Difesa Attiva e Superficie d'Attacco Invisibile: Cyber Deception e Crisi dei Dispositivi di Sicurezza Fisica

La cybersecurity non si gioca più solo sui server e sulle workstation. Il perimetro si è dissolto da tempo, ma ciò che emerge dagli ultimi advisory CISA di metà settembre 2026 è una realtà ancora più sfumata: gli attaccanti non cercano solo di entrare, cercano di restare invisibili usando gli stessi strumenti legittimi che le organizzazioni usano per operare. Contestualmente, una miriade di dispositivi "periferici" — telecamere IP, registratori video, relè di protezione elettrica, sistemi di gestione navale — si rivela il tallone d'Achille di settori critici, spesso gestiti da vendor che non rispondono alle segnalazioni o che lasciano intere linee di prodotto esposte senza patch. Per le imprese italiane, che fondano la propria competitività su manifattura avanzata, energia, logistica marittima e infrastrutture critiche, ignorare questa doppia dimensione — la necessità di una difesa attiva dentro la rete e l'urgenza di inventariare e proteggere l'OT/IIoT "invisibile" — significa accettare un rischio sistemico non calcolato.

L'Agenzia per la sicurezza informatica e delle infrastrutture (CISA) statunitense ha pubblicato, il 16 settembre, una guida dedicata all'uso delle cyber decoy per rafforzare la rilevazione e la risposta (Using Cyber Decoys to Strengthen Detection and Response). Nello stesso arco di giorni, il programma ICS-CISA ha rilasciato otto advisory su vulnerabilità che spaziano dai relè Siemens per la rete elettrica ai sistemi di backup Acronis, dalle telecamere CareCam ai registratori Digital Watchdog, fino alle piattaforme marittime Wärtsilä e ai moduli low-code Mendix e Teamcenter di Siemens. Non è una coincidenza: mentre le direttive come il BOD 26-04 spingono le agenzie federali — e per estensione l'ecosistema — a dare priorità alle vulnerabilità attivamente sfruttate (KEV) (CISA Adds One Known Exploited Vulnerability to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog), la superficie d'attacco si allarga proprio dove i controlli tradizionali non arrivano.

Cyber Deception: Assumere la Violazione per Rilevare l'Invisibile

La guida CISA sulle cyber decoy segna un cambio di paradigma operativo. "Molte organizzazioni faticano a rilevare avversari che usano credenziali legittime, strumenti nativi e tecniche living off the land (LOTL) per condurre ricognizione, muoversi lateralmente e accedere ai dati", si legge nel documento (Using Cyber Decoys to Strengthen Detection and Response). L'assunto di partenza è allineato ai principi Zero Trust: assumere che un attore malevolo possa ottenere un certo livello di accesso all'ambiente e pianificare di conseguenza. Le decoy — asset che appaiono sistemi, account o dati legittimi ma sono progettati per distrarre, rilevare o raccogliere threat intelligence — diventano così un complemento operativo allo Zero Trust, non una sostituzione.

Il valore pratico sta nella capacità di generare alert ad alta fedeltà. Un'interazione con un honeytoken, un tripwire o un breadcrumb posizionato strategicamente è, per definizione, anomala: nessun utente legittimo dovrebbe accedervi. Questo riduce drasticamente la alert fatigue che affligge i SOC, permettendo ai difensori di concentrarsi su attività post-compromissione reali, incluse le tecniche LOTL che i tradizionali sistemi basati su firme o regole statiche faticano a intercettare. La guida CISA struttura l'implementazione usando i framework MITRE Engage™ e MITRE ATT&CK®, offrendo passi a bassa complessità per pianificare, implementare e raffinare le operazioni di decoy. Per un'azienda italiana che sta adottando architetture ibride e multi-cloud, integrare le decoy nei segmenti OT/IT di convergenza — ad esempio simulando un server OPC-UA legacy o un account di servizio fittizio in Active Directory — può rivelare movimenti laterali che altrimenti passerebbero inosservati per mesi.

Il Fronte Invisibile: Videosorveglianza e Building Automation Sotto Assedio

Mentre i team security si concentrano su endpoint e cloud, i dispositivi di sicurezza fisica stanno diventando vettori primari. L'advisory ICSA-26-258-01 su Digital Watchdog VMAX DVR e NVR descrive uno scenario da incubo: tutte le versioni di diverse linee di prodotto (VMAX A1 G4, VMAX IP G4, VMAX A1 PLUS, VA1G4 Recorder, VG4 Recorder) sono affette da sei CVE (CVE-2026-68953, CVE-2026-66890, CVE-2026-68070, CVE-2026-68950, CVE-2026-66887, CVE-2026-66372) con punteggio CVSS v3 fino a 9.6 (Digital Watchdog VMAX DVR and NVR Product Lineups). Le vulnerabilità includono bypass di autenticazione che esponogono credenziali amministrative in chiaro, credenziali hardcoded, mancanza di autorizzazione e PRNG prevedibili. Lo sfruttamento riuscito concede pieno controllo amministrativo: visione live e registrata, modifica configurazioni, uso come pivot di rete. I settori colpiti — Commercial Facilities, Government Services, Healthcare, Transportation — coprono l'ossatura delle infrastrutture italiane: ospedali, porti, aeroporti, ministeri, campus aziendali.

Pochi giorni prima, l'advisory ICSA-26-258-08 su CareCam CM2507 rivelava sette CVE (CVE-2026-88259, CVE-2026-84398, CVE-2026-84400, CVE-2026-81305, CVE-2026-85478, CVE-2026-85497, CVE-2026-81321) con CVSS 7.5-8.7, tra cui accesso allo streaming video senza autenticazione, password vuote accettate, hash deboli, credenziali in chiaro e inclusione di funzionalità da fonti non fidate (CareCam CM2507). Il dettaglio più allarmante: "CareCam non ha risposto ai tentativi di coordinamento di CISA". Questo pattern — vendor che ignorano la disclosure responsabile — lascia gli utenti senza patch ufficiali, costretti a mitigazioni di rete (segmentazione, firewall, disabilitazione servizi esposti) che richiedono competenze e visibilità spesso assenti. Per un'azienda italiana con sedi multiple, magari dotate di impianti videosorveglianza eterogenei installati nel tempo da fornitori diversi, mappare, versionare e mitigare questi dispositivi diventa un progetto di asset management prioritario, non un task operativo secondario.

OT Specialistico: Settore Marittimo e Relè di Protezione Elettrica

Due advisory illuminano nicchie OT ad alto rischio sistemico per l'Italia. Wärtsilä FOS-Onboard (ICSA-26-258-02), sistema di gestione e aggiornamento software per motori marini, presenta due CVE (CVE-2026-78225, CVE-2026-81855) con CVSS 9.0-9.5 CRITICAL, entrambe legate a chiavi crittografiche hardcoded nel componente deployer-ng Update Controller e nel robot testing framework (Wärtsilä FOS-Onboard). Lo sfruttamento permette la consegna di aggiornamenti non autorizzati, l'esecuzione di codice, estrazione credenziali per impersonare clienti privilegiati. Wärtsilä afferma che le vulnerabilità non sono sfruttabili se il prodotto è "installato come raccomandato" e ha sviluppato una patch, ma richiede di contattarli per ottenerla. Per la flotta mercantile italiana, i cantieri navali (Fincantieri e l'indotto), i porti e i servizi di classificazione (RINA), la gestione della supply chain software dei sistemi di bordo — aggiornamenti firmware/software consegnati via satellite o in porto — diventa un vettore di supply chain attack reale. La dipendenza da un singolo vendor per la patch, senza canali di distribuzione automatizzati e verificati (es. signed updates con root of trust hardware), è un rischio operativo che i CISO del settore marittimo devono portare all'attenzione dei comitati di rischio.

Nel settore energia, il Siemens Reyrolle 7SR5 (ICSA-26-258-05), relè di protezione per rete elettrica ad alta tensione, accumula 13 CVE (CVE-2024-42384/5/6, CVE-2024-42391/2, CVE-2026-62645/6/7/8/9/50/52/53/54) con CVSS fino a 9.8, che spaziano da integer overflow nel server web Cesanta Mongoose a authentication bypass, out-of-bounds write, download di codice senza integrity check (Siemens Reyrolle 7SR5). La mitigazione è l'aggiornamento a V2.70. In Italia, dove Terna, i distributori DSOs e i grandi autoproduttori industriali usano massicciamente relè Siemens per la protezione di linea, trasformatore e barra, la gestione del firmware di questi dispositivi — spesso in sottostazioni remote, con connettività limitata e finestre di manutenzione strette — richiede processi di change management OT rigorosi, test in laboratorio, piano di rollback e, idealmente, l'adozione di secure boot e firmware signing verification. La convergenza di protocolli IEC 61850 su IP espone questi relè a superfici d'attacco web che non erano previste nel loro ciclo di vita originale.

Identity Crisis nelle Piattaforme Low-Code/Industriali

Due advisory Siemens dello stesso giorno colpiscono il cuore della digital transformation industriale: Mendix SAML (ICSA-26-258-06) e Teamcenter (ICSA-26-258-07). Il modulo SAML di Mendix (piattaforma low-code per app industriali) nelle versioni per Mendix 9, 10, 11 presenta CVE-2026-80465 (CVSS 8.7): mancata validazione della firma SAML che permette a un attaccante non autenticato di dirottare account (session hijacking) in configurazioni SSO specifiche (Siemens Mendix SAML). Teamcenter (PLM, gestione ciclo vita prodotto) è affetto da CVE-2026-58113 (CVSS 6.1), un reflected XSS nel flusso di redirect di autenticazione (/auth/) che permette iniezione JavaScript nella sessione di utenti autenticati via URL malevolo (Siemens Teamcenter). Entrambi i vettori colpiscono l'identità federata e la sessione — il nuovo perimetro.

Per le grandi imprese italiane (automotive, aerospace, machinery, energy) che usano Mendix per sviluppare digital twin, app MES, portali fornitori, e Teamcenter per gestire BOM, change management, compliance, queste vulnerabilità significano che un singolo link di phishing mirato o una configurazione SAML errata possono compromettere l'intero grafo della conoscenza industriale. La mitigazione richiede aggiornamenti modulari (Mendix SAML 3.6.27+/4.2.3+) e versioni Teamcenter patchate (V2412.0013+, V2506.0010+, V2512.2607+, V2606.2607+), ma soprattutto una governance dell'identità che includa: validazione rigorosa metadata SAML/IdP, token binding, conditional access per applicazioni critiche, e monitoraggio anomalie su endpoint low-code spesso trascurati dagli EDR.

La Dimensione Sistemica per l'Ecosistema Italiano

Il quadro che emerge non è una lista di patch da applicare, ma una mappa di superfici d'attacco sistemiche che le organizzazioni italiane — per struttura industriale, dipendenza da vendor esteri, ritardo nell'inventario OT/IIoT — faticano a governare. La direttiva NIS2, il D.Lgs. 65/2018 aggiornato, e le linee guida ACN spingono verso una gestione del rischio basata su asset e supply chain. Gli advisory CISA di questi giorni forniscono evidence concreta per dare priorità a:

1. Inventariare e segmentare ogni dispositivo con IP: DVR/NVR, telecamere IP, relè di protezione, gateway marittimi, controller SCADA (mySCADA myPRO Manager ICSA-26-258-03 con CVSS 9.8 per missing auth/authorization (mySCADA myPRO Manager), Schneider Electric SCADAPack x70 ICSA-26-258-04 con credenziali insufficientemente protette (Schneider Electric SCADAPack x70 Products)).
2. **Valutare la *vendor responsiveness***: CareCam non risponde, Digital Watchdog ha tutte le versioni affette, Wärtsilä richiede contatto manuale per la patch. Questo dato deve entrare nel vendor risk management e nei criteri di acquisto/rinnovo.
3. Implementare decoy mirate nei segmenti OT/building management: un honeytoken su un'API SCADA fittizia, un account servizio decoy in AD con permessi apparenti su historian, un tripwire su porte di management non usate dei relè.
4. Estendere l'Identity Governance alle piattaforme low-code/PLM: revisione configurazioni SSO/SAML, token binding, conditional access, logging centralizzato degli eventi auth.
5. Integrare il KEV CISA (che ora include CVE-2026-58704 Google Pixel, CVE-2026-76460 Cisco ISE, CVE-2026-87886 Acronis Backup (CISA Adds One Known Exploited Vulnerability to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)) nel vulnerability management risk-based, ma non fermarsi al KEV: le vulnerabilità OT/IIoT sopra descritte non sono (ancora) nel KEV ma hanno CVSS critici ed esploitabilità remota.

La cybersecurity 2026 richiede di guardare dentro la rete (decoy, Zero Trust, identity) e fuori dai confini IT tradizionali (telecamere, relè, navi, low-code). Le imprese italiane che sapranno unificare queste due prospettive — difesa attiva e igiene dell'OT invisibile — trasformeranno la compliance normativa in resilienza competitiva.