Avete presente una petroliera lunga 333 metri, più di tre campi da calcio, capace di trasportare circa 2,3 milioni di barili di greggio? Suppongo di sì: una massa d’acciaio che attraversa mari, stretti e porti con l’inerzia di un piccolo quartiere galleggiante. Ora immaginate che, per capire se sia ancora «sicura», servano specialisti cyber dell’FBI e della U.S. Coast Guard che salgono fisicamente a bordo per cercare malware. È accaduto ad agosto nel Golfo del Messico, e già questo spiega perché la sicurezza informatica non sia più un problema confinato dentro un computer.
Le autorità statunitensi sono salite su due navi commerciali dirette verso gli Stati Uniti, il 21 e il 24 agosto, dopo indicazioni sulla compromissione delle rispettive reti. Della seconda sappiamo ancora poco. Della prima conosciamo nome e dimensioni: VL Prosperity, petroliera VLCC battente bandiera liberiana, partita dall’Egitto e diretta a Galveston, in Texas. Il suo gestore ha poi comunicato che la Coast Guard aveva autorizzato la ripresa delle normali operazioni.
Qui conviene soffermarsi un attimo sui fatti. La compromissione informatica è stata confermata e la comandante della Coast Guard Cyber Command, contrammiraglio Amy Grable, ha dichiarato che gli investigatori hanno trovato attività cyber malevola a bordo e hanno analizzato i sistemi per individuare e rimuovere la presenza dell’attaccante. La Coast Guard ha parlato di «foreign cyber actors», quindi di attori stranieri, senza identificarli. Non c’è un’attribuzione tecnica pubblica a un Paese o a un gruppo.
Esiste però una seconda versione della storia, molto più spettacolare. L’iraniana Mehr News Agency ha riferito che il 7 agosto, durante il passaggio nello Stretto di Gibilterra, la VL Prosperity avrebbe perso le comunicazioni per circa trenta ore e che gli aggressori sarebbero intervenuti sui sistemi della sala macchine. Sono dettagli impressionanti, ma non confermati pubblicamente dalle autorità statunitensi. Rob Lee, CEO di Dragos, interpellato da CBS, li ha definiti tecnicamente plausibili, il che, però, non significa che sia accaduto. Nel mondo cyber tra «si può fare» e «è stato fatto c’è lo stesso spazio, notoriamente «marino», che separa il dire e il fare.
Il punto interessante non è stabilire se un attaccante abbia impugnato da remoto il timone di una petroliera. L’immagine funziona benissimo in una serie televisiva, molto meno in sala macchine. Le navi sono sistemi complessi e non serve trasformarle in droni da 333 metri per creare un problema serio, perché basta rendere inaffidabile uno dei sistemi necessari a farle navigare in sicurezza. Non occorre comandare tutto: può essere sufficiente togliere certezza a chi deve comandare.
Come vado dicendo da più di dieci anni, l’incontro tra IT e OT cambia la natura del rischio. Nel mondo dell’Information Technology un attacco può sottrarre dati, bloccare applicazioni, cifrare documenti. Nell’Operational Technology, invece, dietro una variabile digitale può esserci una pompa, un flusso, un apparato di propulsione, un sistema di navigazione. Il comando non termina più sullo schermo, ma prosegue nel mondo fisico. Per anni ci siamo preoccupati di proteggere il digitale dagli esseri umani e adesso dobbiamo anche impedire che una cattiva intenzione digitale produca tonnellate di conseguenze reali.
Una nave moderna non è più soltanto motore, timone e radar. È un ecosistema di comunicazioni satellitari, reti IP, sensori, navigazione, manutenzione, gestione energetica, automazione, sistemi di carico, computer amministrativi e apparati operativi. Il vantaggio è enorme, ma l’efficienza nasce dai collegamenti e i collegamenti distribuiscono anche la fragilità.
Digitalizzare va bene, ma ogni connessione va trattata come una relazione da governare, non come una comodità neutrale. Se la rete amministrativa può diventare un ponte verso sistemi operativi, il problema non è soltanto il malware, ma l’architettura stessa.
Non a caso, tra le misure richiamate dalla stessa Grable compaiono concetti quasi deludenti per chi si aspetta armi digitali esotiche: segmentazione delle reti, attenzione al phishing, igiene cyber di base. È una delle ironie ricorrenti della tecnologia: più l’oggetto diventa gigantesco, più la vulnerabilità può essere minuscola. Possiamo avere davanti due milioni di barili di petrolio e dietro, da qualche parte, una credenziale gestita male, una configurazione sbagliata o due reti che avrebbero dovuto parlarsi molto meno.
La nave, inoltre, non vive isolata: deve comunicare con terra, trasmettere telemetria e supportare manutenzione e operazioni. Le connessioni satellitari ampliano le possibilità operative e, inevitabilmente, la superficie esposta. Non a caso le linee guida dell’International Maritime Organization sul cyber risk partono da questo presupposto.
Il caso della VL Prosperity obbliga così a tenere insieme due verità. La prima. Non sappiamo ancora se qualcuno sia realmente riuscito a manipolare motori o altri sistemi OT. La seconda. Le autorità hanno ritenuto abbastanza concreta la possibilità da inviare squadre specializzate a bordo per controllare tanto l’IT quanto l’OT.
C’è infine l’attribuzione. Si è parlato di Iran, ma le autorità statunitensi non hanno reso pubblica un’attribuzione di questo tipo. Nel cyberspazio indicare il colpevole è spesso più difficile che accertare il fatto. Malware, infrastrutture, tattiche, tecniche e procedure vanno confrontati e la provenienza apparente può essere parte dell’inganno. Quando non sappiamo chi ha acceso il fiammifero, possiamo comunque studiare perché la stanza era piena di materiale combustibile.
Forse è questa la lezione più utile che ci lascia questa petroliera. La trasformazione digitale ha costruito un lussuoso attico sopra il mondo fisico: efficiente, funzionale e iperconnesso. Peccato che le fondamenta sottostanti siano analoghe a quelle delle palafitte dell’Olocene.
Detto tra noi: abbiamo collegato tutto per controllare meglio il mondo. Adesso dobbiamo imparare a controllare meglio ciò che abbiamo collegato.