Il blackout che non c'è: quando il dubbio sui PLC ferma una centrale

Un presunto shutdown di quattro giorni in una centrale elettrica britannica non identificata resta ufficialmente non confermato in fonti pubbliche competenti al 23 agosto 2026. La stessa fonte che ha divulgato il caso, debuglies.com, avverte esplicitamente che «nessuna evidenza forense pubblica prova attualmente che la generazione elettrica, piuttosto che i sistemi IT o le operazioni dipendenti dalla sicurezza, sia stata direttamente manipolata». Il National Cyber Security Centre (NCSC) del Regno Unito ha tuttavia valutato il 2 marzo 2026 che attori statali e affiliati all'Iran «quasi certamente» mantengono capacità cyber contro obiettivi britannici. Il caso, vero o presunto, illumina un modello di attacco più insidioso della distruzione fisica: la disruzione per incertezza.

Il gap tra accesso e conferma: perché la fonte parla al condizionale

Il dossier tecnico è netto sul confine tra sospetto e certezza. Debuglies.com, nella sua analisi del 23 agosto 2026, colloca il caso britannico in una zona grigia: nessuna fonte ufficiale UK — NCSC, DESNZ, Ofgem, NESO — ha confermato l'incidente specifico. Non emerge l'identità della centrale. Non è noto se il shutdown di quattro giorni sia stato causato da un attaccante o da una decisione difensiva precauzionale degli operatori. La fonte non specifica se sia avvenuta manipolazione diretta di turbine e generatori o solo di sistemi IT/OT di supporto. Questi limiti non invalidano la rilevanza del caso: fungono da avvertimento sulla fragilità dell'inferenza in incidenti OT, dove l'assenza di prova non equivale a prova di assenza, ma nemmeno giustifica claim non sostenuti.

La lettura tecnica è che il danno più probabile non sia la rottura fisica, ma la perdita di fiducia nei controlli. Se un attore ottiene accesso a un PLC e modifica la ladder logic — il programma che governa le operazioni — gli operatori devono verificare ogni parametro prima di riattivare. Questo processo può richiedere giorni. Il costo commerciale, regolatorio e assicurativo di una fermata difensiva può eclissare quello di un guasto meccanico.

Il pattern iraniano documentato: da PLC Unitronics a Rockwell Automation

Le agenzie statunitensi hanno tracciato con precisione il percorso degli attori iraniani. L'advisory CISA AA26-097A, aggiornato il 22 luglio 2026, documenta che attori APT affiliati all'Iran scaricano file di progetto malevoli su PLC Rockwell Automation, aggiungendo logica che sovrascrive parametri di sicurezza operativi. L'FBI ha osservato che «il file di progetto manteneva la ladder logic per la funzione a valle ma aggiungeva logica che sovrascriveva specifici set di istruzioni responsabili del mantenimento dei parametri di funzionamento sicuro». Le agenzie autrici valutano che il gruppo conduca questa attività per «causare effetti disruttivi» negli Stati Uniti, con «manipolazione dei dati su display HMI e SCADA» e «disruzione operativa e perdite finanziarie».

Il precedente più dettagliato è la campagna CyberAv3ngers, documentata nell'advisory CISA AA23-335a. Tra novembre 2023 e gennaio 2024, l'attore ha compromesso almeno 75 dispositivi Unitronics, di cui almeno 34 nel settore idrico-statunitense (WWS). Le tecniche includono: cancellazione del file ladder logic originale, rinomina dei dispositivi compromessi, disabilitazione delle funzioni upload/download. CYFIRMA, nel suo report di giugno 2026, identifica CyberAv3ngers come l'attore più consistente in campagne contro PLC e sistemi di monitoraggio carburante nel settore energy. Questi dati, pur riferiti a infrastrutture statunitensi, tracciano un framework threat che converge su PLC esposti a Internet con autenticazione debole o assente.

"The authoring agencies assess a group of Iranian-affiliated APT actors is conducting this activity to cause disruptive effects within the United States." — CISA AA26-097A, 22 luglio 2026

Il meccanismo tecnico: come un accesso modesto diventa paralisi costosa

Il nucleo tecnico è la relazione tra esposizione e impatto. PLC e HMI esposti a Internet con autenticazione debole o assente permettono agli attori di sostituire ladder logic, modificare versioni software, rinominare dispositivi, bloccare upload/download e manipolare display HMI/SCADA. La disruzione può essere diretta — sovrascrittura di parametri di sicurezza — o indiretta: operatori forzati a shutdown precauzionale per mancanza di fiducia nei controlli. Questa seconda modalità, la disruzione per incertezza, è meno spettacolare della distruzione fisica ma più difficile da attribuire e più costosa da gestire.

Il dossier non specifica se il caso britannico abbia coinvolto malware specializzato tipo ICS-targeting o solo tecniche di accesso e modifica logica. Non emerge coinvolgimento specifico di CyberAv3ngers o di altro cluster IRGC. La fonte non documenta se i PLC fossero esposti a Internet o accessibili solo da rete interna. Questi dettagli mancanti sono rilevanti: definiscono se il vettore fosse noto e mitigabile, oppure se l'accesso abbia sfruttato una catena di compromissione più complessa.

Il contesto britannico: NCSC e la pressione su CNI

Il Regno Unito ha fornito un quadro generale che rende plausibile il rischio, non il caso specifico. Il CEO del NCSC, Richard Horne, ha dichiarato il 17 giugno 2026 che più di 200 incidenti hanno colpito infrastrutture critiche britanniche nell'anno fino a maggio 2026, con circa il 75% valutati collegati a stati ostili incluso Iran. Questa cifra non distingue tra settori, gravità o vettori di attacco. Non permette di inferire che uno degli incidenti sia il presunto shutdown della centrale elettrica. Ma stabilisce che la pressione è elevata, documentata e in accelerazione.

Un precedente storico nel dossier — l'accesso di Hamid Firoozi al sistema SCADA della diga Bowman Avenue (New York) nel 2013 — mostra la distanza tra accesso e impatto fisico. Firoozi ottenne capacità di operazione remota della paratoia, ma questa era fisicamente disconnessa. Il caso illustra come gli attori iraniani abbiano precedenti di targeting SCADA con intento dimostrativo, non necessariamente distruttivo. La domanda aperta è se, tra il 2013 e il 2026, l'intento sia migrato da dimostrativo a disruttivo, e se la capacità tecnica abbia seguito la stessa traiettoria.

Cosa fare adesso

Le azioni prioritarie derivano dai fatti documentati, non dall'estrapolazione. Il dossier non contiene raccomandazioni operative specifiche per il caso britannico, ma le agenzie citate hanno indicato mitigazioni valide per il pattern threat.

• Rimuovere PLC e HMI da esposizione Internet diretta: il pattern iraniano documentato da CISA si basa su dispositivi OT raggiungibili via TCP/IP pubblico, spesso con credenziali di default o assenti.
• Isolare workstation ingegneria su segmenti di rete dedicati, con controllo di accesso e monitoraggio delle sessioni: la modifica di ladder logic richiede tipicamente strumenti di ingegneria che non devono coesistere con la rete aziendale generale.
• Verificare baseline immutabili del firmware e della ladder logic: la capacità di confrontare lo stato attuale con una baseline certa è il prerequisito per ripristinare la fiducia operativa dopo accesso sospetto.
• Rivedere la classificazione degli incidenti OT per distinguere tra compromissione confermata e shutdown precauzionale: la «disruzione per incertezza» richiede metriche che catturino il costo della fermata difensiva, non solo quello del danno fisico.

La lezione: quando l'incertezza è l'arma

Il caso della centrale elettrica britannica, confermato o meno, funge da specchio per un modello di minaccia in evoluzione. Gli attori iraniani documentati da CISA non hanno bisogno di distruggere turbine per infliggere danno: bastano modifiche tecnicamente modeste a PLC esposti, seguite da giorni o settimane di verifica operativa. Il costo commerciale si cumula con quello regolatorio e assicurativo. Il risultato è una forma di warfare economica che opera sotto la soglia del conflitto armato, sfruttando la struttura stessa delle decisioni difensive degli operatori critici.

Il dossier non chiude il caso UK. Lo apre come avvertimento: la convergenza tra accesso dimostrativo e disruzione operativa è documentata, in accelerazione, e non richiede capacità sofisticate quanto OT mal protetto. La domanda per gli operatori non è se l'incidente specifico sia avvenuto, ma se i loro PLC sarebbero resilienti a un accesso che, tecnicamente, non è più teoria.

Fonti

• https://debuglies.com/2026/08/23/irans-ot-breach-uk-power-and-scada-exposure/
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://nvd.nist.gov/general/news/cisa-exploit-catalog
• https://www.cyfirma.com/research/cyfirma-industry-report-energy-utilities-5/
• https://www.cve.org/CVERecord?id=CVE-2026-73570
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
• https://www.cisa.gov/news-events/alerts/2023/11/28/exploitation-unitronics-plcs-used-water-and-wastewater-systems?utm_source=chatgpt.com
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-290a?utm_source=chatgpt.com

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti