È cambiato un elenco di costruttori e nessuno lo ha raccontato

Il 7 aprile 2026 l'agenzia statunitense CISA ha pubblicato l'avviso AA26-097A, che descriveva lo sfruttamento di controllori programmabili esposti su internet nei servizi pubblici, nel settore idrico e fognario e nell'energia. Le apparecchiature citate erano unità Rockwell Automation Allen-Bradley e l'attività descritta risaliva a marzo. Per un operatore europeo si leggeva come un problema americano su apparecchiature americane.

Il 22 luglio l'avviso è stato aggiornato. La revisione ha esteso l'elenco alle apparecchiature di Schneider Electric e Siemens accanto a quelle Rockwell, ha aggiunto indicazioni per rilevare moduli di codice manipolati e ha pubblicato nuovi indicatori relativi al periodo da settembre 2025 a luglio 2026. Quattro giorni dopo, tra il 26 e il 27 luglio, un attacco coordinato ha colpito più di trenta acquedotti comunali in Minnesota.

Da allora tutti i titoli parlano dell'attacco o di chi lo abbia condotto. La parte che attraversa l'Atlantico è l'elenco dei costruttori, ed è cambiata nove giorni fa.

I tre controllori ora citati

L'avviso nomina i Rockwell Automation CompactLogix e Micro850, lo Schneider Electric Modicon M340 e la serie Siemens S7-1200. Due di queste tre famiglie sono l'allestimento tipico di una sala quadri europea. La base installata di Rockwell è concentrata in Nord America; Siemens e Schneider sono costruttori europei i cui controllori governano potabilizzazione, depurazione, industria alimentare e manifattura generale in Europa.

La modifica non descrive un difetto di prodotto. Nell'avviso non si parla di una vulnerabilità appena divulgata in un prodotto Siemens o Schneider. Si parla di controllori raggiungibili dalla rete pubblica, protetti da password predefinite o mai cambiate, i cui programmi sono stati poi alterati. Quell'esposizione è una scelta di configurazione e di accesso, quasi sempre fatta anni fa da un integratore e quasi mai riesaminata.

La distinzione stabilisce a chi tocca il rimedio. Una vulnerabilità di prodotto è una patch che si aspetta. Un controllore esposto è un registro degli asset e un percorso di accesso remoto, e sono entrambi vostri.

La tecnica si è spostata dalla password alla logica

Nel 2023 e nel 2024 lo stesso settore fu colpito attraverso i controllori della serie Unitronics Vision: almeno 75 dispositivi negli Stati Uniti, in Israele, nel Regno Unito e in Irlanda furono compromessi tramite password predefinite mai cambiate. Era un problema di accesso con una risposta di accesso. La campagna del 2026 lavora su un altro piano.

L'avviso descrive tre mosse in sequenza. Il software di ingegneria del costruttore, eseguito su infrastruttura ospitata da terzi, è stato usato per estrarre i file di progetto del PLC dagli ambienti delle vittime. Poi sono state manipolate le Add-On Instructions, i moduli di codice riutilizzabili incorporati in quei programmi, per disattivare arresti di sicurezza e allarmi. Infine sono stati modificati i dati che alimentano le schermate HMI e SCADA, così che un impianto potesse lavorare fuori dai limiti sicuri senza che la postazione dell'operatore mostrasse nulla di strano.

Accanto a questo restano i passaggi più grossolani: password di amministratore cambiate per chiudere fuori l'operatore dal proprio controllore, e impostazioni IP alterate per staccare il controllore dalla rete che lo sorveglia. Una policy sulle password risponde all'attacco del 2023. Nessuna policy sulle password risponde a un allarme riscritto.

Due ore a Braham sono un dato di organico

Braham, in Minnesota, conta circa 1.700 abitanti. L'attacco ha messo fuori uso il controllo informatizzato del pozzo e dell'impianto di potabilizzazione, e le squadre hanno riportato l'esercizio alla normalità in due ore. Anche Plymouth, South St Paul e Maple Plain hanno segnalato incidenti, e in tutto più di trenta comuni sono stati colpiti il 26 e il 27 luglio.

Ciò che ha rimesso in piedi Braham in due ore sono state persone capaci di condurre l'impianto a mano. Questa è una voce di organico e non una voce del budget di sicurezza, ed è quella che più spesso si taglia sostenendo che tanto il processo è automatizzato. Negli incidenti finora segnalati la qualità dell'acqua potabile non è stata compromessa, anche se l'allerta CISA del 30 luglio elenca gli avvisi di bollitura e l'esercizio manuale prolungato tra le conseguenze provocate da questa attività.

Sull'attribuzione non c'è nulla di definito. Nessuna agenzia federale o statale ha attribuito formalmente gli attacchi del Minnesota. Un memorandum del WaterISAC cita il Minnesota Fusion Center, secondo cui l'attività è coerente con la campagna descritta dalla CISA, senza però portare prove dirette; lo schema operativo coincide con quello di CyberAv3ngers, gruppo attribuito formalmente al comando cibernetico ed elettronico delle Guardie rivoluzionarie iraniane; è stato riferito che l'intelligence statunitense sospetta l'Iran, e il presidente lo ha smentito pubblicamente. Nessuna di queste posizioni cambia una sola misura che decidereste di adottare.

Tre domande che non hanno bisogno di un colpevole

Primo: chiedete al vostro integratore ogni percorso di accesso remoto verso un controllore, e non accettate lo schema di rete come risposta. Lo schema documenta il progetto; l'esposizione nasce quasi sempre da ciò che è stato aggiunto dopo per un contratto di assistenza, un avviamento o una reperibilità notturna. L'allerta CISA del 30 luglio, emessa insieme all'agenzia ambientale EPA e all'FBI, chiede esattamente tre cose: togliere i controllori dalla rete pubblica e raggiungerli tramite VPN o gateway, attivare la protezione con password e cambiare ogni valore predefinito, e ammettere solo gli indirizzi autorizzati tramite una lista bianca.

Secondo: siete in grado di estrarre oggi il programma del controllore e confrontarlo con l'ultima versione approvata, comprese le Add-On Instructions? Se la risposta onesta è che il programma in esercizio esiste solo dentro il controllore, allora la manipolazione descritta dall'avviso nel vostro impianto non ha alcuna via di rilevamento. La misura efficace qui è un registro firmato e versionato di come la logica dovrebbe essere, e la maggior parte dei siti non riesce a produrlo.

Terzo: la vostra prova di allarme dimostra che l'allarme parte dal processo, oppure solo che la schermata sa disegnarlo? La questione va oltre la sala quadri. Acqua e acque reflue sono settori essenziali dell'allegato I della NIS2, quindi un incidente significativo comporta un preallarme entro 24 ore e una notifica entro 72, con l'organo di gestione che risponde delle misure. In Italia la notifica passa dall'Agenzia per la Cybersicurezza Nazionale secondo il decreto legislativo 138 del 2024. Il termine decorre da quando ne venite a conoscenza, e una tecnica costruita per riscrivere insieme la logica di sicurezza e la schermata che la riporta è una tecnica costruita per ritardare proprio quel momento.

Da leggere ora: La prima piattaforma di agenti IA che la CISA obbliga a correggere  |  La patch di SharePoint che hai saltato a maggio ora è urgente