Immagine in evidenza rielaborata con intelligenza artificiale
Nella notte tra l’11 e il 12 ottobre 2026, i frigoriferi di centinaia di supermercati francesi hanno cominciato improvvisamente a riscaldarsi. In alcuni casi le temperature hanno raggiunto i 50 gradi, costringendo i responsabili dei punti vendita a gettare grandi quantità di prodotti freschi e surgelati. Non si è trattato però di un guasto tecnico, ma di un attacco informatico.
I responsabili sono infatti riusciti a prendere il controllo da remoto dei sistemi di regolazione degli impianti frigoriferi (approfittando della scarsa protezione di sistemi di controllo accessibili direttamente via internet), attivando i cicli di sbrinamento e prolungandone la durata fino a otto ore. Il risultato è stata l’interruzione della catena del freddo in centinaia di supermercati appartenenti a diverse catene della grande distribuzione, con danni economici per milioni di euro.
La vicenda rappresenta un recentissimo esempio di un fenomeno sempre più preoccupante: gli attacchi informatici ai sistemi di Operational Technology (OT, le tecnologie che controllano e monitorano impianti e processi fisici), capaci di provocare conseguenze concrete nel mondo materiale. Un fenomeno, come vedremo, in crescita e che negli ultimi mesi ha colpito in Occidente soprattutto gli Stati Uniti.
Il 30 luglio 2026, sul sito dell’FBI, è comparso un “avviso pubblico” rivolto ai proprietari e ai gestori di infrastrutture critiche sul territorio statunitense. L’allarme riguardava possibili attacchi a “dispositivi di tecnologia operativa”.
Nell’avviso, il Federal Bureau of Investigation specificava che l’allarme era scattato dopo le segnalazioni da parte di alcune aziende di servizi idrici e trattamento delle acque reflue in sette diversi stati, tutte vittime di cyber attacchi che miravano a interferire con le loro operazioni. Nel solo Minnesota gli attacchi avrebbero interessato 30 impianti, ma nell’arco di un paio di settimane i casi si sarebbero moltiplicati, arrivando a coinvolgere in tutto almeno 12 stati dell’Unione.
Secondo alcune fonti investigative citate dalla stampa statunitense, gli attacchi informatici – che in alcuni casi hanno provocato cali di pressione nella rete idrica e allagamenti – potrebbero essere riconducibili a gruppi legati al Corpo delle Guardie della Rivoluzione Islamica iraniano, che avrebbero agito per rappresaglia nei confronti degli attacchi “cinetici” condotti da USA e Israele contro l’Iran.
Uno degli episodi più significativi è quello della Clayton County Water Authority, in Georgia, dove il 27 luglio un guasto a una stazione di pompaggio ha provocato interruzioni nell’erogazione dell’acqua e costretto le autorità a raccomandare ai residenti di bollirla prima del consumo. Il servizio è stato ripristinato nel giro di poche ore e le analisi non hanno rilevato contaminazioni, ma l’azienda ha avviato un’indagine per accertare se si trattasse di un attacco informatico.
Se la responsabilità iraniana fosse accertata, la vicenda della compromissione degli impianti idrici negli Stati Uniti confermerebbe come questi attacchi siano spesso una componente importante di quella “guerra ibrida” che agita le opinioni pubbliche in Occidente.
La vicenda della compromissione degli impianti idrici negli Stati Uniti è però solo un episodio di quello che è diventato un fenomeno piuttosto diffuso. Gli attacchi informatici ai sistemi di Operational Technology (OT, le tecnologie che controllano e monitorano impianti e processi fisici) rappresentano infatti una componente sempre più importante di quella “guerra ibrida” che agita le opinioni pubbliche in Occidente.
Stuxnet, il più celebre attacco OT
Gli attacchi segnalati dall’FBI lo scorso luglio hanno interessato i sistemi industriali gestiti attraverso dispositivi della serie Rockwell Automation/Allen-Bradley’s MicroLogix 1100 e 1400, ma già in passato altri sistemi di controllo industriale – tra cui gli SCADA (applicazioni software usate per supervisionare i processi industriali associati) di Siemens, usati anche nel settore energetico – erano stati presi di mira da gruppi legati ad apparati statali, con conseguenze anche sul funzionamento fisico degli impianti.
Il caso più clamoroso di attacchi cyber a impianti fisici è infatti quello di Stuxnet, un malware entrato in circolazione attorno al 2007 e tra i primi esempi di come sia possibile provocare gravi danni fisici a un impianto industriale agendo per via informatica. Il malware è stato sviluppato congiuntamente dai servizi segreti statunitensi e israeliani con l’obiettivo di sabotare la centrale di arricchimento dell’uranio di Natanz, in Iran.
L’operazione, battezzata Olympic Games, secondo le fonti di stampa sarebbe stata pianificata dall’amministrazione statunitense come alternativa all’ipotesi di un attacco “fisico” – caldeggiato da Tel Aviv – per rallentare il programma nucleare iraniano ed è stata portata a termine con successo nel 2010. L’obiettivo di Stuxnet, in sintesi, era quello di alterare il funzionamento delle centrifughe fino a renderle inutilizzabili. Stuxnet è stato il primo vero “campanello d’allarme” sul rischio legato ad attacchi cyber in ambito OT con conseguenze potenzialmente catastrofiche a livello fisico.
Un fenomeno in crescita
Da allora, gli episodi di attacchi ai sistemi OT sono cresciuti notevolmente e sono spesso stati condotti sia come strumento di rappresaglia, sia come azione di sabotaggio in sinergia con gli attacchi “fisici”.
Le cronache delle tensioni tra Russia e Ucraina, successivamente sfociate in aperto conflitto, riportano per esempio ben tre episodi di questo tipo. Nel dicembre 2015, un attacco legato al malware BlackEnergy ha provocato un’interruzione dell’energia elettrica che ha coinvolto circa 230mila persone. L’anno successivo, un altro malware, chiamato Industroyer, ha causato un blackout nella capitale Kiev. Il più recente attacco con Industroyer2 dell’aprile 2022 è stato invece pianificato nel pieno delle ostilità con l’obiettivo – fallito – di colpire le sottostazioni elettriche ad alta tensione ucraine.
Altri episodi, sempre attribuiti a gruppi legati al governo del Cremlino, hanno coinvolto recentemente alcuni impianti del settore energetico in Polonia, un sistema di teleriscaldamento nella città ucraina di Lviv, per finire con i sistemi di controllo della diga di Bremanger, nella Norvegia occidentale.
Gli impianti industriali rischiano però di finire nel mirino non solo dei cosiddetti “hacker di stato”, ma anche dei cyber criminali specializzati nel ransomware, cioè in attacchi che puntano a compromettere i sistemi informatici delle aziende con lo scopo di estorcere un riscatto.
In quest’ottica, i sistemi OT sono un bersaglio ideale. Se normalmente i pirati informatici puntano al blocco dei sistemi digitali o alla sottrazione di informazioni sensibili, gli attacchi che coinvolgono direttamente o indirettamente i sistemi OT rappresentano un potenziale salto di qualità. Provocando l’interruzione dell’attività produttiva, infatti, i criminali si garantiscono una leva formidabile per indurre la vittima a cedere al ricatto.
La fragilità del settore OT
Il bersaglio privilegiato degli attacchi cyber in ambito industriale sono i Programmable Logic Controller (PLC), cioè i computer industriali che controllano macchinari e processi fisici: pompe, valvole, motori, nastri trasportatori, turbine, sistemi di trattamento dell’acqua e simili.
Ciò che rende così vulnerabili i PLC è che, nella maggior parte dei casi, hanno una “età” piuttosto elevata. Gli impianti industriali sono infatti pensati per cicli di sostituzione molto più lunghi (dai 15 ai 30 anni) rispetto a quelli digitali, che invece vanno solitamente incontro all’obsolescenza nel giro di 3-5 anni. Chi ha implementato i PLC per la gestione di impianti industriali nei primi anni 2000 non aveva alcuna dimestichezza con concetti come “security by design” e, soprattutto, non poteva prevedere fino a che punto quei sistemi sarebbero stati interconnessi con l’infrastruttura IT aziendale.
Risultato: oggi ci sono impianti industriali che poggiano le loro fondamenta su sistemi informatici con caratteristiche di sicurezza assolutamente inadeguate ai tempi. Una recente analisi eseguita dall’olandese Modat, per esempio, evidenzia come in Europa ci siano 8.547 sistemi legati alla produzione di energia solare ed eolica esposti su Internet.
Uno dei fattori che incide di più sul livello di sicurezza di questi sistemi è però il fatto che gli impianti industriali “obbligano” a utilizzare sistemi operativi e software non più supportati a livello di aggiornamenti di sicurezza. Stando a una ricerca condotta su 635 sistemi di controllo industriale, risulterebbe che solo il 22,5% dei computer Windows impiegati nei centri di controllo utilizzerebbe versioni aggiornate del sistema operativo. Il 77,5% “gira” invece su versioni legacy, come Windows XP e Windows 7, per le quali non è più disponibile il supporto.
Non si tratta di una forma di incoscienza o sciatteria, ma di un effetto collaterale legato alla compatibilità tra software e dispositivi di controllo. Una ricerca di txOne che ha coinvolto 550 responsabili OT europei segnala che il 54% degli intervistati indica proprio la compatibilità come motivazione per il mantenimento di sistemi vetusti, mentre il 45% giustifica il mantenimento dello status quo con gli elevati costi di aggiornamento degli impianti.
Sotto questo profilo è bene chiarire come non si tratti dei costi per gli aggiornamenti software, ma di quelli che sarebbero necessari per sostituire gli impianti di produzione o aggiornare i sistemi di controllo. In altre parole, per modernizzare il settore digitale di un impianto industriale sarebbe spesso necessario un esborso economico insostenibile.
Tempi lunghi per il cambiamento
Il quadro, per lo meno in Europa, è destinato a cambiare. Se la direttiva NIS2 impone già una serie di obblighi a livello di cyber security per chi gestisce servizi critici, il vero cambio di passo è avvenuto con il Cyber Resilience Act (CRA). Il regolamento fissa una serie di requisiti per i dispositivi OT disponibili nel mercato europeo, per garantire un maggior livello di sicurezza. Il problema è che le principali disposizioni del CRA entreranno in vigore a fine 2027, ma non imporranno un adeguamento generalizzato dei sistemi già installati.
Considerando il fatto che i cicli di vita di questi dispositivi sono estremamente lunghi, il vero salto di qualità verso sistemi meno vulnerabili potrebbe richiedere decenni. Fino ad allora, la vera sfida sarà quella di proteggere in maniera efficace un ecosistema industriale che, sotto il profilo della cyber security, rischia di essere un colabrodo.
