Acquedotti USA sotto attacco con 4.407 controller industriali esposti

🛡️ Executive Summary

• Attacchi coordinati hanno interessato oltre 30 sistemi idrici del Minnesota e utility di almeno altri sei Stati americani.
• Forescout rileva 4.407 controller EtherNet/IP esposti online, il 65% negli USA e oltre la metà su reti cellulari.
• Non è confermato lo sfruttamento di CVE: isolamento dei PLC, accesso remoto sicuro e modalità manuale restano le difese principali.

Una serie di attacchi contro acquedotti statunitensi ha mostrato quanto l’esposizione diretta dei sistemi industriali resti un rischio operativo concreto. Gli aggressori hanno raggiunto controller Rockwell Automation MicroLogix 1100 e 1400, modificando indirizzi IP, password e, in almeno un caso, la logica del PLC. Forescout Vedere Labs ha rilevato contemporaneamente 4.407 controller accessibili su Internet attraverso la porta 44818 di EtherNet/IP, con una forte concentrazione negli Stati Uniti e sulle reti degli operatori mobili. Non è stato dimostrato l’uso di una specifica vulnerabilità software: configurazioni esposte, accessi remoti insicuri e protocolli privi di autenticazione possono essere sufficienti per interrompere monitoraggio e controllo degli impianti.

Oltre 30 sistemi idrici colpiti in Minnesota

Gli attacchi sono emersi il 26 e 27 luglio 2026, quando più di 30 sistemi idrici comunitari del Minnesota hanno subito una campagna coordinata contro componenti di tecnologia operativa. Secondo la comunicazione ufficiale di Minnesota IT Services, la risposta ha coinvolto autorità statali, FBI, CISA, Environmental Protection Agency e gestori locali. Non sono state segnalate richieste alla popolazione di modificare il consumo dell’acqua né alterazioni confermate della qualità potabile, ma alcune città hanno registrato conseguenze operative. A Braham gli aggressori avrebbero utilizzato malware attraverso una connessione wireless per spegnere i controlli di un impianto, mentre Plymouth ha riferito il coinvolgimento di apparecchiature connesse tramite rete cellulare presso due torri idriche e 14 stazioni di sollevamento fognario. L’incidente rappresenta una nuova manifestazione di un problema già osservato negli attacchi contro impianti idrici ed energetici statunitensi basati su PLC e sistemi SCADA esposti. Due giorni dopo, l’avviso congiunto di FBI ed EPA ha confermato incidenti in utility idriche di almeno sette Stati, successivamente estesi da ulteriori segnalazioni. Gli aggressori hanno modificato password e configurazioni di rete, causando perdita di visibilità e, in alcuni casi, perdita delle funzioni controllate. Gli effetti dichiarati comprendono cali di pressione e allagamenti, condizioni che possono influire anche sulla sicurezza del servizio quando la pressione insufficiente permette l’ingresso di acqua non trattata nelle condutture.

Forescout trova 4.407 controller esposti su Internet

La ricerca condotta da Forescout Vedere Labs sui sistemi OT esposti ha individuato 4.407 dispositivi raggiungibili attraverso la porta 44818, utilizzata dal protocollo industriale EtherNet/IP. Il 65%, pari a 2.844 apparati, si trova negli Stati Uniti; seguono Canada con il 12% e Spagna con il 3%, mentre l’Italia compare con 109 dispositivi, circa il 2% del totale. La famiglia più diffusa è MicroLogix 1400, che rappresenta il 50% dei sistemi rilevati, seguita da CompactLogix 1769 con il 22%, MicroLogix 1100 e ControlLogix 5590 entrambi con l’8%. L’esposizione è diminuita del 47% rispetto al picco di 7.814 controller registrato nel marzo 2020, ma migliaia di apparati industriali continuano a rispondere direttamente da Internet nel 2026. EtherNet/IP è inoltre il secondo protocollo OT più attaccato negli honeypot di Forescout, con il 22% delle interazioni osservate.

Un controller pubblico può rivelare modello, firmware e configurazione e, a seconda delle funzioni abilitate, consentire modifiche senza un’autenticazione adeguata. Il rischio era già stato ricostruito nella guida alla sicurezza industriale di SCADA, PLC e infrastrutture critiche, dove la separazione tra reti IT e OT viene indicata come requisito essenziale. La riduzione numerica degli apparati pubblici non elimina la criticità perché molti sistemi rimasti online appartengono a famiglie legacy, operano in siti remoti e vengono amministrati attraverso collegamenti difficili da inventariare.

I router cellulari ampliano la superficie degli impianti remoti

Oltre la metà dei controller rilevati si trova sulle reti di grandi operatori mobili e, considerando soltanto gli Stati Uniti, la percentuale supera il 70%. I modem cellulari vengono utilizzati per collegare pozzi, serbatoi, torri idriche, stazioni di pompaggio e infrastrutture fognarie distribuite su territori estesi, evitando la costruzione di collegamenti cablati dedicati. Questa soluzione offre flessibilità operativa, ma può assegnare ai dispositivi indirizzi pubblici, esporre interfacce di amministrazione e replicare la stessa configurazione vulnerabile in numerosi siti. Tra i 22 host individuati da Forescout nelle città coinvolte negli attacchi, 19 appartenevano alla stessa rete mobile. Due esponevano anche le interfacce web dei router cellulari e uno utilizzava ACEmanager di Sierra Wireless sulla porta 9191. Quindici apparati localizzati nell’area di Eagan condividevano indirizzi adiacenti, numeri seriali simili, firmware quasi uniformi e le stesse coordinate GPS, elementi compatibili con una flotta amministrata attraverso una configurazione comune, anche se Forescout non ha potuto confermare l’appartenenza all’utility locale. Il riutilizzo delle stesse impostazioni da parte di fornitori o managed service provider può permettere agli aggressori di replicare l’accesso su clienti differenti, circostanza segnalata anche da FBI ed EPA. Le campagne contro il settore idrico, comprese quelle attribuite in passato agli hacktivisti pro-Russia che hanno preso di mira acquedotti e infrastrutture energetiche, mostrano che gli impianti minori non rappresentano bersagli irrilevanti: configurazioni standardizzate e personale limitato possono renderli più semplici da raggiungere rispetto ai grandi operatori nazionali.

Nessuna CVE è stata confermata negli attacchi

Forescout non ha trovato prove sufficienti per attribuire gli incidenti allo sfruttamento di una specifica vulnerabilità. Le operazioni descritte pubblicamente possono essere eseguite anche attraverso controller esposti, password assenti o deboli, interfacce web accessibili e protocolli industriali che non richiedono una verifica robusta dell’origine dei comandi. Nei 22 sistemi rilevati nelle città interessate, la vulnerabilità potenzialmente più diffusa era CVE-2017-16740, un denial of service nei MicroLogix 1400 che richiede però l’attivazione di Modbus TCP, condizione non verificata. Altre falle storiche possono esporre stringhe SNMP read-write codificate, credenziali trasmesse in chiaro, caricamento di file ed esecuzione di codice, ma la corrispondenza tra modello, firmware e CVE non dimostra che il servizio vulnerabile fosse realmente attivo. Anche CVE-2021-22681, unica falla dei controller Rockwell inserita nel catalogo CISA delle vulnerabilità sfruttate, non interessa i MicroLogix 1100 e 1400 menzionati nell’allerta. L’attribuzione degli attacchi resta ugualmente aperta. Le tecniche e i prodotti coincidono parzialmente con l’allarme statunitense sugli attori iraniani interessati ai PLC Rockwell, ma non esiste un collegamento confermato con quella campagna. Separare le evidenze dalle ipotesi è particolarmente importante negli incidenti OT, dove una configurazione errata può produrre effetti simili a quelli di un exploit sofisticato e l’identità dell’attaccante non può essere ricavata soltanto dal bersaglio scelto.

L’esposizione diretta resta il problema principale

Gli aggiornamenti firmware correggono singole vulnerabilità, ma non rendono accettabile la presenza di PLC direttamente raggiungibili da Internet. FBI, EPA, Forescout e Rockwell Automation convergono sulla necessità di rimuovere l’esposizione pubblica, bloccare le porte industriali con allowlist esplicite e mediare ogni collegamento attraverso gateway sicuri, VPN, ZTNA o reti cellulari private. Nella propria procedura di recupero per MicroLogix 1100 e 1400, Rockwell spiega come ripristinare i controller ai quali gli aggressori hanno applicato password sconosciute, avvertendo che il reset cancella programma, dati e configurazione IP e richiede quindi una copia offline affidabile del progetto. Gli operatori devono impostare i dispositivi in modalità RUN quando non vengono programmati, disabilitare HTTP e SNMP se inutilizzati, controllare modifiche alla ladder logic e conservare backup verificati. I sistemi MicroLogix 1100 sono fuori produzione dal 2022 e devono essere inseriti in un piano di sostituzione, perché non riceveranno nuove correzioni. La resilienza richiede inoltre la capacità di passare al controllo manuale quando SCADA e comunicazioni cellulari vengono meno. Il precedente attacco attribuito a Sandworm contro un impianto idrico del Texas aveva già mostrato quanto le infrastrutture minori possano diventare bersagli geopolitici o dimostrativi. L’inventario deve infine includere modem, VPN, certificati, host remoti e vecchi domini: Forescout ha rilevato certificati scaduti, servizi abbandonati e server ancora online da anni, segnali di una visibilità incompleta che può lasciare accessi dimenticati fuori dal controllo del gestore.