Handala e il MOIS dietro la Cal Water: 5GB di dati clienti…

Il gruppo iraniano Handala ha compromesso il gestore idrico californiano Cal Water esfiltrando circa 5 GB di dati clienti. Il vettore: un NTRIP caster RTKBase

{"main_topic":"cybersecurity","topics":["cybersecurity","vulnerabilita","malware","infrastrutture critiche"]}

Il gruppo APT iraniano Handala, struttura di facciata affiliata al Ministero dell'Intelligence e della Sicurezza (MOIS), ha rivendicato l'11 giugno 2026 la compromissione di California Water Service (Cal Water), il più grande gestore idrico privato della California. La breccia, invece di colpire i sistemi industriali di controllo, è emersa da un dispositivo di supporto operativo apparentemente marginale: un caster open-source per correzioni GPS centimetriche, RTKBase, esposto su HTTP senza adeguata segmentazione di rete. L'operazione conferma un pattern di attacco sempre più frequente: l'ingresso non passa per la porta principale del SCADA, ma per l'intercapedine tecnica che nessuno controlla.

Punti chiave

Handala ha pubblicato un proof-of-concept data dump di circa 5 GB contenente dati di fatturazione PII e credenziali amministrative RTKBase in chiaro, estratti da sette distretti operativi di Cal Water.
Il vettore tecnico identificato è un'istanza RTKBase, NTRIP caster open-source per correzioni GNSS, operativa da circa 783 ore continuative su porta HTTP 10000 con pannello amministrativo esposto.
Cal Water, che serve circa 2 milioni di utenti in oltre 100 comunità, ha confermato un'indagine in corso con partner governativi e non ha rilevato interruzioni operative su sistemi di trattamento o distribuzione idrica.
Handala è tracciato con alta confidenza come ecosistema Banished Kitten, noto anche come Void Manticore (Check Point) e Storm-0842 (Microsoft), con precedente dimostrato di escalation a distruzione nell'attacco Stryker del marzo 2026.

Da RTKBase al billing: la topologia di una rete mal segmentata

RTKBase è un NTRIP caster open-source che gestisce flussi RTCM per il posizionamento GNSS in tempo reale, tipicamente ospitato su hardware leggero come Raspberry Pi. Secondo l'analisi tecnica di Dataminr, l'istanza compromessa era operativa da circa 783 ore — circa 33 giorni — con interfaccia amministrativa esposta su porta HTTP 10000. La rete RTKBase si estendeva su sette mountpoint distrettuali: Bakersfield, Chico, Salinas, Stockton, Visalia, San Mateo, e un segmento engineering regionale.

Il distretto di Chico è confermato come account compromesso con accesso diretto al database di fatturazione. I dati esfiltrati includono nomi, indirizzi di servizio, numeri di telefono, numeri di conto, storico pagamenti, credenziali amministrative RTKBase e password mountpoint NTRIP in chiaro. Dataminr valuta la rete RTKBase come "probable initial access vector or lateral pivot point": il caster non è stato necessariamente il bersaglio finale, ma il ponte mal sorvegliato verso l'ambiente IT di fatturazione.

La configurazione tecnica non presenta vulnerabilità zero-day nel software RTKBase: il problema è l'esposizione operativa di un servizio di supporto senza adeguata segregazione dall'ambiente aziendale sensibile. Il NTRIP caster, strumento per il rilevamento topografico di precisione, ha ereditato la stessa flatness di rete che già si è dimostrata catastrofica in altri contesti OT/IT convergenti.

Il pattern Handala: dall'hack-and-leak al wiper documentato

Handala non è una struttura emergente. L'ecosistema è tracciato da vendor di intelligence con denominazioni convergenti: Banished Kitten (CrowdStrike), Void Manticore (Check Point), Storm-0842 (Microsoft). L'affiliazione al MOIS è valutata con alta confidenza da fonti di intelligence primaria. L'operazione contro Cal Water si inserisce in una matrice di rappresaglia dichiarata per presunti attacchi statunitensi contro infrastrutture idriche iraniane.

"Handala's operational pattern frequently involves an initial claim followed by escalated action. Security teams should treat the current disclosure as a possible precursor to a destructive follow-on and posture accordingly." — Dataminr

La precedente escalation distruttiva dell'attore è documentata. Nel marzo 2026 Handala ha colpito Stryker, colosso medtech statunitense, con distribuzione di wiper win.handala, Handala Wiper e Hamsa Wiper, oltre a sovrascrittura del Master Boot Record. L'operazione ha generato un'interruzione globale confermata dalla compagnia e dal Wall Street Journal, con oltre 50 TB di dati esfiltrati e più di 200.000 dispositivi dichiarati cancellati dal gruppo. Questo pattern conferisce peso specifico alla raccomandazione di Dataminr: la fase leak attuale può essere preludio a una fase distruttiva.

L'operazione psicopolitica e i limiti della rivendicazione

Il movente dichiarato è esplicitamente geopolitico. Handala ha diffuso il claim "potevamo chiudere l'acqua" come messaggio di pressione, ma il dossier non documenta manomissione di processi di trattamento, sistemi SCADA o interruzione dell'erogazione. La dichiarazione va letta come operazione psicologica: la capacità di accesso viene amplificata per produrre effetto deterrente, indipendentemente dalla possibilità tecnica concreta di interrompere la distribuzione.

Cal Water ha risposto con una dichiarazione ufficiale tra il 15 e il 16 giugno 2026, riportata da SecurityWeek: "We take cybersecurity and this claim very seriously and are working around the clock to investigate... preliminary findings indicate that there are no known operational disruptions to our water and wastewater systems, including the billing platform". La compagnia conferma l'indagine con partner governativi ed esperti esterni, ma non conferma l'esfiltrazione specifica né la completezza del campione pubblicato da Handala.

Il dossier presenta limiti significativi sulla linea di attacco interna. Non emerge la data esatta dell'intrusione iniziale, se non inferita dalle 783 ore di uptime RTKBase. Non è documentato il movimento laterale oltre il billing, né eventuali sistemi terzi compromessi tramite riutilizzo delle credenziali esposte. La presenza o assenza di contatti diretti tra Handala e Press TV resta non verificata.

Cosa fare adesso

Le raccomandazioni operative presenti nel brief convergono su quattro azioni prioritarie per utility e infrastrutture critiche con ambiente convergente IT/OT.

Isolare i servizi di supporto operativo: NTRIP caster, dispositivi IoT/OT leggeri e strumenti GNSS devono risiedere su segmenti di rete dedicati, senza connettività diretta verso database di fatturazione o ambienti SCADA. La segmentazione è l'unico perimetro effettivo quando il dispositivo non supporta hardening nativo.
Verificare l'esposizione di istanze RTKBase: L'interfaccia amministrativa su HTTP porta 10000 deve essere accessibile solo da reti di gestione dedicate, con autenticazione robusta e, dove possibile, terminazione TLS. Il monitoraggio deve coprire uptime anomalo e pattern di accesso non coerenti con l'uso operativo.
Ruotare credenziali con presupposto di compromissione: Le password amministrative RTKBase e i mountpoint NTRIP esposti nel dump vanno considerate compromesse. La ruotazione deve estendersi a eventuali credenziali condivise con sistemi aziendali, inclusi database di fatturazione e strumenti di gestione remota.
Preparare postura per fase distruttiva: Il pattern Handala documentato su Stryker impone di trattare la fase leak come possibile precursore. I team di risposta devono verificare la disponibilità di backup isolati, la mappatura dei sistemi critici e la capacità di isolamento rapido segmento per segmento.

Perché il caso Cal Water anticipa il prossimo mandato NIS2

Il caso Cal Water non è un incidente isolato: è un archetipo della prossima generazione di minacce alle infrastrutture critiche europee. Il NIS2 impone misure di gestione del rischio e sicurezza della rete per operatori di servizi essenziali, ma la trasposizione nazionale sta ancora definendo la granularità di controllo sui sistemi di supporto operativo. Un caster GNSS sarebbe probabilmente classificato come "sistema informativo connesso" piuttosto che "sistema di controllo industriale", con conseguente buco di valutazione nel risk assessment.

La lezione del briefing Dataminr è che gli attori APT statali non necessitano di zero-day sui SCADA per produrre danno geopolitico: bastano 783 ore di uptime non controllato, una porta HTTP 10000 e una rete piatta. Per i CISO delle utility, il perimetro che conta non è più quello del firewall edge, ma la micro-segmentazione tra dispositivo di rilevamento topografico e database dei clienti. Per i regolatori, la sfida è estendere l'obbligo di sicurezza all'intera catena del valore operativo, inclusi gli strumenti che nessuno cataloga come critici fino a quando non lo diventano.

FAQ

Il sistema di distribuzione idrica è stato compromesso?
No. Cal Water ha dichiarato esplicitamente l'assenza di interruzioni operative su sistemi di trattamento e distribuzione. Il breach ha colpito l'ambiente di fatturazione attraverso un vettore di supporto operativo, non i processi industriali.

Perché un caster GPS è rilevante per la sicurezza aziendale?
RTKBase era esposto su HTTP con credenziali amministrative accessibili, operando come nodo di rete non segmentato. In ambienti convergenti IT/OT, questi dispositivi di supporto diventano pivot per movimento laterale verso database sensibili quando la segmentazione manca.

Qual è il rischio di escalation?
Handala ha già dimostrato capacità distruttiva nel marzo 2026 contro Stryker. Dataminr valuta esplicitamente la fase leak attuale come possibile precursore a un follow-on distruttivo. Il rischio è elevato per strutture con esposizione geopolitica simile.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti