Vedo dai referrer (o referer, a seconda di quanto siete fedeli all’RFC) che il mio articolo sui frigoriferi francesi ha avuto un certo seguito. Visto che qualcuno si è premurato di fraintendere quello che ho scritto, per poi costruirci sopra qualche straw man, vediamo di fare chiarezza.

Quando dico che vi occuperete seriamente di sicurezza solo dopo “un grande merdone”, intendo che il problema verrà preso sul serio solo quando la popolazione avrà davvero paura. Non so quale evento potrebbe essere. Posso però immaginare diversi threat model, giusto per far capire la gravità della cosa.

Potrei dire, che so io: cinque o sei milioni di persone si ritrovano con il conto in banca svuotato, e nessuna delle banche colpite ha abbastanza soldi per risarcirle. Oppure: l’intero paese resta in blackout totale per un mese. È possibile? Sì. Vedo già un paio di threat model praticabili oggi, e altri che lo diventeranno presto se si continua così.

Succederà. Mettetevelo in testa.

Il problema del cascading della security

Prendiamo un’azienda che si costruisce un’infrastruttura “enterprise”. Il ragionamento, comunque, vale anche in piccolo.

Per prima cosa installerà un sistema operativo che ancora oggi sconta trent’anni di avidità degli azionisti. Un sistema rilasciato con una quantità assurda di vulnerabilità, semplicemente perché pensare alla sicurezza durante lo sviluppo era antieconomico: avrebbe allungato il TTM, il time to market.

Dopo aver installato un OS catastroficamente insicuro, con un modello di esecuzione intrinsecamente insicuro e capace di ospitare milioni di malware diversi (una feature incredibile: se avessimo chiesto un OS in grado di garantire l’esecuzione di milioni di programmi diversi, ci avrebbero risposto che è impossibile), ci servono i programmi.

Installeremo quindi una suite office che, oltre a pesare giga e giga di codice poco documentato, trasforma i dati in programmi tramite macro in VBA ed estensioni in .NET. Così facendo rompe la separazione tra dati e codice, che è uno dei principi cardine della sicurezza.

E come se non bastasse, ci aggiungiamo OLE, che rompe le gabbie di esecuzione dei programmi e li lascia fare sesso non protetto tra loro. Non è un’iperbole da blogger: nel 2017 sono uscite due vulnerabilità da manuale. Con la CVE-2017-0199 bastava aprire un documento RTF contenente un link OLE perché Office scaricasse ed eseguisse codice da un server remoto. Con la CVE-2017-11882 un oggetto OLE incorporato attivava l’Equation Editor, un componente vecchio di diciassette anni rimasto lì a fare da porta d’ingresso, che permetteva di eseguire codice arbitrario. Microsoft prima lo ha patchato, poi a inizio 2018 ha preferito rimuoverlo del tutto. Quando la soluzione è amputare, vuol dire che la malattia era nel progetto.

Non contenti, installeremo un browser che, oltre ai documenti, scarica da ogni angolo del web ed esegue programmi scritti in JavaScript, un linguaggio progettato in dieci giorni.

A questo punto abbiamo costruito il sistema più insicuro possibile, e i problemi cominciano già a livello di OS. E non sto parlando dell’hardware, altrimenti dovrei scomodare l’architettura di base, Von Neumann contro Harvard: la seconda separa fisicamente la memoria dei dati da quella dei programmi.

Se avete installato un sistema così catastroficamente insicuro, dovete fare qualcosa. Ci tenete alla vostra azienda. Quindi voi, che di quel sistema siete semplici UTILIZZATORI, dovete fare qualcosa. Ed ecco che...

Stop.

Qualcuno ha scritto codice insicuro, e adesso tocca a voi rimediare (o pagare qualcuno per farlo)

Questo è il dramma. Questo è il cascading di cui parlo. Il problema del produttore diventa un problema dell’utilizzatore finale. E no, non lo fanno tutti.

Nel 2009, negli Stati Uniti, BSH (il gruppo dietro Bosch e Siemens) ha richiamato circa 476.500 lavastoviglie Bosch e Siemens prodotte tra il 1999 e il 2005: un componente elettrico poteva surriscaldarsi. Le segnalazioni erano 51, di cui 30 incendi con danni materiali.

Non è stato un caso isolato. Tra il 2015 e il 2017 BSH ha richiamato altre 557.000 lavastoviglie Bosch, Gaggenau, Jenn-Air e Thermador, perché il cavo di alimentazione poteva surriscaldarsi e prendere fuoco. Questa volta le segnalazioni di incendio erano cinque. Cinque incendi, mezzo milione di macchine richiamate, ispezione e riparazione gratuite.

Windows convive con milioni di malware e con un numero di vulnerabilità che nessuno sa più contare. E se hai un problema di sicurezza, chiami un esperto di cybersecurity e paghi tu. Altrimenti la colpa è tua che sottovaluti il tema della sicurezza. Cafone arretrato.

Mi chiedo, a questo punto, perché BSH non abbia semplicemente consigliato ai clienti di assumere un pompiere? Sottovalutano forse il problema degli incendi in casa?

Gli effetti di tutto questo sul caso dei frigoriferi francesi

Ricapitoliamo i fatti. Nella notte tra l’11 e il 12 ottobre qualcuno ha preso il controllo dei sistemi di refrigerazione di oltre 500 negozi in Francia: Leclerc, Intermarché, Carrefour, Monoprix, Coopérative U. Ha attivato a distanza lo sbrinamento forzato e ha portato frigoriferi e congelatori fino a 50 gradi, di notte, a negozi chiusi. L’ANSSI ha individuato tra i controller compromessi prodotti di almeno tre aziende: la danese Danfoss, l’americana Copeland e Dixell. Secondo le prime ricostruzioni, i controller avevano un web server esposto su internet, con utente “admin” e la data corrente come password.

Come ho già scritto, i produttori hanno subito cercato di fare damage control. Danfoss ha spiegato che i dispositivi colpiti erano di due tipi: modelli obsoleti, gli AK-SM 800 e AK-SC 355, oppure un modello ancora supportato, l’AK-SM 800A, che però girava con un firmware non aggiornato, quando gli aggiornamenti erano disponibili. Tradotto: le patch c’erano, quindi toccava all’utilizzatore finale applicarle, oppure pagare qualcuno per farlo, oppure sostituire a proprie spese le centraline fuori supporto. E non si può nemmeno dire che il problema fosse sconosciuto: il 9 agosto, due mesi prima dell’attacco, i ricercatori di Claroty Team82 avevano pubblicato uno studio sulla sicurezza proprio dell’AK-SM 800A.

Nel frattempo il CERT-FR ha raccomandato agli operatori di scollegare i controller o di filtrarne l’accesso. Di nuovo: tocca a voi.

Quindi qualcuno mette fuori supporto un pezzo del vostro frigorifero, oppure pubblica un firmware insicuro, e l’utente finale deve fare qualcosa. Certo, chi vive di sicurezza risponderà: “Giusto! Assumimi! Pagami le bollette! Cafone! Sottovaluti il tema della sicurezza informatica!”. E se parliamo di gigantesche catene di supermercati, “va bene”: avranno pure un reparto IT.

Ma se parliamo del supermercato Rossi sulla statale?

E attenzione: buona parte dei negozi colpiti è proprio il supermercato Rossi. Leclerc, Intermarché e Système U funzionano in gran parte con punti vendita di proprietà di imprenditori indipendenti, associati sotto un’insegna comune. Il cartello in alto è quello di una grande catena, ma dietro il bancone frigo c’è spesso un singolo commerciante, che il reparto IT non ce l’ha.

Intanto il capo di Les Mousquetaires, il gruppo di Intermarché, parla di perdite per decine di milioni di euro.

OPS.

Il problema non sono le tecnologie. È il modello: la sicurezza delegata all’utente finale

Con l’esempio del client Matrix e dei miei genitori ottantenni ho ovviamente scoperto il fianco ai polemici. Mi accusano di snobbare la vecchietta di settantatré anni quando qualcuno propone di fermare il progresso, salvo poi fare un’eccezione per i miei genitori.

Ma vi sfugge il punto. Io non sto chiedendo di fermare il progresso. Sto chiedendo di smetterla con la cattiva pratica di delegare decisioni che richiedono competenza a un pubblico che quella competenza non ce l’ha, e che quindi non può prenderle. E questa cattiva pratica NON è progresso.

E non c’è nemmeno bisogno di tirare in ballo i genitori ottantenni. Prendiamo Toni, macellaio esperto del Leclerc sotto casa. Un giorno gli arriva l’avviso che una certa centralina del frigo non sarà più supportata a partire dal giorno tal dei tali, e qualcuno gli chiede se vuole spendere soldi per sostituirla. La conversazione andrebbe più o meno così:

— La centralina AK-SM 800 non sarà più supportata. Vuole sostituirla?
— E quanto costa?
— Due gozzilioni di euro.
— E se non la cambio, che succede?
— Niente. Però Neo e Trinity potrebbero decidere di scongelarle l’Agente Smith che tiene tra i surgelati.
— Va bene, lo faccio l’anno prossimo. Dopo la dieta, la vita sana e il controllo della prostata.

Sia chiaro: Toni non è un incompetente. Sa come si frolla la carne, fa bistecche da urlo e usa i coltelli come se dirigesse una sinfonia di Beethoven. Solo che di sicurezza IT non sa niente. E non è tenuto a saperne.

Sto dicendo che Toni si merita di trovarsi l’Agente Smith scongelato nel freezer? No. Sto dicendo che ve lo meriterete VOI, non appena tutti i frigoriferi sul mercato saranno connessi a internet. Perché nemmeno voi siete esperti di sicurezza IT.

Qualcuno a Bruxelles, a dire il vero, il problema l’ha capito. Si chiama Cyber Resilience Act, Regolamento (UE) 2024/2847, ed è in vigore dal 10 dicembre 2024. L’idea di fondo è proprio quella che sostengo io: la sicurezza diventa una condizione per vendere in Europa. Dall’11 dicembre 2027 un prodotto con componenti digitali potrà entrare nel mercato europeo solo se rispetta un insieme definito di requisiti di cybersicurezza, e il marchio CE, che oggi garantisce la sicurezza elettrica, garantirà anche quella informatica. Il produttore dovrà progettare il prodotto sicuro fin dall’inizio e garantire gli aggiornamenti di sicurezza per tutto il periodo di supporto, di norma almeno cinque anni. Chi non si adegua rischia multe fino a 15 milioni di euro o al 2,5% del fatturato mondiale, se più alto.

Bene, direte. Adesso le cattive notizie.

La prima: il regolamento non è retroattivo. Un prodotto immesso sul mercato prima dell’11 dicembre 2027 ricade sotto i requisiti completi solo se viene modificato in modo sostanziale dopo quella data. La centralina di Toni, quindi, resta un problema di Toni.

La seconda: l’unica parte già operativa, dall’11 settembre 2026, è l’obbligo di segnalazione, e quello sì vale anche per i prodotti già venduti. Il produttore deve notificare all’ENISA e al CSIRT nazionale le vulnerabilità sfruttate attivamente e gli incidenti gravi: un preavviso entro 24 ore, la notifica completa entro 72 ore e un rapporto finale entro 14 giorni dalla disponibilità di un rimedio. L’attacco ai supermercati francesi è arrivato esattamente un mese dopo. Il produttore deve dirlo all’ENISA. Toni deve tirare fuori i soldi.

Lo vedete, il cascading? Anche la legge, per i prossimi anni, protegge il mercato futuro. Il presente resta nel freezer di Toni.

Ma sono “troppo astratto”, vero?

Sapete perché molti “esperti di sicurezza”, quelli che propongono di risolvere tutto con firewall, segregazione di rete, endpoint protection, anomaly detection e compagnia, mi accusano di essere troppo astratto quando chiedo di non scaricare sull’utente finale la sicurezza dei sistemi?

Perché si illudono che cose del genere capitino solo ai frigoriferi industriali.

Intanto, i problemi stanno già emergendo nelle case. Telecamere di sorveglianza: nel 2016 la botnet Mirai ha arruolato telecamere IP e videoregistratori domestici, entrati semplicemente con le credenziali di fabbrica, e li ha usati per un attacco DDoS contro Dyn che ha reso irraggiungibili per ore Twitter, Netflix e parecchi altri servizi. Nel 2019 alcuni intrusi sono entrati nelle telecamere Ring installate in casa e si sono messi a parlare con i bambini attraverso l’altoparlante. Nel 2023 la FTC americana ha chiuso il caso con Ring; ne sono seguiti oltre 5,6 milioni di dollari di rimborsi ai clienti. TV “smart”: nel 2017 i documenti Vault 7 hanno rivelato Weeping Angel, uno strumento della CIA che trasformava alcuni televisori Samsung in microspie, con il televisore apparentemente spento. E ovviamente i cellulari: chiedete a chi si è trovato Pegasus in tasca.

Ma l’esempio migliore è recente. Nel giugno 2025 l’FBI ha lanciato l’allarme su BADBOX 2.0, una botnet di milioni di dispositivi infetti, soprattutto smart TV, box per lo streaming, proiettori e tablet Android economici. Molti uscivano dalla fabbrica già infetti, altri si infettavano durante la configurazione iniziale. A quel punto i criminali li usavano come proxy residenziali per nascondere le proprie attività dietro l’indirizzo IP di casa vostra.

Avete letto bene: infetti dalla fabbrica. Non c’è un utente da colpevolizzare, non c’è una patch che non è stata installata. E la raccomandazione dell’FBI qual era? Che i cittadini tenessero d’occhio i propri dispositivi, cercando traffico internet sospetto. Toni, controlla il traffico di rete del televisore.

E indovinate come hanno reagito alcuni produttori di software di sicurezza? Con articoli che spiegavano come la soluzione fosse il loro prodotto.

Allora vi chiedo: com’è che quando qualcuno vi entra in casa dal televisore non chiamate un consulente di sicurezza IT domestica e personale, per farvi installare tutto il ben di dio che serve?

Ehm.

Il legislatore potrebbe. Ma.

Il legislatore, ovviamente, potrebbe anche andare contro questa tendenza, regolando in maniera meno eludibile la produzione di software e dispositivi connessi. Ma si troverebbe contro lobby potentissime.

Potrebbe decidere, per esempio, che per i problemi di sicurezza IT veri e propri il cascading delle responsabilità non sia ammesso in tribunale per stabilire la colpa. In nessun caso, sempre e comunque. Questo costringerebbe le aziende a fare software migliore, almeno in linea di principio.

A dire il vero, qualcosa del genere esiste già. Si chiama Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi, e manda in pensione una direttiva vecchia di quarant’anni. Gli Stati membri devono recepirla entro il 9 dicembre 2026, cioè tra meno di due mesi. Per la prima volta il software è un prodotto a tutti gli effetti, in qualunque modo venga distribuito: installato sul dispositivo, in cloud o come servizio. La responsabilità è oggettiva: il danneggiato non deve dimostrare dolo o negligenza, solo il difetto, il danno e il nesso tra i due. Non rispettare i requisiti di cybersicurezza o non fornire gli aggiornamenti di sicurezza può costituire un difetto del prodotto. E soprattutto, quella responsabilità non si può escludere né limitare per contratto: le clausole di esonero per i difetti del software o per le vulnerabilità non valgono. Addio “il software è fornito così com’è”.

Fine dell’articolo? Magari. Ci sono tre problemi.

Primo: non è retroattiva. Le nuove regole valgono per i prodotti immessi sul mercato dopo il 9 dicembre 2026. Tutto quello che avete già in casa, e in negozio, resta sotto il vecchio regime.

Secondo: la direttiva protegge le persone fisiche, e risarcisce i danni materiali solo sui beni che non sono usati esclusivamente per lavoro. Se il vostro frigorifero di casa va a fuoco per un firmware bacato, siete coperti. Se va a fuoco il banco frigo del supermercato Rossi, no: è Rossi che deve fare qualcosa.

Terzo: è una direttiva, non un regolamento. Ogni Stato la recepisce a modo suo, e il diavolo sta nei dettagli dei recepimenti.

Applichiamola al caso francese, per fare la prova. Le centraline erano installate da anni, quindi niente retroattività. I danni riguardano banchi frigo, celle frigorifere e merce in vendita, cioè tutti beni professionali. Risultato: anche se la nuova direttiva fosse già in vigore, a Toni non darebbe un centesimo. La sua strada resta quella dei contratti, cioè delle clausole scritte dai produttori.

Ci sarebbe spazio per il legislatore? Eccome.

E allora perché non si va oltre?

Perché la lobby delle aziende produttrici di software e servizi IT rema contro nel Parlamento europeo, e non con due spiccioli. Secondo Corporate Europe Observatory e LobbyControl, nel 2025 l’industria digitale spende 151 milioni di euro l’anno per fare lobbying a Bruxelles, contro i 113 milioni del 2023. I lobbisti a tempo pieno del settore tech sono 890: più dei membri del Parlamento europeo. La sola Meta spende oltre 10 milioni l’anno. Perché in rete si scatenerebbe la crociata degli influencer della sicurezza IT: una bella manifestazione di gente con la maschera di Topolino che grida “Staccah! Staccah! Ci stanno tracciandoh!”.

Proviamo con un threat model terrificante

Siamo nel 2040. Tutti i condizionatori e le pompe di calore sono connessi a internet. Come capita spesso, due o tre grandi produttori controllano di fatto la scheda che gestisce gli apparecchi.

Uno Stato straniero paga per costruire un worm e farne il porting sul 90% dei dispositivi online. Diciamo dieci gigawatt di potenza complessiva, in Italia. Per avere un ordine di grandezza: il picco di domanda elettrica italiana si aggira sui 55-60 GW, quindi parliamo di circa un sesto dell’intero carico nazionale concentrato in un solo tipo di apparecchio.

Il worm si sincronizza con un server NTP costruito apposta. Quel server è agganciato a GPS o Galileo, che sono sorgenti di tempo Stratum 0: chi vi si collega direttamente diventa Stratum 1 e distribuisce un tempo accuratissimo a tutta la botnet. Ogni dispositivo infetto, in qualunque angolo del paese, sa che ora è con un margine di errore ridicolo.

Poi i worm fanno tutti la stessa cosa, nello stesso istante.

Variante estiva: il grande spegnimento

È un pomeriggio di luglio. I condizionatori girano a tutta forza. Al segnale, i dieci gigawatt si spengono insieme, in un millisecondo.

Sulla rete arriva un colpo di frusta: meno dieci gigawatt in un millisecondo, cioè una variazione dell’ordine dei diecimila gigawatt al secondo. “Colpo di frusta” è l’immagine; il nome tecnico è RoCoF, rate of change of frequency, la velocità con cui cambia la frequenza di rete. Ed è esattamente la grandezza che le protezioni tengono d’occhio: non gli importa solo di quanto cambia la frequenza, ma di quanto in fretta lo fa. Una frustata abbastanza secca le fa scattare da sola.

Ma attenzione, perché il meccanismo è il contrario di quello che suggerisce l’intuito. Spegnere dieci gigawatt non “brucia” i cavi: anzi, in quei cavi smette di passare corrente. Il punto è un altro. Un attimo prima le centrali producevano esattamente quanto serviva. Un attimo dopo si ritrovano con dieci gigawatt di troppo e nessuno che li consumi. Quell’energia in eccesso non sparisce: fa accelerare i generatori rotanti, e la frequenza, che deve stare inchiodata a 50 Hz, comincia a salire.

Le turbine lavorano in una finestra di frequenza strettissima. Appena la superano, la protezione le stacca dalla rete per non distruggersi. Ma ogni centrale che si stacca peggiora lo squilibrio per quelle rimaste, che a loro volta saltano. Effetto domino. La rete, per proteggersi, si smonta da sola. Blackout nazionale nel giro di pochi secondi.

Quanto ci vuole a rimetterla in piedi? Qui c’è una buona notizia, si fa per dire. Se la rete si è solo staccata, senza danni fisici, il ripristino è una riaccensione progressiva che si misura in ore. Nel blackout del 28 settembre 2003, il più grande della storia italiana, la corrente tornò al Nord già la mattina dopo e nelle province più sfortunate della Sicilia in serata: circa un giorno, nel complesso. Tanto, ma gestibile.

Variante invernale: il grande incendio

Ora rifacciamo l’attacco al contrario, in una notte di gennaio. Stavolta il bersaglio sono le pompe di calore, e invece di spegnerle le accendiamo tutte al massimo, nello stesso istante.

Adesso lo squilibrio è dall’altra parte: una domanda enorme che si materializza di colpo, e una generazione che non riesce a starle dietro. La frequenza crolla, e nei cavi e nei trasformatori arriva davvero una sovracorrente. È qui, e solo qui, che l’immagine del fuoco diventa corretta: trasformatori che surriscaldano l’olio minerale in cui sono immersi fino a incendiarlo, cavi che cedono. Le protezioni cercano di staccare tutto prima che bruci, ma se il colpo è abbastanza duro e abbastanza coordinato, qualcosa brucia davvero.

E qui la buona notizia di prima sparisce. Perché un trasformatore di alta potenza non è un pezzo di ricambio che tieni in magazzino. Oggi i tempi di consegna dei grandi trasformatori viaggiano in media sulle 120-128 settimane, e per le unità più grandi e specializzate si superano le 200 settimane. Settimane, ho detto: due, tre, quattro anni. Non è un errore di stampa. Se l’attacco ne distrugge una manciata nei punti giusti, quella zona non torna online in una settimana. Torna online quando arriva il trasformatore nuovo dalla fabbrica, sempre che non ci sia la fila davanti a te.

Non è fantascienza

E qui sta il punto che conta: non mi sto inventando niente. Nel 2018 tre ricercatori di Princeton, Saleh Soltan, Prateek Mittal e H. Vincent Poor, hanno descritto esattamente questa classe di attacchi in un lavoro presentato all’USENIX Security Symposium, una delle conferenze di sicurezza informatica più serie al mondo. L’hanno battezzata MadIoT, Manipulation of Demand via IoT: una botnet di elettrodomestici ad alto assorbimento, condizionatori e scaldabagni, accesi o spenti tutti insieme per sbilanciare la rete. Hanno studiato cinque varianti dell’attacco e le hanno simulate su modelli di reti elettriche reali. La conclusione: si possono provocare interruzioni locali e, nei casi peggiori, blackout su larga scala. La parte più inquietante del loro lavoro è che l’operatore di rete non ha un buon modo di difendersi, perché vede la domanda solo in forma aggregata e non sa che quei milioni di apparecchi stanno per muoversi all’unisono.

Quello era il 2018, con poche cose connesse. Nel 2040, con tutto connesso, non è più una simulazione. È un piano.

The Day After

Ora, anche tralasciando lo scenario peggiore, gli anni senza corrente mentre si ricostruiscono i trasformatori andati a fuoco, un inverno senza riscaldamento o un’estate senza condizionatori, fermiamoci anche solo a un blackout nazionale di qualche giorno. E guardiamoci intorno.

Le auto sono sempre più elettriche: senza colonnine non si muovono. Quasi tutti i treni vanno a corrente. Senza elettricità non funzionano gli aeroporti. Il cibo nei supermercati e nei depositi è refrigerato, e abbiamo già visto in Francia cosa succede quando smette di esserlo. Gli ospedali, per legge, tengono in genere dalle 72 alle 96 ore di carburante per i generatori: tre, quattro giorni, poi finisce il gasolio e nessuno lo rifornisce, perché le autobotti hanno bisogno di pompe elettriche e di strade percorribili.

E i telefoni? Qui l’illusione dura ancora meno. Una stazione radio base, un BTS, non regge come un ospedale: nelle aree urbane campa in media dalle 2 alle 4 ore sulle batterie tampone. La raccomandazione dell’FCC americana è di 8 ore, e già fatica a essere rispettata; solo i siti più importanti hanno un generatore che allunga i tempi. Tradotto: dopo poche ore dal blackout, la maggior parte delle celle è spenta. Il che significa che non potete più chiamare pompieri, ambulanze, polizia. Non perché non rispondono: perché il telefono non ha linea. Il sistema bancario tiene finché i suoi data center hanno gasolio, ma i pagamenti con carta e i bancomat sono già morti nel momento in cui saltano la corrente e la rete nei diecimila punti dove li usate.

L’indomani siete tornati nel 1701. Con la differenza che nel 1701 la gente sapeva accendere un fuoco, conservare il cibo sotto sale, curarsi con quel poco che c’era, muoversi a cavallo. Voi no. Siete tornati indietro di trecento anni e non avete nessuna delle competenze che servono per viverci.

Perché serve il legislatore

Gli influencer della security possono parlare quanto vogliono, ma a questo problema non esiste una soluzione tecnica che si possa scaricare sul consumatore finale. Non potete chiedere a Toni di proteggere la rete elettrica nazionale configurando il suo condizionatore. Serve una legge.

E la direzione giusta la suggeriscono proprio i ricercatori di Princeton: il punto debole dell’attacco è la simultaneità. Funziona solo se milioni di dispositivi si muovono nello stesso istante. Toglietegli quella, e l’attacco si sgonfia.

Potrei immaginare una norma di questo tipo: qualsiasi dispositivo che assorba più di X watt, se è collegato a internet in qualsiasi modo, deve avere una batteria tampone e un vincolo di progetto per cui non può accendersi né spegnersi di colpo, ma solo salire o scendere di potenza in modo graduale, su un intervallo di Y secondi, e per di più sfasato in modo casuale rispetto agli altri. Due effetti, un solo obiettivo. La rampa graduale trasforma la frustata in una spinta lenta, che la rete assorbe. Lo sfasamento casuale fa sì che, anche con il worm nel firmware, i dieci gigawatt non si muovano mai tutti nello stesso millisecondo. L’onda si spalma, e il colpo di maglio diventa una carezza.

Non è una soluzione elegante. È un pannolone che mettiamo a un sistema progettato male. Ma finché i dispositivi li fa chi non paga per i danni, e il rischio lo corre chi non ha scelto niente, è l’unico punto in cui si può intervenire davvero: all’origine, per legge, sul produttore.

Prima o poi succederà

Lo so che sembro pessimista. Ma finché siamo noi a INVITARE un cattivo attore a fare una cosa del genere, il rischio che accada non fa che crescere. Qualsiasi disastro abbiate in mente, su un periodo abbastanza lungo prima o poi succede, a patto di averlo reso possibile.

Per ora hanno solo spento i freezer dei supermercati.

Imparate la lezione, o presto conterete i morti a milioni.

E non fatevi trascinare nei pannicelli caldi degli influencer della sicurezza.