La superficie di attacco nei sistemi IoT domestici
Con il termine superficie di attacco si intende l'insieme dei punti di ingresso attraverso cui un soggetto non autorizzato può tentare di accedere a un sistema. In una rete domestica tradizionale, questa superficie è relativamente contenuta: router, computer, smartphone. Con l'aggiunta di dispositivi IoT (termostati, videocamere, serrature, sensori), ogni nodo connesso diventa un potenziale punto di vulnerabilità.
I dispositivi IoT presentano alcune caratteristiche che li rendono particolarmente esposti:
- Firmware raramente aggiornato dagli utenti
- Credenziali predefinite spesso non modificate
- Comunicazione in chiaro o con cifratura debole in alcuni prodotti di fascia bassa
- Ciclo di vita del prodotto superiore alla durata del supporto software del produttore
Contesto normativo europeo: Il Cyber Resilience Act (Regolamento UE 2024/2847), entrato in vigore nel novembre 2024, stabilisce requisiti obbligatori di sicurezza per i prodotti con elementi digitali, inclusi i dispositivi IoT. I produttori devono garantire aggiornamenti di sicurezza per almeno cinque anni e comunicare le vulnerabilità alle autorità competenti. L'applicazione progressiva è prevista fino al 2027.
Vulnerabilità documentate nei dispositivi smart home
Le categorie di vulnerabilità più comuni riscontrate nei dispositivi IoT consumer includono:
Credenziali predefinite e deboli
Molti dispositivi vengono distribuiti con password predefinite identiche per tutti gli esemplari del modello. Il database Shodan mostra regolarmente dispositivi IoT accessibili pubblicamente con credenziali factory. Cambiare le password predefinite immediatamente dopo l'installazione è la misura più semplice ed efficace.
Firmware obsoleto
I produttori rilasciano aggiornamenti firmware per correggere vulnerabilità note. In assenza di aggiornamento automatico, molti dispositivi rimangono esposti anche mesi dopo la pubblicazione di una patch. È buona prassi controllare periodicamente il pannello di amministrazione del dispositivo o l'app del produttore.
Comunicazione non cifrata
Alcuni dispositivi di fascia bassa trasmettono dati in chiaro sulla rete locale o verso server cloud. Un analisi del traffico con strumenti come Wireshark può rivelare queste comunicazioni. Prima di acquistare, verificare se il prodotto supporta TLS per le comunicazioni cloud e cifratura a livello applicativo per il protocollo locale.
Interfacce di gestione esposte
Pannelli di amministrazione web accessibili dalla rete locale su porte standard (80, 443, 8080) possono diventare un vettore di attacco se non protetti adeguatamente. Alcuni router consumer espongono questi pannelli anche su internet se la funzione UPnP è attiva.
Misure di protezione pratiche
Segmentazione della rete con VLAN IoT
La misura più efficace per limitare la propagazione di un eventuale compromesso è la separazione fisica o logica della rete IoT dalla rete principale. Router di fascia media e alta (es. modelli con firmware DD-WRT, OpenWrt, o dispositivi Ubiquiti e TP-Link Omada) permettono di creare una VLAN dedicata ai dispositivi IoT, impedendo loro di comunicare direttamente con i computer o gli smartphone sulla rete principale.
Disabilitare UPnP sul router
Universal Plug and Play (UPnP) permette ai dispositivi di aprire automaticamente porte sul router verso internet. Disabilitarlo riduce il rischio di esposizione accidentale di servizi interni.
Aggiornare il firmware regolarmente
Attivare gli aggiornamenti automatici dove disponibili. Per i dispositivi che non li supportano, annotare un promemoria mensile per verificare nuove versioni firmware sul sito del produttore.
Autenticazione a due fattori sugli account cloud
La maggior parte degli ecosistemi smart home (Google Home, Apple Home, Amazon Alexa, Samsung SmartThings) supporta l'autenticazione a due fattori. Abilitarla protegge l'account anche in caso di compromissione della password.
Sostituire dispositivi senza supporto
Un dispositivo per cui il produttore ha cessato il supporto firmware rappresenta un rischio crescente nel tempo. È opportuno documentare la data di fine supporto dei prodotti installati e pianificare la sostituzione in anticipo.
Caso specifico: telecamere di sicurezza
Le telecamere IP sono tra i dispositivi più frequentemente compromessi, in parte perché spesso puntano verso l'esterno dell'abitazione e hanno accesso internet per la visualizzazione remota. Alcune raccomandazioni specifiche:
- Preferire prodotti che permettono la registrazione locale (NAS o scheda SD) rispetto al solo cloud
- Verificare che il flusso video sia cifrato end-to-end
- Controllare la politica di conservazione dei dati del produttore
- Posizionare le telecamere esterne in modo che non inquadrino spazi privati di terzi (obbligo normativo ai sensi del GDPR)
IoT domestico e GDPR
I dispositivi IoT che raccolgono dati personali (immagini, audio, dati di presenza) all'interno dell'abitazione rientrano nell'ambito del Regolamento Generale sulla Protezione dei Dati (GDPR) quando i dati vengono trasmessi a server cloud. L'utente ha diritto a conoscere quali dati vengono raccolti, per quanto tempo vengono conservati e come vengono utilizzati. Questa informazione è disponibile nell'informativa sulla privacy del produttore.