Attacchi informatici agli edifici intelligenti: ecco come proteggere la vostra infrastruttura.
Gli edifici spesso raggiungono i 50 anni o più, mentre le loro infrastrutture durano dai dieci ai vent'anni. La tecnologia invecchia molto più rapidamente: il software ha una durata compresa tra uno e tre anni, e le patch di sicurezza sono spesso già obsolete dopo uno o tre mesi. Questo enorme divario nei cicli di vita rende i sistemi intelligenti vulnerabili agli attacchi informatici. Le analisi di Maik Paprott, direttore dell'UMB Cyber Defense Center, dimostrano che un firewall senza patch ha consentito agli aggressori di accedere a 150 servizi web in pochi minuti.
#Cyber Defense
In Svizzera si sta assistendo a un vero e proprio boom dei sistemi interconnessi, come gli impianti fotovoltaici e i sistemi di gestione degli edifici. Gli edifici intelligenti promettono efficienza e sostenibilità, ma senza una solida sicurezza informatica rischiano di diventare un punto di accesso per pericolosi attacchi informatici. Molte tecnologie dei decenni passati sono vulnerabili. Misure e strategie pragmatiche – dall’inventario ai test di penetrazione – possono colmare le lacune di sicurezza e rafforzare la resilienza.
Teoria contro realtà: la discrepanza dei cicli di vita
In teoria, la sicurezza informatica appare innovativa e onnicomprensiva. Nel settore della tecnologia degli edifici, la realtà è ben diversa. Secondo un’analisi condotta da BKW, una delle principali aziende svizzere nel settore delle infrastrutture e dell’energia, circa il 90% degli edifici svizzeri è considerato vulnerabile agli attacchi degli hacker. Spesso hanno 50 anni o più; la loro infrastruttura dura dai dieci ai 20 anni – ma la tecnologia diventa obsoleta già dopo tre-cinque anni, il software dopo uno-tre anni e la sicurezza informatica addirittura entro uno-tre mesi. Una linea temporale illustra il cambiamento: nel 1961 i progetti degli edifici venivano realizzati a mano, nel 1970 con l’ausilio di macchine, nel 1984 sono stati introdotti i primi PC. Negli anni '90 si sono aggiunti i telefoni cellulari, utilizzati nel processo di progettazione, nel 2006 gli smartphone e oggi gli smartwatch, che controllano i sistemi interconnessi. Il rapido progresso rende obsoleta ogni novità non appena viene installata: tra la progettazione e la messa in funzione si creano delle lacune. Nel peggiore dei casi, cerchiamo di proteggere una tecnologia che risale all'epoca delle macchine da scrivere.
Le sfide sono molteplici: scarsa consapevolezza riguardo a sensori e telecamere con password predefinite, sovraccarico di informazioni dovuto all’automazione degli edifici, mancanza di una visione d’insieme delle connessioni e tecnologie inadeguate come la segmentazione della rete o il monitoraggio. Non mancano nemmeno i pericoli diretti: malware, attacchi basati sul web, phishing, ransomware, minacce interne – dalla ricognizione/esplorazione fino alle azioni sugli obiettivi/raggiungimento degli obiettivi di attacco.
In Svizzera, l'Ufficio federale per la sicurezza informatica (BACS) ha segnalato circa 63'000 incidenti nel 2024, con un aumento del 26% rispetto al 2023, dove predominano le telefonate minacciose e il phishing. Anche nel primo semestre del 2025 si sono verificati quasi 36'000 incidenti informatici. Le aziende si sentono quindi insicure, e a ragione: nello studio sulle PMI e la sicurezza informatica del 2025, solo il 52% delle PMI dichiara di sentirsi protetto – l'anno precedente la percentuale era del 57%.
Da semplici malfunzionamenti al pericolo di vita
Una sicurezza trascurata comporta problemi quali malfunzionamenti degli impianti di riscaldamento, ventilazione, illuminazione o dei sistemi di sicurezza. I dati sensibili – dai registri di accesso ai dati del personale – sono a rischio. Ma c’è di più: sono in gioco vite umane, ad esempio se gli impianti di refrigerazione negli ospedali smettono di funzionare o se i controlli di accesso negli aeroporti possono essere manipolati. Soprattutto nel settore energetico, strettamente legato alla tecnica degli edifici, il sabotaggio informatico può causare blackout. L’esercitazione «Cyber Europe» del giugno 2024, con circa 5'000 partecipanti provenienti da oltre 30 paesi, ha simulato un attacco al settore energetico svizzero e ha evidenziato i punti deboli dei sistemi interconnessi. Esempi concreti: 23 sistemi di regolazione web-based per il riscaldamento e la climatizzazione erano accessibili direttamente da Internet a causa di firewall deboli. Situazione simile per i sistemi Solar-Log: 31 impianti fotovoltaici testati in Svizzera presentavano porte aperte che consentivano il reset della password e garantivano l’accesso alle reti di automazione. Il test già menzionato del direttore dell'UMB Cyber Defense Center: accesso iniziale tramite firewall non aggiornato, poi movimento laterale tramite scansione, ha compromesso il sistema interessato in pochi minuti ed esposto potenzialmente 150 servizi web. Tali lacune trasformano gli edifici intelligenti in un vettore di attacco intelligente.
L'IA alla ricerca di accessi non autorizzati
In Svizzera, con la sua elevata diffusione di automobili – oltre il 75% delle famiglie possiede un'auto – i garage intelligenti o le stazioni di ricarica possono diventare punti di accesso vulnerabili. Le tendenze attuali aggravano questo pericolo: secondo il Microsoft Digital Defense Report, nel primo semestre del 2025 gli attacchi basati sull'identità sono aumentati del 32%, il 97% dei quali consisteva in attacchi di tipo “password spray”, ovvero la prova massiccia di password comuni. Nel settore elettrico, gli aggressori utilizzano sempre più spesso e-mail di phishing basate sull'IA o deepfake per ingannare il personale di manutenzione. Un esempio del 2024: un ransomware ha colpito un fornitore di energia di Ginevra, che è stato paralizzato a causa di sistemi di gestione degli edifici (BMS) non protetti – Costo: 4,5 milioni di CHF per incidente (secondo lo studio Deloitte del 2025). Da aprile 2025 sono stati segnalati 164 attacchi a infrastrutture critiche che hanno portato a guasti di sistema o ricatti. Sono stati colpiti anche i fornitori di energia. La direttiva NIS-2 rivista dell'UE obbliga i gestori di impianti critici a effettuare analisi dei rischi. In Svizzera, inoltre, a partire da aprile 2025 entrerà in vigore un nuovo obbligo di segnalazione intersettoriale per gli attacchi informatici alle infrastrutture critiche (CSV), che introduce un obbligo di segnalazione degli incidenti entro 24 ore. La direttiva NIS 2 dell'UE estende questo obbligo alle catene di approvvigionamento e riguarda anche le aziende svizzere con legami con l'UE, richiedendo la resilienza in 18 settori, compresa la tecnica degli edifici.
Sei passi verso la resilienza
Le soluzioni pratiche si basano su standard quali la norma ISO 27001. Questi sei passaggi sono scalabili e danno priorità alla trasmissione delle conoscenze, integrata dalle raccomandazioni BACS quali la segmentazione della rete, l’autenticazione a più fattori (MFA), gli aggiornamenti e i piani di risposta agli incidenti:
- Inventario e visibilità: create un inventario dei vostri sistemi in rete, ad esempio con l'aiuto di piattaforme di Attack Surface Management o dei servizi di monitoraggio DigitalRisk.
- Segmentazione della rete e separazione di IT/OT: isolate la tecnologia degli edifici tramite VLAN, firewall e monitoraggio OT.
- Gestione degli accessi: principio del privilegio minimo, MFA, VPN sicure e registrazione degli accessi.
- Aggiornamenti regolari e gestione delle patch: applicate le patch ai dispositivi di controllo e ai gateway; esigete la responsabilità del produttore.
- Sensibilizzazione e responsabilità: definite i ruoli; la formazione riduce gli errori umani fino al 70%.
- Red Teaming/Penetration Testing: simulate attacchi per individuare tempestivamente le vulnerabilità.
Si raccomandano inoltre: Advanced Managed Detection and Response (MDR), registrazione dei log con archiviazione esterna e Network Detection and Response (NDR) per analisi in tempo reale, nonché un rigoroso sistema di assegnazione dei diritti con revisioni periodiche.
Queste misure si ammortizzano rapidamente: le interruzioni evitate consentono di risparmiare milioni. L'Ufficio federale dell'energia (UFE) promuove dal 2023 le certificazioni degli edifici con standard di sicurezza informatica. A titolo integrativo, nel luglio 2025 la KBOB ha pubblicato la raccomandazione «Sicurezza ICT nell'automazione degli edifici».
Resilienza grazie alla cultura e al pragmatismo
Gli edifici intelligenti innovativi privi di sicurezza rappresentano un rischio elevato: diventano punti di accesso per gli attacchi informatici. La sicurezza informatica deve essere presa in considerazione fin dall’inizio, dal capitolato d’oneri fino alla consegna dell’impianto. In occasione di un congresso sull’edilizia organizzato da BKW nel settembre 2025, la «sicurezza informatica nella tecnica degli edifici» è stata quindi oggetto di discussione. I partecipanti sono giunti alla conclusione che sono necessarie soluzioni pragmatiche, responsabilità chiare e una cultura della sicurezza ben radicata – dal «intervento d’emergenza» reattivo alla prevenzione proattiva e all’analisi forense. La tecnologia da sola, però, non basta; la resilienza tutela la sostenibilità e la sicurezza operativa. Proprio nel settore elettrico, dove convergono le reti intelligenti e la mobilità elettrica, c’è bisogno di agire.
Un'analisi della situazione attuale mette in luce alcune lacune. Come parte del Gruppo BKW, che copre energia, reti e servizi, UMB AG dispone di una competenza completa in materia di sicurezza – dalla consulenza CISO ai servizi di difesa informatica fino alle reti Zero Trust.
La Svizzera nel mirino dei cyberattacchi
- Nel 2024 sono stati segnalati circa 63'000 incidenti informatici, con un aumento del 26% (fonte: rapporto annuale BACS 2024). Particolarmente frequenti: telefonate minacciose e phishing.
- Un incidente informatico costa alle aziende svizzere in media 4,5 milioni di CHF (fonte: studio Deloitte 2025).
- Il mercato della sicurezza informatica in Svizzera crescerà fino a raggiungere 1,15 miliardi di CHF entro il 2030 (fonte: Statista Market Forecast).
- Misure efficienti riducono drasticamente l'onere reattivo, passando da 10'000 a 1'000 ore all'anno per la prevenzione.
