Questo impone prudenza: sappiamo che un generatore è stato fermato, ma non se gli aggressori abbiano comandato direttamente le macchine oppure se l’arresto sia stato deciso dai tecnici per ragioni di sicurezza.
In entrambi i casi, però, il confine tra minaccia digitale e infrastruttura fisica è stato superato.
Una centrale moderna è anche un sistema informatico.
Sicurezza energetica e minacce cyber: il punto sulle infrastrutture critiche
Al suo interno convivono la rete IT, utilizzata per posta elettronica, amministrazione e manutenzione, e la rete OT, Operational Technology, che controlla turbine, generatori, pompe, valvole, interruttori e protezioni.
I sensori misurano temperatura, pressione, velocità e vibrazioni.
I PLC, piccoli computer industriali programmabili, eseguono automaticamente le istruzioni.
I sistemi SCADA raccolgono i dati, mentre le interfacce HMI consentono agli operatori di osservare e comandare il processo.
In una rete aziendale l’obiettivo principale è proteggere informazioni e servizi.
In una centrale bisogna innanzitutto garantire la sicurezza delle persone e degli apparati, quindi se i tecnici non possono più fidarsi dei dati mostrati sui monitor, devono arrestare l’impianto anche quando turbine e generatori sembrano ancora funzionare.
Un attacco non deve necessariamente iniziare dal sistema che governa la turbina.
Come avviene un attacco hacker ad una infrastruttura critica
L’ingresso può avvenire attraverso un’e-mail di phishing, una password rubata, una VPN non aggiornata, un apparato esposto su Internet oppure il computer di un manutentore esterno.
Dopo avere compromesso la rete amministrativa, l’aggressore cerca di muoversi verso quella industriale.
Se la separazione tra IT e OT è insufficiente, può raggiungere le postazioni degli operatori, i server di supervisione o i dispositivi utilizzati per programmare i PLC.
L’attacco più semplice consiste nel bloccare le schermate o interrompere le comunicazioni. Senza informazioni affidabili, il personale è costretto a fermare la produzione.
Un livello superiore prevede la modifica delle configurazioni: una pompa può ricevere un comando errato, una valvola può essere aperta nel momento sbagliato o un allarme può essere disattivato.
L’operazione più sofisticata consiste nel falsificare contemporaneamente comandi e dati.
La macchina viene portata fuori dai parametri di sicurezza mentre sul monitor dell’operatore tutto appare normale.
È questa la caratteristica di un vero attacco cyber-fisico: il codice informatico produce conseguenze materiali.
Il fermo di quattro giorni non dimostra che siano stati danneggiati fisicamente gli impianti.
Cosa succede dopo un attacco hacker
Dopo un’intrusione, però, una centrale non può essere riaccesa come un normale computer.
I tecnici devono verificare che le logiche dei PLC non siano state modificate, confrontare le configurazioni con copie sicure, cambiare le credenziali, controllare firmware e accessi remoti e collaudare nuovamente sensori, interblocchi e arresti di emergenza.
Il tempo necessario potrebbe quindi essere servito a certificare la sicurezza dell’intero processo.
In ambiente industriale la priorità non è ripartire rapidamente, ma essere certi che il riavvio non provochi incidenti.
I responsabili di questo attacco e i precedenti
L’attribuzione all’Iran richiama le operazioni dei CyberAv3ngers, gruppo associato dalle autorità statunitensi al Corpo delle Guardie della rivoluzione islamica.
Nel 2023 e nuovamente nel 2026 il gruppo ha compromesso controllori Unitronics impiegati anche negli impianti idrici.
Secondo la CISA statunitense, nella campagna del 2026 sono stati colpiti almeno 75 dispositivi PLC dotati di interfaccia HMI.
In diversi casi gli apparati erano raggiungibili da Internet e protetti in modo inadeguato.
Non serviva un malware sofisticato come Stuxnet: potevano bastare dispositivi esposti, password deboli e configurazioni non aggiornate.
Non esistono tuttavia prove pubbliche che la stessa tecnica sia stata utilizzata nella centrale britannica.
Il collegamento iraniano rimane un’attribuzione riportata dai media, non una conclusione forense verificabile indipendentemente.
La difesa principale consiste nella separazione effettiva tra IT e OT.
Compromettere la posta elettronica di un dipendente non deve permettere di raggiungere i sistemi che comandano il generatore.
Gli strumenti per evitare le intrusioni
Servono inoltre autenticazione forte, inventario completo degli apparati, accessi remoti chiusi quando non utilizzati, firewall industriali, copie offline delle configurazioni, monitoraggio dei protocolli SCADA e registrazione di ogni modifica apportata ai PLC.
È essenziale anche conservare la capacità di operare manualmente e svolgere esercitazioni periodiche di arresto e ripristino.
La sicurezza deve comprendere l’intera catena di fornitura: una centrale ben protetta può essere comunque compromessa attraverso un manutentore, un aggiornamento software o un servizio esterno vulnerabile.
Il sistema elettrico britannico non è stato vicino al collasso, non bisogna però considerare irrilevante l’incidente perché ha coinvolto un piccolo impianto sarebbe un errore.
Lezioni per il futuro
Un aggressore può utilizzare infrastrutture minori per studiare le difese, osservare le procedure di risposta e misurare i tempi necessari al ripristino.
Il passo successivo potrebbe essere un’azione coordinata contro numerosi generatori distribuiti, batterie, impianti idrici o stazioni di trasformazione.
La sicurezza energetica non dipende più soltanto da centrali, gasdotti e linee elettriche ma anche da password, firmware, fornitori e architetture digitali.
La guerra cyber non comincia necessariamente con un blackout nazionale ma quando un comando inviato da remoto riesce a fermare una macchina reale.
