Un attacco informatico non si ferma necessariamente a un computer. Può interrompere un servizio, bloccare un processo produttivo e, quando raggiunge i sistemi che gestiscono apparecchiature fisiche, influire sulle condizioni di funzionamento di un impianto. È una dimensione della sicurezza informatica ancora poco visibile fuori dagli ambienti tecnici, ma sempre più importante per le imprese e per le persone.
Per questo, accanto ai nostri progetti di sviluppo software, eCommerce e infrastrutture, in BitHub portiamo avanti un'attività volontaria di segnalazione responsabile: individuiamo esposizioni potenzialmente rischiose attraverso informazioni pubblicamente disponibili e cerchiamo di far arrivare un avviso utile a chi può intervenire. Lo facciamo gratuitamente e senza chiedere in cambio un incarico.
Dalla refrigerazione commerciale ai servizi essenziali: perché oggi il rischio è concreto
Nell'autunno 2026 diversi Paesi europei hanno affrontato attacchi che hanno interessato sistemi di refrigerazione commerciale e dispositivi connessi. Il 4 novembre la Commissione europea ed ENISA hanno pubblicato una dichiarazione congiunta: gli incidenti erano stati osservati a partire dall'11 ottobre e una nuova ondata si era verificata il 1° e 2 novembre. Le autorità europee hanno richiamato l'urgenza di ridurre le esposizioni e coordinare la risposta.
Tra le notizie più significative ci sono gli attacchi ai sistemi frigoriferi di supermercati francesi, dove la modifica dei parametri di temperatura e sbrinamento ha causato perdita di prodotti e interruzioni operative. A novembre sono stati interessati anche i sistemi di refrigerazione di tre strutture dell'Établissement français du sang, il servizio trasfusionale francese. Secondo quanto comunicato dall'ente, il monitoraggio ha permesso di intervenire rapidamente e non sono state segnalate perdite di prodotti ematici.
Non tutti questi episodi hanno la stessa origine o lo stesso meccanismo. Ci ricordano però una cosa: la protezione digitale è parte della continuità operativa anche quando le macchine non sembrano “informatica”.
Cosa significa trovare un sistema esposto su Internet
Un desktop remoto, un pannello di climatizzazione, un sistema di supervisione industriale o un'interfaccia di amministrazione possono avere motivi legittimi per comunicare con l'esterno. Il problema nasce quando l'accesso non è delimitato in modo adeguato, quando vengono mantenuti protocolli obsoleti o quando un servizio permette di presentare informazioni e funzioni che avrebbero dovuto restare all'interno di una rete privata.
Nel nostro lavoro di osservazione volontaria ci è capitato di documentare esposizioni riconducibili a servizi amministrativi, sistemi di controllo remoto, building automation, impianti termici e altri ambienti operativi. In alcuni casi i dati pubblici dichiarano l'assenza di autenticazione a livello del protocollo utilizzato. Questo è un segnale serio, ma va letto correttamente: non prova da solo che qualcuno sia entrato, né che sia possibile impartire comandi alle macchine.
La nostra priorità è far arrivare quell'informazione a un responsabile, non trasformare una situazione fragile in un caso pubblico riconoscibile.
Il nostro metodo: osservare, documentare, avvisare
Partiamo da informazioni già pubblicamente indicizzate, senza tentare credenziali, senza entrare in sistemi di terzi e senza interagire con i comandi degli impianti. Valutiamo quali evidenze siano sufficienti a descrivere il rischio e conserviamo gli elementi necessari alla segnalazione, evitando di divulgare dettagli che possano rendere più facile un abuso.
Quando riusciamo a individuare un contatto aziendale attendibile, preferiamo rivolgerci direttamente al responsabile o al referente tecnico. Se il proprietario del sistema non è identificabile con sicurezza, cerchiamo canali alternativi pertinenti: gestori della rete, manutentori, produttori, installatori oppure organismi istituzionali competenti per la gestione delle vulnerabilità e degli incidenti.
Non attribuiamo un server a un'azienda soltanto perché appare un nome in una schermata. La verifica del destinatario è parte del lavoro. Una segnalazione inviata alla persona sbagliata può creare confusione anziché risolvere un problema.
Per conoscere in dettaglio il nostro approccio, abbiamo dedicato una sezione alla responsible disclosure e al volontariato digitale di BitHub.
Le segnalazioni producono riscontri concreti
Questa attività non si esaurisce nella preparazione di un report. Abbiamo inviato segnalazioni documentate e ricevuto risposte scritte da alcuni interlocutori, tra cui operatori di rete che hanno dichiarato di provvedere ad avvertire i soggetti direttamente interessati.
È un primo risultato concreto: la comunicazione è arrivata a un canale presidiato ed è stata riconosciuta. Non lo confondiamo con la chiusura dell'incidente. La conferma di ricezione non equivale alla prova che un sistema sia stato messo in sicurezza, e un impegno a inoltrare l'avviso non dimostra automaticamente che l'intervento tecnico sia avvenuto.
Distinguiamo perciò l'invio della segnalazione, il riscontro ricevuto, l'eventuale presa in carico da parte del gestore e, quando è possibile documentarla, la risoluzione verificata. È un approccio meno spettacolare, ma molto più utile.
Perché lo facciamo gratuitamente
Chi gestisce un'azienda può non sapere che un apparato installato anni prima è visibile da Internet. Può avere un contratto di assistenza, un sistema configurato da un fornitore esterno o semplicemente una rete cresciuta nel tempo. Non serve colpevolizzare nessuno: serve portare l'informazione nel posto giusto, con un linguaggio comprensibile e una priorità proporzionata al rischio.
Per noi questo è il significato del volontariato digitale. Le competenze tecniche non servono soltanto a sviluppare prodotti o offrire consulenze: possono anche aiutare a prevenire problemi, senza trasformare ogni contatto in una proposta commerciale.
Cosa dovrebbe verificare chi gestisce impianti e sistemi remoti
Vale la pena chiedere al proprio referente IT o al manutentore se le interfacce di gestione sono raggiungibili direttamente da Internet, se gli accessi sono protetti da autenticazione robusta e, quando appropriato, multifattore, se i sistemi sono aggiornati e se gli operatori ricevono avvisi in caso di comportamenti anomali. Negli impianti industriali le eventuali modifiche devono essere pianificate con il manutentore, per non interrompere processi essenziali o compromettere la sicurezza operativa.
Anche una verifica semplice della configurazione e della responsabilità degli accessi può ridurre sensibilmente l'esposizione.
La segnalazione responsabile non è una caccia alle vulnerabilità
Non pubblichiamo gli indirizzi, le schermate o le identità dei soggetti che potrebbero essere ancora esposti. Non presentiamo come “violazione” ciò che è soltanto un'indicazione di rischio. E non rivendichiamo risoluzioni che non possiamo verificare.
Se pensi che un sistema della tua organizzazione possa essere esposto, la prima cosa da fare è coinvolgere il responsabile IT o il manutentore e valutare con lui le misure correttive. Per approfondire il metodo con cui svolgiamo questa attività volontaria, visita la nostra pagina dedicata alla segnalazione responsabile.
Domande frequenti
Che differenza c'è tra un sistema esposto e un sistema compromesso?
Un sistema esposto è raggiungibile attraverso la rete in una configurazione che può richiedere ulteriori verifiche di sicurezza. Un sistema compromesso ha invece subito un accesso o un'alterazione non autorizzata. La prima circostanza non dimostra la seconda.
BitHub effettua accessi ai sistemi che segnala?
No. L'attività volontaria descritta qui utilizza informazioni pubblicamente disponibili e non prevede autenticazioni, prove di comando o modifiche ai sistemi di terzi.
Quanto costa ricevere una segnalazione?
Nulla. Le comunicazioni di responsible disclosure svolte nell'ambito di questa iniziativa sono gratuite e non comportano obblighi commerciali.