La minaccia

Energia e infrastrutture critiche fanno gola al cyber crime: crescono attacchi di sabotaggio e spionaggio informatico

Il nuovo studio “The State of the Station. A report on attackers in the energy industry” di F-Secure porta alla luce un aumento significativo degli attacchi informatici agli impianti produttivi nel settore dell’energia e alle infrastrutture critiche nazionali. Bisogna lavorare sulle vulnerabilità per ridurle

Pubblicato il 16 Apr 2019

Nicoletta Pisanu

L’energia e le infrastrutture critiche nazionali nel mirino del cyber crime. L’industria del settore è vulnerabile alle minacce informatiche e anche allo spionaggio industriale, perché spesso si servono di sistemi obsoleti al fine di risparmiare fondi. Lo rivela il nuovo report di F-Secure “The State of the Station. A report on attackers in the energy industry”, che presenta uno scenario inquietante: da una parte cyber criminali con tecnologie avanzate, dall’altra difese aziendali che potrebbero non essere adeguate e scarsa consapevolezza del valore della security.

Indice degli argomenti

I rischi delle infrastrutture critiche

Secondo F-Secure, i criminali hanno molto tempo a disposizione rispetto ai loro bersagli e possono metterci anche mesi per pianificare l’attacco. Da sottolineare come nel report si evidenzi che le persone, i dipendenti dell’azienda, sono apparentemente i bersagli dei criminali.

Il terreno è fertile, perché F-Secure ha rilevato una crescita esponenziale degli attacchi: “Il sabotaggio e lo spionaggio contro queste infrastrutture sono aumentati negli anni e non penso che abbiamo già visto tutto – spiega in una nota ufficiale Sami Ruohonen, Labs Threat Researcher di F-Secure -. I sistemi di controllo industriale vengono sempre più connessi a Internet, e un numero considerevole di sistemi CNI in uso oggi sono stati installati e costruiti prima che la connettività a Internet 24/7/365 fosse la norma e prima dell’avvento di Stuxnet. Molti componenti di Operational Technology (OT) hanno funzionalità integrate di gestione remota, ma sono parzialmente o totalmente privi di protocolli di sicurezza come l’autenticazione”.

I sistemi vetusti sono un problema anche perché la Security non rappresentava una minaccia realistica al tempo della loro produzione e protocolli e sistemi legacy non avevano i controlli di sicurezza integrati. La transizione di questi sistemi su internet li ha esposti alle minacce.

Chi compie gli attacchi?

Dal report si evince che cyber criminali diversi, spinti da motivi diversi, cercano costantemente di compromettere la gestione delle infrastrutture critiche.

I gruppi di Advanced Persistent Threat (APT) supportati dagli Stati persistono nel cercare punti di accesso nelle reti delle infrastrutture critiche e opportunità di spionaggio, con obiettivi politici. Lo spear phishing risulta essere la tecnica iniziale di attacco più comune alla supply chain.

Come difendersi

Secondo Gerardo Costabile, CEO di DeepCyber Srl, “La cyber security OT è un aspetto ancora mediamente sottovalutato in Italia, anche se iniziano i primi timidi segnali di investimento. Questa difficoltà nasce dalla separazione, all’interno delle aziende, delle competenze tecnologiche tra il mondo più ICT tradizionale e la parte ICS/Scada/OT. Non a caso, sul piano organizzativo, esistono diverse e parallele aree per gestire queste differenze. Inoltre, anche sulle figure di responsabili della cyber security, il mercato si sta orientando sulla parcellizzazione delle competenze, con il rischio di avere 2 differenti responsabili cyber security nelle rispettive aree tecnologiche”.

Sul fronte più tecnico, precisa Costabile, “il mondo industriale è ancora povero di sistemi moderni di informatizzazione e si vedono ancora spesso sistemi software di base di oltre 10/20 anni, non più manutenuti sul piano della gestione delle vulnerabilità. Ed in questo ecosistema si identificano numerosi virus che vivono una sorta di seconda adolescenza e che si affiancano a quelli più recenti e più pericolosi. Non è un caso che molti bad actors in ambito internazionale siano focalizzati sul sabotaggio di sistemi industriali e scada, per azioni sponsorizzate dai Paesi in ottica cyberwar ma anche per casi di richiesta di riscatto in Bitcoin“

È bene affrontare la sicurezza cyber OT “portando sullo stesso tavolo, da parte dei responsabili della sicurezza, le varie competenze interne per accrescere la postura alla sicurezza in ottica trasversale, inserendo al contempo tecnologie di cyber security ad hoc ma senza dimenticare i processi ed i fornitori/terze parti, che nel mondo OT sono ancora di più elementi chiave nella cyber security supply chain”.

Gli esperti F-Secure consigliano alle organizzazioni di rivedere la strategia di sicurezza informatica per implementare le ultime tecnologie disponibili, come le soluzioni di rilevamento e risposta per gli endpoint (EDR): “Un metodo veloce per aumentare considerevolmente le capacità di rilevamento sia delle minacce avanzate che degli attacchi mirati – spiega nella nota ufficiale Ruohonen -. Soluzioni gestite di EDR possono fornire funzionalità 24/7 di monitoraggio, invio di alert e risposta. Ciò significa che i team IT delle organizzazioni possono operare durante le ore lavorative per rivedere i rilevamenti emersi, mentre un team di risorse specializzate di cyber security si occupa di tutto il resto”.