Le dimensioni non contano: gli hacker puntano alla catena di fornitura delle aziende

Nel contesto economico globale contemporaneo, la trasformazione digitale ha reso le catene di fornitura sempre più interconnesse e complesse. Di conseguenza, la sicurezza informatica non riguarda più soltanto la protezione dei singoli perimetri aziendali, ma si estende all’intero ecosistema di partner, fornitori e servizi terzi.

Comprendere questa dinamica è diventato un requisito fondamentale per garantire la continuità operativa e la resilienza del business.

L’illusione della “piccola fortezza” e la realtà del perimetro esteso

Per oltre due decenni, nei consigli di amministrazione e negli uffici direzionali delle imprese europee è circolata una convinzione tanto rassicurante quanto infondata: “Siamo troppo piccoli per interessare a un gruppo hacker” o, all’opposto, “Siamo abbastanza grandi e strutturati da poter erigere una fortezza inespugnabile”.

Entrambe le prospettive poggiano su un presupposto superato: l’idea che la sicurezza sia una questione volumetrica, legata al fatturato, al numero di dipendenti o al valore nominale dei dati custoditi nei database centrali.

Il panorama delle minacce contemporanee ha spazzato via questa illusione. Nell’ecosistema economico moderno, iper-interconnesso e distribuito, l’aggressore non ragiona per dimensioni societarie, ma per vettori di propagazione e interdipendenze di filiera.

Se un attore malevolo non riesce a forzare direttamente le mura di un grande gruppo, o se intende massimizzare l’impatto sistemico con il minimo sforzo, non sferra un attacco frontale: individua l’anello debole della catena di fornitura – un manutentore d’impianti, un fornitore di software verticale, un gestore logistico, una PMI terza con credenziali di teleassistenza – e lo trasforma nel proprio cavallo di Troia.

Quando un’organizzazione apre le proprie infrastrutture a fornitori e partner, il perimetro di sicurezza cessa di coincidere con le quattro mura aziendali.

Dalla teoria alla cronaca: i frigoriferi della GDO e il sabotaggio sistemico

Quanto accaduto in queste ore in Italia e in diversi Paesi europei – dalla Svezia al Belgio, dalla Francia ai punti vendita della grande distribuzione in Sicilia e nelle filiere alimentari del Centro-Nord – rappresenta il manifesto tangibile di questo cambio di paradigma.

Centinaia di supermercati e hub della catena del freddo si sono ritrovati con i sistemi di refrigerazione industriale manomessi da remoto: banchi freezer surriscaldati fino a temperature elevate attraverso l’attivazione forzata dei cicli di sbrinamento, allarmi notturni silenziati via software e tonnellate di derrate alimentari distrutte prima ancora dell’apertura al pubblico.

Non si è trattato di un classico data breach orientato all’esfiltrazione di informazioni personali, né del consueto schema ransomware finalizzato al blocco amministrativo per riscatto monetario.

Si è trattato di un’azione coordinata contro la Operational Technology (OT) e i sistemi di telecontrollo industriale e IoT affidati alla manutenzione remota di terze parti.

I tre fattori critici

La dinamica tecnica ed operativa evidenzia tre fattori critici:

• L’invisibilità dell’accesso terzo: gli attaccanti non hanno avuto bisogno di scavalcare complessi firewall bancari o corporate; hanno sfruttato canali di telemetria, porte di manutenzione remota, controller impiantistici e credenziali operative condivise lungo la catena dei fornitori di servizi HVAC/R (riscaldamento, ventilazione, condizionamento e refrigerazione).
• La neutralizzazione del rilevamento: manomettendo i setpoint e sopprimendo le notifiche di emergenza destinate ai tecnici reperibili, l’incursione ha operato al riparo da ogni controllo per ore cruciali, spezzando la catena del freddo e trasformando un disservizio informatico in un’emergenza sanitaria ed economica concreta.
• L’effetto domino: è bastata la compromissione di piattaforme e componenti di gestione impiegati da fornitori terzi, l’impatto si è propagato istantaneamente a macchia d’olio attraverso catene indipendenti in mezza Europa, paralizzando indistintamente grandi insegne multinazionali, punti vendita in franchising e operatori locali della trasformazione alimentare.

Anatomia dell’attacco alla supply chain: la fiducia come vulnerabilità

Per comprendere la portata del rischio, occorre analizzare la meccanica profonda di una violazione della supply chain.

I cyber criminali non cercano la sfida tecnologica più complessa; cercano l’efficienza economica ed operativa.

La catena di fornitura offre loro una leva asimmetrica formidabile grazie a tre vettori principali:

• Sfruttamento della fiducia pre-autorizzata (Trusted Access): ogni volta che un’azienda autorizza una VPN permanente verso un fornitore software, una software house di contabilità, una società di pulizie smart o un manutentore degli impianti tecnologici, crea un canale esente da verifiche continue. L’attaccante che compromette il fornitore eredita automaticamente i privilegi e la fiducia accordati a quest’ultimo.
• Dipendenze software e hardware a cascata (Upstream Vulnerabilities): nessuna azienda sviluppa o gestisce il 100% delle proprie tecnologie in isolamento. Dalle librerie open source nei gestionali interni fino ai firmware dei dispositivi industriali, un difetto o una backdoor inserita alla radice della filiera si propaga a tutti gli utenti a valle senza che questi abbiano commesso alcun errore operativo diretto.
• Asimmetria di maturità cibernetica: una grande impresa può spendere cifre importanti in difese perimetrali e SOC (Security Operations Center), ma se il suo fornitore di secondo livello gestisce credenziali amministrative su fogli di calcolo non protetti o con password predefinite di fabbrica, l’intera barriera difensiva della prima viene aggirata con un semplice clic.

Il quadro normativo europeo: la fine della tolleranza

L’illusione che la gestione dei terzi sia una faccenda puramente commerciale è stata definitivamente archiviata dal legislatore europeo.

L’ondata normativa che sta rimodellando il mercato comunitario – guidata dalla Direttiva NIS2, dal Regolamento DORA nel settore finanziario e dal Cyber Resilience Act (CRA) per i prodotti connessi – poggia su un principio cardine: la responsabilità della sicurezza include inderogabilmente la gestione del rischio di filiera.

La NIS2, in particolare, non si limita a imporre obblighi di sicurezza e tempestività nelle notifiche (pre-allarmi entro 24 ore e notifiche formali entro 72 ore al CSIRT competente per gli incidenti significativi), ma stabilisce che la sicurezza della catena di fornitura sia parte integrante della governance aziendale (Articolo 21).

Le organizzazioni rientranti nel perimetro – o che ambiscono a essere partner di tali soggetti – sono tenute a valutare la qualità delle misure di sicurezza adottate dai propri fornitori e subfornitori diretti.

Questo produce una conseguenza inevitabile per tutto il tessuto economico:

• Le PMI non incluse direttamente nell’elenco dei soggetti “essenziali” o “importanti” vengono comunque investite dai requisiti contrattuali imposti dai loro clienti più strutturati.
• Chi non è in grado di dimostrare conformità, processi di gestione del rischio certificabili e postura difensiva verificata viene progressivamente escluso dalle gare, dagli albi fornitori e dalle partnership strategiche.
• L’organo di gestione aziendale (Consiglio di Amministrazione, Amministratore Delegato, vertici esecutivi) risponde direttamente della mancata adozione di adeguate misure di sicurezza e governance del rischio, con sanzioni che non colpiscono più solo i budget IT, ma investono la responsabilità degli amministratori e il fatturato globale dell’impresa.

Dalla teoria alla governance pratica: il framework di gestione dei terzi

Affrontare la sicurezza della catena di fornitura non significa interrompere le collaborazioni esterne o moltiplicare all’infinito i contratti cartacei; significa dotarsi di un modello di governance del rischio dei terzi (Third-Party Risk Management – TPRM) pragmatico, misurabile e continuo.

Le organizzazioni resilienti traducono questa necessità in cinque azioni fondamentali:

• mappatura e categorizzazione critica del parco fornitori;
• revisione contrattuale e “Security SLA”;
• segmentazione architettonica e principio del minimo privilegio;
• canali di emergenza e resilienza “Out-of-Band”;
• audit periodici e cultura della trasparenza.

Mappatura e categorizzazione critica del parco fornitori

Non tutti i fornitori presentano il medesimo livello di rischio. È indispensabile condurre un inventario rigoroso non solo dei fornitori di beni materiali, ma soprattutto di chi possiede:

• accessi logici e remoti all’infrastruttura di rete interna (IT e OT);
• trattamento di dati strategici, confidenziali o personali (GDPR);
• fornitura di servizi essenziali la cui interruzione causerebbe la paralisi dell’operatività o un danno irreversibile al brand (BIA – Business Impact Analysis).

Revisione contrattuale e “Security SLA”

I contratti con le terze parti devono superare le clausole standard di manleva legale e definire requisiti operativi verificabili:

• obbligo immediato di notifica degli incidenti informatici subiti dal fornitore entro finestre temporali stringenti;
• imposizione dell’autenticazione a più fattori (MFA) su qualsiasi porta di accesso remoto o portale di assistenza;
• diritto periodico di audit o richiesta di attestazioni e certificazioni internazionalmente riconosciute (quali gli standard ISO/IEC 27001, ISO 22301 o report SOC 2).

Segmentazione architettonica e principio del minimo privilegio

Nessun fornitore, manutentore o dispositivo connesso deve avere accesso a segmenti di rete non strettamente necessari alla propria mansione.

• Le reti industriali, IoT e di gestione degli impianti (OT) devono essere rigidamente isolate e compartimentate tramite VLAN e firewall dedicati, separate dai sistemi gestionali e amministrativi.
• Gli accessi terzi devono essere gestiti su base temporanea (Just-in-Time), monitorati in tempo reale e revocati automaticamente al termine dell’intervento.

Canali di emergenza e resilienza “Out-of-Band”

Gli eventi che hanno colpito la grande distribuzione hanno evidenziato un punto debole: quando gli allarmi viaggiano sullo stesso canale software manomesso, l’azienda naviga alla cieca.

• I parametri critici di sicurezza fisica e industriale (temperature, pressioni, alimentazione) devono prevedere sonde secondarie con canali di notifica indipendenti (out-of-band), non disattivabili dal software di telemetria standard.
• I piani di Business Continuity e Disaster Recovery devono essere testati con simulazioni reali di indisponibilità totale delle connessioni e dei servizi terzi, misurando gli indici RTO (Recovery Time Objective) e RPO (Recovery Point Objective).

Audit periodici e cultura della trasparenza

La fiducia cieca non è una strategia difensiva. Programmare verifiche regolari, gap analysis di conformità e sessioni congiunte di security awareness garantisce che l’intera catena mantenga una soglia di allerta proporzionata alle minacce reali.

Un fornitore che collabora attivamente alla trasparenza dei processi non è un elemento di rischio, ma un moltiplicatore di valore competitivo.

Guardare oltre la recinzione: l’hacker attacca la catena di fornitura

La vulnerabilità della filiera alimentare europea dimostra che l’hacker non attacca più per vanità o per sfidare il bersaglio più visibile: si infiltra per causare la massima interruzione con la minima frizione, approfittando del presupposto che “qualcun altro” si stia occupando della sicurezza.

La sicurezza moderna non è il risultato di un singolo investimento in hardware o dell’acquisto dell’ultimo software di protezione.

È una disciplina di metodo, governance e visione d’insieme, in cui la solidità della propria impresa è strettamente legata a quella del più modesto dei propri partner di servizio.