Dagli attacchi ai sistemi di refrigerazione dei supermercati agli allarmi bomba sugli aerei, fino alle migliaia di scuole raggiunte da email minatorie. L'analisi del professor Mauro Conti, docente di Cybersecurity all'Università di Padova e presidente e co-fondatore di Spritz Matter, spin-off dell'Ateneo associata a Confapi Padova: «Anche una piccola azienda può essere un bersaglio. E un attacco può metterne a rischio l'esistenza stessa».
L'attacco informatico ai sistemi di refrigerazione dei supermercati francesi, tra l'11 e il 12 ottobre, con il deterioramento di ingenti quantità di prodotti alimentari. Le anomalie alle celle frigorifere registrate in diversi Paesi europei, Italia compresa, il 2 novembre. I falsi allarmi bomba sugli aerei, con voli dirottati e procedure di sicurezza attivate tra il 3 e il 5 novembre. Infine, l'11 novembre, migliaia di scuole italiane raggiunte da email che annunciavano la presenza di ordigni, provocando evacuazioni e disagi. Episodi diversi, alcuni dei quali ancora al centro di accertamenti, che hanno riportato in primo piano il tema della sicurezza informatica e della vulnerabilità delle nostre infrastrutture. Ma quali sono i collegamenti tra questi fenomeni? E, soprattutto, quanto devono sentirsi esposte le piccole e medie imprese, anche quelle che operano in settori tradizionali e non hanno alcun coinvolgimento diretto negli scenari geopolitici? Per fare chiarezza abbiamo intervistato Mauro Conti, professore di Cybersecurity all'Università di Padova e presidente e co-fondatore di Spritz Matter, spin-off dell'Università di Padova associata a Confapi Padova.
Professor Conti, possiamo ricondurre tutti questi episodi a un'unica escalation o è necessario distinguere tra fenomeni anche molto diversi?
«Le azioni sono stranamente concomitanti e questo fa nascere il sospetto che possa esserci qualche correlazione o un disegno unico dietro. Non abbiamo, almeno per quanto ne so, elementi per affermare che gli episodi siano collegati. Una distinzione importante da fare, anche per capire come difendersi, è quella tra un cyberattacco tradizionale e qualcosa che, come nel caso degli allarmi bomba, ha una componente informatica relativamente limitata.
Prendiamo proprio le email inviate alle scuole italiane: dalle prime ricostruzioni è emerso che una delle email utilizzate per le minacce sarebbe stata inviata attraverso un account di posta elettronica della Da-Yeh University di Taiwan. L'ateneo ha riconosciuto che il proprio account era stato utilizzato abusivamente. È possibile che gli autori abbiano sfruttato credenziali già compromesse, reperite anche attraverso canali illegali, per inviare i messaggi senza utilizzare una propria identità digitale. In altri casi possono essere impiegate tecniche di anonimizzazione, come quelle basate sul protocollo Tor. Ma il fatto che sia stata utilizzata un'email, per di più anonima o proveniente da un account compromesso, è relativamente marginale rispetto allo scopo dell'azione: creare scompiglio attraverso l'allarme. Se al posto di una mail fosse stata inviata una lettera tradizionale, l'effetto sarebbe stato sostanzialmente lo stesso. In questo scenario, almeno per quanto riguarda le scuole, non risulta che siano stati violati i sistemi informatici dei destinatari».
Mentre diverso è il caso degli attacchi ai sistemi di refrigerazione dei supermercati.
«Proprio così. Qui siamo pienamente nell'ambito della cybersecurity, anche se non parliamo di computer nel senso tradizionale del termine. Siamo circondati da tecnologie e infrastrutture che hanno una componente cibernetica e una fisica: possono essere sistemi di controllo dei frigoriferi, dei treni, degli aerei o delle reti di distribuzione. La parte digitale può essere violata e produrre conseguenze concrete nel mondo reale, anche molto gravi. Questi attacchi, peraltro, non sono una novità: a livello internazionale si verificano da tempo e spesso non arrivano all'attenzione della stampa nazionale. Quanto alla guerra ibrida, certamente il cyberspazio è uno degli strumenti attraverso i quali si possono colpire e destabilizzare un Paese, ma è importante non attribuire automaticamente una regia comune a episodi per i quali non esistono prove».
Una piccola e media impresa che opera in settori tradizionali, non ha rapporti diretti con aree di conflitto e non produce beni primari o strategici deve comunque considerarsi esposta?
«Sì, perché intanto è parte di un Paese. Se l'obiettivo è creare confusione e destabilizzazione, potenzialmente qualsiasi bersaglio può andare bene. Ma c'è anche un'altra ragione: gli attacchi non hanno necessariamente una matrice geopolitica. Possono avere come obiettivo quello di compromettere il business di un'azienda, rubare segreti industriali, bloccare l'attività o, ancora più semplicemente, chiedere un riscatto. Pensiamo ai ransomware: gli attaccanti compromettono l'infrastruttura informatica, la bloccano, sottraggono dati riservati e poi chiedono denaro, spesso in bitcoin, per ripristinare i sistemi e non rendere pubbliche le informazioni rubate. È successo anche a grandi aziende del Veneto, ma questo tipo di rischio riguarda anche le realtà più piccole.
Gli attacchi sono cresciuti in tutto il mondo perché utilizziamo sempre più tecnologie informatiche e questo aumenta la nostra esposizione. In Italia, inoltre, la crescita è stata particolarmente significativa, anche per la struttura del nostro sistema produttivo, caratterizzato da una forte presenza di piccole e medie imprese. Realtà che spesso hanno maggiori difficoltà a dotarsi di infrastrutture adeguate o che, semplicemente, si sono poste meno il problema di proteggersi».
Dal suo osservatorio privilegiato, ritiene che le imprese stanno maturando una maggiore consapevolezza? E quali sono le conseguenze di un attacco per una realtà di dimensioni ridotte?
«La consapevolezza sta crescendo, anche grazie a questi eventi negativi, che almeno ci aiutano a comprendere quanto siamo vulnerabili. Un'azienda piccola può essere colpita e subire conseguenze molto significative. Prepararsi a un possibile attacco significa soprattutto essere in grado di contenerlo e ridurne gli effetti. Per una grande organizzazione il danno può essere assorbito più facilmente, mentre per una piccola impresa può diventare enorme, fino a mettere a rischio l'esistenza stessa dell'azienda. Non bisogna quindi pensare che il problema riguardi soltanto i grandi gruppi o le organizzazioni che gestiscono servizi essenziali».
Da dove dovrebbe cominciare un imprenditore che voglia verificare il livello di sicurezza della propria azienda? Quali sono gli interventi prioritari?
«Il primo passo può essere una sorta di check-up, quello che in gergo viene chiamato vulnerability assessment. Rivolgendosi a esperti del settore, si analizzano i sistemi aziendali per individuare le principali vulnerabilità e capire dove si annidano i rischi. È un po' come sottoporsi a un controllo medico: prima si verifica lo stato di salute, poi, sulla base dei risultati, si decidono gli interventi necessari per correggere le criticità e mitigare le vulnerabilità.
Naturalmente c'è anche una componente fondamentale legata alla formazione del personale. La consapevolezza è il primo passaggio: se un'impresa non si rende conto del problema, difficilmente metterà in campo le azioni necessarie. Anche la divulgazione e l'informazione possono contribuire a far comprendere i rischi. Poi servono competenze specifiche e interventi concreti. In questo senso anche l'Università di Padova sta lavorando molto, così come le realtà che nascono dalla ricerca universitaria e si occupano di sicurezza informatica».
Quanto stanno incidendo le nuove normative, a partire dalla direttiva europea NIS2? E quali obblighi riguardano le imprese, anche quelle che fanno parte di filiere strategiche?
«Le normative stanno imponendo alle aziende una verifica molto più puntuale della propria sicurezza informatica, prevedendo anche responsabilità precise quando gli obblighi non vengono rispettati. Tra gli aspetti richiesti c'è proprio la formazione del personale. La NIS2, e il recepimento italiano, introducono un quadro di riferimento per le organizzazioni che svolgono attività importanti per il sistema Paese, comprese quelle inserite nelle filiere dei servizi essenziali. Pensiamo alla distribuzione alimentare o alla sanità: se queste attività venissero compromesse, le conseguenze riguarderebbero l'intera collettività. Anche le PMI che fanno parte di queste filiere devono quindi verificare se rientrano tra i soggetti tenuti ad adempiere agli obblighi previsti.
Ci sono poi altri provvedimenti che richiamano l'attenzione sulla cybersecurity. Penso, ad esempio, alla direttiva macchine, particolarmente rilevante per il manifatturiero e per un territorio come il Veneto, che introduce attenzioni specifiche anche alla sicurezza informatica dei macchinari e dei prodotti industriali. Ma vorrei sottolineare un aspetto: la normativa arriva necessariamente dopo che il problema è stato riconosciuto. Rispettare quanto previsto significa fare il minimo indispensabile, non aver risolto ogni rischio. Se un imprenditore ha a cuore il proprio principale asset, cioè la sua azienda, deve impegnarsi a fare anche qualcosa in più».
Con l'intelligenza artificiale, l'automazione industriale e l'Internet of Things, i sistemi produttivi saranno sempre più interconnessi. Dobbiamo aspettarci un ulteriore aumento dei rischi?
«Assolutamente sì. La crescente diffusione delle tecnologie informatiche e l'interconnessione dei sistemi aumentano inevitabilmente la nostra esposizione. La normativa cerca di inseguire questa evoluzione, ma non può essere considerata una protezione sufficiente. Gli obblighi rappresentano una base di partenza, mentre la sicurezza deve diventare un impegno costante. Non basta adeguarsi a quanto richiesto: bisogna conoscere le proprie vulnerabilità, investire nella protezione dei sistemi e formare le persone. Perché oggi la sicurezza informatica non è un tema che riguarda soltanto il reparto IT, ma una condizione essenziale per la continuità e la stessa sopravvivenza dell'impresa».
Diego Zilio
Ufficio Stampa Confapi Padova
