CISA ordina agli acquedotti di scollegare i PLC esposti da Internet

🛡️ Executive Summary

• Attori ostili accedono ai PLC esposti su Internet e utilizzano software industriali legittimi per modificare configurazioni, logica e visualizzazioni operative.
• Le intrusioni possono provocare perdita di pressione, arresti degli impianti, dati SCADA alterati e interventi manuali degli operatori.
• CISA chiede di rimuovere i PLC da Internet, cambiare le credenziali, segmentare l’OT e controllare ogni accesso remoto.

La Cybersecurity and Infrastructure Security Agency ha invitato gli operatori statunitensi del settore idrico e della depurazione a rimuovere immediatamente da Internet i programmable logic controller e gli altri componenti Operational Technology esposti. L’allerta del 30 luglio 2026 segue un aumento delle attività ostili contro PLC utilizzati per controllare pompe, valvole, pressione, livelli delle vasche e processi di trattamento. Gli aggressori non dipendono necessariamente da vulnerabilità software sofisticate: individuano dispositivi raggiungibili, sfruttano configurazioni deboli e utilizzano gli stessi programmi di ingegneria adottati dai tecnici per scaricare progetti, modificare la logica e alterare le informazioni mostrate attraverso sistemi HMI e SCADA.

I PLC esposti permettono di intervenire direttamente sugli impianti

I PLC rappresentano il collegamento tra i sistemi digitali e i processi fisici degli acquedotti. Ricevono dati da sensori, eseguono la logica programmata e inviano comandi a pompe, valvole, dosatori chimici e altri apparati. Un accesso non autorizzato può quindi produrre conseguenze che superano la normale compromissione di un server IT, causando perdita di pressione, variazioni dei livelli, arresto delle apparecchiature, allagamenti o indisponibilità temporanea del servizio. CISA segnala un incremento delle attività rivolte contro dispositivi industriali raggiungibili direttamente dalla rete pubblica, come nel caso del Minnesota, spesso collocati in impianti comunali di piccole dimensioni con risorse tecniche limitate e componenti installati molti anni prima. Gli aggressori effettuano scansioni su larga scala, identificano porte e protocolli industriali e cercano sistemi privi di autenticazione adeguata oppure protetti da password predefinite, deboli o riutilizzate. Il rischio non deriva quindi soltanto da un bug nel firmware: la stessa architettura diventa vulnerabile quando un controller progettato per operare in una rete industriale fidata viene esposto su Internet come un normale servizio remoto. Il problema era già emerso negli attacchi iraniani contro PLC e infrastrutture industriali, dove l’accesso agli apparati consentiva di intervenire sulla configurazione e sulle informazioni mostrate agli operatori.

Gli aggressori usano gli stessi strumenti dei tecnici OT

Le attività osservate comprendono l’impiego di software legittimi forniti dai produttori per programmare e amministrare i PLC. Gli operatori ostili possono utilizzare Rockwell Automation Studio 5000 Logix Designer, Schneider Electric EcoStruxure Control Expert e Siemens TIA Portal per stabilire connessioni che, dal punto di vista del dispositivo, appaiono compatibili con la normale manutenzione. Una volta raggiunto il controller, gli aggressori possono scaricare il progetto, raccogliere informazioni sulla configurazione, eliminare o sostituire parti della logica e intervenire sui dati inviati ai pannelli HMI e ai sistemi SCADA. L’uso di strumenti approvati dal produttore riduce l’efficacia delle rilevazioni basate soltanto sulla firma del programma o sul nome del processo, perché il software impiegato è lo stesso presente sulle workstation degli ingegneri. La distinzione deve avvenire attraverso identità, origine della connessione, orario, sistema utilizzato, comandi inviati e modifiche apportate al progetto. Una sessione di programmazione proveniente da un indirizzo estero, da una workstation non autorizzata o in un intervallo non concordato deve essere trattata come un potenziale incidente anche quando utilizza protocolli corretti. La campagna dimostra inoltre che il monitoraggio OT non può fermarsi al traffico malware tradizionale: occorre costruire una baseline delle operazioni industriali e rilevare download di progetto, passaggi in modalità programmazione, modifiche della ladder logic e variazioni inattese delle configurazioni.

Rockwell, Schneider e Siemens ampliano la superficie esposta

Le prime segnalazioni della campagna si erano concentrate su PLC Rockwell Automation e Allen-Bradley, compresi dispositivi delle famiglie CompactLogix e Micro850. Gli aggiornamenti successivi hanno esteso il perimetro ai controller Schneider Electric Modicon M340, identificati anche attraverso la serie BMX P34, e ai Siemens S7-1200, senza escludere apparati di altri produttori. Gli attori cercano servizi raggiungibili sulle porte industriali normalmente utilizzate per programmazione e comunicazione, comprese 44818, 2222, 102 e 502, associate rispettivamente a protocolli e piattaforme come EtherNet/IP, CIP, S7 e Modbus TCP. La presenza di una porta aperta non dimostra una compromissione, ma indica che un componente destinato al controllo fisico può essere interrogato direttamente dall’esterno. CISA non descrive la campagna come lo sfruttamento di una singola CVE e non esiste quindi una patch universale capace di risolvere il problema. Gli aggressori abusano soprattutto di esposizione diretta, credenziali inadeguate, accessi remoti non mediati e configurazioni industriali che attribuiscono troppa fiducia a chiunque riesca a raggiungere il protocollo di gestione. Questo spiega perché l’allerta riguardi l’intero settore idrico e non soltanto i proprietari di uno specifico modello. Il rischio riguarda qualsiasi PLC connesso a Internet senza un gateway protetto, autenticazione robusta, limitazioni degli indirizzi sorgente e controllo delle sessioni amministrative.

La manipolazione dello SCADA può nascondere il danno agli operatori

Uno degli aspetti più critici riguarda la possibilità di modificare i dati visualizzati attraverso HMI e SCADA. Un aggressore può intervenire sulla logica del PLC e contemporaneamente alterare i valori presentati all’operatore, creando una divergenza tra il processo fisico e la rappresentazione digitale. Una pompa potrebbe essere arrestata mentre la console continua a mostrarla come attiva, oppure una valvola potrebbe assumere una posizione differente da quella indicata nell’interfaccia. Questa capacità rallenta l’identificazione dell’incidente e può indurre il personale ad adottare decisioni operative errate. Le strutture idriche devono quindi mantenere metodi indipendenti per verificare pressione, portata, livelli e qualità del trattamento, evitando che l’intero processo dipenda da una sola sorgente digitale. Sensori ridondanti, indicatori locali, allarmi fisici e procedure manuali diventano controlli di sicurezza, non semplici strumenti di continuità. Lo stesso principio è alla base di CI Fortify, che richiede alle infrastrutture critiche di individuare i sistemi realmente indispensabili e prepararli a funzionare anche dopo la separazione dalle reti meno fidate. La capacità di passare al controllo locale o manuale consente di mantenere il servizio quando SCADA, accessi remoti e collegamenti aziendali devono essere disattivati per contenere un attacco.

Gli acquedotti devono rimuovere subito i controller da Internet

La prima misura indicata da CISA consiste nell’eliminare l’accesso pubblico diretto ai PLC. I dispositivi devono essere collocati dietro firewall, proxy industriali o gateway sicuri e resi raggiungibili soltanto attraverso percorsi esplicitamente autorizzati. Quando l’accesso remoto è indispensabile, deve utilizzare VPN, autenticazione multifattore resistente al phishing, account individuali e liste che limitino le workstation autorizzate. Le password predefinite devono essere sostituite e le credenziali condivise tra tecnici, fornitori e impianti devono essere eliminate. Gli operatori devono inventariare tutti gli asset OT, verificarne firmware e stato di supporto, disabilitare protocolli e servizi inutilizzati e controllare che integratori e manutentori applichino gli stessi requisiti. La segmentazione deve separare rete aziendale, DMZ industriale, workstation di ingegneria e sistemi di controllo, impedendo che la compromissione di email, Active Directory o di un computer amministrativo permetta di raggiungere direttamente i controller. L’accesso alle workstation usate per programmare i PLC deve essere particolarmente ristretto, perché il possesso del software legittimo e dei file di progetto consente agli aggressori di operare senza introdurre strumenti facilmente riconoscibili come malevoli. Nel nuovo avviso con cui CISA chiede al settore idrico di proteggere i sistemi OT dalle attività contro i PLC, l’agenzia raccomanda di scollegare i dispositivi esposti, controllare i log di accesso, verificare le configurazioni e segnalare tempestivamente ogni attività sospetta.

La continuità del servizio richiede procedure manuali già testate

La rimozione dei PLC da Internet riduce la superficie d’attacco, ma non elimina la necessità di prepararsi a un incidente capace di interrompere il controllo remoto. Gli acquedotti devono sapere quali funzioni possono essere gestite localmente, quali processi richiedono personale presente nell’impianto e quali livelli minimi di servizio possono essere mantenuti durante l’isolamento. Le copie della logica PLC, delle configurazioni HMI e dei progetti ingegneristici devono essere conservate offline, verificate e accompagnate da procedure di ripristino testate. Un backup inutilizzabile, non aggiornato o collegato permanentemente alla rete compromessa non consente di recuperare rapidamente l’impianto. Devono essere predisposti anche canali di comunicazione alternativi, elenchi cartacei dei contatti e istruzioni accessibili senza dipendere da Active Directory, cloud o rete aziendale. Dopo una compromissione, il controller non deve essere semplicemente riavviato: occorre confrontare la ladder logic con una versione fidata, controllare firmware, account, porte, moduli installati e configurazioni di rete, verificando che non siano rimasti accessi persistenti su modem, router o gateway. L’allerta CISA conferma che gli impianti idrici sono diventati bersagli accessibili anche ad attori con capacità tecniche non eccezionali. Quando i sistemi industriali restano esposti e utilizzano configurazioni prevedibili, una semplice connessione remota può trasformarsi in un’interruzione fisica del servizio essenziale.