Il piano CISA per le elezioni del 2026 punta sulle falle tra reti IT e sistemi di voto

La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha pubblicato il suo Piano per la sicurezza delle infrastrutture elettorali 2026, concentrandosi sulle vulnerabilità che possono mettere a rischio le operazioni elettorali anche quando le apparecchiature di voto principali restano isolate.

Il piano affronta attacchi informatici, attività interne, ritardi nell’applicazione delle patch e minacce fisiche. Illustra inoltre i servizi federali gratuiti a disposizione dei responsabili elettorali durante il ciclo del 2026.

La principale preoccupazione di CISA va oltre le macchine per il voto. Banche dati degli elettori, siti pubblici per la registrazione, account di posta elettronica degli uffici, postazioni di lavoro dei dipendenti, fornitori, appaltatori e personale temporaneo possono tutti creare percorsi d’accesso a sistemi sensibili.

Oltre 10.000 giurisdizioni condividono la responsabilità della sicurezza

Negli Stati Uniti, la responsabilità principale della sicurezza elettorale spetta alle autorità statali e locali. Sono oltre 10.000 le giurisdizioni locali che amministrano le elezioni, in un contesto fortemente decentralizzato, caratterizzato da differenze di personale, budget, tecnologie e maturità in materia di cybersicurezza.

Il governo federale mette a disposizione risorse e assistenza tecnica, ma non protegge direttamente ogni sistema locale. A luglio, il segretario alla Sicurezza interna Markwayne Mullin ha incaricato CISA di sviluppare il piano; non è stato reso noto l’anno in cui è stato impartito l’incarico.

Le valutazioni di CISA indicano che gli uffici elettorali faticano spesso a rispettare le pratiche fondamentali di igiene informatica e a correggere le vulnerabilità. Il problema è particolarmente grave quando le infrastrutture legate alle elezioni condividono connessioni o rapporti di fiducia con le normali reti statali, locali, tribali e territoriali.

Un attaccante potrebbe non aver bisogno di compromettere direttamente i software elettorali specializzati. L’accesso alla casella di posta o alla postazione di lavoro di un dipendente potrebbe diventare il punto d’ingresso iniziale, consentendo poi di spostarsi lateralmente nella rete aziendale verso i sistemi di registrazione degli elettori o di gestione delle elezioni.

Il piano non indica gruppi di hacker specifici, campagne in corso o intrusioni recenti. Gli avversari stranieri, gli hacker e i malintenzionati interni sono citati come categorie generali di minaccia.

La certificazione può trasformare l’applicazione delle patch in un dilemma di sicurezza

Le tecnologie elettorali sono soggette a requisiti di certificazione, pensati per garantire che i sistemi funzionino correttamente e in modo affidabile. Questi controlli possono creare un conflitto quando un fornitore rilascia un aggiornamento di sicurezza dopo la certificazione.

Applicarlo potrebbe modificare la configurazione approvata. Rimandarlo potrebbe lasciare esposta una vulnerabilità nota.

CISA chiede di adottare procedure di gestione delle patch compatibili con le regole di certificazione, così da poter distribuire tempestivamente gli aggiornamenti di sicurezza, anche in tempo reale quando necessario, senza invalidare automaticamente la certificazione di un sistema.

È un problema tanto procedurale quanto tecnico. Le autorità elettorali devono sapere se una vulnerabilità riguarda la configurazione in uso, se esiste una patch e se la sua installazione modifica lo stato di certificazione del sistema. Ritardi o comunicazioni incomplete da parte dei fornitori possono ostacolare ciascuno di questi passaggi.

CISA invita quindi i fornitori di software a:

• Assegnare identificativi CVE alle vulnerabilità di sicurezza.
• Informare rapidamente i clienti in caso di furto o diffusione del codice sorgente.
• Segnalare gli incidenti di sicurezza alle autorità competenti.
• Fornire una distinta dei materiali software per ogni prodotto.
• Comunicare con chiarezza l’esposizione alle vulnerabilità e lo stato delle patch.

Non vengono indicati fornitori, prodotti, versioni del software o build interessate. Il piano non riporta nemmeno identificativi CVE, punteggi CVSS, valutazioni formali di gravità, soluzioni temporanee o indicatori di compromissione riferiti a prodotti specifici.

Non si tratta di un avviso relativo al catalogo Known Exploited Vulnerabilities di CISA. Non è indicata una data di inserimento nel KEV né una scadenza federale per la correzione, perché il piano riguarda rischi sistemici per la sicurezza elettorale, non una singola vulnerabilità software confermata.

Le banche dati degli elettori restano un obiettivo allettante

Secondo CISA, sono stati tentati attacchi informatici ai sistemi di registrazione degli elettori in tutti e 50 gli Stati, con almeno 20 intrusioni riuscite. La valutazione si basa su segnalazioni dell’ultimo decennio, ma non sono stati indicati gli Stati colpiti, gli aggressori, le tecniche o le date degli incidenti.

Le banche dati di registrazione sono un obiettivo prezioso perché contengono le informazioni usate per determinare l’idoneità degli elettori e indicare dove votare. Un accesso non autorizzato potrebbe consentire di modificare quei dati o ostacolare l’amministrazione delle elezioni.

I servizi accessibili al pubblico ampliano ulteriormente la superficie di attacco. I portali per la registrazione online e gli strumenti per consultare i dati degli elettori devono accettare traffico da Internet, mentre la banca dati principale di registrazione richiede protezioni molto più rigorose.

CISA raccomanda di separare questi servizi pubblici dalla banca dati ufficiale. La compromissione di un sito accessibile dall’esterno non dovrebbe consentire l’accesso diretto ai dati sottostanti.

Tra le protezioni raccomandate:

• Autenticazione a più fattori per accedere alle banche dati e svolgere attività amministrative.
• Permessi basati sul principio del privilegio minimo per dipendenti, appaltatori e fornitori di servizi.
• Monitoraggio della rete in grado di individuare attività anomale.
• Conservazione dei log di sicurezza essenziali per almeno un anno.
• Segmentazione tra applicazioni pubbliche e sistemi principali di registrazione degli elettori.

Il piano non fornisce query specifiche per i log, indirizzi IP dannosi, hash di file, domini o altri indicatori di rilevamento. Gli uffici elettorali devono quindi affidarsi al monitoraggio dei comportamenti, alle verifiche degli accessi e ai dati di telemetria specifici del proprio ambiente.

Tra gli insider ci sono anche lavoratori temporanei, appaltatori e fornitori

Le operazioni elettorali si basano su una forza lavoro che va oltre i dipendenti pubblici permanenti. Personale stagionale, lavoratori temporanei, scrutatori volontari, appaltatori e fornitori di tecnologie possono tutti occuparsi di apparecchiature o accedere a processi sensibili.

Alcuni di loro potrebbero essere sottoposti a controlli meno rigorosi rispetto al personale permanente. Inoltre, nei periodi elettorali più intensi gli accessi possono aumentare rapidamente, rendendo più difficile gestire in modo coerente le identità e la supervisione.

Un insider malintenzionato potrebbe tentare di modificare senza autorizzazione i dati di registrazione degli elettori, le definizioni delle schede, le impostazioni di scrutinio o i risultati comunicati. Anche gli errori comportano rischi distinti: un dipendente potrebbe cadere in una truffa di phishing, collegare un supporto rimovibile non autorizzato, maneggiare male le apparecchiature o esporre le proprie credenziali.

CISA raccomanda un programma documentato di gestione del rischio interno, anziché fare affidamento soltanto su forme di supervisione informale. Il programma può basarsi anche sulle garanzie procedurali già esistenti, come la gestione delle schede da parte di due persone di schieramenti diversi, la presenza di osservatori durante lo scrutinio e una catena di custodia documentata.

Le misure tecniche dovrebbero affiancare queste procedure. Accessi basati sul principio del privilegio minimo, autenticazione robusta, registrazione dettagliata delle attività e rimozione tempestiva degli account non più necessari possono limitare ciò che una singola persona è in grado di fare senza essere rilevata.

Le schede cartacee e le verifiche manuali successive alle elezioni offrono un’ulteriore garanzia. Forniscono prove verificabili in modo indipendente dai registri elettronici e dai processi di scrutinio.

Le minacce di bomba costituiscono la maggior parte degli incidenti fisici segnalati

La cybersicurezza è solo uno degli aspetti affrontati dal piano. Dei 107 incidenti legati alle elezioni monitorati attraverso fonti aperte a partire da gennaio 2022, 96 riguardavano minacce di bomba.

Il dato mostra perché la pianificazione della sicurezza elettorale debba considerare edifici, personale, spostamento delle apparecchiature, comunicazioni e procedure di continuità operativa, oltre alla difesa delle reti. Anche senza danneggiare le tecnologie elettorali, una minaccia può interrompere le operazioni di voto o di scrutinio e mettere a rischio lavoratori ed elettori.

Il piano non fornisce una ripartizione degli altri incidenti né informazioni dettagliate sulle minacce di bomba. Non identifica inoltre i responsabili né attribuisce gli episodi a una campagna comune.

Le procedure fisiche e informatiche devono restare coordinate. Un’evacuazione, per esempio, può modificare chi ha accesso alle apparecchiature o interrompere le normali misure di custodia. I piani di continuità devono garantire che queste misure restino in vigore anche in situazioni di emergenza.

I servizi gratuiti di CISA possono individuare le vulnerabilità prima degli aggressori

Per il ciclo elettorale del 2026, CISA sostiene una piattaforma gratuita di condivisione delle informazioni destinata ai centri di coordinamento e ai responsabili elettorali statali e locali. La piattaforma consente comunicazioni quasi in tempo reale tra pari e partner federali.

Secondo CISA, il modello è stato utilizzato con successo durante la Coppa del Mondo FIFA 2026. Per chi amministra le elezioni, un canale di questo tipo potrebbe accelerare la condivisione di avvisi su attività sospette, schemi d’attacco ricorrenti e minacce operative tra le diverse giurisdizioni.

L’agenzia offre anche scansioni delle vulnerabilità, scansioni delle applicazioni web, penetration test continuativi e valutazioni più ampie dei rischi e delle vulnerabilità. Sistemi esca e canary token possono aiutare i difensori a rilevare accessi non autorizzati o movimenti all’interno della rete.

I responsabili elettorali dovrebbero concentrarsi su alcune azioni immediate: mappare i collegamenti tra le reti degli uffici e le infrastrutture elettorali, verificare gli accessi con privilegi elevati, imporre l’autenticazione a più fattori, controllare la conservazione dei log e separare i servizi pubblici di registrazione dalle banche dati ufficiali.

Dovrebbero inoltre definire come valutare le patch d’emergenza, evitando di restare bloccati tra i requisiti di certificazione e l’esposizione a una vulnerabilità attiva. I contratti con i fornitori dovrebbero imporre comunicazioni tempestive, informazioni chiare sullo stato delle patch, segnalazioni degli incidenti e una SBOM.

I risultati riportati in relazione al piano descrivono rischi diffusi, non prove di un’unica intrusione in corso su scala nazionale. La sfida per la sicurezza è strutturale: migliaia di giurisdizioni gestite in modo indipendente devono proteggere tecnologie interconnesse, servizi pubblici, dati sensibili e una vasta forza lavoro temporanea, rispettando scadenze operative rigorose.