Internet delle cose, ecco perché gli oggetti connessi non sono sicuri

Dal 23 dicembre al 6 gennaio c’è stato un corposo viavai di spam: sono state spedite ben 750 mila e-mail con contenuti potenzialmente pericolosi per chi le apriva e cliccava i link presenti al loro interno. I messaggi sono partiti da oltre 100 mila computer, complici, loro malgrado, di questa titanica operazione di disturbo globale.

Fin qui niente di clamoroso, è consuetudine per gli hacker usare macchine infettate in giro per il mondo per imboscare meglio le loro tracce. La notizia è che stavolta non erano computer qualunque: le e-mail sono state spedite anche da televisori e frigoriferi. Esatto: qualcuno si è preso la briga di violare oggetti intelligenti (o presunti tali) connessi al web per piegarli ai suoi scopi tutt’altro che cristallini. Sarebbe la prima volta in cui l’internet delle cose si ritrova invischiata in un’azione di questa portata. A sostenerlo è la società di sicurezza californiana Proofpoint, che ha scoperto e reso pubblico l’accaduto.

La vicenda merita una riflessione: la Gartner dice che gli oggetti con un accesso al web saranno 26 miliardi nel 2020, IDC afferma che saranno parecchi di più. Che nello stesso anno sfonderanno addirittura il muro dei 200 miliardi. Senza guardare tanto lontano, è sufficiente pensare alle centinaia di annunci del recentissimo Ces di Las Vegas per accorgersi che i produttori sono intenzionati a piazzare chip in ogni dove: spazzolini, palloni, braccialetti, orologi, elettrodomestici, persino mutande e calzini. Con quali conseguenze?

«L’internet delle cose promette di darci il controllo di tutti quei gadget che usiamo su base quotidiana. È anche una grande promessa per i criminali del web, che possono usare quegli stessi dispositivi per lanciare grossi attacchi distribuiti. La minaccia è enorme, perché quei dispositivi sono facilissimi da violare» avverte Michael Osterman, analista leader della Osterman Research.

Capiamo come mai: i chip, i cuori dell'internet delle cose, cominciano a costare meno di cinque dollari e in prospettiva dovranno arrivare a essere ancora più economici, a scendere sotto il dollaro. Si bada alla quantità, parecchio meno alla qualità, i margini di guadagno per i costruttori sono ridottissimi e allora non ci si preoccupa mai di aggiornare la generazione precedente, preferendo non pensarci più, dimenticarsene, sopprimerla in fretta passando a quella successiva. Con il risultato che non ci sono patch o cerotti salvifici per tamponare eventuali pasticciacci come quello delle feste natalizie di cui sopra. Che quanto è successo una volta, può succedere ancora e ancora.

D’altronde proteggere un oggetto da mani virtuali esterne non è come scaricare le nuove definizioni di un antivirus. Chi lo ha prodotto avrebbe dovuto disporre cautele adeguate, perché dopo non è affatto facile. E se è vero che si può fare pochissimo per mettersi al riparo da situazioni spiacevoli, è altrettanto improbabile che qualcuno butterà via un frigorifero con pochi mesi di vita perché ha farcito di spam la casella di un impiegato delle poste del Nebraska. Insomma, proprio non se ne esce.
 
La vicenda, peraltro, non è nuovissima. Tante volte in questi mesi si è parlato delle nuove armi consegnate nelle grate e capienti mani degli hacker. Fino a poco tempo fa potevano entrare nei computer, nei telefonini, nei tablet, dare un’occhiata a tanti aspetti delle nostre vite. Con lo strapotere dell’internet delle cose, saranno capaci di spiare ogni angolo delle nostre case, salire a bordo delle nostre automobili, conoscere qualsiasi singola insignificante minuzia che ci riguarda.

La buona notizia è che i produttori sono perfettamente consapevoli di questo scenario e ne terranno conto nei loro lanci imminenti. Parlando con alcuni di loro al Ces di Las Vegas e assistendo a numerose dimostrazioni, è chiaro che la sicurezza è un’ape operosa che ronza nelle loro teste. Nemmeno per eccesso di altruismo, ma per semplice strategia industriale: una casa allagata a distanza da un criminale di bit o peggio un forno smart fatto esplodere da un terrorista con la tastiera, sarebbe un danno d’immagine incalcolabile che ammazzerebbe un business. Insomma, almeno dai big possiamo aspettarci oggetti al riparo da disastri. Per i piccoli, chiediamoci invece qual è il massimo danno possibile. Se qualcuno compromette il mio spazzolino e scopre che mi pulisco poco a fondo il morale sinistro, tutto sommato penso di poter sopravvivere a questa fuga di notizie.

Senza trascurare un ultimo punto fondamentale: gli hacker, lo dice sempre la Proofpoint, per far partire la spremuta di spam hanno sfruttato feritoie lasciate spalancate dagli utenti stessi. Oggetti non protetti da password o da quella standard del Bluetooth (la nefasta «0000»), dispositivi collegati a reti pubbliche. Prima di puntare l’indice contro l’internet delle cose, prima di strozzarlo nella culla, cominciamo a prendercela con la nostra storica, solita, inguaribile ingenuità.