Sicurezza della rete
Telecamere, videocitofoni e domotica visibili da Internet: come controllare la tua rete
7 min di lettura
A metà ottobre, in Francia, centinaia di supermercati si sono ritrovati con frigoriferi e congelatori fuori controllo: qualcuno era entrato nei sistemi che regolano la refrigerazione e, in alcuni punti vendita, le temperature sono salite fino a 50 °C. A inizio novembre episodi simili sono stati segnalati anche in Italia, con banchi frigo manomessi in supermercati di Catania, Palermo e Sassari e segnalazioni arrivate all’Agenzia per la Cybersicurezza Nazionale.
Non c’è stato nessuno scasso. I sistemi colpiti erano apparati pensati per essere gestiti a distanza, in molti casi raggiungibili direttamente da Internet, spesso vecchi e non più aggiornati dal produttore.
Le telecamere sul balcone, il registratore delle telecamere del negozio, il videocitofono, il termostato smart o il NAS con le foto di famiglia funzionano allo stesso modo. Ecco come capire se telecamere e dispositivi smart sono visibili da Internet e come metterli in sicurezza.
Perché la password non basta
La password protegge l’accesso “dalla porta principale”. Ma se il software del dispositivo ha un difetto, quella porta a volte si può aggirare senza conoscerla. È esattamente il tipo di falla che i ricercatori avevano documentato, mesi prima degli attacchi, proprio sui controller della refrigerazione: in alcuni casi bastava un codice giornaliero prevedibile per entrare come amministratore.
Il punto critico, quindi, non è solo la password debole: è lasciare il dispositivo visibile a chiunque su Internet. Esistono programmi che scandagliano la rete giorno e notte alla ricerca proprio di telecamere, registratori e pannelli di controllo raggiungibili dall’esterno. Quando esce una nuova falla, i dispositivi esposti sono i primi a essere colpiti.
Come raggiungi i tuoi dispositivi quando sei fuori casa
Se guardi le telecamere o apri il cancello dal telefono quando non sei a casa, il collegamento passa quasi sempre da una di queste tre strade.
- Cloud del produttore: il dispositivo si collega lui verso i server del produttore e tu passi da lì. È la soluzione più comune; il livello di sicurezza dipende dal produttore e dagli aggiornamenti.
- Porta aperta sul router (port forwarding): il dispositivo è raggiungibile direttamente da Internet. È il caso più rischioso, quello da eliminare per primo.
- VPN: prima ti colleghi in modo cifrato alla tua rete, poi raggiungi il dispositivo come se fossi a casa. Dall’esterno non si vede nulla. È la strada più sicura.
Se non sai quale delle tre usi, è la prima cosa da scoprire.
Come capire se le telecamere sono visibili da Internet
1. Quali dispositivi di casa possono essere esposti
Potenzialmente tutti quelli che si gestiscono da un’app o da un pannello web. Il primo passo è elencare tutto ciò che è collegato alla rete. In una casa media si superano facilmente i 20 dispositivi, in un negozio o in un ufficio molti di più.
| Dispositivo | Dove si trova di solito | Attenzione a |
|---|---|---|
| Telecamere IP e registratore (NVR/DVR) | Casa, negozio, condominio | Accesso remoto con porte aperte |
| Videocitofono IP | Ingresso | App del produttore e firmware vecchi |
| NAS | Casa, studio | Servizi pubblicati su Internet (es. media server) |
| Termostato, prese e luci smart | Casa | Firmware mai aggiornato |
| Stampante di rete | Ufficio | Pannello web raggiungibile |
| Climatizzazione, allarme, controllo accessi | Negozio, ufficio | Accesso remoto dell’installatore |
2. Come controllare le porte aperte del router
Entra nella pagina di gestione del router (l’indirizzo di solito è riportato sull’etichetta sotto il router) e cerca queste tre voci.
- Inoltro porte (port forwarding, virtual server, NAT): ogni regola è un collegamento diretto da Internet verso un dispositivo di casa. Se una regola punta a telecamere o registratori, è la priorità.
- UPnP: se è attivo, i dispositivi possono aprirsi le porte da soli, senza chiederti nulla. Molti NVR e console lo usano in automatico.
- DMZ: un dispositivo in DMZ è completamente esposto. Va usata solo in casi molto particolari e con cognizione di causa.
3. Come verificare dall’esterno cosa è raggiungibile
Quello che vedi nel router è un buon punto di partenza, ma non sempre racconta tutto: alcuni dispositivi usano servizi del produttore, altri sono stati configurati dall’installatore anni fa. Una verifica dall’esterno, fatta dalla rete Internet e non da casa, mostra cosa è davvero raggiungibile.
Non solo telecamere: il caso dei NAS. A inizio novembre QNAP ha segnalato attacchi in corso contro i propri NAS attraverso una serie di falle nel media server Plex. Indicazione del produttore: aggiornare subito Plex e, se il servizio era raggiungibile da Internet, considerare il NAS compromesso, reinstallare il sistema e cambiare tutte le credenziali. Vale lo stesso principio: un servizio pubblicato su Internet è il primo bersaglio, e senza una copia aggiornata dei dati il danno può essere definitivo (come impostare un backup con gli strumenti di Windows).
Come mettere in sicurezza telecamere e domotica
Questi sono gli interventi in ordine di importanza:
- Aggiorna il firmware di router, telecamere, registratore, NAS e dispositivi smart. Molte falle vengono corrette, ma solo su chi installa gli aggiornamenti.
- Sostituisci i dispositivi senza più supporto. Un apparato che il produttore non aggiorna più resterà vulnerabile per sempre: è il caso di molti controller colpiti negli attacchi ai supermercati.
- Cambia le password predefinite, una diversa per ogni dispositivo, e attiva la verifica in due passaggi dove è disponibile.
- Chiudi le porte che non servono e disattiva l’UPnP se non hai un motivo preciso per tenerlo.
- Accedi da fuori con una VPN invece che con porte aperte. WireGuard è gratuito, open source e già supportato da molti router.
- Separa la rete: i dispositivi smart vanno su una rete diversa da quella di PC, telefoni e console.
In casa si parte spesso dalla rete ospiti del router (se il Wi-Fi ti dà già problemi, leggi prima le cause più comuni del Wi-Fi lento), che tiene i dispositivi smart lontani da PC e telefoni. In un negozio o in uno studio si usano reti separate (VLAN) gestite da apparati adatti: telecamere, casse, climatizzazione e allarme da una parte, computer e dati dei clienti dall’altra. Se un dispositivo viene violato, l’intrusione resta confinata lì.
Per negozi, bar e piccoli uffici
Gli attacchi ai banchi frigo riguardano proprio le attività commerciali. Registratori di cassa, telecamere, controllo accessi e climatizzazione condividono spesso la stessa rete dei PC e vengono gestiti da remoto dall’installatore tramite una porta aperta, magari configurata anni fa e mai più verificata.
Le indicazioni dell’Agenzia per la Cybersicurezza Nazionale dopo i casi italiani vanno tutte nella stessa direzione:
- verificare subito quali sistemi di controllo e di manutenzione remota sono esposti su Internet;
- isolarli in una rete separata da quella aziendale;
- consentire l’accesso remoto solo tramite VPN con autenticazione a più fattori;
- controllare gli account amministratore e aggiornare il firmware;
- sostituire le apparecchiature non più supportate dal produttore.
Sono interventi che costano poco rispetto al danno che evitano: una notte di frigoriferi spenti, un registratore delle telecamere usato come porta d’ingresso, un NAS con i dati dei clienti cifrato da un ransomware.
Hai un negozio, un bar o un ufficio tra Legnano, Busto Arsizio e Gallarate? Vengo sul posto, verifico cosa della tua rete è visibile da Internet e ti dico cosa sistemare prima che diventi un problema. Prenota il check-up gratuito.
La checklist in breve
- Ho l’elenco di tutti i dispositivi collegati alla rete
- Nel router non ci sono porte aperte verso telecamere, NVR o NAS
- L’UPnP è disattivato (o so esattamente chi lo usa)
- Nessun dispositivo è in DMZ
- Firmware aggiornati e nessun dispositivo fuori supporto
- Password diverse e non predefinite su ogni dispositivo
- Accesso da fuori solo tramite app del produttore aggiornata o VPN
- Dispositivi smart su una rete separata da PC e telefoni
Vuoi far controllare la tua rete?
Nell’ambito dei miei servizi di assistenza e configurazione di reti verifico cosa è visibile da Internet nella tua rete, chiudo le porte inutili, configuro l’accesso remoto in VPN e separo i dispositivi smart da PC e telefoni. Intervengo di persona nell’Alto Milanese e nel Varesotto (Legnano, Castellanza, Busto Arsizio, Gallarate e dintorni) e da remoto in tutta Italia.