Venerdì 5 febbraio, verso l’una e mezza del pomeriggio, un operatore dell’impianto di trattamento delle acque di Oldsmar, in Florida, ha visto il puntatore del mouse muoversi da solo sullo schermo. Per alcuni minuti qualcuno ha aperto una funzione dopo l’altra, fino al pannello che regola il dosaggio dell’idrossido di sodio, la soda caustica usata in piccole quantità per correggere l’acidità dell’acqua. Il valore è passato da 100 a 11.100 parti per milione. In città vivono circa 15.000 persone.
L’operatore ha riportato subito il valore alla normalità, prima che la sostanza raggiungesse la rete idrica. Anche senza il suo intervento, ha spiegato lo sceriffo della contea, altri controlli avrebbero probabilmente segnalato l’anomalia prima che l’acqua arrivasse nelle case. Nessuno è stato danneggiato e indagano FBI e Secret Service. Quella stessa mattina, alle 8, era già stato registrato un breve accesso remoto.
La porta d’ingresso è stata TeamViewer, il software di controllo remoto installato sui computer del personale. Secondo le ricostruzioni diffuse dalle autorità, quei computer condividevano un’unica password per l’accesso remoto, erano collegati a Internet senza un firewall, usavano Windows 7 ormai fuori supporto ed erano connessi anche al sistema SCADA che governa l’impianto. Nessuna vulnerabilità sofisticata: è bastata la password giusta. Chi abbia agito, e perché, ancora non si sa.
Comodo per chi fa manutenzione, comodo per chiunque
Lo schema è comune in acquedotti, aziende manifatturiere e impianti industriali, dove la manutenzione da remoto fa risparmiare trasferte e la sicurezza informatica resta in secondo piano. È anche il modo in cui molti ransomware entrano negli uffici: un programma di accesso remoto installato anni fa da un tecnico, con una password che conoscono in troppi.
Comincia da un inventario dei software di accesso remoto, come TeamViewer, AnyDesk e VNC, e disinstalla quelli che non servono più. Per quelli necessari servono account personali, password robuste e autenticazione a più fattori, mai credenziali condivise. La rete di controllo industriale va separata da quella degli uffici e da Internet, con un unico punto d’accesso controllato, e i sistemi operativi fuori supporto vanno aggiornati o isolati. Sulle modifiche ai parametri critici conviene un allarme automatico: a Oldsmar ha funzionato un operatore attento, ma non sempre qualcuno guarda lo schermo nel momento giusto.
