Il 22 luglio 2026 sei agenzie federali americane hanno aggiornato l'allerta congiunto AA26-097A per segnalare attacchi attivi contro controller logici programmabili (PLC) di infrastrutture critiche esposti direttamente a internet. A differenza della campagna del 2023, questa attività ha già causato disruzione operativa e perdite finanziarie documentate per alcune organizzazioni vittime. Gli attaccanti non sfruttano vulnerabilità software zero-day: usano software di ingegneria legittimo e credenziali valide, rendendo invisibile la minaccia ai sistemi di monitoraggio tradizionali.
- Sei agenzie federali (FBI, CISA, NSA, EPA, DOE, US Cyber Command) hanno cosigned l'advisory AA26-097A aggiornato il 22 luglio 2026, con origine nell'avviso di aprile 2026.
- Gli attaccanti si connettono a PLC esposti usando software vendor-legittimo — come Rockwell Studio 5000 Logix Designer — con credenziali funzionanti, generando traffico indistinguibile da sessioni tecniche autorizzate.
- L'aggiornamento amplia lo scope da Rockwell Automation/Allen-Bradley a Schneider Electric e Siemens, con porte di traffico identificate: 102 (Siemens S7comm), 2222 (EtherNet/IP implicit/UDP), 44818 (EtherNet/IP explicit/TCP, Rockwell).
- L'attività ha causato disruzione operativa confermata e perdite finanziarie; gli attaccanti alterano la logica di controllo e in alcuni casi manipolano le interfacce operatori (HMI) per occultare le anomalie.
- Emerge il rischio di modifiche malevole nascoste in moduli di codice riutilizzabili condivisi, con potenziale propagazione supply-chain interna: una singola modifica può diffondersi nell'intera operazione.
Il "tecnico fidato" che non esiste: come funziona l'attacco
Gli aggressori scansionano internet per identificare PLC esposti, poi si connettono usando lo stesso software di ingegneria che impiegherebbe un manutentore autorizzato. Secondo il testo dell'advisory riportato da TrendMicro, "la connessione appare come un lavoro solido svolto da un tecnico" — una descrizione che cattura il nucleo del problema. Dal punto di vista della rete, non c'è anomalia da rilevare: il traffico proviene da strumenti legittimi, con credenziali valide, su porte previste dal protocollo industriale.
Una volta ottenuto l'accesso, gli attaccanti alterano la logica di controllo sottostante dei PLC. In alcuni casi, modificano anche ciò che viene visualizzato sugli schermi degli operatori. TrendMicro cita direttamente l'allerta federale: gli attaccanti "hanno manipolato i display operatori in modo che il personale non potesse rilevare visivamente alcuna anomalia sui propri schermi". Questa manipolazione bidirezionale — controllo e rappresentazione — annulla il principale meccanismo di rilevamento umano nelle sale operative OT.
Dal 2023 al 2026: cosa è cambiato e perché peggiora
Nel novembre 2023, attori affiliati all'IRGC-CEC noti come CyberAv3ngers avevano compromesso almeno 75 PLC in impianti idrici statunitensi, di cui almeno 34 nel settore Water and Wastewater Systems (WWS), secondo l'advisory CISA AA23-335a. Quella campagna era "largamente priva di disruzione": i PLC subivano defacement e sostituzione di ladder logic, ma gli impatti operativi rimanevano limitati. Il messaggio lasciato sui dispositivi Unitronics era esplicitamente ideologico: "You have been hacked, down with Israel. Every equipment 'made in Israel' is CyberAv3ngers legal target".
La campagna del 2026 inverte quella tendenza. L'advisory AA26-097A conferma che "questa attività in corso ha causato disruzione operativa confermata e perdite finanziarie per alcune organizzazioni colpite". Il passaggio da attacchi dimostrativi a impatti produttivi e finanziari segna un escalamento qualitativo. I settori target — servizi governativi, sistemi idrici, infrastrutture energetiche — rimangono sovrapposti, ma la gravità delle conseguenze no.
L'aggiornamento di luglio amplia inoltre il perimetro dei vendor coinvolti: oltre a Rockwell Automation/Allen-Bradley, l'allerta ora include esplicitamente Schneider Electric e Siemens. Le porte di traffico segnalate — 102, 2222, 44818 — coprono i principali stack di comunicazione industriale, rendendo il problema strutturale piuttosto che legato a un singolo ecosistema.
L'esposizione internet dei PLC: un dato strutturale non risolto
TrendMicro cita dati Shodan secondo cui oltre 74.000 dispositivi ICS sarebbero direttamente raggiungibili da internet, in calo dai circa 120.000 registrati nel periodo 2017-2023. Questi numeri non sono verificabili indipendentemente: l'accesso a Shodan e trends.shodan.io è risultato bloccato da CAPTCHA/403 durante la redazione. Rimangono comunque indicativi di un problema persistente — la riduzione quantitativa non elimina la criticità qualitativa di dispositivi di controllo fisico accessibili via IP pubblico.
L'assenza di segmentazione di rete e l'esposizione diretta a internet dei PLC sono vulnerabilità architetturali, non software patchabili con un aggiornamento firmware. Questo cambia radicalmente il profilo di rischio: la difesa non richiede procurement di nuovi dispositivi, ma riconfigurazione di access control e topologia di rete. L'advisory, secondo TrendMicro, sottolinea proprio questo aspetto, concentrandosi su controlli configurativi piuttosto che su sostituzione hardware.
"a single edit can spread across an entire operation"
Il rischio supply-chain interno: moduli di codice compromessi
Un elemento distintivo dell'aggiornamento 2026 è l'attenzione a moduli di codice riutilizzabili condivisi. Le librerie interne di routine di automazione — function block, add-on instructions, blocchi di codice parametrizzato — sono asset fidati che circolano tra progetti, siti e team. Se compromessi, rappresentano un vettore di supply-chain interna: una singola modifica malevola inserita in un modulo condiviso si propaga attraverso l'intero parco installato che lo importa.
Questo meccanismo è particolarmente insidioso perché invertisce il modello di fiducia: il codice non arriva da un vendor esterno con procedure di verifica, ma da colleghi interni, da repository aziendali, da backup di progetti precedenti. La verifica della provenien e dell'integrità di questi artefatti è spesso assente nelle pratiche OT, dove la ripetibilità operativa prevale sulla sicurezza informatica.
Cosa fare adesso
L'advisory AA26-097A indica azioni prioritarie senza richiedere investimenti in nuovo hardware. Le raccomandazioni operative convergono su quattro direttrici.
Isolamento e segmentazione della rete OT. I PLC non devono essere direttamente esposti a internet. L'implementazione di zone di demilitarizzazione e il filtraggio del traffico sulle porte industriali identificate (102, 2222, 44818 e altre rilevanti per l'ambiente specifico) riducono la superficie di attacco senza sostituzione di dispositivi.
Gestione delle credenziali e controllo degli accessi. La campagna 2023 sfruttava password di default o assenti su PLC Unitronics. L'attività 2026 usa credenziali valide, indicando che la rotazione, la complessità e il principio del least privilege su account di ingegneria rimangono controlli fondamentali. L'accesso ai tool di programmazione deve essere ristretto e monitorato.
Verifica delle sessioni di programmazione. La detection anomaly-based fallisce quando il traffico è generato da software legittimo con credenziali valide. La sicurezza OT deve spostarsi verso la verification di ogni sessione di programmazione: chi si connette, da quale endpoint, con quale progetto, in quale finestra temporale autorizzata. Il logging delle modifiche a ladder logic e HMI deve essere centrale e non silosato per PLC.
Audit e integrità dei moduli di codice riutilizzabili. Le organizzazioni devono mappare le librerie condivise di codice industriale, implementare versionamento con verifica di integrità, e tracciare la provenienza di ogni modulo importato nei progetti. Questo riduce il rischio di propagazione di modifiche malevole nascoste in componenti apparentemente fidati.
Perché il settore OT non può attendere
La pressione regolatoria è ora esplicita e multilaterale: sei agenzie federali con competenze che spaziano dalla sicurezza nazionale all'energia, dall'ambiente alla difesa cibernetica militare, hanno co-firmato un unico documento. Questo segnala che la minaccia ai PLC internet-exposed è classificata come intersezione di rischi nazionali, non più come problema di sicurezza periferico.
Per i vendor — Rockwell Automation, Schneider Electric, Siemens — l'allerta rappresenta una pressione sul modello di default: il software di ingegneria non può più presumere che qualsiasi connessione con credenziali valide sia legittima. Il dibattito su hardening by-default, autenticazione multi-fattore su sessioni di programmazione, e telemetria di sicurezza integrata nei tool di engineering probabilmente si intensificherà nei prossimi cicli di rilascio.
Il dossier non specifica l'identità formale degli attori della campagna 2026: l'advisory descrive l'attività come "consistent with" il pattern del 2023, ma non nomina CyberAv3ngers o l'IRGC-CEC. Rimane inoltre non quantificato il numero esatto di vittime e l'entità delle perdite finanziarie. Non emergono sovrapposizioni infrastrutturali documentate che colleghino formalmente gli operatori del 2026 al gruppo del 2023 allo stato attuale.
Domande frequenti
Gli attacchi sfruttano vulnerabilità zero-day sui PLC?
No. L'advisory descrive exploitation architetturale: PLC esposti a internet, assenza di segmentazione, credenziali valide compromesse o mal gestite. Non è segnalato alcun CVE o difetto software specifico.
Perché i sistemi di sicurezza tradizionali non rilevano l'attacco?
Perché il traffico è generato da software vendor-legittimo — come Studio 5000 Logix Designer — con credenziali funzionanti. Dal punto di vista della rete, la sessione appare autorizzata. La detection anomaly-based non basta: serve verification attiva delle sessioni di programmazione.
Il numero di dispositivi esposti è verificato?
I dati Shodan citati da TrendMicro (oltre 74.000 dispositivi ICS) non sono verificabili indipendentemente per accesso bloccato. Il trend storico (calo da circa 120.000) è comunque citato come indicatore di problema persistente.
Fonti
- https://www.trendmicro.com/en_us/research/26/g/plc-exploitation.html
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a
- https://cert-portal.siemens.com/operational-guidelines-industrial-security.pdf
- https://www.shodan.io/search?query=tag%3Aics+%21tag%3Ahoneypot
- https://trends.shodan.io/search?query=tag%3Aics+%21tag%3Ahoneypot#overview
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.