“Gli hacker colpiranno i servizi essenziali, difendere tutto è impossibile”: l’esperto spiega la guerra ibrida

L'Europa è nel mirino degli hacker e il termine che da giorni rimbalza su giornali, siti e notiziari è sempre lo stesso: guerra ibrida. Un conflitto che non si combatte solo con missili e proiettili, ma con incursioni informatiche capaci di colpire direttamente la quotidianità dei cittadini. Nessuna vittima, ma tanta incertezza e una crescente percezione d'insicurezza. Gli esempi ormai si sprecano. Nelle ultime ore Parigi ha puntato il dito contro l'Iran per il sabotaggio ai sistemi di refrigerazione di centinaia di supermercati, che lo scorso ottobre ha provocato danni milionari e tonnellate di cibo avariato. Negli stessi giorni, il traffico aereo di mezzo continente è proceduto a singhiozzo a causa di una raffica di falsi allarmi bomba orchestrati nell'ombra. Anche l'Italia è stata presa di mira, tanto che lo stesso ministro della Difesa, Guido Crosetto, è intervenuto sottolineando l'urgenza di adottare contromisure adeguate per arginare le offensive avversarie.

Di fronte a questa escalation, l'opinione pubblica ha cominciato a interrogarsi con apprensione: quanto è davvero preparati il nostro Paese a fronteggiare simili minacce? E soprattutto, quali saranno i prossimi bersagli? Ne abbiamo parlato con Stefano Zanero, professore ordinario di Cybersecurity al Politecnico di Milano.

Professore, siamo davvero all'inizio di una guerra ibrida?

Quello di "guerra ibrida" è un concetto fluido. Sicuramente stiamo attraversando una fase di conflitto che lambisce il continente europeo con modalità inedite rispetto agli ultimi settant'anni. In letteratura tecnica, molti degli eventi a cui assistiamo rientrano appieno nella definizione di minacce ibride. Capisco perfettamente che la parola "guerra" susciti nei cittadini una reazione di profonda inquietudine, ma la cruda realtà è che siamo esposti a una miriade di attacchi a bassa intensità, studiati per non superare determinate soglie critiche ma mirati a destabilizzare la percezione di sicurezza comune.

Come ha letto il cyberattacco ai sistemi di refrigerazione dei supermercati europei? La Francia ha puntato il dito contro l'Iran e ora si temono nuovi attacchi simili…

L'attacco ai frigoriferi ha sicuramente avuto un grande impatto sull'opinione pubblica, proprio perché ha toccato qualcosa che vediamo tutti i giorni. Tuttavia, tra tutti i campanelli d'allarme possibili, ne è suonato uno con un costo sociale relativamente basso. In passato abbiamo avuto intere regioni italiane con i sistemi sanitari bloccati per settimane dal cybercrimine e c'è stato molto meno clamore. Fino a due settimane fa nessuno avrebbe inserito la refrigerazione della GDO tra i primi cinquanta bersagli strategici. È però positivo che oggi si sia accesa una spia che viene finalmente presa in considerazione.

Quali possono essere dunque i prossimi obiettivi?

Tutto ciò che permette alla nostra società di funzionare dipende in larga misura da sistemi di automazione industriale ed è quindi un potenziale bersaglio per chi vuole generare scompiglio e alimentare un clima di paura. Dopotutto le infrastrutture e i sistemi di controllo industriale (OT/ICS) presentano vulnerabilità intrinseche che li espongono a simili rischi. Metterli in sicurezza è tecnicamente complesso perché spesso sono troppo vecchi e non è possibile aggiornarli in tempi brevi. Il problema è che questo tema si applica a gran parte del tessuto industriale e dell'erogazione dei servizi essenziali, dalla fornitura di acqua potabile all'energia elettrica, fino alla rete dei trasporti.

Le nostre difese sono pronte ad affrontare simili minacce, ora rese ancora più efficienti dall'uso dell'IA?

Prima di tutto occorre inquadrare il profilo della minaccia. C'è infatti una netta distinzione tra gli aggressori guidati da una motivazione finanziaria – i classici cybercriminali che vogliono semplicemente guadagnare dai loro attacchi – e gli aggressori mossi da altri Stati o da motivazioni geopolitiche, che invece mirano a provocare disordine sociale, danni sistemici o panico, come sembra emergere nelle circostanze di queste ultime settimane. Questo secondo tipo di minaccia è fuori scala per la maggior parte del settore privato. Uno Stato o un gruppo sponsorizzato dispone di risorse asimmetriche rispetto a ciò che una singola impresa può ragionevolmente investire per proteggere il proprio perimetro di business. Quando un'azienda privata gestisce una componente nevralgica per la popolazione, il danno collettivo diventa così un obiettivo primario per l'aggressore.

Come possiamo proteggerci da simili scenari se le risorse appaiono così ridotte?

La risposta non può essere delegata solo al mercato, ma serve una reale partnership pubblico-privata. Per fare una metafora: contro il ladro comune ogni bottega si difende con le proprie serrature, ma di fronte all'offensiva di uno Stato straniero, l'azienda e il cittadino devono essere spalleggiati e protetti dal proprio Stato. È una cooperazione complessa, appena avviata, su cui c'è ancora molto lavoro da fare sia in Italia che nel resto d'Europa.

Dobbiamo aspettarci altri attacchi nei prossimi mesi?

Impossibile dirlo, tuttavia la protezione preventiva assoluta capace di proteggere tutti, ovunque e in qualsiasi momento, è solo una pia illusione, proprio come accade nella difesa fisica o antiterrorismo. È impossibile tappare tutte le falle di tutti i sistemi che utilizziamo nella quotidianità. Ecco perché, oltre al lavoro sulle difese informatiche per prevenire i danni più grossi, ciò su cui i Paesi devono iniziare a lavorare seriamente è la resilienza.

Cosa intende?

Dobbiamo riprogettare i processi industriali, le infrastrutture civili e il funzionamento dello Stato in modo tale che siano capaci di assorbire i colpi che, inevitabilmente, continueranno a verificarsi. Se l'impatto di un incidente viene circoscritto e i servizi colpiti vengono rallentati, ma non interrotti del tutto, si evita di produrre allarme tra i cittadini e si arginano i danni sistemici. I sistemi di backup e i piani di continuità operativa che si predispongono per fronteggiare incendi o alluvioni devono valere anche per le intrusioni informatiche. Poiché l'invulnerabilità a priori non esiste, la capacità di mitigare il danno a posteriori è il vero fattore discriminante per le strategie di domani.

L'Unione europea ha preparato delle linee guida per la popolazione, raccomandando persino piccoli kit di emergenza domestici in caso di blackout o attacchi ibridi. È davvero il momento di prenderle seriamente in considerazione?

In Italia siamo culturalmente poco abituati a questo approccio, ma i consigli pratici che circolano già altri in Paesi non hanno nulla di allarmistico; sono misure di puro buon senso. Il nostro territorio è già storicamente esposto a rischi idrogeologici e sismici, a cui oggi si sommano gli effetti della crisi climatica. Adottare a livello familiare piccole precauzioni – come una scorta d'acqua e alimenti a lunga conservazione, una riserva di denaro contante e la definizione di un piano d'emergenza (ad esempio: accordarsi su dove ritrovarsi se le comunicazioni cellulari dovessero interrompersi temporaneamente) – significa tutelare la propria sicurezza domestica. È un'attitudine lungimirante che prescinde dagli attacchi informatici. Se poi questi kit rimarranno inutilizzati e dovremo buttare via qualche bene scaduto, sarà solo una buona notizia.