Nuova frontiera della cyber security sono gli attacchi alle società che gestiscono reti di importanza critica: ultimo in ordine di tempo, ma se ne contano – come vedremo – un numero sempre crescente, quello commesso ai danni di una centrale elettrica in Florida, con un tentativo di avvelare la popolazione alternando la composizione chimica dell’acqua potabile.
L’attacco è stato fortunatamente sventato prima che potesse fare danni, ma non può non farci riflettere sulle vulnerabilità dell’intera catena del valore dell’elettricità, dal punto di generazione fino ai consumatori.
Un attacco ben riuscito potrebbe erodere la fiducia del pubblico nei confronti di quella determinata utility e aumentare i dubbi sulla sicurezza di tutti i dispositivi esistenti nella catena del valore.
Sviluppare strategie efficaci per proteggere le reti intelligenti da potenziali violazioni informatiche è quindi sia un imperativo categorico, sia un’istanza che presenta un certo carattere d’urgenza.
Il fine che si prefigura la presente analisi è quello di mettere in luce le dinamiche concrete del fenomeno appena presentato, raccontando i rischi ai quali, oggi, vanno incontro le multinazionali del secondo settore.
Il settore dell’energia elettrica: una minaccia concreta
A essere maggiormente nel mirino è proprio il settore dell’erogazione dell’energia elettrica.
Da un’indagine svolta su un campione di più di 100 dirigenti di aziende del settore, effettuata in oltre 20 paesi del mondo, è stato rilevato che oggi la preoccupazione prima, a fronte di un attacco informatico, sia l’interruzione dell’erogazione di elettricità (il 57 per cento si ritiene molto preoccupato a tale proposito), seguito dalla sicurezza per dipendenti e/o clienti (53 per cento) e dai danni agli asset fisici della rete (43 per cento).
Questo dato emerge dal rapporto annuale effettuato da Accenture, Outsmarting Grid Security Threats, realizzato nell’ambito del programma di ricerca Digitally Enabled Grid.[1]
Come se non bastasse, le utility sono sempre più esposte alla crescita dei dispositivi domestici connessi all’Internet Of Things; e, nonostante l’esposizione al rischio non sia quantificabile con esattezza, il 77 per cento degli interpellati ritiene comunque che l’IoT veicoli potenziali minacce di natura cibernetica.
Le differenze variano da paese a paese: in Asia e in Europa, esperti ritengono che il rischio interessi in maggior misura le attività di distribuzione, mentre per il Nord America il pericolo maggiore è rappresentato dagli attacchi ai siti di governo.
Come risulta dal rapporto, i dirigenti aziendali – dal Nord America al continente asiatico, passando per l’Europa – si aspettano di ricevere almeno un attacco informatico nei prossimi cinque anni.
Anche se non esiste un unico percorso per procedere, ci sono alcune mosse che qualsiasi catena di distribuzione aziendale dovrebbe considerare per rafforzare la resilienza e la risposta agli attacchi informatici, fra cui:
- Integrazione della resilienza nella progettazione delle risorse e dei processi, con l’inclusione della sicurezza fisica e informatica;
- Condivisione di dati e informazioni come attività indispensabile per aiutare a creare consapevolezza sul panorama delle minacce informatiche e su come prepararsi di conseguenza;
- Sviluppo di modelli di governance della gestione della sicurezza e delle emergenze.
“Smart grid”: cosa sono
La traduzione immediata di questa espressione è “rete intelligente”. Ma di che tipo di rete stiamo parlando, qual è la su funzione e, soprattutto, perché dovrebbe essere intelligente?
Oggi è all’ordine del giorno l’uso di concetti preceduti dalla parola “smart”: smart city, smart work, smart car, non da ultimo “smart grid”.
Anche il linguaggio si è adeguato all’era della digitalizzazione, ragion per cui si è pensato ad un nuovo paradigma di riferimento, atteso che con l’evoluzione tecnologica, anche le stesse città si trasformano.
Nella fattispecie, smart grid non è altro che un insieme di reti che, grazie allo scambio reciproco d’informazioni, permettono di gestire e monitorare la distribuzione di energia elettrica da tutte le fonti di produzione. Allo stesso tempo, consentono di soddisfare le diverse richieste di elettricità degli utenti collegati, produttori e consumatori in maniera più efficiente, razionale e sicura.
I benefici delle reti intelligenti
L’adozione di reti intelligenti consente diversi benefici: primo fra tutti assicura l’integrazione della generazione distribuita, in secondo luogo contribuisce a ridurre i tempi di interruzione elettrica.
Essendo sistemi di produzione di elettricità ricavati da fonti rinnovabili, sotto forma di unità di piccola produzione, (ad esempio gli impianti fotovoltaici residenziali o aziendali o le piccole centrali a biomassa), sono allacciati direttamente alla rete elettrica di distribuzione.
La gestione bidirezionale dell’energia
Un’altra novità importante introdotta delle smart grid è la gestione bidirezionale dell’energia: potendo riceverla, ma anche immetterla nel sistema quando è in eccesso, essa redistribuisce il flusso in tempo reale e a seconda degli effettivi bisogni.
Ciò sicuramente permette al nuovo modello, rispetto alla tradizionale centrale elettrica, di lavorare in modalità integrata con la distribuzione dei servizi essenziali.
Riduzione degli sprechi grazie agli smart device
Per raggiungere questi obiettivi, le smart grid contano su dispositivi intelligenti, tali da permettere uno scambio continuo di informazioni tra tutti i nodi. In tal modo, oltre a ovviare a falle del sistema, permette di ridurre gli sprechi. Da qui il suo valore di rete efficiente, o intelligente.
Gli smart device che fanno parte della rete intelligente sono sensori, smart meter, computer e altri apparati tecnologici, afferenti al sempre più imperante mondo dell’IOT.
Flessibilità
La sua flessibilità è un altro vantaggio: è in grado di accettare energia da qualsiasi fonte, rinnovabile o no, anche se la nascita delle smart grid è prevalentemente legata all’introduzione delle fonti rinnovabili nel sistema.
Caratteristiche tecnologiche delle smart grid
Le caratteristiche tecnologiche innovative delle smart grid riguardano principalmente la gestione della generazione distribuita, permettendo anche l’ottimizzazione delle fonti rinnovabili, e si distinguono rispetto a una rete elettrica tradizionale principalmente per i due aspetti peculiari già accennati:
- funzionamento bidirezionale
- abbinamento a dispositivi “intelligenti” (ICT).
L’evoluzione della rete elettrica scaturisce anche per la presenza di nuovi elementi dalla parte della produzione e dalla parte dell’utilizzo di energia elettrica. Infatti, si hanno:
- Fonti rinnovabili non programmabili (fotovoltaico, eolico).
- Generazione distribuita.
- Nuove tipologie di utenti: prosumer; veicoli elettrici.
Il dato fondamentale che distingue le smart grid rispetto alle reti elettriche tradizionale, è l’importanza di un sistema di comunicazione e di informazioni, composto da dispositivi intelligenti, sistemi di contatori di energia, sistemi di misura e sensori, tutti interconnessi tra di loro.
Questa interconnessione, insieme con l’impiego di algoritmi evoluti, permette la gestione intelligente dei flussi di energia, integrando i vari sistemi di generazione con le esigenze degli utilizzatori e dei diversi protagonisti che subentrano nella rete energetica.
Attacco alla centrale elettrica in Florida: cosa è successo?
Il cyber attacco alla centrale elettrica in Florida è avvenuto all’inizio di febbraio 2021, per l’esattezza venerdì 5.
È noto come il cyber criminale abbia l’imbarazzo della scelta fra un numero di tecniche in crescita costante attraverso cui condurre le proprie attività: può inquinare intere reti riempendole di virus (botnet), può innescare un attacco cosiddetto “man in the middle” (MITM) durante una comunicazione tra due router, può operare tramite server di rete, mandando email pishing a tutti i computer connessi, oppure più semplicemente servirsi di piattaforme dall’uso abbastanza comune.
In questo caso, si è strategicamente fatto uso di un software proprietario mediamente conosciuto, TeamViewer, che di norma funge da applicazione per controllo da remoto, condivisione di desktop, riunioni online e simili funzioni di supporto ad altri dispositivi.
Dalle ricostruzioni degli esperti trapela il fine ultimo di mandare in shutdown il sistema idrico di Oldsmar, città della Florida, modificandone da remoto la quantità di idrossido di sodio (NaOH).
Fortunatamente, l’attacco è stato sventato prima che potesse causare danni alla popolazione: l’idrossido di sodio, anche conosciuto come soda caustica, è un reagente che viene immesso nell’acqua per regolare i livelli di acidità, ma assumerne quantità elevate può essere letale per gli esseri viventi poiché composto da materiale ad alto tasso corrosivo.
L’attribuzione gioca un ruolo chiave in queste dinamiche: saperla riscontrare richiede un lavoro di intelligence molto complesso e tempistiche non brevi ma, una volta accertata, permette non solo di identificare il soggetto e il suo grado di punibilità, di aprire un eventuale fascicolo d’indagine a carico del soggetto, ma anche di far scattare sanzioni commisurate su danni materiali, civili ed economici arrecati. Entrano in gioco diverse branche del Diritto fra cui, oltre a quello Penale, anche il Civile per responsabilità da fatto illecito ex art. 2043 cc.
Non essendo però ancora chiaro chi vi sia dietro l’attacco alla centrale in Florida, si può solo discutere in ordine a ciò che riguarda l’azione.
Attacco SolarWinds: come ha cambiato lo scenario cyber mondiale e quali scelte impone
Il parere degli esperti
Tuttavia, gli esperti ritengono che a destare il sospetto, non siano tanto le modalità dell’intromissione del worm, quanto effettivamente il tipo di target sul quale la scelta del cyber offensore è ricaduta.
Daniel Kapellmann Zafra, Manager of Analysis, Mandiant Threat Intelligence, commenta dicendo che “A partire dallo scorso anno, Mandiant Threat Intelligence ha osservato un aumento degli attacchi informatici da parte di hacker con l’obiettivo di accedere e conoscere i sistemi industriali accessibili in remoto. Attraverso l’interazione da remoto con questi sistemi, gli hacker hanno svolto operazioni a impatto limitato, ma nessuna di queste ha provocato danni a persone o infrastrutture.”
Fra l’altro, vorremmo precisare, quello appena avvenuto il Florida non è certo il primo caso di attacco ad una utility di cui il mondo abbia memoria.
figura 1 la variabile che identifica “l’ora della morte di stuxnet” è quella inserita nel rettangolo rosso, che si traduce al 24 giugno 2012 nel formato standard di data e ora di windows a 64 bit
Il caso Stuxnet
Nel 2009, un caso molto simile vedeva come protagonista la centrale nucleare di Natanz, in Iran. In quel caso, l’intrusione del worm Stuxnet fu effettuata attraverso un dispositivo usb inserito in computer che collegava sia i devices della centrale, sia quelli di altre aziende connessi alla medesima banda di rete. Con il risultato di sabotare le turbine della centrale e quindi danneggiarla gravemente.
Ma qual era lo scopo ultimo di Stuxnet?
Dopo diverse analisi, gli orientamenti si divisero sul punto, ma la corrente maggioritaria oggi ritiene che la motivazione della spedizione fosse politica, da attribuire agli Stati Uniti che, d’accordo con lo Stato di Israele, rifiutavano di concludere i negoziati sul nucleare con l’Iran.
Ciò che accomuna l’attacco alle due centrali non è quindi l’azione, né la modalità di esecuzione, ma esclusivamente la scelta del target.
Gli analisti concordano che Stuxnet ha evitato una escalation potenzialmente nucleare, facendo arretrare di anni i progetti dell’Iran e costringendolo a tornare sul tavolo delle negoziazioni. Senza spargere sangue, senza un soldato impiegato.
Un successo immediato, quindi, ma che ha innescato uno scenario dove molti attori statali, Russia ma anche la stessa Iran, hanno capito di dover affinare le armi del cyber sabotaggio e cyber spionaggio.
Insomma, azioni che non sono mirate alla ricerca del guadagno finanziario, che resta ancora il fine prevalente degli attacchi cyber.
Adesso molti discutono se attacchi finalizzati ad arrecare un danno significativo a una Nazione o ai suoi cittadini ricada nell’alveo di un classico “atto di guerra” disciplinato dallo jus ad bellum[2].
Alcuni dei principali attacchi cyber a utility
Sebbene il primo malware della storia a guadagnarsi l’attenzione dei media sia stato, nel lontano 1988, il Morris Worm, non era ancora nell’uso dei cyber offensori scegliere quale bersaglio privilegiato le utility.
I primi episodi che, in questo senso, hanno fatto tremare il mondo risalgono ai primi anni 2000.
Poco prima di Stuxnet, grande eco ebbe l’attacco sferrato nel 2007 all’Estonia dal più sedicente gruppo di hacktivisti dell’Est Europa, un episodio che ha sconsacrato l’inizio della guerra informatica russa.
Lo si ricorda come un attacco cibernetico in grande stile, capace di far scattare l’art. 5 dello Statuto della Nato che prevede la difesa collettiva a favore di un paese aggredito, membro dell’Alleanza.
Nel 2013, hacker iraniani furono sorpresi mentre tentavano di mettere le mani su una piccola diga a New York.
Nel 2015 e 2016 gli hacker russi – si presume siano afferenti allo stesso gruppo di cui più sopra – hanno interrotto l’elettricità prima in alcune aree dell’Ucraina occidentale, poi nella capitale Kiev.
Nel 2017, gli stessi, furono fermati poco prima di riuscire a sabotare una centrale elettrica americana ma si riscattarono immediatamente con un attacco informatico contro un impianto petrolchimico saudita, arrivando a disabilitarne i sistemi di sicurezza.
Direttiva NIS, così è l’attuazione italiana (dopo il recepimento): i punti principali del decreto
In Italia, il Perimetro di sicurezza nazionale cibernetica
Tutto ciò considerato, non è un caso, dunque, che sin dal 2018 l’Unione europea abbia inserito con una certa lungimiranza, all’interno del campo di applicazione della Direttiva Nis (Network and Information Security) anche i fornitori e i distributori dei servizi idrici.
Anche il Legislatore italiano, attraverso il Perimetro di sicurezza nazionale cibernetica – pubblicato con DPCM 30 luglio 2020, n. 131, in Gazzetta Ufficiale ed entrato in vigore lo scorso 5 novembre – si sta dimostrando particolarmente attento alla sicurezza degli “operatori pubblici e privati che erogano un servizio essenziale per gli interessi dello Stato”.
Qualora uno dei soggetti elencati nel documento dovesse rimanere vittima di un attacco cyber, sarà obbligato ad informare, entro e non oltre le 6 ore dall’inizio dello stesso, lo CSIRT (Computer Security Incident Response Team – Italia), il gruppo di esperti istituito presso il DIS (Dipartimento delle Informazioni per la Sicurezza della Presidenza del Consiglio dei ministri).
In caso di grave violazione, verrà attivato il Nucleo per la sicurezza cibernetica (NSC) presieduto dal professor Roberto Baldoni, il cui compito è quello di proporre al Presidente del Consiglio una possibile risposta all’attacco e coordinare il ripristino del servizio.
Nello specifico, è l’art. 3 che individua i settori di priorità a cui appartengono i soggetti inclusi nel Perimetro:
- interno;
- difesa;
- spazio e aerospazio;
- energia;
- telecomunicazioni;
- economia e finanza;
- trasporti;
- servizi digitali;
- tecnologie critiche;
- enti previdenziali/lavoro.
Per restare in tema con quanto accaduto in Florida, l’acqua potabile non rientrerebbe nel Perimetro ma, come anticipato, rientra nelle tutele della direttiva Nis.
Perimetro di sicurezza nazionale cibernetica, ecco la strategia dell’Italia: i punti chiave
Una multilevel strategy contro i cyberattacchi
Inoltre, in Europa si sta lavorando nell’ottica di implementare una procedura uguale per tutti gli Stati membri in materia.
L’obiettivo è quello di lavorare adoperando una multilevel strategy: da un lato, continuare a monitorare il trend degli attacchi attraverso il lavoro tecnico degli analisti e dei servizi di intelligence; dall’altro, agire in maniera insistente e continuativa con strumenti di soft law, normative e direttive per fare il possibile affinché si possa allontanare il pericolo di subire le conseguenze disastrose di vere e proprie distruzioni di massa.
Occorre pertanto ribadire che, a differenza delle normali interruzioni che possono essere prevedibili e possono essere contenute in un dominio geograficamente limitato, il cyber-spazio non è limitato da confini chiari. Lo stesso attacco informatico può colpire più posizioni geografiche simultaneamente, rendendo più difficile contenerlo e restituire una risposta adeguata, oltre a richiedere diversi scenari di simulazione.
L’ esperienza della ricerca ha dimostrato che le sfide più grandi per una responsiveness efficace non sono fattori esterni. Per la maggior parte dei casi si tratta di:
- I silos culturali e organizzativi che esistono tra unità operative e tecnologiche.
Gli operatori di distribuzione ed i tecnici saranno incaricati al ripristino congiunto dei sistemi elettrici, OT e IT a seguito di un attacco. Pertanto, i silos devono essere suddivisi per poter individuare i segnali di un attacco e ripristinare i sistemi dopo lo stesso. Se questa suddivisione non venisse approntata efficacemente, potrebbe volerci il doppio del tempo per identificare la vulnerabilità, isolarla, riparare e recuperare il sistema da un attacco OT “di successo”.
- Il numero decrescente di personale disponibile ad operare sulla rete senza tecnologia.
Una volta che la tecnologia è sconnessa dalla rete, il monitoraggio e il funzionamento del sistema – fino a quando la tecnologia non viene ripristinata – è molto laborioso. Richiede la disponibilità di tecnici per monitorare le tensioni, di professionale qualificato per azionare manualmente gli interruttori e un aumento del carico di lavoro per gli operatori di sistema. Questo potrebbe mettere a dura prova le capacità delle utility.
La necessità di sicurezza informatica è quindi una realtà necessaria e partecipe del settore industriale.
Mentre le reti di distribuzione intelligenti devono affrontare alcune sfide specifiche, l’industria è esperta nel fornire energia affidabile a fronte di tempeste, guasti agli asset e incidenti.
La rete intelligente può, in ultima analisi, fornire la visibilità e il controllo per migliorare la robustezza della rete.
Tuttavia, la sicurezza informatica deve diventare una capacità fondamentale del settore, affinché protegga l’intera catena del valore ed il sempre più diffuso modello di ecosistema end–to-end.
Lo sviluppo di questa nuova capacità richiede innovazione continua, un approccio pratico alla scalabilità ed una propensione alla collaborazione con diversi partner per ottenere il massimo valore.
_______________________________________________________________________________
- Accenture Consulting, Outsmarting Grid Security Threats, 2017 https://www.cybersecitalia.it/wp-content/uploads/2018/01/Accenture-Outsmarting-Grid-Security-Threats-POV.pdf ↑
- G. Guastella, Stuxnet (Iran, 2009) – Il case study per disarticolare la Cyber War, ICT Security Magazine, 8 gennaio 2021.
https://www.ictsecuritymagazine.com/articoli/stuxnet-iran-2009-il-case-study-per-disarticolare-la-cyber-war/ ↑
