Gli informatici dicono spesso, ridendo, che "la S nella sigla IoT (quella dell'Internet delle Cose)sta per ‘sicurezza'", e quando qualcuno immancabilmente fa notare nella sigla IoT non c'è la S, rispondono "Appunto". È un modo umoristico per sottolineare che troppo spesso nei dispositivi connessi a Internet per la gestione remota di apparecchi di vario genere la sicurezza è scadente se non addirittura inesistente.

I toni del CISA, il dipartimento per la sicurezza informatica e delle infrastrutture degli Stati Uniti, sono stati invece molto meno umoristici quando questo ente ha avvisato pubblicamente che tutti gli apricancello, le porte automatiche e i sistemi di gestione degli antifurto della marca Nexx, una delle più popolari nel settore [oltre 40.000 dispositivi residenziali e commerciali], sono incredibilmente vulnerabili.

Tutti questi dispositivi, infatti, hanno una stessa password universale, facile da trovare, e trasmettono in chiaro, senza alcuna crittografia, l'indirizzo di mail, l'identificativo del dispositivo e altri dati insieme a ogni messaggio di apertura o chiusura o programmazione.

In altre parole [come scrive Ars Technica], chiunque abbia competenze tecniche anche modeste può frugare nei server della Nexx, cercare un dato indirizzo di mail associato a un dispositivo che gli interessa, e poi dare comandi a quel dispositivo, per esempio disabilitando un antifurto o aprendo la porta di un garage altrui.

Sullo stesso tema:

Falla di BitLocker, da Microsoft uno script PowerShell per risolverla

Sfida su TikTok costringe ad aggiornare 8 milioni di auto

Cybersicurezza, generali e fantaccini

LastPass, la violazione è molto più grave del previsto

L'azienda è stata contattata da Sam Sabetan, il ricercatore di sicurezza che ha notato queste falle, ma non ha risposto, neanche quando è stata raggiunta dal Dipartimento per la Sicurezza Nazionale. L'esperto consiglia di scollegare qualunque dispositivo di questa marca e il CISA raccomanda di isolare i prodotti Nexx da Internet e dalle reti aziendali, di proteggerli con un firewall e di usare una VPN per tutti gli accessi.

Consigliamo la lettura di:

La casa intelligente e sempre connessa con meno di 2500 euro

Se riesci a ''hackerare'' una Tesla, è tua: le regole della...

Subito craccate le chiavi digitali di casa di Amazon

La Mitsubishi Outlander si ruba via Wi-Fi

Gli errori di progettazione rivelati dal ricercatore sono davvero elementari: è da incoscienti usare una password identica in tutti i dispositivi di controllo remoto, perché questo permette a un aggressore di comandare i dispositivi degli altri, come ha fatto appunto Sam Sabetan in un video per dimostrare l'entità della falla. Ed è ancora più preoccupante che l'azienda non si sia finora degnata di rimediare.

Non è il primo caso del suo genere, e quindi resta da chiedersi quanti altri dispositivi domotici e di controllo remoto, i cosiddetti dispositivismart, sono progettati altrettanto maldestramente e non sono ancora stati scoperti.

Per approfondire:

Aiuto, la mia casa smart è stata posseduta via radio

Manchester, attacco di massa alle serrature elettroniche delle auto

Canary, l'antifurto intelligente

Per rubare un'auto bastano 14 secondi

Fonti aggiuntive: Sophos, Ars Technica, Graham Cluley.

Proposte di lettura:

Mike, la bara con l'antifurto

Telecamere "attive" e antifurti

L'antifurto che distrugge la bici rubata

Mettiamoci il grande fratello in auto