Cybersecurity OT nel food & beverage: tracciabilità, HACCP digitale e linee di produzione sotto attacco

Un settore OT-intensivo e sotto-protetto

Il food & beverage è il terzo settore manifatturiero italiano per valore aggiunto, con migliaia di aziende, dalla piccola cooperativa casearia alla multinazionale delle bevande, che operano linee di produzione altamente automatizzate. Pastorizzatori, linee di dosaggio e confezionamento, sistemi di pesatura, celle frigorifere, impianti di lavaggio CIP (Clean-in-Place): tutti controllati da PLC e SCADA, sempre più connessi in rete per supportare i requisiti di tracciabilità e qualità.

La connettività è cresciuta rapidamente negli ultimi anni, spinta da due forze: la necessità di tracciabilità end-to-end imposta dalle normative alimentari europee, e la digitalizzazione dei sistemi HACCP che porta i dati di controllo processo direttamente nei sistemi IT di qualità. Il risultato è una superficie OT ampia, eterogenea, con connessioni IT/OT spesso non progettate con la sicurezza in mente.

Il caso più noto di attacco al food & beverage è quello di JBS Foods nel 2021: il più grande produttore mondiale di carne subì un attacco ransomware che fermò gli stabilimenti in Australia, Nord America e altri paesi, causando una perdita di diversi giorni di produzione e un pagamento di riscatto di undici milioni di dollari. Ma l'impatto non fu solo economico: il fermo degli stabilimenti JBS creò temporanee carenze di forniture sul mercato della carne nordamericano, dimostrando come gli attacchi OT al food & beverage abbiano effetti che vanno oltre l'azienda colpita.

HACCP digitale: quando la sicurezza alimentare incontra l'IT

L'HACCP (Hazard Analysis and Critical Control Points) è il sistema obbligatorio per la gestione della sicurezza alimentare negli stabilimenti produttivi. Tradizionalmente implementato con registrazioni manuali e cartacee, negli ultimi anni è stato progressivamente digitalizzato: i sensori di temperatura ai punti critici di controllo (CCP) inviano dati in tempo reale ai sistemi di gestione qualità; gli allarmi di processo vengono registrati automaticamente; i certificati di conformità vengono generati dai dati di produzione.

Questa digitalizzazione ha migliorato l'affidabilità e la tracciabilità, ma ha creato una nuova superficie di attacco. I sistemi HACCP digitali sono tipicamente applicazioni web o client-server che girano su server IT, ma devono raccogliere dati dai sensori OT in tempo reale. Questa integrazione crea connessioni tra la rete IT aziendale e la rete OT di produzione, connessioni che, se non gestite correttamente, diventano percorsi di attraversamento per gli attaccanti.

La manipolazione dei dati HACCP è un vettore di attacco specifico del settore: un attaccante che riuscisse a modificare le letture di temperatura registrate, facendole apparire conformi quando non lo sono, potrebbe causare la distribuzione di prodotti che non soddisfano i requisiti di sicurezza alimentare, con conseguenze gravi per la salute pubblica e per la reputazione dell'azienda. Non è necessario compromettere l'intera linea di produzione: è sufficiente alterare la catena di registrazione dei dati.

Tracciabilità come vettore di accesso

La tracciabilità di filiera è un requisito regolatorio crescente nel food & beverage europeo. Il Regolamento UE 178/2002 stabilisce l'obbligo di tracciabilità "un passo avanti, un passo indietro" per tutti gli operatori alimentari. Normative più recenti, come il Digital Product Passport previsto dal Green Deal, stanno spingendo verso una tracciabilità ancora più granulare.

Nella pratica, implementare la tracciabilità richiede connessioni tra sistemi: il codice lotto dell'ingrediente deve essere associato al lotto di prodotto finito, che richiede integrazione tra il sistema di gestione delle materie prime (spesso nell'ERP) e i sistemi di produzione (MES, SCADA). Questa catena di integrazione crea percorsi che un attaccante può sfruttare.

Un pattern documentato: gli attaccanti entrano attraverso un sistema di tracciabilità di un fornitore della supply chain, che ha accesso integrato ai sistemi del cliente per lo scambio di dati sui lotti, e da lì si muovono lateralmente verso i sistemi di produzione. La supply chain alimentare è lunga e ramificata, e ogni punto di integrazione è un potenziale vettore di accesso.

La gestione sicura della tracciabilità richiede che le interfacce di integrazione siano trattate come superfici di attacco: autenticazione forte, traffico limitato a quello necessario, monitoraggio delle anomalie nelle query e nei trasferimenti di dati, separazione tra i dati di tracciabilità (che possono essere esposti esternamente) e i sistemi di controllo di produzione (che non dovrebbero esserlo).

Linee di dosaggio e sistemi di pesatura: la manipolazione dei parametri di processo

Le linee di dosaggio e i sistemi di pesatura sono tra i componenti OT più critici nel food & beverage: determinano la composizione del prodotto, il rispetto delle ricette, la conformità alle dichiarazioni nutrizionali. Un errore di dosaggio, involontario o deliberato, può avere conseguenze che vanno dalla non conformità del prodotto a rischi per i consumatori allergici a determinati ingredienti.

Dal punto di vista della sicurezza OT, le linee di dosaggio presentano caratteristiche specifiche:

Precisione come indicatore di compromissione. I sistemi di dosaggio operano con tolleranze strette: deviazioni dal set point oltre certe soglie attivano allarmi. Un attaccante che voglia manipolare il processo deve farlo in modo da restare dentro le finestre di tolleranza o da disabilitare gli allarmi prima di modificare i parametri. Entrambi i comportamenti sono rilevabili con monitoraggio adeguato.

Ricette come configurazione critica. Le ricette di produzione, i parametri che definiscono quantità, sequenze, temperature, tempi per ogni prodotto, sono configurazioni critiche che dovrebbero essere protette con controlli di accesso robusti e versionamento. Modifiche non autorizzate alle ricette sono una forma di attacco specifica al settore.

Integrazione con la pesatura automatica. I sistemi di pesatura automatica (check weigher) sono spesso collegati in rete per il controllo statistico di processo (SPC). Se questi dati vengono manipolati, il sistema SPC non rileva le derive di processo, perdendo la sua funzione di early warning.

Celle frigorifere e cold chain: infrastruttura critica spesso dimenticata

Le celle frigorifere e i sistemi di refrigerazione industriale sono parte integrante della produzione food & beverage, ma vengono spesso trattati come infrastruttura separata dalla linea di produzione. Dal punto di vista della sicurezza OT, sono invece a pieno titolo parte della superficie di attacco.

I sistemi di controllo della refrigerazione (compressori, valvole di espansione, sistemi di monitoraggio temperatura) sono tipicamente basati su PLC o sistemi proprietari che comunicano su protocolli standard come Modbus o BACnet. Molti sono connessi a internet per il monitoraggio remoto da parte del service provider, spesso attraverso connessioni non gestite e non monitorate dall'azienda.

Un attacco alle celle frigorifere può avere impatti immediati sulla sicurezza alimentare: alzare la temperatura di una cella di prodotti refrigerati anche per poche ore può portare alla proliferazione batterica in prodotti che vengono poi distribuiti ai consumatori. La storia della sicurezza alimentare ha esempi di gravi crisi sanitarie causate da anomalie nella cold chain; un attacco deliberato ai sistemi di controllo della refrigerazione è uno scenario che le aziende del settore devono considerare.

Audit dei vendor di linee automatizzate

Le linee di produzione food & beverage sono tipicamente fornite da system integrator specializzati: aziende che progettano, installano e spesso mantengono le linee per anni. Questo rapporto di lungo termine implica che il vendor abbia accesso continuo ai sistemi di controllo (per manutenzione, aggiornamenti, troubleshooting) e che la sicurezza del vendor diventi parte della sicurezza dell'azienda.

Pochi produttori food & beverage conducono audit di sicurezza sistematici sui propri vendor di automazione. Le domande che dovrebbero essere parte del processo di qualificazione e di gestione continuativa del vendor includono: come viene gestito l'accesso remoto ai sistemi installati? Chi ha le credenziali di accesso ai PLC della linea? Come vengono gestiti gli aggiornamenti di firmware e software? Esiste un processo di risposta agli incidenti che include la notifica al cliente?

La risposta a queste domande rivela spesso pratiche che non sarebbero accettabili in altri contesti: credenziali condivise tra tutti i tecnici del vendor, accesso VPN permanente senza MFA, aggiornamenti applicati senza notifica preventiva al cliente. Rendere queste pratiche visibili è il primo passo per cambiarle attraverso i contratti e i requisiti tecnici.

---

Il food & beverage italiano ha davanti una sfida di sicurezza OT concreta e urgente. La buona notizia è che il punto di partenza, visibilità su cosa c'è nella rete e come comunica, è accessibile anche per aziende di medie dimensioni. Costruire quella visibilità, prima di qualsiasi altra misura, è l'investimento con il rapporto rischio/beneficio più alto che un produttore alimentare possa fare oggi.

L'angolo MON5

La manipolazione silenziosa dei parametri di dosaggio o delle letture HACCP, descritta in questo articolo, è il tipo di attacco che i controlli IT tradizionali non vedono. MON5 lavora dove serve: monitoraggio passivo del traffico OT, anche su protocolli come Modbus usati da pastorizzatori e sistemi di refrigerazione, con anomaly detection che apprende la baseline di processo e segnala scostamenti, da un set point modificato fuori finestra a un accesso anomalo a un PLC di linea.

L'inventario continuo copre anche gli asset dimenticati della catena del freddo, spesso connessi a internet dal service provider all'insaputa dell'azienda. Per un produttore alimentare la prima fotografia arriva da un assessment OT, senza fermare le linee.