Cosa è successo

Il 22 luglio 2026 CISA, FBI, EPA e altre agenzie governative statunitensi hanno aggiornato l'allerta congiunta AA26-097A, pubblicata originariamente in aprile, dedicata agli attori affiliati all'Iran che colpiscono i PLC (Programmable Logic Controller) delle infrastrutture critiche. I PLC sono i piccoli computer industriali che governano pompe, valvole, motori e linee di produzione: manometterli non significa rubare dati, ma interferire con processi fisici.

L'aggiornamento amplia in modo sostanziale il quadro. Se in origine l'attenzione era rivolta soprattutto ai controllori Rockwell Automation, ora l'advisory documenta il targeting anche di apparati Schneider Electric, Siemens e potenzialmente di altri marchi. Viene inoltre aggiunta una guida specifica per rilevare modifiche malevole ai moduli di codice riutilizzabili all'interno dei programmi Rockwell — un dettaglio che indica un livello di sofisticazione superiore alla semplice deturpazione. Secondo le agenzie, dal marzo 2026 il gruppo ha già disturbato il funzionamento di alcuni PLC. I settori colpiti includono i sistemi idrici e di trattamento delle acque reflue, l'energia e i servizi governativi, comprese le amministrazioni locali. Il traffico malevolo è stato osservato verso i PLC sulle porte 44818, 2222, 102 e 502, e verso i modem sulla porta 22.

Perché i PLC sono un bersaglio così comodo

Il mondo OT (Operational Technology) è nato in un'epoca in cui questi dispositivi vivevano in reti isolate, e la sicurezza era un problema secondario rispetto all'affidabilità e alla continuità operativa. Molti protocolli industriali — inclusi quelli in ascolto sulle porte citate — non prevedono autenticazione: chi raggiunge il dispositivo può interrogarlo e, in molti casi, riprogrammarlo. A ciò si aggiungono credenziali di default mai cambiate, firmware raramente aggiornabili senza fermare l'impianto, e un numero sorprendente di controllori esposti direttamente su Internet per comodità di manutenzione remota.

La differenza rispetto a un tipico attacco informatico è l'obiettivo: qui non si punta all'esfiltrazione di dati ma alla disruption. Un PLC manipolato può alterare i parametri di un impianto di potabilizzazione, fermare una linea produttiva o creare condizioni di rischio per la sicurezza fisica. In un contesto di tensioni geopolitiche, anche un'azione dimostrativa su un piccolo ente locale ha un valore di messaggio.

Cosa significa per l'industria e le utility italiane

L'advisory parla di infrastrutture statunitensi, ma il perimetro tecnologico è identico a quello italiano. Siemens e Schneider Electric dominano l'automazione industriale in Italia: sono presenti nel manifatturiero, nelle utility idriche, nell'energia e in innumerevoli impianti di piccole e medie dimensioni. Molti di questi impianti hanno introdotto negli ultimi anni connettività per la manutenzione predittiva e il controllo remoto, spesso senza una segmentazione adeguata tra rete IT e rete OT.

Sul piano normativo, energia e acqua sono settori essenziali ai sensi della direttiva NIS2, e con loro molte realtà manifatturiere rientrano tra i soggetti importanti. Questo comporta obblighi concreti: adozione di misure di sicurezza proporzionate al rischio, gestione degli incidenti e notifica al CSIRT Italia in caso di eventi con impatto significativo sulla continuità del servizio. Un'interruzione provocata da un attacco a un PLC non è solo un problema di sicurezza, ma potenzialmente un incidente da notificare. La convergenza IT/OT, a lungo trascurata, diventa così anche un tema di conformità.

Cosa fare subito

  • Togliere i PLC e gli altri dispositivi OT dall'esposizione diretta a Internet: è la misura più efficace e spesso la più trascurata. Una verifica su motori come Shodan o Censys rivela quanti apparati sono raggiungibili dall'esterno.
  • Mediare ogni accesso remoto tramite un gateway sicuro o un jump host dietro firewall, con autenticazione forte e registrazione degli accessi.
  • Cambiare tutte le credenziali di default su PLC, HMI e dispositivi di rete industriali.
  • Segmentare rigorosamente la rete IT da quella OT, applicando il principio del minimo privilegio nelle comunicazioni tra le due.
  • Monitorare il traffico verso le porte indicate dall'advisory (44818, 2222, 102, 502 e la 22 sui modem) e verso i dispositivi OT in generale.
  • Verificare l'integrità della logica di controllo: confrontare i programmi e i moduli di codice riutilizzabili caricati sui PLC con una copia di riferimento fidata, per individuare modifiche non autorizzate.
  • Mantenere un inventario aggiornato degli asset OT e prevedere, nei piani di risposta agli incidenti, lo scenario specifico di manipolazione dei processi fisici.