L’Internet of Things è una realtà che si sta consolidando e insediando sempre di più nella nostra società. Un’arma a doppio taglio che, se da un lato viene in nostro aiuto rendendoci la vita più facile, dall’altro implica tutte le vulnerabilità che presenta l’avere i più disparati dispositivi connessi alla rete. IMQ, principale organismo italiano nel settore della valutazione di conformità ed esperto di sicurezza, sottolinea i potenziali rischi collegati all’Internet delle Cose, se non gestito in maniera corretta, in termini sia di cybersecurity ma anche di gestione dei dati.
Internet of Things è un neologismo che ha fatto capolino nel nostro vocabolario nel 1999, ma solo recentemente è entrato a far parte in maniera veramente attiva delle nostre vite. Tra smartphone, smart car, ma soprattutto smart home, attualmente un individuo è connesso alla rete tramite device di ogni sorta praticamente in ogni momento della sua vita. Guardando la crescita dell’IoT, sembra proprio che reale e virtuale siano destinati sempre di più a contaminarsi a vicenda: secondo i dati dell’ultimo Osservatorio IoT della School of Management del Politecnico di Milano, si tratta di una delle maggiori spinte per lo sviluppo digitale dell’Italia. Il mercato era infatti a quota 2,8 miliardi di euro nel 2016, con un aumento del 40% rispetto all’anno precedente. Insomma, una crescita esplosiva effettuata in un solo anno, che è stata favorita in particolare dall’aumento del numero di oggetti collegati a Internet. Nel nostro Paese i device connessi tramite rete cellulare sono attualmente 14,1 milioni (+37% rispetto al 2016), ma in questo dato non sono compresi quelli che utilizzano altre tecnologie come la Power Line Communication o la radiofrequenza, altrettanto ‘smart’.
Elettrodomestici spia
Uno dei punti chiave per lo sviluppo dell’IoT è costituito dall’impiego valorizzante dell’enorme quantità di dati raccolti grazie ai device connessi. Si tratta di dati sulle nostre abitudini di vita, che, sempre secondo l’Osservatorio del Polimi, non vengono ancora sfruttati, ma presto potrebbero dare alle aziende un profilo completo da archiviare o rivendere a terze parti che forniamo, inconsapevolmente, ogni giorno. Ma non solo, infatti gli oggetti IoT, in quanto connessi e comunicanti, possono entrare a far parte di una botnet, una rete composta di dispositivi infettati da malware controllati dai botmaster. I rischi sono quelli di un qualsiasi altro attacco DDoS (Distributed Denial of Service), in grado di mettere a repentaglio la sicurezza delle nostre informazioni. I cosiddetti botmaster possono però costituire una minaccia ben peggiore, sotto alcuni punti di vista, arrivando a infiltrarsi letteralmente nei nostri dispositivi, mettendo a rischio addirittura la nostra privacy.
È emblematico il caso del 2013 di una famiglia in Texas, che si è trovata a dover fronteggiare un hacker infiltratosi nel baby monitor all’interno del lettino della loro bambina di due anni. Marc Gilbert, il padre, in seguito all’episodio ha affermato di aver impostato delle password sia per il router, sia per il baby monitor, e persino di avere un firewall attivo. Insomma, le misure di sicurezza più basilari non sono riuscite a bloccare l’attacco, dovuto a una vulnerabilità nel firmware della telecamera wireless scoperta in seguito dall’azienda. Questa falla permetteva a chiunque di controllare da remoto il dispositivo: in tutto il mondo, ai tempi, c’erano più di 48.000 telecamere come quella connesse a Internet.
Dunque i rischi ci sono e chiunque può essere colpito, soprattutto se si considera che viviamo in un’epoca in cui l’Internet of Things sta letteralmente entrando nelle nostre case: il fenomeno smart home ha infatti subito un’impennata del 23% lo scorso anno. La ricerca del Polimi sottolinea come la maggioranza delle soluzioni comprenda videocamere di sorveglianza, videocitofoni intelligenti e sensori di movimento, ma non mancano all’appello le soluzioni per la gestione dei sistemi di riscaldamento e raffreddamento e di elettrodomestici. Forni, lavatrici, frigoriferi, lavastoviglie: anche questi sono fonte di informazioni e possibili obiettivi di controlli indesiderati da remoto, non solo le più “convenzionali” webcam che spesso ci premuriamo di coprire sui nostri PC.
Shodan: una minaccia alla portata di tutti
A spaventare è la diffusione di tool sempre più accessibili che permettono, con delle conoscenze di informatica basilari, di fare operazioni di hacking. Un esempio è Shodan, una sorta di motore di ricerca per hacker che scandaglia la rete alla ricerca dei dispositivi che, grazie a essa, sono connessi tra loro, un po’ come fa Google con i siti web. Tra i suoi risultati compaiono webcam, stampanti di rete, computer, ma anche semafori e impianti di condizionamento. I suoi creatori (che lo hanno definito “il motore di ricerca più spaventoso al mondo”) sono riusciti a trovare le chiavi di accesso per prendere il controllo del frigobar di un hotel, di una stazione di benzina, addirittura di una diga in Francia. Il software è riuscito a individuare anche i pannelli di controllo dei sistemi elettrici più complessi, e di equipaggiamenti scientifici. Shodan dimostra che, con il giusto mix di competenze tecniche e sadismo, chiunque potrebbe rintracciare uno di questi congegni, accedervi e tagliare l’elettricità a un’intera città, inondare una valle o mandare in fusione una centrale elettrica con un solo click. Dai suoi inventori è sempre stato utilizzato per il cosiddetto white hat hacking, ovvero hacking a fin di bene, che serve a evidenziare le potenziali falle nei sistemi di sicurezza in modo da migliorarle. Ma sfortunatamente, gli usi che possono fare gli utenti di Shodan possono non sempre essere positivi.
Entro il 2019 è stato calcolato (fonte Juniper Research) che la cybersecurity diventerà un problema di 2,1 trilioni di dollari. Un problema che avrà cause esterne, ma anche interne (nel 2016 le falle nei sistemi di sicurezza sono derivate per il 58% dall’interno delle organizzazioni).
Entro il 2020 ci saranno 20,8 miliardi di ‘cose connesse’ con un quantitativo di dati in impressionante. Dati che andranno gestiti secondo i requisiti del nuovo regolamento sulla Privacy che diventerà operativo il prossimo maggio e la cui applicazione potrebbe comportare notevoli investimenti economici da parte delle aziende (si parla addirittura di miliardi).
“IoT, cybersecurity e sicurezza dei dati sono tre tra le parole chiave della quarta rivoluzione industriale” affermano da IMQ. “La condizione del loro affermarsi è la certezza della sicurezza” commenta Fulvio Giorgi Direttore della Business Unit Product Conformity Assessment di IMQ. “A tal fine, numerosi sono gli strumenti che un organismo di valutazione della conformità quale IMQ può mettere a disposizione. Ad esempio, per quanto riguarda l’IoT, la verifica della sicurezza, sia a livello di rete e sia di dispositivo, da effettuare con analisi delle vulnerabilità, la verifica dell’interoperabilità in particolare dei sistemi di comunicazione, la verifica dell’immunità EMC” prosegue Giorgi.
Per l’ambito cybersecurity, Flavio Ornago, Direttore della Business Unit Management System, ricorda invece “la certificazione dei Sistemi di gestione della sicurezza delle informazioni, secondo la norma internazionale ISO/IEC 27001, le verifiche quali i penetration test per software, hardware e sistemi, la verifica della sicurezza dati e privacy, la security compliance e le valutazioni formali ICT”.