Nel 2021, in Germania, un’azienda di ingegneria ha perso il controllo del suo edificio. Illuminazione, tapparelle, riscaldamento, ventilazione e sensori di movimento erano fuori uso. Per settimane l’edificio è andato avanti con gli interruttori del quadro.

Cosa è successo agli impianti KNX?

Chi riesce a collegarsi a un impianto KNX senza protezioni può cancellare la programmazione degli apparecchi e chiuderli con una password scelta da lui. Il proprietario resta fuori: luci, tapparelle e riscaldamento non rispondono più come prima. È una falla nota dal 2023. A luglio 2026 la CISA l’ha inserita nel suo catalogo delle falle sfruttate negli attacchi reali, l’elenco che usa per dire alle amministrazioni americane cosa sistemare per primo.

Un attaccante può cancellare la programmazione degli apparecchi che non hanno protezioni in più e impostare una chiave BCU che li blocca.

↳ Fonte: CISA, catalogo delle falle sfruttate, CVE-2023-4346 (in inglese) [cisa.gov]

Secondo la scheda tecnica della CISA sono a rischio gli apparecchi KNX in cui nessuno ha mai impostato la chiave BCU, vecchi o nuovi. E una volta impostata da un estraneo, quella password spesso non si può azzerare senza conoscerla.

CISA, avviso ICSA-23-236-01 sul protocollo KNX (in inglese)

Perché non basta aggiornare?

Perché non è un errore di un apparecchio: è il modo in cui funziona lo standard, e non esiste un aggiornamento che lo cambi. Dopo l’annuncio della CISA la rivista di settore Inside Lighting lo ha scritto: non c’è una correzione software. Impostare la chiave lo fa chi ha programmato il tuo impianto, una volta, con il suo programma e il file del progetto.

Cos’è la chiave BCU, in parole semplici?

È una password che l’installatore mette negli apparecchi KNX quando li programma: chi non la conosce non può riprogrammarli. Se c’è, un estraneo non può sovrascriverla. Se non c’è, il primo che arriva può metterne una sua.

Ha però un rovescio: se la chiave si perde, sei bloccato anche tu. ABB, uno dei produttori di apparecchi KNX, lo scrive nel suo bollettino tecnico del 2022: senza la chiave giusta gli apparecchi diventano inutilizzabili e vanno sostituiti. Per questo la chiave deve stare scritta nei documenti dell’impianto, a casa tua, non solo nel computer dell’installatore.

ABB, bollettino tecnico sulla chiave BCU impostata da un attacco (in inglese e tedesco)

Com’è andata nell’edificio del 2021?

Gli apparecchi erano raggiungibili da Internet. Secondo SecurityWeek i dipendenti sono rimasti chiusi fuori dal sistema e centinaia di apparecchi sono diventati inutilizzabili. Nessuna richiesta di riscatto, e il motivo dell’attacco non si è mai capito (le testate sono nelle fonti in fondo).

Per arrivare a questo serve che l’impianto sia raggiungibile, quasi sempre da Internet. È la seconda cosa da controllare.

Il mio impianto KNX è raggiungibile da Internet?

Lo è se qualcuno ha aperto una porta sul router per comandarlo da fuori senza VPN, ed è la configurazione da togliere. Il 21 settembre 2026 l’associazione KNX ha avvertito che inoltrare sul router del cliente la porta usata da KNX (la 3671) non dovrebbe più far parte di un impianto moderno. Per entrare da fuori indica una VPN o un accesso dedicato con autenticazione.

i-magazin, KNX mette in guardia dalla porta 3671 aperta (in tedesco)

Io la regola la applico a tutti gli impianti di controllo: niente esposto a Internet, l’impianto dietro un firewall e separato dalla rete dei computer, da fuori solo con una VPN aggiornata.

Chi attacca così non cerca qualcuno di specifico, cerca qualcosa di sfruttabile. Fare la mappa di cosa risponde su Internet richiede pochi istanti, e spesso nessuno guarda nemmeno di chi è l’impianto, villetta o ufficio. Molti di questi attacchi sono completamente automatici.

Come controllarlo, anche se non sei tecnico:

  1. Chiedi all’installatore come comandi l’impianto quando sei fuori casa. Se la risposta è «abbiamo aperto una porta sul router», è da cambiare.
  2. Se hai già l’app da fuori e non sai come funziona, fai verificare all’informatico con quale strada passa: VPN, servizio del produttore o porta aperta. Le tre risposte e cosa significano sono nella guida alla casa intelligente.
  3. Fai guardare il router all’informatico: non dovrebbe esserci nessuna porta aperta verso l’impianto. Come entrare nel router è spiegato nella stessa guida.

Cosa chiedo all’installatore?

Due domande specifiche per KNX, da aggiungere a quelle che valgono per ogni impianto. Le domande generali (chi aggiorna, come entri da fuori, chi è l’amministratore, la rete separata) le trovi già nella guida alla casa intelligente. L’installatore sa fare il suo, non è un informatico: a lui chiedo solo quello che ha fatto lui, cioè la chiave BCU e come ha previsto il comando da fuori casa.

  1. La chiave BCU è impostata su tutti gli apparecchi, e me la consegna per iscritto con il file del progetto? È quello che raccomanda anche l’associazione KNX, per gli impianti nuovi e per quelli già finiti.
  2. Per comandare l’impianto da fuori casa, cosa ha installato e ha toccato il router? Non gli chiedo di giudicare la rete: mi serve sapere cosa ha messo, per passarlo all’informatico.

Ti consiglio di chiederlo per iscritto, così la risposta resta. Questo messaggio puoi mandarlo così com’è:

Se gli apparecchi sono così vecchi da non supportare la chiave, chiedi all’installatore come proteggerli o quando conviene sostituirli. Quelli più recenti hanno anche KNX Secure, che protegge i comandi stessi e non solo la programmazione.

Io la chiave e il file del progetto li metterei con il libretto della caldaia e i documenti della casa, in una busta chiusa. Se un giorno cambi installatore, il nuovo ne avrà bisogno. Se affitti, la domanda va anche al proprietario o all’amministrazione; in uno stabile la busta la custodisce l’amministrazione, con l’elenco di chi può aprirla.

Se l’impianto è vecchio e l’installatore non c’è più, ti consiglio di chiedere una verifica a un altro installatore che lavora con KNX. Senza il file del progetto il lavoro è più lungo.

E cosa chiedo all’informatico?

Se l’impianto è raggiungibile da Internet lo verifica chi si occupa della rete, non l’installatore. Spesso l’informatico non viene chiamato e chi installa apre il router da solo: per questo la parte di rete la faccio controllare a parte. In casa, se non hai un informatico, il messaggio va a chi ti segue il router e la rete.

Se l’impianto non risponde più

  1. Non far provare password o riprogrammazioni a caso. Chiama l’installatore al numero che hai già, non a quello di un messaggio ricevuto.
  2. Fai staccare il collegamento da fuori, cioè l’apparecchio che collega l’impianto al router: se non sai qual è, chiedilo all’installatore o all’informatico, finché non avete capito cosa è successo.
  3. Segnala il caso. In Svizzera all’Ufficio federale della cibersicurezza (UFCS) con il modulo su report.ncsc.admin.ch. In Italia alla Polizia Postale. Se è un’azienda, ti consiglio di avvisare anche l’assicurazione prima di sostituire gli apparecchi.

Domande frequenti

Come faccio a sapere se il mio impianto è KNX?

Chiedilo a chi l'ha installato: lo sa subito, ed è scritto nei documenti che ti ha consegnato a fine lavori. A volte il marchio KNX è stampato sugli apparecchi nel quadro elettrico, ma non sempre è visibile. Se non trovi né i documenti né l'installatore, fai guardare il quadro da un elettricista.

Se imposto la chiave BCU e poi la perdo, cosa succede?

Resti bloccato anche tu: senza la chiave nessuno può riprogrammare gli apparecchi, e secondo ABB vanno sostituiti. Per questo la chiave va consegnata per iscritto al proprietario, insieme al file del progetto, e conservata con i documenti della casa. Il rischio di perderla si gestisce; quello di lasciarla vuota no.

Il mio impianto KNX ha vent'anni: devo rifarlo?

Non per forza. La protezione principale non è un apparecchio nuovo: è la chiave BCU impostata dall'installatore, dove gli apparecchi la supportano, e un impianto non raggiungibile da Internet. Ti consiglio una verifica da un installatore KNX. Al prossimo rinnovo io sceglierei apparecchi con le funzioni KNX Secure, che cifrano i comandi: lo consiglia anche ABB, fra i produttori.

Tutte le fonti di questo articolo

Le domande da fare a chi ha installato la domotica sono raccolte nella guida alla casa intelligente. Per KNX manda questa settimana il messaggio all’installatore: la chiave BCU la mette chi ha il file del progetto, e oggi sai ancora chi è.