Il 13 luglio 2026 le agenzie di cybersicurezza di Stati Uniti, Regno Unito, Australia, Canada, Nuova Zelanda, Estonia, Finlandia, Francia e Italia hanno pubblicato un advisory congiunto (AA26-194A) che descrive una campagna di intrusioni in corso contro le infrastrutture critiche, attribuita al Centro 16 dell'FSB, il servizio di sicurezza interno russo. Il gruppo è noto ai ricercatori con molti nomi — Berserk Bear, Energetic Bear, Dragonfly, Ghost Blizzard, Static Tundra — e la porta d'ingresso che predilige non è un server esposto o una campagna di phishing sofisticata, ma qualcosa di molto più banale: i router.

Come opera il Centro 16

Secondo l'advisory, gli operatori russi scandagliano interi range di indirizzi IP alla ricerca di apparati di rete che accettano richieste SNMP con community string di default o facilmente indovinabili (le classiche "public" e "private" mai cambiate). Una volta individuato un dispositivo vulnerabile, inviano comandi con indirizzi IP falsificati per copiare i file di configurazione del router ed esfiltrarli via TFTP verso server sotto il loro controllo.

Un file di configurazione può sembrare un bottino modesto, ma contiene hash delle password, chiavi, ACL e la topologia della rete: tutto ciò che serve per tornare più tardi, muoversi lateralmente e posizionarsi in silenzio dentro reti di valore strategico. Non a caso i settori più colpiti sono energia, telecomunicazioni, difesa, sanità, servizi finanziari e pubblica amministrazione locale.

Il gruppo non si limita all'SNMP: già dall'agosto 2025 l'FBI aveva segnalato lo sfruttamento della CVE-2018-0171, la nota vulnerabilità della funzione Smart Install di Cisco IOS e IOS XE, usata dal Centro 16 almeno dal novembre 2021 contro infrastrutture critiche.

Una falla di 18 anni torna d'attualità

Lo stesso 13 luglio la CISA ha aggiunto al catalogo KEV (Known Exploited Vulnerabilities) la CVE-2008-4128: una cross-site request forgery nell'interfaccia di amministrazione HTTP di Cisco IOS 12.4 sui router della serie 871. Una vulnerabilità del 2008, oggi sfruttata attivamente, con obbligo di remediation entro il 16 luglio per le agenzie federali americane.

Il messaggio implicito è difficile da ignorare: in giro per il mondo ci sono ancora abbastanza router vecchi di quindici o vent'anni, mai aggiornati e mai sostituiti, da rendere conveniente per un attore statale sfruttare una falla del 2008. L'apparato di rete dimenticato nell'armadio è un obiettivo, non un residuo innocuo.

Cosa significa per le aziende italiane

La firma dell'Italia sull'advisory non è un dettaglio protocollare: indica che la minaccia è considerata concreta anche per il nostro Paese, dove i settori nel mirino — energia, sanità, finanza, telecomunicazioni, PA locale — coincidono in larga parte con i soggetti essenziali e importanti della NIS2.

Il punto debole descritto nell'advisory è particolarmente diffuso nel tessuto italiano: reti di PMI, multiutility e amministrazioni periferiche costruite anni fa da fornitori esterni, con apparati mai censiti, SNMP v1/v2c ancora attivo e community string di fabbrica. A differenza dei server, i router non eseguono EDR e producono log che quasi nessuno raccoglie: un attaccante che ne copia la configurazione può passare inosservato per anni.

C'è anche un risvolto normativo. Per i soggetti NIS2, l'igiene di base delle reti e la gestione degli apparati rientrano negli obblighi di gestione del rischio previsti dal D.lgs. 138/2024, e un'intrusione di questo tipo — se ha impatto significativo — va notificata al CSIRT Italia con preallarme entro 24 ore e notifica entro 72. Sostenere davanti ad ACN che il punto d'ingresso era una community string "public" su un router del 2010 non è una conversazione che si vuole avere.

Cosa fare subito

  • Censire tutti gli apparati di rete esposti (router, switch, firewall), incluse sedi periferiche e siti minori, e identificare i dispositivi end-of-life da sostituire.
  • Disattivare SNMP v1/v2c o migrare a SNMPv3 con autenticazione e cifratura; eliminare le community string di default o riutilizzate.
  • Disabilitare Cisco Smart Install (no vstack) e verificare l'applicazione delle patch per la CVE-2018-0171.
  • Bloccare al perimetro il traffico SNMP e TFTP da e verso Internet.
  • Assicurarsi che le interfacce di amministrazione HTTP/HTTPS degli apparati non siano raggiungibili dall'esterno; sugli IOS legacy valutare no ip http server.
  • Centralizzare l'autenticazione (AAA/TACACS+), imporre credenziali uniche e robuste e monitorare modifiche di configurazione e trasferimenti TFTP anomali.

La campagna del Centro 16 non sfrutta zero-day né tecniche esotiche: sfrutta la manutenzione che non è mai stata fatta. È il tipo di minaccia contro cui ogni euro speso in igiene di base rende più di qualsiasi tecnologia di ultima generazione.