Prima la risposta diretta: un controllore logico programmabile (PLC) è la piccola scatola che nel vostro stabilimento o impianto avvia davvero la pompa, chiude la valvola e fa scattare l'allarme. Dalla fine di luglio 2026 gli aggressori hanno sfruttato proprio questo tipo di dispositivo, esposto direttamente sulla rete internet pubblica, presso gestori idrici di almeno 12 stati degli Stati Uniti. Ne hanno modificato la logica di funzionamento, disattivato allarmi e procedure di arresto sicuro, e cambiato password e indirizzi di rete finché gli operatori non hanno perso l'accesso alle proprie apparecchiature. L'impatto non sono stati file trafugati, ma perdita di pressione dell'acqua, allagamenti e impianti costretti a passare al funzionamento manuale. Se gestite una linea di produzione o un edificio con sistemi di controllo, la domanda a cui rispondere oggi è semplice e precisa: c'è anche un solo vostro controllore raggiungibile dalla rete internet pubblica?

Che cosa è successo davvero

L'Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA), l'FBI e altre agenzie federali hanno emesso un avviso congiunto numerato AA26-097A, pubblicato inizialmente il 7 aprile 2026 e aggiornato il 22 luglio 2026. L'aggiornamento non è stato di facciata: ha aggiunto indicazioni per rilevare modifiche malevole all'interno dei moduli di codice riutilizzabili usati nei programmi PLC di Rockwell Automation, e ha esteso il perimetro dell'hardware preso di mira ai dispositivi di Schneider Electric, Siemens e altri produttori. Il 30 luglio 2026 la CISA ha pubblicato un allerta separato in cui esortava il settore idrico e delle acque reflue a proteggere la propria tecnologia operativa da attività rivolte specificamente ai PLC.

Il metodo merita attenzione proprio perché non è geniale e non richiede nessuno zero-day costoso. L'aggressore trova un controllore esposto su internet, poi usa il software di ingegneria ufficiale, lo stesso che usa il vostro ingegnere, per scaricare il file di progetto e modificarne la logica ladder. Da lì manomette le Add-On Instructions per disattivare arresti sicuri e allarmi, e falsifica ciò che mostrano le schermate HMI e SCADA, così l'operatore vede una lettura perfettamente normale mentre il serbatoio o la linea sta facendo tutt'altro. Infine cambia password e indirizzi IP dei dispositivi e installa un servizio SSH leggero sul modem del sito per mantenere l'accesso anche dopo un riavvio. L'ordine conta: la falsificazione visiva arriva prima del danno, ed è per questo che diversi operatori se ne sono accorti tardi.

La portata racconta il resto. Solo in Minnesota sono stati segnalati come bersaglio più di 30 sistemi idrici comunitari, e l'attività si è estesa ad altri stati, tra cui Michigan, New Jersey, Georgia e Dakota del Sud. Più eloquente del numero è stata la dichiarazione del direttore facente funzioni della CISA nell'agosto 2026: il team continuava a trovare controllori aperti su internet senza alcuna password impostata, o con quella di fabbrica ancora attiva. Il suo messaggio al settore stava in due frasi: togliete la vostra tecnologia operativa da internet e impostate una password.

Perché vi riguarda se gestite un impianto in Arabia Saudita

Perché si tratta dello stesso hardware, degli stessi fornitori e della stessa abitudine. I controllori Rockwell, Siemens e Schneider fanno funzionare linee di produzione, impianti di trattamento, pompe degli edifici, refrigeratori e sistemi di gestione degli edifici (BMS) nel Regno come ovunque altrove. E l'abitudine che ha aperto la porta in quegli incidenti esiste ovunque: l'installatore chiede un accesso remoto per potervi assistere rapidamente, si apre una porta sul router del sito o si installa un modem cellulare autonomo, poi la soluzione temporanea viene dimenticata e diventa permanente per anni. Nessuno la documenta, nessuno la verifica, e non compare mai in nessun inventario IT, perché semplicemente non è dell'IT.

È proprio per questo che l'Autorità Nazionale per la Cybersicurezza dell'Arabia Saudita (NCA) ha emanato i Controlli di Cybersicurezza per la Tecnologia Operativa (OTCC-1:2022). Si rivolgono agli impianti industriali sensibili di enti governativi e privati e impongono una base minima di protezione ai sistemi di controllo industriale. Il documento è accompagnato da uno strumento di valutazione della conformità e da uno strumento di classificazione degli impianti per stabilire quanto sia sensibile un determinato sito. Se operate nei settori dell'acqua, dell'energia, della manifattura o del facility management, questi controlli non sono una lettura facoltativa, e l'ondata di quest'estate vi offre una ragione operativa per anticipare il vostro calendario di attuazione invece di rimandarlo.

Il vero divario: l'IT è un mondo, l'OT è un altro

La maggior parte delle organizzazioni affronta la sicurezza della tecnologia operativa con la mentalità dell'IT d'ufficio, ed è questo il problema di fondo. Nel mondo IT la prima priorità è la riservatezza dei dati, si applicano patch ogni mese e si riavvia un server di notte senza grandi disagi. Nel mondo OT la prima priorità è la continuità e la sicurezza; un controllore può funzionare dieci anni senza aggiornamenti perché fermarlo significa fermare la produzione, il suo sistema operativo è vecchio per scelta progettuale, e i protocolli che usa sono stati scritti in un'epoca in cui si dava per scontato che la rete fosse davvero isolata, per cui non prevedono alcuna autenticazione né cifratura.

La conseguenza è che gli strumenti abituali qui non servono: un antivirus su una postazione HMI può fermare la produzione, e una scansione di vulnerabilità convenzionale può mandare in crash un controllore delicato. Ciò che funziona è l'architettura: separare le reti, controllare l'unico punto di passaggio tra di esse e rendere di sola lettura tutto ciò che esce dal mondo delle operazioni verso il mondo del business.

Sette azioni da intraprendere questa settimana

  • Fate l'inventario di ciò che è davvero esposto. Chiedete un elenco di tutti gli IP pubblici collegati ai vostri siti e di tutti i modem cellulari installati in una sala controllo. Quell'elenco di solito è più lungo di quanto pensiate e contiene dispositivi di cui nessuno nel team IT è a conoscenza.
  • Chiudete l'accesso diretto. Nessun controllore o HMI deve essere raggiungibile dalla rete internet pubblica. L'accesso remoto passa attraverso una VPN o un gateway intermediario, con autenticazione a più fattori e un'autorizzazione a tempo, aperta su richiesta e chiusa subito dopo.
  • Cambiate ogni password predefinita. Sì, il consiglio è vecchio e noioso, ed è esattamente ciò che gli investigatori trovano ancora spalancato in impianti reali oggi.
  • Segmentate le reti. La rete d'ufficio e la rete di produzione non devono essere un'unica rete piatta. Il traffico tra le due attraversa un unico punto governato e monitorato.
  • Mettete il selettore di modalità su Run. Il selettore fisico a chiave sul controllore blocca il caricamento remoto della logica. Un'impostazione semplice ed efficace che non costa nulla.
  • Conservate una copia offline della logica e della configurazione dei controllori. Se la logica viene alterata o una password viene cambiata, una copia affidabile fa la differenza tra ripartire in qualche ora e ripartire in qualche giorno.
  • Monitorate le modifiche, non solo le intrusioni. L'allerta che conta qui non è "c'è un virus", ma "la logica del controllore 7 è cambiata alle 2:40 di notte e non è stato aperto alcun ticket di manutenzione". Confrontate periodicamente la logica in esecuzione con la baseline approvata e registrate le differenze.

Dove entra tutto questo nei progetti di digitalizzazione che state realizzando

Ogni progetto di digitalizzazione di una fabbrica, un magazzino o un impianto porta con sé la stessa richiesta: vogliamo una dashboard che mostri in tempo reale le prestazioni della linea e una notifica sul telefono se una pompa si ferma. La richiesta è del tutto legittima; il rischio emerge nel modo in cui viene realizzata. La strada veloce è collegare il sistema cloud direttamente alla rete di controllo, o aprire una porta perché possa leggerne i dati, ed è esattamente questo che trasforma una catena di incidenti come questa da notizia dall'estero in un incidente nel vostro sito.

La strada corretta costa solo qualche giorno in più: un gateway di dati nel mezzo che legge dal mondo delle operazioni e non vi scrive mai, un'unica direzione del flusso di dati dalla produzione verso le dashboard aziendali, un'identità separata per ogni integrazione con il privilegio minimo con cui può funzionare, e un registro a prova di manomissione di ogni comando che viaggia dal sistema aziendale fino al reparto. Quando in Origami progettiamo sistemi per le operazioni, il magazzino e la manutenzione, questa separazione non è un elemento di sicurezza aggiunto alla fine: è una decisione architetturale presa il primo giorno, perché introdurla in seguito significa ricostruire l'integrazione da zero.

La lezione pratica dell'ondata di quest'estate non è che la tecnologia operativa sia pericolosa. È che le sue porte aperte più comuni sono anche le più semplici: un dispositivo dimenticato su internet, una password predefinita e l'accesso temporaneo di un fornitore che è diventato permanente senza che nessuno se ne accorgesse. Queste tre si chiudono con una decisione della direzione e una settimana di lavoro, non con un budget eccezionale.

Fonti