Cyber-risk: solo 10 minuti per hackerare una nave

 Sono bastati circa 10 minuti, un normale PC portatile e una connessione internet a Gianni Cuozzo, Amministratore delegato della società Aspisec, specializzata in consulenza sul cyber-risk, per accedere e, potenzialmente, prendere il controllo del sistema informatico di una nave in piena attività. Quella realizzata in diretta, durante il convegno 'Le rotte digitali del trasporto - IoT e big data: opportunità e rischi della digital transformation', organizzato dal Secolo XIX e da The MediTelegraph, è stata una dimostrazione, ma solo perché, ovviamente, non sono stati arrecati danni alla nave. L'intrusione nel sistema operativo del mezzo in navigazione, scelto a caso, è stata però reale al 100%, a testimonianza della facilità con cui gli attuali sistemi di sicurezza in ambito marittimo possono essere aggirati.

Cuozzo ha utilizzato due programmi open-source accessibili a chiunque per identificare la nave e le caratteristiche del suo sistema operativo, e ha poi verificato che la 'porta' di accesso al protocollo Ais (il tracking online della nave) non era protetta da nessun firewall. Trovato quindi un varco non presidiato, la barriera successiva era costituita dalla password del sistema, un ostacolo tutt'altro che insuperabile "se consideriamo che il 70% di tutti i dispositivi elettronici del mondo è protetto dalle password base impostate di default dal produttore". E infatti Cuozzo è passato al primo tentativo, digitando un semplice '1234'. "A questo punto - ha spiegato l'Ad di Aspisec - potremmo di fatto prendere il controllo di tutti i sistemi della nave, senza che nessuno se ne accorga. Solitamente un'azienda si rende conto di aver subito un attacco hacker dai 6 ai 12 mesi dopo l'intrusione".

Ma i danni, come ha ricordato durante il convegno genovese Gian Enzo Duci, presidente di Federagenti (l'associazione nazionale degli agenti marittimi) sono spesso ingenti: "La compagnia danese Maersk Line, prima al mondo nel trasporto di container, a causa dell'attacco informatico della scorsa estate, ha subito perdite per quasi 300 milioni di dollari in un solo trimestre".

Come fare per proteggersi? Innanzitutto, secondo Cuozzo, "è necessario aggiornare costantemente i software anti-intrusione, ma non basta. E' fondamentale in azienda avere personale specializzato, in grado di valutare effettivamente la qualità dei sistemi di sicurezza informatica acquistati dai fornitori".

(ANSA).