In questo articolo Indice dei contenuti 2 sezioni
Basta un messaggio costruito nel modo giusto per mandare fuori uso le colonnine di ricarica di un’intera area urbana, alterare i dati dei consumi e far crollare i server che gestiscono la rete. Non è un esercizio teorico da convegno: è quello che ha dimostrato una ricerca scientifica presentata al Vehicle Sec 2024, con la firma anche di Gaetano Coppoletta, ricercatore siciliano oggi ingegnere in Oracle, che insieme al suo team ha costruito uno strumento battezzato OCPPStorm per stressare le implementazioni del protocollo che tiene insieme tutto il sistema.
Quel protocollo si chiama OCPP ed è lo standard con cui le stazioni di ricarica dialogano con i sistemi centrali di gestione. Traduzione per chi non mastica gergo tecnico: è la lingua comune che permette a una colonnina di dire al server quanta energia ha erogato, quando una sessione comincia e quando finisce, chi sta pagando. Se quella lingua viene manipolata, l’intera catena si sfalda. E la domanda da cui parte la ricerca è tutt’altro che accademica, visto che si tratta di capire quanto siano solide le infrastrutture che dovranno alimentare milioni di auto elettriche nei prossimi anni. La risposta, per ora, non rassicura affatto.
Come funziona l’attacco alle colonnine di ricarica
Il punto interessante, e anche il più scomodo, è che non serve girare fisicamente per la città con una chiave inglese in mano. Secondo lo scenario descritto dai ricercatori è sufficiente compromettere una singola stazione oppure riuscire a inviare messaggi al sistema centrale di gestione, e da lì sfruttare gli errori presenti nel software. Una posizione sola, danni potenzialmente estesi a tutta la rete.
OCPPStorm lavora con la tecnica del fuzzing, molto usata nella ricerca sulla sicurezza informatica: genera milioni di messaggi anomali, incompleti o volutamente manipolati e osserva come reagisce il sistema. È un modo brutale ma efficace di far emergere difetti che nessuno aveva notato, perché in condizioni normali quei messaggi nessuno li invierebbe mai. I test sono stati condotti su due piattaforme open source molto diffuse per la gestione delle stazioni, Steve e OCPP.Core, entrambe finite sotto pressione.
Le falle trovate e i danni possibili
Su OCPP.Core il risultato più pesante riguarda un attacco denial of service: inviando un messaggio con un campo di dimensioni anomale, i ricercatori hanno bloccato il server centrale, rendendo temporaneamente irraggiungibile la gestione remota di tutta la rete di ricarica. Con certi attacchi, come ha spiegato Coppoletta, “si può bloccare una città”.
Ma non finisce lì. Sempre su OCPP.Core è emersa la possibilità di interrompere sessioni di ricarica già attive usando identificativi casuali, quindi staccare la corrente a un’auto in carica senza nemmeno sapere chi sia il proprietario. Poi la creazione di registrazioni di consumo negative, con i dati dei contatori alterati, e l’avvio di più transazioni contemporanee sullo stesso connettore, con conseguenze dirette sulla fatturazione. Numeri che non tornano, bollette che non tornano, contabilità che salta.
Anche Steve ha mostrato problemi della stessa famiglia: sessioni chiudibili tramite identificativi prevedibili e anomalie nei sistemi di billing. Le vulnerabilità sono state segnalate agli sviluppatori e corrette con aggiornamenti software, quindi la parte immediatamente pericolosa è stata tappata. Il nodo però rimane un altro: quelle falle c’erano, in piattaforme usate su larga scala, e con buona probabilità ce ne sono altre in software analoghi che nessuno ha ancora passato al setaccio con lo stesso livello di attenzione.
Man mano che il parco di auto elettriche si allarga, la cybersicurezza delle infrastrutture di ricarica pesa quanto la capacità delle batterie o la velocità di erogazione. Progettare queste reti senza mettere la sicurezza informatica nel progetto dall’inizio, e non come toppa successiva, è un rischio che il settore non può più concedersi.
