Iran colpisce PLC esposti: confermate intrusioni negli USA, il…

L'FBI, la CISA e altre sei agenzie federali statunitensi hanno confermato il 22 luglio 2026 attacchi iraniani a controllori logici programmabili (PLC) esposti su

{"main_topic":"cybersecurity","topics":["cybersecurity","ot-exploitation","scada","plc","cve"]}

L'FBI, la CISA e altre sei agenzie federali statunitensi hanno confermato il 22 luglio 2026 attacchi iraniani a controllori logici programmabili (PLC) esposti su Internet, con impatto operativo e perdite economiche documentate. Nel Regno Unito, una presunta intrusione in un impianto di generazione elettrica — riportata senza conferma ufficiale — alimenta la tensione tra allarme mediatico e evidenza pubblica.

Punti chiave

Il joint advisory AA26-097A (CISA, FBI, NSA, EPA, DOE, CNMF, Treasury) documenta attacchi iraniani a PLC Rockwell Automation, Schneider Electric e Siemens con manipolazione di file progetto e logiche ladder.
FBI ha osservato in almeno una vittima USA l'aggiunta di logica che sovrascriveva i parametri di sicurezza operativi nel PLC, causando interruzione operativa e perdite finanziarie.
L'NCSC ha valutato il 2 marzo 2026 che attori legati all'Iran hanno "quasi certamente" conservato capacità offensive contro sistemi di controllo industriale (ICS).
La claim di un black-out di quattro giorni in una centrale elettrica britannica rimane non confermata: nessuna prova forense pubblica dimostra manipolazione diretta della generazione elettrica.

L'advisory AA26-097A e il modus operandi tecnico

L'avviso congiunto AA26-097A, pubblicato il 22 luglio 2026, espande lo scope iniziale focalizzato su Rockwell Automation per includere Schneider Electric e Siemens. Le agenzie segnalano targeting attivo di PLC connessi a Internet mediante scansione di massa su porte specifiche: 44818 (EtherNet/IP), 2222 (CSP), 102 (Siemens S7), 502 (Modbus) e 20256.

L'accesso iniziale sfrutta CVE-2021-22681, una vulnerabilità di bypass dell'autenticazione nei PLC Rockwell con punteggio CVSS 9.8 secondo il record ufficiale NVD. Una volta ottenuto il controllo, gli attori utilizzano strumenti legittimi di ingegneria come Studio 5000 per modificare i file progetto e la logica ladder del PLC.

La persistenza si appoggia a modem cellulari e tunnel SSH Dropbear, evitando il ricorso a malware custom. Questo pattern "living-off-the-land" rende più difficile il rilevamento da parte di strumenti tradizionali: le firme comportamentali devono distinguere l'uso malevolo di protocolli nativi da quello legittimo degli operatori.

Manipolazione HMI e occultamento dello stato di processo

Un elemento distintivo della campagna documentata è l'alterazione delle interfacce uomo-macchina (HMI) e dei sistemi SCADA per nascondere o modificare la rappresentazione dello stato di processo. L'FBI ha osservato che il file progetto caricato sul PLC "manteneva la logica ladder per funzioni a valle ma aggiungeva logica che sovrascriveva specifici set di istruzioni responsabili del mantenimento dei parametri di sicurezza operativi".

Questa tecnica espone una vulnerabilità strutturale della supervisione OT: gli operatori si affidano alle indicazioni visive dell'HMI per prendere decisioni in tempo reale. Se il display mostra parametri nominali mentre il PLC esegue condizioni anomale, il rilevamento umano è neutralizzato senza necessità di sofisticati rootkit.

La campagna CyberAv3ngers del novembre 2023, attribuita all'IRGC-CEC e sanzionata dal Treasury nel febbraio 2024, ha compromesso almeno 75 dispositivi Unitronics in infrastrutture idriche statunitensi. Il pattern osservato allora — PLC esposti, credenziali compromesse, manipolazione di parametri — costituisce la baseline evolutiva dell'attività documentata nel 2026.

Il quadro britannico: allarme senza evidenza pubblica

L'NCSC, centro di cybersecurity nazionale britannico, ha espresso preoccupazione specifica sui rischi ICS legati all'Iran. Il 2 marzo 2026 ha valutato che attori statali e affiliati iraniani hanno "quasi certamente" conservato capacità offensive contro sistemi di controllo industriale.

Il 17 giugno 2026, il CEO dell'NCSC Richard Horne ha dichiarato che circa il 75% di oltre 200 incidenti riguardanti le infrastrutture critiche nazionali britanniche nell'anno fino a maggio 2026 è stato attribuito a stati ostili, includendo Iran, Russia e Cina.

Contro questo sfondo, debuglies.com ha riportato una presunta chiusura di quattro giorni di una centrale elettrica britannica non identificata, specificando esplicitamente nella propria analisi che "la riportata chiusura di quattro giorni di una centrale elettrica britannica non identificata rimane ufficialmente non confermata nelle fonti pubbliche". La stessa fonte aggiunge: "nessuna prova forense pubblica dimostra attualmente che la generazione elettrica, piuttosto che le operazioni IT o di sicurezza dipendenti di supporto, sia stata direttamente manipolata".

L'assenza di indicatore di compromissione, timeline o attribuzione forense pubblica per qualsiasi incidente UK-specifico impedisce di trattare la claim come verificata. La distinzione è rilevante: l'NCSC ha messo in guardia sul rischio, non ha confermato l'evento.

"In alcuni casi, questa attività ha causato interruzione operativa e perdite finanziarie" — CISA AA26-097A

Perche è importante

Il dossier non documenta misure correttive specifiche per la campagna iraniana né raccomandazioni operative dettagliate per gli operatori di infrastrutture critiche. La fonte citata non specifica se l'NCSC o altre autorità britanniche stiano conducendo indagini private sulla claim del power plant.

Il brief non elenca indicatori di compromissione (IoC) pubblici associati a incidenti specifici nel Regno Unito, né versioni firmware o patch esplicite per i PLC interessati. Non risulta documentata una catena di fornitura compromessa né tecniche di movimento laterale al di fuori del perimetro OT.

La fonte non specifica la natura dei dati eventualmente esposti in eventuali intrusioni, né se attori iraniani abbiano sottratto informazioni di ingegneria o configurazioni di processo oltre alla manipolazione dei parametri operativi. Il dossier non chiarisce inoltre se la campagna del 2026 rappresenti un'escalation quantitativa o qualitativa rispetto all'attività CyberAv3ngers del 2023.

La lezione del gap tra headline e evidenza

La struttura narrativa che emerge dal dossier è asimmetrica: gli Stati Uniti dispongono di advisory tecnici con dettagli di compromissione, mentre il Regno Unito ha allarmi strategici senza corrispondenza pubblica a livello forense. Questa asimmetria non invalida la gravità della minaccia, ma ne condiziona la leggibilità operativa.

Gli operatori di infrastrutture critiche britanniche si trovano a gestire un rischio documentato per analogia, non per identità di caso. L'NCSC ha fornito il contesto di minaccia (capacità conservata, prevalenza statale); manca la conferma che tale capacità sia stata esercitata con successo contro target elettrici nel Regno Unito nel modo riportato.

La lettura redazionale suggerisce che l'urgenza difensiva non dipenda dalla verifica della claim specifica. Il pattern tecnico — PLC esposti su Internet, credenziali deboli o bypassabili, strumenti legittimi usati per modifiche non autorizzate — è riproducibile indipendentemente dalla conferma di ogni singolo incidente. La domanda pertinente per i difensori non è "quale centrale è stata colpita", ma "quali asset OT sono raggiungibili da Internet e con quale superficie di attacco".

FAQ

Il CVE-2021-22681 interessa solo PLC Rockwell?

Il record NVD identifica CVE-2021-22681 per prodotti Rockwell Automation. L'advisory CISA AA26-097A del luglio 2026 estende il targeting osservato anche a Schneider Electric e Siemens, ma non specifica CVE aggiuntivi per questi vendor nel contesto della campagna iraniana.

Perche la claim UK resta non verificabile?

Non risultano pubblicati: indicatori tecnici di compromissione, identità della presunta vittima, timeline dell'evento, o dichiarazioni ufficiali di NCSC, Ofgem o DESNZ. La fonte che ha riportato la claim la dichiara esplicitamente non confermata.

Gli attacchi documentati richiedono malware sofisticato?

No. La campagna confermata dagli Stati Uniti si basa su strumenti di ingegneria legittimi e protocolli nativi. L'FBI ha osservato l'uso di file progetto modificati, non di payload malware custom. Questo pattern riduce la visibilità delle difese basate su firme.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti