La proliferazione di dispositivi connessi a Internet, dall’ambito domestico a quello industriale, ha trasformato profondamente il panorama dei rischi informatici in Italia. Telecamere di videosorveglianza, termostati intelligenti, elettrodomestici connessi, sensori industriali e dispositivi indossabili condividono oggi le stesse reti utilizzate per lavoro e vita quotidiana, moltiplicando in modo esponenziale i potenziali punti di accesso sfruttabili da un attaccante.
Uno dei problemi strutturali dell’ecosistema IoT riguarda la disomogeneità degli standard di sicurezza adottati dai produttori. A differenza di computer e smartphone, per i quali esistono da tempo prassi consolidate di aggiornamento e protezione, molti dispositivi IoT vengono immessi sul mercato con priorità concentrate sulla funzionalità e sul costo di produzione, spesso trascurando aspetti fondamentali come la possibilità di aggiornare il firmware, la robustezza delle password predefinite o la crittografia delle comunicazioni tra il dispositivo e i server del produttore.
Questa carenza strutturale ha conseguenze concrete: dispositivi IoT compromessi vengono regolarmente reclutati all’interno di reti botnet, utilizzate dai criminali informatici per condurre attacchi DDoS su larga scala o come punto d’appoggio per infiltrarsi in reti domestiche o aziendali più ampie. Un semplice termostato connesso con credenziali predefinite mai modificate può rappresentare, paradossalmente, la porta d’ingresso per un attacco ben più sofisticato contro l’intera rete a cui è collegato.
In ambito industriale, la convergenza tra tecnologie operative tradizionali e dispositivi IoT, spesso descritta come Industrial Internet of Things, introduce rischi ancora più significativi, considerando che questi sistemi controllano spesso processi fisici critici, dalla produzione manifatturiera alla gestione di infrastrutture energetiche. La compromissione di un sensore o di un attuatore industriale può tradursi non solo in una perdita di dati, ma in danni fisici concreti, interruzioni di produzione o, nei casi più gravi, rischi per la sicurezza delle persone.
Il quadro normativo europeo sta progressivamente affrontando queste criticità: il Cyber Resilience Act introduce requisiti obbligatori di sicurezza informatica per i prodotti digitali immessi sul mercato europeo, includendo dispositivi IoT, con obblighi relativi alla gestione delle vulnerabilità, agli aggiornamenti di sicurezza e alla trasparenza verso i consumatori riguardo al ciclo di vita del supporto tecnico garantito. Questo rappresenta un cambio di paradigma significativo, spostando parte della responsabilità della sicurezza dal singolo utilizzatore ai produttori stessi.
Per le aziende e i privati italiani, alcune pratiche restano fondamentali per ridurre i rischi legati ai dispositivi connessi: modificare sempre le credenziali predefinite al momento dell’installazione, mantenere aggiornato il firmware dei dispositivi quando il produttore rilascia patch di sicurezza, segmentare la rete domestica o aziendale separando i dispositivi IoT dalle reti utilizzate per attività più sensibili, e valutare attentamente, prima dell’acquisto, la reputazione del produttore in materia di supporto e aggiornamenti di sicurezza nel tempo.