Allerta rossa: hacker sponsorizzati da Stati prendono di mira dispositivi industriali esposti, minacciando energia e sicurezza in tutto il mondo

È uno scenario da incubo per qualsiasi operatore industriale: un avversario silenzioso, a migliaia di chilometri di distanza, prende il controllo di un componente della rete elettrica o di un sistema di trattamento dell’acqua con pochi tasti. Secondo una nuova ricerca di Team Cymru, non si tratta di un rischio ipotetico, ma di una minaccia attiva e in crescita. La loro ultima indagine mostra come attori statali stiano sondando in modo sistematico, prendendo di mira e talvolta sabotando dispositivi industriali esposti su internet-alimentando lo spettro di blackout catastrofici, caos nella supply chain e persino minacce alla sicurezza pubblica.

I risultati di Team Cymru dipingono un quadro netto: nonostante anni di avvertimenti, migliaia di sistemi di controllo industriale (ICS) e dispositivi di tecnologia operativa (OT) sono ancora direttamente accessibili da internet. Questi dispositivi-responsabili di tutto, dal tenere accese le luci al far funzionare le fabbriche-sono bersagli privilegiati per avversari informatici sostenuti dagli Stati.

Tre casi di studio reali illustrano cosa c’è in gioco. In uno, hacker legati alla Russia noti come “Dragonfly” si sono infiltrati nella rete elettrica polacca sfruttando password predefinite su un dispositivo Hitachi RTU560. Il loro metodo è stato agghiacciantemente efficace: caricare un firmware corrotto che ha reso inutilizzabile il dispositivo, imponendone la sostituzione fisica. Sebbene questo attacco specifico abbia solo interrotto le comunicazioni, l’intento era chiaramente distruttivo-e il metodo allarmantemente semplice.

Un altro caso ha riguardato la compromissione di dispositivi Moxa NPort, che collegano apparecchiature industriali legacy alle reti moderne. Ancora una volta, gli attaccanti hanno sfruttato credenziali di fabbrica non modificate, questa volta bloccando fuori gli operatori e rendendo i dispositivi irraggiungibili. Il risultato: una perdita improvvisa e diffusa di visibilità e controllo, con ripristino manuale necessario-un contraccolpo costoso e dirompente.

Il terzo caso non ha richiesto una violazione effettiva per far scattare l’allarme. I ricercatori hanno individuato un nuovo exploit nei moduli ControlLogix di Rockwell Automation che potrebbe consentire agli attaccanti di riscrivere da remoto il firmware e falsificare dati critici-potenzialmente innescando guasti catastrofici senza che gli operatori se ne accorgano.

I numeri sono impressionanti: i dispositivi Rockwell rappresentavano il 68,1% dei bersagli esposti, Moxa il 15,7%, con Siemens, Schneider Electric e Hitachi anch’essi nel mirino. I soli Stati Uniti ospitano quasi la metà di tutti i dispositivi esposti identificati, una superficie d’attacco enorme per avversari come Dragonfly o Volt Typhoon, già sorpresi a fare ricognizione sulle utility americane.

Ciò che lega questi incidenti è uno schema di errori di base-dispositivi lasciati online, password predefinite non cambiate e segmentazione insufficiente tra reti IT e OT. Il risultato: una linea del fronte digitale in cui attori statali possono preparare in silenzio sabotaggi, spionaggio o persino le mosse iniziali di un futuro conflitto.

Man mano che le organizzazioni industriali continuano a digitalizzarsi e a interconnettersi, le conseguenze dell’ignorare questi avvertimenti potrebbero essere catastrofiche. Il messaggio di Team Cymru è chiaro: mettere in sicurezza i sistemi industriali non è più facoltativo, e la finestra per agire si sta chiudendo rapidamente.

WIKICROOK

• ICS (Industrial Control Systems): i sistemi di controllo industriale (ICS) sono sistemi informatici che automatizzano e gestiscono infrastrutture critiche come centrali elettriche, fabbriche e servizi pubblici.
• OT (Operational Technology): l’OT è l’insieme di hardware e software usati per monitorare e controllare apparecchiature, impianti e processi industriali, distinto dai sistemi IT che gestiscono i dati.
• Credenziali predefinite: le credenziali predefinite sono nomi utente e password impostati di default su dispositivi o software, spesso lasciati invariati e facilmente indovinabili dagli attaccanti, con conseguenti rischi per la sicurezza.
• Firmware: il firmware è un software specializzato memorizzato nei dispositivi hardware, che ne gestisce le operazioni fondamentali e la sicurezza, consentendo loro di funzionare correttamente.
• Negazione: in cybersecurity, la negazione indica rendere sistemi o servizi non disponibili agli utenti, spesso tramite attacchi come il Denial-of-Service (DoS) che li inondano di traffico.