Aeroporti e dati sotto attacco: un big Usa lancia l’allarme alla Camera sulla sicurezza digitale
Massimo Terreri, rappresentante di Black Duck, lancia il monito a Montecitorio sui rischi di attacchi ai software nazionali. Il caso emblematico del 2025: con un solo bug sono stati bloccati aeroporti e servizi critici
Il software non è più solo un requisito tecnologico abilitante, ma si è trasformato in un fattore di sicurezza nazionale. E basta un piccolo anello debole all’interno del software per fermare un Paese. È il monito portato alla Commissione Difesa della Camera da Massimo Terreri, rappresentante di Black Duck (società americana con sede a Boston e leader globale nell’Application Security) audito nell’ambito dell’indagine conoscitiva sulle nuove sfide per la difesa.
In un mondo sempre più digitalizzato — dalla sanità ai trasporti, dall’energia alla pubblica amministrazione — la vulnerabilità del software può tradursi in interruzioni di servizi essenziali, perdita di integrità dei dati e blocchi operativi sistemici. «Affidabilità, disponibilità e integrità diventano grandezze di sicurezza nazionale», ha spiegato.
- Leggi anche: Dalla minaccia ibrida all’AI: come funziona la cybersicurezza italiana. Parla il direttore dell'Acn, Bruno Frattasi
Supply chain nel mirino degli attacchi
Il rischio non riguarda più solo il singolo sistema, ma l’intera catena di approvvigionamento del software. Lo sviluppo «chiuso» del passato ha lasciato spazio a un ecosistema frammentato: open source, componenti di terze parti, fino al software generato dall’intelligenza artificiale. Un solo anello debole («una libreria compromessa, un pacchetto alterato», ha citato come esempio) può propagare l’incidente a cascata su più settori. Non a caso, «attori statali e parastatali privilegiano sempre più attacchi alla supply chain, perché garantiscono scala e impatto multisettore».
A rendere concreto l’allarme sono gli episodi del 2025 citati in audizione. Il primo riguarda le infrastrutture aeroportuali: un attacco a un software della filiera ha causato blackout operativi per due o tre giorni, bloccando voli e collegamenti. Un singolo punto di vulnerabilità ha innescato un effetto domino sull’intero sistema aeroportuale, dimostrando quanto la continuità operativa dipenda da ecosistemi digitali interconnessi.
Il secondo caso è quello che ha contaminato pacchetti JavaScript — uno dei linguaggi più diffusi al mondo — portando alla violazione dei dati personali di milioni di utenti. L’impatto si è esteso a trasporti, aerospazio e servizi governativi, amplificando il rischio su scala nazionale.
Dalla reazione alla prevenzione
«La lezione è chiara: serve passare da un approccio reattivo a uno proattivo, fondato su Application Security e Software Supply Chain Security», ha detto il rappresentante della società americana. Strumenti di controllo devono accompagnare l’intero ciclo di vita del software, dallo sviluppo (“shift left”) alla manutenzione, introducendo security gate e verifiche strutturate anche sui fornitori.
Elemento chiave è la Software Bill of Materials (Sbom), richiesta dal Cyber Resilience Act, insieme a NIS2, Dora e AI Act, che riconoscono la natura sistemica del rischio digitale: «Sapere cosa contiene il codice è la condizione per poterlo governare». La sicurezza del software, ha concluso Black Duck, non è solo tecnologia ma di governance, processi e formazione continua. Per pubbliche amministrazioni e infrastrutture critiche significa ridurre la superficie d’attacco, garantire continuità operativa e rafforzare la resilienza nazionale. (riproduzione riservata)
- Genera un report programmato sugli sviluppi della sicurezza informatica nelle infrastrutture critiche.
- Esplora articoli simili che approfondiscono l'impatto degli attacchi informatici su trasporti e aerospazio.
- Quali sono le principali aziende che offrono soluzioni di Application Security e Software Supply Chain Security?
