Minaccia attiva contro i PLC Siemens S7: script AI e scansioni Internet preparano possibili attacchi industriali

Le agenzie statunitensi segnalano attività in corso

CISA, NSA, FBI, Department of Energy ed Environmental Protection Agency hanno pubblicato il 19 agosto 2026 l’advisory AA26-231A, dedicato a una minaccia attiva contro installazioni industriali basate su PLC Siemens S7.

Gli operatori stanno conducendo attività di ricognizione e sviluppando strumenti offensivi con l’assistenza dell’intelligenza artificiale. Gli script vengono inoltre camuffati da applicazioni legittime per il monitoraggio degli ambienti OT, con l’obiettivo di rendere meno evidente la loro presenza ai team di sicurezza.

La campagna prende di mira dispositivi esposti direttamente a Internet, privi di adeguata segmentazione, aggiornati in modo insufficiente oppure protetti con credenziali deboli. Le agenzie sottolineano che non si tratta di una semplice ipotesi teorica: le attività sono in corso e possono coinvolgere anche sistemi di controllo industriale diversi dai Siemens S7.

L’impiego dell’AI accelera la raccolta di informazioni, la generazione del codice e l’adattamento degli strumenti alle difese incontrate. Non serve necessariamente un livello elevato di competenza nello sviluppo di software industriale per costruire tool capaci di interagire con un PLC vulnerabile o mal configurato.

Quali famiglie Siemens S7 sono coinvolte

L’attività osservata riguarda numerose famiglie di controllori Siemens:

• S7-200, in tutte le varianti CPU;
• S7-300, in tutte le varianti CPU, comprese 314, 315 e 317;
• S7-400, in tutte le varianti CPU;
• S7-1200, comprese le CPU 1211C, 1212C, 1214C, 1215C e 1217C;
• S7-1500, in tutte le varianti CPU, inclusi i controller di sicurezza della serie F.

L’elenco comprende quindi piattaforme presenti in impianti con livelli diversi di anzianità e capacità. La presenza nella lista non significa che ogni dispositivo sia automaticamente compromesso, ma identifica le famiglie sottoposte a ricognizione e test da parte degli attori.

Gli strumenti analizzati combinano script Python generati o adattati con supporto AI e componenti open source usati per l’automazione industriale. Tra gli elementi citati figurano snap7.dll e python-snap7, librerie che permettono di comunicare con i PLC attraverso il protocollo S7comm.

Dalla ricognizione alla manipolazione della logica

Una volta stabilita la comunicazione, i tool possono eseguire operazioni di lettura e scrittura su diversi elementi del controllore. Tra i dati accessibili rientrano:

• memoria del PLC;
• parametri e dati di configurazione;
• programmi di logica ladder;
• blocchi dati.

La lettura può essere utilizzata per comprendere l’architettura dell’impianto, verificare quali operazioni siano possibili e preparare azioni successive. Anche senza modificare immediatamente il processo, l’accesso ai dati può fornire agli attori una mappa operativa dell’ambiente industriale.

La scrittura introduce invece un rischio diretto sul funzionamento del sistema. Un’alterazione dei blocchi dati, della configurazione o della logica di controllo può modificare il comportamento di una linea produttiva, interrompere un processo o generare condizioni non previste per macchinari e operatori.

L’attività osservata include la ricerca di credenziali predefinite ancora attive, impostazioni di autenticazione minime e altri controlli di accesso insufficienti. Gli attori individuano inoltre dispositivi pubblicamente raggiungibili tramite servizi di scansione come Censys e ZoomEye.

Il mascheramento degli script come strumenti di monitoraggio OT aggiunge un elemento di difficoltà. Un’attività apparentemente associata alla supervisione dell’impianto può infatti nascondere codice destinato alla ricognizione o all’interazione con i PLC.

L’advisory collega la campagna alle matrici MITRE ATT&CK for ICS e MITRE ATT&CK for Enterprise, entrambe alla versione 19, oltre che a MITRE D3FEND 1.5.0. Le tecniche comprendono l’uso di servizi di scansione, lo sviluppo e l’acquisizione di capacità offensive, lo sfruttamento di credenziali non sicure, l’accesso ai sistemi ICS, il mascheramento e la lettura o scrittura di dati e programmi industriali.

Settori esposti e conseguenze possibili

Le organizzazioni statunitensi maggiormente interessate operano nella manifattura critica, nell’energia, nei servizi idrici e nel trattamento delle acque reflue. L’elenco comprende anche i comparti chimico, alimentare e agricolo e le strutture commerciali.

Un’esposizione può sfuggire al proprietario dell’impianto quando dipende da collegamenti gestiti da fornitori esterni. Integratori di sistemi, manutentori e provider di servizi remoti possono infatti mantenere accessi ai PLC o configurare apparati che rendono raggiungibile la rete OT senza una visibilità completa da parte dell’organizzazione proprietaria.

L’advisory non associa alla minaccia specifici identificativi CVE né fornisce un punteggio numerico di gravità. Segnala però la presenza di vulnerabilità note con severità alta e critica nei PLC interessati, soprattutto quando i dispositivi sono esposti a Internet o isolati in modo insufficiente.

Gli impatti potenziali includono l’interruzione di processi industriali, il downtime, il danneggiamento delle apparecchiature e incidenti di sicurezza. Sono possibili anche la compromissione di dati sensibili, violazioni degli obblighi di conformità ed effetti a cascata su sistemi interconnessi.

Le agenzie descrivono il comportamento come una forma di ricognizione persistente. Gli attori sembrano testare modelli specifici per aumentare la probabilità di successo e preparare operazioni future capaci di produrre interruzioni o altri effetti fisici e operativi.

L’advisory non segnala l’inserimento di questa attività nel catalogo KEV della CISA e non indica una scadenza KEV per gli interventi. La priorità operativa deriva quindi dalla natura attiva della ricognizione e dall’eventuale esposizione dei dispositivi, non da una data di remediation riportata nel catalogo.

Le verifiche da avviare negli impianti

La prima misura consiste nel costruire un inventario completo dei PLC Siemens S7, indicando modello, variante CPU, versione software, proprietario, collegamenti di rete e modalità di accesso remoto. L’inventario dovrebbe includere anche i dispositivi raggiungibili tramite infrastrutture gestite da terzi.

Gli operatori dovrebbero poi:

1. applicare gli aggiornamenti di sicurezza critici disponibili per i PLC e per i componenti collegati;
2. eliminare l’accessibilità diretta da Internet;
3. separare le reti OT dalle reti pubbliche e limitare i flussi ai soli collegamenti necessari;
4. sostituire credenziali predefinite o deboli;
5. disattivare gli accessi remoti non indispensabili;
6. proteggere l’integrità della logica ladder, dei programmi e delle configurazioni;
7. controllare i privilegi concessi a fornitori e integratori.

Il monitoraggio deve concentrarsi su letture o scritture inattese nei blocchi dati, accessi insoliti ai PLC, connessioni provenienti da Internet e strumenti che imitano applicazioni di supervisione OT.

È inoltre opportuno cercare script Python non autorizzati e la presenza di componenti come snap7.dll o python-snap7 su workstation, server e sistemi utilizzati per la gestione industriale. La loro presenza non dimostra da sola una compromissione: può essere legittima in alcuni ambienti, ma deve essere verificata rispetto all’inventario software e alle attività autorizzate.

Infine, le stesse misure vanno applicate ai PLC non Siemens. La campagna osservata utilizza i sistemi S7 come obiettivo concreto, ma le agenzie descrivono una capacità di targeting più ampia contro i sistemi di controllo industriale.