Il 26–27 luglio 2026, gli hacker hanno tentato di violare almeno 30 sistemi idrici municipali in Minnesota. Da allora, Michigan, New Jersey e diversi altri stati hanno segnalato attacchi informatici simili, secondo fonti a conoscenza della vicenda.

Gli aggressori non hanno cercato di infiltrarsi nei computer amministrativi usati negli uffici dei gestori. Hanno invece puntato a prendere il controllo di piccoli computer embedded — programmable logic controllers (PLC) — che regolano apparecchiature come pompe e valvole responsabili della distribuzione di acqua potabile a milioni di persone.

Gli operatori dei servizi hanno contrastato gli attacchi spegnendo i computer di controllo e inviando personale sul campo per gestire manualmente le apparecchiature. I funzionari hanno affermato che l’acqua potabile è rimasta sicura per tutta la durata degli incidenti.

Le modalità utilizzate in questi attacchi sono coerenti con i modelli tipicamente osservati nelle operazioni informatiche internazionali, secondo i ricercatori di cybersicurezza. I sospetti iniziali si sono concentrati su hacker presumibilmente allineati con l’Iran, come riportato da Wired, anche se il governo statunitense non ha ancora attribuito formalmente gli attacchi a un attore o a una nazione specifici.

I sistemi idrici e di trattamento delle acque reflue sono uno dei 16 settori di infrastrutture critiche designati dal governo federale, e gli attacchi si inseriscono in una più ampia escalation di attività di ricognizione da parte di stati nazionali contro l’infrastruttura industriale statunitense. Nel febbraio 2021, un aggressore accedette da remoto a un impianto di trattamento dell’acqua a Oldsmar, Florida, e tentò di aumentare i livelli di idrossido di sodio fino a concentrazioni pericolose prima che un operatore intervenisse. Alla fine del 2023, hacker legati all’Iran presero il controllo di un PLC della Municipal Water Authority di Aliquippa, Pennsylvania. Gli episodi del 2026 si distinguono per la loro ampiezza — decine di utility colpite in più stati in una finestra coordinata — piuttosto che per un singolo impianto.

Come funzionano i controlli dei sistemi idrici

Gli Stati Uniti contano circa 152,000 sistemi pubblici di acqua potabile, secondo i dati federali. La grande maggioranza serve meno di 3,300 clienti e opera con solo poche unità di personale, una realtà strutturale che da tempo complica le iniziative di cybersicurezza a livello di settore. L’acqua municipale proviene in genere da laghi, bacini, fiumi o falde acquifere sotterranee. Le pompe la spingono attraverso tubazioni fino a un impianto di trattamento, dove viene filtrata e disinfettata. Ulteriori pompe trasferiscono l’acqua trattata nei serbatoi di accumulo e poi nelle reti di distribuzione verso abitazioni e imprese. Questi sistemi possono estendersi per molte miglia quadrate.

Gli hacker hanno preso di mira i PLC — piccoli computer che gestiscono una vasta gamma di apparecchiature industriali. Questi controllori leggono sensori che misurano condizioni come pressione dell’acqua, composizione chimica, livelli dei serbatoi e stato delle apparecchiature, e azionano automaticamente pompe, valvole e allarmi. Un termostato domestico offre un confronto utile: legge la temperatura e indica al sistema di riscaldamento o raffreddamento cosa fare.

I PLC trasmettono inoltre dati operativi al sistema informatico centrale di un’utility. I lavoratori usano dashboard per monitorare le informazioni e inviare comandi ai controllori. Questa comunicazione bidirezionale può viaggiare attraverso reti cablate, collegamenti radio o cellulari, oppure connessioni internet.

Molte utility operano con personale ridotto, quindi le connessioni remote sono essenziali. Consentono a un dipendente di monitorare una pompa o un serbatoio lontano, ricevere allarmi fuori orario o permettere a un fornitore di diagnosticare un’apparecchiatura senza recarsi in ogni sito.

I controllori che utilizzano internet possono connettersi direttamente oppure passare attraverso firewall protettivi, gateway sicuri o virtual private network (VPN). L’accesso diretto è più vulnerabile perché tra il controllore e i potenziali aggressori ci sono meno barriere difensive. Un hacker può individuare un controllore scansionando internet alla ricerca del suo indirizzo Internet Protocol (IP), quindi tentare di usare una password debole o rubata oppure sfruttare una nota vulnerabilità di sicurezza.

Per raggiungere un controllore protetto da un gateway sicuro o da un servizio cifrato, un hacker dovrebbe rubare le credenziali di accesso remoto, violare il gateway o la rete privata, oppure compromettere la workstation di un operatore per ottenere un punto d’appoggio.

Un tentativo di accesso può anche far parte di una strategia di lungo periodo per raccogliere informazioni, sondare le difese o creare un accesso persistente per un’operazione futura.

Anatomia di un attacco

Gli attacchi ai sistemi di controllo industriale seguono in genere una sequenza riconoscibile. L’infiltrazione spesso inizia con una fase di ricognizione: gli aggressori scansionano indirizzi internet alla ricerca di controllori esposti, dashboard e servizi di accesso remoto di terze parti, cercando sistemi collegati direttamente a internet. I ricercatori trovano regolarmente migliaia di PLC e interfacce uomo-macchina del settore idrico esposti sulla rete pubblica tramite strumenti come Shodan, un motore di ricerca per dispositivi connessi a internet.

Successivamente, l’aggressore cerca una password predefinita o rubata, una vulnerabilità non patchata o un servizio di accesso remoto configurato in modo errato. Non sempre è necessario un malware sofisticato. Nel 2023, funzionari statunitensi riferirono che hacker legati all’Iran presero di mira PLC Unitronics connessi a internet e utilizzati da utility idriche. Secondo la Cybersecurity and Infrastructure Security Agency (CISA), alcune utility stavano ancora usando la password predefinita del produttore.

Nella fase finale, l’aggressore sfrutta l’accesso ottenuto. Ciò può significare cambiare una password, inviare comandi o tentare di alterare il software del controllore. I ricercatori del National Institute of Standards and Technology (NIST) osservano che un intruso potrebbe sostituire le istruzioni di controllo legittime con comandi dannosi. Un aggressore potrebbe anche infiltrarsi in un computer d’ufficio tramite phishing e poi passare alla rete dei controllori.

Le apparecchiature industriali in servizio da decenni sono particolarmente vulnerabili perché potrebbero non supportare funzionalità di sicurezza moderne. Le utility spesso ritardano gli aggiornamenti per evitare interruzioni operative.

Le segnalazioni indicano che gli hacker hanno avuto accesso ai sistemi idrici del Minnesota tramite controllori che comunicavano direttamente via internet. Un advisory congiunto del 30 luglio dell’FBI e dell’Environmental Protection Agency (IC3 PSA) ha affermato che gli aggressori hanno ottenuto accesso remoto a PLC Rockwell Automation MicroLogix collegati direttamente a internet e ne hanno modificato indirizzi IP e password.

Misure difensive che le utility possono adottare

Il passo più immediato che le utility possono compiere per proteggersi è rimuovere i controllori e le dashboard uomo-macchina dall’esposizione diretta a internet. Dopo gli attacchi in Minnesota, la CISA ha esortato le utility idriche a collocare queste apparecchiature dietro firewall configurati correttamente e altri meccanismi di protezione.

Quando l’accesso remoto è necessario, le utility dovrebbero instradare le comunicazioni attraverso un gateway sicuro o una VPN, richiedere autenticazione a più fattori e limitare i privilegi di accesso di ciascun utente. Le utility dovrebbero inoltre cambiare le password predefinite, disabilitare i servizi di accesso remoto non utilizzati e installare gli aggiornamenti approvati dal fornitore per le apparecchiature connesse.

Nelle sue linee guida sui dashboard esposti su internet, la CISA raccomanda anche di separare le reti operative dai sistemi di posta elettronica e dagli altri sistemi aziendali. Questa misura rende più difficile per gli aggressori spostarsi da un sistema all’altro.

Infine, le utility dovrebbero eseguire il backup dei programmi dei controllori, registrare l’attività di accesso remoto e fare pratica nel ripristino dei sistemi e nella gestione manuale.

Una questione di risorse

Le utility idriche rurali con risorse limitate rappresentano una vulnerabilità significativa nelle infrastrutture critiche degli Stati Uniti. Un gruppo di esperti volontari di cybersicurezza sta fornendo indicazioni alle utility idriche, ma la sua capacità di copertura è limitata. Le utility più piccole potrebbero aver bisogno di finanziamenti pubblici o di servizi di cybersicurezza condivisi per potersi difendere adeguatamente.

William Akoto, Assistant Professor of Global Security, American University School of International Service

Questo articolo è ripubblicato da The Conversation con licenza Creative Commons. Leggi l’articolo originale.

Questa storia è stata originariamente pubblicata su Fortune.com