La guerra nascosta contro le nostre reti elettriche

Gli attacchi informatici al nostro settore energetico sono una minaccia costante e nascosta. Raramente comportano esplosioni drammatiche o distruzioni visibili. Al contrario, questi attacchi sono insidiosi. Gli aggressori si infiltrano silenziosamente nei sistemi, acquisiscono informazioni o sabotano progressivamente le operazioni. Questo approccio silenzioso rende questi attacchi incredibilmente pericolosi. Come un ladro digitale che scassina una serratura invece di sfondare una porta, gli aggressori prendono di mira le infrastrutture critiche nell’ombra, facendone una guerra non dichiarata.

Il settore energetico globale è una vasta rete. Include reti elettriche, oleodotti e gasdotti, impianti di energia rinnovabile e centrali nucleari. Questi sistemi alimentano tutto, dagli ospedali ai mercati finanziari. Sono bersagli principali per gruppi malintenzionati in tutto il mondo.

Questi sistemi utilizzano la Tecnologia Operativa (OT). L’OT comprende l’hardware e il software che monitorano e controllano i processi fisici. È come il sistema nervoso di un impianto industriale, che gestisce valvole, turbine e generatori. Si distingue dalla Tecnologia dell’Informazione (IT), che gestisce i dati aziendali come la fatturazione o le e-mail.

Gli aggressori spesso prendono di mira le infrastrutture OT. Vogliono interrompere la fornitura di energia, rubare dati sensibili o persino causare danni fisici. I soggetti coinvolti sono vari: gruppi legati a stati-nazione, cybercriminali a scopo di lucro e, a volte, hacker con motivazioni ideologiche.

La minaccia silenziosa: come gli attacchi prendono di mira le infrastrutture critiche

Nel 2022, oltre il 70% delle organizzazioni di infrastrutture critiche ha subito un incidente informatico, secondo Claroty. Molti incidenti hanno colpito le aziende energetiche. Gli aggressori sfruttano la crescente interconnessione tra le reti IT e OT. Spesso iniziano violando sistemi IT meno sicuri.

Una volta nella rete IT, gli aggressori cercano modi per raggiungere l’ambiente OT. Immagina l’edificio di un’azienda. Un aggressore potrebbe prima entrare negli uffici amministrativi (IT). Da lì, cercano il modo per accedere al reparto di produzione (OT). Utilizzano metodi come e-mail di phishing o debolezze del software.

Il phishing inganna i dipendenti inducendoli a fornire le credenziali di accesso o a scaricare software dannoso. Una buona e-mail può superare molte misure di sicurezza iniziali. Gli attacchi alla supply chain sono un’altra via d’accesso comune. Qui, gli aggressori violano un fornitore di software fidato. Il codice dannoso viene quindi consegnato alle aziende energetiche tramite aggiornamenti regolari.

Le centrali nucleari sono strutture massicce e complesse che generano elettricità attraverso la fissione nucleare, fornendo una parte significativa dell'energia globale. Essendo infrastrutture critiche, i loro sofisticati sistemi di Tecnologia Operativa (OT) sono obiettivi primari per gli attacchi informatici, che potrebbero interrompere le reti elettriche o persino portare a danni fisici. (Fonte: sentrypods.com)

Con l’accesso alla rete OT, gli aggressori hanno diversi obiettivi. Lo spionaggio implica il furto di proprietà intellettuale o dati operativi privati. Ciò potrebbe includere i disegni tecnici per una nuova centrale elettrica o le vulnerabilità della rete. Queste informazioni conferiscono alle nazioni rivali un vantaggio significativo.

Gli attacchi volti a causare interruzioni mirano a provocare blocchi o guasti al sistema. Questi attacchi potrebbero manipolare i controlli industriali, spegnendo le apparecchiature. L’obiettivo è creare caos o applicare pressione politica. Immagina un aggressore informatico che apre e chiude a distanza i disgiuntori della rete.

Infine, la distruzione mira all’attrezzatura fisica. Questo è l’esito peggiore. Gli aggressori possono sovraccaricare i macchinari o causare operazioni errate. Tali attacchi possono portare a danni permanenti che richiedono costose riparazioni fisiche.

Principali attacchi informatici che hanno scosso il mondo dell’energia

Una delle prime e più famigerate armi informatiche è stata Stuxnet. Scoperto nel 2010, questo complesso worm ha preso di mira gli impianti di arricchimento nucleare dell’Iran. Stuxnet ha manipolato i sistemi di controllo industriale Siemens. Ha portato le centrifughe a girare fuori controllo e ad autodistruggersi.

Stuxnet è stata un’operazione estremamente complessa. Ha dimostrato come il codice digitale potesse causare danni fisici nel mondo reale. È opinione diffusa tra gli esperti che sia stato sviluppato da uno sforzo congiunto USA-Israele. Ralph Langner, un esperto tedesco di sicurezza dei sistemi di controllo, ha contribuito ad analizzare il suo potere distruttivo.

Nel dicembre 2015, la rete elettrica dell’Ucraina è stata attaccata. Oltre 225.000 clienti hanno perso l’elettricità per ore. Gli aggressori hanno utilizzato malware avanzato, incluso BlackEnergy3, per disabilitare a distanza le sottostazioni. Le autorità ucraine hanno attribuito la responsabilità a un gruppo sostenuto dallo stato russo.

Un anno dopo, nel dicembre 2016, un altro attacco ha colpito la capitale dell’Ucraina, Kiev. Gli aggressori hanno distribuito il malware Industroyer (noto anche come CrashOverride). Industroyer è particolarmente pericoloso. Prende direttamente di mira i protocolli di comunicazione industriali comuni. È in grado di “parlare” con le apparecchiature della rete elettrica. Robert M. Lee, CEO di Dragos, ha documentato le capacità di questo malware.

L’attacco ransomware alla Colonial Pipeline è avvenuto nel maggio 2021. Ha gravemente interrotto le forniture di carburante in tutto il sud-est degli Stati Uniti. DarkSide, un gruppo di cybercriminali di lingua russa, lo ha condotto. Hanno crittografato i sistemi IT dell’azienda e chiesto un riscatto.

Colonial Pipeline ha rapidamente disattivato i suoi sistemi operativi. Ciò ha impedito al ransomware di diffondersi alle infrastrutture OT critiche. Tuttavia, la chiusura ha comunque causato acquisti dettati dal panico e carenze di carburante diffuse. L’FBI ha successivamente recuperato gran parte del riscatto pagato. Questo incidente ha mostrato la stretta connessione tra i sistemi IT e OT.

Queste sono centrifughe, come quelle prese di mira dall'arma informatica Stuxnet negli impianti di arricchimento nucleare dell'Iran. Stuxnet ha manipolato questi sistemi di controllo industriale, portando le centrifughe a girare fuori controllo e ad autodistruggersi, un esempio emblematico di codice digitale che causa distruzione fisica. (Fonte: timesofisrael.com)

Un attacco preoccupante è stato Triton (noto anche come TRISIS) nel 2017. Questo malware ha preso di mira un impianto petrolchimico in Arabia Saudita. Triton mirava specificamente ai Sistemi Strumentati di Sicurezza (SIS) dell’impianto. Questi sistemi prevengono guasti gravi. Gli aggressori hanno cercato di disabilitare questi controlli di sicurezza.

Mandiant, un’azienda di cybersecurity, ha analizzato l’attacco Triton. Hanno concluso che probabilmente era sponsorizzato da un attore statale. Questo attacco ha accresciuto la gravità della minaccia. Ha dimostrato che gli aggressori erano disposti a compromettere direttamente i sistemi di sicurezza, mettendo a rischio vite umane.

Chi c’è dietro la tastiera? gli attori e i loro motivi

La maggior parte degli attacchi informatici al settore energetico proviene da attori statali. Questi gruppi agiscono per conto dei governi. Lavorano per obiettivi nazionali. I loro motivi includono lo spionaggio, il sabotaggio o la preparazione per futuri conflitti. La CISA avverte spesso di queste minacce.

La Russia è un attore importante in questo contesto. Gruppi come Sandworm, collegati all’intelligence militare russa (GRU), hanno una storia di attacchi alle infrastrutture critiche. Sono noti per la loro capacità di distruggere, come visto negli attacchi alla rete elettrica ucraina. Il loro obiettivo è spesso destabilizzare gli avversari.

Anche la Cina gestisce un significativo programma di spionaggio informatico. I gruppi statali cinesi spesso prendono di mira le aziende energetiche per rubare proprietà intellettuale. Cercano vantaggi economici e tecnologici. Ciò include l’acquisizione di disegni tecnici per nuove tecnologie energetiche o procedure operative.

Anche l’Iran e la Corea del Nord sono attivi. L’Iran ha preso di mira aziende energetiche in Medio Oriente e oltre. I loro motivi sono spesso legati a conflitti regionali e potere politico. La Corea del Nord utilizza attacchi informatici, incluso il ransomware, per finanziare il proprio regime. Questo li aiuta a eludere le sanzioni internazionali.

Le organizzazioni criminali informatiche sono un’altra minaccia importante. Il loro obiettivo principale è il guadagno finanziario. Spesso distribuiscono ransomware, crittografando i sistemi e chiedendo un pagamento. Il gruppo DarkSide, dietro l’attacco alla Colonial Pipeline, evidenzia la gravità di questa minaccia. Questi gruppi stanno diventando più sofisticati.

Occasionalmente, emergono minacce interne. Queste coinvolgono dipendenti attuali o ex dipendenti con intenzioni malevole. Utilizzano il loro accesso legittimo per compromettere i sistemi. Gli attacchi interni sono meno comuni, ma sono spesso i più difficili da rilevare. Possono causare danni significativi grazie alla profonda conoscenza del sistema.

L'attacco malware Triton nel 2017 ha preso di mira specificamente un impianto petrolchimico in Arabia Saudita, mirando a disabilitare i suoi Sistemi Strumentati di Sicurezza (SIS) e potenzialmente causare un guasto catastrofico. Questo incidente ha sottolineato i gravi rischi posti dagli attacchi informatici sponsorizzati da attori statali alle infrastrutture industriali critiche. (Fonte: news.az)

Proteggere la rete: difese e sfide future

Il Dipartimento dell’Energia degli Stati Uniti ha investito oltre 45 milioni di dollari in ricerca e sviluppo sulla cybersecurity per i sistemi energetici nel 2023. Questo dimostra uno sforzo continuo per migliorare la sicurezza. Proteggere la rete energetica richiede molteplici livelli di difesa. Un passaggio fondamentale è la segmentazione della rete, che significa separare le reti IT e OT.

Immagina stanze separate e chiuse a chiave in una casa. Se un ladro entra nel soggiorno (IT), non può immediatamente raggiungere la cassaforte nella camera da letto (OT). Questa separazione limita il movimento di un aggressore. Consente di contenere le violazioni in parti specifiche della rete.

Anche i sistemi avanzati di monitoraggio e rilevamento sono importanti. Gli strumenti di sicurezza IT tradizionali spesso non sono efficaci sulle reti OT. Software specializzato può rilevare comandi insoliti o schemi di traffico specifici per i controlli industriali. Questo aiuta gli operatori a individuare le minacce prima che si verifichino danni.

La condivisione di informazioni sulle minacce è un’altra componente cruciale. Aziende energetiche, agenzie governative e aziende di cybersecurity condividono informazioni sulle nuove minacce. Questa collaborazione aiuta le organizzazioni ad anticipare gli attacchi. Permette anche loro di preparare le difese in anticipo. Il National Infrastructure Protection Center (NIPC) è un esempio di tale gruppo.

Anche audit regolari, valutazioni delle vulnerabilità e aggiornamenti software sono vitali. I sistemi industriali legacy sono molto difficili da aggiornare con le patch. Modernizzare questi sistemi e applicare con diligenza gli aggiornamenti di sicurezza è una sfida continua. Ignorare gli aggiornamenti lascia esposte vulnerabilità critiche.

Una delle sfide future più significative è la carenza di forza lavoro nella cybersecurity. La domanda di professionisti qualificati nella sicurezza OT supera di gran lunga l’offerta. Un rapporto ISC2 del 2023 ha segnalato una carenza globale di forza lavoro nella cybersecurity di oltre 4 milioni di persone. Questo divario lascia molte aziende di infrastrutture critiche prive di personale e vulnerabili.

Una preoccupazione crescente è il livello di interconnessione delle reti moderne. Smart grid, energia rinnovabile e risorse energetiche distribuite creano nuovi possibili punti di accesso. Ogni nuova connessione è una possibile superficie di attacco. Mettere in sicurezza questa rete in espansione è un compito arduo.

FAQ: attacchi informatici al settore energetico

D: Qual è la principale differenza tra sicurezza IT e OT? R: La sicurezza IT protegge i dati e i sistemi informativi. La sicurezza OT protegge i processi fisici e le apparecchiature che controllano le operazioni industriali. I tempi di inattività sono spesso più gravi nell’OT. Può causare danni fisici o incidenti di sicurezza.

Un centro di controllo della smart grid monitora e gestisce il complesso flusso di elettricità, integrando fonti di energia tradizionali con energie rinnovabili e risorse energetiche distribuite. Questi sistemi altamente connessi, sebbene efficienti, presentano nuove e più ampie superfici di attacco per le minacce informatiche, rendendo la loro sicurezza di primaria importanza. (Fonte: gettyimages.com)

D: Gli attacchi ransomware sono una grande minaccia per il settore energetico? R: Sì, assolutamente. Il ransomware spesso prende di mira i sistemi IT. Tuttavia, può interrompere le operazioni bloccando la fatturazione, la logistica o l’accesso remoto. L’incidente della Colonial Pipeline ha mostrato come un’interruzione IT possa costringere a un arresto operativo.

D: Un attacco informatico può causare un’interruzione di corrente diffusa? R: Sì, è possibile. Attacchi come quelli alla rete elettrica ucraina hanno dimostrato che ciò è possibile. Aggressori astuti potrebbero manipolare i controlli industriali in diverse sottostazioni. Ciò potrebbe portare a guasti diffusi e blackout.

Cosa succederà? il campo di battaglia informatico che cambia

Gli attacchi informatici al settore energetico continuano ad aumentare. Le tensioni geopolitiche stanno aumentando a livello globale. Questo aumenta l’attività informatica statale. Le nazioni sviluppano regolarmente nuovi strumenti e tattiche. Mirano a ottenere un vantaggio o a interrompere gli avversari.

L’enfasi si sta spostando dalla pura prevenzione alla resilienza. Le organizzazioni devono aspettarsi che si verifichino violazioni. Hanno bisogno di piani per rilevare, rispondere e recuperare rapidamente dagli attacchi. Ciò significa disporre di sistemi di backup e protocolli di risposta agli incidenti ben definiti. Comporta anche la formazione del personale per operare i sistemi manualmente se i controlli automatizzati falliscono.

La cooperazione internazionale è essenziale per la difesa. Politiche di cybersecurity unificate a livello transnazionale sono difficili da raggiungere. Interessi nazionali divergenti spesso ostacolano la condivisione di informazioni e gli sforzi di difesa congiunti. Tuttavia, le minacce globali richiedono soluzioni globali.

In definitiva, l’elemento umano è fondamentale. Anche difese tecniche avanzate possono essere compromesse da un singolo clic su un’e-mail malevola. Formazione e consapevolezza costanti per tutti i dipendenti, dai dirigenti agli operatori degli impianti, sono cruciali. Garantire il nostro futuro energetico è una sfida difficile e continua.

La Colonial Pipeline, un importante oleodotto statunitense, è stata costretta a chiudere nel maggio 2021 a causa di un attacco ransomware, evidenziando come le interruzioni IT possano paralizzare le infrastrutture energetiche critiche. Questo incidente ha portato a diffuse carenze di carburante e acquisti dettati dal panico in tutto il sud-est degli Stati Uniti. (Fonte: mwi.westpoint.edu)

---

Potrebbe interessarti anche:

👉 12 maggio 2017: WannaCry, il cyberattacco che mise in ginocchio il NHS

👉 Futuri Sostenibili: Investimenti, Cybersecurity e il Futuro del Lavoro

👉 Understanding Energy Independence: Security, Economy, Future