Da quando esistono veicoli connessi a Internet, gli hacker cercano di violarne la sicurezza. Molti ci sono riusciti. E il loro numero è in aumento.
Nel 2010, alcuni ricercatori dell’Università della California di San Diego e dell’Università di Washington hanno dimostrato come gli hacker potessero ottenere l’accesso a una Chevrolet Impala del 2009 tramite il sistema di sicurezza di bordo OnStar. Una volta entrati, sono riusciti a controllare i freni e a intercettare le conversazioni all’interno dell’auto.
Cinque anni dopo, i ricercatori nel campo della sicurezza Charlie Miller e Chris Valasek hanno preso il controllo in remoto di una Jeep Cherokee del 2014 con il giornalista di Wired Andy Greenberg al volante. Sfruttando una vulnerabilità nella connessione cellulare dell’auto, sono riusciti a spegnere il motore, a disattivare i freni e a prendere il controllo dello sterzo da una distanza di 10 miglia. (Chrysler ha successivamente emesso un richiamo per 1,4 milioni di veicoli che presentavano tale difetto.)
E verso la fine del 2021, il ricercatore diciannovenne David Colombo è riuscito a violare più di due dozzine di veicoli Tesla in 13 paesi dalla sua abitazione a Monaco di Baviera, in Germania. È riuscito a controllare serrature, luci e temperatura, oltre a individuare la posizione di un’auto e a scoprire l’indirizzo e-mail del proprietario.
L'attacco informatico alla Jeep ha rappresentato un serio campanello d'allarme per le case automobilistiche e i fornitori del settore, che hanno iniziato a prendere molto più sul serio la sicurezza informatica. «Per quanto riguarda i sistemi critici all’interno del veicolo, sono stati compiuti notevoli progressi rispetto al 2015», afferma Jennifer Tisdale, responsabile dell’ CEO e di GRIMM, società che aiuta i fornitori del settore automobilistico a identificare e mitigare le vulnerabilità di sicurezza. «C’è ancora molta strada da fare?» «Assolutamente sì.»
Le grandi domande di Tisdale riguardano la sicurezza a lungo termine: cosa succede dopo che un veicolo lascia il parcheggio e rimane in circolazione per anni? Una volta individuate le vulnerabilità, le case automobilistiche rilasceranno tempestivamente le patch software ? E i privati e le aziende riusciranno a mantenere le proprie automobili aggiornate in modo più efficace di quanto abbiano fatto con i propri computer
o telefoni?
«Non abbiamo ancora una risposta a questa domanda», avverte.
La minaccia degli attacchi informatici nel settore automobilistico ha ripercussioni su tutti, compresi e soprattutto gli operatori di veicoli commerciali, le cui flotte potrebbero essere prese in ostaggio, con conseguenti costi pari a milioni a causa dei tempi di inattività e del pagamento di un riscatto . Oppure, peggio ancora, un malintenzionato potrebbe impadronirsi di un veicolo aziendale e trasformarlo in un’arma, mettendo così a rischio la reputazione — e la vita — delle persone coinvolte.
Ecco cosa devono sapere gli imprenditori in merito al crescente rischio di attacchi informatici nel settore automobilistico.
Gli hacker malintenzionati all’attacco
Storicamente, sono stati i ricercatori nel campo della sicurezza e i cosiddetti hacker “white hat”, che operano a sostegno del settore, a individuare la maggior parte delle vulnerabilità relative alla sicurezza informatica nel settore automobilistico. Ma la situazione sta cominciando a cambiare.
«Gli hacker puntano ai settori in cui è possibile ottenere un guadagno, che si tratti di attacchi ransomware alle flotte o del furto di dati sensibili.»
Nel 2021, gli autori di attacchi malevoli hanno perpetrato quasi il 57% dei 240 attacchi noti nel settore automobilistico, secondo il rapporto annuale di Upstream Security intitolato “ : Global Automotive Cybersecurity Report”. Si tratta di un aumento rispetto a poco meno del 50% registrato prima del 2020.
Secondo il rapporto, gli incidenti verificatisi nel 2021 presentavano le seguenti caratteristiche:
- Il 85% degli incidenti di tipo “ ” ha comportato l’accesso remoto a un veicolo.
- Il 40% consisteva in violazioni dei dati relative a server che comunicano con veicoli connessi.
- Il 24% ha assunto il controllo remoto di importanti sistemi automobilistici, spesso tramite app mobili. (L'hacker di Tesla, Colombo, è riuscito ad accedere tramite TeslaMate, un' App di terze parti.)
«Gli hacker puntano ai settori in cui è possibile ottenere un guadagno, che si tratti di attacchi ransomware , di attacchi alle flotte o del furto di dati sensibili, come i dati di fatturazione dei clienti provenienti da stazioni di ricarica per veicoli elettrici violate», afferma Guy Molho, vicepresidente del reparto prodotti di Upstream, la cui tecnologia di sicurezza è installata in oltre 10 milioni di veicoli in tutto il mondo. «La regola generale è semplice: punteranno a ottenere la retribuzione più alta possibile.»
Gli attacchi ransomware alle flotte rappresentano la preoccupazione principale per i ricercatori del GRIMM, osserva Tisdale. Negli ultimi anni si sono già verificati numerosi attacchi ai danni di aziende di autotrasporti, sebbene quasi tutti abbiano preso di mira i sistemi di gestione della flotta utilizzati a livello amministrativo. Sebbene non siano stati segnalati attacchi diretti ai veicoli, questi rappresentano una delle principali preoccupazioni per il settore del trasporto su gomma statunitense, il cui valore ammonta a quasi 800 miliardi di dollari.
Un’enorme superficie di attacco informatico
I veicoli connessi a Internet e quelli autonomi sono particolarmente esposti agli attacchi informatici a causa della complessità estrema dei loro sistemi software.
Le auto moderne contengono da 40 a 150 unità di controllo elettroniche (ECU), chip informatici che controllano ogni cosa, dalla temperatura all’interno dell’abitacolo alla frenata automatica quando quel camion a 18 ruote davanti a voi si ferma improvvisamente con uno stridio di freni. Il software in esecuzione su queste centraline è costituito
da oltre 100 milioni di righe di codice — una quantità di codice molte volte superiore a quella presente, ad esempio, nel Joint Strike Fighter F-35 dell’Aeronautica Militare degli Stati Uniti.
Anche i veicoli rappresentano un obiettivo ricco di dati. Le auto connesse e autonome generano enormi quantità di dati. (Le stime variano da 300 gigabyte a 32 terabyte al giorno.) Si tratta di un vero e proprio tesoro di informazioni relative alla posizione dei conducenti, alle loro abitudini di guida, ai dettagli di fatturazione e alle prestazioni dei veicoli, che gli autori degli attacchi potrebbero utilizzare per ricattare o mettere in imbarazzo aziende e personalità di spicco.
I veicoli più vulnerabili agli attacchi sono quelli dotati di interfacce esterne quali telecomandi, sistemi telematici, sistemi di intrattenimento e app di terze parti, osserva Slava Bronfman, CEO e cofondatore di Cybellum. La sua piattaforma consente ai fornitori del settore automobilistico di creare gemelli digitali — simulazioni virtuali delle automobili e dei loro componenti — che possono essere analizzati per individuare eventuali vulnerabilità, dalla fase iniziale di progettazione fino all’intero ciclo di vita del veicolo.
I malintenzionati cercano di attaccare i veicoli dotati del minor numero di protezioni, aggiunge Tisdale di GRIMM. Nel 2015, si trattava proprio dell’auto o del camion stesso. Oggi si tratta dell’intero ambiente in cui operano i veicoli, che comprende i server, i satelliti e le torri di telefonia mobile con cui comunicano, nonché infrastrutture quali semafori intelligenti, sensori stradali integrati e stazioni di ricarica.
È giunto il momento di regolamentare
Il settore informatico ha compreso fin da subito che la condivisione delle informazioni è fondamentale per individuare e mitigare le minacce alla sicurezza. È per questo motivo che è stato istituito l’U.S. Computer Emergency Readiness Team (US-CERT) e che esistono database come l’elenco delle vulnerabilità e delle esposizioni comuni ( ) di Mitre, disponibile all’indirizzo (CVE).
«. In queste tecnologie sono stati investiti miliardi e non torneremo indietro.»Jennifer Tisdale, * CEO*, *GRIMM*
Le case automobilistiche e i fornitori si sono tradizionalmente mostrati restii a condividere informazioni con i concorrenti. La situazione ha cominciato a cambiare nel 2015 , quando il settore ha istituito l’Automotive Information Sharing and Analysis Center (Auto-ISAC). Ciononostante, afferma Tisdale, le vulnerabilità di sicurezza rimangono un argomento delicato per molti operatori del settore.
Tuttavia, le nuove normative emanate dalla Commissione economica per l’Europa delle Nazioni Unite (UNECE) stanno costringendo le case automobilistiche a rafforzare le proprie misure di sicurezza informatica. Le normative stabiliscono requisiti in materia di sicurezza informatica e, prestazioni e audit per tutti i nuovi modelli di veicoli venduti nel 2022 e per tutte le nuove immatricolazioni a partire dal 2024, osserva Niranjan Manohar, direttore della divisione di consulenza per le auto connesse e l’Internet delle cose (IoT) nel settore automobilistico presso la società di consulenza Frost & Sullivan. Sebbene gli Stati Uniti non figurino tra i 54 paesi membri dell’UNECE, le case automobilistiche americane dovranno attenersi alle norme da essa stabilite qualora intendano vendere automobili nei paesi che ne fanno parte.
L’introduzione di norme rappresentativa un passo importante, afferma Bronfman, ma c’è ancora molto lavoro da fare. «Sebbene i produttori di apparecchiature originali (OEM) e i fornitori abbiano iniziato a lavorare sulla conformità, questa viene spesso vista ancora come un requisito da soddisfare piuttosto che come uno strumento per rendere i veicoli a prova di attacchi informatici», aggiunge.
Non sarà facile, avverte Manohar. «Le competenze tecniche limitate e gli ingenti costi iniziali legati all’attuazione di nuovi processi rappresenteranno una sfida per l’implementazione interna da parte degli OEM», afferma. Di conseguenza, le principali case automobilistiche e i fornitori stanno stringendo partnership con aziende specializzate nella sicurezza come GRIMM, Upstream e Cybellum, tra le altre.
Essere stupidi per essere intelligenti?
Frost & Sullivan prevede che il 86% delle automobili che usciranno dalle linee di assemblaggio nel 2025 saranno connesse a Internet. E quasi tutte le automobili vendute negli ultimi anni sono dotate di una qualche forma di tecnologia di assistenza alla guida automatizzata che potrebbe essere oggetto di un attacco, come il cruise control adattivo o la guida senza mani.
Se non sta già utilizzando un’auto o un camion connesso o semiautonomo, potrebbe farlo molto presto. Tuttavia, le opzioni a vostra disposizione per proteggerli sono minime: non potete scaricare un software di vostra scelta per proteggere il vostro iPhone mentre siete in viaggio, né potrete disconnettervi.
Le case automobilistiche continueranno a fornire aggiornamenti per i propri sistemi di sicurezza e per altri software interni, afferma Manohar. Ma quanto saranno sicuri questi aggiornamenti? Le aziende saranno in grado di eseguire un aggiornamento completo del firmware via e-mail ( ) ? I consumatori o i dipendenti delle aziende si lasceranno indurre ad accettare aggiornamenti dannosi, come spesso accade con i loro computer? Si tratta di problemi che le case automobilistiche e i fornitori devono ancora risolvere, afferma.
Le aziende che possiedono o gestiscono flotte connesse dovranno adottare le stesse o migliori politiche di sicurezza informatica e di gestione delle patch già in uso per le altre risorse digitali, nonché tenere sotto stretta sorveglianza le nuove minacce man mano che si presentano.
Molho, di Upstream, ritiene che in futuro i consumatori e le aziende baseranno le proprie scelte di acquisto di autovetture e autocarri in parte sulle caratteristiche di sicurezza, il che costringerà i produttori a reagire. Bronfman raccomanda che l’industria automobilistica adotti un sistema di classificazione della sicurezza informatica, simile alle valutazioni di sicurezza “ ” della National Highway Traffic Safety Administration (NHTSA).
Fino ad allora, le aziende e i consumatori devono fare tutto il possibile per proteggersi.
«Nella comunità degli hacker Community abbiamo un detto: “È da sciocchi essere intelligenti”», afferma Tisdale. «Oggi disponiamo di auto intelligenti, città intelligenti e sistemi di trasporto intelligenti. In queste tecnologie sono stati investiti miliardi e non si tornerà indietro. La domanda che sorge spontanea è quindi: «Come possiamo collaborare per garantire la sicurezza?»
