Quando un frigorifero può diventare un forno, «basta manipolare lo sbrinamento»
Un frigorifero che invece di raffreddare scalda. E non di poco: fino a 50°C. Sembra uno scherzo, ma è quanto accaduto in diversi supermercati europei finiti nel mirino degli hacker. Dopo i casi raccontati nelle scorse settimane, la domanda è inevitabile: come si può trasformare un impianto di refrigerazione in una specie di forno, semplicemente agendo da un computer?
La risposta sta nella tecnologia che oggi governa, tra i vari settori, anche i supermercati. Molti impianti sono infatti collegati a sistemi di supervisione che consentono ai tecnici di controllare temperature, allarmi e funzionamento anche a distanza. Comodo per chi deve intervenire senza essere fisicamente sul posto. Ma potenzialmente pericoloso se a entrare nel sistema è la persona sbagliata.
«Se un malintenzionato ottiene l'accesso, può alterare la temperatura impostata, interrompere il raffreddamento o modificare i cicli di sbrinamento», spiegano da C.Gehri Impianti frigoriferi, azienda alla quale abbiamo chiesto di fare un po' di chiarezza sul fenomeno.
Non basta spegnere il frigorifero
Ma come si arriva davvero a 50°C? Qui c'è un dettaglio importante. Se si spegne semplicemente il raffreddamento, il frigorifero non diventa una stufa: la temperatura sale normalmente fino a raggiungere quella dell'ambiente circostante.
Il discorso, tuttavia, cambia quando entrano in gioco i sistemi di sbrinamento. Alcuni impianti utilizzano infatti resistenze elettriche o gas caldo per eliminare il ghiaccio dagli evaporatori. Sono componenti previsti per il normale funzionamento, ma che, se attivati in modo improprio, possono introdurre calore e provocare un surriscaldamento. «La possibilità di raggiungere effettivamente temperature così elevate dipende dalla costruzione dell'impianto e dalle protezioni presenti», precisano gli esperti. Attenzione, però, anche a non confondere la temperatura impostata sul computer con quella effettiva dell'aria o, soprattutto, dei prodotti conservati.
E nei depositi di sangue si è parlato di 110 gradi
Se nei supermercati il problema riguarda soprattutto gli alimenti, il discorso diventa ancora più delicato quando si parla di strutture sanitarie. In Francia sono stati segnalati tentativi di manipolare i sistemi di conservazione del plasma sanguigno, con notizie di temperature impostate fino a 110°C partendo da una temperatura abituale di -30°C. Secondo quanto comunicato dall'Établissement français du sang (EFS), i sistemi di monitoraggio hanno rilevato l'anomalia e il personale è intervenuto tempestivamente, mettendo al sicuro i prodotti. Non sono state registrate perdite di plasma né conseguenze sanitarie.
Ma un conto è quello che compare sullo schermo, un altro è ciò che succede realmente nel frigorifero. «È possibile alterare i parametri di un controllo compromesso, ma impostare 110°C nel software non dimostra che il vano, o il materiale, conservato abbiano realmente raggiunto quella temperatura», sottolinea C.Gehri. Per accertarlo sarebbero quindi necessarie le registrazioni delle sonde, le caratteristiche tecniche dell'impianto e una verifica delle protezioni indipendenti dal sistema di supervisione.
Una porta aperta agli hacker?
Come si fa, dunque, a entrare in questi sistemi? Le possibilità sono diverse: password predefinite mai cambiate, credenziali rubate, controllori accessibili direttamente da Internet oppure software non aggiornati. Anche autorizzazioni troppo ampie possono trasformarsi in un problema.
Non esiste però una risposta valida per tutti gli impianti. «Tecnicamente è possibile sfruttare falle o password standard mai cambiate», spiegano dall'azienda, che precisa di non poter valutare quanto sia facile o difficile riuscire a penetrare nei singoli sistemi.
E in Ticino dobbiamo preoccuparci? C.Gehri non gestisce impianti con supervisione da remoto, ma conferma che nella grande distribuzione queste tecnologie sono utilizzate. Coop, Migros e altri grandi operatori dispongono infatti di sistemi di gestione a distanza. Ma questo non significa che siano vulnerabili: il livello di esposizione dipende infatti dalla configurazione e dalle protezioni adottate.
Quando il problema finisce nel piatto
Le conseguenze di un attacco possono essere importanti. Il danno non si limita alle fatture dell'elettricità o alla merce da buttare: se la catena del freddo viene compromessa, alcuni alimenti possono diventare un rischio per chi li consuma. Temperature elevate e tempi di esposizione prolungati possono infatti favorire la moltiplicazione di microrganismi. Non tutti i prodotti reagiscono però allo stesso modo: dipende dalla tipologia di alimento, dalla temperatura raggiunta e dalla durata dell'interruzione.
La difesa, almeno sulla carta, passa da alcune regole fondamentali: niente controllori direttamente esposti a Internet, accessi da remoto protetti da VPN e autenticazione a due fattori, password sicure e account individuali. Le reti che gestiscono frigoriferi e congelatori devono inoltre essere separate da quelle degli uffici e da quelle accessibili al pubblico. Infine, aggiornare regolarmente software e firmware e sostituire i dispositivi che non ricevono più aggiornamenti.
Indicazioni in linea con le raccomandazioni delle autorità internazionali. L'Agenzia europea per la cibersicurezza (ENISA), dopo la nuova ondata di attacchi registrata all'inizio di novembre, ha di fatto invitato le organizzazioni interessate ad adottare immediatamente misure per ridurre l'esposizione dei sistemi vulnerabili.
Perché se un hacker riesce a mettere le mani sul termostato di un supermercato, il rischio è che a pagare il conto non sia soltanto il commerciante, ma anche il consumatore.