A ottobre, in Russia, alcuni proprietari di una Li Auto hanno provato ad aprire la macchina e si sono trovati davanti a un veicolo che non rispondeva più. Il pannello di controllo era spento, il climatizzatore non partiva, in alcuni casi il motore non si avviava. Non era un guasto. Qualcuno aveva preso il controllo dell'account master, la chiave digitale che governa porte, avviamento e climatizzazione, e chiedeva un riscatto per restituirlo.
Almeno venti persone hanno denunciato lo stesso copione; il numero reale potrebbe essere più alto. Un proprietario di una L7 ha raccontato che, dopo un riavvio, l'auto gli ha chiesto una nuova attivazione tramite codice QR: il veicolo era scomparso dalla sua app. Un altro non è riuscito a usare la chiave Bluetooth e ha avviato l'auto con quella fisica; dieci minuti dopo è arrivata la richiesta di riscatto.
Non è la prima volta che un'auto connessa finisce nel mirino. È la prima volta che il modello di attacco assomiglia così tanto a un sequestro: non vengono rubati dati, viene bloccato l'uso di un oggetto fisico. E la vittima non è un server in una stanza chiusa: è una persona davanti al proprio garage.
Come si prende un'auto senza toccarla
Il punto di ingresso non è il motore. È l'account. Nelle auto connesse l'utente registrato può aprire le portiere, accendere il motore, impostare la temperatura, controllare la carica e vedere la posizione del veicolo. È comodo, soprattutto per chi ha una flotta o un'auto condivisa. Ed è anche una chiave che vive in un database, non in tasca.
Nel caso russo il metodo esatto non è stato confermato. Le ipotesi sono quelle di sempre: password indovinate o riciclate, credenziali rubate, condivisione dei codici di accesso con officine o installatori di terze parti. Alcuni proprietari consegnano login e password a società che installano app, modificano il firmware o configurano i sistemi dell'auto. Da quel momento l'account non è più solo loro.
Una volta dentro, l'attaccante cambia i dati del proprietario, scollega il veicolo dall'app e aspetta. Il riscatto non arriva con un malware che cifra i file: arriva con un'auto che non si apre. È un ricatto più semplice da capire e, per certi versi, più efficace. Non serve spiegare cos'è la crittografia a un proprietario spaventato.
Perché l'auto è un terminale come gli altri
Una macchina moderna è un insieme di computer su ruote. Ha centraline, modem, aggiornamenti da remoto, servizi cloud, app, sensori e una connettività permanente. Ogni funzione aggiunta è una comodità e una superficie in più. Il problema non è la tecnologia in sé: è che l'auto dipende da servizi esterni per funzionare come l'utente si aspetta.
Se il servizio di autenticazione cade, la chiave digitale non funziona. Se l'account viene compromesso, il veicolo può essere bloccato da chi non lo possiede. Se il fornitore di telecontrollo ha una falla, il problema non resta nel fornitore: arriva al cliente. È lo stesso meccanismo che abbiamo descritto parlando di sicurezza IoT e OT: un impianto connesso è comodo, ma va progettato anche per resistere a un comando sbagliato.
Per un'azienda la domanda non riguarda solo le auto private. Riguarda furgoni, flotte commerciali, mezzi con telecontrollo, veicoli a noleggio, colonnine di ricarica e magazzini. Un mezzo fermo è un servizio che si interrompe; un'intera flotta ferma è un problema di continuità operativa. Il riscatto, in questi casi, non si paga solo in denaro: si paga in consegne mancate, turni persi e clienti arrabbiati.
Il ransomware cambia bersaglio
Negli ultimi due anni il ransomware si è spostato dai dati alle operazioni. Prima il bersaglio era il file server, poi il gestionale, poi il fornitore di servizi. Oggi l'obiettivo è tutto ciò che, se smette di funzionare, mette l'azienda in ginocchio: la produzione, la logistica, la catena del freddo, il magazzino. L'auto connessa è l'ultimo anello di questa catena, e forse il più visibile.
I numeri del settore auto raccontano la stessa direzione: gli incidenti ransomware nel comparto sono più che raddoppiati in un anno e rappresentano ormai una quota rilevante degli episodi registrati. Non serve memorizzare la cifra esatta. Serve capire il cambio di prospettiva: non si attacca più solo l'azienda che produce l'auto, si attacca il rapporto tra l'auto e chi la usa.
Per una PMI questo significa tre cose. La prima: i fornitori di telematica e di flotte sono fornitori critici, non servizi accessori. La seconda: le credenziali degli account collegati ai veicoli vanno trattate come credenziali amministrative. La terza: un piano di continuità che non prevede "l'auto non parte" è un piano incompleto.
Sette misure, dal più semplice al più strutturale
- Metti l'autenticazione a più fattori sull'account del veicolo. Se l'app lo consente, attivala. Se non lo consente, chiedi al produttore una data. Una password da sola non basta per una chiave che apre una porta fisica.
- Usa password uniche e un gestore aziendale. Le credenziali dei veicoli finiscono spesso in note del telefono o in chat. Trattale come quelle della posta: uniche, lunghe, revocabili.
- Non condividere i codici di conferma. Nessun installatore, officina o "tecnico" deve chiederti il codice che arriva sul telefono. Se lo chiede, fermati.
- Rivedi gli accessi di terze parti. Ogni officina, service o fornitore di telemetria che ha accesso all'account è una porta. Tieni un elenco, limita i permessi, revoca ciò che non serve.
- Chiedi al fornitore come gestisce gli account master. Verifica se esistono procedure di recupero, tempi di ripristino, notifica dell'incidente e un canale diretto per le flotte. La sicurezza della supply chain vale anche per il veicolo.
- Prevedi un funzionamento minimo offline. Chiave fisica, procedura di emergenza, istruzioni per il personale, contatti del fornitore e un piano per isolare il mezzo. La continuità non si improvvisa quando il cruscotto è nero.
- Allenati. Una simulazione di crisi con chi gestisce la flotta, l'IT e il fornitore vale più di un documento. Se l'auto non parte, chi chiama chi? Chi decide se pagare? Chi parla con i clienti? La risposta alle prime 24 ore vale anche qui.
Cosa fare se succede
Non pagare subito. Il pagamento non garantisce il ripristino e finanzia il prossimo attacco. Documenta tutto: foto del cruscotto, messaggi, orari, account coinvolti, targhe e numeri di telaio. Contatta il produttore o il fornitore di telemetria attraverso il canale ufficiale, non attraverso il numero indicato dal riscattatore. Apri una segnalazione alle autorità e, se ci sono dati personali o clienti coinvolti, valuta gli obblighi di notifica.
Nel frattempo, isola il veicolo o la flotta coinvolta, revoca le sessioni attive, cambia le password degli account collegati e verifica se lo stesso accesso è stato usato su altri servizi. Un account compromise raramente è un caso isolato.
La lezione per chi gestisce un'azienda
L'auto connessa è un terminale con quattro ruote. Ha le stesse debolezze di un notebook: password, account, aggiornamenti, fornitori, permessi. Ha però una differenza che rende il rischio più concreto: quando si blocca, non si può semplicemente lavorare da un altro dispositivo. Si ferma una persona, un corriere, un servizio.
La buona notizia è che le contromisure sono le stesse che valgono per il resto dell'azienda: identità solide, privilegi minimi, fornitori verificati, monitoraggio, piano di risposta e formazione. La cattiva notizia è che nessuna di queste misure è utile se viene applicata solo all'ufficio e non al veicolo.
Se gestisci una flotta o un'azienda con mezzi connessi, il punto di partenza è un inventario: quali veicoli, quali app, quali account, quali fornitori, quali accessi. Da lì si decide cosa proteggere per primo. B2B Driven affronta questo tipo di rischio con le PMI, partendo da ciò che è connesso davvero e non da ciò che il contratto dice.