La telecamera che ti tradisce

C'è un concetto che chi lavora nella sicurezza informatica chiama segmentazione di rete: significa, in pratica, non tenere tutti i dispositivi sulla stessa rete Wi-Fi come se fossero un'unica stanza senza porte interne. Suona tecnico, ma la conseguenza di ignorarlo è molto concreta, e riguarda tanto chi ha una telecamera per controllare casa quanto chi ha un negozio con un POS.

Il principio è sempre lo stesso: se due dispositivi condividono la stessa rete, chi riesce a entrare nel più debole dei due può, spesso, arrivare anche all'altro. La telecamera, economica, raramente aggiornata, quasi mai con una password diversa da quella di fabbrica, è quasi sempre il dispositivo più debole della casa o del negozio. Il problema non è la telecamera in sé. È tutto quello che sta sulla stessa rete insieme a lei.

Il precedente che l'ha dimostrato su scala enorme

Nel 2013 Target, una delle catene di negozi più grandi al mondo, ha subito una violazione che ha coinvolto 40 milioni di carte di pagamento. È stato, tecnicamente, un attacco alla catena di fornitura, ed è ricostruito nel dettaglio: gli attaccanti hanno mandato una mail infetta a Fazio Mechanical Services, il fornitore esterno che si occupava di riscaldamento e condizionamento per i punti vendita, rubandone le credenziali con un trojan. Con quelle credenziali sono entrati nel portale riservato ai fornitori di Target, e da lì, senza incontrare alcun blocco, si sono spostati lateralmente nei sistemi interni fino ai registratori di cassa, dove hanno installato un malware capace di "RAM scraping": catturava i dati delle carte direttamente dalla memoria del dispositivo, nel breve istante prima che venissero cifrati.

Il fornitore compromesso ha aperto la porta, ma è stata la mancata segmentazione a permettere il movimento laterale, cioè il salto da un sistema all'altro, fino alla cassa senza incontrare resistenza. Con reti separate, quel movimento si sarebbe fermato al primo confine. È lo stesso principio, in scala, di una telecamera domestica o di negozio lasciata sulla stessa rete di tutto il resto: il punto debole non deve necessariamente essere "tuo" in origine, basta che sia connesso a tutto il resto senza barriere.

Se la telecamera ce l'hai a casa

Qui il rischio non è il furto di una carta di pagamento, ma qualcosa di più diretto: l'esposizione della tua privacy e, potenzialmente, l'accesso ad altri dispositivi collegati alla stessa rete, il portatile con cui fai online banking, per esempio. Esistono piattaforme pubbliche che, negli anni, hanno mostrato in tempo reale flussi video provenienti da telecamere lasciate del tutto sprotette, semplicemente perché nessuno aveva mai cambiato la password di fabbrica: succede più spesso di quanto si pensi, ed è indicizzabile anche da semplici motori di ricerca specializzati in dispositivi connessi, come Shodan.

Va detto per correttezza: se usi la telecamera in ambito strettamente personale e domestico, la normativa privacy (il GDPR) non si applica a te come si applicherebbe a un'azienda: è un trattamento escluso dal suo ambito, lo dice esplicitamente il Garante Privacy. Questo però non significa nessun rischio: significa solo che il rischio è la tua privacy e la tua sicurezza, non una sanzione.

Cosa fare, a casa: attiva sul tuo router la "rete ospiti" (quasi tutti i router moderni la offrono) e mettici sopra telecamere, smart speaker e qualunque dispositivo "intelligente", tienili separati dalla rete dove usi home banking o lavori. Cambia la password di fabbrica della telecamera appena la installi, sempre.

Se la telecamera ce l'hai in un'attività con POS

Qui il rischio si moltiplica, e si aggiunge un livello che a casa non esiste: il GDPR si applica eccome, perché stai trattando dati personali (le immagini dei clienti) nell'ambito di un'attività economica.

Non è un dettaglio da poco: il Garante Privacy ha messo la videosorveglianza nei negozi tra le priorità del proprio piano ispettivo, e controlla proprio le cose che riguardano anche la sicurezza tecnica del sistema, oltre a cartelli e informative. Nel dicembre 2024 il Garante ha sanzionato un albergo (caso "Hotel Petrarca") proprio per una gestione non conforme del proprio impianto di videosorveglianza: un precedente che qualunque titolare di un'attività con telecamere dovrebbe conoscere.

L'articolo 32 del GDPR è esplicito su questo punto:

chi tratta dati personali deve adottare misure tecniche e organizzative adeguate a garantirne la sicurezza. Una rete dove telecamere e POS convivono senza alcuna separazione è difficilmente difendibile come "misura adeguata", sia che il problema emerga per una frode sui pagamenti, sia che emerga per una violazione dei dati dei clienti ripresi dalle telecamere, con obbligo di notifica al Garante entro 72 ore in caso di data breach.

A questo si aggiunge il rischio tecnico puro: uno studio condotto su circa diecimila telecamere IP in Italia ha trovato che circa il 4% erano accessibili semplicemente perché nessuno aveva mai cambiato la password di fabbrica, e diverse analisi di settore stimano che circa il 70% degli attacchi ai dispositivi connessi sfrutti proprio problemi banali come questo.

Cosa fare, in un'attività:

• Chiedi al tuo tecnico o al fornitore del POS se telecamere e POS condividono la stessa rete. Se non lo sa o minimizza, insisti.

• Se offri Wi-Fi ai clienti, deve essere una rete separata. È una raccomandazione esplicita dei circuiti di pagamento italiani, non un'opinione.

• Cambia subito la password di fabbrica delle telecamere, se non è già stato fatto in fase di installazione.

• Valuta, insieme a chi gestisce la tua conformità privacy (se ce l'hai) o al tuo tecnico, se la configurazione attuale regge un controllo dell'articolo 32 GDPR. Non serve un audit costoso, ma sapere di poter rispondere "sì, sono reti separate" a un'eventuale verifica del Garante vale quanto proteggersi dalla frode.

Il principio che sta dietro a tutto questo, nel mondo della sicurezza informatica, ha anche un nome: Zero Trust.

Significa non dare per scontato che un dispositivo sia sicuro solo perché è già "dentro" la tua rete: una telecamera, un fornitore, un accesso remoto vanno trattati con la stessa cautela di qualcosa che arriva da fuori, finché non è verificato il contrario. Non serve implementarlo in senso tecnico completo per capirne il senso pratico: basta iniziare a farsi la domanda, per ogni dispositivo nuovo che colleghi, "questo ha davvero bisogno di stare sulla stessa rete di tutto il resto?".

Il consiglio da portare a casa (o in negozio)

La domanda è sempre la stessa, cambia solo chi la fa: "Questa telecamera è sulla stessa rete di quello che voglio davvero proteggere?". A casa è il tuo laptop con l'home banking. In un'attività è il POS, ed è anche la tua conformità GDPR. In entrambi i casi, separare le reti è un lavoro di poche ore per chi se ne occupa, ed è la differenza tra una telecamera che ti protegge davvero e una porta lasciata aperta senza saperlo.

Questo articolo è divulgazione, non una consulenza formale: ogni attività ha la sua configurazione specifica, e prima di intervenire vale sempre la pena farsi guardare la situazione da chi se ne occupa di lavoro. Se hai un'attività e vuoi capire come sistemare la tua rete o mettere in ordine la parte di conformità GDPR legata alla videosorveglianza, sono disponibile per una valutazione. Mi trovi qui su Mtechsecurity.