Cyberattacchi in Europa: cosa ci insegnano i supermercati colpiti

I recenti attacchi ai sistemi di refrigerazione di numerosi supermercati europei sollevano interrogativi sulla sicurezza delle infrastrutture connesse. Come possono gli attaccanti compromettere dispositivi industriali e come possono le aziende accorgersene prima che sia troppo tardi?

Nelle ultime settimane, una serie di cyberattacchi ai danni di supermercati europei, dalla Francia all'Italia, ha destato preoccupazione. Nel mirino sono finiti i sistemi di controllo della refrigerazione, con conseguenze sulla conservazione degli alimenti.

Il 2 novembre è emersa inoltre la notizia di un attacco ai sistemi di supervisione delle celle frigorifere dell'Établissement français du sang, l'ente francese responsabile della raccolta e della distribuzione del sangue. Secondo le informazioni riportate, il sistema di allarme avrebbe rilevato tempestivamente le anomalie, consentendo di intervenire prima che venissero compromesse le sacche di sangue.

 

Questi episodi sollevano una questione fondamentale: quanto sono sicure le infrastrutture connesse e come possono le aziende riconoscere un'intrusione prima che provochi danni? Ne abbiamo parlato con Davide Piccolo, esperto di cybersecurity di Konverto. 

 

 

Come può un attaccante compromettere un impianto industriale?

 

Dai sistemi di refrigerazione agli impianti produttivi, sempre più infrastrutture sono connesse alla rete e gestibili da remoto. Una possibilità che semplifica manutenzione e operatività, ma che introduce anche nuovi rischi. Le indagini sui recenti episodi non hanno ancora chiarito pubblicamente l'intera dinamica degli attacchi. Tra le possibili vie d'accesso figurano interfacce esposte su Internet, credenziali deboli, firmware obsoleti e accessi di manutenzione insufficientemente protetti.

 

«Molti impianti industriali sono dotati di piattaforme di gestione remota che consentono ai fornitori di effettuare controlli, manutenzione e aggiornamenti senza intervenire fisicamente sul posto», spiega Davide Piccolo. Anche la compromissione delle credenziali di un fornitore potrebbe consentire l'accesso alle piattaforme di controllo dei clienti. Il rischio aumenta quando un unico operatore gestisce dispositivi distribuiti in numerose sedi.

 

La sicurezza non può quindi fermarsi ai confini della rete aziendale, ma deve comprendere anche gli accessi dei partner tecnologici e l'intera catena di fornitura, un tema centrale nella direttiva europea NIS2.

 

 

Come prevenire attacchi simili?

 

La prevenzione richiede l’adozione di misure di sicurezza mirate: applicare regolarmente patch e aggiornamenti a software e firmware, evitare l’esposizione diretta su Internet delle interfacce di amministrazione e dei servizi di gestione e consentire l’accesso remoto esclusivamente attraverso canali protetti, come VPN, abbinati ad autenticazione a più fattori (MFA).

 

Altrettanto importante è la segmentazione della rete, che permette di separare gli impianti industriali dagli altri sistemi aziendali, riducendo il rischio di propagazione di un attacco. Vulnerability assessment e penetration test periodici aiutano inoltre a individuare eventuali punti deboli.

Ma anche un'infrastruttura ben protetta può essere compromessa. La vera sfida è accorgersene tempestivamente.

 

 

Proteggere non basta: l'importanza del monitoraggio continuo

 

«Per individuare un possibile attacco è essenziale avere visibilità su ciò che accade nella rete: chi accede ai sistemi, da dove provengono le connessioni e quali attività vengono eseguite», sottolinea Piccolo.

Accessi insoliti, connessioni non autorizzate o comportamenti anomali possono rappresentare i primi segnali di una compromissione. Senza un monitoraggio adeguato, però, rischiano di passare inosservati.

 

 

È qui che entra in gioco il Security Operations Center (SOC), una struttura dedicata al monitoraggio continuo degli eventi di sicurezza, all'individuazione delle minacce e al coordinamento degli interventi.

«È fondamentale conoscere la propria infrastruttura, avere visibilità sugli accessi e stabilire chi è responsabile della gestione degli eventi di sicurezza», evidenzia l'esperto Konverto.

 

 

E se l'attacco è già in corso?

 

In caso di attacco, è essenziale identificare rapidamente i sistemi compromessi, contenere la minaccia e intervenire secondo procedure precise, senza compromettere inutilmente la continuità operativa.

«Un SOC consente di rilevare tempestivamente le anomalie, coordinare gli interventi e supportare il ripristino sicuro dei sistemi», spiega Piccolo.

 

 

La sicurezza dipende anche da ciò che siamo in grado di vedere

 

I recenti attacchi ai supermercati europei dimostrano quanto la cybersecurity sia strettamente legata alla continuità operativa. Un dispositivo di controllo, un accesso remoto o un sistema non aggiornato possono diventare punti di vulnerabilità con conseguenze per l'intera organizzazione.

 

La sicurezza non dipende soltanto dalla capacità di impedire un attacco, ma anche da quella di riconoscerlo tempestivamente. Per questo, protezione, monitoraggio continuo e capacità di risposta devono procedere insieme.