Quando un adolescente riesce a deviare delle petroliere, la tua azienda ha un problema
La storia sembra la trama di un film: uno studente di 15 anni, nel Sud Europa, comincia violando il sistema digitale dei voti della sua scuola e trasforma voti mediocri in punteggi perfetti. Nel giro di pochi mesi passa a qualcosa di molto più pericoloso: manipolare le rotte di navigazione delle petroliere che attraversano il Mediterraneo. Non è finzione. È un caso reale, che mette in luce una verità inquietante sulla sicurezza delle tecnologie operative in tutta Europa.
Per gli imprenditori convinti che gli attacchi informatici riguardino solo banche e pubbliche amministrazioni, questo episodio è un campanello d’allarme. Se un ragazzo senza alcuna formazione specifica riesce a violare un’infrastruttura marittima critica, che cosa si può dire della sicurezza dei sistemi industriali, dei controlli degli edifici o dei dispositivi connessi della tua azienda?
Che cos’è la sicurezza OT e perché ti riguarda
Con operational technology (OT) si indicano l’hardware e il software che monitorano e controllano processi fisici: le linee di produzione di una fabbrica, gli impianti HVAC degli uffici, le piattaforme di logistica di magazzino, gli impianti di trattamento delle acque e, appunto, i sistemi di navigazione marittima. A differenza dei tradizionali sistemi IT, che gestiscono dati, i sistemi OT muovono cose nel mondo reale.
La convergenza tra IT e OT è cresciuta in fretta. Un rapporto Fortinet del 2023 ha rilevato che il 75% delle organizzazioni OT ha subito almeno un’intrusione nell’anno precedente. I dati Eurostat indicano che oltre il 40% delle imprese dell’UE con più di 10 dipendenti usa ormai qualche forma di IoT o di dispositivo industriale connesso. Per le PMI italiane, in particolare nella manifattura, nella logistica e nella produzione alimentare, settori che sono la spina dorsale dell’economia, la superficie di attacco è cresciuta enormemente.
Il problema è semplice: molti di questi sistemi sono stati progettati decenni fa, quando nessuno immaginava che sarebbero finiti su internet. Spesso usano software obsoleto, password predefinite e non hanno meccanismi di autenticazione di base. Un adolescente curioso, con strumenti di hacking di dominio pubblico e qualche tutorial online, può trovare queste debolezze e sfruttarle.
Come un quindicenne ha messo a nudo le falle delle infrastrutture critiche
Il ragazzo avrebbe usato tecniche note, né sofisticate né nuove. Ha cercato sistemi esposti con strumenti liberamente disponibili online, ha individuato bersagli vulnerabili e ha sfruttato credenziali deboli o predefinite. La manipolazione dei voti scolastici è stata il suo terreno di allenamento. I sistemi marittimi sono stati il passo successivo, probabilmente scoperti con gli stessi metodi di scansione.
Ciò che rende il caso particolarmente allarmante è la catena di escalation. Modificare le rotte delle navi in uno dei corridoi marittimi più trafficati del mondo avrebbe potuto causare collisioni, disastri ambientali o interruzioni delle catene di fornitura con effetti su migliaia di aziende. Nel Mediterraneo passa circa il 20% del traffico marittimo mondiale e porti italiani come Genova, Trieste e Gioia Tauro sono nodi fondamentali del commercio europeo.
L’episodio conferma anche uno schema documentato da ENISA, l’Agenzia dell’Unione europea per la cybersicurezza. Nel suo rapporto Threat Landscape 2024, ENISA ha segnalato un aumento significativo degli attacchi ai settori dei trasporti e della logistica, in molti casi opera di attori poco esperti che sfruttano vulnerabilità elementari. La barriera d’ingresso per attaccare i sistemi operativi si è abbassata drasticamente.
Cosa significa per le PMI europee
Potresti pensare che i sistemi di navigazione marittima non c’entrino nulla con la tua azienda manifatturiera da 50 dipendenti o con la tua società di logistica regionale. Ma le vulnerabilità di fondo sono identiche. Se la tua azienda usa macchinari industriali connessi, sistemi di gestione degli edifici o dispositivi IoT, sei esposto alla stessa categoria di rischio.
Ecco le implicazioni pratiche:
Le credenziali predefinite sono ancora ovunque. Molti dispositivi industriali escono di fabbrica con nome utente e password che nessuno cambia mai. Uno studio di Nozomi Networks del 2024 ha rilevato che credenziali predefinite o deboli sono state il punto d’ingresso in oltre il 30% degli incidenti legati all’OT. Cambiarle è la misura di sicurezza più semplice che si possa adottare, eppure resta ampiamente trascurata.
La segmentazione della rete non è facoltativa. I sistemi industriali non dovrebbero mai stare sulla stessa rete dei server di posta e dei portatili dei dipendenti. Se un aggressore compromette un sistema, la segmentazione gli impedisce di raggiungere tutto il resto. La direttiva NIS2, che gli Stati membri dell’UE, Italia compresa, dovevano recepire nel diritto nazionale entro ottobre 2024, impone esplicitamente misure di sicurezza basate sul rischio, tra cui i controlli sull’architettura di rete.
La visibilità è metà della battaglia. Non puoi proteggere ciò che non vedi. Molte PMI non hanno un inventario dei dispositivi connessi, non monitorano il traffico di rete OT e non hanno alcuna capacità di rilevare gli incidenti. Anche semplici strumenti di monitoraggio di rete possono segnalare attività anomale prima che diventino una crisi.
NIS2 e la pressione normativa sulle imprese italiane
La direttiva NIS2 ha ampliato in modo significativo l’ambito degli obblighi europei di cybersicurezza. Oggi copre settori come la manifattura, la produzione alimentare, la gestione dei rifiuti e i servizi postali, ambiti in cui in Italia dominano le PMI. Le aziende di questi settori devono adottare misure di sicurezza adeguate, notificare gli incidenti significativi entro i termini previsti e garantire la sicurezza della catena di fornitura.
La mancata conformità comporta sanzioni che possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale annuo. Oltre alle multe, la direttiva consente agli Stati membri di ritenere i vertici aziendali personalmente responsabili delle carenze di cybersicurezza. Non è più un problema che si può delegare del tutto al proprio fornitore IT per poi dimenticarsene.
Come proteggere la tua azienda, passo dopo passo
La buona notizia è che difendersi da un attacco come quello del ragazzo non richiede un budget enorme. Servono disciplina e consapevolezza.
Fai un audit dei dispositivi connessi. Crea un inventario completo di ogni sistema collegato alla rete, soprattutto di quelli che controllano processi fisici. Includi i dispositivi che si dimenticano facilmente: termostati smart, telecamere IP, pannelli di controllo accessi e sensori industriali.
Aggiorna e applica le patch senza sosta. Se un dispositivo può essere aggiornato, aggiornalo. Se non può esserlo perché usa software legacy, isolalo dal resto della rete e monitoralo da vicino.
Forma le persone. Il fattore umano resta l’anello più debole. I dipendenti devono capire che i sistemi operativi sono un bersaglio, non solo i computer d’ufficio. Anche una formazione di base sulla consapevolezza riduce il rischio in modo sensibile.
Coinvolgi la tua catena di fornitura. Chiedi a fornitori e partner quali pratiche di sicurezza adottano. Con la NIS2, la sicurezza della supply chain è anche una tua responsabilità. Se un sistema di terze parti collegato alla tua rete viene compromesso, le conseguenze arrivano a casa tua.
La vera lezione di questa storia
A un adolescente non sono serviti competenze avanzate, strumenti costosi o complici interni per minacciare un’infrastruttura critica. Gli sono bastati curiosità, tempo e sistemi che nessuno si era preso la briga di mettere in sicurezza. Le stesse condizioni esistono oggi in migliaia di aziende europee.
La domanda non è se la tua azienda subirà una minaccia informatica contro i suoi sistemi operativi. La domanda è se sarà preparata quando accadrà.