Un cyberattacco coordinato ha colpito oltre 30 sistemi idrici comunali del Minnesota il 26 e 27 luglio 2026, obbligando operazioni manuali in più impianti e attivando una risposta multi-agenzia federale-statale. L'incidente non ha compromesso la potabilità dell'acqua, ma ha esposto una vulnerabilità strutturale del settore: modem cellulari installati da integratori di terze parti, spesso invisibili agli audit di sicurezza, che collegano direttamente i controllori industriali a internet.
- Oltre 30 sistemi idrici del Minnesota colpiti in due giorni di attacco coordinato; quattro città hanno reso pubblici i disagi operativi
- Gli attaccanti hanno modificato indirizzi IP e password dei PLC, bloccando l'accesso agli operatori, e in almeno un caso alterato i file progetto con discrepanze nel ladder logic
- Il Minnesota IT Services ha confermato caratteristiche comuni in tempistica, metodi di accesso e infrastrutture bersaglio, senza tuttavia attribuzione formale
- La campagna si inserisce in un pattern di attacchi a PLC esposti su internet segnalato da CISA nell'advisory AA26-097A aggiornato il 22 luglio, quattro giorni prima dell'assalto
Il 26 luglio: come è crollata l'automazione
L'attacco ha preso di mira i Programmable Logic Controller (PLC) Rockwell Automation MicroLogix 1100 e 1400, secondo l'avviso congiunto FBI/EPA I-073026-PSA. Gli intrusi hanno acceduto da remoto a dispositivi connessi a internet, modificato credenziali e indirizzi IP per escludere gli operatori legittimi, e in almeno un'organizzazione hanno alterato i file progetto con discrepanze nel ladder logic — il linguaggio che governa le operazioni fisiche degli impianti.
A Braham, cittadina di circa 1.700 abitanti, l'attacco ha causato l'arresto completo dell'impianto di trattamento. La dichiarazione della città riporta testualmente che gli attaccanti «hanno spento i controlli operativi, che hanno spento il pozzo e l'impianto di trattamento dell'acqua». A Plymouth, comune di circa 80.000 abitanti, il problema si è limitato alle apparecchiature connesse via cellulare a due torri idriche e a più stazioni di sollevamento reflui: il personale ha disconnesso l'hardware e gestito gli impianti manualmente. Maple Plain ha dichiarato lo stato di emergenza locale; South St. Paul ha segnalato controlli automatizzati compromessi con servizi comunque garantiti.
Non sono stati emessi bollettini di ebollizione dell'acqua in Minnesota e, secondo le fonti ufficiali, la qualità dell'acqua potabile non è stata compromessa nei casi confermati. L'impatto operativo è invece documentato: perdita di pressione e allagamenti riportati nell'avviso FBI, oltre alla necessità di gestione manuale in più siti.
«A questo punto, possiamo confermare che oltre 30 sistemi idrici in tutto lo Stato sono stati colpiti. La natura e l'estensione dell'impatto variavano per sistema, e l'indagine sta ancora determinando quanti abbiano subito interruzioni operative» — portavoce MNIT a The Hacker News
Il ruolo dei modem cellulari: l'assalto che bypassa i firewall
L'elemento tecnico più rilevante — e meno visibile — riguarda le connessioni cellulari. A Plymouth, la dichiarazione comunale ha specificato che l'impatto riguardava «apparecchiature connesse via comunicazioni cellulari all'interno del sistema». Questi modem, installati frequentemente da integratori di terze parti per il monitoraggio remoto e la manutenzione, spesso eludono gli inventari di sicurezza e le valutazioni di vulnerabilità perché non passano per le reti IT aziendali.
Il risultato è un attacco superficiale che aggira completamente la segmentazione presumibilmente esistente tra IT e OT. Un modem 4G/5G connesso direttamente a un PLC espone il controllore industriale a internet senza che le difese perimetrali standard ne rilevino la presenza. L'angolo editoriale suggerito nel dossier — il «blindspot cellulare» — trova qui conferma nei fatti: le valutazioni post-incidento rischiano di ripetere lo stesso errore se non mappano esplicitamente queste connessioni parallele.
Non emerge dai documenti quale sia stato il vettore di accesso iniziale nelle altre città colpite. L'incertezza rimane sui dettagli tecnici completi: MNIT ha ritenuto riservate le specifiche durante l'indagine in corso.
La campagna più ampia e l'ombra iraniana
L'attacco del Minnesota si inserisce in una serie più vasta. L'avviso congiunto FBI/EPA del 30 luglio ha riferito incidenti in almeno 7 stati dal 27 luglio, con «operazioni idriche degradate». La CISA ha segnalato nella stessa fascia temporale avvisi di ebollizione dell'acqua e operazioni manuali sostenute in altre giurisdizioni. SecurityWeek e altre fonti hanno successivamente riportato almeno 12 stati interessati e 9 sistemi municipali nel Michigan con attività coerente.
L'advisory CISA AA26-097A, aggiornato il 22 luglio 2026, documenta una campagna di attori affiliati all'Iran che prende di mira PLC esposti su internet, con specifico riferimento a Rockwell, Schneider e Siemens. L'aggiornamento include guidance sulla manipolazione degli Add-On Instructions (AOI) e indicatori di compromissione. Tenable Research Special Operations ha notato che le tattiche osservate nel Minnesota restano «consistenti con il tradecraft attribuito a CyberAv3ngers e altri gruppi affiliati IRGC-CEC», pur sottolineando che non si tratta di attribuzione ufficiale.
Il dossier non stabilisce se gli attacchi del Minnesota siano direttamente collegati alla campagna iraniana documentata da CISA o se rappresentino un attore separato che impiega TTP analoghi. MNIT ha dichiarato esplicitamente che gli investigatori «non sono ancora in grado di determinare se un singolo attore sia responsabile».
La referenza CVE-2021-22681, con punteggio CVSS 9.8 secondo il National Vulnerability Database, riguarda un bypass dell'autenticazione nei controllori Rockwell Logix ed è stato aggiunto al catalogo CISA KEV nel marzo 2026. Il dossier non conferma tuttavia che questa vulnerabilità sia stata utilizzata negli attacchi del Minnesota specificamente.
Perché è importante
Il settore idrico statunitense presenta caratteristiche che amplificano l'esposizione: infrastrutture distribuite geograficamente, budget di sicurezza limitati, dipendenza da integratori di terze parti per la connettività remota. Il caso del Minnesota dimostra che questi fattori non sono teorici: oltre 30 sistemi sono stati compromessi in 48 ore con tecniche che non richiedono malware custom, ma solamente accesso remoto a dispositivi mal configurati e credenziali deboli.
La manipolazione del ladder logic, documentata nell'advisory FBI con «discrepanze in più siti», eleva il rischio da semplice denial of control a potenziale sabotaggio fisico. La modifica dei file progetto permette di alterare i parametri di sicurezza interbloccati: il disabilitamento di un interblocco di pressione o di livello può tradursi in danni materiali senza che l'operatore ne abbia visibilità.
La risposta istituzionale riflette la gravità percepita. MNIT, CISA, EPA e FBI hanno coordinato l'indagine. La CISA ha emesso un alert settoriale il 30 luglio con guidance specifica sui PLC Rockwell MicroLogix 1400. Il Minnesota IT Services ha designato l'incidente come «cyberattacco coordinato», terminologia che implica pianificazione e scopo comune piuttosto che exploit opportunistici isolati.
Per gli operatori di infrastrutture critiche, il dossier non specifica misure correttive definite a livello di singolo ente. Rimane non documentato se i dati siano stati esfiltrati dai sistemi del Minnesota, quali siano le contromisure tecniche distribuite post-incidento, e se le città colpite abbiano rimosso o semplicemente isolato temporaneamente l'hardware compromesso.
La filiera dell'integratore come catena debole
Una lettura strutturale emerge dai dettagli confermati: la responsabilità della sicurezza si disperde lungo la filiera del servizio. L'ente idrico gestisce l'impianto, ma spesso non controlla l'installazione del modem cellulare né ne detiene le credenziali amministrative. L'integratore configura l'accesso remoto per comodità operativa, con password predefinite o non ruotate. Il risultato è una superficie di attacco invisibile agli strumenti di sicurezza tradizionali, che non mappano connessioni out-of-band.
La vicenda del Minnesota non è un caso di sofisticazione tecnica avanzata, ma di asimmetria informativa: l'attaccante ha saputo dove cercare, mentre il difensore non sapeva che quella connessione esistesse. La replica di questo schema in più di 30 siti nel medesimo fine settimana suggerisce ricognizione sistematica precedente, non exploit casuale.
L'assenza di attribuzione formale non attenua l'urgenza operativa. Il pattern è sufficientemente definito da giustificare un audit immediato delle connessioni cellulari in tutti gli impianti con PLC Rockwell esposti, indipendentemente dalla geografia. La domanda per gli operatori non è chi abbia attaccato, ma perché la stessa configurazione vulnerabile si ripeta su scala di settore.
Domande frequenti
L'acqua potabile del Minnesota è stata contaminata?
No. Secondo le fonti ufficiali, non sono stati emessi bollettini di ebollizione in Minnesota e la qualità dell'acqua non è risultata compromessa nei casi confermati. Gli impatti riguardano l'automazione e i controlli operativi.
Gli attacchi sono attribuibili con certezza all'Iran?
No. MNIT ha esplicitamente dichiarato che non è possibile determinare se un singolo attore sia responsabile. Tenable ha descritto le tattiche come «consistenti» con gruppi affiliati IRGC-CEC, ma si tratta di analisi di pattern, non di attribuzione ufficiale.
Che vulnerabilità è stata sfruttata?
Non è confermato. CVE-2021-22681, un bypass di autenticazione con punteggio CVSS 9.8, è documentato per campagne correlate ma non specificamente per gli attacchi del Minnesota. I dettagli tecnici completi sono ritenuti riservati da MNIT.
Fonti
- https://www.tenable.com/blog/coordinated-cyberattack-on-minnesota-water-utilities-what-you-need-to-know
- https://www.securityweek.com/dozens-of-minnesota-water-utilities-targeted-in-coordinated-ot-attacks/
- https://thehackernews.com/2026/07/coordinated-cyberattack-targets-30.html
- https://www.nbcnews.com/tech/security/hackers-targeted-municipal-water-systems-7-states-week-fbi-says-rcna590210
- https://www.rescana.com/post/coordinated-cyberattacks-on-us-municipal-water-systems-plc-exploitation-hits-minnesota-and-6-other-states-in-july-2026
- https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
- https://podcast.securityweek.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.