Lacune nel sistema di avviso di collisione per gli aerei civili

Il CYD Campus (Cyber Defence Campus di armasuisse) ha sottoposto il sistema di avviso di collisione «Traffic Alert and Collision Avoidance System (TCAS) II» per l’aviazione civile a un’analisi tecnica di sicurezza completa. Sono stati informati i produttori e le autorità aeronautiche in Europa e negli Stati Uniti.

La questione risale a un episodio dello scorso dicembre allorquando un Boeing 737-800 stava per atterrare all’aeroporto John F. Kennedy di New York. Quello che inizialmente sembra un atterraggio normale, diventa improvvisamente insolito. Sul display del sistema TCAS dell’aereo compare un avviso di collisione. Il pilota viene invitato dal sistema a evitare immediatamente la potenziale collisione e a salire a 3’700 piedi, cosa che fa come da istruzioni. In seguito, il controllo del traffico aereo e il pilota stabiliscono che nessun altro oggetto volante era nelle vicinanze e che non c’era alcun rischio di collisione. Il dubbio resta se nel caso specifico si sia trattato di un problema tecnico o di un nuovo tipo di cyberattacco.

Nell’autunno del 2023, il team del Campus elvetico era riuscito a innescare falsi avvertimenti in una cabina di pilotaggio nel proprio laboratorio utilizzando un processore TCAS certificato di Garmin con la propria configurazione radio. Questi risultati sono stati successivamente illustrati a diverse conferenze di hacker nell’estate del 2024.

Dall’annuncio iniziale del Campus, il problema ha attirato l’attenzione di diverse autorità di sicurezza e di aviazione in tutto il mondo. La prima organizzazione a emettere un avviso di sicurezza è stata l’agenzia informatica americana CISA del Dipartimento di Sicurezza Nazionale, in collaborazione con la FAA degli Stati Uniti, il 21 gennaio 2025. Hanno classificato le due vulnerabilità individuate come moderate e gravi, rispettivamente.

Secondo la FAA, al momento non esistono contromisure pratiche. Tuttavia, in pratica, il successo di un attacco di questo tipo è associato a restrizioni e a un alto livello di complessità. Tuttavia, il rischio non deve essere sottovalutato e si raccomanda alle organizzazioni interessate di adottare misure compensative per rilevare tali attacchi, in modo da poter reagire in modo appropriato in caso di incidente.