Una nuova ondata di minacce ibride

Supermercati, sanità e trasporti mostrano quanto una manomissione digitale possa incidere sui servizi essenziali. Gli episodi europei richiamano l’attenzione su impianti connessi, fornitori e capacità di ripristino. Per istituzioni e imprese, la sfida è tradurre norme e investimenti in continuità operativa.

Il contesto normativo europeo

L’Europa lavora ormai da tempo a un quadro normativo fondato su una visione olistica della sicurezza. Da un lato la direttiva NIS2 ha esteso gli obblighi in materia di cybersecurity a diciotto settori, distinguendo tra soggetti essenziali e importanti, introducendo misure di gestione del rischio che comprendono la tutela della catena di approvvigionamento, tempi stringenti per la notifica degli incidenti e una responsabilità diretta degli organi di vertice.

Dall’altro la direttiva CER2 si occupa della resilienza dei soggetti critici di fronte all’intero spettro delle minacce, naturali e umane, compresi sabotaggio, terrorismo e azioni ibride. I due testi sono nati per lavorare insieme: il primo protegge reti e sistemi informativi, il secondo la continuità fisica dei servizi essenziali.

Attacchi alle catene del freddo

È da metà ottobre che degli attacchi informatici prendono di mira le grandi catene di supermercati europee. La campagna ha interessato prima la Francia e, nelle settimane successive, si è estesa a Svezia, Belgio, Estonia, Irlanda, Lussemburgo, Paesi Bassi e Italia, colpendo impianti di refrigerazione in Veneto, Emilia‑Romagna, Sicilia, Toscana, Sardegna e Abruzzo.

L’Agenzia per la Cybersicurezza Nazionale ha emesso un’allerta d’emergenza alle aziende alimentari, invitandole a verificare la sicurezza dei propri nodi IoT.

Il caso dell’Établissement français du sang (EFS)

Il 2 novembre la stessa modalità operativa è stata usata per attaccare la sanità francese, in particolare l’EFS, ente responsabile della gestione delle donazioni di sangue. Da remoto è stata alterata la temperatura degli impianti di refrigerazione, passando da -30 °C a 110 °C.

Non è stato sottratto alcun dato, ma una funzione fisica è stata manomessa, dimostrando il cambio di passo descritto nella prima sezione.

Minacce ai trasporti aerei

Parallelamente, falsi allarmi bombache hanno provocato il dirottamento di diversi voli sul territorio europeo. Il 3 novembre diversi voli sono stati costretti a atterrare in scali alternativi; due giorni dopo la situazione si è ripetuta su scala più ampia, coinvolgendo rotte da Copenaghen, Dublino, Helsinki, Madrid, Milano e Varsavia.

Il 5 novembre gli allarmi sono saliti a 19, con otto casi in Italia, ma nessun ordigno è stato trovato a bordo.

Incertezza sulle responsabilità

Le istituzioni europee ritengono ancora prematuro stabilire se i diversi episodi siano collegati. La rivendicazione dei gruppi filorussi (NoName057(16) e Z‑Pentest) è stata pubblicata su Telegram insieme a presunti dati sottratti a Danfoss, ma i canali sono stati poi disattivati e non sono emerse prove indipendenti.

Questa incertezza è parte della componente ibrida: confondere le acque sull’autore è di per sé una mossa strategica.

Le vulnerabilità tecniche alla base

Nel caso dei supermercati non sono state sfruttate vulnerabilità sofisticate, ma difetti di sicurezza elementari: impianti esposti direttamente su Internet e protetti da password deboli. Il CERT‑FR ha esteso l’allerta anche ai controller XWEB a marchio Dixell, molto diffuso nella refrigerazione commerciale.

    • Danfoss ha precisato che la maggior parte dei sistemi colpiti erano apparecchi datati, non più aggiornati.
    • L’attacco all’EFS ha evidenziato come la catena dei fornitori sia spesso l’anello più debole, proprio quello che la NIS2 chiede di tutelare.
    • La rapidità con cui l’anomalia è stata individuata ha evitato danni al materiale conservato, confermando che la vigilanza operativa è cruciale.

Risposte nazionali e prospettive future

L’Italia ha emanato norme di recepimento e disposizioni nazionali per innalzare il livello di maturità collettiva in tema di sicurezza. Le infrastrutture critiche italiane investono risorse economiche e strutturali, dispongono di personale altamente preparato e mantengono stanziamenti attivi per la cybersecurity, soprattutto a supporto delle PMI.

Tuttavia, la sicurezza al 100 % non esiste. È necessario continuare a stanziare fondi, avviare campagne di awareness diffuse e semplici, imporre requisiti minimi di sicurezza per tutti (come la patente per guidare) e favorire la ricerca e l’industria nazionale.

Cyber‑parchi e condivisione di informazioni

Un dibattito attuale riguarda l’inclusione dei cyber‑parchi nella strategia nazionale di cybersecurity, responsabile dell’ACN. L’iniziativa mira a creare hub per lo sviluppo tecnologico, test di penetrazione e collaborazione tra pubblico e privato.

Un’altra mossa vincente è la condivisione delle informazioni attraverso gli ISAC (Information Sharing and Analysis Centers), che permettono a settori critici di scambiarsi indicatori di compromissione e best practice in tempo reale.

In sintesi, la crescente sofisticazione degli attacchi ibridi richiede un approccio integrato, dove normativa, investimento, formazione e cooperazione diventano le leve fondamentali per proteggere i servizi essenziali europei.