Sulla base del lavoro di ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Per molto tempo il settore immobiliare è stato considerato un ritardatario digitale e, di conseguenza, si ipotizzava che fosse poco interessante per i cybercriminali. Questa ipotesi è pericolosamente errata. Con la rapida digitalizzazione del settore, l'emergere di piattaforme PropTech e la scommessa sulla connettività di interi edifici, il settore immobiliare si è trasformato in un bersaglio molto attraente. Teichmann ha analizzato sistematicamente i rischi cyber specifici di questo settore e i relativi concetti di protezione (Teichmann, Digitale Immobilienwirtschaft (PropTech) – Cyber-Bedrohungen und Schutzkonzepte, InTeR 2025, pagg. 109–116).

I numeri parlano chiaro

La minaccia nel settore immobiliare ha raggiunto una dimensione che molti operatori del mercato non hanno ancora pienamente compreso. Oggi il 93% delle aziende immobiliari attribuisce un'elevata rilevanza alla cybersecurity. Più della metà delle aziende intervistate ha già subito attacchi informatici ai propri sistemi o a quelli dei propri fornitori di servizi IT. I grandi gruppi immobiliari devono fare i conti con una media di oltre 280 attacchi informatici all'anno (Teichmann, InTeR 2025, pagg. 109–116).

Particolarmente indicativo è il divario tra consapevolezza e preparazione: sebbene circa il 51% delle aziende immobiliari abbia ormai stabilito una strategia di cybersecurity, quasi l'80% non dispone di una strategia globale per proteggere le tecnologie integrate nell'edificio (Smart Building). Proprio qui, all'interfaccia tra l'IT classico e l'infrastruttura edilizia connessa, risiede la vulnerabilità più grande e meno compresa (Teichmann, InTeR 2025, pagg. 109–116).

Dove si creano le nuove superfici di attacco

Teichmann identifica tre aree centrali in cui la digitalizzazione del settore immobiliare crea nuovi punti di accesso.

Le piattaforme PropTech e i mercati digitali elaborano dati altamente sensibili – dati dei clienti e contrattuali, informazioni di pagamento – e sono accessibili tramite Internet. Il problema: le startup spesso danno priorità a un rapido ingresso sul mercato e alla crescita, mentre la sicurezza IT inizialmente non è al centro dell'attenzione. Applicazioni web non adeguatamente protette diventano così bersaglio di attacchi di tipo SQL injection, fughe di dati o furti di account. A ciò si aggiungono scenari di frode come annunci fasulli o la manipolazione dei flussi di pagamento (Teichmann, InTeR 2025, pagg. 109–116).

I sistemi di gestione basati su cloud offrono un'elevata efficienza, ma creano dipendenze critiche: la sicurezza dei dati è in gran parte nelle mani del fornitore di servizi cloud. Errori di configurazione o vulnerabilità negli ambienti cloud possono consentire agli aggressori di accedere a vasti database. Le piattaforme basate sui dati, che utilizzano Big Data e IA per generare valutazioni immobiliari, aggregano inoltre grandi quantità di dati su proprietà, utenti e transazioni – pool di dati concentrati che rappresentano un bersaglio lucrativo (Teichmann, InTeR 2025, pagg. 109–116).

Forse il pericolo più sottovalutato risiede nei sistemi tecnologici dell'edificio stesso. Negli edifici moderni, riscaldamento, ventilazione, aria condizionata, ascensori, illuminazione, controlli d'accesso e videosorveglianza sono connessi digitalmente e spesso gestibili da remoto. Ogni dispositivo IoT aggiuntivo è una potenziale porta d'accesso. Molti di questi dispositivi utilizzano protocolli di automazione edilizia obsoleti come BACnet o KNX, che spesso non sono né crittografati né autenticati. A peggiorare le cose, nella pratica la responsabilità per la sicurezza IT e per la tecnologia dell'edificio è spesso separata; i responsabili della sicurezza a volte non sanno nemmeno quali impianti siano effettivamente online (Teichmann, InTeR 2025, pagg. 109–116).

Le conseguenze di un attacco riuscito alla tecnologia dell'edificio spaziano dalla manipolazione del controllo del clima a danni fisici, fino ad attacchi ai sistemi di sicurezza come sensori di allarme e sistemi di chiusura elettronici, facilitando così intrusioni o consentendo accessi non autorizzati da parte di hacker.

La dimensione legale

Per il settore immobiliare si applicano diverse normative sovrapposte. Il GDPR obbliga tutte le aziende che trattano dati personali di inquilini, acquirenti o interessati ad adottare adeguate misure di protezione tecniche e organizzative. Le violazioni dei dati devono essere notificate entro 72 ore.

La direttiva NIS-2 si applica alle grandi aziende immobiliari e in particolare a quelle che gestiscono infrastrutture critiche o che raggiungono dimensioni rilevanti come fornitori di servizi digitali. Il Cyber Resilience Act colpisce i produttori di tecnologie connesse per l'edilizia: i componenti per Smart Building e i dispositivi IoT dovranno soddisfare i requisiti del CRA a partire dal 2027. Ciò sposta parte della responsabilità dagli operatori ai produttori di tecnologia, pur senza esonerare i primi (Teichmann, InTeR 2025, pagg. 109–116).

Attacchi informatici sulle transazioni immobiliari: una minaccia specifica

La cosiddetta