Quando si parla di cybersecurity, si pensa subito a firewall, ransomware, phishing, protezione degli endpoint. Raramente si pensa al tempo. Eppure, la manipolazione del riferimento temporale di un'infrastruttura è uno degli attacchi più sofisticati, meno visibili e più difficili da rilevare che esistano — perché agisce in silenzio, a livello di protocollo, prima ancora che un operatore possa accorgersi di qualcosa.

Questo articolo parte dallo scenario reale delineato dalla Relazione annuale 2025 dell'Agenzia per la Cybersicurezza

Nazionale (ACN), ne estrae le implicazioni rilevanti per le infrastrutture critiche, e mostra cosa può fare concretamente Sincron Sistemi per chi vuole costruire una postura di sicurezza che includa anche il livello della sincronizzazione temporale.

Nel 2025 il CSIRT Italia ha gestito 2.729 eventi cibernetici, con un incremento del 38% rispetto all'anno precedente. Gli incidenti con impatto confermato sono stati 615, in aumento del 7%.

Il dato evidenzia una crescita significativa delle attività ostili, ma anche una maggiore capacità del sistema di intercettare, allertare e contenere. L'aumento degli eventi cyber non si è tradotto automaticamente in incidenti, anche grazie al lavoro preventivo del CSIRT Italia.

I settori più colpiti confermano il pattern degli anni precedenti: tra i bersagli principali figurano la Pubblica Amministrazione locale, la Pubblica Amministrazione centrale e il comparto delle Telecomunicazioni.

Gli attacchi DDoS hanno inciso in modo significativo sul volume complessivo degli eventi, con picchi nei mesi di febbraio, giugno, settembre e ottobre riconducibili a campagne di hacktivisti legate al conflitto russo-ucraino.

Il ransomware si conferma meno diffuso rispetto ad altre minacce, ma particolarmente critico: la maggior parte delle vittime è rappresentata da piccole imprese, soprattutto nel settore

manifatturiero, spesso caratterizzate da livelli di cybersicurezza limitati.

Il 2025 è stato anche un anno centrale per l'attuazione della disciplina NIS2 in Italia: l'ACN ha gestito l'ampliamento della platea dei soggetti coinvolti, con oltre 21.800 soggetti NIS individuati.

L'ACN pubblica rapporti mensili, semestrali e la Relazione annuale al Parlamento, tutti scaricabili gratuitamente dal portale ufficiale acn.gov.it . Il CSIRT Italia pubblica inoltre avvisi tecnici con contromisure specifiche per le vulnerabilità più critiche — uno strumento concreto per chi gestisce infrastrutture e vuole restare aggiornato sulla minaccia in tempo reale.

La connessione tra cybersecurity e sincronizzazione non è ovvia, ma è strutturale. Quasi tutte le funzioni di sicurezza di un'infrastruttura dipendono da un riferimento temporale affidabile:

• Autenticazione e certificati TLS/SSL — i certificati hanno date di validità. Se l'orologio di sistema è alterato, un certificato scaduto può risultare valido, o viceversa
• Log e correlazione degli eventi — la SIEM (Security Information and Event Management) correla gli eventi per ricostruire la catena di un attacco. Se i timestamp di server diversi non sono sincronizzati, la correlazione fallisce e l'attacco diventa invisibile nell'analisi forense
• Kerberos e Active Directory — il protocollo Kerberos tollera uno scarto massimo di 5 minuti tra client e server. Una deriva superiore blocca l'autenticazione sull'intera rete Windows
• Trading e sistemi finanziari — MiFID II impone una granularità di timestamp di 1 microsecondo con scarto massimo di 100 µs rispetto all'UTC. Un attacco che altera il riferimento temporale può rendere i log di trading non conformi o manipolabili
• Reti energetiche e IEC 61850 — la protezione differenziale nelle sottostazioni richiede sincronizzazione nell'ordine del microsecondo. Un'alterazione del riferimento temporale può causare operazioni di protezione errate con conseguenze sulla continuità della rete elettrica

In tutti questi contesti, chi controlla il tempo controlla la verità di ciò che è accaduto — e può alterarla.

Il GPS spoofing è la tecnica con cui un attaccante trasmette segnali GPS falsificati — più potenti di quelli reali — per indurre i ricevitori a calcolare una posizione e un'ora errate. Non è fantascienza: casi documentati includono episodi in aree di conflitto (Mar Nero, Medio Oriente, Est Europa) e attacchi dimostrativi su navi commerciali.

Per un time server che usa GPS come unica sorgente di riferimento, uno spoofing riuscito può introdurre un offset temporale arbitrario nella sincronizzazione dell'intera rete — senza che nessun allarme si attivi, perché il ricevitore "vede" un segnale apparentemente valido.

Il GPS jamming è più semplice dello spoofing: un trasmettitore a bassa potenza è sufficiente per saturare la banda L1 e rendere inutilizzabile qualsiasi ricevitore GPS in un raggio che può arrivare a decine di chilometri. L'effetto su un time server mono-costellazione è immediato: perdita del riferimento primario, degradazione della sincronizzazione in holdover con l'oscillatore interno.

A livello di rete IP, le minacce al protocollo NTP includono:

• NTP amplification: sfruttamento del server NTP come amplificatore per attacchi DDoS verso terzi
• Time spoofing: invio di pacchetti NTP falsificati per alterare l'orario dei client non autenticati
• Rogue NTP server: un server non autorizzato nella rete che risponde alle query NTP con timestamp alterati

Tutti e tre gli attacchi sono efficaci contro infrastrutture che utilizzano NTP senza autenticazione — la configurazione predefinita della maggior parte degli apparati IT.

La misura più immediata e impattante per ridurre la vulnerabilità del riferimento temporale è passare da un ricevitore GPS (mono-costellazione) a un ricevitore GNSS multi-costellazione.

Un ricevitore che riceve simultaneamente GPS, Galileo, GLONASS e BeiDou su quattro infrastrutture satellitari completamente indipendenti — gestite rispettivamente da USA, UE, Russia e Cina — rende molto più difficile uno spoofing efficace: falsificare in modo coerente quattro sistemi con geometrie satellitari diverse è un'operazione di complessità enormemente superiore rispetto al solo GPS. Un segnale anomalo su una costellazione viene rilevato per inconsistenza rispetto alle altre.

I time server Meinberg della famiglia microSync e LANTIME sono disponibili con ricevitori GNS (72 canali, GPS + Galileo + GLONASS + BeiDou) e GNM (184 canali, multi-banda), entrambi in grado di ricevere simultaneamente tutte e quattro le costellazioni principali.

Per le infrastrutture che richiedono il massimo livello di protezione contro lo spoofing, il modulo ricevitore IMS-GXL183 di Meinberg introduce due livelli aggiuntivi di autenticazione del segnale GNSS che non hanno precedenti nella gamma:

• Galileo OSNMA (Open Service Navigation Message Authentication) — ogni messaggio di navigazione Galileo ricevuto viene verificato tramite un Message Authentication Code (MAC) basato su chiavi pubbliche distribuite dall'ESA. Un segnale spoofato non può produrre un MAC valido: viene identificato e scartato automaticamente. È il primo servizio di autenticazione crittografica nativa di un sistema GNSS operativo, ed è gratuito per tutti i ricevitori compatibili.
• Fugro AtomiChron® — servizio di distribuzione di un riferimento temporale di precisione atomica via satellite su banda L6, completamente indipendente dai segnali GNSS standard. Anche se tutti i segnali GPS/Galileo/GLONASS venissero simultaneamente compromessi o oscurati, il riferimento AtomiChron rimarrebbe disponibile come sorgente alternativa autenticata. La combinazione OSNMA + AtomiChron crea due layer di verifica indipendenti che nessun attaccante può falsificare contemporaneamente.
• IRSA (Intelligent Reference Selection Algorithm) — l'algoritmo proprietario Meinberg confronta continuamente tutte le sorgenti di riferimento configurate (GNSS, rubidio, PTP, NTP) e rileva anomalie per inconsistenza reciproca. Se il segnale GNSS mostra variazioni non spiegabili rispetto all'oscillatore interno, il sistema genera un allarme e può escludere automaticamente la sorgente sospetta.

A livello di rete IP, la prima misura contro il time spoofing NTP è abilitare l'autenticazione NTP su tutti i server e i client. I time server Meinberg supportano:

• Autenticazione simmetrica con chiavi MD5, SHA-1 e AES-128-CMAC (NTPv4)
• NTPv4 Autokey con coppie di chiavi pubblica/privata
• ACL per subnet: limitazione delle query NTP a specifici range IP autorizzati
• Rate limiting per proteggere contro query in flooding usate come vettore DDoS

Abilitare queste funzioni è una misura di hardening configurabile via interfaccia web senza costi aggiuntivi su tutti i time server della gamma Meinberg.

Un aspetto spesso trascurato: per rilevare un attacco NTP in corso — o un rogue NTP server nella rete — è necessario avere visibilità sul traffico NTP. I Network TAP

ProfiTap permettono di catturare passivamente il traffico UDP 123 senza interferire con la rete, alimentando un IDS o uno strumento di analisi che può rilevare anomalie nei pattern di sincronizzazione.

La Direttiva NIS2 (Direttiva UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, estende significativamente la platea dei soggetti obbligati alla gestione del rischio cybersecurity. Nel 2025 l'ACN ha individuato oltre 21.800 soggetti NIS dopo la fase di registrazione.

Tra i requisiti tecnici di NIS2 che impattano direttamente la sincronizzazione:

• Art. 21 NIS2 — Misure di gestione del rischio: le organizzazioni devono adottare misure appropriate per garantire la continuità operativa, incluse la resilienza dei sistemi e la loro capacità di ripristino. Un time server senza ridondanza di sorgente e senza holdover adeguato è un rischio per la continuità operativa documentabile
• Logging e tracciabilità: NIS2 richiede la capacità di ricostruire gli eventi in caso di incidente. Log con timestamp non sincronizzati o manipolabili non soddisfano questo requisito
• Sicurezza della catena di approvvigionamento: la dipendenza da un'unica infrastruttura satellitare (GPS only) per il riferimento temporale primario può essere valutata come rischio nella catena di approvvigionamento digitale

Per i soggetti NIS che operano nei settori energia, telecomunicazioni, trasporti e infrastrutture digitali, questi aspetti non sono teorici: sono elementi verificabili in sede di audit di conformità.

Tradurre questi concetti in un piano d'azione concreto significa agire su più livelli complementari:

Livello 1 — Sorgente di riferimento: passare da GPS mono-costellazione a GNSS multi-costellazione (GNS o GNM). Misura immediata, disponibile su tutti i modelli della gamma Meinberg.

Livello 2 — Autenticazione del segnale: adottare ricevitori con Galileo OSNMA e Fugro AtomiChron® (IMS-GXL183) per infrastrutture critiche che non possono permettersi un riferimento GNSS compromesso.

Livello 3 — Protocollo NTP sicuro: abilitare l'autenticazione NTPv4 con AES-128-CMAC e configurare ACL restrittive su tutti i server e i client della rete.

Livello 4 — Visibilità: installare Network TAP sui link critici per catturare e analizzare il traffico NTP/PTP e rilevare anomalie in tempo reale.

Livello 5 — Ridondanza: configurare Multiple Reference Sources (MRS) con sorgenti alternative (PTP esterno, IRIG-B, rubidio in holdover) per garantire la continuità del riferimento in caso di compromissione della sorgente primaria.

Nessuno di questi livelli da solo è sufficiente. La sicurezza del riferimento temporale, come la cybersecurity in generale, è efficace solo come sistema integrato.