Il cyberattacco che negli Usa ha trasformato un dispositivo di sicurezza obbligatorio in una trappola per decine di migliaia di persone

Un cyberattacco ha messo fuori uso dal 14 marzo 2026 i server di Intoxalock, società americana tra i principali fornitori di dispositivi ignition interlock, gli etilometri obbligatori integrati nell'avviamento delle auto di chi ha subito condanne per guida in stato di ebbrezza. Il risultato: decine di migliaia di conducenti in 46 stati con vetture impossibili da avviare.

Perché le auto restano ferme

Gli ignition interlock impongono al conducente di soffiare nel dispositivo prima di avviare il motore; se viene rilevato alcol, l'auto non parte. Questi apparati richiedono però anche ricalibrazioni periodiche ogni 30-120 giorni, eseguite con collegamento ai server dell'azienda. Con i server offline, la catena di calibrazione si è interrotta: chi aveva la scadenza imminente non riesce più a partire. A Middleboro, nel Massachusetts, un'officina ha dichiarato ad ABC5 Boston di avere vetture parcheggiate nel piazzale per tutta la settimana; e, su Reddit, centinaia di utenti hanno documentato lockout da New York al Minnesota.

Quello che distingue questo incidente dai classici disservizi IT è la natura captiva degli utenti: i 150.000 conducenti serviti ogni anno da Intoxalock sono vincolati per obbligo giudiziario. Non è possibile cambiare fornitore né rimuovere il dispositivo. Chi si trova bloccato non può andare al lavoro, e in molte aree rurali non esistono alternative ai trasporti pubblici.

Attacco DDoS, ma la società non conferma

Intoxalock ha descritto l'accaduto come una "pausa precauzionale di alcuni sistemi". Più fonti locali, tra cui Boston25 News e WGME, riportano che gli hacker hanno sovraccaricato i server con traffico massiccio, schema tipico di un attacco DDoS. La portavoce Rachael Larson ha confermato il cyberattacco a TechCrunch senza specificare la tipologia né comunicare se siano arrivate richieste di riscatto. I dati degli utenti sarebbero al sicuro, ma nessuna data di ripristino è stata resa pubblica.

Il caso Intoxalock porta in primo piano un limite strutturale dei sistemi IoT centralizzati: l'assenza di una modalità offline. I dispositivi ignition interlock potrebbero memorizzare i risultati dei test localmente per poi sincronizzarli al ripristino della connettività, come avviene nelle architetture automotive distribuite in cui la compromissione di una singola ECU non immobilizza l'intero veicolo. La scelta di Intoxalock è diversa: validazione server continua obbligatoria, senza fallback. Non un vincolo tecnico, ma una decisione progettuale.

L'architettura centralizzata offre ai fornitori un controllo totale sui dispositivi e facilita la raccolta dati, ma trasferisce interamente il rischio sull'utente finale. In un contesto in cui l'utente è già sotto supervisione giudiziaria e non può scegliere alternative, questa struttura trasforma un'interruzione di servizio in una sanzione di fatto.

Intoxalock ha attivato alcune contromisure: rimborso del carro attrezzi per i veicoli impossibilitati a partire, estensioni di calibrazione di 10 giorni presso i centri autorizzati (disponibili nella quasi totalità degli stati) e sospensione degli appuntamenti per le nuove installazioni fino al 22 marzo. Misure parziali, che non risolvono il problema di chi vive lontano dai centri assistenza o ha bisogno immediato del veicolo per ragioni lavorative.

Alcolock previsto anche in Italia

Peraltro, il timing con cui giunge questa notizia è molto rilevante visto l'alcolock è diventato pienamente operativo in Italia il 24 febbraio 2026, appena tre settimane prima del cyberattacco americano. Il nuovo Codice della Strada (Legge 177/2024), entrato in vigore il 14 dicembre 2024, ha infatti introdotto l'obbligo dell'alcolock per i condannati per guida in stato di ebbrezza. L'obbligo è però diventato pienamente operativo solo il 24 febbraio 2026, quando il Ministero dei Trasporti ha pubblicato sul Portale dell'Automobilista l'elenco ufficiale dei dispositivi omologati e delle officine autorizzate all'installazione.

Il caso americano diventa, pertanto, una lezione diretta per il modello italiano: anche gli alcolock omologati dal MIT richiedono manutenzioni e ricalibrazioni periodiche presso officine autorizzate. La dipendenza da un'infrastruttura centralizzata — come dimostrato da Intoxalock — è il vero punto di fragilità del sistema: se i server del fornitore vanno offline, i conducenti con obbligo giudiziario si trovano nell'impossibilità di usare il veicolo senza aver commesso alcuna violazione.