I network wireless si stanno trasformando in veri e propri campi di battaglia: le reti che sfruttano i protocolli Wi-Fi, Bluetooth, Zigbee e WirelessHart sono infatti diventate un vettore primario di attacco.
La causa è da ricercare nella generale assenza di protezione Mfp (Management Frame Protection), di cui è sprovvisto addirittura l’83% delle reti Wi-Fi. È questa carenza a renderle vulnerabili a manipolazioni dei frame di controllo e attacchi di disconnessione. Ma non è tutto: il 95% dei vendor di access point e dei protocolli di autenticazione ancora si affida a password pre-condivise, segnalando una debolezza strutturale rispetto all’igiene wireless in ambito industriale.
Indice degli argomenti
Il report dei Nozomi Networks Labs
A evidenziare queste criticità è il nuovo report sulla cybersecurity OT/IoT dei Nozomi Networks Labs, relativo alla prima metà del 2025. Il paper fornisce un’analisi approfondita del panorama delle minacce cyber che hanno caratterizzato il periodo, con attenzione particolare alle reti operative e industriali.
In un’epoca in cui la convergenza IT/OT/IoT è sempre più una realtà, e le infrastrutture critiche dipendono in modo crescente da sistemi interconnessi, e la sicurezza delle reti diventa un pilastro fondamentale. Per questo, due volte all’anno, il team di Nozomi Networks Labs valuta il panorama delle minacce legate alla Operational Technology (OT) e all’Internet of Things (IoT) per fornire approfondimenti su come le organizzazioni industriali e gli operatori di infrastrutture critiche possano proteggersi da minacce attive, emergenti e avanzate.
Ad eccezione dell’attività delle botnet IoT rilevata dagli honeypot di Nozomi, tutti i dati contenuti nello studio derivano dalla telemetria anonima dei clienti del gruppo che partecipano al sondaggio.
Con una comprensione più chiara sia della gravità che della sfruttabilità delle vulnerabilità, diventa essenziale mappare questo rischio nei contesti operativi reali.
Energia, Acqua e Trasporti i verticali più vulnerabili
Non tutti i settori affrontano lo stesso livello di esposizione o attività di minaccia. Infatti, l’interesse degli aggressori e il potenziale impatto della compromissione variano significativamente a seconda del settore preso di mira.
Non sorprende che settori come Energia, Acqua e Acque Reflue e Trasporti siano tra i più colpiti. Questi settori verticali non solo sono fondamentali per la stabilità nazionale e la continuità dei servizi, ma tendono anche a fare affidamento su sistemi legacy e tecnologie operative altamente interconnesse, spesso prive di moderni controlli di sicurezza informatica.
Per esempio, i sistemi energetici industriali utilizzano spesso componenti proprietari o scarsamente manutenuti, raramente sottoposti a patch, il che li rende obiettivi ideali per gli autori di minacce persistenti avanzate. Analogamente, i sistemi idrici comunali, pur essendo più piccoli in termini di esposizione, consentono di dare priorità ai controlli, di individuare le minacce specifiche per settore e di progettare soluzioni di rilevamento personalizzate. Un aspetto fondamentale da considerare è l’importanza di un’intelligence sulle minacce specifica per settore. Un punteggio di rischio generico non è più sufficiente. I difensori devono comprendere come le vulnerabilità si adattino alle realtà settoriali e come gli avversari stiano allineando le loro operazioni per sfruttare le debolezze nei settori verticali critici.
Quando il livello di sicurezza non è ben definito
Nozomi sottolinea che anche quando l’infrastruttura wireless è nota e riconosciuta all’interno dell’organizzazione, il suo effettivo livello di sicurezza è spesso frainteso o sopravvalutato. Molti presumono che la semplice abilitazione di Wpa2 o l’utilizzo di password sugli access point equivalga a una solida sicurezza wireless.
Tuttavia, la comunicazione wireless è intrinsecamente dinamica e decentralizzata: i dispositivi vanno e vengono, gli access point possono essere configurati in modo errato e le protezioni volte a garantire riservatezza e integrità sono spesso assenti o applicate in modo improprio.
Un’analisi più attenta dei metodi di autenticazione e degli schemi di crittografia rivela il reale livello di rischio nascosto. Circa il 4% delle reti wireless osservate opera con configurazioni legacy o aperte. Ciò indica una debolezza sistemica in un sottoinsieme significativo dell’ambiente, in cui gli standard di crittografia sono obsoleti o completamente assenti.
Queste reti sono altamente esposte a minacce wireless comuni come sniffing, spoofing e attacchi di replay, non a causa di sofisticati exploit, ma perché le loro misure di sicurezza fondamentali non sono più adeguate. Sebbene ancora limitata, l’adozione di Wpa3 introduce vantaggi significativi nella mitigazione di questi tipi di attacchi.
Funzionalità quali la crittografia personalizzata dei dati, protocolli di handshake più efficaci e la protezione contro i tentativi di forza bruta creano una base di resilienza wireless molto più solida. Come discusso nel precedente report Nozomi, Wpa3 impone anche l’uso di 802.11w, che applica sistemi di Management Frame Protection e previene gli attacchi di deautenticazione a livello di protocollo, migliorando significativamente l’integrità della gestione delle sessioni wireless.
Ma il problema è più profondo. Molte reti protette da Wpa2 sono prive di protezioni di base come la Mfp, una funzionalità critica che difende dalla manipolazione dei frame di controllo, ovvero i segnali di comunicazione sottostanti che gestiscono il modo in cui i dispositivi si connettono e rimangono connessi agli access point. Non è un caso che rispetto alla seconda metà del 2024, le reti che forniscono supporto Mfp opzionale ai client sono aumentate del 17%, dimostrando una maggiore attenzione alla sicurezza. Tuttavia, come accennato in apertura, l’83% delle reti è ancora completamente privo di Mfp. Senza di essa, gli aggressori possono sfruttare tecniche note come lo spoofing o i flood di deautenticazione per disconnettere i dispositivi, impersonare gli access point o interferire silenziosamente con il traffico wireless.
I rischi (sottovalutati) nel settore industriale
C’è poi l’ambito industriale, rispetto al quale molti operatori affermano con sicurezza di poter fare a meno delle reti wireless. Il presupposto è semplice: se tutto è cablato, allora tutto è sicuro. Ma le comunicazioni wireless, nota Nozomi, non chiedono il permesso. Esistono indipendentemente dall’architettura di rete e sono in corso costantemente, nell’aria, intorno alle strutture e all’interno dei sistemi operativi. Dai laptop di progettazione con Bluetooth abilitato agli strumenti diagnostici forniti dai fornitori, fino ai sensori IoT che utilizzano i protocolli Zigbee o 802.15.4 proprietari, l’attività wireless permea anche gli ambienti più rigorosamente cablati. Eppure, la maggior parte delle organizzazioni non ha idea di quanti dispositivi trasmettano attivamente intorno a sé.
Durante la prima metà dell’anno, la telemetria wireless negli ambienti monitorati da Nozomi mostra una vasta gamma di dispositivi consumer e embedded che funzionano tramite Bluetooth. Sono state identificate comunicazioni Bluetooth da oltre 50 diversi produttori di dispositivi in ambienti industriali e critici monitorati. Tra questi fornitori ci sono Samsung, Apple, Bose, Garmin e Intel, che non sono produttori di controllo industriale. La loro presenza suggerisce l’esposizione a Byod (Bring Your Own Device), strumenti tecnici e persino dispositivi non autorizzati nascosti.
La maggior parte di questi, dicono gli esperti di Nozomi, non è intrinsecamente dannosa, ma rappresenta una superficie incontrollata che può essere sfruttata o utilizzata in modo improprio senza preavviso. Senza visibilità su queste risorse, le organizzazioni rischiano di esporsi a configurazioni errate, perdite di dati o bridging involontario di ambienti air gap.
