Backdoor: cos’è e come proteggersi da questo tipo di minaccia

Nell’era della digitalizzazione spinta, le minacce informatiche si fanno sempre più sofisticate. Tra queste, la backdoor rappresenta una delle tecniche più insidiose: una “porta nascosta” lasciata aperta in un sistema informatico, che permette a hacker o software malevoli di accedere senza autorizzazione, aggirando i normali controlli di sicurezza.

Comprendere cos’è una backdoor informatica, come funziona e come difendersi è fondamentale per chiunque gestisca infrastrutture digitali, a maggior ragione per le aziende che operano in settori critici, come la distribuzione del gas.

Cos’è una backdoor e perché è pericolosa

Una backdoor informatica è un accesso nascosto e non autorizzato a un sistema, un’applicazione o un dispositivo, che consente a un attaccante di entrare senza passare dai normali controlli di sicurezza. Può essere creata intenzionalmente da uno sviluppatore per scopi di manutenzione, oppure installata da attori malevoli attraverso un backdoor virus o un backdoor malware.

Ciò che rende la backdoor particolarmente pericolosa è la sua natura furtiva: opera nell’ombra, spesso senza generare allarmi nei sistemi di sicurezza tradizionali. Chi la sfrutta può accedere al sistema in modo silenzioso e continuativo, anche dopo che il vettore di attacco originale è stato rimosso.

Le conseguenze possono essere gravi e di diversa natura:

• furto di dati sensibili e credenziali di accesso;
• installazione di ulteriori malware o ransomware;
• controllo remoto completo del sistema compromesso;
• interruzione dei servizi operativi;
• accesso a infrastrutture critiche collegate.

Nel contesto di aziende che gestiscono reti infrastrutturali, come le reti gas, una backdoor non rilevata potrebbe consentire a un attaccante di monitorare o manipolare sistemi di controllo industriale, con impatti potenzialmente significativi sulla continuità del servizio e sulla sicurezza.

Le diverse tipologie di backdoor

Non esiste un’unica forma di backdoor informatica: si tratta piuttosto di una categoria ampia che comprende tecniche molto diverse tra loro, accomunate dall’obiettivo di garantire un accesso non autorizzato e persistente a un sistema.

Le backdoor hardware vengono inserite direttamente nei componenti fisici di un dispositivo – come chip, firmware o schede di rete – durante la fase di produzione. Sono tra le più difficili da rilevare perché operano a un livello molto basso del sistema e non vengono toccate da aggiornamenti software. Il dibattito geopolitico attorno a Huawei, ad esempio, ha portato diversi governi occidentali a introdurre restrizioni formali sull’uso dei componenti dell’azienda nelle reti 5G nazionali, citando rischi potenziali legati alla presenza di backdoor hardware – un caso che ha reso il tema della sicurezza della supply chain una priorità per governi e regolatori di tutto il mondo.

Le backdoor software sono invece integrate in applicazioni o sistemi operativi, e possono essere il risultato di una scelta deliberata dello sviluppatore oppure introdotte da attori malevoli attraverso vulnerabilità nel codice. Nel 2015, Juniper Networks scoprì una backdoor nei propri dispositivi VPN: qualcuno aveva modificato il generatore di numeri casuali del sistema di cifratura, permettendo a chi conosceva la modifica di decrittare tutto il traffico VPN protetto. L’incidente dimostrò come anche prodotti di aziende affidabili possano essere compromessi a insaputa del vendor stesso.

Esistono poi le backdoor nei protocolli di rete, che sfruttano falle nei protocolli di comunicazione per aprire canali di accesso nascosti, e le backdoor crittografiche, ovvero debolezze introdotte deliberatamente negli algoritmi di cifratura. Il caso Dual EC DRBG è uno degli esempi più noti: nel 2013 i documenti Snowden rivelarono che la NSA aveva lavorato per inserire una backdoor in questo algoritmo di generazione di numeri casuali, poi adottato come standard dal NIST, alimentando un dibattito che ha segnato profondamente l’integrità delle infrastrutture crittografiche globali.

Una delle forme più diffuse di backdoor malware è quella veicolata tramite RAT (Remote Access Trojan): software malevoli che si installano sul sistema vittima fingendosi programmi legittimi e aprono un canale di comunicazione con il server dell’attaccante, abilitando il controllo remoto completo del dispositivo. Tra i più noti vi sono FinFisher – uno strumento commerciale venduto a governi per attività di sorveglianza – e DarkComet, ampiamente utilizzato in campagne di cybercrimine e sorveglianza illecita documentate in tutto il mondo.

Come vengono installate e sfruttate dagli hacker

Capire le modalità di installazione di una backdoor è il primo passo per costruire difese efficaci. Gli attaccanti sfruttano una combinazione di tecniche diverse a seconda del target e dell’obiettivo.

Molte backdoor vengono installate approfittando di falle di sicurezza in applicazioni, sistemi operativi o librerie non aggiornate. Un sistema non patchato è una porta aperta per chi conosce le vulnerabilità pubbliche (CVE) o dispone di exploit zero-day. La violazione di Equifax nel 2017 – che espose i dati personali di 147 milioni di persone – fu resa possibile proprio da una vulnerabilità nel framework Apache Struts rimasta senza patch per mesi, a dimostrazione di quanto il ritardo negli aggiornamenti possa avere conseguenze enormi. Il gruppo Lazarus, legato alla Corea del Nord, ha più volte utilizzato campagne di spear phishing mirato per installare backdoor nei sistemi di istituti finanziari e aziende tecnologiche, sottraendo in alcuni casi centinaia di milioni di dollari.

Il phishing e ingegneria sociale rappresentano un altro vettore di attacco molto efficace: l’utente viene indotto a scaricare un file apparentemente innocuo – un allegato email, un aggiornamento software fasullo, un documento condiviso – che in realtà contiene un backdoor virus o un RAT. È uno dei vettori di attacco più efficaci perché fa leva sull’errore umano, difficile da prevenire con soli strumenti tecnici.

Particolarmente sofisticati sono i cosiddetti supply chain attack: l’attaccante non colpisce direttamente il bersaglio, ma compromette un fornitore terzo – un produttore di hardware, uno sviluppatore di librerie open source o un vendor di software – per inserire la backdoor in un prodotto distribuito su larga scala. Il caso SolarWinds del 2020 è l’esempio più emblematico: gli attaccanti inserirono una backdoor negli aggiornamenti della piattaforma Orion, distribuita a oltre 18.000 organizzazioni tra cui agenzie governative americane e aziende Fortune 500. La backdoor rimase attiva per mesi senza essere rilevata.

Anche le credenziali deboli o compromesse sono un vettore frequente. Dispositivi configurati con password di default, credenziali riutilizzate o account con privilegi eccessivi rappresentano un accesso facilitato. La botnet Mirai del 2016 ne è l’esempio più clamoroso: il malware sfruttava le credenziali di fabbrica di telecamere IP, router e altri dispositivi IoT per infettarli e installarvi una backdoor, usandoli poi per sferrare attacchi DDoS che misero offline servizi come Twitter, Netflix e Reddit per diverse ore.

Infine, strumenti di amministrazione remota legittimi come RDP (Remote Desktop Protocol), SSH o VPN, se mal configurati o non adeguatamente protetti, possono essere sfruttati per creare canali di accesso persistenti difficili da distinguere dal traffico legittimo. In molti attacchi ransomware degli ultimi anni, il vettore iniziale è stato proprio un accesso RDP esposto su internet con credenziali deboli, utilizzato per installare una backdoor prima di avviare la cifratura dei dati.

Chi è più a rischio e in quali contesti

Sebbene qualsiasi sistema connesso possa essere bersaglio di una backdoor informatica, alcuni contesti sono esposti a un rischio significativamente maggiore. Le infrastrutture critiche – reti energetiche, sistemi idrici, infrastrutture di trasporto e reti gas – sono obiettivi ad alto valore per attori statali e gruppi di cybercriminali organizzati. Una backdoor in questi contesti non mira solo al furto di dati, ma può ambire a compromettere la continuità operativa di servizi essenziali. L’attacco alla rete elettrica ucraina nel 2015 e nel 2016 ne è l’esempio più significativo: il malware BlackEnergy prima e Industroyer poi furono utilizzati per installare backdoor nei sistemi di controllo delle centrali, causando blackout che lasciarono senza corrente centinaia di migliaia di persone.

I sistemi di controllo industriale (ICS/SCADA) sono particolarmente vulnerabili perché spesso progettati con priorità alla disponibilità operativa più che alla sicurezza informatica. Aggiornamenti difficoltosi, protocolli proprietari e cicli di vita molto lunghi amplificano il rischio, come ha dimostrato in modo drammatico la sequenza di attacchi alla rete elettrica ucraina nel 2015 e nel 2016. Nel primo caso, il malware BlackEnergy fu utilizzato per infiltrarsi nei sistemi di controllo di tre società di distribuzione elettrica, disabilitando le sottostazioni e lasciando senza corrente circa 230.000 persone nella regione di Ivano-Frankivsk – il primo blackout nella storia documentata causato deliberatamente da un attacco informatico. L’anno successivo, il malware Industroyer – considerato dagli esperti di sicurezza il più sofisticato mai sviluppato specificamente per attaccare infrastrutture elettriche – colpì la capitale Kiev, causando un’interruzione di circa un’ora. Entrambi gli attacchi furono attribuiti al gruppo russo Sandworm dall’intelligence americana e da ESET, e rappresentano ancora oggi il riferimento più studiato per chi si occupa di sicurezza delle infrastrutture critiche.

Anche i dispositivi IoT industriali – sensori, contatori smart e attuatori distribuiti sul territorio – sono un vettore critico. Le loro limitate capacità di elaborazione rendono difficile implementare controlli di sicurezza avanzati, e firmware non aggiornati, comunicazioni non cifrate e credenziali di default sono vettori comuni di compromissione. Un esempio particolarmente significativo è TRITON, noto anche come TRISIS: il malware scoperto nel 2017 fu progettato specificamente per attaccare i Safety Instrumented Systems (SIS) di un impianto petrolchimico in Arabia Saudita, ovvero i sistemi deputati a prevenire incidenti fisici e a mettere in sicurezza gli impianti in caso di emergenza. L’obiettivo non era sottrarre dati, ma disabilitare i meccanismi di sicurezza stessi – con potenziali conseguenze catastrofiche sulle persone e sull’ambiente. L’attacco fu attribuito al gruppo russo TEMP.Veles e rappresenta ancora oggi uno degli esempi più inquietanti di come le backdoor nei sistemi industriali possano tradursi in rischi per la sicurezza fisica, non solo informatica.

Più in generale, tutte le organizzazioni con supply chain estesa sono esposte al rischio di compromissione attraverso fornitori terzi. Il caso SolarWinds ha reso evidente che anche organizzazioni con elevati standard di sicurezza interni possono essere colpite attraverso un vendor considerato affidabile: ogni componente esterno è un potenziale vettore di backdoor, soprattutto se il processo di validazione non è sufficientemente strutturato.

Come riconoscere una possibile backdoor

Rilevare una backdoor non è semplice: per definizione, è progettata per passare inosservata. Tuttavia, esistono segnali che, se monitorati correttamente, possono indicare la presenza di accessi non autorizzati.

I principali indicatori da tenere sotto controllo sono:

• Traffico di rete anomalo: connessioni verso indirizzi IP sconosciuti, picchi di traffico in uscita in orari insoliti o comunicazioni su porte non standard possono indicare che un processo sta comunicando con un server di comando e controllo (C2) esterno. In molti incidenti documentati, la backdoor veniva scoperta proprio analizzando il traffico: il sistema inviava piccoli pacchetti cifrati a intervalli regolari, quasi impercettibili senza un monitoraggio dedicato.
• Processi o servizi non autorizzati in esecuzione: le backdoor più sofisticate si mascherano con nomi simili a quelli di processi legittimi – ad esempio “svchost32.exe” invece di “svchost.exe” – puntando sulla disattenzione degli amministratori. Anche la presenza di eseguibili in posizioni insolite del file system o di servizi avviati automaticamente senza configurazione esplicita merita sempre un’analisi approfondita.
• Modifiche non autorizzate a file di sistema: alterazioni ai file di configurazione di rete, agli script di avvio automatico o ai file critici – soprattutto se non corrispondono ad attività di manutenzione documentate – devono essere investigate immediatamente. Gli strumenti di file integrity monitoring (FIM) consentono di rilevare queste modifiche in tempo reale.
• Account con privilegi non giustificati: nuovi utenti con diritti amministrativi, accessi da IP o aree geografiche inusuali sono segnali da non sottovalutare.
• Cali di performance inspiegabili: un consumo anomalo di CPU, memoria o banda di rete senza cause apparenti può indicare un processo malevolo in background. In diversi casi documentati, la backdoor è stata scoperta quasi per caso, quando un amministratore ha indagato su un rallentamento inspiegabile del server.

Come difendersi dalle backdoor

Difendersi dalle backdoor richiede un approccio stratificato che combina tecnologie, processi e cultura della sicurezza. Non esiste una singola misura che garantisca la protezione assoluta: la resilienza si costruisce attraverso la sovrapposizione di più livelli di difesa.

Patch management

Mantenere aggiornati sistemi operativi, applicazioni e firmware chiude le vulnerabilità note prima che possano essere sfruttate. La maggior parte degli attacchi che portano all’installazione di una backdoor virus sfrutta falle per cui esistono già patch disponibili. Definire un processo strutturato, con priorità basate sulla criticità delle vulnerabilità e dei sistemi coinvolti, riduce drasticamente la superficie di attacco disponibile.

Monitoraggio continuo

Il monitoraggio del traffico e dei log è spesso l’unica difesa efficace contro le backdoor più sofisticate, non rilevabili dai tradizionali sistemi antivirus. Implementare sistemi SIEM (Security Information and Event Management) per correlare eventi di sicurezza e rilevare anomalie in tempo reale è oggi una pratica indispensabile per qualsiasi organizzazione che gestisca infrastrutture critiche. In questi contesti è consigliabile affiancare al SIEM soluzioni di Network Detection and Response (NDR) per l’analisi del traffico interno alla rete.

Segmentazione della rete e least privilege

La segmentazione della rete e l’applicazione del principio del least privilege limitano il raggio d’azione di una backdoor eventualmente installata: anche se un attaccante riesce a compromettere un sistema, la segmentazione impedisce il movimento laterale verso sistemi più sensibili. Parallelamente, adottare l’autenticazione multi-fattore (MFA) per tutti gli accessi privilegiati e gestire in modo centralizzato le identità digitali riduce drasticamente il rischio di compromissione tramite credenziali. L’esperienza della botnet Mirai ha dimostrato che milioni di dispositivi possono essere compromessi semplicemente per l’uso di password di default mai cambiate.

Vulnerability assessment e penetration test

Eseguire periodicamente questi test, simulando il comportamento di un attaccante reale, consente di identificare vulnerabilità e potenziali backdoor prima che vengano sfruttate. In contesti critici è consigliabile effettuarli almeno una volta l’anno o dopo ogni modifica significativa all’infrastruttura, coinvolgendo team specializzati in sicurezza OT (Operational Technology) oltre che IT.

Verifica della supply chain

Adottare processi strutturati di vendor assessment, validare l’integrità di hardware e software prima della messa in esercizio e ricorrere a pratiche di Software Bill of Materials (SBOM) aiuta a mappare le dipendenze esterne e a rilevare componenti compromessi, anche quando provengono da fornitori storicamente affidabili. Il caso SolarWinds ha reso questa pratica irrinunciabile.

Formazione continua del personale

Poiché molte backdoor vengono installate attraverso tecniche di ingegneria sociale come il phishing, riconoscere un’email sospetta, evitare download da fonti non verificate e segnalare comportamenti anomali sono competenze che ogni dipendente dovrebbe possedere. Simulazioni periodiche di phishing e programmi di awareness strutturati sono tra gli investimenti a più alto ritorno in ambito cybersecurity.

In un contesto come quello della distribuzione del gas, in cui la digitalizzazione delle reti porta con sé benefici operativi enormi ma anche nuove superfici di attacco, affrontare il tema della backdoor informatica non è solo una questione tecnica: è una priorità strategica per garantire la continuità del servizio e la sicurezza delle infrastrutture critiche.