Hacker scongelano i freezer: oggi i frighi, domani cosa?

Oggi parlo di sicurezza informatica e domotica, due cose che si incrociano e che vanno gestite bene entrambe.

Freezer da -18 a +50 gradi

Lo avrete sentito al telegiornale: degli hacker sono entrati nelle reti private di supermercati in Italia e in mezza Europa, sono arrivati al sistema che gestisce la temperatura di freezer e frigoriferi e l’hanno portata da -18 a +50 gradi. Tutto sciolto, tutto il congelato da buttare.

L’avevo detto

Ne avevo parlato pochi giorni fa, quando era successo in Francia. Chiudete la rete, aggiornate i firmware, e se un oggetto non si può aggiornare o rendere sicuro, spegnete le funzioni remote o cambiatelo.

Non è servito. Secondo me l’uomo impara così: finché non batte una bella capocciata, una “chiorbata” come si dice a Firenze, contro un muro duro.

La noncuranza nelle aziende

I consulenti di sicurezza di queste aziende avranno sicuramente detto qualcosa ai loro manager, e qualcuno avrà fatto salire l’informazione. E conosco già le risposte tipiche: “a noi non è successo, aspettiamo”. Oppure, peggio, l’informazione non è mai arrivata. O, peggio ancora, chi si occupava della sicurezza non si era reso conto di cosa stava succedendo.

Ho vissuto storie simili su varie piattaforme e in varie aziende: una grande, grande noncuranza.

Budget: dove fermarsi

Attenzione, non dico che bisogna spendere all’infinito. Un conto è dire “conosco il problema, mi preparo e arrivo fin qui, perché più di così non posso”. Già nell’Arte della guerra di Sun Tzu è chiaro che devi arrivare a un livello di difesa che ti puoi permettere.

Un esempio pratico: se proteggere i frighi ti costa quanto perdere tutto il congelato, tanto vale non farlo. È un modo sensato di ragionare sul budget per la sicurezza.

In Italia ci va di fortuna

Il problema è che, parlando con colleghi ed ex colleghi, in tanti ambienti italiani, anche molto critici, la cultura della sicurezza informatica legata a quella fisica è quasi assente o del tutto insufficiente. Come scrivevo su LinkedIn citando un collega: finora ci è andata di fortuna. Ma non ci si può basare su quello.

L’AI in mano a chi attacca

Oggi ci sono strumenti automatici che, nelle mani sbagliate, sono molto potenti. Un hacker anche con poche risorse se la può giocare bene con i modelli AI. Non tanto quelli in cloud come Claude o ChatGPT, che hanno i guardrail e si rifiutano, ma modelli “sbloccati” che girano in locale e non si fanno problemi.

Anche se, parentesi, circa un anno fa è stato documentato un attacco condotto proprio con Claude, spezzettato in tanti piccoli sottotask perché non sembrasse un attacco. Mi ricorda il film Cube: tante persone fanno ciascuna un pezzetto innocuo, ma messi insieme diventano un’arma.

Benzina, treni, reti elettriche

I frighi sono un esempio piccolo. Piccolo per modo di dire, perché il cibo buttato è comunque un danno serio. Ma immaginate se succedesse alle pompe di benzina, e non che smettono di funzionare, ma che la benzina inizia a uscire. Spero ci siano tante protezioni meccaniche che lo impediscono, ma so di cose che non mi fanno stare tranquillo. E poi aeroporti, treni, reti elettriche.

Dipendiamo tantissimo dai sistemi informatici. La loro sicurezza reggerebbe davanti a questi nuovi strumenti? Io non lo so. Pensiamoci, lavoriamoci e prepariamoci.

Io provo un po’ di paura, un po’ di malcontento, un po’ di stupore. Se lavorate in questi ambiti e vi va di raccontarmi la vostra esperienza, anche in forma anonima, scrivetemi in privato o nei commenti del video.