L'Internet delle cose (IdC) contribuisce enormemente all'efficienza di una casa. Usando dispositivi smart connessi a Internet, possiamo trovare il caffè pronto al nostro risveglio, o la cena già calda nel forno al nostro rientro a casa. Possiamo controllare la temperatura o la qualità dell'aria, chiudere a chiave le porte o perfino tener d'occhio la casa dovunque ci troviamo, attraverso lo smartphone.
Tuttavia, l'Internet delle cose significa anche che il frigo, la macchina del caffè, il riscaldamento e l'auto conserveranno i nostri dati personali. Per la precisione, qualsiasi dispositivo IdC collegato è un raccoglitore di dati. Quindi, se non volete che altre persone sappiano tutto della vostra vita, dovete mettere al sicuro ogni dispositivo, controllando che non ci siano anelli deboli nella rete. Infine non dimenticate di proteggere la rete stessa.
Ci sono più di 7 miliardi di dispositivi IdC al mondo oggigiorno, e tutti rappresentano un goloso bersaglio per i cybercriminali. Se la vostra casa è collegata, dovete proteggerla e questo articolo vi spiegherà come.
I potenziali rischi di una casa smart
Nessuna organizzazione globale ha ancora definito gli standard di sicurezza dei dispositivi IdC. Sono pochissime le leggi che si applicano a questi dispositivi: le autorità si preoccupano che il vostro frigorifero sia sicuro a livello elettrico e che consumi poca energia, ma non hanno ancora pensato a valutare se stia facendo un buon lavoro nel proteggere la vostra privacy.
La rapidissima crescita dell'IdC ha spinto i produttori a trarne il massimo vantaggio, immettendo sul mercato il maggior numero di prodotti possibile. Alcuni dispositivi vengono commercializzati in fretta e furia, senza che venga posta la giusta attenzione dalle problematiche di sicurezza. Per di più, quando i dispositivi vengono superati da versioni più recenti, i produttori non sempre si curano di pubblicare patch di sicurezza. Un bel contrasto con l'hardware e i software dei computer, dove ci si aspetta di ricevere aggiornamenti regolari per correggere le vulnerabilità e migliorare le funzionalità.
Ma gli hacker non riposano mai e nuove minacce sono sempre in agguato: una telecamera di sicurezza di cinque anni fa o perfino una smart TV con appena sei mesi di vita potrebbero nascondere una vulnerabilità nota. Questo significa che anche un hacker alle prime armi potrebbe trovare un exploit per introdursi nella vostra rete.
Si sono già verificati molti casi di hacker che sono riusciti a controllare webcam, telecamere di laptop e baby monitor. Ma un cybercriminale potrebbe anche:
- accedere al vostro sistema di riscaldamento o illuminazione, per scoprire se siete in casa;
- accedere alle vostre password o al vostro conto in banca attraverso informazioni che avete condiviso con un assistente digitale come Amazon Echo, usando i comandi vocali;
- introdursi nella vostra rete attraverso un dispositivo IdC e lanciare un attacco ransomware, rendendo la vostra casa smart inutilizzabile, a meno di pagare un riscatto;
- usare i vostri dispositivi come bot per fornire potenza di calcolo a un attacco DDOS, una frode telematica o la corruzione di password, oppure per spedire spam o estrarre criptovaluta.
L'impiego delle botnet è devastante. Già nel 2016 la botnet Mirai è riuscita a introdursi all'interno di alcuni dispositivi IdC, prendendo poi il controllo di uno sciame di ben 100.000 unità. Un singolo dispositivo ha una potenza computazionale bassa, ma mettetene assieme 100.000 e avrete risorse non indifferenti con cui lavorare.
Mirai sfruttava una classica vulnerabilità: il fatto che i proprietari avevano lasciato invariati il nome utente e la password di fabbrica dei loro dispositivi, rendendoli semplici da "catturare". Dopodiché, ha lanciato un attacco DDOS che ha messo fuori uso Dyn, un provider per la registrazione di domini.
I responsabili dietro la botnet sono stati rintracciati e portati in carcere, ma Mirai sta ancora mutando ed è tuttora una minaccia.
Mettere al sicuro reti e dispositivi IdC
Prima di tutto, chiudete a chiave la porta principale: proteggete il router. Se un hacker ottiene il controllo del vostro router, potrà controllare tutta la vostra rete e dunque ogni dispositivo all'interno della vostra casa, dalle serrature delle porte al computer.
- Cambiate nome e password del router. Non usate le impostazioni predefinite. I router prendono spesso il nome dal produttore o dalla rete che state usando, questo dà agli hacker un importante indizio su come avere accesso. Evitate di usare il vostro nome o il vostro indirizzo, anche questi sono utili indizi per qualcuno che stia cercando di penetrare la vostra rete.
- Scegliete password complesse, ovvero password casuali composte da un mix di lettere, numeri e simboli.
- Evitate di usare reti Wi-Fi pubbliche per accedere alla vostra rete IdC attraverso laptop o smartphone. È piuttosto facile introdursi nel tipo di reti Wi-Fi offerte da bar e hotel. Usate una Virtual Private Network (VPN) come VPN Secure Connection di Kaspersky. Una VPN vi fornisce un accesso privato e cifrato a Internet, impedendo ai malintenzionati di intercettare le vostre comunicazioni.
- Iniziate a usare reti guest. È un'ottima idea creare una rete "guest" per gli ospiti che vogliono agganciarsi al vostro Wi-Fi di casa: in questo modo non avranno accesso alla rete principale, né alla vostra posta elettronica o ad altri account. La rete guest va benissimo anche per i vostri dispositivi IdC: anche se un hacker riuscisse a comprometterne uno, rimarrebbe confinato alla rete guest e non potrebbe assumere il controllo del vostro accesso Internet principale.
- Adottate un metodo crittografico robusto, come il WPA, per l'accesso Wi-Fi.
- Dedicate particolare cura al creare una protezione di altissimo livello per la vostra rete IdC. Per esempio, pensate all'autenticazione a due fattori che può sfruttare la biometrica, un tesserino d'accesso o una chiavetta di sicurezza, così che gli hacker non possano ottenere entrambi gli identificativi richiesti.
Una volta garantito un metodo d'accesso sicuro alla rete, dovrete proteggere ogni singolo dispositivo IdC. Ripetiamolo ancora: modificate immediatamente il nome utente e la password di fabbrica. Se un dispositivo non ve lo permette, avrete una grossa falla nelle vostre difese. Comprate un dispositivo diverso. Meglio ancora: al momento dell'acquisto verificate bene il livello di sicurezza del prodotto, anziché considerarne solo le funzionalità.
Ognuno dei vostri dispositivi IdC ha bisogno di una password diversa. È un classico: hacker che penetrano una rete da un dispositivo, per poi prendere il controllo di tutti gli altri. Se frigo, macchina del caffè, serrature e termostato hanno tutti un nome diverso, un hacker non potrà diffondere la sua impronta nella vostra rete IdC.
Ora, andate a controllare le impostazioni di default per sicurezza e privacy. Se un dispositivo è in grado di fare o registrare qualcosa che non vi piace, forse potete disattivare quell'impostazione. Per esempio, potreste decidere che volete spegnere il microfono di alcuni dispositivi, perché non volete usarli con il controllo vocale. In questo modo, nessuno potrà intercettare le vostre conversazioni.
Già che siete impegnati nel disattivare funzionalità, fate attenzione a non lasciare aperto l'accesso remoto o il controllo vocale. Riflettete se vi siano dei dispositivi che non vale nemmeno la pena di collegare alla rete. Se la connessione a Internet non aggiunge alcun vantaggio all'oggetto, spegnetela e basta.
Un'altra funzionalità che dovreste proprio disattivare è l'Universal Plug and Play (UPnP). Il suo scopo è quello di permettere a ogni dispositivo di rilevare la presenza degli altri sulla stessa rete, un po' come il Plug and Play su un PC che può installare automaticamente delle periferiche, come stampanti o dispositivi esterni. Ma nel caso dei dispositivi IdC non è particolarmente utile, perché non vengono spostati molto. Inoltre, è un enorme rischio di sicurezza: eventuali vulnerabilità nel protocollo potrebbero consentire agli hacker di scoprire i dispositivi dall'esterno della rete.
Manutenzione dei dispositivi IdC
Una casa smart fa risparmiare tempo e fatica. Ma un po' del tempo risparmiato lo dovrete dedicare alla corretta manutenzione dei dispositivi IdC; fa parte delle strategie di sicurezza.
Il firmware di ogni dispositivo deve sempre essere aggiornato. Al momento dell'installazione dei dispositivi, salvate nei segnalibri le pagine Web dei produttori per poter facilmente verificare la presenza di aggiornamenti firmware e software. Se siete fortunati, potreste ricevere avvisi e-mail o addirittura aggiornamenti automatici; in caso contrario dovrete fare da soli.
Occhio alle connessioni - i pericoli degli smart speaker
Alcuni dispositivi IdC sono relativamente limitati e sono in grado di connettersi solo alla vostra rete. Altri sono molto più intelligenti. Ma più sono intelligenti, più sono rischiosi.
Attenzione a quello che connettete, quindi. In particolare, gli smart speaker possono rappresentare un rischio di sicurezza. Ad esempio, se le vostre telecamere di sicurezza e le vostre serrature sono collegate all'assistente vocale, a un intruso basterebbe urlare "OK Google, apri la porta" per entrarvi in casa. Vi sembra poco realistico? Sappiate allora che Burger King negli U.S.A. ha mandato in onda una pubblicità che azionava deliberatamente gli speaker Google Home, facendogli recitare la descrizione dell'hamburger Whopper. Alla fine, Google ha bloccato l'annuncio.
Anche se irritante, l'exploit di Burger King era innocuo. Eppure evidenzia una minaccia di vulnerabilità reale, facilmente sfruttabile con intenti criminali.
Sono stati anche scoperti attacchi hacker che mantenevano in ascolto gli speaker anche dopo che la domanda era stata posta, registrando conversazioni da inviare poi ai malintenzionati. Sarebbe quindi bene mantenere il proprio sistema di sicurezza su una rete separata, a cui l'assistente vocale non abbia accesso. Ugualmente, è meglio tenere l'accesso al conto bancario ben separato dai dispositivi.
Ricordate che gli smart speaker e gli altri dispositivi archiviano dati su di voi e sul vostro comportamento. Vale la pena scoprire dove questi dati siano memorizzati e a quale scopo possano essere usati (il servizio dovrebbe venire fornito con un'informativa sulla privacy). Inoltre, è bene sapere come cancellare queste informazioni, se non volete che vengano archiviate.
Con Amazon e Google, è molto semplice farlo: nel caso di Amazon, usate la vostra App Alexa per accedere a Impostazioni e cercate la Cronologia da consultare; potete cancellare le singole richieste o eliminarle tutte. Le registrazioni dell'assistente Google possono venire verificate ed eliminate attraverso il vostro account Google. Vi consigliamo di azzerarle in modo regolare.
Anche le smart TV possono conservare un sacco di dati su quello che avete guardato. Nel 2017, il fabbricante di TV Vizio è stato multato dalla Federal Trade Commission americana per aver registrato l'elenco dei programmi guardati dai proprietari degli apparecchi, per poi vendere queste informazioni agli inserzionisti. È facile per un hacker penetrare in una smart TV. Quindi, se Vizio registrava quel tipo di informazioni, è possibile che anche degli hacker ne siano entrati in possesso. Ora che le reti TV e Internet si intersecano, le smart TV possono rappresentare una minaccia per la privacy dei vostri dati su altri account. Leggete sempre il manuale, per controllare se è possibile disattivare la raccolta di questo tipo di informazioni. Vi consigliamo eventualmente di isolare la TV su una rete propria.
Articoli correlati:
Violazioni delle auto, come proteggersi
