Migliaia di controller di sistemi idrici ancora visibili online
Una nuova ricerca ha identificato oltre 4.000 controller industriali Rockwell Automation connessi direttamente a Internet, molti dei quali legati a servizi idrici statunitensi. Tra i dispositivi esposti, 22 sono stati ricondotti a città che hanno già subito attacchi informatici mirati alle infrastrutture idriche. I risultati sollevano una domanda scomoda per il settore idrico: perché, dopo anni di avvertimenti federali, così tanti sistemi critici sono ancora visibili a chiunque scansioni Internet?
Le apparecchiature esposte includono controllori logici programmabili (PLC), i piccoli computer industriali che gestiscono processi fisici come la pressione dell'acqua, il dosaggio di sostanze chimiche e il funzionamento delle pompe. Non si tratta di dispositivi domestici protetti da un router casalingo. Dovrebbero essere isolati su reti interne protette, accessibili solo agli operatori autorizzati. Quando un PLC è raggiungibile dalla rete Internet aperta, diventa un potenziale punto d'ingresso per chiunque abbia gli strumenti e le motivazioni giuste, dagli scanner opportunistici agli attori legati a Stati.
Perché i controller industriali esposti rappresentano un problema di privacy e sicurezza
È forte la tentazione di archiviare la questione sotto "cybersicurezza industriale" e voltare pagina, ma i controller industriali esposti comportano conseguenze che vanno ben oltre i reparti IT. I servizi idrici detengono dati operativi, informazioni sugli account dei clienti e dettagli sulle infrastrutture che, se esposti o manipolati, colpiscono intere comunità. Un controller compromesso non è solo un rischio per la privacy dei dati, ma un rischio per la sicurezza pubblica, poiché gli aggressori che ottengono l'accesso a un PLC possono, in teoria, alterare i processi di trattamento o interrompere il servizio.
Si tratta, in fondo, anche di una questione di privacy in senso ampio. Gli utenti dei servizi idrici non hanno alcuna visibilità sulla sicurezza dell'infrastruttura che eroga la loro acqua e, se questa non è sicura, non hanno alcun modo concreto di rinunciare al servizio. A differenza di un rivenditore o di una piattaforma di social media violati, non è possibile cambiare fornitore quando il sistema idrico municipale è quello che gestisce apparecchiature esposte. L'onere della privacy e della sicurezza ricade interamente sugli operatori che, secondo questa ricerca, non hanno seguito costantemente le indicazioni federali per disconnettere questi sistemi da Internet o separarli adeguatamente dalla rete pubblica.
Una serie di avvertimenti che non hanno colmato il divario
Le agenzie federali hanno ripetutamente esortato i servizi idrici e altri operatori di infrastrutture critiche a rimuovere i sistemi di controllo industriale esposti su Internet, a imporre un'autenticazione forte e a separare le reti di tecnologia operativa da quelle IT aziendali. Nonostante queste indicazioni, la scansione alla base di questa ricerca mostra che il problema persiste su larga scala, con migliaia di controller ancora individuabili utilizzando strumenti di scansione Internet di base che non richiedono accessi speciali o particolari competenze.
Il fatto che 22 dei dispositivi esposti si trovino in città già colpite da attacchi ai sistemi idrici è particolarmente degno di nota. Ciò suggerisce che, anche dopo che un incidente ha attirato l'attenzione su un servizio o una regione specifici, l'esposizione sottostante non viene necessariamente risolta. La sola consapevolezza non si sta traducendo in azione, a causa di vincoli di bilancio, carenza di personale o della complessità intrinseca di adattare la sicurezza a infrastrutture mai progettate per la connettività Internet.
Questo rispecchia una tendenza più ampia osservata in settori sotto pressione per le minacce informatiche. In ambito sanitario, per esempio, le agenzie hanno dovuto sollecitare attivamente le organizzazioni a condividere i dati sulle minacce ransomware perché gli operatori sono stati storicamente restii a segnalare gli incidenti, rallentando gli sforzi di difesa collettiva. I servizi idrici sembrano trovarsi di fronte a un divario analogo tra le indicazioni fornite e quelle seguite, e in entrambi i casi il risultato è che le vulnerabilità permangono più a lungo del dovuto.
Cosa significa per te
La maggior parte dei lettori non gestisce sistemi idrici, ma questa ricerca è importante per chiunque dipenda dalle infrastrutture municipali, vale a dire quasi tutti. I controller industriali esposti rappresentano un rischio sistemico che i singoli consumatori non possono risolvere direttamente con abitudini di sicurezza personale come l'uso di una VPN o password robuste. Detto questo, la consapevolezza ha un valore. Comprendere che esistono lacune nella sicurezza delle infrastrutture critiche può orientare il modo di interagire con le autorità locali, i consigli di amministrazione dei servizi pubblici e i periodi di consultazione pubblica in cui si prendono decisioni sugli investimenti nelle infrastrutture.
Se lavori all'interno o a stretto contatto con i servizi municipali, il trattamento delle acque o qualsiasi ambiente di tecnologia operativa, questa ricerca è un invito diretto all'azione. Gli avvertimenti federali sui PLC e i sistemi di controllo esposti non sono ipotetici; descrivono un'esposizione documentata e in corso che gli aggressori possono e di fatto sfruttano.
Spunti per lettori e operatori
Per gli operatori dei servizi pubblici e i team OT, le priorità immediate sono chiare: verificare quali dispositivi sono raggiungibili da Internet pubblica, eliminare le esposizioni non necessarie e implementare la segmentazione di rete tra i sistemi di controllo e tutto il resto. Per i lettori di tutti i giorni, i passi migliori sono quelli civici: informarsi presso le autorità idriche locali sulla loro postura di cybersicurezza, sostenere i finanziamenti per l'aggiornamento della sicurezza delle infrastrutture e mantenersi informati man mano che ricerche come questa continuano a emergere. L'esposizione di migliaia di controller industriali non si chiuderà da sola e richiede una pressione costante sia da parte delle autorità di regolamentazione, sia dalle comunità che questi sistemi servono.
