⚠️ IoT: COSA SONO e come vengono HACKERATI

Immaginate di essere alla guida della vostra automobile. Siete in autostrada, state partendo per le vacanze e siete rilassati. A un certo punto però la radio cambia stazione senza che voi abbiate toccato niente, poi cambia ancora e ancora una volta. Parte a manetta l'aria condizionata e si attivano da soli i tergicristalli e a un certo punto vi accorgete anche, terrorizzati, che non avete più il controllo del volante che sterza da solo. Questo non è un racconto distopico, è una vicenda realmente accaduta nel 2015 che testimonia più di ogni altra i pericoli di quello che viene chiamato Internet of Things. Ma come sempre, per capire bene di cosa si tratta, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video in cui vediamo un tema che per la verità abbiamo parzialmente toccato in alcuni Video Crime, ma senza approfondirlo mai: l'Internet of Things o IoT. Intanto, cosa significa Internet of Things? Letteralmente Internet delle cose. È un'espressione che fa riferimento a tutti quegli elettrodomestici, lampadine, dispositivi in generale che hanno una connessione a internet. Si tratta normalmente di cose che potrebbero funzionare tranquillamente anche senza avere una connessione a internet. Pensiamo a oggetti come il frigorifero, il lo stappane, il forno, l'automobile, ma che vengono progettati in modo da avere delle funzionalità smart. Quindi un dispositivo IoT, per dare una definizione fatta bene, è un oggetto fisico caratterizzato da 3 elementi: un sensore che rileva cose come temperatura, immagini, suoni, eccetera, una connessione a una rete internet e una predisposizione per parlare con altri sistemi. Ad esempio, una telecamera che teniamo in casa per controllare cosa fa il gatto è un dispositivo dispositivo IoT, se ha una connessione a internet che ci fa arrivare i video direttamente sul telefono. Ci sono dei frigoriferi che hanno telecamere interne che monitorano ad esempio la scadenza dei cibi e che si controllano tramite applicazione sullo smartphone per alzare o abbassare la temperatura. Anche Imoo è un dispositivo IoT perché ha telecamere e microfoni per rilevare tutto quello che dico e faccio e una connessione internet per trasmettere tutto a un server in Cina. I dispositivi IoT stanno diventando sempre di più e piano piano stanno entrando in tutte le case. Secondo IoT Analytics, a fine 2025 sul pianeta c'erano circa 21 miliardi di dispositivi IoT attivi. Quindi, facendo una botta di conti, è come se ogni essere umano, compresi infanti, novantenni e persone che vivono nelle tribù amazzoniche, avesse 2 o 3 dispositivi IoT in casa propria. Ma come nasce Internet of Things. La nostra storia inizia nel 1982, quando 4 studenti della Carnegie Mellon University decidono di collegare ad ARPANET, l'antenato di Internet, il distributore di Coca-Cola del loro dipartimento. Lo fanno perché volevano poter controllare dalla loro scrivania, senza alzarsi, se il distributore aveva ancora delle bevande e, dettaglio essenziale, se erano abbastanza fredde. Piano piano altri ricercatori continuano a sperimentare e sempre più oggetti vengono dotati di sensori e collegati a internet. Il termine Internet of Things viene coniato solo nel 1999 ad opera di Kevin Ashton, un ingegnere britannico che lavorava in Procter Gamble. Aveva sviluppato un sistema per tracciare i rossetti nella supply chain e intitolò la sua presentazione Internet of Things, perché internet all'epoca era la parola magica che apriva tutti i portafogli. Da lì il termine è nato, se vogliamo, in un'operazione di marketing. Alla fine diventa sempre più usato man mano che aumenta la diffusione di questo genere di dispositivi. Oggi, soprattutto in Italia, siamo più affezionati al termine smart, che è diventata a sua volta una parola magica, un po' come proteico nel mondo del cibo. Quindi tutti i dispositivi devono avere delle funzionalità smart di qualche tipo, altrimenti non li vogliamo. Ora, qual è il problema? Che tutto quello che ha una connessione internet può essere bucato dall'esterno. E voi direte: ok, ma anche il nostro smartphone e il nostro computer sono connessi a internet, ormai tutto lo è. E io vi dico: verissimo, però un conto sono le protezioni che può avere un telefono da €800 o un computer da €2.000, un conto sono quelle di una telecamera da €25. Non c'è proprio un budget per la sicurezza. Sul mercato c'è una concorrenza spietata e quindi si cerca di fare la gara a chi fa il prezzo più basso. E le cose che si tagliano per prime sono sempre quelle che l'utente finale non vede. Al consumatore medio non interessa se l'azienda che produce la telecamera ha organizzato magari un bug bounty, chiedendo quindi alle persone di trovare vulnerabilità nei dispositivi e mettendo in palio dei premi in denaro in modo da risolvere i problemi tempestivamente. Quindi questo è un costo che viene tagliato. Vengono tagliati anche i costi degli sviluppatori in più che servono magari per fare analisi statica e dinamica del codice, perché l'importante è che la telecamera funzioni, si possa connettere al telefono e mediamente veloce. Il resto è tutto extra. Il problema poi non è solo questo, ma è anche il ciclo di vita di questi dispositivi. La tecnologia sta cambiando in modo incredibile anno dopo anno, e purtroppo molto spesso i produttori dei dispositivi smart smettono già dopo qualche anno di rilasciare degli aggiornamenti di sicurezza. Facciamo un esempio pratico per capire perché questo può essere un problema per noi. Siamo nel 2026, esce un nuovo frigorifero smart, è bellissimo, ha un sacco di funzionalità, vorremmo prenderlo acquistarlo, ma costa davvero tanto. Decidiamo quindi di aspettare. Passa qualche anno e nel 2030 finalmente decidiamo di acquistarlo. La nuova edizione di quel frigorifero costa ancora di più, ma per fortuna troviamo una bazza e riusciamo ad acquistare la versione del 2026 usata a un ottimo prezzo. Nel 2036, quindi 10 anni dopo, quando il frigorifero per noi è ancora nuovissimo perché ce l'abbiamo solo da qualche anno, L'azienda che lo produce dichiara che per quel modello non verranno più rilasciati aggiornamenti di sicurezza. Quindi quando viene trovata una vulnerabilità non possiamo fare altro che prenderne atto e sperare che nessun malintenzionato provi mai a hackerarci usando il nostro frigo. Per fortuna ci sono delle normative che stanno intervenendo su questo, obbligando i produttori a garantire aggiornamenti di sicurezza per un tot di anni. Però il punto è che il ciclo di vita commerciale del prodotto non equivale quasi mai alla vera durata di vita, che può essere anche molto più lunga. Una dimostrazione di questo è il fatto che quando Microsoft ha annunciato che a ottobre 2026 smetterà di rilasciare aggiornamenti di sicurezza gratuiti per Windows 10, c'è stato un gran polverone, perché molte aziende usano ancora computer e sistemi su cui gira Windows 10 e ora si trovano a scegliere fra il sostituire tutte le macchine, l'avere un maggior rischio di essere hackerati o pagare per gli aggiornamenti di sicurezza. Questo dimostra che spesso i produttori sono più pronti di noi a lasciar andare i dispositivi e a vederli morire. Il terzo problema, neanche a dirlo, siamo noi. Il 90% delle persone non ha mai cambiato le credenziali di default del proprio router di casa. Nei modem più vecchi le credenziali per accedere a tutte le impostazioni di sistema spesso erano admin password, cioè lo username era admin e la password era password, perché i produttori si aspettavano che fossero le persone a cambiare queste credenziali. Poi i produttori hanno iniziato a capire che le persone non avrebbero cambiato queste credenziali, e allora le hanno rese un po' più difficili, ma lasciandole uguali per i vari modelli. Quindi bastava sapere qual era il modello di moda. Ma che cazzo? Ma cioè, io rimango scioccata. Cioè, si è pure incazzato, capito? Cioè, c'è rimasto male. Invia un SMS al 455. Imo adesso è arrabbiato, ma io lo sono di più. Quindi bastava sapere qual era il modello di modem della nostra vittima e con una bella ricerca sul sito di Aranzulla si trovavano le credenziali default. Oggi per fortuna i produttori hanno deciso di cambiare le cose e hanno iniziato a creare password di accesso molto più complicate e diverse da dispositivo a dispositivo e per comodità stampano queste credenziali direttamente sul modem. Ho parlato di modem per fare un esempio, ma lo stesso flusso lo troviamo anche nelle telecamere del gatto, nei termostati smart, nelle lampadine che si accendono con Alexa e in tutti gli altri dispositivi. Molto, anzi troppo spesso, a questi oggetti si accede con delle credenziali default uguali per tutti i modelli e dispositivi. Quindi un hacker malintenzionato che decidesse di entrare in un dispositivo IoT avrebbe buone possibilità di riuscirci inserendo le credenziali default. Sembra che io voglia fare l'allarmista, ma fra poco vi racconterò un po' di casi e vedrete che non mi sto inventando nulla, purtroppo. Tutti i problemi che ho elencato sono acuiti da un elemento che aumenta ancora di più i rischi connessi ai dispositivi IoT, ovvero la supply chain, la catena di approvvigionamento. Questo termine descrive la dipendenza di ogni azienda da vari fornitori, che a loro volta dipendono da altri fornitori, che dipendono da altri fornitori. Quindi se uno di loro viene hackerato, i problemi si propagano per tutta la catena. Di fatto basta bucarne uno per bucarne 100. Giusto per capirci, nel 2025 Google ha avviato una causa chiamata BadBox 2.0, dopo aver scoperto che oltre 10 milioni di smart TV e box Android erano stati venduti già infetti dalla fabbrica. 10 milioni di famiglie si sono messe in casa un dispositivo dopo averlo acquistato già violato, già hackerato. Questi sono i problemi della supply chain, perché più andiamo a monte nella catena di fornitura, più danni facciamo a valle. Vorrei ora ricapitolare un po' tutti i problemi di cui abbiamo già parlato ancorandoli a qualche caso reale. Quello che sicuramente ha fatto la storia degli hackeraggi ai dispositivi IoT è il caso di Dean. Ci ho già fatto un video sopra, ma è utile secondo me rinfrescarci un attimo primo alla memoria. Nel 2016, 3 studenti universitari americani scrivono un programmino che scandagliava internet alla ricerca di telecamere e router accessibili, provando una lista di 62 combinazioni di credenziali. Attenzione, non 62.000, non 62 milioni di combinazioni, 62. Con quella lista miserabile sono riusciti a infettare centinaia di migliaia di dispositivi in giro per il mondo e a renderli parte di una botnet, una rete di dispositivi zombie controllabili da remoto e usati per compiere attacchi. I problemi possono essere anche nel codice stesso con cui questi dispositivi sono stati programmati. Nel 2017 si è scoperto che le telecamere di un noto marchio cinese erano state programmate in modo che digitando una determinata stringa alfanumerica durante l'accesso, chiunque potesse accedere alla telecamera e vedere le immagini senza nemmeno dover inserire username e password. Questa vulnerabilità ha preso il punteggio massimo nella scala di gravità, cioè 10 su 10. L'azienda ha sistemato questa vulnerabilità? Certo, ha rilasciato un aggiornamento di sicurezza. Secondo voi tutte le telecamere installate nel mondo sono state aggiornate? La risposta ovviamente è no. Quest'anno, quindi 9 anni dopo che questo problema era stato risolto, la vulnerabilità è stata reinserita nella lista delle falle attivamente sfruttate dai criminali. Questo significa che ancora oggi quella vulnerabilità teoricamente già risolta continua a mietere vittime. Rispetto alla sicurezza dei dispositivi IoT, comunque per me i 3 casi più eclatanti sono il caso Jeep, il caso Verkada e il caso St. Jude. Il caso Jeep risale a luglio 2015 ed è quello che vi accennavo nell'introduzione. Il giornalista Andy Greenberg, che scrive per Wired, sta guidando la sua Jeep in autostrada. Insieme a 2 ricercatori di sicurezza, Charlie Miller e Chris Balasek, sta cercando di dimostrare che è possibile sfruttare il sistema Uconnect della Jeep che collega collega l'automobile a internet per prenderne il controllo. I due ricercatori di sicurezza, che non sono in auto con lui ma si trovano in una cantina, fanno proprio questo. Mentre guida, Andy vede improvvisamente partire il lavaggio dei vetri senza aver toccato niente. Poi parte l'aria condizionata al massimo, che continua a riavviarsi anche se lui cerca di spegnerla. I due hacker riescono anche a prendere il controllo di freno e acceleratore, arrivando poi, a quanto pare, addirittura a spegnere il motore. Questo fortunatamente era un esperimento controllato. Ma chiaramente quello che hanno fatto loro poteva essere tranquillamente replicato da un malintenzionato. Per hackerarla infatti era stato sufficiente conoscere l'indirizzo IP della macchina, che veniva assegnato dalla rete cellulare in un range identificabile. E poi, diciamo, l'indirizzo IP non è una cosa così difficile da trovare di un dispositivo. Con questo indirizzo IP sono riusciti ad accedere alla centralina dell'auto, potendo prendere il controllo di radio, condizionatore, e poi anche dei componenti fisici della macchina come freni, acceleratore volante. Quando Wired pubblicò il pezzo, si sollevò chiaramente un polverone che costrinse la casa madre a ritirare dal mercato 1 milione e mezzo di veicoli per sistemare la vulnerabilità informatica. La buona notizia è che i due ricercatori hanno iniziato a lavorare sistematicamente per i produttori di auto, e pian piano sono nati anche dei contest fatti proprio per rilevare delle vulnerabilità informatiche nei sistemi. La Tesla, ad esempio, ne organizza di continuo, perché essendo una macchina che punta soprattutto proprio sul poter essere completamente controllata dal telefono, è più esposta delle altre agli attacchi informatici. Il secondo caso che vi dicevo è il caso Verkada. I protagonisti sono degli hacker che si fanno chiamare APT69420, nome che sembra altisonante se non fosse semplicemente l'unione dei numeri che fanno più ridere i tredicenni americani, cioè 420, che è il numero in codice per la marijuana, e 69, che Che questo gruppo di hacker annuncia nel 2021 di aver accesso ai sistemi di Verkada, un'azienda californiana che vende telecamere di sicurezza. Il problema è che Verkada è un'azienda rinomata che fra i suoi clienti ha anche ospedali, scuole, carceri, lo stabilimento Tesla di Shanghai, gli uffici di Cloudflare, la Nissan e altri brand molto famosi. Gli hacker erano riusciti ad entrare nei sistemi della società trovando su internet con una banalissima ricerca le credenziali da super admin di un dipendente. Le credenziali da super admin permettevano ai malintenzionati di vedere qualsiasi telecamera di qualsiasi cliente. Stiamo parlando di circa 150.000 dispositivi, e potevano vedere non solo le riprese in tempo reale, ma anche l'archivio con tutti i video. Quindi una strage. Loro hanno preso tutti questi video, che ricomprendevano anche dei reparti psichiatrici di ospedali e delle celle di varie prigioni, e le hanno messe online. Una volta venuta fuori la notizia, notizia, i ricercatori di sicurezza e i giornalisti hanno iniziato a scavare e hanno scoperto una cosa ancora peggiore, cioè che in realtà dentro a Verkada c'erano oltre 100 dipendenti, inclusi degli stagisti stagionali, che avevano le credenziali da super admin, quindi potevano vedere tutto quanto. Per questo, per gli attaccanti, era stato così facile trovare delle credenziali che dessero accesso a tutto, perché di fatto, quando a 100 persone dai in mano dei privilegi elevatissimi, prima o poi una che si scrive le credenziali da qualche parte lasciandole esposte online, la becchi. I clienti di Verkada, fra l'altro, non erano stati minimamente informati di questa cosa, cioè che i dipendenti della società potessero vedere tutte le immagini riprese in qualsiasi momento. E sono emerse oltretutto anche delle chat fra i dipendenti da cui si evinceva che per loro fosse un divertimento guardare le riprese e scherzarci sopra. Il capo di questo gruppo, una donna di nome Tillie Kotman, è stata poi incriminata, anche se non specificatamente per questo caso. Avevano fatto anche delle incursioni in altri sistemi e la condanna ha riguardato queste. La società Verkada ovviamente ha preso provvedimenti, ma ha anche perso tantissimi punti a livello di reputazione. E giustamente, direi. Il terzo caso è poi il caso Saint Jude, in cui sono stati hackerati, pensate un po', quasi 500.000 pacemaker. Sì, perché ormai anche le protesi e dispositivi salvavita sono connessi a internet. E tutto quello che è connesso a internet, come dicevo, può essere hackerato. Di questo caso però parliamo bene la prossima settimana, perché c'è anche una vicenda giudiziaria molto interessante nel mezzo e voglio approfondirla per bene. Il punto che tutti questi casi dimostrano è che non possiamo pensare di stare attentissimi ai nostri cellulari e ai nostri computer e ignorare allegramente i rischi di sicurezza di tutti i piccoli dispositivi che abbiamo in casa e che sono a a loro volta connessi a internet. Dobbiamo imparare a proteggere anche questi per evitare che siano usati come ponte per i malintenzionati per entrare nella nostra rete e spostarsi su altri dispositivi, guadagnando un accesso, o anche solo per coinvolgere i nostri device IoT in una botnet usata per fare attacchi ad altre persone. Come facciamo in concreto a proteggerli? La prima cosa è cambiare le credenziali default. Prendiamo tutti i nostri dispositivi, quindi router, telecamere, termostato, frigorifero smart, Alexa, e impostiamo una password decente. La seconda è abilitare gli aggiornamenti automatici quando il dispositivo chiaramente lo permette. Se un dispositivo non viene più aggiornato dal produttore, sappiate che avete in casa qualcosa di vulnerabile. Le vulnerabilità sono rese note pubblicamente su internet, quindi qualunque malintenzionato potrebbe guardare il vostro modello di telecamera, vedere se ci sono delle vulnerabilità che può sfruttare e controllare se il produttore ha rilasciato degli aggiornamenti di sicurezza. Se non ci sono aggiornamenti di sicurezza, quella vulnerabilità è utilizzabile e possiamo fare molto poco per proteggerci. In realtà ci converrebbe paradossalmente cambiare dispositivo. La terza cosa che possiamo fare, per chi è un po' più bravo a smanettare, è creare una rete Wi-Fi separata per gli oggetti smart. Quasi tutti i router moderni permettono di configurare una rete ospite che rimane separata da quella principale. In questo modo, se un malintenzionato se riesce a entrare nella vostra telecamera, si troverà collegato a una rete dove ci sono solo la telecamera, una lampadina e il vostro frigo. Quindi potrà tutt'al più tentare di farvi andare a male la ricotta. L'ultima cosa è prestare attenzione a cosa compriamo. Non è che se un dispositivo costa di più è automaticamente più sicuro, ma spesso c'è magari una migliore assistenza e quindi magari vengono rilasciati anche più aggiornamenti nel corso del tempo. Bene, come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa che ne pensate. Se questo argomento vi interessa, vi consiglio di leggere il libro Radicalized di Cory Doctorow. Sono 4 racconti e il primo, che si chiama Pane non autorizzato, parla di una famiglia che si trova a non poter più tostare il pane perché tutti i suoi elettrodomestici sono connessi alla rete di una società poi fallita. Visto che è un po' che vi chiedo consigli di lettura, per una volta ve ne lascio uno io. Noi ci rivediamo la prossima settimana con il video dedicato alla vicenda dei pacemaker di Good. A presto.