Attacco iraniano mette fuori servizio per quattro giorni una centrale elettrica britannica

Un impianto energetico britannico è rimasto fermo per quattro giorni

Il 23 agosto 2026 è stato reso noto che attori cyber collegati all’Iran hanno interrotto il funzionamento di una piccola centrale elettrica nel Regno Unito. L’impianto non è stato identificato pubblicamente per ragioni di sicurezza.

La struttura è rimasta indisponibile per quattro giorni, mentre il personale lavorava al ripristino. L’evento non ha causato interruzioni alla fornitura elettrica nazionale e non ha messo sotto pressione la rete britannica nel suo complesso.

Il caso viene tuttavia considerato il primo episodio confermato in cui gruppi associati al regime iraniano sarebbero riusciti a chiudere una struttura energetica nel Regno Unito. È inoltre descritto come l’attacco più efficace attribuito a questi soggetti contro l’infrastruttura energetica britannica.

L’incidente è stato notificato al National Cyber Security Centre (NCSC), l’organismo di GCHQ che contribuisce alla protezione delle infrastrutture critiche del Paese. L’NCSC non ha commentato pubblicamente il caso specifico.

L’obiettivo potrebbe essere stato dimostrare una capacità operativa

L’attribuzione riportata collega gli aggressori all’Iran e, più precisamente, a hacker associati al Corpo delle Guardie della Rivoluzione Islamica, l’IRGC.

Non emergono indicazioni secondo cui l’operazione fosse stata progettata per provocare vittime o danni diretti alla popolazione. L’ipotesi principale è che l’attacco servisse a dimostrare la capacità di penetrare in un’infrastruttura britannica e interromperne il funzionamento.

La dimensione ridotta dell’impianto non ne avrebbe quindi annullato il valore strategico. Un generatore con un peso marginale rispetto alla rete nazionale può comunque diventare una prova concreta di accesso, controllo e persistenza all’interno di un ambiente operativo.

Il fatto che la centrale sia rimasta ferma per quattro giorni aggiunge un elemento significativo. Il problema non sarebbe stato soltanto ottenere un accesso temporaneo, ma mantenere l’interruzione abbastanza a lungo da richiedere un intervento prolungato del personale.

Non sono stati resi noti il vettore iniziale, i sistemi compromessi, gli strumenti utilizzati dagli aggressori o il metodo con cui l’impianto è stato riportato in servizio. Non è quindi possibile stabilire se l’operazione abbia sfruttato una vulnerabilità, credenziali rubate, accessi remoti esposti o tecniche di manipolazione dei sistemi industriali.

L’operazione è arrivata insieme agli attacchi contro gli impianti idrici statunitensi

L’azione contro la centrale britannica si sarebbe verificata contemporaneamente a una campagna contro infrastrutture idriche negli Stati Uniti.

Decine di impianti di trattamento delle acque reflue distribuiti in 12 Stati hanno subito intrusioni. In alcuni casi, gli attacchi hanno provocato allagamenti e riduzioni della pressione dai rubinetti. Le autorità locali hanno invitato i residenti a far bollire l’acqua destinata al consumo.

Le prime segnalazioni sono arrivate dal Minnesota il 26 luglio. Episodi analoghi sono stati poi riportati in Michigan, Georgia, South Dakota e New Jersey.

In una prima fase l’FBI ha parlato genericamente di “attori cyber malevoli”. Successivamente, fonti governative statunitensi hanno indicato Teheran come l’origine più probabile della minaccia.

La sequenza suggerisce un interesse per obiettivi operativi e visibili: energia e acqua sono servizi essenziali, ma non tutte le strutture colpite hanno dimensioni tali da produrre conseguenze nazionali. Anche un impianto locale può però offrire agli aggressori un ambiente reale per testare accessi, procedure e capacità di interruzione.

Un rischio ridotto per la rete, ma non per i singoli impianti

Il governo britannico ha sottolineato che il sito colpito si trova molto al di sotto delle soglie previste per la notifica obbligatoria delle attività cyber. La sua capacità sarebbe trascurabile rispetto alla rete elettrica complessiva.

Questa valutazione ridimensiona l’impatto sistemico dell’episodio: non ci sono state conseguenze sulla fornitura nazionale e la resilienza della rete non risulta compromessa. Non elimina però il rischio per gli impianti più piccoli, spesso meno visibili e potenzialmente dotati di risorse inferiori per la sicurezza e il ripristino.

A marzo, l’NCSC aveva già raccomandato alle organizzazioni britanniche di riesaminare la propria postura di sicurezza alla luce dell’allargamento del conflitto. A giugno, il direttore esecutivo dell’agenzia, Richard Horne, aveva dichiarato che nell’anno precedente erano stati gestiti oltre 200 attacchi contro infrastrutture critiche nazionali.

Il comitato parlamentare incaricato di supervisionare le agenzie di intelligence aveva giudicato l’anno scorso “improbabile” un attacco cyber iraniano contro le infrastrutture del Regno Unito. Una valutazione del rischio del Cabinet Office pubblicata il mese scorso ha invece stimato tra il 5% e il 25% la probabilità di un attacco cyber grave e riuscito contro infrastrutture domestiche.

Lo stesso documento ha evidenziato un ulteriore fattore di pressione: l’intelligenza artificiale può rendere le operazioni offensive più rapide ed economiche, riducendo le competenze tecniche necessarie per condurle. Il brief non collega però l’attacco alla centrale britannica all’uso di specifici strumenti di IA.

Una campagna più ampia contro i Paesi occidentali

Secondo la valutazione riportata, l’Iran avrebbe intensificato le operazioni contro Paesi occidentali dopo l’avvio degli attacchi aerei statunitensi e israeliani in febbraio.

Attività sospette sono state segnalate anche in Germania, Polonia, Finlandia, Belgio e Albania. Israele e altri Paesi del Medio Oriente restano comunque i bersagli più frequenti associati a questa attività.

Il caso britannico si inserisce quindi in una pressione distribuita su più settori e aree geografiche. L’obiettivo non sembra limitarsi al furto di dati: gli episodi descritti puntano anche alla disponibilità dei servizi, cioè alla possibilità di fermare o degradare processi essenziali.

Per le autorità, la difficoltà consiste nel distinguere un sabotaggio con conseguenze sistemiche da un’interruzione locale usata come dimostrazione di capacità. La seconda può avere effetti immediati più contenuti, ma fornire agli aggressori informazioni preziose su procedure, tempi di risposta e punti deboli.

Che cosa devono fare operatori e organizzazioni

Le società energetiche e le altre imprese britanniche hanno ricevuto avvisi governativi sulle modalità di risposta. L’NCSC ha inoltre raccomandato un riesame della postura di sicurezza, senza limitare l’attenzione ai soli impianti classificati come infrastrutture di rilevanza nazionale.

In concreto, le organizzazioni dovrebbero verificare gli accessi remoti ai sistemi operativi e industriali, controllare le credenziali privilegiate e separare il più possibile le reti amministrative da quelle di controllo. È inoltre essenziale assicurarsi che i piani di ripristino siano applicabili anche quando l’impianto deve funzionare in modalità degradata o manuale.

L’episodio mostra anche il valore della risposta tempestiva: l’incidente è stato segnalato all’NCSC, mentre il personale ha lavorato per ripristinare la struttura. Non sono stati resi noti indicatori tecnici, indirizzi, malware o procedure specifiche da cercare nei sistemi.

Per gli impianti idrici statunitensi coinvolti, le indicazioni alle comunità hanno incluso la bollitura dell’acqua destinata al consumo. Quanto all’eventuale presenza dell’incidente nel catalogo KEV della CISA, non sono disponibili informazioni nel caso descritto.