Router industriali, telecamere IP, controllori e sistemi Scada: Csirt Italia, l’articolazione tecnica dell’Acn, registra un numero elevato di dispositivi e servizi eterogenei esposti su Internet senza protezione o con protezione inadeguata. È il punto di partenza del bollettino dedicato a dispositivi IoT e servizi di accesso remoto, che il 4 novembre 2026 l’Agenzia ha indicato come riferimento per proteggere i sistemi della catena del freddo, estendendo il richiamo a chiunque impieghi strumenti di telecontrollo industriale. Gli attacchi ai sistemi di refrigerazione che hanno colpito la distribuzione alimentare (e non, si pensi agli attacchi anche alle banche del sangue) in diversi Paesi europei, Italia compresa.
Protocolli nati senza sicurezza
L’Agenzia entra nel dettaglio dei servizi più spesso raggiungibili. Una prima famiglia è quella dei protocolli che trasmettono dati e credenziali in chiaro. Il protocollo Ftp, ancora diffuso in molti dispositivi embedded e IoT per aggiornamenti e backup, espone a intercettazioni e attacchi man-in-the-middle fino alla presa di controllo del dispositivo, e andrebbe sostituito con Sftp, Ftps o tunnel cifrati. Le versioni 1 e 2 di Snmp, usato per gestire router, switch, stampanti e oggetti IoT, affidano il controllo degli accessi a una community string che funge da password condivisa, senza cifratura: a seconda della configurazione, un attaccante può mappare la rete, intercettare informazioni, modificare il routing se dispone dell’accesso in scrittura, riavviare o spegnere l’apparato. La versione 3 (sempre di Snmp) introduce autenticazione e cifratura. Telnet, a sua volta, andrebbe disattivato a favore di Ssh (ma lo si ripete da anni).
Diverso il caso dei protocolli “leggeri” pensati per l’IoT, nei quali la protezione è prevista ma spesso non attivata. Per esempio Mqtt (Message Queuing Telemetry Transport), basato sul modello publish/subscribe, contempla Tls per riservatezza e integrità; CoAP, simile a Http ma ottimizzato per reti a bassa potenza, può proteggersi con Dtls. Quando queste funzioni restano spente, le comunicazioni sono esposte a intercettazioni e manomissioni. Le interfacce Web di configurazione, raggiungibili via Http non cifrato e con credenziali di default, sono un bersaglio semplice: i dispositivi compromessi finiscono in botnet usate per attacchi DDoS su larga scala o diventano punti d’ingresso verso infrastrutture critiche. Completano il quadro le telecamere che trasmettono flussi Rtsp senza autenticazione e UPnP, che per configurazioni troppo permissive può aprire porte non autorizzate e favorire movimenti laterali, tanto da suggerirne la disattivazione sui router.
Una configurazione corretta non basta
Neppure una configurazione corretta è sufficiente per considerarsi al riparo. Vulnerabilità note e zero day colpiscono con particolare efficacia dispositivi IoT, sistemi Scada e controller industriali, ambiti nei quali, osserva l’Agenzia, “la gestione di patch e aggiornamenti è frequentemente ostacolata da limitazioni tecniche o operative”. A questo si sommano firmware obsoleti, credenziali a codifica fissa, assenza di isolamento tra reti di controllo e reti IT e protocolli progettati senza considerazioni di sicurezza. Particolare attenzione va poi ai sistemi giunti a fine supporto, la cui compromissione può incidere sulla produzione, sull’erogazione dei servizi essenziali e, nei casi più gravi, sulla sicurezza fisica di persone e infrastrutture.
Per i contesti aziendali e industriali l’Acn indica venti contromisure, che richiedono collaborazione tra chi gestisce i sistemi IT e gli utenti, prima linea di difesa. Ridurre l’esposizione significa usare Vpn aziendali per ogni accesso remoto, vietando la pubblicazione diretta di servizi come Rdp, Ssh e Vnc, segmentare la rete e chiudere porte e servizi inutili. Governare le identità vuol dire applicare il privilegio minimo, controlli basati sui ruoli e autenticazione a più fattori obbligatoria. Vedere e reagire, infine, richiede monitoraggio centralizzato tramite Siem, Edr, test di vulnerabilità periodici, un piano di risposta agli incidenti testato, backup sicuri e soluzioni di Zero Trust Network Access. Per l’ambito domestico le buone pratiche sono dodici.
Catena del freddo, i richiami di Acn
A metà ottobre, dopo l’incidente che ha colpito numerose catene di supermercati francesi, l’Agenzia ha pubblicato un bollettino rivolto a grande distribuzione organizzata, logistica alimentare, refrigerazione industriale e servizi di manutenzione. Installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e autenticazione carente avevano consentito di attivare da remoto i cicli di sbrinamento e di modificare i parametri operativi, interrompendo la catena del freddo con danni economici ingenti.
All’inizio di novembre Acn chiede di applicare quelle raccomandazioni con urgenza e ne allarga il perimetro a tutti i soggetti che usano tecnologie per la catena del freddo, in qualunque settore, e alle interfacce di amministrazione di ogni dispositivo connesso, dai controller Scada agli impianti di condizionamento, idrici, energetici e di videosorveglianza. Un accesso non autorizzato può modificare non solo i parametri operativi, ma anche le soglie di allarme e le modalità di notifica, mentre l’alterazione dei dati visualizzati o la disattivazione degli allarmi ritarda la scoperta delle anomalie. Le conseguenze vanno dall’interruzione della refrigerazione al deterioramento di prodotti e materiali, fino a ripercussioni sulla continuità operativa e sulla salute delle persone; con piattaforme di gestione centralizzata, precisa l’Acn, gli effetti possono estendersi a più impianti o sedi.
Tre livelli, protezioni diverse
Capire cosa fare richiede di scomporre l’architettura, perché “la gestione della filiera del freddo dipende dall’interazione tra infrastrutture informatiche aziendali, apparati di regolazione e piattaforme di supervisione”. I sistemi IT, dalle postazioni ai server, dai servizi di identità agli applicativi gestionali e logistici, possono diventare il varco verso gli impianti se i collegamenti non sono segregati, e le loro funzioni amministrative vanno raggiunte da reti di gestione dedicate. I sistemi OT, cioè controllori della refrigerazione, sensori, attuatori e regolatori di temperature, compressori e sbrinamenti, incidono direttamente sulla conservazione delle merci pure richiedono segregazione, comunicazioni ridotte al necessario e controllo degli accessi di manutenzione. Gli Scada, che permettono di visualizzare temperature e allarmi, modificare parametri e inviare comandi anche su più siti, vanno collocati in segmenti protetti; ma non tutti gli impianti ne dispongono, e le verifiche devono includere controllori autonomi, Hmi e altre piattaforme di telecontrollo. L’Agenzia mette in guardia anche da una falsa sicurezza: “La sola presenza di una pagina di autenticazione o di un certificato Https non garantisce la sicurezza del sistema esposto”. Per lo stesso motivo, entrare in una Vpn o nella rete interna non deve consentire di raggiungere indiscriminatamente tutti i sistemi.
Visibilità ed integrità dei parametri
Le azioni immediate partono dal censimento di controllori, Scada, Hmi, gateway OT/IoT, piattaforme di monitoraggio e teleassistenza, con produttore, versione e stato di supporto, e dalla ricerca di console, Api amministrative e protocolli di controllo raggiungibili da Internet, compresi router cellulari e connessioni predisposte dai manutentori. Vanno ricostruiti i collegamenti tra reti IT, OT, Scada, sedi, punti vendita e fornitori, privilegiando l’analisi di inventari e traffico già disponibili: le scansioni attive sui dispositivi OT vanno concordate con i responsabili degli impianti. Rimossa l’esposizione senza fermare in modo indiscriminato la refrigerazione, gli ambienti OT vanno separati dalle reti aziendali, degli utenti e degli ospiti, con firewall che neghino quanto non autorizzato, anche in uscita, perché la sola suddivisione in Vlan non sostituisce il filtraggio.
L’amministrazione remota deve passare attraverso Vpn aggiornate con autenticazione a più fattori e, dove previsto, da jump host, mentre gli accessi dei fornitori vanno limitati nel tempo, registrati e revocati a fine intervento. L’amministrazione via Http va disattivata e i componenti legacy confinati in segmenti protetti. Sul fronte delle identità l’Acn chiede di rivedere gli account amministrativi e di manutenzione, sostituire le credenziali predefinite o riutilizzate, adottare utenze individuali con privilegi minimi e, in caso di furto sospetto, revocare sessioni e token. Le configurazioni correnti vanno confrontate con quelle autorizzate, dai setpoint ai cicli di sbrinamento alle soglie di allarme, verificando le temperature con strumenti indipendenti dalla supervisione e analizzando i log fino a novanta giorni indietro, dove conservati. Per i dispositivi a fine vita serve un piano di sostituzione con responsabili e scadenze, perché l’isolamento è una misura temporanea che non ne elimina le vulnerabilità.
Coinvolgere la catena di fornitori
Sul medio periodo l’Agenzia chiede di verificare che la compromissione di un singolo punto vendita o account non apra l’accesso agli altri impianti, di riesaminare tutti i collegamenti di teleassistenza, compresi gli agenti software che si connettono dall’interno verso servizi esterni, di monitorare la scadenza dei certificati e di predisporre un monitoraggio OT capace di rilevare connessioni inattese e modifiche ai parametri. Vanno testati i backup di configurazioni e programmi dei controllori, previste procedure manuali di emergenza e organizzata un’esercitazione che coinvolga anche logistica e sicurezza alimentare. Refrigerazione, climatizzazione e sistemi di gestione degli edifici devono entrare nei programmi aziendali di inventario e gestione delle vulnerabilità.
In caso di anomalie la segnalazione va al Csirt Italia, con un contenimento coordinato con i responsabili degli impianti e ripristini pianificati con produttori e manutentori. La valutazione delle merci spetta ai responsabili della sicurezza alimentare, perché “il ripristino della temperatura non dimostra, da solo, il mantenimento delle condizioni di conservazione”. Le finestre temporali indicate restano obiettivi operativi che non sostituiscono gli obblighi di notifica applicabili, come quelli previsti da Nis2.
Il caso della catena del freddo ha mostrato come un’esposizione segnalata da tempo per l’IoT possa tradursi in un danno fisico ed economico immediato. Le misure erano in larga parte note: la difficoltà sta nell’applicarle insieme, mettendo allo stesso tavolo sicurezza informatica, responsabili degli impianti e manutentori.
© RIPRODUZIONE RISERVATA
