Come non farsi hackerare il frigo: la checklist per la casa connessa

Immaginate di chiudere la porta di casa a doppia mandata e di lasciare spalancata la portafinestra che dà sul giardino. È ciò che succede a moltissime case ultra connesse: una telecamera con la password di fabbrica, un televisore che non riceve più aggiornamenti da una vita, un router mai toccato dal giorno dell'installazione.

Il frigorifero del titolo è ovviamente una provocazione per agganciare la cronoaca delle ultime settimane: nella ricerca che ho commissionato ai miei agenti AI non ho trovato nemmeno un caso documentato di frigorifero domestico violato. Ma gli elettrodomestici connessi sono citati tra i maggiori prodotti a rischio di intrusione informatica dal gruppo consultivo di ENISA (l'agenzia europea per la sicurezza informatica), come riporta l'associazione dei consumatori BEUC. E per chi lavora da casa il tema riguarda quindi direttamente anche l'azienda.

Perché a un hacker interessa proprio il tuo frigo

Partiamo dal presuposto che nessuno vuole spiarvi il frigo. Vuole semplicemente usarlo.

Funziona con le botnet: eserciti di dispositivi "zombie", infettati e comandati a distanza, che vengono poi usati insieme per attacchi su larga scala. Il caso di scuola è Mirai, nel 2016. Provava le combinazioni di nome utente e password di fabbrica e infettò centinaia di migliaia di dispositivi, tra cui telecamere e router, secondo Malwarebytes. E non è né un caso straordinario né una storia chiusa: Akamai ha osservato varianti recenti che tentano ancora l'accesso con credenziali predefinite – del tipo"admin:1234", per intenderci – su telecamere di rete sia di vecchia che di nuova generazione.

Poi c'è lo spionaggio vero e proprio. La Polizia Postale di Milano, con l'operazione "Rear Window", ha smascherato una banda che comprometteva sistemi di videosorveglianza privata, come racconta Cybersecurity360, con lo scopo di spiare i malcapitati.

Mini-caso: una telecamera per il cane, installata in cinque minuti con la password di fabbrica, può diventare insieme una finestra sul salotto e un soldato della botnet.

NIS2, CRA, RED: cosa c'entrano con casa tua

La NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia dal D.Lgs. 138/2024 e in vigore dal 16 ottobre 2024. Riguarda imprese ed enti di settori specifici, non le famiglie (TeamSystem). Perché ne parliamo qui, allora? Perché fissa un metodo ben preciso: dieci ambiti di sicurezza, dalla gestione del rischio alla gestione degli incidenti (Cybersecurity360). Chi li applica in azienda può applicarli, in piccolo, anche a casa. E per chi lavora da remoto c'è un motivo in più: capita che mediamente alcuni dispositivi domestici stiano sulla stessa rete del portatile aziendale (Cybersecurity360).

Il CRA (Cyber Resilience Act) è il regolamento che riguarda i prodotti. Si applica, tra l'altro, a router, prodotti smart home come serrature e baby monitor, giocattoli connessi e smartwatch (Punto Informatico). È in vigore dal 10 dicembre 2024 e si applicherà pienamente dall'11 dicembre 2027. Dall'11 settembre 2026 i fabbricanti devono già segnalare entro 24 ore le vulnerabilità sfruttate e gli incidenti gravi (Cybersecurity360, Pillitteri). Il decreto italiano di attuazione risultava approvato solo in via preliminare al 7 ottobre 2026 (Agenda Digitale), ma occhio alle date che possono ancora cambiare nei dettagli.

La direttiva RED impone requisiti di sicurezza ai nuovi dispositivi radio connessi a Internet venduti in UE dal 1° agosto 2025 (TÜV SÜD); dal dicembre 2027 sarà superata dal CRA (Product Compliance Institute).

La conseguenza pratica: le regole migliorano la situazione per i prodotti nuovi. Quelli che avete già in casa, spesso, ne sono fuori. La difesa resta in gran parte vostra.

Prima di comprare: cosa evitare e cosa cercare

Il momento più strategico per proteggersi è senz'ombra di dubbio quello dell'acquisto. Ecco alcune cose da teenre smepre in considerazione:

• Marchio riconoscibile. Gli esperti sconsigliano le smart TV Android di marchi poco noti: rischio di software indesiderato e aggiornamenti scarsi (Money.it). Lo stesso vale per i dispositivi smart senza marca (AVG).
• Durata del supporto. Secondo una ricerca di Which?, riportata da Panda Security, molti prodotti ricevono aggiornamenti per 2-3 anni, una piccola minoranza va oltre quel periodo di garanzia e moltissimi invece non ci si avvicinano minimamente. Prima di acquistare, chiedete per quanto tempo il produttore li garantisce.
• Utilità senza cloud. Evitate gli oggetti che diventano inutili quando il servizio del produttore chiude (AVG).
• Servono davvero le funzioni "smart"? Se non usate quelle della TV, non collegatela al Wi-Fi (Macitynet).

Un bollino di sicurezza per i consumatori esiste negli Stati Uniti (il Cyber Trust Mark, volontario). Un equivalente europeo non l'ho verificato, quindi non fate affidamento su un "bollino" che non c'è. Fidatevi piuttosto del CRA (vedi sopra).

Come proteggersi al meglio in cinque semplici mosse

Premesso che per scrivere un manuale esaustivo e completo ci vorrebbero settimane, cerco di darci qui una lista super sintetica, giusto per darvi un'idea dei vari ambiti di azione e delle cose più essenziali da fare. Per ogni mossa indico a quale regola dell'ACN (l'Agenzia per la cybersicurezza nazionale) corrisponde, così potete poi andarvela a vedere. L'ACN ha pubblicato 12 buone pratiche per la casa e 20 per le organizzazioni (AGI). Le mosse qui sotto ne riprendono i punti essenziali.

1. Fate l'inventario

Elencate tutto ciò che si collega alla rete: TV, stampante, aspirapolvere, campanello, frigo. Per ognuno annotate marca, come ci si accede e quando è stato aggiornato. Un foglio basta: senza elenco non si sa cosa proteggere. È una pratica raccomandata anche per la sicurezza domestica (ICT Security Magazine).

2. Mettete in ordine password e accessi

• Cambiate le credenziali di fabbrica su router, telecamere, NAS (i dischi di rete dove archiviate le cose) e ogni altro dispositivo. È la prima regola dell'ACN.
• Una password diversa per ogni servizio. L'ACN indica almeno 12 caratteri. Il NIST, l'ente americano degli standard, nella revisione 2025 privilegia la lunghezza: almeno 15 caratteri se la password è l'unico fattore, niente cambi obbligatori periodici (Credential Hygiene). Funziona bene una passphrase: ovvero una frase lunga fatta di parole casuali o camuffate, più facile da ricordare di "P@ssw0rd!" e molto più efficace.
• Usate un password manager. È una cassaforte che ricorda al posto vostro tutte le password; voi ricordate solo la combinazione della cassaforte. Tra questi vi consciglio senz'altro 1Password e Bitwarden.
• Attivate la verifica a due passaggi, preferibilmente con app di autenticazione o chiavi FIDO invece degli SMS, come raccomandano FBI e CISA (Geopop). Dove disponibile, scegliete le passkey: una chiave digitale che resta nel vostro dispositivo e non si può consegnare per errore a un sito falso (SentinelOne).

3. Aggiornate, o sostituite

Il firmware è il programma interno di ogni dispositivo. Gli aggiornamenti periodici, oltre a intordurre miglioramenti e nuove funzionalità, chiudono spesso le falle più gravi: attivate quelli automatici, come indica l'ACN. Se un prodotto non ne riceve più, diventa un bersaglio facile e può finire "zombie" in una botnet (Bitmat). Lo stesso vale per i router datati: se non sono più supportati, vanno sostituiti (Unicoop Firenze).

4. Sistemate il router

Il router è il portone di casa digitale della vostra rete domestica locale (LAN). Aprite il suo pannello (l'indirizzo è sull'etichetta) e controllate:

• UPnP spento. Apre porte verso Internet in automatico.
• WPS spento. È il pulsante di connessione "facile", ma indebolisce la rete. Attenzione: la modalità mista WPA2/WPA3 può tenerlo vivo anche quando credete di averlo disattivato (Smartworld).
• Gestione remota spenta, salvo necessità. Se vi serve accedere da fuori, usate una VPN dedicata e non aprite porte (regola ACN).
• Cifratura WPA3, se tutti i vostri dispositivi la supportano; altrimenti WPA2 (Panda Security).
• Rete ospiti per i dispositivi smart. Pensatela come la stanza degli ospiti: ciò che sta lì non ha accesso ai vostri computer e telefoni. È la regola 8 dell'ACN, e vale doppio se lavorate da casa.

5. Abbiate un piano "se succede"

Per le aziende la NIS2 chiede gestione degli incidenti e continuità operativa, backup compreso. A casa significa due cose: fare copie dei dati importanti e sapere cosa fare in caso di sospetto (dispositivo lento, comportamenti strani). In quel caso scollegatelo, cambiate le password da un altro dispositivo e ripristinate le impostazioni di fabbrica. Nei casi gravi rivolgetevi alla Polizia Postale (Regione Lombardia).

Gli strumenti che aiutano

• Password manager: per generare e conservare password lunghe e uniche.
• Have I Been Pwned: servizio gratuito che dice se il vostro indirizzo email compare in violazioni di dati note (Cybersecurity360).
• DNS sicuri e firewall del router: filtrano i siti pericolosi (indicati dall'ACN).
• App del vostro provider: spesso permettono di vedere i dispositivi collegati e correggere le impostazioni più in fretta.

Il test dell'acqua che bolle

Adesso vi propongo una challange domestica divertente: la prossima volta che vi mettete ai fornelli, mentre aspettate che l'acqua per la pasta bolla, entrate nel pannello del router e fate tre controlli:

1. Quando è stata cambiata la password l'ultima volta?
2. Il servizio UPnP è acceso o spento?
3. È stata attivata una rete ospiti separate?

Poi contate i dispositivi collegati nella vostra LAN. Se il numero vi sorprende, avete appena scoperto perché serviva controllare queste tre "piccole" cose.