I negozi online europei dicono di rado per quanti anni un dispositivo IoT riceverà aggiornamenti

Una telecamera connessa o un altoparlante intelligente sono sicuri solo quanto il loro ultimo aggiornamento del firmware, per cui l’informazione di sicurezza più utile per chi compra è sapere per quanto tempo quegli aggiornamenti continueranno ad arrivare. I regolatori sono d’accordo: il Regno Unito, il sistema di etichettatura statunitense e la nuova legge europea sulla cybersicurezza chiedono tutti ai produttori di dichiarare in anticipo un periodo di supporto. Uno studio presentato a USENIX Security 2026 ha verificato se questa informazione arriva davvero nel luogo in cui le persone acquistano i dispositivi, cioè il negozio online.

Nello Spazio economico europeo la risposta è, per lo più, no. E quando l’informazione compare, spesso non coincide con quella del produttore o del database dei prodotti dell’UE.

Quale problema affronta?

Gli aggiornamenti di sicurezza sono l’unico modo per correggere le vulnerabilità scoperte dopo la messa in commercio di un dispositivo, e molti prodotti IoT consumer smettono di riceverli molto prima di smettere di funzionare. Comunicare il periodo di supporto al momento dell’acquisto serve a far sì che chi compra ne tenga conto, un po’ come per una garanzia, e a spingere i produttori a competere offrendo un supporto più lungo.

Diverse norme ormai lo richiedono. Il PSTI Act britannico obbliga i produttori a dichiarare un periodo minimo di aggiornamento, il Cyber Trust Mark statunitense lo riporta in etichetta e il Cyber Resilience Act europeo impone ai produttori di comunicare un periodo di supporto per i prodotti con elementi digitali, con l’insieme completo dei requisiti applicabile dall’11 dicembre 2027 in base al Regolamento (UE) 2024/2847. Quando è stato svolto lo studio erano già in vigore due misure più circoscritte: le norme europee sull’etichettatura energetica richiedono informazioni sugli aggiornamenti per le smart TV nel database centrale dei prodotti EPREL, e dal 2020 l’Autorità olandese per i consumatori e i mercati impone ai principali rivenditori online dei Paesi Bassi di mostrarle. Gli autori osservano che mancavano prove su larga scala che tutto questo arrivi davvero alle pagine prodotto.

Cosa hanno fatto i ricercatori?

Swaathi Vetrivel, Michel van Eeten e Carlos H. Gañán della Delft University of Technology hanno preso in esame cinque tipi di dispositivi consumer: telecamere IP, stampanti intelligenti, altoparlanti intelligenti, smart TV e smartwatch. Hanno coperto i 30 Paesi dello Spazio economico europeo e, sulla base di classifiche di popolarità, hanno scelto tre tipi di negozio: i rivenditori locali più popolari, i siti Amazon usati in quei Paesi e le versioni regionali di Temu.

Secondo l’articolo, il lavoro si è svolto in tre fasi. Prima il gruppo ha esaminato a mano diverse migliaia di pagine prodotto per capire quali negozi indicano un periodo di aggiornamento. Poi ha raccolto in modo automatico 29.587 pagine dai negozi che lo fanno, soprattutto sei siti Amazon dell’UE, due rivenditori olandesi e le schede delle smart TV dei rivenditori regionali, registrando le durate dichiarate. Infine, per un campione più piccolo di dispositivi venduti dai rivenditori olandesi, ha confrontato il dato del rivenditore con il sito del produttore e, per le smart TV, con la scheda EPREL. Secondo l’abstract le pagine prodotto analizzate sono in totale 34.187. I dati sono stati raccolti tra dicembre 2024 e maggio 2025, e gli autori hanno condiviso il dataset.

Cosa hanno trovato?

L’abstract riporta che la trasparenza varia molto da un negozio all’altro. I rivenditori olandesi, soggetti a vigilanza da parte dell’autorità, indicano la durata degli aggiornamenti fino al 92% dei dispositivi. Amazon lo fa per meno dell’1%, Temu per nessuno. L’articolo aggiunge che le pagine prodotto europee di Amazon prevedono un campo per il periodo di aggiornamento, che però resta quasi sempre vuoto.

Le smart TV, l’unica categoria per cui le norme europee impongono di dichiararlo, hanno una copertura più alta, ma comunque disomogenea. Su tutti i dispositivi, i periodi di supporto dichiarati vanno da uno a otto anni, e in genere i più lunghi sono quelli delle smart TV.

Il risultato più rilevante viene dal confronto tra le fonti. Per lo stesso modello, rivenditore, produttore e database dell’UE indicano spesso durate diverse, e i rivenditori tendono a dichiarare un supporto più breve di quello del produttore. L’articolo riporta anche che i siti dei produttori stessi indicano un periodo solo per una quota dei dispositivi del campione che va da una minoranza alla metà, a seconda del tipo. Quando i ricercatori hanno chiesto ai due rivenditori olandesi da dove venissero i loro dati, uno non ha risposto e l’altro ha citato studi di casi interni che non poteva condividere. Gli autori ne deducono che i rivenditori non si limitano a riportare i dati dei produttori.

Sul piano normativo, l’articolo rileva che l’intervento olandese e le regole sulle smart TV sono associati a una maggiore trasparenza, che il PSTI Act britannico ha avuto scarso effetto visibile sul sito Amazon del Regno Unito e sulle pagine dei produttori esaminate, e che l’effetto si estende poco oltre le giurisdizioni che i regolatori sorvegliano attivamente. Gli autori concludono che la regolamentazione può migliorare la visibilità dell’informazione, ma solo controlli rigorosi e una comunicazione standardizzata la rendono accurata e affidabile.

Perché conta

Per i produttori, il periodo di supporto sta passando da scelta di marketing a dichiarazione con valore legale, e questo studio mostra che il numero pubblicato da un’azienda spesso non è quello che vede chi compra. Con il CRA l’obbligo ricade sul produttore, mentre, come osservano gli autori, secondo il diritto europeo dei consumatori il contratto dell’acquirente è con il rivenditore. Un dispositivo venduto con tre periodi di supporto diversi su tre pagine diverse apre la strada a contestazioni su quale valga. Una data di fine supporto per ogni modello, pubblicata sulla pagina prodotto e su una pagina di supporto centrale e fornita ai rivenditori in forma strutturata, costa meno che riconciliare in seguito dichiarazioni contrastanti.

Per chi acquista dispositivi in quantità, per un edificio, un hotel o un’azienda che installa sistemi di smart home, la lezione pratica è farsi dare per iscritto il periodo di supporto dal produttore e registrarlo modello per modello. Un campo vuoto sulla pagina di un negozio non significa che il dispositivo non sia supportato, e un periodo breve sulla pagina di un rivenditore può sottostimare l’impegno del produttore. I team che gestiscono flotte possono tenere traccia della data di fine supporto insieme alle versioni del firmware, nell’ambito della gestione del ciclo di vita dei dispositivi, così che le sostituzioni siano pianificate anziché scoperte all’ultimo momento.

Un periodo promesso deve anche essere sostenuto da aggiornamenti OTA funzionanti. Lo studio misura ciò che viene dichiarato, non ciò che viene effettivamente fornito, e un periodo lungo conta poco senza la pipeline di aggiornamento descritta nella nostra guida alla gestione dei dispositivi e agli aggiornamenti OTA.

Cosa non dimostra ancora

Lo studio misura dichiarazioni, non comportamenti. Non verifica se un dispositivo abbia davvero ricevuto aggiornamenti per il periodo dichiarato, e gli autori osservano che per saperlo serviranno anni.

Quando le fonti non concordano, non esiste un riferimento certo. L’articolo non considera automaticamente corretto né il rivenditore, né il produttore, né il database.

I dati sono precedenti ai principali obblighi del CRA. La raccolta è durata da dicembre 2024 a maggio 2025, quindi i risultati sono un punto di partenza, non una misura della conformità al CRA.

Il campione privilegia i dispositivi più popolari sui negozi più popolari, ordinati secondo le classifiche di ciascuna piattaforma, e il confronto tra le fonti si basa su un campione più piccolo di schede di rivenditori olandesi. Gli autori sostengono che difficilmente i dispositivi meno popolari vadano meglio, ma non possono collocare il loro campione nel mercato più ampio.

Per continuare

• La normativa sulla sicurezza IoT mette a confronto il CRA, il regime PSTI britannico e il Cyber Trust Mark statunitense, compreso ciò che ciascuno prevede sui periodi di supporto.
• Gestione dei dispositivi e aggiornamenti OTA spiega come fornire gli aggiornamenti per tutto il periodo promesso.
• I fondamenti della sicurezza IoT colloca il supporto agli aggiornamenti nel più ampio modello delle minacce.
• La rassegna della ricerca di ottobre 2026 presenta altri sei studi recenti, tra cui attacchi che raggiungono i moduli cellulari attraverso la scheda SIM.

Argomenti: ricerca, sicurezza IoT, aggiornamenti di sicurezza, Cyber Resilience Act, smart home, normativa