Sicurezza nell’Internet delle cose

Così gli hacker colpiscono le case intelligenti

Tutti proteggono il proprio computer con un software di sicurezza. E gli elettrodomestici integrati in rete e i gadget? Anche questi apparecchi possono essere hackerati.

Felix Raymann (testo), 17 gennaio 2017

Televisori, frigoriferi, telecamere di sorveglianza o macchine del caffè: gli apparecchi e i gadget più moderni si gestiscono tramite app o si connettono automaticamente a Internet. In breve: case intelligenti. La casa smart facilita la nostra vita quotidiana ma nasconde anche alcune insidie. Infatti, quello che manca a molti apparecchi è un software di sicurezza e una password sicura.

 

I criminali informatici ne approfittano: in uno dei maggiori attacchi DDoS (Distributed Denial of Service) finora mai realizzato, in cui con l’aiuto di una botnet sono stati temporaneamente bloccati i siti Internet di Netflix, Twitter, Spotify e PayPal, gli hacker hanno impiegato numerosi elettrodomestici integrati in rete, fotocamere, sensori, router e ricevitori TV.

 

 

Thingbot: botnet con dispositivi integrati in rete

 

Diversamente da una botnet, costituita principalmente da PC di utenti ignari, in questo tipo di attacco gli hacker sono riusciti a controllare molti apparecchi non protetti dell’Internet delle cose indirizzando milioni di richieste ai siti web summenzionati. Cosa ne è conseguito? I siti sono rimasti paralizzati e offline per ore.

 

 

Botnet e thingbot


Utilizzando programmi nocivi, gli hacker sono in grado di controllare da remoto PC o altri apparecchi integrati connessi alla rete, riuscendo ad esempio a inviare mail spam o a sovraccaricare con milioni di richieste simultanee i server di siti web provocandone il blocco. Gli insiemi di computer controllati da remoto vengono definiti «botnet» (dall’unione delle parole inglesi robot e net, «rete»). Quando a essere controllati, invece, sono apparecchi, elettrodomestici, router, sensori e altri dispositivi simili, si parla del cosiddetto «thingbot».

 

 

 

Dai dispositivi dell’Internet delle cose (Internet of Things, abbreviato in IoT) vengono a crearsi dei thingbot di dimensioni enormi, utilizzati per sottrarre dati sensibili o per diffondere software dannosi. Tutti i dispositivi connessi a Internet e in particolare le rispettive app raccolgono dati: dati personali, informazioni riguardanti il comportamento degli utenti o immagini riprese dalle telecamere di sorveglianza o da baby monitor.

 

 

Molte case moderne sono dotate di numerosi apparecchi integrati in rete.  

 

 

Ecco come proteggersi

 

Poiché molti utenti utilizzano le password standard impostate dai produttori o non utilizzano alcuna password, per gli hacker manipolare questi dispositivi dall’esterno è un gioco da ragazzi. «La cosa più importante è che gli apparecchi integrati in rete presenti in casa siano ben protetti dai pericoli esterni,» afferma Burkhard Stiller, docente presso l’Istituto di informatica dell’Università di Zurigo e direttore del gruppo di ricerca per i sistemi di comunicazione CSG. «Per i router e i sistemi di domotica si dovrebbe utilizzare un firewall sempre aggiornato e scegliere password complesse.» Ulteriori  consigli sulla sicurezza sono disponibili al termine di questo articolo.  

«Le misure di sicurezza, proprio come l'abitudine di chiudere a chiave la porta di casa, sono in grado di tenere lontano la maggior parte dei potenziali intrusi.»

Burkhard Stiller, docente presso l’Istituto di informatica dell’Università di Zurigo

È vero che tutti gli apparecchi connessi a Internet sono dotati di indirizzo IP e possono essere raggiunti da altri dispositivi, ma di norma questi indirizzi vengono assegnati in modo dinamico in un’area privata degli indirizzi IP all’interno di una rete domestica, in modo che dall’esterno sia più difficile accedervi. Tuttavia è importante essere ben tutelati dall’esterno. «Queste misure di sicurezza, proprio come l'abitudine di chiudere a chiave la porta di casa, sono in grado di tenere lontano la maggior parte dei potenziali intrusi,» ribadisce Stiller.

 

 

Webcam svizzere hackerate

 

Vi sono svariati esempi di dispositivi hackerati. Ad esempio, la volta in cui alcuni hacker hanno preso controllo di migliaia di webcam in tutto il mondo (tra cui oltre 141 in Svizzera) e hanno trasmesso le relative immagini su un sito Internet russo. Così, chiunque volesse poteva osservare il salotto, il giardino o la cameretta dei bambini dove ignari utenti avevano installato una telecamera di sorveglianza connessa a Internet o attivato la telecamera del baby monitor.

 

 

Per spiare, gli hacker sono in grado di accedere non soltanto alle telecamere di sorveglianza e alle webcam, ma anche ai baby monitor con telecamera integrata.

 

 

Ma ci sono anche altre perdite di dati, meno evidenti, che hanno risvolti negativi. Per esempio dal sistema di gestione del riscaldamento, gli hacker possono sapere quando un inquilino si trovi in casa. Di conseguenza, l’attacco potrebbe non essere più esclusivamente virtuale, bensì potrebbe essere perpetrato nella realtà da uno scassinatore.

 

 

Nessuno standard di sicurezza

 

Uno studio della HP Security Research ha dimostrato che da vent’anni, come già avviene nel mondo dei computer, anche nell’Internet delle cose i principi di sicurezza sono essenziali, ma sono tenuti in scarsa considerazione dai produttori degli apparecchi destinati alle case intelligenti.

«Nell’Internet delle cose al momento non esistono standard comuni validi, né direttive certificate sulla sicurezza.»

Burkhard Stiller, docente presso l’Istituto di informatica dell’Università di Zurigo

Da un lato gli stessi standard non possono essere facilmente applicati a gadget ed elettrodomestici o alla domotica, dall’altro l’utilità di tali dispositivi sta proprio nel fatto che si possano connettere a Internet in modo molto semplice e veloce. Il problema sono i firewall che si installano con fatica e che devono essere costantemente aggiornati. «Nell’Internet delle cose al momento non esistono standard comuni validi, né direttive certificate sulla sicurezza, perché gli apparecchi sono troppo diversificati,» sostiene Burkhard Stiller.

 

 

Apparecchi con bluetooth aperto

 

Nei test di sicurezza svolti, si è riusciti a hackerare i mouse wireless e quindi a manipolare i loro movimenti e falsificarne i clic. 

 

 

Anche gli apparecchi bluetooth spesso non sono immuni da attacchi esterni. Anche se in questo caso il pericolo di utilizzo abusivo sia nettamente minore, gli esperti di sicurezza hanno potuto confermare in vari test che la maggior parte dei mouse per PC può essere controllata dall’esterno. Perché sia possibile, però, è necessario che l’hacker si trovi nelle immediate vicinanze.

Per quanto riguarda le automobili, si può intervenire a distanza controllando lo sterzo, mettendo fuori uso i freni o accendendo l’autoradio.

Nelle aziende, l’assenza di adeguate misure di sicurezza può causare gravi problemi. Secondo uno studio di Gartner, società specializzata in ricerche di mercato, nel 2020 oltre il 25% degli attacchi informatici nelle aziende sarà mirato all’Internet delle cose.

 

 

Automobili hackerate

 

È stato stimato che nel 2020 saranno connessi a Internet già 50 miliardi di dispositivi. Molti di questi si possono trovare anche in motori di ricerca specializzati nell’IoT, come Shodan. Tra gli apparecchi integrati in rete rientrano anche alcuni bracciali wearable per il fitness o automobili, che possono essere ugualmente hackerati, come sempre più spesso dimostrano i ricercatori attraverso test.

 

Così si può manomettere a distanza lo sterzo di un’auto, mettere fuori uso i freni, accendere il climatizzatore o l’autoradio. Dunque vale anche per le automobili la stessa regola consolidata già da tempo per PC, smartphone ed elettrodomestici: tenere aggiornati i software e proteggere i sistemi con password sicure.

 

 

 

Suggerimenti: come proteggere gli apparecchi integrati in rete

 

  • Utilizzare password più sicure: proprio come per gli account di posta elettronica o il PC, è necessario assicurarsi di utilizzare password più sicure per gli apparecchi integrati in rete, impiegando quindi lettere minuscole e maiuscole, numeri e caratteri speciali. Spesso apparecchi e gadget sono dotati dai produttori di una password standard. Questa password deve essere assolutamente modificata e occorre evitare di utilizzare la stessa password per diversi dispositivi.
  • Sarebbe meglio non utilizzare affatto apparecchi che impiegano password di amministratore predefinite e non modificabili.
  • Disattivare le impostazioni automatiche: è importante disattivare la funzione UPnP (Universal Plug and Play) del router. Tale funzione consente agli apparecchi di connettersi automaticamente permettendo quindi che questi possano essere rintracciati dall’esterno.
  • Aggiornare i software: per una maggiore sicurezza, tutti gli elettrodomestici in rete, le webcam, le lampade, le automobili, i router, ecc., devono essere dotati di software e firmware aggiornati regolarmente, cosa che per alcuni dispositivi potrebbe essere troppo impegnativo.
  • Ridurre le autorizzazioni: spesso agli apparecchi gestiti tramite app dal proprio smartphone sono assegnati di default troppe autorizzazioni. Occorre disattivare quelle impostazioni dell’app che consentono l’accesso ai dati sensibili dello smartphone o di un servizio connesso. Per alcune applicazioni non è assolutamente necessario consentire l’accesso a servizi di localizzazione, elenco contatti, fotocamera o microfono.
  • Nella casa intelligente i firewall devono essere configurati in modo da consentire solo ai dispositivi registrati (ad es. lo smartphone) di entrare in contatto dall’esterno con gli apparecchi presenti all’interno della casa o dell’appartamento.

 

IoT di Swisscom

L’Internet delle cose consente alle aziende di sfruttare i vantaggi dell’automatizzazione dei processi. Swisscom, in qualità di prima azienda fornitrice svizzera, crea una rete supplementare per l’Internet delle cose, il Low Power Network.

 

Cyber Security: il rapporto di Swisscom evidenzia le attuali minacce e la loro evoluzione.

 

 

 

 

Partecipate alla discussione

 

A casa vostra possedete apparecchi integrati in rete? Come li proteggete dagli hacker?

 

Grazie per il vostro contributo. I commenti dei lettori vengono pubblicati da lunedì a venerdì.

 

Altre Storie