Nel corso dell’ultimo decennio, l’Internet of Things (IoT) ha registrato un progresso significativo in un mondo sempre più integrato e interconnesso. Un dispositivo IoT è tipicamente un sistema o un insieme di sistemi di dispositivi connessi, dotati di sensori e software che consentono a questi ultimi il trasferimento di dati attraverso una rete.
Da un pacemaker o uno schermo accessibile dalla rete, fino ad una macchina con sensori che acquisiscono informazioni sulla temperatura del motore o sui livelli dei liquidi, questi sistemi possono considerarsi dispositivi IoT. Proprio l’IoT ha fornito un ampio numero di vantaggi alle imprese, in quanto in grado di consentire loro di osservare attivamente i loro sistemi e di collezionare dati, insight e metriche sulle prestazioni senza la necessità di intervento umano.
Tuttavia, ci sono alcune problematiche da considerare. Proteggere, monitorare e neutralizzare le minacce collegate a quest’ampia rete di dispositivi e di tecnologie connessi tra loro comporta infatti alcune sfide.
Tali dispositivi, non solo raccolgono, archiviano e condividono dati via internet ma il modo in cui essi sono costruiti varia fortemente a seconda delle funzionalità, dei fornitori e del prezzo.
Un panorama talmente ampio che persino le autorità competenti hanno recentemente lanciato un avvertimento al settore, segnalando un numero crescente di criminali informatici che tendono a prendere sempre più di mira i dispositivi connessi a Internet allo scopo di sfruttarne le vulnerabilità.
Indice degli argomenti
Il futuro dell’IoT: quanto è sicuro?
Certamente l’IoT non mostra segni di rallentamento: una ricerca condotta da IoT Analytics ha mostrato come le connessioni IoT, ad esempio i dispositivi per la smart home, i veicoli e le apparecchiature industriali connesse, nel 2020 abbiano superato per la prima volta i dispositivi tradizionali, quali computer e laptop.
Basti pensare che i dispositivi IoT rappresentano il 54% dei 21,7 miliardi di dispositivi connessi attivi. A ciò si aggiunge una stima secondo cui entro il 2025 ci saranno oltre 30 miliardi di connessioni IoT, che coincide a circa quattro dispositivi IoT per ogni persona presente sul pianeta.
Ma come per ogni tecnologia emergente, ci sono alcune sfide da affrontare: gli attacchi informatici ai sistemi IoT segnano infatti un trend in continua crescita.
L’attacco più significativo è stato quello del Mirai Botnet del 2016, che prese di mira il provider di servizi DNS Dyn usando un botnet di dispositivi IoT. Il malware Mirai riuscì ad infiltrarsi nelle reti, dove in modo automatico cercò altri dispositivi vulnerabili e, usando credenziali rubate, ottenne l’accesso e continuò a ripetere il processo per ottenere il controllo.
Questo attacco riuscì a smantellare i server e a colpire significativamente le principali piattaforme media come Netflix, Reddit e Twitter; ma queste tipologie di attacchi IoT non colpiscono soltanto i giganti della tecnologia.
I criminali informatici prendono di mira anche dispositivi medici sanitari e ospedalieri, mettendo a rischio la salute di molti pazienti. Il St. Jude Medical, azienda mondiale americana di dispositivi medicali, nel 2017 ha subito l’attacco di alcuni criminali informatici che hanno ottenuto l’accesso ai pacemaker dei pazienti. Questo attacco ha dato agli autori della minaccia la possibilità di alterare le funzioni dei pacemaker e di modificarne le impostazioni, un risultato potenzialmente in grado di rivelarsi fatale per i pazienti.
In questo scenario, la sicurezza dell’IoT è diventata fonte di grande preoccupazione per le aziende, soprattutto con il passaggio al lavoro da remoto: con gran parte dei lavoratori che ha dovuto ricorrere alle reti domestiche e a dispositivi personali per compiere le proprie attività lavorative, molti avversari digitali hanno sfruttato la mancanza di misure di sicurezza per sferrare attacchi informatici.
I dispositivi IoT non sono tutti uguali: a causa delle esigenze del dispositivo, del fornitore e della mancanza di regolamentazioni internazionali sull’IoT, i dispositivi possono essere sviluppati anche con pochi (o in assenza di) requisiti di sicurezza.
Inoltre, la possibilità di aggiornare i dispositivi IoT o di applicare patch contro le vulnerabilità, dipende ancora una volta dal produttore del dispositivo e varia notevolmente.
Questo aggiunge ulteriore complessità alle aziende che desiderano mantenere e garantire la sicurezza e l’aggiornamento dei propri dispositivi IoT.
Comprendere ciò che si sta affrontando
Nonostante l’aumento del rischio e l’ampliamento della superficie delle minacce, la cybersecurity dell’IoT è spesso trascurata o ridotta al minimo.
Le inadeguate policy di sicurezza IoT rappresentano un grave rischio per le imprese, anche perché ogni dispositivo può rappresentare un gateway alla rete più ampia. Una volta che gli avversari criminali ottengono l’accesso attraverso un dispositivo, possono muoversi lateralmente attraverso l’azienda, dunque accedere a risorse di alto valore o condurre attività malevole, come il furto di dati, IP e informazioni sensibili.
Molte aziende si concentrano esclusivamente sulla sicurezza informatica degli endpoint, ma gli stessi livelli di diligenza devono essere applicati anche ai dispositivi IoT: se questi non sono dotati degli stessi livelli di protezione, l’intera azienda è a rischio attacco informatico.
Una ricerca di Statista mostra che il 33% delle aziende che ha adottato l’IoT considera i problemi di sicurezza informatica collegati alla mancanza di personale qualificato come la preoccupazione più critica per l’ecosistema IoT aziendale.
La mancanza di competenze e di conoscenze si traduce in molteplici pratiche scorrette di cyber security, come l’utilizzo di credenziali di default per questioni di praticità o la mancanza degli ultimi aggiornamenti software o firmware sui propri dispositivi necessari a prevenire le vulnerabilità del software e a gestire i bug.
Parallelamente, i criminali informatici continuano ad adattare ed evolvere i loro metodi di intrusione. Un metodo di attacco comune degli autori delle minacce è noto come “attacchi on-path”: essi si basano sulla natura dei dispositivi IoT, che spesso non criptano i loro dati di default.
L’attaccante ha quindi la possibilità di posizionarsi tra due dispositivi che si fidano l’uno dell’altro e di esfiltrare i dati che passano tra di essi. Un’altra vulnerabilità comune riguarda il furto o la decifrazione di semplici credenziali.
I criminali informatici sono esperti nell’identificazione di password deboli o generiche e nel conseguente utilizzo per ottenere lentamente l’accesso e persino il controllo amministrativo.
Anche gli attacchi Denial of Service (DoS) sono una tecnica comune: in questo caso i criminali informatici ottengono il controllo di un dispositivo IoT e iniziano a “inondare” il sito web con traffico falso, che satura i server e impedisce agli utenti legittimi di svolgere le attività quotidiane.
La sicurezza dell’IoT per la salvaguardia del futuro aziendale
La sicurezza IoT deve essere presa in considerazione nella strategia generale di cyber security di qualsiasi organizzazione. Questo include lo svolgimento delle migliori pratiche di sicurezza IoT, come l’aggiornamento e il patching dei dispositivi, l’utilizzo di password “forti” e dell’autenticazione multi-fattore, l’inventario di tutti i dispositivi connessi e l’abilitazione dell’accesso corretto per ciascuno di essi.
Le aziende devono sviluppare una strategia di sicurezza informatica completa, in grado di garantire la propria protezione da un’ampia gamma di attacchi informatici su tutti i dispositivi, sia a livello di endpoint che di rete. Il settore della sicurezza IoT ha già registrato una crescita significativa, passando dai 13,28 miliardi di sterline nel 2021 a 15,63 miliardi nel 2022, con una crescita destinata ad aumentare.
Le aziende che rimangono vigili sulla sicurezza IoT hanno maggiori probabilità di non essere vittime di potenziali attacchi nei prossimi anni.
