Sintesi: oltre 30 reti idriche del Minnesota sono state colpite da un attacco informatico coordinato il 26 e 27 luglio. Alcuni giorni dopo, il Michigan ha confermato violazioni simili in nove delle proprie reti idriche. Questo schema evidenzia come un singolo difetto di progettazione nella sicurezza informatica delle tecnologie operative (OT) sia diventato un punto di vulnerabilità a livello nazionale.
Il 30 luglio 2026, l’FBI e l’EPA hanno diffuso un annuncio di pubblica utilità congiunto (PSA; Avviso I-073026-PSA) fornendo ulteriori dettagli sull’attacco avvenuto in Minnesota. Secondo l’avviso, gli autori dell’attacco hanno ottenuto l’accesso remoto ai PLC collegati a Internet e ne hanno modificato gli indirizzi IP e le password, interrompendo le funzionalità di monitoraggio e controllo degli operatori. Almeno un’organizzazione ha inoltre riscontrato file di progetto dei PLC modificati dopo aver notato discrepanze nella logica ladder in diversi siti, e l’FBI ha osservato che le somiglianze nelle configurazioni di rete fornite da terze parti potrebbero aver consentito agli autori dell’attacco di ripetere la stessa tecnica su più clienti.
Il 1° agosto è stato reso noto un altro attacco. Questa volta, il Dipartimento dell’Ambiente, dei Grandi Laghi e dell’Energia del Michigan ha confermato attacchi informatici a nove dei propri sistemi idrici, pochi giorni dopo che il Minnesota aveva segnalato violazioni simili in tutto lo Stato.
I funzionari federali hanno indicato l'Iran come principale sospettato; tuttavia, l'attribuzione è ancora in fase preliminare e l'FBI sta ancora indagando sugli incidenti verificatisi in entrambi gli Stati.
In tutte le comunità colpite, il personale dei lavori pubblici è passato alla gestione manuale, consentendo ai servizi idrici e fognari di proseguire senza interruzioni nonostante il sistema di controllo automatizzato fosse compromesso. Si tratta di un successo operativo, e il merito va agli operatori del Minnesota. Il ripiego manuale ha funzionato questa volta, ma potrebbe non funzionare la prossima.
Le infrastrutture critiche non possono sempre fare affidamento sulla vigilanza degli operatori degli impianti per compensare la mancanza di un’architettura sicura.
Un fenomeno evitabile, che si ripete da anni
Sebbene sarebbe in qualche modo conveniente considerare l’attacco come un episodio isolato legato all’Iran, un caso isolato strettamente connesso alle tensioni già esistenti con l’Iran, l’attacco alle infrastrutture critiche statunitensi rientra in un modello ricorrente.
Secondo un avviso congiunto dell’EPA, la CISA, l’FBI, l’Agenzia per la Sicurezza Nazionale (NSA), l’EPA e altre entità federali hanno emesso numerose segnalazioni relative ad attacchi informatici contro le reti informatiche e i sistemi di controllo dei processi presso gli impianti idrici e fognari da parte di attori informatici sponsorizzati dallo Stato. Per citarne solo alcuni:
- Attori informatici iraniani affiliati al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC)
- Hacktivisti filo-russi
- Attori informatici sostenuti dallo Stato provenienti dalla Repubblica Popolare Cinese noti come Volt Typhoon, Vanguard Panda e con altri nomi.
Gli episodi avvenuti in Minnesota e nel Michigan sono solo gli ultimi dati emersi in un quadro di minacce che le agenzie federali descrivono, per iscritto, almeno dalla fine del 2023.
L'accesso all'acqua potabile è un diritto umano fondamentale; un impianto che non è in grado di verificare il proprio dosaggio chimico o i propri controlli di pressione rappresenta una crisi sanitaria nazionale in agguato.
Come ha affermato l’amministratore dell’EPA Lee Zeldin, la responsabilità ricade su a chi gestisce gli impianti. Le raccomandazioni sono di dominio pubblico da anni e gli operatori non dovrebbero attendere un provvedimento federale per mettere a norma i propri impianti.
Molti PLC, comprese le unità MicroLogix al centro di questo incidente, sono dispositivi hardware di vecchia generazione che potrebbero non ricevere più aggiornamenti di sicurezza, progettati per l’ambiente di produzione e non per Internet. Se questi sistemi di controllo vengono esposti, anche una piccola intrusione può causare gravi interruzioni operative per le comunità, sia grandi che piccole.
Come si manifesta questo schema nell’attacco in Minnesota
Un tipico attacco OT inizia spesso con un’e-mail di phishing che compromette un utente IT o un endpoint. L’autore dell’attacco ottiene quindi privilegi più elevati tramite Active Directory, passa dalla rete IT all’ambiente OT, compromette una workstation di ingegneria e, infine, ottiene l’accesso ai PLC per manipolare o interrompere i processi industriali.
Nell'attacco avvenuto in Minnesota (almeno) gli autori hanno saltato quasi tutte le fasi. A quanto pare, non hanno avuto bisogno di compromettere prima la rete IT aziendale; si sono semplicemente limitati a individuare e sfruttare i PLC esposti direttamente a Internet.
Sulla base delle informazioni disponibili, è possibile che gli autori dell’attacco abbiano ottenuto l’accesso amministrativo ai PLC sfruttando credenziali predefinite, password deboli o l’assenza di politiche di autenticazione a più fattori (MFA). Ciò ha permesso loro di aggirare il tradizionale percorso di attacco dall’IT all’OT, riducendo in modo significativo il numero di passaggi necessari per compromettere i controllori.
La catena di attacco dimostra perché i dispositivi di livello 0-1 non dovrebbero mai essere accessibili da Internet.
I controlli di rete non sono sufficienti per la tecnologia operativa
La catena di attacco dimostra perché i dispositivi di livello 0-1 non dovrebbero mai essere accessibili da Internet.
Per quanto riguarda le migliori pratiche in materia di sicurezza informatica OT, l’FBI, l’EPA e la CISA raccomandano giustamente di eliminare l’esposizione a Internet, implementare firewall, VPN, segmentazione di rete e politiche di autenticazione rigorose. Questi rimangono controlli fondamentali e dovrebbero essere implementati ovunque sia richiesto l’accesso remoto. Tuttavia, per i sistemi di controllo industriale ad alto impatto, le organizzazioni dovrebbero chiedersi se l’accesso remoto in entrata sia effettivamente necessario.
Le VPN e i firewall sono programmi software, il che significa che presentano delle vulnerabilità. Sono configurati da persone, il che significa che possono essere configurati in modo errato. Gli stessi autori che a luglio hanno setacciato Internet alla ricerca di PLC esposti possono facilmente puntare gli stessi scanner verso endpoint VPN e firewall vulnerabili o configurati in modo errato. È lo stesso problema, ma con una query di ricerca diversa.
Nessun controller responsabile della gestione dell’acqua, dell’energia elettrica, dei trasporti o di altri servizi essenziali dovrebbe essere direttamente raggiungibile dalla rete Internet pubblica. C’è una differenza tra “sicuro” e “isolato”, ma è proprio qui che i sistemi di sicurezza informatica di alcune aziende di servizi pubblici falliscono.
Le VPN autenticano e crittografano l'accesso remoto, mentre i firewall regolano il traffico consentito. Entrambe presuppongono che rimanga disponibile un certo livello di connettività in entrata. Un gateway unidirezionale, o "diodo di dati", risponde a un obiettivo di sicurezza diverso: eliminare completamente la connettività di rete in entrata per i sistemi che non richiedono il controllo remoto.
In che modo i flussi unidirezionali eliminano un’intera categoria di rischi
In linea generale, le comunicazioni industriali si dividono in due categorie:
1. Gestire il traffico, ovvero l'invio di comandi ai processi.
2. Monitoraggio del traffico, che esporta i dati operativi verso sistemi di archiviazione storica, SOC, applicazioni aziendali, strumenti di analisi cloud o portali di gestione.
Molti sistemi critici finiscono per utilizzare solo la seconda categoria. In questi contesti, consentire la connettività in entrata non fa altro che aumentare la superficie di attacco senza apportare alcun valore operativo.
Se i dati operativi devono effettivamente uscire dal sistema, non dovrebbero percorrere un percorso che consenta a qualsiasi cosa di rientrare. Dovrebbero invece attraversare un confine fisicamente unidirezionale, garantito dall'hardware.
Grazie a un flusso unidirezionale obbligatorio, gli operatori mantengono la piena visibilità su ciò che accade in aula di produzione. Gli aggressori, invece, non hanno alcuna possibilità di tornare indietro attraverso quella connessione.
Questo è il principio alla base di OPSWAT’s MetaDefender™ NetWalldi MetaDefender : diodi di dati di nuova generazione che garantiscono una sicurezza unidirezionale. NetWall implementa una comunicazione unidirezionale imposta a livello hardware, trasferendo dati operativi quali informazioni storiche, allarmi, registri o dati telemetrici dai sistemi OT critici a quelli aziendali, impedendo al contempo che sessioni di rete, traffico di gestione o comandi di controllo tornino indietro verso i controllori protetti.
Non è necessario proteggere il percorso di ritorno, poiché esso non esiste affatto. Ciò elimina quella categoria di vulnerabilità che un firewall non è in grado di bloccare completamente: una regola configurata in modo errato, una porta aperta o un’eccezione alle politiche. Anche l’errore umano come fattore di rischio viene completamente eliminato, poiché i diodi non richiedono le complesse regole di configurazione bidirezionali utilizzate dai firewall. MetaDefender NetWall è progettato per soddisfare i rigidi requisiti di sicurezza negli ambienti industriali, nonché le raccomandazioni dell’EPA per la resilienza del settore idrico.
10.000 host sono ancora esposti; come colmiamo questa lacuna?
Al momento, oltre 4.100 host Rockwell Automation/Allen-Bradley esposti a Internet, oltre 4.100 host Siemens e più di 2.000 host Schneider Electric sono raggiungibili da Internet. Secondo la CISA, i modem cellulari aggiunti da operatori, fornitori o integratori di sistemi rappresentano spesso un punto cieco, poiché non sono documentati e vengono quindi tralasciati dalle scansioni di routine della superficie di attacco.
In altre parole, oltre 10.000 dispositivi sono esposti esattamente alla stessa categoria di attacchi che ha appena colpito i servizi idrici del Michigan e del Minnesota. Si tratta di controller che, se compromessi, possono allagare un impianto o lasciare l’acqua non trattata. La CISA utilizza VPN e firewall come raccomandazioni di base per la protezione delle infrastrutture critiche degli Stati Uniti. Sebbene abbiano un reale valore, stiamo comunque parlando di strumenti basati su Internet. I consigli attuali per proteggere una valvola di pressione, un sistema di dosaggio di sostanze chimiche e l’acqua del rubinetto di una famiglia non possono rientrare nella stessa categoria di strumenti creati per proteggere una pagina di accesso.
Il Minnesota e il Michigan ci ricordano che la sicurezza di tipo Internet non è mai stata concepita per fungere da ultima linea di difesa per i sistemi fisici fondamentali per la sicurezza pubblica. Le infrastrutture di sicurezza pubblica necessitano di una soluzione fisica: un confine che gli aggressori non possano riconfigurare, sfruttare o scansionare per superarlo, poiché non esiste un percorso di ritorno che uno scanner possa individuare.
Il primo episodio della nuova serie di documentari di OPSWAT, condotta da Kari Byron di MythBusters, lo afferma chiaramente: una difesa a più livelli, che includa un flusso di dati unidirezionale garantito a livello hardware, non è un semplice optional per le infrastrutture critiche. Anzi, può fare la differenza tra una semplice segnalazione di incidente e un’emergenza sanitaria pubblica.
"Breaking the Firewall" accompagna gli spettatori dalle sale delle conferenze sulla sicurezza a dimostrazioni pratiche che illustrano esattamente come i firewall falliscono e cosa deve sostituirli. Guarda il primo episodio e scopri cosa serve per proteggere le infrastrutture critiche degli Stati Uniti.
