Attacco coordinato colpisce oltre 30 acquedotti del Minnesota

🛡️ Executive Summary

• Un attacco coordinato ha interessato i sistemi operativi di oltre 30 servizi idrici comunitari del Minnesota tra il 26 e il 27 luglio.
• L’impianto di Braham è andato offline, mentre altre città hanno segnalato problemi alle comunicazioni cellulari e ai controlli automatici.
• Attore, vulnerabilità e tecnologie colpite non sono stati identificati pubblicamente e non esiste un’attribuzione ufficiale all’Iran.

Un attacco informatico coordinato ha colpito la tecnologia operativa di oltre 30 sistemi idrici comunitari del Minnesota tra il 26 e il 27 luglio 2026, provocando conseguenze differenti nelle municipalità interessate. L’impianto di trattamento di Braham è andato temporaneamente offline, mentre Plymouth, South St. Paul e Maple Plain hanno segnalato malfunzionamenti delle comunicazioni e dei controlli automatici. Le autorità statali e federali hanno avviato una risposta congiunta, ma non hanno reso pubblici il vettore iniziale, i prodotti coinvolti o l’identità degli aggressori. Il servizio idrico è rimasto generalmente disponibile e non risultano richieste attive rivolte alla popolazione per modificare il consumo di acqua potabile.

Oltre trenta sistemi idrici colpiti in due giorni

Minnesota IT Services ha confermato che l’attività ha interessato più di 30 sistemi idrici distribuiti nello Stato e che gli incidenti presentavano caratteristiche comuni per tempistica, modalità di accesso e tipologia di infrastruttura presa di mira. Questi elementi hanno spinto le autorità a descrivere l’evento come coordinato, anche se le indagini non hanno ancora stabilito se tutte le intrusioni siano state condotte dallo stesso attore. I sistemi coinvolti gestiscono processi essenziali come trattamento dell’acqua, torri idriche, stazioni di sollevamento delle acque reflue e controlli automatizzati. La compromissione della tecnologia operativa non implica necessariamente la contaminazione dell’acqua o la perdita del controllo completo degli impianti, ma può interrompere comunicazioni, automazioni e supervisione, obbligando gli operatori a passare a procedure manuali. Il caso conferma la vulnerabilità delle infrastrutture locali già emersa con le falle critiche nei sistemi Niagara e gli attacchi contro infrastrutture pubbliche e private, dove componenti di gestione e automazione rappresentavano il punto di ingresso verso servizi fisici.

L’impianto di Braham è andato temporaneamente offline

La conseguenza operativa più evidente è stata registrata a Braham, dove l’impianto idrico è uscito temporaneamente dal servizio e la città ha chiesto ai residenti di ridurre il consumo d’acqua fino al ripristino del trattamento. A Plymouth sono stati segnalati problemi alle comunicazioni cellulari di due torri idriche e di diverse stazioni di sollevamento delle acque reflue, ma i servizi hanno continuato a funzionare attraverso operazioni manuali. South St. Paul e Maple Plain hanno mantenuto la distribuzione nonostante l’alterazione dei controlli automatizzati, mentre Maple Plain ha dichiarato lo stato di emergenza locale per agevolare le attività di risposta. Le differenze tra le città indicano che l’attacco non ha prodotto lo stesso effetto su ogni sistema e potrebbe avere incontrato architetture, configurazioni e livelli di segmentazione differenti. Al 29 luglio, Minnesota IT Services dichiarava di non essere a conoscenza di richieste attive affinché i residenti modificassero il consumo di acqua potabile.

Le autorità non rivelano il vettore dell’intrusione

Gli investigatori hanno individuato somiglianze nel modo in cui i sistemi sono stati raggiunti, ma hanno deciso di non pubblicare i dettagli tecnici mentre l’indagine rimane in corso. Non sono stati identificati il produttore degli apparati, la famiglia dei controllori, una vulnerabilità specifica o l’eventuale impiego di credenziali sottratte. Non è stato chiarito neppure se gli aggressori abbiano ottenuto accesso diretto ai sistemi SCADA, alle interfacce uomo-macchina, ai modem cellulari o a piattaforme esterne utilizzate per la gestione remota. Questa cautela impedisce di stabilire se l’incidente derivi da una singola falla comune, da configurazioni condivise tra più municipalità o da un fornitore utilizzato contemporaneamente da numerosi impianti. La risposta coinvolge Minnesota IT Services, Dipartimento di Pubblica Sicurezza, Minnesota Fusion Center, Dipartimento della Salute, Pollution Control Agency, CISA, Environmental Protection Agency e FBI. Le attività comprendono contenimento, investigazione, ripristino e condivisione degli indicatori di compromissione.

L’attribuzione a gruppi iraniani non è confermata

L’attacco è avvenuto pochi giorni dopo l’ampliamento di un’allerta statunitense sulle attività di soggetti affiliati all’Iran contro programmable logic controller esposti su Internet, compresi prodotti di Rockwell Automation, Schneider Electric e Siemens. In quelle campagne, gli attaccanti avevano sottratto e modificato file di progetto, manipolato i dati mostrati dagli HMI e dai sistemi SCADA e disattivato logiche di arresto o allarme. Questa vicinanza temporale ha portato alcuni ricercatori a rilevare compatibilità con le tattiche associate a CyberAv3ngers e ad altri gruppi collegati all’Islamic Revolutionary Guard Corps Cyber-Electronic Command. Nessuna autorità ha però stabilito un collegamento tra l’allerta federale e gli eventi del Minnesota. Tenable ha parlato di una coerenza con il più ampio ecosistema operativo iraniano, precisando contemporaneamente che non esiste un’attribuzione ufficiale. Attribuire oggi l’attacco all’Iran significherebbe quindi trasformare una valutazione tecnica preliminare in un fatto non dimostrato. Il contesto più ampio delle intrusioni contro PLC e software esposti è stato ricostruito nell’analisi su APT iraniane, controllori industriali e infrastrutture raggiungibili da Internet.

I piccoli acquedotti dipendono da accessi remoti fragili

I sistemi idrici municipali utilizzano frequentemente controlli remoti, modem cellulari, VPN, desktop remoto e interfacce web per permettere a personale ridotto o fornitori esterni di gestire impianti distribuiti su territori ampi. Queste soluzioni riducono costi e tempi di intervento, ma creano punti d’accesso che possono rimanere esposti con password deboli, firmware non aggiornato, autenticazione singola o segmentazione insufficiente tra rete aziendale e tecnologia operativa. Le municipalità più piccole possono inoltre condividere lo stesso integratore, lo stesso software o configurazioni simili, condizione che permette a un singolo metodo di accesso di funzionare contro numerosi impianti. L’evento del Minnesota mostra che un attacco non deve necessariamente alterare la composizione dell’acqua per produrre conseguenze concrete: interrompere la telemetria, bloccare una torre, disabilitare una stazione di sollevamento o rendere inaffidabili gli allarmi può costringere gli operatori a ridurre il servizio e lavorare manualmente sotto pressione.

La risposta deve verificare anche i progetti dei PLC

Le indicazioni federali rivolte agli operatori delle infrastrutture idriche comprendono il monitoraggio delle connessioni provenienti dai modem cellulari, la limitazione dell’accesso ai controllori ai soli sistemi autorizzati e l’ispezione dei file di progetto attivi per identificare modifiche non approvate. Prima di ripristinare un PLC da un backup occorre verificare che il file utilizzato sia integro e non contenga logiche inserite dagli aggressori. Quando il dispositivo dispone di un selettore fisico, il passaggio alla modalità di esecuzione dovrebbe avvenire soltanto dopo il controllo del progetto caricato. Le utility devono inoltre cambiare le credenziali, chiudere le interfacce pubbliche non necessarie, applicare autenticazione multifattore agli accessi remoti e separare il traffico amministrativo da quello di processo. Il ripristino dei servizi non conclude l’incidente: se l’attaccante ha copiato configurazioni, password o documentazione tecnica, può tentare di rientrare attraverso un percorso differente anche dopo la correzione del primo accesso.

Il Minnesota attiva una risposta statale coordinata

Nel comunicato ufficiale di Minnesota IT Services, lo Stato conferma l’attacco contro oltre trenta sistemi e descrive una risposta estesa ad autorità federali, statali, locali, tribali e partner privati. La ricostruzione pubblicata da The Hacker News aggiunge i dettagli comunicati dalle singole municipalità e mantiene separata l’ipotesi iraniana dall’attribuzione ufficiale, che non è ancora stata formulata. L’assenza di effetti generalizzati sull’acqua potabile non rende l’evento marginale: un impianto è stato spento, più sistemi automatici hanno smesso di funzionare e oltre trenta operatori hanno richiesto assistenza nello stesso arco temporale. L’attacco del Minnesota mostra come reti idriche locali, costruite per garantire continuità con risorse limitate, possano diventare un bersaglio coordinato capace di produrre effetti fisici senza provocare necessariamente una crisi sanitaria immediata.