Tech a quattro ruote: proteggere la strada del futuro 

La trasformazione digitale del settore automobilistico ha ridefinito il concetto stesso di mobilità. I veicoli moderni non sono più semplici mezzi di trasporto, ma ecosistemi digitali interconnessi, capaci di elaborare e trasmettere grandi quantità di dati in tempo reale. Sebbene questa evoluzione abbia migliorato l’efficienza, il comfort e la sicurezza dei veicoli, ha, tuttavia, anche ampliato la superficie di attacco, esponendo il settore a nuove minacce informatiche. I veicoli sono ormai “data center su ruote” e la cybersicurezza è diventata un elemento strategico per proteggere non solo l’incolumità fisica dei passeggeri, ma anche i dati, la continuità operativa delle filiere industriali e la stabilità dei mercati globali.​ 

Il rischio cyber nella mobilità del futuro 

Il settore automobilistico sta registrando un forte aumento dell’uso di tecnologie smart, software e connettività dei veicoli, come la guida autonoma, l’infotainment avanzato e la connettività 5G. Ma se la garanzia della sicurezza fisica e informatica è oramai estesa ed essenziale per gran parte dei settori produttivi e di consumo, il settore automotive non fa certo eccezione: le minacce informatiche ai veicoli sono aumentate esponenzialmente. 

Secondo il “Global Automotive Cybersecurity Report 2025” della società Upstream, gli incidenti di cybersicurezza analizzati nel settore automobilistico sono aumentati da 295 nel 2023 a 409 nel 2024, con un incremento significativo attribuito agli attacchi ransomware. Questi attacchi possono compromettere sistemi critici come i freni o il controllo del motore, mettendo a rischio la sicurezza dei passeggeri e causando danni economici considerevoli. Le flotte aziendali, sempre più connesse, diventano bersagli strategici per la criminalità informatica. A ciò si aggiungono i rischi di spionaggio industriale attraverso dispositivi IoT integrati nei veicoli, che possono esfiltrare dati sensibili sulla progettazione o sull’utilizzo del mezzo. 

Per quanto i vettori di attacco cyber all’automotive siano piuttosto variegati, sono primariamente legati, in oltre il 60% dei casi, alla violazione dei server e delle applicazioni per l’accesso remoto. Per il 14% delle volte le intrusioni avvengono attraverso i sistemi di infotainment. L’infotainment è un termine che nasce dalla fusione di information ed entertainment e si riferisce ai sistemi digitali integrati nei veicoli che combinano funzionalità informative (come navigazione GPS, dati sul traffico, condizioni del veicolo) con funzionalità di intrattenimento (musica, video, connettività con smartphone, app, comandi vocali, ecc.). Sono in aumento anche gli attacchi alle infrastrutture per la ricarica dei veicoli elettrici, che si posizionano fra le prime cinque cause di danno informatico agli automobilisti, seguiti da rischi minori, come ad esempio le intrusioni malevole diffuse attraverso i sistemi bluetooth. 

Gli attacchi ai software di bordo sono sempre più sofisticati e mirano a compromettere i sistemi critici del veicolo. Un caso emblematico di qualche anno fa è stato quello di Tesla, che ha subito un attacco dimostrativo da parte di ricercatori cinesi del team Tencent Keen Security Lab, che sono riusciti a manipolare il sistema Autopilot deviando il veicolo nella corsia opposta senza intervento del conducente. Anche i sistemi ADAS (Advanced Driver Assistance Systems) sono sistemi estremamente vulnerabili: uno studio del Georgia Institute of Technology ha evidenziato come sensori Lidar e radar possano essere ingannati da attacchi di spoofing o jamming. 

Le conseguenze di un attacco informatico possono andare oltre il singolo veicolo, avendo impatti sistemici. Disfunzioni logistiche in seguito ad attacchi a flotte aziendali possono paralizzare intere supply chain: è il caso di Maersk nel 2017, che subì un attacco NotPetya, causando perdite per oltre 300 milioni di dollari.  

Strategie aziendali  

Le case automobilistiche stanno adottando un approccio proattivo alla cybersicurezza, integrando misure di protezione fin dalle prime fasi dello sviluppo del veicolo. La società Aptiv ha, ad esempio, sviluppato un Cybersecurity Management System (CSMS), ovvero un sistema di gestione della sicurezza informatica che copre l’intero ciclo di vita del veicolo, dalla progettazione alla dismissione, inclusa la catena di fornitura.  

Molte aziende stanno indirizzando investimenti crescenti in cybersecurity by design, creazione di “vehicle SOC” (Security Operation Centers) e partnership con aziende di cyber intelligence. Daimler Truck, ad esempio, ha stretto una partnership con la startup israeliana C2A Security per implementare la piattaforma EVSec, che automatizza la gestione della cybersicurezza e garantisce la conformità alle normative vigenti. Le aziende Tier-1, ossia quei fornitori che lavorano direttamente con le case automobilistiche (come Bosch, Continental, Aptiv), sono sempre più coinvolte nello sviluppo di soluzioni di sicurezza avanzate. Continental, ad esempio, ha ampliato la sua offerta con soluzioni di sicurezza in-vehicle, che includono sistemi di rilevamento delle intrusioni e moduli di comunicazione sicura.  

Infine, alcuni produttori stanno implementando architetture di sicurezza basate sul principio del “Zero-Trust“, che presume che nessuna componente interna o esterna sia intrinsecamente affidabile, richiedendo verifiche continue per ogni accesso o operazione.  

Quadro normativo  

A livello internazionale, la regolamentazione della cybersicurezza applicata al settore automotive è guidata principalmente dalla Commissione economica per l’Europa delle Nazioni Unite (UNECE) attraverso il World Forum for Harmonization of Vehicle Regulations (WP.29). Questo organismo ha emesso due regolamenti fondamentali – il n. 155 e il n. 156 – che definiscono standard vincolanti per la gestione della sicurezza informatica e degli aggiornamenti software nei veicoli. I regolamenti UNECE si applicano a 58 Stati membri e interessano un’ampia gamma di veicoli, dai privati ai commerciali fino a quelli agricoli e industriali. Per i produttori che operano in questi mercati, l’adozione di tali normative è obbligatoria e rappresenta un passaggio chiave per ottenere l’omologazione dei nuovi modelli. 

Il Regolamento n. 155 introduce l’obbligo per i costruttori di implementare un Cybersecurity Management System (CSMS). Il Regolamento n. 156, invece, si concentra sul Software Update Management System (SUMS), richiedendo agli OEM (Original Equipment Manufacturer) di garantire la tracciabilità, la sicurezza e la gestione corretta degli aggiornamenti software nel tempo. 

Per supportare l’implementazione tecnica di questi regolamenti, sono stati elaborati standard internazionali condivisi. La norma ISO/SAE 21434, pubblicata nel 2021, definisce i requisiti per la progettazione e la gestione della sicurezza informatica dei veicoli e rappresenta il riferimento tecnico per garantire la conformità al Regolamento n. 155. Allo stesso modo, lo standard ISO 24089 fornisce le linee guida operative per la gestione degli aggiornamenti software, in linea con quanto richiesto dal Regolamento n. 156. 

Questi strumenti normativi e tecnici delineano un framework chiaro e armonizzato a livello internazionale, rafforzando la sicurezza digitale del settore automobilistico e ponendo le basi per una mobilità intelligente e resiliente. 

Impatto geopolitico 

La crescente digitalizzazione dei veicoli ha trasformato l’industria automobilistica in un ambito strategico a livello globale, sempre più esposto alle implicazioni delle tensioni geopolitiche. I veicoli connessi, dotati di sistemi avanzati di comunicazione e automazione, rappresentano infatti potenziali vulnerabilità per la sicurezza nazionale, rendendo centrale la cybersicurezza non solo per la protezione dei dati personali, ma anche per la salvaguardia delle infrastrutture critiche. In questo contesto diversi Paesi stanno sviluppando strategie normative e industriali che, pur differendo per priorità e capacità tecnologiche, convergono su un punto: la necessità di rafforzare la resilienza digitale del settore automobilistico. 

Negli Stati Uniti la National Highway Traffic Safety Administration (NHTSA) ha pubblicato nel 2022 le Cybersecurity Best Practices for the Safety of Modern Vehicles, offrendo linee guida concrete a produttori e sviluppatori di veicoli autonomi e connessi. Parallelamente, il Dipartimento della Difesa (DoD) considera tali veicoli potenziali vettori di minaccia, soprattutto in scenari di guerra ibrida e spionaggio. A livello più ampio, la National Cybersecurity Strategy della precedente amministrazione Biden pubblicata nel 2023 promuove un approccio che responsabilizza maggiormente i produttori nella sicurezza dei software critici. 

L’Unione europea si distingue per un impianto normativo multilivello che integra sicurezza, innovazione e responsabilità. Il Cyber Resilience Act impone requisiti minimi di sicurezza per tutti i prodotti con componenti digitali, inclusi i veicoli, mentre la Direttiva NIS2 amplia la definizione di infrastruttura critica, includendo il settore dei trasporti intelligenti. In parallelo, l’AI Act introduce un quadro di responsabilità specifico per i sistemi di intelligenza artificiale ad alto rischio, come quelli nei veicoli autonomi. Tali normative si integrano con i regolamenti UNECE, recepiti a livello europeo tramite il Regolamento sulla sicurezza generale dei veicoli, che disciplina l’approvazione dei sistemi avanzati di assistenza alla guida. 

Dal canto suo, la Cina adotta una strategia duale: da un lato, promuove lo sviluppo di veicoli elettrici e autonomi con investimenti pubblici e incentivi; dall’altro, mantiene un controllo rigoroso sui dati. La Data Security Law e la Cybersecurity Law vietano o limitano fortemente l’esportazione di dati generati da veicoli connessi, rendendo difficile l’operatività delle aziende straniere senza una stretta supervisione statale. Secondo il Mercator Institute for China Studies (MERICS), queste misure fanno parte di una più ampia strategia di sovranità tecnologica volta a rafforzare il controllo nazionale sulle infrastrutture digitali. 

Infine, in Medio Oriente e nel Sud-Est asiatico, Paesi come Emirati Arabi Uniti, Singapore, India e Tailandia mostrano un approccio più flessibile e orientato alla sperimentazione. Iniziative come la Smart Nation di Singapore hanno facilitato la sperimentazione di tecnologie autonome in contesti urbani, ma la mancanza di standard condivisi e di framework di cybersicurezza consolidati espone questi mercati a maggiori rischi. Un report di Trend Micro del 2023 evidenzia come l’Asia sudorientale sia tra le aree più colpite da attacchi ransomware al settore dei trasporti. 

Scenari futuri 

La cybersicurezza è ormai diventata una componente strategica per l’intero settore automotive, soprattutto in un contesto in cui i veicoli sono sempre più connessi, automatizzati e dipendenti da software. Secondo un recente studio pubblicato da BusinessWire, il mercato globale della sicurezza informatica per l’automotive è destinato a crescere in modo significativo entro il 2028, spinto da grandi player industriali come Bosch, Continental, Denso e Aptiv. A livello globale, si osserva un’intensificazione della competizione tra Stati Uniti, Unione europea e Cina: l’auto intelligente è sempre più un terreno di confronto tecnologico e geoeconomico. In questo scenario il tema della sovranità digitale diventa centrale, con iniziative come Gaia-X che puntano a rafforzare il controllo europeo sui dati e sulle infrastrutture digitali. 

Parallelamente, si moltiplicano gli investimenti e le acquisizioni in startup e tecnologie dedicate alla cybersicurezza per il comparto automobilistico, in particolare in ecosistemi dinamici come Israele, Corea del Sud e Silicon Valley. Israele, ad esempio, si sta affermando come hub globale per la sicurezza digitale dei veicoli, grazie a un mix di innovazione, know-how militare e attrattività per investimenti internazionali. Per le aziende, questo significa che la sicurezza informatica non può più essere considerata solo un tema tecnico, ma un vero e proprio asset strategico: occorre investire in tecnologie robuste, formare competenze interne e costruire partnership con attori specializzati.  

Infine, anche i governi giocano un ruolo chiave: la definizione di regole chiare, la promozione di standard comuni e la cooperazione internazionale sono elementi fondamentali per creare un ecosistema di mobilità sicura e affidabile.  

La cybersicurezza automobilistica non sarà più solo una questione tecnica, ma un campo di confronto strategico tra modelli di governance, interessi industriali e proiezioni di potere.