Scoperta nel 2012, ignorata fino al 2025: la falla che può provare incidenti ferroviari negli USA

Una vulnerabilità critica nei sistemi di comunicazione radio tra le estremità dei treni americani è stata recentemente riconosciuta come un rischio reale solo dopo oltre un decennio di segnalazioni ignorate. Il problema riguarda i moduli End-of-Train (EoT) e Head-of-Train (HoT), dispositivi installati rispettivamente in coda e in testa ai convogli ferroviari per monitorare e gestire funzioni di sicurezza, inclusi i freni.

Il ricercatore di sicurezza Neil Smith, conosciuto online come midwestneil, racconta in un lungo thread su X di aver segnalato per la prima volta la vulnerabilità nel lontano 2012, quando gli apparati SDR (Software Defined Radio) sono diventati accessibili anche ai privati. Il sistema radio usato per il dialogo tra EoT e HoT si affida a un semplice checksum BCH, anziché a un meccanismo crittografico, per autenticare i pacchetti. Questo significa che chiunque possegga una SDR (Software Defined Radio) da meno di 500 dollari può potenzialmente inviare un falso comando di frenata al treno, senza che il macchinista se ne accorga.

La funzione di frenata da remoto è pensata come misura di emergenza, ad esempio per evitare che un treno diventi incontrollabile se si rompe il collegamento fisico tra i vagoni. Tuttavia, l'assenza di cifratura nei segnali rende possibile un'interferenza dolosa con conseguenze potenzialmente gravi, come arresti improvvisi, interruzioni al traffico merci o - in scenari estremi - incidenti ferroviari.

Nonostante la gravità del problema, l'American Association of Railroads (AAR) ha a lungo sminuito la questione. Secondo Smith, le prime segnalazioni furono accolte con scetticismo. L'AAR avrebbe ritenuto la minaccia puramente teorica, rifiutandosi di permettere test indipendenti su binari di prova, mentre la Federal Railway Authority (FRA), priva di strutture adeguate, non ha potuto intervenire.

Smith ha anche pubblicato i dettagli della vulnerabilità sul Boston Review, solo per essere smentito pubblicamente da rappresentanti dell'AAR in un'intervista a Fortune.

Nel corso degli anni, la posizione ufficiale dell'associazione è rimasta invariata: nel 2024, il direttore della sicurezza informatica dell'AAR ha dichiarato che i dispositivi vulnerabili erano ormai "a fine ciclo" e quindi non era necessario intervenire con urgenza.

La svolta è arrivata nel luglio 2025, quando la Cybersecurity & Infrastructure Security Agency (CISA) statunitense ha emesso un avviso ufficiale (CVE‑2025‑1727), evidenziando i rischi reali della vulnerabilità e costringendo l'AAR a cambiare posizione. L'organizzazione ha così annunciato una transizione verso un nuovo standard radio, basato su protocolli crittografati (802.16t), con implementazione prevista non prima del 2027.

Nel frattempo, alcuni operatori ferroviari sostengono che l'impatto pratico sia limitato, in quanto la funzione vulnerabile è usata quasi esclusivamente sui treni merci, e i sistemi frenanti presentano meccanismi di fallback autonomi. Tuttavia, la comunità della sicurezza informatica è unanime nel sottolineare come la mancanza di autenticazione nei sistemi di controllo remoto rappresenti una falla di progettazione inaccettabile, soprattutto nel caso di infrastrutture critiche.