Il 22 agosto il Telegraph ha rivelato che una centrale elettrica britannica è rimasta ferma per quattro giorni a causa di un attacco informatico attribuito ad attori legati al regime iraniano. È la prima volta, secondo le fonti governative citate, che un gruppo affiliato a Teheran riesce a spegnere un impianto di produzione elettrica nel Regno Unito.

Le autorità non hanno reso noto il nome della centrale per motivi di sicurezza. Quello che si sa è che si tratta di un impianto di piccole dimensioni: l'interruzione non ha avuto alcun effetto sulla rete elettrica nazionale, e il personale ha lavorato quattro giorni per riportarlo in servizio. L'incidente è stato segnalato al National Cyber Security Centre (NCSC), la struttura del GCHQ che si occupa di infrastrutture critiche, che non ha commentato pubblicamente il caso. Il governo ha però diramato indicazioni operative alle aziende del settore energetico.

Il dettaglio che conta: l'impianto era sotto soglia

C'è una frase, nella ricostruzione del Telegraph, che vale più di tutto il resto. Una fonte governativa ha spiegato che "esistono soglie oltre le quali i generatori rilevanti sono obbligati per legge a notificarci le attività cyber, e questo sito non ci si avvicina nemmeno. È un sito di scala molto piccola, meno di un errore di arrotondamento rispetto alla capacità di rete".

È una difesa comprensibile dal punto di vista della continuità del servizio, ma è anche l'ammissione di un problema strutturale: l'obiettivo è stato scelto proprio perché stava fuori dal perimetro regolamentato. Nessun obbligo di notifica, requisiti di sicurezza più leggeri, probabilmente nessun monitoraggio continuo. Un attaccante che vuole dimostrare una capacità — non provocare un blackout — non ha alcuna ragione di attaccare il nodo più difeso.

Il resto del quadro conferma la lettura. Secondo le fonti citate, l'intento non era colpire i civili ma dimostrare che attori riconducibili ai Pasdaran possono entrare nelle infrastrutture britanniche e spegnerle quando vogliono. Quattro giorni di fermo in un impianto che nessuno, fuori dal settore, ha notato: dal punto di vista di chi attacca, è una prova di concetto riuscita.

Il parallelo americano: gli impianti idrici di dodici Stati

L'episodio britannico non è isolato. Nelle stesse settimane, negli Stati Uniti, decine di impianti di trattamento delle acque reflue in almeno dodici Stati sono stati colpiti da una serie di intrusioni. Le prime segnalazioni sono arrivate dal Minnesota il 26 luglio, seguite da Michigan, Georgia, South Dakota, New Jersey e Alabama.

Gli effetti, in questo caso, sono stati fisici e visibili ai cittadini: perdita del monitoraggio remoto, cali di pressione nelle condotte, in alcuni casi allagamenti e ordinanze di bollitura dell'acqua prima del consumo. L'FBI ha inizialmente attribuito gli incidenti a generici "attori cyber malevoli"; fonti governative statunitensi hanno poi indicato Teheran come origine più probabile.

Il contesto è quello di un'escalation iniziata a febbraio, dopo i raid aerei statunitensi e israeliani. Operazioni sospette riconducibili all'Iran sono state segnalate in Germania, Polonia, Finlandia, Belgio e Albania. Il capo dell'NCSC, Richard Horne, ha dichiarato a giugno che l'agenzia aveva gestito oltre 200 attacchi a infrastrutture critiche nazionali nell'anno precedente. Una valutazione del rischio pubblicata dal Cabinet Office il mese scorso colloca la probabilità di un attacco cyber grave e riuscito alle infrastrutture domestiche tra il 5% e il 25%, e avverte che l'intelligenza artificiale sta rendendo questi attacchi più rapidi ed economici da condurre.

Vale la pena ricordare che nel 2025 la commissione parlamentare britannica che vigila sui servizi di intelligence aveva classificato come "improbabile" un attacco cyber iraniano alle infrastrutture britanniche.

Cosa significa per le aziende italiane

Il riflesso naturale, leggendo una notizia del genere, è pensare "riguarda il Regno Unito, riguarda i grandi operatori di rete". È esattamente la conclusione sbagliata, per tre motivi.

Primo: la frammentazione italiana è più accentuata, non meno. Il parco di produzione elettrica nazionale conta migliaia di impianti di piccola taglia — idroelettrico minore, biogas, fotovoltaico industriale, cogenerazione — spesso gestiti da società veicolo con strutture IT di due o tre persone, quando ci sono. Lo stesso vale per il servizio idrico integrato, dove accanto alle grandi multiutility convivono decine di gestori comunali e consorzi. Il modello dell'attacco britannico — colpire il nodo periferico e sotto soglia — si applica al contesto italiano molto meglio che a un mercato concentrato.

Secondo: chi sta sotto soglia non è fuori rischio, è solo fuori vigilanza. Il D.lgs. 138/2024 (recepimento NIS2) definisce il perimetro dei soggetti essenziali e importanti sulla base di settore e dimensione. Ma la superficie di attacco di un impianto non dipende dal suo fatturato: dipende da quanti accessi remoti ha, da come è configurata la teleassistenza del fornitore, da quanto è segmentata la rete tra ufficio e sala controllo. Un piccolo produttore con un HMI raggiungibile via VPN mal configurata è un bersaglio più semplice di un operatore essenziale con un SOC attivo, e produce lo stesso titolo di giornale.

Terzo: il perimetro contrattuale è più largo di quello normativo. L'articolo 24 del D.lgs. 138/2024 impone ai soggetti essenziali e importanti di gestire i rischi derivanti dalla catena di fornitura. Nella pratica, questo significa che i requisiti di sicurezza scendono a valle sotto forma di clausole contrattuali: chi fornisce servizi, manutenzione o capacità a un operatore in perimetro si troverà a doverli rispettare comunque, anche senza esservi obbligato direttamente. Meglio arrivarci preparati che scoprirlo in fase di gara.

Su questo sito avevamo già raccontato l'aggiornamento dell'allerta sugli attori iraniani contro i sistemi industriali e il caso polacco di sabotaggio OT attraverso una APN privata. Il filo conduttore è sempre lo stesso: non exploit sofisticati contro PLC, ma accessi remoti dimenticati e reti piatte.

Il contesto normativo: cosa scatta se succede in Italia

Per un soggetto in perimetro NIS2, un incidente con impatto significativo attiva una catena di adempimenti verso l'ACN, tramite il portale dei servizi:

  • pre-notifica entro 24 ore dalla conoscenza dell'incidente;
  • notifica completa entro 72 ore, con valutazione della gravità, degli indicatori di compromissione e dell'impatto;
  • relazione finale entro un mese, con descrizione dettagliata, causa e misure di mitigazione adottate.

A questi si aggiunge, se sono coinvolti dati personali, l'obbligo di notifica al Garante entro 72 ore ai sensi dell'art. 33 GDPR — un adempimento distinto, con tempi propri e destinatario diverso. Nel caso di un fermo impianto senza esfiltrazione, l'obbligo GDPR può non scattare: è comunque una valutazione da documentare, non da dare per scontata.

Cosa fare subito

Il modo migliore di leggere questa notizia è come una checklist, non come cronaca estera.

  • Censire ogni accesso remoto verso l'OT. VPN di manutenzione, teleassistenza dei fornitori, router 4G/APN privati, TeamViewer e simili installati "temporaneamente" anni fa. Se non esiste un elenco aggiornato, quello è il primo lavoro da fare.
  • Verificare l'esposizione su internet. Una ricerca su Shodan o Censys sui propri range IP pubblici, cercando protocolli industriali (Modbus/TCP 502, S7comm 102, BACnet 47808) e interfacce HMI/SCADA. Non dovrebbe esserci nulla.
  • Segmentare davvero IT e OT, con zone e conduit secondo la logica IEC 62443: una rete piatta trasforma un phishing in ufficio in un fermo impianto.
  • Eliminare le credenziali condivise per gli accessi di ingegneria e imporre MFA su ogni accesso remoto, incluso quello dei fornitori. L'accesso del manutentore è un'identità come le altre, e va gestita come tale.
  • Fare backup offline della logica dei PLC e delle configurazioni, non solo dei server. Il ripristino di un impianto passa da lì, e nei quattro giorni di fermo britannici è probabile che il tempo sia stato speso esattamente su questo.
  • Scrivere e provare le procedure di funzionamento in manuale. La domanda da porsi non è "riusciamo a evitare l'intrusione", ma "quanto reggiamo, e come, con la supervisione fuori uso".
  • Attivare il canale con il CSIRT Italia prima di averne bisogno: sapere chi chiama chi, e con quali contatti, fa la differenza tra una pre-notifica in 24 ore e una corsa affannosa.

La domanda che il governo britannico non ha voluto affrontare resta aperta anche qui: è accettabile che una centrale elettrica, per quanto piccola, resti ferma quattro giorni? La risposta, per chi progetta le difese, dovrebbe essere no — indipendentemente da dove passa la soglia normativa.