Cybersecurity OT nel manifatturiero automotive: linee robotizzate e supply chain sotto attacco

Il settore automotive nell'occhio del ciclone OT

Il manifatturiero automotive è tra i settori più colpiti dagli attacchi informatici alle reti OT. Non è una questione di fortuna: è strutturale. Le linee di produzione automotive sono tra le più automatizzate dell'industria manifatturiera, integrate con sistemi IT, dipendenti da fornitori con accesso remoto e basate su protocolli eterogenei, molti dei quali nati prima che la sicurezza informatica fosse una priorità.

Gli episodi documentati sono numerosi. Nel 2017 WannaCry colpì Renault e Nissan, fermando linee di produzione in Francia, Slovenia e Romania. Nel 2019 un attacco ransomware costrinse Toyota a fermare 14 impianti in Giappone. Nel 2020 Honda subì un attacco SNAKE/EKANS, malware progettato specificamente per terminare processi ICS, con impatto su stabilimenti in Europa, America del Nord e Giappone. Questi non sono incidenti isolati: sono il segnale di una vulnerabilità strutturale.

Per i Tier 1 e Tier 2 della filiera italiana, decine di aziende che producono componentistica per i grandi OEM, il rischio è altrettanto reale, con risorse di sicurezza spesso inferiori e pressioni di uptime ancora più stringenti.

Protocolli proprietari e robot industriali: la superficie invisibile

Le linee di assemblaggio automotive moderne sono dominate dai grandi brand di robotica: Fanuc, KUKA, ABB, Yaskawa. Ogni produttore utilizza protocolli proprietari per la comunicazione con i propri robot (FANUC FOCAS, KUKA KRL, ABB RAPID), oltre agli standard aperti come OPC-UA ed EtherNet/IP per l'integrazione di sistema.

Il problema è che questi protocolli sono raramente monitorati. Le soluzioni di sicurezza generiche non sanno decodificarli. Un cambio di parametro nel programma di saldatura di un robot KUKA non genera nessun alert nella maggior parte delle architetture di sicurezza tradizionali. Un attaccante che modifica la logica di un robot di assemblaggio, variando tolleranze, sequenze di movimentazione o parametri di processo, può causare danni fisici ai prodotti o alle persone senza che nessun sistema di sicurezza IT se ne accorga.

La situazione è aggravata dal fatto che molte interfacce di gestione dei robot industriali espongono interfacce web o servizi di rete non protetti. Ricerche di sicurezza pubblicate negli ultimi anni hanno documentato vulnerabilità nelle interfacce di amministrazione di robot industriali di tutti i principali produttori: credenziali di default, servizi Telnet aperti, web server senza autenticazione. Questi vettori di attacco esistono da anni e, in molti stabilimenti, non sono stati ancora chiusi.

L'integrazione MES/ERP come punto di rottura della separazione IT/OT

Il modello di riferimento per la sicurezza industriale, la Purdue Model con la sua separazione netta tra reti IT e reti OT, non sopravvive all'integrazione produttiva moderna. Le linee automotive sono progettate per essere integrate: il MES (Manufacturing Execution System) dialoga con i PLC per raccogliere dati di produzione in tempo reale; l'ERP si connette al MES per aggiornare ordini di produzione, distinte base, piani di scheduling.

Ogni connessione IT-OT è un potenziale percorso laterale per un attaccante. Un ransomware che colpisce il dominio Windows aziendale può attraversare il confine IT/OT attraverso il server MES. Un attacco di tipo supply chain che compromette il software ERP può raggiungere i PLC attraverso le stesse connessioni usate per la gestione della produzione.

Nella pratica, questi percorsi non sono teorici: EKANS/SNAKE, il malware che ha colpito Honda, aveva una lista esplicita di processi ICS da terminare, il che presuppone una conoscenza dell'architettura target acquisita attraverso una fase di ricognizione che ha attraversato la rete IT verso la rete OT.

La contromisura non è eliminare l'integrazione, impossibile nell'automotive moderno, ma renderla controllata: firewall applicativi che filtrino il traffico MES-PLC a livello di contenuto, non solo di porte; segmentazione che limiti quali sistemi IT possono raggiungere quali sistemi OT; visibilità sul traffico che attraversa il confine.

Accesso remoto vendor: il vettore più difficile da controllare

Ogni grande OEM impone ai propri fornitori di linee di produzione la disponibilità di accesso remoto per la manutenzione. FANUC deve poter aggiornare il firmware dei propri robot. I system integrator devono poter diagnosticare problemi sulla linea. I vendor di SCADA devono poter intervenire da remoto in caso di guasti.

Questo accesso è necessario e difficilmente eliminabile. Il problema è come viene implementato: spesso con soluzioni VPN generiche o, peggio, con connessioni TeamViewer o RDP esposte direttamente a internet, senza MFA, senza logging degli accessi, senza segmentazione che limiti a quali sistemi il vendor può arrivare.

La catena di rischio è concreta: una compromissione del sistema del vendor (che può avere una postura di sicurezza ancora peggiore del cliente) diventa automaticamente una compromissione dell'accesso alla linea di produzione. Il caso SolarWinds ha dimostrato come i vendor di software possano diventare vettori di attacco verso i propri clienti; nella supply chain automotive lo stesso principio si applica ai vendor di automazione industriale.

La gestione sicura dell'accesso remoto vendor richiede: una soluzione dedicata (non VPN generiche) con autenticazione forte, sessioni registrate, durata limitata degli accessi, visibilità su cosa il vendor fa durante la sessione, e segmentazione che limiti l'accesso ai soli sistemi per cui il vendor ha autorizzazione documentata.

Visibilità come prerequisito: inventario e monitoraggio nelle reti automotive

Prima di qualsiasi misura di sicurezza attiva, le organizzazioni automotive devono rispondere a una domanda fondamentale: cosa c'è nella rete OT? In molti stabilimenti la risposta è "non lo sappiamo con certezza". L'inventario degli asset OT è spesso incompleto, non aggiornato, basato su documentazione manuale che non riflette l'evoluzione delle linee nel tempo.

Il monitoraggio passivo del traffico OT permette di costruire questo inventario in modo non invasivo: ascoltare il traffico di rete, identificare i dispositivi dai pattern di comunicazione, catalogare versioni firmware, mappare le relazioni di comunicazione tra sistemi. Questo processo, se fatto su reti automotive complesse, rivela tipicamente asset dimenticati, connessioni non documentate, protocolli attivi che non dovrebbero esserlo.

Solo con un inventario accurato è possibile prioritizzare: quali sistemi hanno vulnerabilità note? Quali robot stanno girando con firmware datato? Quali PLC comunicano con destinazioni non previste? La visibilità non risolve i problemi, ma rende possibile risolverli nell'ordine giusto.

Il Tier 2 non può permettersi di ignorare il problema

I grandi OEM hanno risorse per costruire programmi di sicurezza OT strutturati. I Tier 1 di grandi dimensioni stanno cominciando a farlo. Ma il tessuto manifatturiero automotive italiano è fatto in larga parte di aziende Tier 2 e Tier 3: fornitori di componentistica con decine o centinaia di dipendenti, una o due linee di produzione, zero o una figura IT e nessuna competenza OT specifica.

Per queste aziende il rischio è doppio: sono direttamente esposte agli stessi vettori di attacco (robot con vulnerabilità non patchate, accesso remoto non gestito, integrazione MES senza controlli), e sono un vettore di accesso verso i Tier 1 a cui sono collegate. Un attaccante che non riesce ad entrare direttamente in un grande fornitore automotive può scegliere di comprometterne un Tier 2 e muoversi lateralmente attraverso le connessioni di filiera.

La NIS2 e i requisiti di sicurezza che i grandi player iniziano a imporre contrattualmente ai propri fornitori stanno rendendo la sicurezza OT un requisito di business, non solo un buon proposito. Per le PMI della filiera automotive, costruire visibilità e controllo sulla propria rete OT non è più opzionale.

---

La complessità del problema non deve portare alla paralisi. Le priorità sono chiare: costruire un inventario accurato degli asset OT, ottenere visibilità sul traffico di rete industriale, gestire in modo controllato l'accesso remoto dei vendor, e segmentare le connessioni IT/OT. Sono passi concreti, realizzabili anche con risorse limitate, che riducono significativamente la superficie di attacco di una linea automotive.

L'angolo MON5

L'articolo lo dice chiaramente: in molti stabilimenti automotive la risposta a "cosa c'è nella rete OT" è "non lo sappiamo con certezza". MON5 parte esattamente da lì: discovery passiva del traffico industriale su protocolli OT nativi come PROFINET, EtherNet/IP e OPC UA, per costruire un inventario continuo di PLC, robot e connessioni effettive tra MES e linea, senza fermare la produzione.

Sulla stessa base, la correlazione tra CVE, score EPSS ed esposizione reale indica quali vulnerabilità delle linee meritano priorità, mentre il monitoraggio NDR rileva i movimenti laterali dall'IT verso l'OT prima che diventino un fermo linea. Anche per un Tier 2 con risorse limitate, cominciare da un assessment OT è un passo sostenibile.