Hacker nei frigoriferi dei supermercati: la tua casa connessa è davvero al sicuro?

Pompa di calore intelligente Feel di MCZ (photo credit Blu Wom Milano)

Nelle ultime settimane diversi supermercati europei si sono ritrovati con i banchi frigo in tilt. Prima in Francia, a metà ottobre, poi il 2 novembre in una decina di Paesi, Italia compresa, con casi segnalati in Sicilia, Toscana ed Emilia-Romagna.

Qualcuno, da remoto, ha alzato le temperature dei congelatori (in alcuni negozi svedesi fino a 50 gradi) fino a rendere inservibile la merce. Le indagini sono ancora aperte e sull’autore non ci sono certezze.

Quello che si sa sul metodo, invece, è semplice e riguarda anche te: gli aggressori sono entrati in sistemi di controllo a distanza vecchi, mai aggiornati, raggiungibili da internet e protetti male. Non serve una casa piena di tecnologia per chiedersi quanti oggetti, dentro le tue mura, abbiano le stesse caratteristiche.

Cosa c’entra la tua casa connessa con un supermercato

Il frigorifero di una casa connessa, anche se collegato al Wi-Fi, è un bersaglio poco interessante: nel caso peggiore perdi una spesa. Per quanto risulta, finora gli attacchi hanno riguardato impianti professionali e non elettrodomestici domestici.

Il problema è un altro. I meccanismi che hanno funzionato nei supermercati si ritrovano in molte abitazioni: un apparecchio collegato a internet, un programma interno che nessuno aggiorna da anni, una password debole o rimasta quella di fabbrica, un accesso per l’assistenza lasciato aperto dopo l’intervento del tecnico.

In una casa connessa le conseguenze non sono una cella frigorifera da svuotare, ma una telecamera da cui qualcuno può spiare, un account della serratura finito in mano sbagliata o un impianto di riscaldamento che smette di rispondere ai tuoi comandi.

Il frigorifero, in questo quadro, conta soprattutto come porta secondaria: è un piccolo computer dentro la tua rete, e da lì si può tentare di arrivare a qualcosa di più prezioso.

Quali oggetti della casa connessa bisogna tenere d’occhio

Non tutti i dispositivi collegati pesano allo stesso modo. In ordine di importanza bisogna prendere in considerazione:
• il router, cioè la scatola che porta internet e il Wi-Fi in casa. Se è vecchio o ha la password di fabbrica, tutto ciò che vi è collegato è esposto
• telecamere, videocitofoni e baby monitor. Sono i più delicati per la riservatezza e quelli per cui è più comune lasciare la password originale
• serrature elettroniche e allarmi. Il pericolo vero sta nell’account dell’app: se usi una password già usata altrove e quel sito ha subito un furto di dati, chi la possiede entra senza toccare l’impianto
• caldaia, pompa di calore, impianto fotovoltaico e colonnina di ricarica. Si controllano da app e spesso anche l’installatore può accedervi a distanza. Cambiarne le impostazioni può significare consumi anomali, produzione ferma o, d’inverno, riscaldamento spento
• l’archivio di foto e documenti in rete, come i dischi collegati al router, che molti configurano per essere raggiungibili anche lontano da casa.

Lavatrici, frigoriferi, forni e robot aspirapolvere vengono dopo, ma non vanno ignorati perché stanno sulla stessa rete di tutto il resto.

Perché i dispositivi datati sono il problema della casa connessa

Un elettrodomestico dura quindici anni, la parte connessa al suo interno molto meno. I produttori smettono prima o poi di rilasciare aggiornamenti e da quel momento ogni difetto di sicurezza scoperto resta aperto per sempre.

È quello che è successo ai sistemi dei supermercati: per le falle individuate esisteva già una correzione, ma migliaia di apparecchi non l’avevano ricevuta e alcuni modelli erano così datati da non poterla più ricevere.

C’è poi un fattore di abitudine. Quasi nessuno apre le impostazioni di una lavatrice o di una presa intelligente per verificare se ci sono aggiornamenti. Se non sono automatici, non avvengono. E chi ha installato i dispositivi in fretta, magari con la password suggerita dall’app o quella scritta sull’etichetta, raramente torna a cambiarla.

L’installatore che lascia la porta aperta

Nei supermercati colpiti, secondo la ricostruzione di chi gestisce le catene, gli aggressori sono passati dai servizi di assistenza a distanza che controllano i frigoriferi per conto dei negozi.

In casa il meccanismo è lo stesso, ma in scala ridotta. Quando un tecnico ti configura la pompa di calore, l’inverter del fotovoltaico o l’impianto di allarme, spesso ti dice che può intervenire anche da remoto in caso di guasto. Per farlo attiva un accesso, a volte con una password uguale per tutti i suoi clienti, e a fine lavori nessuno lo chiude.

Prima che l’installatore se ne vada, chiedi quali accessi a distanza ha lasciato attivi e con quali credenziali. Fatti dare un account intestato a te, cambia le password iniziali e, se non ti serve l’assistenza remota, fai disattivare il servizio. Sono richieste normali, che un professionista serio non ha motivo di rifiutare.

Cosa fare per tutelare la casa connessa, passo per passo

1. Cambia le password di fabbrica, a cominciare dal router: quella del Wi-Fi e quella, diversa, con cui si entra nelle sue impostazioni. Fai lo stesso con ogni dispositivo che te lo permette.
2. Attiva gli aggiornamenti automatici su router, telecamere, app e dispositivi. Se un oggetto non offre questa opzione e non riceve aggiornamenti da anni, è un candidato alla sostituzione.
3. Usa la rete ospiti per gli oggetti smart. Quasi tutti i router ne hanno una. Collegarci lampadine, prese, elettrodomestici e telecamere significa che, se uno di questi viene compromesso, non arriva a vedere il computer o il telefono su cui tieni documenti e foto.
4. Usa password diverse per ogni app, e la verifica in due passaggi, cioè il codice che arriva sul telefono, ovunque sia disponibile.
5. Controlla cosa è aperto verso l’esterno. Nelle impostazioni del router ci sono voci come port forwarding o server virtuale: sono porte spalancate su internet. Se non sai perché ci sono, chiedilo a chi ha installato l’impianto o a un tecnico di fiducia, e fai chiudere ciò che non serve.
6. Scegli bene prima di comprare. Cerca sulla scheda del prodotto o sul sito del produttore per quanto tempo promette aggiornamenti di sicurezza. Se non lo dichiara da nessuna parte, è già un’informazione utile.

Segnali che qualcosa non va

Un intruso in casa tua raramente si annuncia, ma ci sono indizi che vale la pena riconoscere. Una telecamera che si orienta da sola o che accende la spia quando nessuno la sta usando, un’app che segnala un accesso da un luogo o a un’ora insoliti, un dispositivo sconosciuto nell’elenco degli apparecchi collegati al router, una connessione che rallenta di colpo senza motivo. Nessuno di questi segnali, da solo, è una prova, ma tutti meritano una verifica.

Se ti capita, la sequenza è sempre la stessa: scollega l’apparecchio sospetto, cambia la password dell’account associato e quella del router, aggiorna il programma interno e, se il dubbio resta, ripristina le impostazioni di fabbrica prima di ricollegarlo. Con una telecamera o un baby monitor, non fidarti di un semplice riavvio.

Conviene davvero la casa connessa?

Ogni funzione connessa è una porta in più da sorvegliare: poter accendere il forno dal telefono o avviare la lavatrice mentre sei in ufficio sembra comodo, ma quante volte lo faresti se sai che corri il rischio di essere sabotato?

Il criterio più utile è chiedersi, per ogni oggetto, quale vantaggio concreto dà il collegamento. Per un termostato che regola il riscaldamento a distanza, una telecamera sulla porta o un impianto fotovoltaico da monitorare, la risposta è chiara. Per una lavatrice che ti avvisa quando il ciclo è finito, spesso basta il segnale acustico.

Dove il vantaggio è marginale, puoi lasciare il Wi-Fi spento nelle impostazioni e usare l’elettrodomestico come si è sempre fatto, senza perdere nulla.

Conclusione

C’è un criterio progettuale che gli attacchi ai supermercati rendono più chiaro e interessa chi sta ristrutturando o progettando un impianto: la domotica dovrebbe sempre degradare con grazia.

Un sistema ben progettato continua a funzionare in manuale quando la rete cade o viene scollegata di proposito. Interruttori fisici che comandano comunque le luci, un termostato con programmazione locale, una serratura con chiave meccanica di riserva e un impianto di allarme con sirena autonoma non sono un ripiego da nostalgici, sono la condizione che trasforma un’intrusione informatica da emergenza a fastidio.

I supermercati colpiti hanno dovuto buttare la merce perché nessuno ha potuto fermare il ciclo di sbrinamento una volta partito. Valuta la tua casa con lo stesso metro: cosa succede se domani il cloud del produttore non risponde o risponde a qualcun altro? Se la risposta è che non riesci più ad accendere il riscaldamento o ad aprire la porta, il problema non è la sicurezza informatica, è come è stato progettato l’impianto.