Iran APT sabotaggio PLC USA: CISA allarma su rischio fisico

Il governo USA denuncia un'APT iraniana che compromette PLC esposti a Internet in acquedotti e centrali energetiche, disabilitando logiche di sicurezza per causare

CISA, FBI, NSA, DOE ed EPA hanno emesso un advisory congiunto aggiornato il 22 luglio 2026 su una campagna attiva di attori di minaccia affiliati all'Iran contro controllori logici programmabili esposti a Internet. L'attività, osservata dal marzo 2026, ha colpito tre settori critici statunitensi: Government Services and Facilities, Water and Wastewater Systems, ed Energy. Le agenzie documentano per la prima volta in modo dettagliato come gli aggressori non si limitino a infiltrarsi, ma manipolino i file di progetto dei PLC per sovrascrivere istruzioni di sicurezza e nascondere condizioni anomale agli operatori.

L'escalation è valutata come risposta diretta alle tensioni geopolitiche tra Iran, Stati Uniti e Israele. Il passaggio dalla defacement pubblica del 2023 al sabotaggio silenzioso dei sistemi di controllo industriale segna una svolta operativa con conseguenze potenzialmente fisiche.

Punti chiave

CISA e agenzie federali confermano targeting attivo di PLC iraniani esposti a Internet dal marzo 2026 in tre settori critici USA
Gli aggressori esfiltrano file di progetto con tool vendor legittimi, poi reingegnerizzano la ladder logic per disabilitare allarmi e shutdown automatici
L'aggiornamento luglio 2026 espande i vendor target da Rockwell Automation a Schneider Electric, Siemens e potenzialmente altri
L'FBI ha osservato in almeno un caso un file progetto malevolo che permetteva condizioni unsafe senza notifica agli operatori

Come funziona l'attacco: dal portscan alla manipolazione della ladder logic

Gli attori ottengono accesso iniziale sfruttando PLC e dispositivi OT direttamente esposti su Internet. L'advisory identifica cinque porte specifiche: 44818, 2222, 102, 502 per protocolli industriali, più la porta 22 per modem SSH. Questa esposizione, tipica di architetture che assumono la "sicurezza per oscurità", elimina ogni intermediario: l'attaccante interagisce direttamente con il controllore.

Una volta dentro, l'APT utilizza software di ingegneria legittimi — Studio 5000 per Rockwell, EcoStruxure Control Expert per Schneider, TIA Portal per Siemens — per scaricare il file di progetto esistente. L'esfiltrazione avviene con gli stessi strumenti che gli operatori usano per la manutenzione, rendendo difficile distinguere l'attività malevola da quella autorizzata.

La fase successiva è quella più insidiosa. Gli aggressori modificano la ladder logic, il linguaggio a contatti che definisce il comportamento del PLC. In almeno un caso documentato dall'FBI, il file progetto reintrodotto conteneva "logica aggiunta che sovrascriveva specifici set di istruzioni responsabili del mantenimento di parametri operativi sicuri". La modifica conservava la funzionalità a valle — il sistema appariva normale — ma disabilitava le istruzioni di sicurezza critiche.

La fase nascosta: HMI e SCADA mentono agli operatori

La manipolazione non si ferma al PLC. L'advisory descrive interferenze sui display di interfaccia uomo-macchina e sui sistemi SCADA, i pannelli attraverso cui gli operatori leggono lo stato dell'impianto. Se i dati di processo vengono alterati a monte o il PLC riferisce valori falsificati, il centro di controllo continua a vedere parametri apparentemente nel range normale mentre l'impianto si avvicina a condizioni unsafe.

Questa architettura di inganno è tecnicamente raffinata: non richiede compromissione completa della rete IT, non lascia tracce evidenti di ransomware, non genera allarme. La persistenza deriva dal fatto che il PLC esegue codice legittimo, solo logicamente alterato. La detection richiede audit incrociati tra il file progetto caricato e il codice in esecuzione, una pratica non standard nella maggior parte delle utilities.

"The authoring agencies urgently warn U.S. organizations of ongoing Iranian-affiliated cyber targeting of internet-connected operational technology (OT) devices, including programmable logic controllers (PLCs)."
— CISA Advisory AA26-097A, Executive Summary

Dall'aprile al luglio 2026: l'espansione dei target

Un advisory governativo iniziale, emesso nell'aprile 2026, aveva già segnalato l'escalation delle campagne iraniane contro infrastrutture critiche. L'aggiornamento del 22 luglio 2026 documenta un'espansione significativa: i PLC target inizialmente limitati a Rockwell Automation/Allen-Bradley si sono ampliati a Schneider Electric Modicon M340, Siemens S7-1200 e potenzialmente altri brand.

Questa espansione vendor-agnostic ha implicazioni immediate per il settore industriale americano. Non si tratta di una vulnerabilità specifica in un firmware, ma di un pattern applicabile a qualsiasi controllore con porte OT esposte. L'assenza di CVE citati nell'advisory conferma che il vettore non è tecnico-zero-day ma configurazionale: esposizione diretta, mancanza di segmentazione, assenza di autenticazione robusta sui protocolli industriali.

Le agenzie riportano che le vittime hanno subito "operational disruption and financial loss". Il dossier non specifica l'entità del danno economico né quante organizzazioni siano state colpite. Resta non verificato se modifiche malevole siano state rilevate e corrette prima di causare danni fisici concreti.

Cosa sappiamo, cosa non sappiamo

L'advisory non attribuisce il nome specifico del gruppo APT responsabile, oltre alla generica qualifica "Iranian-affiliated APT group". Il riferimento storico a CyberAv3ngers, il gruppo che nel 2023 aveva rivendicato defacement di dispositivi Unitronics in più di 75 siti, è citato come pattern precedente ma non come identità confermata dell'attore attuale.

Restano non quantificati: il numero esatto di vittime, l'identità delle organizzazioni colpite, l'entità del financial loss, e se l'aggiornamento luglio 2026 rappresenti un'escalation quantitativa o solo qualitativa rispetto al mese di aprile.

Cosa fare adesso

Le agenzie federali indicano azioni immediate per gli operatori di PLC nei tre settori target. La priorità è la verifica dell'esposizione Internet delle porte OT: 44818, 2222, 102, 502 e 22 devono essere inventariate e, dove possibile, rimosse dalla superficie di attacco pubblica. L'advisory sottolinea che l'esposizione diretta di queste porte è il vettore d'ingresso documentato in tutti i casi osservati.

Gli operatori devono condurre audit dei file progetto caricati sui PLC, confrontando le versioni in esecuzione con backup verificati pre-maggio 2026. La detection della logica malevola richiede specificamente l'analisi delle istruzioni AOI (Add-On Instructions) e delle routine di sicurezza, le stesse sovrascritte nell'incidente FBI.

Per i quattro vendor identificati — Rockwell Automation, Schneider Electric, Siemens e i potenziali altri brand — è necessario verificare che gli strumenti di ingegneria (Studio 5000, EcoStruxure Control Expert, TIA Portal) siano accessibili solo da workstation isolate e non da terminali con connettività Internet generale. L'advisory documenta che gli aggressori utilizzano esattamente questi tool legittimi; limitarne l'accesso riduce la superficie di movimento laterale.

Le organizzazioni nei settori Water and Wastewater Systems, Energy e Government Services and Facilities devono trattare questa campagna con priorità elevata, data la valutazione esplicita delle agenzie: l'attività è "finalizzata a causare effetti distruttivi negli Stati Uniti".

La lettura: quando il cyber diventa kinetic per progetto

La campagna documentata dall'advisory AA26-097A rappresenta un caso studio raro per la sua precisione tecnica nel collegare azioni cibernetiche a conseguenze fisiche potenziali. Non si tratta di ransomware che crippla rete IT causando downtime indiretto, ma di modifica chirurgica del codice di controllo che altera il comportamento meccanico dell'impianto mentre ne occulta le anomalie.

La scelta di target civili — acqua, energia, servizi pubblici — in un momento di alta tensione geopolitica trasforma la cyberspace in campo di confronto parallelo ai conflitti convenzionali. Il fatto che il vettore d'ingresso sia l'esposizione ordinaria di porte OT su Internet, non un exploit sofisticato, rende il problema strutturale e difficilmente risolvibile con interventi puntuali. Richiede una ridefinizione architetturale dell'isolamento tra IT e OT che molte utilities statunitensi, e non solo, non hanno completato.

Per il lettore che opera nel settore industriale, la lezione è che la sicurezza per oscurità — il PLC non viene attaccato perché nessuno sa che esiste — è morta quando gli APT statali hanno iniziato a scansionare sistematicamente Internet alla ricerca di porte 44818 e 502 aperte. L'advisory del 22 luglio 2026 documenta che qualcuno ha trovato bersaglio, ha imparato a usare gli stessi tool degli ingegneri, e ha dimostrato di saperli usare meglio.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti