Cybersecurity OT nella logistica e nei magazzini automatizzati: sistemi eterogenei e alta rotazione

L'automazione logistica come nuovo fronte OT

La logistica è cambiata radicalmente nell'ultimo decennio. I magazzini moderni non sono più spazi passivi di stoccaggio: sono sistemi cyber-fisici complessi dove decine di tecnologie diverse (sistemi di stoccaggio e recupero automatizzato AS/RS, sorter, convogliatori, veicoli a guida autonoma AGV, sistemi di picking robotizzato) cooperano in tempo reale per movimentare migliaia di referenze al giorno.

Questa automazione ha reso la logistica più efficiente, ma ha anche creato una superficie OT che poche organizzazioni sanno di avere e ancora meno sanno come proteggere. Un magazzino automatizzato di medie dimensioni può avere decine di PLC di vendor diversi, centinaia di sensori, protocolli misti che spaziano da Modbus a OPC-UA fino a protocolli proprietari del vendor del sistema AS/RS: tutto connesso in rete, tutto dipendente dal funzionamento continuo.

Il rischio non è teorico. Nel 2021 un attacco informatico alla rete IT di una grande azienda di trasporti internazionale si propagò ai sistemi di gestione del magazzino, bloccando le operazioni di smistamento per diversi giorni. Le ripercussioni sulla supply chain dei clienti dell'operatore logistico si sentirono per settimane. Il magazzino automatizzato è diventato un nodo critico della catena del valore: fermarlo ha effetti a cascata immediati.

Architettura OT del magazzino: complessità eterogenea

L'architettura OT di un magazzino automatizzato moderno è strutturalmente più complessa di quella di uno stabilimento manifatturiero con una linea di produzione. Il motivo è la varietà: un impianto manifatturiero spesso usa un numero limitato di vendor per i propri sistemi di controllo; un magazzino integra sistemi di fornitori diversi che sono stati selezionati indipendentemente nel corso del tempo.

Il WMS come hub di integrazione. Il Warehouse Management System è il cervello del magazzino: gestisce le locazioni di stoccaggio, orchestra i movimenti, coordina i sistemi automatizzati. Il WMS è tipicamente un'applicazione IT (server Windows o Linux, database relazionale, interfaccia web o client thick) che dialoga direttamente con i sistemi OT (PLC dei convogliatori, sistemi di controllo AS/RS, software di gestione degli AGV) attraverso interfacce di integrazione. Questa posizione di hub lo rende un vettore di attacco privilegiato: comprometterlo significa avere accesso alle interfacce verso tutti i sistemi automatizzati.

PLC eterogenei. I sorter possono essere di un vendor, i convogliatori di un altro, il sistema AS/RS di un terzo, gli AGV di un quarto. Ogni vendor usa i propri PLC (Siemens, Allen-Bradley, Beckhoff, Mitsubishi) e i propri protocolli di comunicazione. La gestione di questi sistemi richiede strumenti e competenze diverse per ogni vendor; il monitoraggio di sicurezza deve capire protocolli che nessun singolo prodotto supporta completamente.

Protocolli misti. Un magazzino tipico usa Modbus per sensori e attuatori semplici, OPC-UA per l'integrazione con il WMS, protocolli proprietari del vendor per le comunicazioni interne agli AS/RS, e comunicazione Wi-Fi per gli AGV. Ogni protocollo ha le proprie caratteristiche di sicurezza (OPC-UA supporta autenticazione e cifratura, Modbus non prevede nessun meccanismo di autenticazione) e le proprie vulnerabilità specifiche.

Alta rotazione del personale: il rischio umano nella logistica

Il settore logistico ha storicamente uno dei tassi di rotazione del personale più elevati del manifatturiero. Nei magazzini automatizzati questo si traduce in un problema di sicurezza specifico: un numero elevato di persone con accesso, anche parziale, ai sistemi di controllo cambia con frequenza, e i processi di gestione degli accessi (creazione, modifica, revoca delle credenziali) raramente tengono il passo.

Credential non revocate di ex dipendenti sono uno dei vettori di accesso più semplici e spesso trascurati. Un tecnico che lascia l'azienda ma mantiene le proprie credenziali VPN o l'accesso al WMS è una vulnerabilità concreta. In un settore con alta rotazione e processi HR sotto pressione, questo scenario è più comune della norma.

Il problema non riguarda solo il personale diretto. I magazzini automatizzati si appoggiano frequentemente a lavoratori temporanei, interinali e operatori di terze parti per picchi stagionali o per specifiche fasi operative. Questi lavoratori ricevono accessi ai sistemi (anche solo ai terminali di picking o ai pannelli HMI dei convogliatori) che raramente vengono gestiti con la stessa attenzione riservata al personale strutturato.

La risposta tecnica a questo problema è duplice: processi rigorosi di gestione del ciclo di vita degli accessi (on-boarding e off-boarding sistematici, anche per i temporanei), e monitoraggio che rilevi l'uso di credenziali in modo anomalo: orari insoliti, accessi a sistemi che l'utente non usa normalmente, accessi da posizioni geografiche inaspettate.

Manutenzione vendor: accessi frequenti e poco tracciati

I sistemi di automazione logistica richiedono manutenzione regolare: aggiornamenti firmware dei PLC, calibrazione dei sensori, ottimizzazione degli algoritmi di routing degli AGV, interventi correttivi su guasti. Questa manutenzione è spesso svolta dai vendor dei singoli sistemi, che hanno accesso remoto, o accesso fisico in loco, ai propri componenti.

Il pattern di accesso dei vendor di automazione logistica è diverso da quello dei vendor in altri settori: è frequente (manutenzioni periodiche, piccoli interventi, aggiornamenti), coinvolge più vendor diversi per lo stesso impianto, e avviene spesso in modo non schedulato (interventi su guasto con preavviso minimo). Questo rende difficile applicare i controlli di accesso che sarebbe possibile applicare in un contesto di manutenzione pianificata.

Nella pratica, molti magazzini gestiscono l'accesso vendor con soluzioni VPN generiche, credenziali condivise tra i tecnici del vendor (spesso lo stesso account usato da anni), e nessun logging sistematico di cosa viene fatto durante ogni sessione. Sapere che "il vendor X è entrato martedì" non è sufficiente: serve sapere a quali sistemi ha avuto accesso, quali configurazioni ha modificato, quali comandi ha eseguito.

Una soluzione pragmatica: implementare una soluzione di Privileged Access Management (PAM) specifica per gli accessi OT vendor, che registri le sessioni in modo completo e permetta di associare ogni modifica a un tecnico identificato. Non è necessario che il PAM sia integrato con tutti i sistemi OT: anche una soluzione che gestisca l'accesso perimetrale e registri le sessioni a livello di rete aggiunge valore significativo rispetto alla situazione attuale.

Integrazione WMS-TMS-ERP: dove finisce la segmentazione

Il magazzino non è un'isola: è integrato con il sistema di gestione dei trasporti (TMS) per la pianificazione delle spedizioni, con l'ERP per la gestione delle scorte e gli ordini di acquisto, con i portali dei clienti per la visibilità sulle spedizioni. Ognuna di queste integrazioni è un potenziale percorso di propagazione di un attacco.

La supply chain della logistica è particolarmente esposta a questo rischio perché i dati fluiscono in entrambe le direzioni: il magazzino riceve gli ordini dall'ERP, ma invia dati di stato e conferme in tempo reale verso sistemi che sono spesso di proprietà dei clienti o dei partner. Un operatore logistico che integra sistemi di decine di clienti ha una superficie di attacco molto ampia.

Il concetto di segmentazione, fondamentale nella sicurezza OT, viene messo sotto pressione da queste integrazioni. Non si tratta di eliminare le integrazioni, sono necessarie per il funzionamento del business, ma di renderle controllate: interfacce API ben definite invece di connessioni database dirette, autenticazione forte per ogni integrazione, monitoraggio del traffico che attraversa il perimetro, e capacità di isolare singole integrazioni in caso di compromissione senza bloccare l'intero magazzino.

Continuità operativa: il costo di un fermo è immediato

A differenza di altri ambienti OT dove un fermo produttivo ha effetti che si manifestano in ore o giorni, un fermo del magazzino automatizzato ha impatto immediato e misurabile: gli ordini non vengono processati, le spedizioni non partono, i clienti non ricevono la merce. In un contesto di e-commerce o di just-in-time manifatturiero, anche poche ore di fermo hanno effetti che si propagano rapidamente nella supply chain.

Questo profilo di impatto rende i magazzini automatizzati un target attraente per gli attacchi ransomware: la pressione a pagare rapidamente per ripristinare le operazioni è molto alta. E rende le decisioni di incident response particolarmente difficili: spegnere i sistemi per contenere un attacco significa fermare le operazioni; continuare a operare con sistemi potenzialmente compromessi è un rischio.

La pianificazione della continuità operativa per un magazzino automatizzato deve considerare esplicitamente lo scenario di attacco OT: quali operazioni possono essere svolte in modalità manuale (degraded mode), per quanto tempo, e a quale capacità? Avere questa risposta prima che un incidente si verifichi riduce significativamente il tempo di decisione quando conta.

Alcune organizzazioni hanno iniziato a includere procedure di operazione manuale nei loro piani di continuità OT: mappatura delle operazioni critiche che possono essere eseguite senza sistemi automatizzati, formazione del personale per queste procedure, verifica periodica che le procedure funzionino effettivamente. È un investimento che spera di non essere mai necessario, ma che ha valore enorme nel momento in cui lo diventa.

---

La logistica automatizzata è entrata nella categoria delle infrastrutture OT critiche senza che la cultura della sicurezza industriale abbia fatto lo stesso percorso. Il primo passo, valido per qualsiasi magazzino automatizzato indipendentemente dalla dimensione, è costruire visibilità su cosa c'è nella rete OT e come comunica. Da quella visibilità emergono le priorità reali, molto più utili di qualsiasi framework teorico applicato senza conoscere l'ambiente specifico.

L'angolo MON5

Decine di PLC di vendor diversi, protocolli misti da Modbus a OPC UA fino ai proprietari dell'AS/RS: la rete OT di un magazzino automatizzato è esattamente l'ambiente eterogeneo per cui serve una visibilità unificata. MON5 la costruisce in modo passivo, ascoltando il traffico sui protocolli OT nativi e mantenendo un inventario continuo di sistemi, firmware e relazioni di comunicazione tra WMS e automatismi, senza fermare la movimentazione.

Il monitoraggio continuo con anomaly detection intercetta poi gli usi anomali delle credenziali e le sessioni vendor fuori dagli schemi abituali, due dei rischi che l'alta rotazione del personale rende concreti. Per sapere davvero cosa c'è nella propria rete, si comincia con un assessment OT.