Cybersecurity nei dispositivi IoT: quali minacce sottovalutate colpiscono le case smart

La casa connessa promette comfort e automazione, ma introduce anche una superficie d’attacco estesa e mutevole. Ogni lampadina intelligente, termostato o serratura è un endpoint con memoria, firmware e protocolli di rete: un computer in miniatura che, se trascurato, può diventare un punto di ingresso per attori malevoli. In questo quadro, molte minacce non fanno notizia perché non sono clamorose: lavorano ai margini, sfruttano impostazioni predefinite, funzioni “comode” e cicli di aggiornamento disomogenei.

Perché la smart home è un bersaglio attraente

Il valore per gli aggressori non è solo nei dati. Gli ambienti domestici forniscono potenza di calcolo distribuita e banda di rete utili a campagne di spam, mining illecito o a reti di dispositivi controllati da remoto, note come Botnet. Molti dispositivi IoT hanno cicli di supporto brevi, firmware proprietari, componenti di terze parti non aggiornati e documentazione scarna. La combinazione tra interfacce wireless, servizi in cloud e app mobili amplia il perimetro oltre il router domestico.

Rosa Capretti osserva che l’attrattività per gli attaccanti aumenta quando è possibile muoversi lateralmente nella rete locale: una videocamera vulnerabile può diventare una sonda per mappare altri asset, dai NAS alle console di gioco. Il rischio reale non è solo la violazione del singolo device, ma l’effetto domino.

Minacce sottovalutate che passano inosservate

Molte criticità non derivano da exploit avanzati, bensì da combinazioni di impostazioni e protocolli pensati per comodità.

• DNS rebinding sui pannelli locali: alcuni dispositivi espongono interfacce web accessibili solo da LAN. Una pagina malevola può sfruttare il rebinding del DNS per interagire con tali interfacce come se fosse un client locale, aggirando la stessa-origin policy del browser. Mitigazione: autenticazione forte sui pannelli, limitazione degli host ammessi, e preferenza per API con token a scadenza.
• UPnP e NAT-PMP troppo permissivi: protocolli per l’apertura automatica delle porte sul router facilitano la raggiungibilità dall’esterno. Se abilitati e non filtrati, alcuni device chiedono mappature persistenti, esponendo servizi non progettati per Internet. Mitigazione: disabilitare UPnP/NAT-PMP sul gateway o limitarli a dispositivi specifici; audit periodico delle porte aperte.
• Broker MQTT e CoAP non autenticati: in molte installazioni casalinghe, code di messaggi e sensori parlano in chiaro in LAN. Un attore locale può sottoscrivere topic, leggere stati sensibili (es. presenza) o inviare comandi. Mitigazione: autenticazione obbligatoria, ACL sugli argomenti, cifratura TLS e segmentazione di rete.
• Bluetooth Low Energy (BLE) in modalità “Just Works”: l’accoppiamento senza verifica numerica espone a attacchi man-in-the-middle. Mitigazione: preferire “LE Secure Connections” con Numeric Comparison o Passkey; disabilitare il pairing permanente; rotazione degli indirizzi MAC casuali quando supportato.
• Routine di assistenti vocali e automazioni: catene di azioni attivate da frasi o eventi possono essere abusate tramite audio riprodotto da altri dispositivi o da notifiche. Mitigazione: limitare le routine a contesti e dispositivi fidati; conferme obbligatorie per azioni sensibili.
• Supply chain del firmware: componenti riutilizzati tra brand differenti ereditano vulnerabilità comuni. L’assenza di firma del firmware o di secure boot consente immagini modificate. Mitigazione: preferire vendor con firma obbligatoria del firmware, secure boot e politica di aggiornamenti pubblica.

Protocolli e cifratura: capire i limiti

Non tutti gli stack wireless e le modalità di cifratura offrono lo stesso livello di protezione. Capretti suggerisce di valutare non solo l’algoritmo crittografico, ma l’intero flusso di onboarding, la gestione delle chiavi e i fallback legacy.

Protocollo	Punto di forza	Debolezza tipica	Mitigazione consigliata
Wi‑Fi	WPA3‑Personal (SAE) resistente a attacchi dizionario offline	WPS attivo, password deboli, reti miste WPA2/WPA3	Disabilitare WPS; solo WPA3 se possibile; password robuste (≥14 caratteri)
Zigbee	Rete mesh efficiente, chiavi di rete condivise	Chiavi predefinite in profili legacy, pairing Touchlink non autenticato	Preferire Zigbee 3.0 con install code; disabilitare Touchlink; aggiornare il coordinatore
Z‑Wave	S2 con scambio chiavi ECDH e autenticazione	S0 usa chiave condivisa e vulnerabile al sniffing in pairing	Abbinare solo in S2; evitare dispositivi limitati a S0
BLE	LE Secure Connections con ECDH	“Just Works” senza verifica; pubblicità tracciabile	Numeric Comparison/Passkey; randomizzazione MAC; timeout di pairing
Matter/Thread	Commissioning autenticato (PASE/CASE), interoperabilità	Configurazioni multi‑admin confuse; gestione credenziali su più app	Conservare in sicurezza i codici di commissioning; controllare gli amministratori autorizzati

Cloud, app e API: il perimetro si sposta

La maggior parte dei dispositivi si affida a servizi cloud per notifiche, AI e accesso remoto. Token di sessione, chiavi API e dati di telemetria transitano tra app e server. Errori comuni includono token senza scadenza, logging eccessivo nelle app mobili e dipendenze SDK non aggiornate. Una compromissione del fornitore impatta in cascata gli ambienti domestici.

Nel contesto europeo, la protezione dei dati personali è regolata dal Regolamento generale sulla protezione dei dati. Per una smart home, questo significa valutare dove risiedono i dati, per quanto tempo vengono conservati e con quali finalità. Capretti suggerisce criteri minimi: autenticazione a più fattori sull’account principale, revisione periodica dei dispositivi connessi, revoca dei token dopo assistenza tecnica, e preferenza per vendor che documentano bug bounty e tempi di remediation.

Segmentazione domestica: una rete a zone

La micro‑segmentazione riduce la superficie di attacco e limita i movimenti laterali. In pratica, conviene separare gli oggetti IoT da computer e smartphone personali.

• SSID o VLAN dedicate: creare una rete “IoT” isolata, con accesso a Internet ma senza raggiungere la LAN principale. Alcuni router consumer offrono l’opzione “guest” con isolamento client‑to‑client.
• Regole di egress minimali: consentire solo DNS e NTP verso server fidati; filtrare porte in uscita inconsuete; monitorare le destinazioni con risoluzione DNS locale.
• Controllo multicast: mDNS/SSDP utili al discovery, ma vanno confinati; abilitare il relay solo quando necessario e verso servizi espliciti.
• IPv6 consapevole: se attivo, applicare filtri analoghi a IPv4; evitare esposizioni automatiche via prefix delegation.

Manutenzione e ciclo di vita

La sicurezza dell’IoT domestico dipende dalla manutenzione. Molti produttori garantiscono aggiornamenti per un periodo limitato; trascorso l’end of life, persiste l’esposizione a vulnerabilità note.

• Due diligence pre‑acquisto: verificare politica di aggiornamenti, durata del supporto, presenza di firma del firmware e secure boot, canali di comunicazione delle vulnerabilità (CVE, advisories).
• SBOM e trasparenza: la disponibilità di un Software Bill of Materials (formati come SPDX o CycloneDX) anticipa il rischio di componenti affetti da falle pubbliche.
• Modalità di funzionamento locale: preferire dispositivi che mantengono funzioni essenziali senza cloud; riduce la dipendenza da terze parti e i dati in transito.
• Piani di dismissione: alla cessione o al riciclo, eseguire reset sicuro, rimuovere permessi nelle app, scollegare account cloud e revocare token.

Indicatori da monitorare e segnali deboli

Gli attacchi graduali lasciano tracce: spike di traffico notturno, richieste DNS verso domini anomali, riavvii inspiegabili, log di pairing ripetuti su BLE, regole UPnP ricreate dopo la cancellazione. Un monitoraggio leggero, anche con i soli strumenti del router, aiuta a individuare comportamenti fuori standard.

Checklist operativa

• Aggiornare firmware e app; abilitare aggiornamenti automatici quando disponibili.
• Disabilitare UPnP/NAT‑PMP o limitarli a dispositivi specifici; controllare periodicamente le porte esposte.
• Impostare WPA3‑Personal; disattivare WPS; usare password lunghe e uniche.
• Accoppiare dispositivi Zigbee/Z‑Wave solo con metodi sicuri (Zigbee 3.0 con install code; Z‑Wave S2).
• Per BLE, evitare “Just Works”; preferire Numeric Comparison/Passkey; rimuovere pairing inutilizzati.
• Segmentare la rete: SSID/VLAN per IoT, isolamento client‑to‑client, regole egress restrittive.
• Abilitare 2FA sugli account; rivedere periodicamente dispositivi e token autorizzati.
• Preferire vendor con secure boot, firma firmware e politiche di supporto documentate.
• Ridurre i dati inviati al cloud; disattivare telemetrie non necessarie.

La sicurezza della smart home non dipende da un’unica misura, ma da una combinazione di scelte informate. Affrontando le minacce meno evidenti – quelle che spesso passano sotto il radar – si costruisce una difesa pragmatica e sostenibile nel tempo. Con procedure di base, criteri di acquisto rigorosi e un minimo di igiene di rete, l’ambiente domestico diventa meno appetibile per gli attaccanti e più resiliente agli imprevisti.