Attacchi hacker ai frigoriferi dei supermercati: cosa è successo e come difendersi

Da temperature sottozero a +50 °C. L’ondata di cyberattacchi che ha preso di mira i sistemi di refrigerazione dei supermercati europei è arrivata anche in Italia.

Dopo un primo episodio registrato in Francia il 12 ottobre, tra il 2 e il 3 novembre sono state segnalate anomalie in supermercati di Svezia, Belgio, Estonia, Lussemburgo, Olanda e Irlanda. In alcuni casi, freezer e sistemi di refrigerazione hanno raggiunto temperature fino a +50 °C, causando il deterioramento degli alimenti e gravi disservizi. (Fonte: Il Sole 24 Ore)

Il 2 novembre l’attacco ha raggiunto anche l’Italia. Almeno quattro punti vendita Coop in Sicilia, tre a Catania e uno a Palermo, hanno registrato anomalie nei sistemi di refrigerazione dei banchi alimentari, con alterazione dei parametri di temperatura, surriscaldamento e deperimento degli alimenti. La Polizia Postale sta verificando eventuali collegamenti con gli episodi europei. (Fonte: Sky TG24)

Il caso ha assunto rilevanza anche istituzionale, con la convocazione il 3 novembre di una riunione a Palazzo Chigi che coinvolge anche l’Agenzia per la Cybersicurezza Nazionale e le agenzie di intelligence. (Fonte: Sky TG24)

Ma la notizia va ben oltre i supermercati: un cyberattacco è riuscito a interferire con un processo fisico essenziale per il business. Ed è proprio questo che rende il caso una lezione importante di OT Security.

Quando il danno cyber diventa fisico

La conseguenza più immediata è la perdita della merce. La rottura della catena del freddo può provocare il deterioramento dei prodotti e comprometterne qualità e conservabilità.

Ma il danno non si esaurisce negli alimenti da smaltire. Un incidente OT può significare indisponibilità di reparti o punti vendita, mancata vendita, costi di ripristino e interruzioni operative. Se colpisce contemporaneamente più sedi o nodi logistici, può avere conseguenze sulla supply chain. E quando il consumatore percepisce un rischio sulla qualità o disponibilità dei prodotti, entra in gioco anche la reputazione del brand.

Il medesimo principio dei frigoriferi dei supermercati riguarda linee produttive, sistemi HVAC e building automation, magazzini automatizzati, macchinari e impianti industriali.

Il vero tema è quindi la OT Security, cioè la protezione delle tecnologie che controllano processi e apparecchiature nel mondo fisico.

Come difendersi: patch, segmentazione e controllo degli accessi

Gli incidenti di questi giorni riportano innanzitutto l’attenzione sulle fondamenta della cybersecurity.

Dopo l’attacco avvenuto in Francia il 12 ottobre erano già iniziate attività di messa in sicurezza. Secondo le prime ricostruzioni, tra gli apparati interessati figurerebbero sistemi più datati, meno aggiornati o non più in grado di ricevere normalmente aggiornamenti software e di sicurezza. (Fonte: Sky TG24)

Il primo messaggio è semplice: patch e aggiornamenti di sicurezza restano indispensabili.

Negli ambienti OT, tuttavia, aggiornare può essere più complesso rispetto all’IT: controller e macchinari hanno spesso cicli di vita molto lunghi, dipendenze da software legacy e finestre limitate per la manutenzione.

Occorre quindi una difesa a più livelli: censimento degli asset OT, vulnerability e patch management, segmentazione delle reti IT/OT, controllo degli accessi remoti, autenticazione forte dove applicabile e privilegi limitati per manutentori e fornitori.

Ma resta una domanda fondamentale: cosa succede se l’attaccante riesce comunque a entrare?

Se l’accesso è legittimo, come riconosciamo l’attaccante?

Immaginiamo che vengano compromesse le credenziali di un manutentore autorizzato ad accedere da remoto: l’utenza esiste. Le credenziali sono valide. Quel soggetto deve realmente poter raggiungere determinati controller. Per un firewall, quindi, la connessione potrebbe risultare coerente con le policy.

Eppure il comportamento può essere completamente anomalo.

Cosa succede se l’utenza si collega improvvisamente a orari insoliti? Se interroga decine di controller contemporaneamente? Se comunica con apparati mai raggiunti prima?

Non basta più chiedersi “questo accesso è autorizzato?”, dobbiamo sapere anche “quello che sta facendo è normale?”.

È qui che la Network Detection and Response (NDR) può aggiungere un livello di protezione particolarmente importante.

NDR: vedere le anomalie all’interno della rete OT

Una soluzione NDR analizza continuamente il traffico di rete per individuare anomalie e comportamenti potenzialmente malevoli.

Non sostituisce patch, firewall, EDR, gestione delle identità o segmentazione. Aggiunge visibilità su ciò che accade tra i sistemi, anche quando vengono utilizzate credenziali o comunicazioni formalmente autorizzate.

Rilevare comportamenti anomali: se un attaccante utilizza le credenziali legittime di un fornitore, un NDR può contribuire a evidenziare connessioni a orari inconsueti, variazioni improvvise nel traffico, comunicazioni verso asset mai raggiunti o l’interrogazione contemporanea di numerosi controller.

L’identità può essere legittima, il comportamento no. Ed è una distinzione fondamentale negli ambienti OT, nei quali manutentori e fornitori devono spesso accedere ai sistemi da remoto.

Individuare comandi anomali sui sistemi OT

Negli ambienti e sui protocolli supportati, tecniche di analisi come la Deep Packet Inspection consentono di approfondire la natura delle comunicazioni industriali e individuare comportamenti incompatibili con il normale funzionamento dell’impianto.

In diversi punti vendita belgi, ad esempio, gli attaccanti avrebbero attivato da remoto la modalità di sbrinamento degli impianti, provocando l’aumento delle temperature. (Fonte: Sky TG24)

Un NDR potrebbe individuare un picco anomalo di determinati comandi, modifiche inconsuete dei parametri o sequenze operative mai osservate.

Il concetto è importante: un comando può essere tecnicamente valido, ma operativamente anomalo o malevolo.

Non bisogna quindi cercare necessariamente un malware. L’anomalia può emergere dal contesto, dalla frequenza, dalla destinazione o dalla sequenza delle operazioni.

Dalla Detection alla Response, con cautela

Una volta identificata un’attività malevola, è possibile attivare azioni di contenimento, ad esempio interrompendo una sessione compromessa o isolando determinate comunicazioni.

Negli ambienti OT, però, la risposta deve essere calibrata con estrema attenzione.

Non tutto ciò che può essere bloccato automaticamente dovrebbe esserlo. Interrompere erroneamente la comunicazione con un controller potrebbe fermare un processo fisico o produrre conseguenze indesiderate.

Alcune risposte possono essere automatizzate, altre devono coinvolgere gli specialisti di un Security Operation Center. Nell’OT, la velocità di risposta deve sempre essere accompagnata dalla consapevolezza delle sue conseguenze operative.

Dai supermercati all’industria: la lezione dell’attacco

I frigoriferi rendono visibile un problema molto più ampio.

Le reti aziendali comprendono sempre più controller, sensori, sistemi IoT, macchinari e impianti connessi. Gli attacchi OT possono quindi tradursi in interruzioni operative, perdite economiche e, negli scenari più critici, rischi per la sicurezza fisica.

Per costruire resilienza servono patch e gestione delle vulnerabilità, segmentazione IT/OT, protezione delle identità, controllo degli accessi delle terze parti e visibilità continua sul comportamento della rete.

Perché impedire all’attaccante di entrare rimane il primo obiettivo. Ma gli attacchi ai supermercati impongono alle aziende una seconda domanda: se un attaccante fosse già all’interno della nostra rete OT, riusciremmo a riconoscerlo prima che un’anomalia digitale diventi un danno fisico?

Axitea supporta le aziende con soluzioni di Cyber Security e Network Detection and Response (NDR) per aumentare la visibilità sulle reti, rilevare tempestivamente comportamenti anomali e rafforzare la capacità di risposta agli incidenti.