Attacchi informatici alle infrastrutture critiche
I sistemi delle infrastrutture critiche, come quelli che gestiscono la generazione di energia, il trattamento delle acque, la produzione di elettricità e altre piattaforme, sono interconnessi a formare la “rete” energetica. Pur portando benefici alla collettività, questa rete è vulnerabile agli attacchi informatici da parte di “hacktivist” o terroristi.
- La generazione e la distribuzione di energia sono più complesse e interconnesse che mai.
- La vulnerabilità delle infrastrutture critiche e i guasti tecnici rappresentano una preoccupazione reale per gli specialisti della sicurezza e gli assicuratori.
- Gli obiettivi principali degli hacktivist sono i settori dell’energia, dei trasporti, dei servizi pubblici, delle telecomunicazioni e della manifattura critica.
- La prevenzione dei sinistri è fondamentale per incentivare gli assicuratori a offrire massimali più elevati, incoraggiando i clienti ad acquistare un’assicurazione contro i rischi informatici.
Durante un inverno particolarmente rigido, un gruppo di hacktivist semina il panico mettendo fuori uso la rete elettrica degli Stati Uniti. Milioni di abitazioni e aziende piombano nell’oscurità, le comunicazioni vengono interrotte, le banche vanno offline, gli ospedali chiudono e il traffico aereo viene bloccato.
Uno scenario del genere sembra apocalittico, ma rappresenta una minaccia realistica secondo Idan Udi Edry, amministratore delegato di Nation-E, fornitore di soluzioni di sicurezza informatica che consentono ai clienti di collegare in sicurezza le proprie infrastrutture a Internet e di controllare da remoto gli asset critici.
La complessità delle infrastrutture critiche
Le infrastrutture critiche, come la generazione e la distribuzione di energia elettrica, stanno diventando sempre più complesse e dipendenti da reti di dispositivi connessi. Solo pochi decenni fa, le reti elettriche e le altre infrastrutture critiche operavano in isolamento. Ora sono molto più interconnesse, sia a livello geografico che intersettoriale.
Come evidenzia lo scenario della rete elettrica statunitense, il guasto di un’infrastruttura critica potrebbe provocare una reazione a catena devastante, afferma Edry.
Non sorprende che la vulnerabilità delle infrastrutture critiche agli attacchi informatici e ai guasti tecnici sia diventata una grande preoccupazione. E i recenti eventi hanno dato ulteriore credito a questi timori.
Nel dicembre 2015, il mondo ha assistito alla prima interruzione di corrente nota causata da un attacco informatico doloso. Tre aziende di servizi pubblici in Ucraina sono state colpite dal malware BlackEnergy, lasciando centinaia di migliaia di abitazioni senza elettricità per sei ore.
Secondo la società di sicurezza informatica Trend Micro, il malware ha preso di mira i sistemi CSAD (controllo di supervisione e acquisizione dati) delle aziende di servizi pubblici ed è probabilmente iniziato con un attacco di phishing.
Al blackout è seguita, due mesi dopo, la notizia che l’Autorità Nazionale per l’Elettricità di Israele aveva subito un grave attacco informatico, sebbene i danni siano stati contenuti grazie all’intervento della Israel Electricity Corporation, che ha spento i sistemi per impedire la diffusione di un virus.
Settori industriali vulnerabili agli attacchi informatici
Il settore energetico è uno dei principali bersagli degli attacchi informatici contro le infrastrutture critiche, ma non è l’unico. Anche i trasporti, i servizi del settore pubblico, le telecomunicazioni e le industrie manifatturiere critiche sono vulnerabili.
Nel 2013, alcuni hacker iraniani hanno violato la diga di Bowman Avenue a New York e hanno assunto il controllo delle paratoie. Si ritiene che piattaforme petrolifere, navi, satelliti, aerei di linea, sistemi aeroportuali e portuali siano tutti vulnerabili, e i resoconti dei media suggeriscono che si siano verificate delle violazioni.
Gli attacchi informatici contro le infrastrutture critiche e le principali industrie manifatturiere sono aumentati, secondo i funzionari statunitensi dell’Industrial Control Systems Cyber Emergency Response Team (ICS-CERT, il team di risposta alle emergenze informatiche per i sistemi di controllo industriale), l’ente governativo statunitense che aiuta le aziende a indagare sugli attacchi contro i sistemi di controllo industriale (SCI) e le reti aziendali.
L’ente ha segnalato un aumento del 20% delle indagini informatiche nel 2015 e un raddoppio degli attacchi contro i settori manifatturieri critici statunitensi.
Nel corso degli anni, un’ampia gamma di settori è diventata sempre più dipendente dai sistemi di controllo industriale – quali CSAD, controllori logici programmabili (PLC, dall’inglese programmable logic controller) e sistemi di controllo distribuito – per il monitoraggio dei processi e il controllo di dispositivi fisici, quali pompe, valvole, motori, sensori ecc.
L’esempio più eclatante di attacco informatico contro un’infrastruttura critica è il virus per computer Stuxnet. Il worm, che prendeva di mira i PLC, ha compromesso il programma nucleare iraniano danneggiando le centrifughe utilizzate per separare il materiale nucleare.
L’incidente ha destato preoccupazione perché Stuxnet poteva essere adattato per attaccare i sistemi CSAD utilizzati da molte infrastrutture critiche e industrie manifatturiere in Europa e negli Stati Uniti.
In uno dei pochi esempi pubblici di attacco CSAD , un’acciaieria tedesca ha subito gravi danni dopo che un attacco informatico ha costretto allo spegnimento di un altoforno, come riportato nel 2014 dall’Ufficio federale tedesco per la sicurezza delle informazioni. Gli autori dell’attacco hanno utilizzato tecniche di ingegneria sociale per ottenere il controllo dei sistemi dell’altoforno.
Gli attacchi informatici alle infrastrutture prendono di mira i sistemi di controllo, non i dati
Secondo l’Organizzazione degli Stati Americani e Trend Micro, gli attacchi informatici contro le infrastrutture critiche e il settore manifatturiero mirano a colpire i sistemi di controllo industriale più che a sottrarre dati.
La loro ricerca ha rilevato che il 54% dei 500 fornitori di infrastrutture critiche statunitensi intervistati ha segnalato tentativi di prendere il controllo dei sistemi, mentre il 40% ha subito tentativi di bloccarli. Oltre la metà ha dichiarato di aver notato un aumento degli attacchi, mentre tre quarti ritengono che questi stiano diventando più sofisticati.
Secondo Edry, gli hacker stanno dimostrando un interesse sempre maggiore per la tecnologia operativa, ovvero i dispositivi fisici connessi che supportano i processi industriali. «La vulnerabilità e la scarsa conoscenza della tecnologia operativa rappresentano oggi il pericolo maggiore», afferma.
Come esempio, cita un attacco informatico a un complesso di uffici di New York in cui un hacker ha avuto accesso ai sistemi di gestione dell’edificio – che controllano l’alimentazione, le comunicazioni, la sicurezza e i sistemi ambientali – tramite un distributore automatico connesso. Il blocco dell’edificio ha causato danni stimati in 350 milioni di dollari per mancati introiti, afferma.
I sistemi IT sono più sicuri dei sistemi di controllo industriale
Tuttavia, la sicurezza dei sistemi di controllo industriale e dei dispositivi connessi è rimasta indietro rispetto a quella dei sistemi IT. Molti dei dispositivi connessi utilizzati dall’industria si basano sulla tecnologia di comunicazione seriale, che Edry paragona ai bip e ai sibili tipici delle vecchie connessioni Internet via modem.
Edry ritiene che la tecnologia operativa sia un elemento vulnerabile e scarsamente protetto della sicurezza informatica. Mentre l’infrastruttura IT ha dato vita a un esercito di consulenti, prodotti e servizi per la sicurezza informatica, i sistemi di controllo industriale, in confronto, non sono adeguatamente supportati, afferma.
Il problema non è destinato a scomparire. Anzi, gli attacchi informatici contro la tecnologia operativa fisica sembrano in aumento, di pari passo con la crescente diffusione dei dispositivi connessi.
Ad esempio, la convergenza tra il mondo digitale e quello fisico è destinata ad accelerare con l’«Internet delle cose» («IdC»), che vedrà sempre più dispositivi di uso quotidiano dotati di componenti elettronici in grado di raccogliere informazioni e connettersi a una rete.
I dispositivi di consumo sono sempre più connessi – come la tecnologia indossabile, i dispositivi intelligenti, gli elettrodomestici e i giocattoli per bambini. Lo stesso vale per le nostre case e le nostre auto.
Secondo Edry, la crescente digitalizzazione e l’«IdC» potrebbero creare una tempesta perfetta per la sicurezza informatica.
Egli osserva che, mentre un tempo un’azienda aveva il controllo sui propri sistemi, sulle reti fisiche e sui server, la tendenza attuale è quella di gestire dispositivi, software e dati attraverso reti virtuali, come il cloud computing. «Persino la rete ora è fuori dalla rete», afferma.
La fiducia nella sicurezza delle infrastrutture è fondamentale
La fiducia nella sicurezza dei dati e dei sistemi è fondamentale affinché la società possa beneficiare delle potenziali efficienze che l’«IdC» può offrire. E la fiducia del pubblico è altrettanto importante per i sistemi CSAD che mantengono gli aerei in volo quanto lo è per le piattaforme IT su cui si basa il mobile banking.
Ad esempio, nell’ultimo anno diverse compagnie aeree hanno subito problemi tecnici e attacchi informatici che minano la fiducia dei consumatori.
La compagnia aerea nazionale polacca LOT ha lasciato a terra i propri aerei nel giugno 2015 dopo che il suo sistema di pianificazione dei voli è stato messo fuori uso dagli hacker in un attacco Distributed Denial of Service (DDoS). Alcune settimane dopo, a luglio, la United Airlines ha lasciato a terra la propria flotta a seguito di un guasto tecnico.
«L’era digitale è ormai una realtà. Non possiamo fermarla. Sta diventando parte di noi. Ma i titoli dei giornali riportano una violazione dopo l’altra. Stiamo perdendo la fiducia nell’era digitale», afferma Edry.
Edry ritiene che occorra fare di più per scoraggiare i criminali informatici e proteggere la tecnologia operativa.
Il costo per sferrare un attacco riuscito è basso per i criminali informatici, ed è per questo che oggi gli attacchi sono così numerosi, spiega Edry.
«Abbiamo constatato che, con la diminuzione del costo necessario per sferrare un attacco riuscito, il numero di attacchi è aumentato. Pertanto, dobbiamo sviluppare tecnologie per aumentare il costo degli attacchi riusciti», afferma Edry.
«Non possiamo fermare il 100% degli attacchi, ma possiamo creare tecnologie per aumentarne il costo, in modo che l’hacker dica: “Non voglio avere a che fare con questa organizzazione perché mi costerà molto tempo e risorse informatiche”», afferma.
«Se riusciamo a prevenire i danni, ciò spingerà gli assicuratori a offrire massimali più elevati e darà ai clienti un maggiore incentivo a stipulare una polizza.»
Focus sul rischio: sistemi di controllo industriale
Negli ultimi anni si è registrata una crescente preoccupazione per la vulnerabilità dei sistemi di controllo industriale (SCI), utilizzati per monitorare o controllare i processi nei settori industriale e manifatturiero. Un attacco contro uno SCI potrebbe causare danni fisici, come un incendio o un’esplosione, oltre all’interruzione dell’attività, afferma Nigel Pearson, Global Head of Fidelity, AGCS. «Molti degli SCI ancora oggi utilizzati dalle aziende manifatturiere e di pubblica utilità sono stati progettati in un’epoca in cui la sicurezza informatica non era ancora una priorità», spiega.
Inoltre, gli SCI sono vulnerabili sia ai guasti tecnici sia agli errori degli operatori, eventi che possono essere ben più frequenti e avere un impatto ancora più grave, e che spesso non vengono rilevati nei report informatici, aggiunge Georgi Pachov, Global Practice Group Leader Cyber, CUO Property AGCS.
Sebbene gli SCI rappresentino un problema particolarmente critico per il settore energetico, anche altri settori sono esposti ad analoghi rischi informatici di danni fisici e interruzione dell’attività. Ad esempio, gli stabilimenti di produzione automobilistica si affidano a robot per fabbricare e assemblare i veicoli. Se un robot venisse hackerato o subisse un guasto tecnico, una linea di produzione potrebbe bloccarsi per ore o giorni, con un costo potenziale di decine di milioni di dollari al giorno. Inoltre, i costi potenziali dei danni potrebbero essere ancora più elevati in caso di incidente che coinvolga strutture sensibili sul piano della sicurezza, come centrali nucleari, laboratori, aziende di approvvigionamento idrico o grandi ospedali.
Il blackout aziendale da 1 000 miliardi di dollari
La ricerca stima che l’impatto economico e assicurativo di un attacco informatico grave ma plausibile contro la rete elettrica statunitense supererebbe i 240 miliardi di dollari, e potrebbe addirittura oltrepassare i 1 000 miliardi di dollari.
Secondo un rapporto della Lloyd’s e del Centre for Risk Studies dell’Università di Cambridge intitolato «Business Blackout»:
- Gli aggressori riescono a infliggere danni fisici a 50 generatori che forniscono energia alla rete elettrica nel nord-est degli Stati Uniti, comprese New York City e Washington DC
- Ciò innesca un blackout più ampio che lascia 93 milioni di persone senza elettricità
- Si registrano richieste di risarcimento in oltre 30 rami assicurativi. Le perdite assicurate totali sono stimate in oltre 20 miliardi di dollari, salendo a oltre 70 miliardi nella versione più estrema dello scenario.