211service.com
Gli hacker potrebbero far saltare in aria le fabbriche usando le app per smartphone
Eni | flickr
Molte aziende consentono ai lavoratori di monitorare e gestire le macchine, e talvolta interi processi industriali, tramite app mobili. Le app promettono guadagni di efficienza, ma creano anche obiettivi per attacchi informatici. Nel peggiore dei casi, gli hacker potrebbero sfruttare i difetti per distruggere le macchine e potenzialmente intere fabbriche.
Due ricercatori sulla sicurezza, Alexander Bolshev di IOActive e Ivan Yushkevich di Embedi, hanno passato l'anno scorso a esaminare 34 app di aziende tra cui Siemens e Schneider Electric. Essi fondare un totale di 147 falle di sicurezza nelle app, che sono state scelte a caso dal Google Play Store. Bolshev ha rifiutato di dire quali società fossero i peggiori trasgressori o di rivelare i difetti in app specifiche, ma ha affermato che solo due delle 34 non ne avevano affatto.
Alcune delle vulnerabilità scoperte dai ricercatori consentirebbero agli hacker di interferire con il flusso di dati tra un'app e la macchina o il processo a cui è collegata. Quindi un ingegnere potrebbe essere indotto con l'inganno a pensare che, ad esempio, una macchina funzioni a una temperatura sicura quando in realtà si sta surriscaldando. Un altro difetto consentirebbe agli aggressori di inserire codice dannoso su un dispositivo mobile in modo che emetta comandi non autorizzati ai server che controllano molte macchine. Non è difficile immaginare che ciò causi caos in una catena di montaggio o esplosioni in una raffineria di petrolio.
Bolshev afferma che questa combinazione di app e sistemi di controllo industriale è un cocktail molto pericoloso e vulnerabile, anche se sottolinea che il rischio varierà ampiamente. Alcune aziende potrebbero disporre di più sistemi fail-safe che limitano i potenziali danni. Potrebbero anche insistere sul fatto che gli ingegneri facciano affidamento su diverse origini dati per una macchina piuttosto che su una singola lettura da un'app.
Ciò non è del tutto rassicurante, tuttavia, perché ci sono prove che gli hacker sono già stati in grado di eludere le difese più ampie attorno agli impianti di produzione (vedi Un nuovo hack industriale mette in evidenza i buchi informatici nella nostra infrastruttura). E i rischi si estendono ad altre aree; anche centrali elettriche e sistemi di trasporto vengono collegati a Internet. Anche le app mobili potrebbero rivelarsi punti deboli.
I ricercatori affermano di non aver esaminato se qualcuno dei difetti sia stato effettivamente sfruttato. Prima di pubblicare le loro scoperte, hanno contattato le aziende le cui app avevano dei difetti. Alcuni hanno già riparato i fori; molti devono ancora rispondere.
Beau Woods, membro dell'innovazione per la sicurezza informatica presso l'Atlantic Council, afferma che c'è un dilemma per le aziende. L'ultima cosa che vuoi in caso di emergenza, dice, è che gli operatori siano bloccati fuori da un sistema critico, quindi sono progettati per essere accessibili in più modi, ad esempio tramite app mobili. Ma l'aggiunta di questa connettività aggiunge anche l'esposizione ai cattivi.