerenza da incubo la UE continua a legiferare in questo modo, e chi deve rispettare le norme si adegua, “tanto cosa vuoi che capiti”… appunto.

Ricerca delle vulnerabilità: il paradosso della sicurezza che diventa reato

Un esempio paradigmatico è la “coordinated disclosure” prevista dalla direttiva NIS2 sulle infrastrutture critiche che prevede la possibilità di ricevere anche da “ricercatori” indipendenti la notifica sull’esistenza di vulnerabilità, garantendo loro l’anonimato. Tuttavia, anche se gli hacker, quelli veri, volessero aiutare (gratuitamente) a migliorare la sicurezza del Paese, non potrebbero farlo perché rischiano di essere denunciati penalmente se comunicano alle istituzioni pubbliche di avere trovato delle vulnerabilità in software, piattaforme e sistemi informativi applicando le stesse tecniche dei delinquenti. Questa è, forse, l’ipocrisia più grande della direttiva “NIS2”, che nel “considerando 60” [i “cosiderando” non contengono regole vincolanti, ma spiegano la ratio dietro agli articoli della direttiva. ndr] dimostra di essere consapevole del problema, ma anche dei progetti di bug bounty finanziati dalle aziende che ricompensano chi trova delle vulnerabilità ma a condizione di non violare la legge.

Quando, nel 1993, vennero inseriti i computer crime nel Codice penale ci fu chi si chiese come fare a sviluppare gli antivirus senza violare l’articolo 615-quinquies che vietava di detenerli, si dovette ricorrere a un vero salto mortale interpretativo (risparmiamo la tecnicalità giuridica) per sostenere che l’attività era “a fin di bene” e dunque non illecita, ma questa soluzione non escludeva la necessità di passare attraverso un processo penale per validarla.

Sono trascorsi tre decenni, non parliamo più di virus ma di vulnerabilità in generale, ma il tema è lo stesso e siamo ancora nella condizione di doverci arrampicare sugli specchi per provare a giustificare l’unico modo per poter limitare danni oramai inevitabili: violare la legge “a fin di bene” si fa, ma non si può dire.

Possibly Related Posts: