«Un attacco avviene dove causa il danno maggiore»

Digitale e connessa in rete, l’infrastruttura di ricarica si presta agli attacchi informatici. Un attacco può paralizzare interi sistemi, compromettere la stabilità della rete e mettere fuori uso infrastrutture critiche. Le stazioni di ricarica sono triplicate dal 2020 e continuano a crescere, aumentando anche il rischio per i gestori di stazioni di ricarica (CPO), e l’importanza della cibersicurezza.

Pericolo riconosciuto, ma non scongiurato

L’infrastruttura di ricarica svizzera ha gravi lacune nella sicurezza: lo dimostra un’analisi dell’Istituto nazionale di test per la cibersicurezza (NTC) del 2023. I problemi sono stati risolti, ma il rischio non è scongiurato, soprattutto per le stazioni di ricarica accessibili al pubblico, i sistemi di accesso e le interfacce con altri sistemi. Sascha Krucker, Raphael Reischuk e Daniel Clauss spiegano quali sono i rischi e come i CPO possono proteggersi.

L’infrastruttura di ricarica è a rischio?

Raphael Reischuk: Si tratta di un ecosistema giovane, interconnesso con diversi componenti, anche provenienti dall’estero e ha quindi molti punti di attacco.

Daniel Clauss: Il ciclo di ricerca e sviluppo (R&S) per hardware e software è breve, quindi molti nuovi componenti arrivano rapidamente sul mercato. Anche se in Svizzera esistono norme di base, gli standard sono in ritardo rispetto ai cicli R&S.

Quali parti sono più vulnerabili?

Sascha Krucker: Le stazioni di ricarica accessibili al pubblico, i collegamenti di comunicazione e le connessioni alle piattaforme cloud.

Reishuk: Un attacco avviene dove causa il danno maggiore con il minor impegno. Ci sono gli hacker analitici e gli hacker opportunisti. I primi selezionano gli obiettivi come schede di ricarica o interfacce digitali (API) e li analizzano prima di attaccarli, anche a distanza.

Clauss: Il back-end è vulnerabile, perché è lì che convergono tutti i flussi di dati. I criminali individuano le aziende responsabili e si infiltrano nel server.

C’è pericolo per i partner dei gestori?

Reishuk: I fornitori possono essere attaccati in modo simultaneo, accendendo e spegnendo tutti i cicli di ricarica. Questo crea oscillazioni nella rete che potrebbero farla collassare. È sufficiente controllare in questo modo l’8-10% dei veicoli in carica.

Krucker: L’infrastruttura di ricarica coinvolge molti attori, tra cui gestori, produttori e fornitori di servizi, di energia, di servizi IT e di pagamenti. L’attacco a una parte di questa catena può ripercuotersi su altre.

Perché ai criminali interessa?

Reishuk: Alcuni vogliono destabilizzare l’Occidente. La Svizzera è un obiettivo più allettante dei Paesi meno sviluppati: oltre al danno alla reputazione e all’influenza sociale, tra gli obbiettivi ci sono anche l’estorsione finanziaria o danni fisici.

Quali sono i pericoli principali?

Clauss: Per la stabilità della rete è pericolosa l’interazione con i veicoli. Di regola, i produttori hanno un accesso remoto.

Reishuk: Il centro non è la stabilità della rete, ma la disponibilità dell’infrastruttura: le organizzazioni di pronto intervento devono sempre disporre di corrente elettrica.

Krucker: L’infrastruttura di ricarica diventa sempre più critica. Le organizzazioni di pronto intervento passano ai veicoli elettrici e non possono permettersi un blackout. Più la mobilità elettrica evolve, più aumentano i pericoli.

Quali sono i pericoli per i CPO?

Krucker: I piccoli criminali possono accedere all’infrastruttura e ricaricare gratis. Un caso isolato può essere sostenibile, ma sommati diventano un problema. Una comunità Uber all’estero ha sfruttato le vulnerabilità di diversi sistemi europei causando danni ingenti.

I CPO sono responsabili dei danni?

Clauss: È complesso. I gestori di rete dovrebbero poter dimostrare la negligenza diretta di un CPO. Perciò è importante che i CPO adottino le precauzioni tecniche e organizzative disponibili.

Chi è responsabile per i danni informatici?

Reishuk: Dipende da contesto, condizioni quadro giuridiche e accordi contrattuali. Le aziende devono occuparsi della propria gestione dei rischi, inclusi quelli informatici. Lo Stato stabilisce le condizioni quadro, ma non si assume la responsabilità per singoli danni informatici privati.

Clauss: Gli TIC* sono un buon inizio, ma non è sufficiente. Le PMI più piccole fanno fatica a gestirli, e un’azienda straniera se ne preoccupa poco. Lo Stato deve fissare delle linee guida.

Krucker: Le condizioni quadro statali aiutano, ma ogni gestore ha la responsabilità di controllare gli impianti nonché di applicare gli standard industriali.

La cibersicurezza è importante per i CPO?

Reishuk: Disporre di una cibersicurezza è importante per i CPO. La maggior parte non è preparata alle estorsioni. Un sondaggio ha dimostrato che nell’arco di sei mesi l’83% delle aziende intervistate è stato vittima di ransomware. Il 5% era disposto a pagare somme elevate e questo alimenta l’attività criminale. È quindi importante avere una tattica negoziale. Per questo ci sono specialisti esperti. Ci sono anche i costi per il ripristino dell’infrastruttura danneggiata. Se i CPO stipulano un contratto con un’azienda IT, il costo è decisamente inferiore rispetto a un intervento di emergenza.

Clauss: Gli attacchi informatici possono anche causare un danno di reputazione. E con una cattiva reputazione si scompare presto dal mercato.

È possibile assicurare i danni informatici?

Reishuk: In linea di principio sì, ma prevenire è meglio. I dati rubati o una reputazione danneggiata non possono essere ripristinati, nemmeno dalla migliore assicurazione.

Bildquelle: Claudio Fornito, EBP