Dai supermercati francesi agli impianti idrici statunitensi: gli attacchi informatici possono provocare danni sempre più concreti. E le infrastrutture industriali sono particolarmente vulnerabili.
Nella notte
tra l’11 e il 12 ottobre 2026, i frigoriferi di centinaia di supermercati
francesi hanno cominciato improvvisamente a
riscaldarsi. In alcuni casi le temperature hanno raggiunto i 50 gradi,
costringendo i responsabili dei punti vendita a gettare grandi quantità di
prodotti freschi e surgelati. Non si è trattato però di un guasto tecnico, ma
di un attacco informatico.
I
responsabili sono infatti riusciti a prendere il controllo da remoto dei
sistemi di regolazione degli impianti frigoriferi (approfittando della scarsa
protezione di sistemi di controllo accessibili direttamente via internet),
attivando i cicli di sbrinamento e prolungandone la durata fino a otto ore. Il
risultato è stata l’interruzione della catena del freddo in centinaia di
supermercati appartenenti a diverse catene della grande distribuzione, con
danni economici per milioni di euro.
La vicenda rappresenta un recentissimo esempio di un fenomeno sempre più preoccupante: gli attacchi informatici ai sistemi di Operational Technology (OT, le tecnologie che controllano e monitorano impianti e processi fisici), capaci di provocare conseguenze concrete nel mondo materiale. Un fenomeno, come vedremo, in crescita e che negli ultimi mesi ha colpito in Occidente soprattutto gli Stati Uniti.
Il 30 luglio
2026, sul sito dell’FBI, è infatti comparso un “avviso pubblico” rivolto ai proprietari e
ai gestori di infrastrutture critiche sul territorio statunitense. L’allarme
riguardava possibili attacchi a “dispositivi di tecnologia operativa”.
Nell’avviso,
il Federal Bureau of Investigation specificava che l’allarme era scattato dopo
le segnalazioni da parte di alcune aziende di servizi idrici e trattamento
delle acque reflue in sette diversi stati, tutte vittime di cyber attacchi che
miravano a interferire con le loro operazioni. Nel solo Minnesota gli attacchi
avrebbero interessato 30 impianti, ma nell’arco di un paio di settimane i casi
si sarebbero moltiplicati, arrivando a coinvolgere in tutto almeno 12 stati dell’Unione.
Secondo alcune fonti investigative citate dalla
stampa statunitense, gli attacchi informatici – che in alcuni casi hanno provocato cali di
pressione nella rete idrica e allagamenti – potrebbero essere riconducibili a
gruppi legati al Corpo delle Guardie della Rivoluzione Islamica iraniano, che
avrebbero agito per rappresaglia nei confronti degli attacchi “cinetici”
condotti da USA e Israele contro l’Iran.
Uno degli
episodi più significativi è quello della Clayton
County Water Authority, in Georgia, dove il 27 luglio un guasto a
una stazione di pompaggio ha provocato interruzioni nell’erogazione dell’acqua
e costretto le autorità a raccomandare ai residenti di bollirla prima del
consumo. Il servizio è stato ripristinato nel giro di poche ore e le analisi
non hanno rilevato contaminazioni, ma l’azienda ha avviato un’indagine per
accertare se si trattasse di un attacco informatico.
Se la
responsabilità iraniana fosse accertata, la vicenda della compromissione degli
impianti idrici negli Stati Uniti confermerebbe come questi attacchi siano
spesso una componente importante di quella “guerra ibrida” che agita le
opinioni pubbliche in Occidente.
Stuxnet, il
più celebre attacco OT
Gli attacchi
segnalati dall’FBI lo scorso luglio hanno interessato i sistemi industriali
gestiti attraverso dispositivi della serie Rockwell Automation/Allen-Bradley’s
MicroLogix 1100 e 1400, ma già in passato altri sistemi di controllo
industriale – tra cui gli SCADA (applicazioni software usate per supervisionare
i processi industriali associati) di Siemens, usati anche nel settore
energetico – erano stati presi di mira da gruppi legati ad apparati statali,
con conseguenze anche sul funzionamento fisico degli impianti.
Il caso più
clamoroso di attacchi cyber a impianti fisici è infatti quello di Stuxnet, un
malware entrato in circolazione attorno al 2007 e tra i primi esempi di
come sia possibile provocare gravi danni fisici a un impianto industriale
agendo per via informatica. Il malware è stato sviluppato congiuntamente dai
servizi segreti statunitensi e israeliani con l’obiettivo di sabotare la
centrale di arricchimento dell’uranio di Natanz, in Iran.
L’operazione,
battezzata Olympic Games, secondo le fonti di stampa sarebbe stata pianificata
dall’amministrazione statunitense come alternativa all’ipotesi di un attacco
“fisico” – caldeggiato da Tel Aviv – per rallentare il programma nucleare
iraniano ed è stata portata a termine con successo nel 2010. L’obiettivo di
Stuxnet, in sintesi, era quello di alterare il funzionamento delle centrifughe
fino a renderle inutilizzabili. Stuxnet è stato il primo vero “campanello
d’allarme” sul rischio legato ad attacchi cyber in ambito OT con conseguenze
potenzialmente catastrofiche a livello fisico.
Un fenomeno
in crescita
Da allora,
gli episodi di attacchi ai sistemi OT sono cresciuti notevolmente e sono spesso stati
condotti sia come strumento di rappresaglia, sia come azione di sabotaggio in
sinergia con gli attacchi “fisici”.
Le cronache
delle tensioni tra Russia e Ucraina, successivamente sfociate in aperto
conflitto, riportano per esempio ben tre episodi di questo tipo. Nel dicembre
2015, un attacco legato al malware BlackEnergy ha
provocato un’interruzione dell’energia elettrica che ha coinvolto circa 230mila
persone. L’anno successivo, un altro malware, chiamato Industroyer, ha causato un blackout nella capitale Kiev. Il
più recente attacco con Industroyer2 dell’aprile 2022 è
stato invece pianificato nel pieno delle ostilità con l’obiettivo – fallito –
di colpire le sottostazioni elettriche ad alta tensione ucraine.
Altri
episodi, sempre attribuiti a gruppi legati al governo del Cremlino, hanno
coinvolto recentemente alcuni impianti del settore energetico in Polonia,
un sistema di teleriscaldamento nella città ucraina di Lviv, per finire con
i sistemi di controllo della diga di Bremanger,
nella Norvegia occidentale.
Gli impianti
industriali rischiano però di finire nel mirino non solo dei cosiddetti “hacker
di stato”, ma anche dei cyber criminali specializzati nel ransomware, cioè in
attacchi che puntano a compromettere i sistemi informatici delle aziende con lo
scopo di estorcere un riscatto.
In
quest’ottica, i sistemi OT sono un bersaglio ideale. Se normalmente i pirati
informatici puntano al blocco dei sistemi digitali o alla sottrazione di informazioni
sensibili, gli attacchi che coinvolgono direttamente o indirettamente i sistemi
OT rappresentano un potenziale salto di qualità. Provocando l’interruzione
dell’attività produttiva, infatti, i criminali si garantiscono una leva
formidabile per indurre la vittima a cedere al ricatto.
La fragilità
del settore OT
Il bersaglio
privilegiato degli attacchi cyber in ambito industriale sono i Programmable
Logic Controller (PLC), cioè i computer industriali che controllano macchinari
e processi fisici: pompe, valvole, motori, nastri trasportatori, turbine,
sistemi di trattamento dell’acqua e simili.
Ciò che
rende così vulnerabili i PLC è che, nella maggior parte dei casi, hanno una
“età” piuttosto elevata. Gli impianti industriali sono infatti pensati per
cicli di sostituzione molto più lunghi (dai 15 ai 30 anni) rispetto a quelli
digitali, che invece vanno solitamente incontro all’obsolescenza nel giro di
3-5 anni. Chi ha implementato i PLC per la gestione di impianti industriali nei
primi anni 2000 non aveva alcuna dimestichezza con concetti come “security by
design” e, soprattutto, non poteva prevedere fino a che punto quei sistemi
sarebbero stati interconnessi con l’infrastruttura IT aziendale.
Risultato:
oggi ci sono impianti industriali che poggiano le loro fondamenta su sistemi
informatici con caratteristiche di sicurezza assolutamente inadeguate ai tempi.
Una recente analisi eseguita dall’olandese Modat, per
esempio, evidenzia come in Europa ci siano 8.547 sistemi legati alla produzione
di energia solare ed eolica esposti su Internet.
Uno dei
fattori che incide di più sul livello di sicurezza di questi sistemi è però il
fatto che gli impianti industriali “obbligano” a utilizzare sistemi operativi e
software non più supportati a livello di aggiornamenti di sicurezza. Stando a
una ricerca condotta su 635 sistemi di controllo industriale,
risulterebbe che solo il 22,5% dei computer Windows impiegati nei centri di
controllo utilizzerebbe versioni aggiornate del sistema operativo. Il 77,5%
“gira” invece su versioni legacy, come Windows XP e Windows 7, per le quali non
è più disponibile il supporto.
Non si
tratta di una forma di incoscienza o sciatteria, ma di un effetto collaterale
legato alla compatibilità tra software e dispositivi di controllo. Una ricerca di txOne che ha coinvolto 550
responsabili OT europei segnala che il 54% degli intervistati indica proprio la
compatibilità come motivazione per il mantenimento di sistemi vetusti, mentre
il 45% giustifica il mantenimento dello status quo con gli elevati costi di
aggiornamento degli impianti.
Sotto questo
profilo è bene chiarire come non si tratti dei costi per gli aggiornamenti
software, ma di quelli che sarebbero necessari per sostituire gli impianti di
produzione o aggiornare i sistemi di controllo. In altre parole, per
modernizzare il settore digitale di un impianto industriale sarebbe spesso
necessario un esborso economico insostenibile.
Tempi lunghi
per il cambiamento
Il quadro,
per lo meno in Europa, è destinato a cambiare. Se la direttiva NIS2 impone già una serie di
obblighi a livello di cyber security per chi gestisce servizi critici, il vero
cambio di passo è avvenuto con il Cyber Resilience Act (CRA). Il regolamento
fissa una serie di requisiti per i dispositivi OT disponibili nel mercato
europeo, per garantire un maggior livello di sicurezza. Il problema è che le
principali disposizioni del CRA entreranno in vigore a fine 2027, ma non
imporranno un adeguamento generalizzato dei sistemi già installati.
Considerando
il fatto che i cicli di vita di questi dispositivi sono estremamente lunghi, il
vero salto di qualità verso sistemi meno vulnerabili potrebbe richiedere
decenni. Fino ad allora, la vera sfida sarà quella di proteggere in maniera
efficace un ecosistema industriale che, sotto il profilo della cyber security,
rischia di essere un colabrodo.