Attacco a oltre 100 sistemi idrici USA: PLC esposti a internet nel mirino a luglio

La Cybersecurity and Infrastructure Security Agency (CISA) ha osservato nel luglio 2026 attività informatica malevola contro più di 100 sistemi appartenenti al settore Water and Wastewater Systems (WWS) degli Stati Uniti. L’agenzia ha diffuso di recente una guida aggiornata sulla riduzione dell’esposizione a internet, rivelando che il vettore più comune è stato l’accesso diretto a controllori logici programmabili (PLC) collegati a modem cellulari e quindi raggiungibili dalla rete pubblica. Un avviso correlato porta la data del 30 luglio 2026.

Oltre 100 sistemi idrici presi di mira

La CISA ha confermato di aver rilevato, nel corso di luglio 2026, tentativi di intrusione e accessi non autorizzati contro più di 100 sistemi esposti a internet nel comparto idrico e fognario statunitense. Non si tratta di un singolo episodio isolato, ma di un’ondata coordinata di attività malevola che ha colpito infrastrutture critiche distribuite su più Stati.

Il settore WWS comprende impianti di trattamento delle acque, reti di distribuzione, sistemi fognari e impianti di depurazione. Molti di questi impianti, spesso gestiti da piccoli comuni o aziende private con risorse limitate, utilizzano sistemi di controllo industriale (ICS) e tecnologia operativa (OT) per monitorare e gestire i processi. La loro esposizione diretta a internet, spesso senza adeguate misure di sicurezza, li ha resi bersagli facili.

Il vettore: PLC collegati direttamente a modem cellulari

Il punto di ingresso più sfruttato è stato il collegamento diretto dei PLC a modem cellulari. In pratica, dispositivi progettati per il controllo di processi fisici – come valvole, pompe, sensori di livello e sistemi di dosaggio chimico – erano raggiungibili da chiunque su internet perché connessi tramite una scheda SIM e un modem cellulare, senza passare da gateway sicuri, VPN o firewall.

I PLC non sono gli unici asset esposti. La CISA cita anche interfacce uomo-macchina (HMI), unità terminali remote (RTU), componenti SCADA e dispositivi IIoT. Tutti questi elementi, se collegati direttamente alla rete pubblica, possono essere individuati con strumenti di scansione come Shodan o Censys e poi attaccati con relativa facilità.

Il problema non è nuovo. Protocolli come Modbus, EtherNet/IP, DNP3 e OPC UA, spesso utilizzati in ambito OT, non sono stati progettati per essere esposti su internet senza protezioni. Quando lo sono, chiunque può tentare di leggerne o modificarne lo stato.

Cosa hanno fatto gli attaccanti: IP e password modificati

Secondo la CISA, gli attaccanti hanno ottenuto accesso remoto non autorizzato ai PLC esposti. Una volta dentro, hanno modificato gli indirizzi IP dei dispositivi e cambiato le password. Questa semplice azione ha avuto conseguenze immediate: gli operatori legittimi hanno perso la capacità di monitorare e controllare i processi, perché i sistemi non rispondevano più ai comandi o risultavano irraggiungibili.

In alcuni casi, la CISA segnala interruzioni operative localizzate. La perdita di funzionalità di supervisione e controllo, anche senza danni fisici diretti, può impedire la regolazione di pompe, la gestione dei livelli di cloro o la rilevazione di anomalie. SecurityWeek, che ha riportato per prima la notizia, minimizza l’impatto dichiarando che non vi sono state interruzioni significative. Le due valutazioni divergono: la CISA evidenzia danni reali ma circoscritti, mentre SecurityWeek sottolinea che nessun servizio idrico è rimasto fuori uso su larga scala.

Il rischio prospettico, però, è elevato. La facilità con cui sono stati compromessi questi sistemi dimostra quanto sia fragile la sicurezza OT quando manca una corretta segmentazione di rete.

L’attribuzione incerta e la mappa degli Stati

Sull’identità degli attaccanti, le fonti non concordano. SecurityWeek collega esplicitamente gli attacchi a gruppi legati all’Iran, citando precedenti operazioni contro infrastrutture critiche statunitensi. La guida CISA, invece, non fornisce alcuna attribuzione esplicita.

Anche sul numero di Stati coinvolti manca una conferma ufficiale. Il governo federale non ha reso noto quanti Stati abbiano subito tentativi di intrusione. SecurityWeek stima che siano almeno 12, e sei hanno confermato pubblicamente l’accaduto: Minnesota, Michigan, South Dakota, Georgia, New Jersey e Alabama.

Poco prima della pubblicazione della guida, la CISA aveva già avvertito di attacchi legati all’Iran contro sistemi di controllo industriale di Siemens, Schneider Electric e Rockwell Automation. Non è specificato se questi tre vendor siano direttamente coinvolti nell’ondata di luglio 2026, ma il contesto suggerisce una continuità di interesse verso l’OT americano da parte di attori statali o affiliati.

Le quattro mosse di CISA per ridurre l’esposizione

La guida CISA delinea un percorso in quattro passi per aiutare le organizzazioni del settore idrico – e più in generale tutte le infrastrutture critiche – a ridurre la superficie di attacco.

1. Valutare l’esposizione attuale. Identificare tutti gli asset accessibili via internet usando inventari interni e strumenti di scansione esterna come Cyber Hygiene Vulnerability Scanning di CISA, Shodan, Censys, Thingful o Shadowserver. Verificare anche gli accessi remoti di terze parti: integratori, MSSP, vendor e qualunque connessione tramite VPN o modem cellulare.

2. Valutare la necessità dell’esposizione. Chiedersi se ogni asset debba davvero essere raggiungibile da internet. Se la risposta è no, rimuovere completamente l’accesso o restringerlo in modo significativo.

3. Mitigare i rischi sugli asset che devono restare esposti. Cambiare tutte le password predefinite, applicare gli aggiornamenti di sicurezza, sostituire software e dispositivi non più supportati, usare un jump host per l’accesso sicuro e monitorato, controllare il traffico in ingresso e in uscita, implementare l’autenticazione a più fattori (MFA) – anche solo a livello di jump host – e seguire le indicazioni per l’accesso remoto sicuro agli ambienti OT.

4. Stabilire valutazioni periodiche. Le reti e le connessioni di terze parti cambiano continuamente: è necessario rivedere regolarmente gli asset esposti.

Per quanto riguarda l’accesso remoto sicuro, la CISA raccomanda di instradare tutto il traffico attraverso gateway sicuri, firewall, VPN o altre soluzioni centralizzate, mai direttamente verso PLC, HMI o RTU. Ogni accesso deve richiedere nomi utente univoci, password robuste e MFA resistente al phishing. I controlli di autenticazione devono resistere a tentativi di brute-force e ad attacchi basati su credenziali rubate.

Strumenti e controlli per scoprire i propri asset esposti

La CISA fornisce anche indicazioni operative per i difensori. Le organizzazioni dovrebbero scansionare periodicamente i propri intervalli IP pubblici e investigare ogni porta aperta inattesa. Una porta aperta non implica automaticamente una vulnerabilità, ma ogni servizio OT o di accesso remoto esposto deve essere giustificato: se non è necessario, va rimosso; se lo è, vanno applicate le mitigazioni.

Strumenti come Shodan, Censys, Thingful e Shadowserver permettono di scoprire asset esposti. Per il protocollo CIP (porta 44818), la CISA suggerisce query come:

• Censys: host.services.port: 44818 and host.ip: "X.X.X.X/Y"
• Shodan: port: 44818 net:X.X.X.X/Y

L’elenco delle porte minime da controllare include i classici servizi di accesso remoto – SSH (22), Telnet (23), HTTP (80), HTTPS (443), RDP (3389), VNC (5900), TeamViewer (5938) – e i protocolli industriali più diffusi: Modbus (502–507 e altre implementazioni), EtherNet/IP (44818/TCP e 2222/UDP), DNP3 (19999/UDP e 20000/TCP/UDP), OPC UA (4840/TCP e 4843/TCP), BACnet (47808/TCP), oltre a Niagara Fox (1911/TCP e 4911/TCP).

Le organizzazioni del settore idrico possono anche avvalersi dei servizi gratuiti di Cyber Hygiene di CISA, dei Cybersecurity Advisor regionali e delle risorse specifiche per il settore WWS curate da CISA ed EPA. Per segnalazioni, è disponibile l’indirizzo [email protected].

La vicenda si inserisce in un quadro più ampio: il Congresso sta valutando un disegno di legge per potenziare la cybersecurity idrica e la creazione di un “Water Watch Center”. La sicurezza OT, soprattutto nei settori meno presidiati, è diventata una priorità nazionale.