Poco sicuri i controlli industriali connessi a Internet

Secondo una recente indagine di Kaspersky Lab, fornitore di software per la sicurezza informatica, il 91% dei sistemi di controllo industriale (Industrial Control Systems, ICS) connessi a Internet sarebbe esposto a minacce di sicurezza informatica. Questi sistemi, rileva l’azienda, sono stati originariamente progettati per operare in un ambiente fisicamente isolato, e quando vengono connessi a Internet possono aprire falle nella sicurezza informatica dell’azienda.
Gli esperti di Kaspersky Lab hanno infatti rilevato 13.700 sistemi di controllo industriale connessi a Internet che, molto probabilmente appartengono, a grandi gruppi, tra cui aziende che operano in settori strategici come energia, trasporti, aerospaziale, oil and gas, chimico, automotive, manifatturiero, alimentare e delle bevande, governativo, finanziario e istituzioni sanitarie. Il 91,1% di questi sistemi di controllo industriale presenta vulnerabilità che possono essere sfruttate da remoto – spiegano i ricercatori -. Ma c’è di peggio: il 3,3% degli ICS situati in queste organizzazioni contiene vulnerabilità critiche eseguibili da remoto

IL CYBERCRIME È GIÀ TRA NOI. Gli attacchi informatici alle infrastrutture critiche non sono solo ipotetici. L’anno scorso, un gruppo organizzato di hacker chiamato BlackEnergy ha attaccato un’azienda elettrica in Ucraina e altri due incidenti, apparentemente connessi a cyber attacchi, sono stati resi noti in Europa: a un’acciaieria in Germania e all’aeroporto Frederic Chopin di Varsavia.
Esporre i componenti ICS a Internet offre molte opportunità, ma anche diverse preoccupazioni di sicurezza. Da un lato, i sistemi connessi sono più flessibili in termini di reazione rapida alle situazioni critiche e di implementazione degli aggiornamenti. Ma, dall’altro lato, l’espansione di Internet offre ai cyber criminali la possibilità di controllare da remoto i componenti critici dei sistemi di controllo industriale, che possono comportare danni fisici alle attrezzature, oltre a un potenziale pericolo per l’intera infrastruttura critica.

QUALI LE PRINCIPALI MINACCE? Per aiutare le organizzazioni a identificare i punti deboli dei loro sistemi di controllo industriale, gli esperti di Kaspersky Lab hanno indagato le minacce per gli ICS. L’analisi, che è stata condotta nel 2015, si è basata sull’OSINT (Open Source Intelligence) e su informazioni provenienti da fonti pubbliche come ICS CERT.
In totale, sono stati identificati 188.019 impianti con componenti ICS accessibili via Internet in 170 Paesi. La maggior parte degli impianti accessibili da remoto con componenti ICS installati sono situati negli Stati Uniti (30,5% – 57.417) e in Europa. La Germania (13,9% – 26.142 impianti) si trova in testa alla classifica europea, seguita da Spagna (5,9% – 11.264) e Francia (5,6% – 10.578). Il 92% (172.982) dei sistemi di controllo industriale presenta vulnerabilità. L’87% di questi impianti ha vulnerabilità a rischio medio e il 7% presenta vulnerabilità critiche.
Secondo i ricercatori, il numero di vulnerabilità nei componenti ICS è aumentato di dieci volte negli ultimi cinque anni: da 19 vulnerabilità nel 2010 a 189 nel 2015. I componenti ICS più critici sono le interfacce uomo-macchina (Human Machine Interfaces, HMI), i dispositivi elettrici e i sistemi SCADA. Il 91,6% (172.338 impianti) dei dispositivi ICS accessibili dall’esterno usano protocolli di connessione a Internet deboli, che permettono ai criminali di condurre attacchi “man in the middle”.

PIÙ GRANDI, PIÙ VULNERABILI. “La nostra ricerca mostra che maggiori sono le dimensioni dell’infrastruttura ICS, maggiore è la probabilità che essa presenti significativi problemi di sicurezza – afferma Andrey Suvorov, Head of Critical Infrastructure Protection di Kaspersky Lab. -. La colpa non è del singolo vendor software o hardware. Per sua natura, l’ambiente ICS è un mix di diversi componenti interconnessi, molti dei quali sono collegati a Internet e contengono problemi di sicurezza”.
Per Suvorov, non ci sono garanzie al 100% che, in qualsiasi momento, un impianto ICS non abbia almeno un componente vulnerabile. “Tuttavia, questo non significa che non ci sia modo di proteggere dagli attacchi informatici una fabbrica, una centrale elettrica o un isolato di una smart city -aggiunge -. La semplice consapevolezza delle vulnerabilità dei componenti usati in uno specifico impianto industriale è il requisito essenziale per la gestione della sicurezza dell’infrastruttura”.