Una vasta gamma di apparecchiature per l'energia solare è rimasta esposta online

Pubblicato per la prima volta su

• Secondo un nuovo rapporto della società di sicurezza informatica industriale Forescout, circa 35.000 dispositivi ad energia solare sono gestibili da remoto e accessibili a chiunque, ovunque nel mondo.
• Secondo il rapporto di martedì, questi dispositivi esposti dotati di interfacce di gestione accessibili tramite Internet, realizzati da 42 aziende diverse, includono apparecchiature essenziali per il funzionamento delle infrastrutture di energia solare.
• Alcune interfacce di gestione potrebbero includere protezioni tramite password, ma Forescout ha affermato che praticamente nessuna di esse necessita di essere online e che eventuali eccezioni dovrebbero essere protette da VPN.
• I 10 fornitori con il maggior numero di dispositivi esposti hanno tutti divulgato vulnerabilità nell'ultimo decennio, aumentando il rischio che rimangano esposti sulla rete Internet pubblica.

La transizione verso fonti energetiche rinnovabili e la crescente digitalizzazione della rete elettrica si sono combinate creando gravi rischi per la sicurezza informatica. Le ultime scoperte di Forescout illustrano come l'assenza di pratiche di progettazione sicure nei dispositivi delle infrastrutture critiche possa mettere a repentaglio la vita delle persone e rappresentare un'opportunità per destabilizzare intere regioni.

Il rapporto di Forescout, basato su una scansione di indirizzi IP pubblici tramite il motore di ricerca Shodan, contiene dettagli sulla distribuzione di apparecchiature solari con interfacce di gestione accessibili da Internet. Ad esempio, questi dispositivi sono più diffusi in Europa e Asia che altrove, con tre quarti dei dispositivi residenti in Europa e il 17% in Asia. Germania e Grecia detengono ciascuna un quinto del numero totale di dispositivi esposti. Inoltre, i 10 fornitori con il maggior numero di dispositivi esposti non erano gli stessi dei 10 fornitori con le maggiori quote di mercato; il colosso globale Huawei, ad esempio, non figura nell'elenco di Forescout.

Sunny WebBox di SMA, un dispositivo che raccoglie e segnala informazioni sulle prestazioni degli inverter solari, è stato il dispositivo più comunemente osservato come accessibile da remoto, seguito dagli inverter Fronius International. Sunny WebBox, la cui produzione è stata interrotta nel 2015, è "sempre stato tra i dispositivi solari più esposti", ha affermato Forescout, nonostante i ricercatori abbiano rivelato una vulnerabilità hard-coded nel prodotto a settembre 2015. Infatti, mentre il numero di dispositivi esposti è sceso da 80.000 nel dicembre 2014 a 9.500 al momento della divulgazione della vulnerabilità, è tornato a 13.000 il mese scorso, secondo Forescout.

Secondo gli esperti di sicurezza informatica, le infrastrutture esposte a Internet e non più operative, con vulnerabilità note, rappresentano la ricetta per un disastro.

"Vediamo gruppi di minacce accedere in modo aggressivo e opportunistico alle infrastrutture connesse a Internet", ha affermato Rob Lee, amministratore delegato di Dragos, azienda specializzata in cybersecurity industriale. "I parchi solari e altre risorse energetiche distribuite richiedono connettività. Ma tale connettività deve essere adeguatamente protetta e si deve adottare una mentalità di presunzione di violazione, data l'attrattiva di questi sistemi per gli aggressori".

Alcuni dispositivi potrebbero essere accessibili da remoto perché i loro operatori non sanno nemmeno che esistono in mezzo a un mare di infrastrutture difficili da gestire.

"Senza una visibilità completa su come queste risorse esposte comunicano tra gli ambienti, gli operatori non possono controllarle adeguatamente", ha dichiarato via email a Cybersecurity Dive Gary Kneeland, Senior Product Manager di Claroty, azienda specializzata in sicurezza informatica industriale. "Con la crescente diffusione di questo percorso di attacco, aspetti come la visibilità delle risorse e la mappatura delle comunicazioni diventeranno requisiti fondamentali per la protezione delle infrastrutture critiche".

Kneeland ha affermato che le vulnerabilità nei dispositivi lasciati accidentalmente online "restano un punto dolente persistente per i settori che corrono verso la digitalizzazione, soprattutto nel settore energetico".

"Gli aggressori non hanno bisogno di strumenti sofisticati", ha affermato, "basta l'accesso".