Da molti anni nei miei seminari cerco di fare capire che la cybersecurity non è un "problema da informatici". Messaggio difficile da trasmettere, ancora più difficile da mettere in pratica. Quasi 10 anni fa, nel 2017, ho tenuto un seminario dal titolo "Dovrò mettere l'antivirus in auto e nel lampadario?".
Gli eventi di questi giorni rendono il messaggio più comprensibile: ieri si è verificata un'altra ondata di attacchi ai frigoriferi industriali di mezza Europa, dopo quella di poche settimane fa.
Non ricordo più da quanti anni mostro nei miei corsi che il ragionamento "il mio dispositivo industriale/IoT è esposto su Internet ma l'accesso è controllato da una password, quindi posso stare tranquillo" è sbagliato. Ciò che è accaduto in questi giorni, purtroppo, lo dimostra per le millemillesima volta.
A parte questo, alcune considerazioni.
E' molto, molto probabile che la cosiddetta AI non c'entri nulla. Più precisamente, preparazione ed esecuzione di campagne di attacco come queste possono essere fatte più o meno da qualunque attaccante motivato, senza alcuna necessità di usare la cosiddetta AI.
Primo, erano state rese pubbliche gravi vulnerabilità di questi apparati già da alcuni mesi. Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers Our research uncovered a hidden "code-of-the-day" authentication mechanism that could be abused to bypass normal authentication, a command-injection vulnerability leading to remote code execution, and an issue allowing authenticated users to inject arbitrary Nginx configuration directives, which could be leveraged to manipulate web traffic and trigger a denial-of-service condition.
Secondo, i frigoriferi erano esposti su Internet. Si trovano abbastanza facilmente, ad esempio con delle query su Shodan (Are the fridges ok?).
Ciò che a me fa riflettere e preoccupa non è l'aspetto tecnico, bensì le motivazioni.
La gran parte degli attacchi informatici ha motivazioni economiche: critto tutto e chiedo un riscatto per decrittare; esfiltro dati e chiedo un riscatto per non renderli pubblici; prendo controllo di migliaia di sistemi e li uso per fare advertising fraud, o li affitto, o li uso per vendere servizi fraudolenti di denial of service mirato; faccio operazioni finanziarie fraudolente; rubo criptovalute, etc etc. Non tento nemmeno di mettere link, gli esempi sono millemila.
In questo caso, invece, le motivazioni non sono state economiche. I bersagli hanno subito danni economici ingenti, ma gli attaccanti non hanno ottenuto beneficio economico.
Se le motivazioni non sono economiche, allora i casi possibili sono questi:
- Vandalismo. Attacchi il cui unico scopo è quello di creare danni a chi capita, senza ottenere alcun vantaggio diretto o indiretto (a parte la soddisfazione personale).
- Vandalismo più o meno involontario: aziende di AI (per le quali preferisco non scrivere aggettivi) i cui modelli fanno attacchi. Non sembra questo il caso, perché ci sono state due ondate diverse in poche settimane. Direi che sarebbe troppo perfino per queste aziende.
- Sabotaggio con motivazioni strategiche. Attacchi il cui scopo ultimo è creare sconcerto ed insicurezza diffusi nella popolazione. Attacchi di questa natura possono essere riconducibili solo ad uno stato o ad una organizzazione strettamente legata ad uno stato.
Il mero vandalismo può essere una spiegazione. Se l'autore dell'attacco non viene scoperto, però, è difficile considerarla una spiegazione credibile. Effettuare un attacco di questa scala senza essere scoperti richiede capacità e risorse notevoli. Difficile pensare che qualcuno faccia investimenti di questa natura senza un tornaconto economico diretto.
Il sabotaggio con motivazioni strategiche, purtroppo, sembra molto più credibile. Chi, se non uno stato, può avere risorse e motivazioni sufficienti a provocare danni diffusi, in molte nazioni, alla popolazione civile, mantenendo nascosta la propria identità e senza guadagno economico diretto? Il fatto che attacchi di questa natura, su scala minore, sono stati effettuati anche prima delle ondate massive recenti sembra corroborare questa ipotesi (DoD confirms ‘refrigeration disruption’ at military commissaries, 28 agosto).
Spero davvero di sbagliarmi. Già il 12 ottobre un esperto più autorevole di me aveva fatto un'analisi più profonda che puntava nella stessa direzione, purtroppo. Oggi pare che se ne stiano rendendo conto in molti.
Come siamo messi noi come sistema paese?
Non posso fare a meno di riportare il dato di cui parlo ogni volta che ne ho occasione ma di cui non interessa nulla a nessuno, partiti politici, commentatori etc.
Commenti