Ascensori e sicurezza informatica

Cosa può succedere e come proteggere la tua azienda

di Madeleine Olausson, corrispondente di EW UK

Con la continua evoluzione degli ascensori, da sistemi elettromeccanici isolati a piattaforme connesse basate su software, la sicurezza informatica è diventata quasi altrettanto critica della sicurezza. Monitoraggio remoto, strumenti di assistenza digitale, controller abilitati all'Internet of Things (IoT) e sistemi di destinazione connessi al cloud aprono nuove opportunità, ma comportano anche nuovi rischi.

Un hacker potrebbe causare un comportamento anomalo dell'ascensore, ad esempio mantenendo le porte aperte o interrompendone il normale funzionamento. Interrompere un ascensore ha un impatto significativo sul flusso di persone e sulla sicurezza dell'edificio. Negli edifici in cui un ascensore ha una funzione di sicurezza definita, come un ascensore antincendio o un ascensore di evacuazione, un malfunzionamento può influire significativamente sulle procedure di emergenza dell'edificio. L'hacking di un sistema di ascensore è anche un perfetto trampolino di lancio per altre parti di un edificio. Con una maggiore interconnettività, l'ascensore potrebbe essere un punto di accesso ad altri sottosistemi, come i sistemi HVAC e antincendio.

Come avviene un attacco?

La parola "attacco informatico" può evocare ogni sorta di immagini. In nove casi su dieci^[1]Un attacco è il risultato di un tentativo di phishing riuscito. In altre parole, qualcuno clicca su un link o apre un allegato in un'e-mail, consentendo involontariamente agli aggressori di accedere al sistema. In passato, questo tipo di e-mail era pieno di errori di ortografia e reso palesemente falso. Chiunque non riconoscesse questi errori avrebbe avuto maggiori probabilità di cliccare su un link e cadere nella trappola. Con l'intelligenza artificiale, le e-mail sono diventate più sofisticate, rendendole più difficili da distinguere, prendendo di mira obiettivi più numerosi e di maggior valore. Gli hacker possono inviare milioni di e-mail a costi molto bassi, e sono sufficienti uno o due clic per ottenere i risultati sperati. Recentemente si sono verificati casi di clonazione della voce di una persona tramite intelligenza artificiale, rendendo ancora più difficile distinguere una richiesta autentica da una falsa.

Il phishing è solitamente una via d'accesso per gli attacchi. Secondo Hiscox Insurance, il tipo di attacco più frequente rivolto alle piccole e medie imprese (PMI) nel Regno Unito è

Attualmente si tratta di frodi basate sulla deviazione dei pagamenti, in cui le istruzioni di pagamento vengono alterate. Un altro tipo di attacco è lo spionaggio della proprietà intellettuale, che consiste nello spionaggio e nell'ottenimento di dati segreti. Un altro è l'estorsione informatica, in cui un aggressore minaccia di rivelare registri finanziari, dati contrattuali e IP a meno che non venga effettuato un pagamento. Oppure, un gruppo che sfrutta BitLocker bloccherà tutti i tuoi file e chiederà un riscatto per consentirti di accedere nuovamente ai tuoi sistemi. Altri attacchi consistono nel lanciare una campagna Distributed Denial of Service (DDoS) o nell'implementare malware per il mining di criptovalute. Il DDoS viene utilizzato per rallentare un sistema sovraccaricandolo con troppi dati. Un crypto miner utilizza la potenza di calcolo della macchina, rubando energia, per estrarre criptovalute. Sfortunatamente, può verificarsi un'enorme varietà di attacchi.

Un possibile impatto si verifica quando la congestione della rete o il sovraccarico di malware impediscono all'ascensore di inviare messaggi di stato di routine ai server di monitoraggio. L'assenza di questi messaggi può indurre il server di monitoraggio a inviare una richiesta operativa. Tale richiesta può indicare all'ascensore di tornare a un piano predefinito o di sospendere temporaneamente il normale funzionamento. È fondamentale che nessuna funzione vitale dipenda da comunicazioni esterne.

Allo stesso modo, se la rete dell'edificio si satura a causa di traffico dannoso o di un consumo anomalo di risorse, i principali sistemi di supervisione potrebbero non essere in grado di comunicare con l'ascensore, causando ritardi nella distribuzione, perdita di servizio o arresti.

Come proteggi la tua azienda?

Quando si parla di sicurezza informatica, è necessario bilanciare aspetti tecnici e procedurali. Si possono avere sistemi tecnicamente sicuri, ma se qualcuno condivide la propria password, la sicurezza viene compromessa e praticamente annullata. Si possono avere buone procedure, ma se si hanno sistemi obsoleti senza misure di sicurezza aggiornate, anche la sicurezza complessiva è molto bassa. Formare il personale a non cliccare su link, installare programmi o condividere dati e assicurarsi che abbia una conoscenza generale della sicurezza informatica è un primo passo. È importante formare il personale a evitare i rischi, ma è altrettanto importante disporre di procedure da adottare in caso di attacco. Come possiamo ridurre al minimo la diffusione e come possiamo ripristinare la funzionalità? Oggigiorno, purtroppo, non è una questione di "se" si viene hackerati, ma di "quando". Nel 2024, oltre il 40% di tutte le aziende del Regno Unito ha subito attacchi informatici, pari a oltre 600,000 organizzazioni.^[2]

Come si può verificare l'aspetto tecnico? Una soluzione è eseguire un penetration test, o pen test in breve. In questo caso, un hacker esperto cerca di hackerare il sistema per individuare eventuali problemi prima che un malintenzionato ne abbia la possibilità. "Nella nostra esperienza, il pentesting rivela quasi sempre opportunità di miglioramento, anche in sistemi ben progettati", ha affermato Tijmen Molema del Liftinstituut.

Molema afferma inoltre che un pen test non è da temere, ma piuttosto da considerare come un'esperienza di apprendimento. È un ottimo modo per imparare a difendere meglio la propria azienda. A seconda delle dimensioni e dell'ambito del sistema, esistono diversi modi per imparare. Il modo migliore è avere più tester che svolgono i test per più giorni. Questo offre ai tester l'opportunità di discutere tra loro e di lavorare in team. I primi punti di miglioramento si individuano solitamente entro la prima ora, ma consentendo di eseguire un test per diversi giorni, i tester possono ottenere una buona panoramica di eventuali problemi sia hardware che Ethernet. La combinazione di competenze in ambito lift e conoscenza dei pen test è un grande vantaggio: consente al team di valutare i punti deboli e prevederne l'impatto.

Internet viene costantemente scansionato automaticamente dai crawler. Questi cercano di trovare porte aperte, ovvero canali di comunicazione che consentono a un dispositivo di interagire con il mondo esterno. Una volta che un crawler trova una porta aperta, l'hacker verifica semplicemente se si tratta di qualcosa di interessante. Le porte aperte spesso rivelano informazioni critiche come il tipo di dispositivo, il nome del fornitore o il software utilizzato. Questo può aiutare gli aggressori a identificare sistemi con vulnerabilità note o configurazioni di sicurezza deboli.

Molema afferma inoltre che i principi fondamentali della sicurezza informatica sono sostanzialmente gli stessi, indipendentemente dal tipo di risorsa: potrebbe trattarsi di un forno a microonde o di un ascensore. Tuttavia, nei sistemi critici per la sicurezza come gli ascensori, la loro applicazione e il loro impatto sono molto diversi, poiché i guasti possono influire direttamente sulla sicurezza fisica. Gli hacker hanno una profonda conoscenza dei dati, ma non sempre ne comprendono appieno le implicazioni. Durante un pen test, spesso è necessario un "livello di traduzione" tra i tester e l'azienda per garantire che le implicazioni degli "hack" siano pienamente comprese.

Sebbene spiacevoli, gli attacchi informatici sono in definitiva un modello di business. Un hacker di solito chiede un riscatto equivalente a una certa percentuale del fatturato di un'azienda o a un importo fisso, a seconda di quale sia più alto. Per un'azienda del settore degli ascensori, potrebbe essere l'1.4% del fatturato annuo o fino a 7 milioni di sterline. Questo è un livello che gli hacker ritengono che le aziende possano permettersi di pagare senza fallire. Potrebbe sembrare ironico che le sanzioni finanziarie per un'azienda le cui pratiche di sicurezza informatica siano inadeguate siano di entità simile. Questo serve semplicemente a fungere da deterrente e a garantire che le aziende investano gli sforzi necessari nella sicurezza informatica.

Quando la sicurezza informatica è buona, spesso non se ne percepisce il valore. Tuttavia, i costi di una sicurezza scadente possono essere molto elevati. Il danno reputazionale potrebbe rivelarsi altrettanto dannoso di qualsiasi perdita immediata subita a causa di un attacco informatico.

Con l'inizio del nuovo anno, è il momento giusto per dare un'occhiata alla propria sicurezza informatica. Potrebbe volerci un anno per mettersi al passo con la revisione dei sistemi, apprendere e implementare ciò che è necessario, formare i dipendenti, ecc.

Sicurezza informatica per ascensori: comprendere la norma IEC 62443-4-2 

Molema raccomanda di attenersi alla norma IEC 62443-4-2, uno standard chiave per la sicurezza dei componenti industriali. Ecco cosa significano i suoi sette requisiti nel contesto del settore degli ascensori.

1. Sapere chi è chi: controllo di identificazione e autenticazione

Un sistema sicuro inizia con la chiarezza dell'identità. Molti attori interagiscono con il controller dell'ascensore e con tutti i sottosistemi correlati. La norma IEC 62443-4-2 richiede che ogni utente, dispositivo e processo software dimostri la propria identità prima di ottenere l'accesso. Gli strumenti di assistenza dovrebbero autenticarsi in modo sicuro anziché utilizzare password predefinite. I controller dell'ascensore dovrebbero verificare l'identità delle connessioni diagnostiche remote. Questo aiuta a impedire che individui non autorizzati o dispositivi dannosi si spaccino per personale di manutenzione o componenti di sistema legittimi.

2. Permesso con precisione: usa il controllo

Una volta scoperto chi o cosa sta accedendo al sistema, la domanda successiva è: cosa è autorizzato a fare? A questo punto, è necessario adottare misure di controllo, definendo le azioni consentite a ciascuna identità e applicando il principio del privilegio minimo. Ad esempio, le modifiche alla configurazione devono essere eseguite solo da tecnici certificati e i sistemi di monitoraggio remoto possono leggere i dati ma non modificare i parametri. Questo riduce al minimo il rischio di incidenti e attacchi, garantendo che, anche se un intruso dovesse entrare, il suo raggio d'azione rimanga limitato.

3. Mantenere il codice pulito e protetto dal malware: integrità del sistema

Se il software di un controller di ascensore viene alterato, le conseguenze possono essere gravi, da guasti imprevedibili a comportamenti critici per la sicurezza. I requisiti di integrità del sistema garantiscono che software, firmware e file di configurazione rimangano esattamente come previsto. Ad esempio, il firmware su controller e azionamenti deve essere firmato crittograficamente, qualsiasi modifica non autorizzata al codice o ai parametri deve essere rilevata e gli aggiornamenti possono essere installati solo se provengono da una fonte attendibile. Per i team di manutenzione sul campo, questo significa avere la certezza che il sistema su cui stanno lavorando sia autentico, invariato e sicuro da utilizzare.

4. Proteggi ciò che conta: la riservatezza dei dati

I sistemi di ascensori generano e trasmettono sempre più dati come modelli di utilizzo dei piani, interazioni di controllo degli accessi, registri diagnostici, statistiche sul flusso di passeggeri e altro ancora. I requisiti di riservatezza dei dati garantiscono la protezione delle informazioni sensibili, in genere tramite crittografia a riposo e in transito, supportata da una solida gestione delle chiavi. La riservatezza non riguarda solo la privacy; impedisce anche agli aggressori di raccogliere informazioni sui modelli di attività di un edificio.

5. Solo il traffico giusto: flusso di dati limitato

Una delle strategie di sicurezza informatica più efficaci consiste semplicemente nel seguire il principio del privilegio minimo ed evitare tutte le connessioni non necessarie. Un flusso di dati limitato incoraggia la segmentazione, creando barriere che limitano la diffusione di una compromissione. Firewall, regole di accesso e connettività minima riducono le vie di accesso che gli aggressori possono sfruttare. Se una vulnerabilità si manifesta in un'area, la segmentazione impedisce che si trasformi in una catastrofe a livello di sistema.

Si raccomanda di separare i componenti critici per la sicurezza (ad esempio, controller, azionamento, catena di sicurezza) dai sistemi di infotainment o pubblicitari, di garantire che il Wi-Fi della cabina o la segnaletica digitale non possano raggiungere la rete di controllo dell'ascensore e di utilizzare firewall tra gli ambienti IT dell'edificio e OT (tecnologia operativa) dell'ascensore.

6. Non perdere i segnali: risposta tempestiva agli eventi

Gli ascensori moderni sono dotati di sensori e funzionalità diagnostiche. La sicurezza informatica aggiunge un'ulteriore categoria di segnali: tentativi di accesso sospetti, anomalie di configurazione, comportamenti imprevisti del firmware e altro ancora.

La norma IEC 62443-4-2 richiede che i componenti registrino eventi significativi, generino avvisi quando si verifica qualcosa di insolito e supportino i sistemi di monitoraggio nel rilevamento delle minacce informatiche. Per le aziende di servizi, questo migliora la manutenzione proattiva e aiuta a identificare i problemi prima che causino guasti o condizioni di rischio.

7. Sempre attivo: disponibilità delle risorse

I requisiti di disponibilità delle risorse garantiscono che i componenti rimangano operativi, anche in caso di stress o attacchi. Le protezioni contro tentativi di DDoS, esaurimento delle risorse e guasti hardware contribuiscono a mantenere l'affidabilità.

Ciò può includere la protezione contro il flooding della rete o il sovraccarico del controller, percorsi di comunicazione ridondanti per i sistemi critici e un degrado graduale in caso di instabilità di un componente. Per produttori e fornitori di servizi di manutenzione, questo si traduce in un miglioramento dei tempi di attività e un funzionamento continuo più sicuro.

La sicurezza informatica non sostituisce la sicurezza meccanica, ma la rafforza. Man mano che gli ascensori diventano più connessi, integrati nel cloud e basati su software, i rischi evolvono. La norma IEC 62443-4-2 fornisce un modello per la costruzione e la manutenzione di componenti sicuri che proteggano passeggeri, operatori e proprietari di edifici.

Leggi e direttive sulla sicurezza informatica

Nel Regno Unito esistono diverse leggi sulla sicurezza informatica, tra cui, a titolo esemplificativo ma non esaustivo, il Computer Misuse Act del 1990, che ha criminalizzato l'accesso non autorizzato a sistemi informatici, dati e l'uso improprio delle funzioni. Tale legge è stata successivamente riformata per creare una difesa per hacker etici e ricercatori in sicurezza. Il Data Protection Act del 2018 è la versione britannica delle leggi dell'Unione Europea (UE) (Regolamento generale sulla protezione dei dati) e ha un ambito di applicazione molto simile.

NIS 2018 è la direttiva UE sui regolamenti sulle reti e sui sistemi informativi (NIS) tradotta in legge nel Regno Unito. Questa legge si applica solo ai servizi essenziali e il suo ambito di applicazione è stato ampliato dal nuovo disegno di legge sulla sicurezza informatica e la resilienza (sistemi di rete e informazione) (CS&R Bill), presentato al Parlamento del Regno Unito nel novembre 2025. Questa legge rafforzerà anche gli obblighi di resilienza e i requisiti di rendicontazione.

Altri framework di best practice sono il Cyber ​​Assessment Framework e Cyber ​​Essentials+. Quest'ultimo è solitamente obbligatorio per le relazioni commerciali con qualsiasi settore pubblico del Regno Unito, ma sempre più aziende private lo richiedono per garantire catene di approvvigionamento sicure. Inoltre, esistono standard e framework globali come ISO 27001, spesso richiesti anche dalle aziende.

La Direttiva NIS-2 e il Cyber ​​Resilience Act (CRA), il rafforzamento della sicurezza informatica dell'UE, diventeranno obbligatori. La Direttiva è già stata recepita a livello europeo, ma non è ancora stata recepita in tutti gli Stati membri. Questa "lacuna" normativa non è presente nel CRA: si tratterà di un regolamento che entrerà in vigore in tutti gli Stati membri alla fine di dicembre 2027.

La Direttiva NIS-2 prevede che un'azienda sia sicura dal punto di vista informatico e, in caso di problemi, sia in grado di pubblicare immediatamente un breve rapporto sull'evento e un rapporto più dettagliato entro due settimane. Lo scopo è quello di trarre insegnamento dall'accaduto e comprenderne le cause. Poiché questa normativa è entrata in vigore dopo la Brexit, non è valida per il mercato britannico, ma deve ovviamente essere presa in considerazione per le aziende britanniche che esportano nei paesi europei.

Il Cyber ​​Resilience Act aggiunge ulteriori regole, come ad esempio quella secondo cui i prodotti devono essere progettati, sviluppati e realizzati tenendo conto della sicurezza informatica fin dall'inizio. Il CRA richiede ai produttori di implementare un processo per identificare, valutare e affrontare le vulnerabilità durante tutto il periodo di validità del supporto.

Referenze

[1] Statistiche sugli attacchi di phishing che prendono di mira le aziende | Huntress

[2] Riepilogo del disegno di legge - GOV.UK