#icsscada

Si parla di:

Toggle

Nessuna esplosione, nessun blackout diffuso: solo un pugno di controllori industriali esposti su #internet, indirizzi IP cambiati e #password sostituite. È bastato questo, secondo quanto ricostruito da The Telegraph e confermato in forma parziale dalle autorità britanniche, per mettere fuori uso per quattro giorni un piccolo impianto di generazione elettrica nel Regno Unito lo scorso luglio. Il sospetto principale, secondo fonti dell’#intelligence britannica citate dal Financial Times, è il gruppo #CyberAv3ngers, legato al Corpo delle Guardie della Rivoluzione Islamica iraniana (#IRGC). Un episodio che, pur di dimensioni contenute, segna un salto qualitativo nella campagna iraniana contro le infrastrutture critiche occidentali.

Un generatore da 15 MW, non la rete nazionaleL’impianto colpito è un generatore a gas di picco da circa 15 megawatt, il tipo di infrastruttura che entra in funzione per fornire potenza supplementare nei momenti di massima domanda, non un nodo critico della rete elettrica nazionale. Le autorità britanniche hanno confermato l’incidente precisando che “ha colpito un generatore di piccole dimensioni e non ha mai comportato rischi per il sistema energetico più ampio”. Proprio questa apparente marginalità è ciò che più preoccupa gli analisti: non è la scala del singolo impianto a contare, ma la ripetibilità della tecnica. Come ha osservato un analista di Check Point Software commentando il caso, “i dispositivi devono essere molto diversi e distribuiti, e accedere a un sistema critico… può essere piuttosto facile” — un problema strutturale, non un incidente isolato.

Come è avvenuta l’intrusioneSecondo la ricostruzione circolata sulla stampa britannica, gli attaccanti hanno individuato controllori Rockwell Automation Allen-Bradley MicroLogix 1100 e 1400 esposti direttamente su internet, senza le protezioni di rete che dovrebbero normalmente isolare questi dispositivi OT dal mondo esterno. Da lì, l’attacco è stato quasi disarmante nella sua semplicità operativa: modifica degli indirizzi IP e delle password dei dispositivi, in modo da impedire al personale dell’impianto di riprendere il controllo dell’equipaggiamento, e in alcuni casi alterazione dei file di progettazione e della logica ladder che governa il funzionamento del PLC. Nessun #malware sofisticato, nessun #exploit zero-day: solo credenziali deboli o assenti su hardware industriale raggiungibile dalla rete pubblica, esattamente lo schema che CyberAv3ngers ha già sfruttato altrove.

L’attacco risale a luglio 2026 ma è stato reso pubblico solo il 22 agosto, con un vuoto di comunicazione ufficiale che gli osservatori hanno definito insolito: “non c’è stata praticamente nessuna informazione proveniente dalle fonti ufficiali attese, come l’NCSC”, il centro nazionale britannico per la cybersecurity. Il nome dell’operatore e la localizzazione esatta dell’impianto non sono stati resi noti, presumibilmente per ragioni di sicurezza operativa.

CyberAv3ngers: una storia di PLC violatiSe l’attribuzione a CyberAv3ngers verrà confermata, l’episodio britannico si inserirebbe in un pattern operativo ormai consolidato. Il gruppo, riconducibile all’IRGC, è emerso pubblicamente alla fine del 2023 con una campagna contro controllori Unitronics Vision esposti su internet e utilizzati da utility idriche statunitensi, colpendo tra gli altri l’Aliquippa Municipal Water Authority in Pennsylvania. CISA e FBI risposero con l’advisory AA23-335A, che documentava lo sfruttamento di credenziali di default sui PLC Unitronics come vettore principale. Da allora il gruppo non si è fermato: a luglio 2026 fonti hanno segnalato sospetti coinvolgimenti in intrusioni contro sistemi idrici in Minnesota, a conferma di una strategia costante — colpire l’anello più debole dell’automazione industriale occidentale, ovunque sia raggiungibile senza autenticazione robusta.

Il contesto geopolitico rende la traiettoria coerente: dallo scoppio del conflitto tra Iran, Stati Uniti e Israele, i gruppi cyber affiliati a Teheran hanno intensificato le operazioni contro bersagli negli USA, in Israele, nei Paesi del Golfo e in Europa. Il salto dal colpire utility idriche di piccole municipalità americane a un impianto di generazione elettrica nel Regno Unito rappresenta un’estensione geografica della stessa dottrina operativa: infrastrutture energetiche e idriche di dimensioni contenute, spesso gestite da enti locali con budget di sicurezza limitati, come terreno di dimostrazione della capacità di Teheran di colpire l’Occidente anche fuori dai confini mediorientali.

Attribuzione: cosa sappiamo e cosa noÈ importante essere precisi sul livello di certezza disponibile pubblicamente. Al momento non esiste una prova tecnica pubblica che colleghi in modo definitivo CyberAv3ngers all’incidente britannico: l’attribuzione riportata da Telegraph e Financial Times si basa su fonti di intelligence, non su indicatori di compromissione pubblicati o su una dichiarazione ufficiale del gruppo. Va inoltre notato che CyberAv3ngers ha in passato rivendicato pubblicamente le proprie operazioni con post sui propri canali — un comportamento che, se assente in questo caso, potrebbe suggerire un cambio di postura verso operazioni più silenziose, oppure semplicemente riflettere la scelta del Regno Unito di non confermare i dettagli per non offrire un palcoscenico agli attaccanti.

Due righe per i difensori OT/ICSIl caso britannico ribadisce una lezione che il settore OT fatica a metabolizzare da anni: l’esposizione diretta di PLC e controllori industriali su internet resta uno dei rischi più facilmente evitabili e più frequentemente ignorati. Per i team che gestiscono ambienti di automazione industriale, la priorità immediata è la verifica di quali asset OT siano raggiungibili dalla rete pubblica, seguita dalla segmentazione di rete tra IT e OT e dall’eliminazione di credenziali di default sui dispositivi Rockwell, Unitronics, Siemens e affini — un problema che CISA e FBI hanno segnalato ripetutamente anche per dispositivi Siemens S7 in contesti di attacchi assistiti dall’IA.

Mappare tutti i dispositivi ICS/SCADA raggiungibili da internet (Shodan/Censys possono essere un primo strumento di verifica)

Eliminare credenziali di default su PLC Rockwell Allen-Bradley MicroLogix, Unitronics Vision e dispositivi equivalenti

Segmentare rigorosamente le reti OT dalle reti IT e dall’accesso remoto diretto

Implementare backup verificati e testati dei file di progettazione e della logica ladder dei PLC

Abilitare autenticazione forte e logging per ogni accesso remoto a sistemi di controllo industriale

Non servono zero-day né infrastrutture offensive sofisticate per mettere fuori servizio un impianto energetico per quattro giorni: bastano un controllore esposto e una password mai cambiata. È questa la vera notizia dietro l’incidente britannico, e il motivo per cui merita attenzione ben oltre i 15 megawatt del generatore colpito.

Si parla di:

Toggle

Il 10 agosto una turbina idroelettrica nei pressi di Danzica ha iniziato a impazzire: giri al minuto e potenza generata hanno oscillato in modo erratico fino all’arresto forzato del gruppo generatore-rotore. Non un guasto meccanico, ma la seconda intrusione andata a segno in pochi mesi contro lo stesso impianto, rivendicata con tanto di video dagli stessi attaccanti. È l’ultimo episodio di una campagna che il #CERT Polska descrive ormai come sistematica contro il settore energetico e idrico del Paese, e che affonda le radici in un attacco ben più ampio, condotto a fine dicembre 2025 dal gruppo #APT russo #Sandworm contro una trentina di siti tra centrali di cogenerazione e centri di dispacciamento rinnovabili.

Un impianto già colpito, questa volta a pieno regimeLa centrale presa di mira si trova a Tczew, nel voivodato della Pomerania, ed era già stata bersaglio di un primo tentativo a maggio 2026, fallito perché l’impianto era #offline per manutenzione e l’impatto operativo fu quindi nullo. Il 10 agosto, invece, gli attaccanti sono riusciti a operare mentre la centrale era pienamente funzionante: la prima volta, secondo gli analisti polacchi, che questo specifico gruppo di hacktivisti filo-russi ottiene un’interferenza reale sui parametri di produzione. Una volta dentro l’interfaccia di controllo, hanno spinto i valori operativi ai loro estremi — minimo o massimo — fino a costringere generatore e rotore all’arresto. I dati di monitoraggio del giorno dell’attacco mostrano picchi anomali di velocità di rotazione e livello dell’acqua, alternati a periodi di potenza erogata pari a zero: la firma tipica di una manipolazione manuale del pannello SCADA, non di un errore di processo.

Gli stessi autori hanno pubblicato un video dell’intrusione, un dettaglio che negli ambienti di #cybercrime filorusso serve tanto a rivendicare la paternità dell’attacco quanto a intimidire altri operatori del settore. L’attribuzione a un attore specifico resta fluida: gruppi come #Cyber Army of #Russia Reborn e la galassia riconducibile a Sandworm operano spesso in una zona grigia tra hacktivismo spontaneo e operazioni orchestrate dai servizi militari russi (GRU), rendendo la distinzione tra “protesta” e sabotaggio di stato sempre più teorica.

Il precedente: come un router in un parco eolico ha aperto la porta a un impianto di teleriscaldamentoPer capire la portata della minaccia occorre guardare a un #report pubblicato in contemporanea dal CERT Polska, che ricostruisce nel dettaglio un secondo attacco avvenuto in parallelo a quello di fine dicembre 2025 contro il settore energetico polacco, fino ad ora meno noto. Il bersaglio era un piccolo impianto di cogenerazione (CHP) che fornisce calore a circa 50.000 residenti. L’obiettivo, scrive il CERT, era “puramente distruttivo”.

La catena di intrusione è particolarmente istruttiva perché introduce una tecnica mai documentata prima in #Polonia né altrove: il pivoting attraverso una APN privata (Access Point Name), la rete cellulare dedicata che i distributori di #energia (DSO) usano per far comunicare i propri sistemi SCADA con gli apparati di campo installati nelle sottostazioni.

Accesso iniziale tramite un dispositivo Fortinet VPN/firewall esposto su internet e installato presso un parco eolico.

Dalla stessa rete, individuazione di un router cellulare Teltonika e accesso alla sua interfaccia di amministrazione.

Abuso del servizio SSH del router per creare un tunnel verso la APN privata gestita dal DSO, normalmente riservata al traffico SCADA legittimo.

Scansione della APN e individuazione di un PLC Wago attivo presso l’impianto CHP, anch’esso con SSH esposto: da qui, accesso diretto alla rete OT della centrale.

Dopo circa una settimana di ricognizione, connessione ai PLC Siemens, passaggio in modalità “stop” e impostazione di una password per impedire agli operatori di riprendere il controllo della logica di processo — con conseguente arresto della turbina a vapore e del sistema di trattamento acque.

Presi di mira anche server seriali e switch di rete Moxa, oltre a inverter/VFD ABB e Schneider Electric, configurati per bloccare l’accesso agli operatori legittimi.

Il personale dell’impianto è riuscito a limitare i tempi di fermo ripristinando i PLC alle impostazioni di fabbrica e ricaricando la logica dai backup. Ma non tutto è stato recuperabile: nel tentativo di cancellare le tracce, gli attaccanti hanno danneggiato in modo permanente il controller Wago usato come gateway d’accesso, corrompendone la tabella delle partizioni. Un successivo reset di fabbrica non è bastato a farlo ripartire, e il dispositivo è rimasto inutilizzabile — portando con sé anche i log necessari all’indagine forense.

DynoWiper e il contesto dell’attacco del dicembre 2025L’attacco alla APN privata va letto come parte della stessa ondata che il 29-30 dicembre 2025 colpì una trentina di siti energetici polacchi, incluse centrali di cogenerazione e centri di dispacciamento eolico e fotovoltaico. In quel caso ESET ha attribuito con confidenza media l’operazione a Sandworm, individuando l’uso di un nuovo wiper — battezzato DynoWiper e rilevato dai prodotti ESET come Win32/KillFiles.NMO — con tattiche molto simili al wiper ZOV già usato contro l’Ucraina. L’accesso iniziale in quel caso è avvenuto tramite dispositivi edge esposti su internet, seguito dalla distruzione di dati sulle interfacce HMI e dalla corruzione del firmware di alcuni apparati OT, causando danni permanenti ad alcune RTU (Remote Terminal Unit). L’operazione, va detto, è stata contenuta prima di provocare un blackout reale, e la tempistica — a ridosso del decimo anniversario dell’attacco alla rete elettrica ucraina del dicembre 2015 — non sembra casuale.

Il quadro complessivo che emerge da Tczew, dalla APN privata e da DynoWiper è quello di una pressione costante e multiforme sulle infrastrutture critiche polacche. Il vicepremier Krzysztof Gawkowski ha dichiarato che il Paese subisce oggi circa 300 attacchi al giorno di matrice russa, il triplo rispetto all’anno precedente, e che gli obiettivi spaziano dalla rete idrica a quella elettrica. Solo negli ultimi mesi sono stati colpiti impianti di trattamento acque a Szczytno, Sierakowo, Witków e il depuratore di Kuźnica, oltre a piscine e fontane pubbliche — bersagli minori ma sintomatici di una strategia che punta a normalizzare l’intrusione in qualunque sistema OT raggiungibile, non solo nei nodi strategici. Un pattern che ricorda da vicino quanto osservato in Norvegia, dove hacker filorussi hanno manipolato le valvole di una diga, e negli Stati Uniti e in Francia, dove impianti idrici sono stati presi di mira con le stesse modalità opportunistiche.

Due righe per i difensoriIl filo conduttore tra i due episodi polacchi è la superficie di attacco “dimenticata”: dispositivi edge esposti (VPN/firewall Fortinet), router cellulari con interfacce di amministrazione raggiungibili, servizi SSH lasciati attivi su PLC e gateway pensati per reti “isolate” ma di fatto raggiungibili tramite APN condivise con altri operatori. Per chi gestisce ambienti OT/ICS, in particolare nel settore energetico e idrico, questo caso offre alcune lezioni operative concrete: segmentare rigorosamente le APN private evitando che un singolo dispositivo compromesso funga da ponte tra reti di operatori diversi; disabilitare SSH e altri servizi di gestione remota sui PLC quando non strettamente necessari, o quantomeno restringerne l’accesso con allowlist IP e MFA; monitorare le interfacce HMI/SCADA per variazioni anomale dei parametri operativi che non corrispondono a comandi degli operatori; e predisporre backup offline della logica PLC, testati periodicamente, dato che in entrambi i casi documentati sono stati proprio i backup a permettere un ripristino rapido.

Indicatori e riferimenti tecniciMalware: DynoWiper (ESET: Win32/KillFiles.NMO)
SHA-1 noto: 4EC3C90846AF6B79EE1A5188EEFA3FD21F6D4CF6
Attore: Sandworm (Russia, GRU-linked) - confidenza media
Vettore 1: dispositivi edge esposti (VPN/firewall Fortinet) - attacco 30 siti, dic. 2025
Vettore 2 (novel): pivot su APN privata via router cellulare Teltonika -> PLC Wago -> PLC Siemens (stop mode)
Apparati OT coinvolti: PLC Wago e Siemens, switch/serial server Moxa, VFD ABB/Schneider Electric
Impianto colpito 10 ago 2026: centrale idroelettrica di Tczew (Pomerania, Polonia)
Fonte primaria: report CERT Polska, follow-up settore energetico 2025Nessun blackout è stato causato finora da queste operazioni, ma il trend è inequivocabile: gli attaccanti stanno affinando tecniche di pivoting sempre più sofisticate per raggiungere reti OT considerate “air gapped” o comunque isolate, e la loro pazienza — settimane di ricognizione silenziosa prima di agire — dimostra un livello di preparazione che va ben oltre il semplice defacement dimostrativo.