di Flavio De Septis<\/p>\n\n\n\n
Nella notte tra il 1\u00b0 e il 2 novembre qualcuno ha preso il controllo delle celle frigorifere di tre siti dell’\u00c9tablissement fran\u00e7ais du sang e ha ordinato loro di scaldarsi. Nessuna sacca \u00e8 andata persa, ma il bersaglio segna un salto di qualit\u00e0: non pi\u00f9 dati, ma riserve sanitarie fisiche.<\/strong><\/p>\n\n\n\n L’\u00c9tablissement fran\u00e7ais du sang (EFS), l’ente pubblico che gestisce raccolta e distribuzione di sangue, plasma e piastrine in Francia, ha confermato il 3 novembre un “incidente di cybersicurezza” che ha colpito i sistemi di supervisione e pilotaggio delle celle frigorifere in tre sedi regionali. Tra queste c’\u00e8 Besan\u00e7on, in Borgogna-Franca Contea. Il Ministero della Salute ha confermato la vicenda il giorno successivo, dopo che la notizia era stata rivelata dal Canard encha\u00een\u00e9<\/em> e ripresa in Italia dal manifesto<\/em>.<\/p>\n\n\n\n Gli attaccanti non sono entrati nella rete dell’EFS. Hanno colpito Coolworld, il fornitore che si occupa della manutenzione delle celle e che le gestisce da remoto tramite propri apparati di controllo. Da l\u00ec hanno modificato i parametri di funzionamento: soglie di temperatura e di sbrinamento portate a valori altissimi. Secondo il Canard encha\u00een\u00e9<\/em>, celle normalmente mantenute a \u221230 \u00b0C sarebbero state programmate per raggiungere 110 \u00b0C.<\/p>\n\n\n\n In quelle celle si conservano plasma congelato destinato alla trasfusione, plasma impiegato per produrre farmaci emoderivati e campioni dei donatori utilizzati per l’emovigilanza. A evitare il danno \u00e8 stato un tecnico reperibile che, durante la notte, ha notato la risalita delle temperature: le sacche sono state spostate o messe in sicurezza in tempo. L’EFS dichiara nessuna perdita di prodotti e nessun impatto sanitario, e ha rafforzato il monitoraggio termico su tutte le proprie celle.<\/p>\n\n\n\n L’attacco all’EFS arriva in coda a una campagna che da settimane colpisce la catena del freddo in Europa. Nella notte tra l’11 e il 12 ottobre centinaia di supermercati francesi, tra cui punti vendita Intermarch\u00e9 e Coop\u00e9rative U, hanno visto banchi frigo e celle forzati da remoto in sbrinamento o in riscaldamento. Anche in quel caso il vettore indicato \u00e8 stato un fornitore di servizi di gestione degli impianti frigoriferi.<\/p>\n\n\n\n Il 2 novembre, la stessa notte dell’attacco all’EFS, l’ondata ha raggiunto altri Paesi: in Belgio una quarantina di negozi Delhaize, una quindicina di Carrefour e alcuni Spar, con frigoriferi impostati fino a 70 \u00b0C e merce distrutta per centinaia di migliaia di euro; e poi Svezia, Irlanda, Finlandia, Estonia e Lussemburgo, oltre a un negozio IKEA a Mons. Molti degli impianti coinvolti nei supermercati montano centraline di monitoraggio Danfoss, marca gi\u00e0 finita nel mirino nel 2022, quando i controller di 16 supermercati russi vennero manomessi. Ad oggi nessun gruppo ha rivendicato gli attacchi e non c’\u00e8 un’attribuzione ufficiale.<\/p>\n\n\n\n La coincidenza temporale e il modus operandi identico, ossia passare dal fornitore di telemanutenzione per alterare i setpoint, suggeriscono una regia comune o quantomeno lo sfruttamento della stessa classe di vulnerabilit\u00e0. \u00c8 per\u00f2 un’ipotesi da confermare con le indagini.<\/p>\n\n\n\n Finora la sanit\u00e0 francese \u00e8 stata colpita soprattutto da ransomware e furti di dati: ospedali paralizzati, milioni di cartelle esposte. Qui l’obiettivo \u00e8 diverso. Non si cifra n\u00e9 si esfiltra nulla: si agisce sul mondo fisico, con l’intento evidente di distruggere beni che non si possono ricomprare in un giorno. Il plasma \u00e8 una risorsa scarsa, frutto di donazioni volontarie, e una sua perdita massiva avrebbe avuto conseguenze dirette sulla disponibilit\u00e0 di trasfusioni e di farmaci salvavita.<\/p>\n\n\n\n \u00c8 la logica tipica degli attacchi agli ambienti OT (Operational Technology): l’effetto non si misura in gigabyte ma in danni materiali, e la finestra per reagire \u00e8 quella che separa \u221230 \u00b0C dalla temperatura di scongelamento.<\/p>\n\n\n\n Leggere questi episodi uno alla volta sarebbe un errore. Gli attacchi informatici di questo tipo non nascono quasi mai isolati: fanno parte di campagne pianificate, che procedono per fasi e alzano progressivamente il tiro. Prima si colpiscono bersagli facili e numerosi, poi, una volta affinata la tecnica, si passa a obiettivi strategici.<\/p>\n\n\n\n La sequenza delle ultime settimane segue proprio questo schema. A ottobre sono stati colpiti i supermercati francesi: bersagli diffusi, poco protetti, con danni solo economici. Il 2 novembre l’ondata si \u00e8 estesa a mezza Europa, e nella stessa notte \u00e8 arrivata alle celle di un ente sanitario nazionale che custodisce plasma e campioni biologici. Il metodo \u00e8 rimasto identico, mentre il valore del bersaglio \u00e8 salito di grado.<\/p>\n\n\n\n Non \u00e8 una lettura nuova. La sicurezza informatica descrive questa progressione con modelli consolidati. La Cyber Kill Chain<\/strong> di Lockheed Martin scompone un attacco in fasi successive: ricognizione, preparazione dell’arma, consegna, sfruttamento, installazione, comando e controllo, azione sull’obiettivo. Il framework MITRE ATT&CK for ICS<\/strong>, dedicato ai sistemi industriali, cataloga tattiche e tecniche usate contro gli impianti, dalla scoperta dei dispositivi esposti alla manipolazione dei parametri di controllo, la stessa tecnica vista in Francia. In questa chiave, i supermercati possono aver funzionato da banco di prova per la ricognizione e per verificare quanto in fretta reagiscono i fornitori e le vittime.<\/p>\n\n\n\n La storia recente offre precedenti noti. L’Ucraina \u00e8 stata per anni il laboratorio degli attacchi alle reti elettriche, con i blackout del 2015 e del 2016 provocati da BlackEnergy e Industroyer, prima che quelle tecniche diventassero una minaccia per le infrastrutture di tutto il mondo. Pi\u00f9 di recente le agenzie statunitensi hanno descritto la campagna Volt Typhoon come un “preposizionamento” silenzioso nelle reti critiche, da attivare al momento opportuno. E i controller frigoriferi manomessi nei supermercati russi nel 2022 mostrano che questa classe di dispositivi \u00e8 nel radar degli attaccanti da tempo.<\/p>\n\n\n\n Al momento nessuno ha rivendicato gli attacchi e non esiste un’attribuzione ufficiale: non \u00e8 possibile dire se dietro ci sia un gruppo criminale, un attore statale o una combinazione dei due. Lo schema per\u00f2 \u00e8 riconoscibile, e impone di trattare ogni incidente “minore” come un possibile segnale anticipatore di quello successivo. Per chi difende infrastrutture critiche, significa condividere rapidamente indicatori e tecniche osservate, attraverso i CERT nazionali e i canali settoriali, senza aspettare di essere il prossimo nome della lista.<\/p>\n\n\n\n Il caso EFS \u00e8 da manuale di sicurezza della supply chain. La centralina che governa la cella frigorifera di solito non appartiene al perimetro IT dell’organizzazione: la installa e la gestisce un terzo, spesso con accesso remoto permanente via internet, credenziali condivise tra molti clienti e firmware che nessuno aggiorna. Compromettere un solo account di telemanutenzione permette di colpire decine o centinaia di siti con un’unica operazione. Era gi\u00e0 successo, in forma diversa, con il caso Target del 2013, quando gli attaccanti entrarono usando le credenziali di un fornitore di climatizzazione.<\/p>\n\n\n\n Per un ente sanitario soggetto alla direttiva NIS2, la sicurezza della catena di fornitura non \u00e8 un’opzione ma un obbligo esplicito. Episodi come questo mostrano che tra i fornitori critici vanno inclusi anche quelli che gestiscono impianti, frigoriferi, HVAC, gruppi di continuit\u00e0 e building automation.<\/p>\n\n\n\n A salvare il plasma francese, in fondo, \u00e8 stato un tecnico sveglio alle tre di notte. \u00c8 un’ottima notizia, ma non pu\u00f2 essere una strategia di difesa.<\/p>\n\n\n\n Il sistema trasfusionale italiano, come quello di molti Paesi europei, utilizza celle frigorifere e congelatori monitorati da remoto e spesso mantenuti da ditte esterne. Non risultano incidenti analoghi nel nostro Paese, ma la campagna in corso ha gi\u00e0 toccato almeno otto Stati europei in poche settimane. \u00c8 il momento giusto perch\u00e9 strutture trasfusionali, ospedali, aziende farmaceutiche e logistica del freddo verifichino chi pu\u00f2 cambiare, da remoto, la temperatura dei loro frigoriferi.<\/p>\n\n\n\n Un attacco di questo tipo non mette a rischio chi riceve una trasfusione. Ogni sacca \u00e8 tracciata, e un prodotto conservato fuori temperatura viene scartato prima dell’uso. Il problema, semmai, \u00e8 la disponibilit\u00e0: se le scorte vengono distrutte, servono nuove donazioni per ricostituirle. Per questo il contributo pi\u00f9 utile dei cittadini \u00e8 semplice.<\/p>\n\n\n\n L’attacco alle celle frigorifere dell’EFS si \u00e8 chiuso senza danni, ma lascia una lezione che va oltre la Francia e oltre la sanit\u00e0. La sicurezza informatica non riguarda pi\u00f9 solo server, e-mail e banche dati. Riguarda ogni oggetto connesso che controlla qualcosa di fisico: un frigorifero, una caldaia, una pompa, una porta. Spesso questi oggetti sono gestiti da fornitori esterni, restano fuori dagli inventari e da anni nessuno li aggiorna.<\/p>\n\n\n\n La campagna contro la catena del freddo europea mostra quanto sia facile, per chi attacca, sfruttare questo punto cieco: basta un accesso di telemanutenzione per colpire centinaia di siti in una notte. Mostra anche che la risposta non pu\u00f2 essere affidata alla fortuna o al singolo tecnico di turno. Servono inventari completi, contratti che impongano ai fornitori standard di sicurezza verificabili, controlli indipendenti sui parametri critici e una cultura che consideri l’OT parte integrante del perimetro da difendere.<\/p>\n\n\n\n Per le istituzioni \u00e8 un banco di prova dell’applicazione concreta di NIS2. Per le imprese \u00e8 un invito a guardare oltre l’IT. Per i cittadini \u00e8 un promemoria: la resilienza di un servizio essenziale come quello trasfusionale si costruisce anche con un gesto semplice, la donazione. Questa volta \u00e8 andata bene. Il prossimo bersaglio potrebbe non avere un tecnico sveglio alle tre di notte.<\/p>\n\n\n\n Questi attacchi dimostrano che la cybersicurezza \u00e8 parte essenziale del nostro sistema produttivo e delle sue filiere per cui bisogna arrivare al pi\u00f9 presto ad un coordinamento pi\u00f9 efficace della rete di sicurezza con capacit\u00e0 di prevenzione e risposte pi\u00f9 efficienti. Anche questo significa lavorare per la difesa dei cittadini e del nostro Sistema Paese ed europeo<\/p>\n\n\n\nCosa \u00e8 successo<\/h2>\n\n\n\n
Non un caso isolato<\/h2>\n\n\n\n
Perch\u00e9 \u00e8 un salto di qualit\u00e0<\/h2>\n\n\n\n
Prove generali: dai bersagli facili a quelli strategici<\/h2>\n\n\n\n
Il vero punto debole: il fornitore e la centralina dimenticata<\/h2>\n\n\n\n
Cosa dovrebbero fare subito strutture sanitarie e aziende della catena del freddo<\/h2>\n\n\n\n
\n
E in Italia?<\/h2>\n\n\n\n
Cosa possono fare i cittadini<\/h2>\n\n\n\n
\n
Conclusione<\/h2>\n\n\n\n
\n\n\n\n