(in)sicurezza digitale

2026-08-25 17:45:56

Niente esplosioni, solo IP cambiati: gli hacker iraniani di CyberAv3ngers dietro il blackout di una centrale elettrica britannica

Si parla di:
Toggle

Nessuna esplosione, nessun blackout diffuso: solo un pugno di controllori industriali esposti su internet, indirizzi IP cambiati e password sostituite. È bastato questo, secondo quanto ricostruito da The Telegraph e confermato in forma parziale dalle autorità britanniche, per mettere fuori uso per quattro giorni un piccolo impianto di generazione elettrica nel Regno Unito lo scorso luglio. Il sospetto principale, secondo fonti dell’intelligence britannica citate dal Financial Times, è il gruppo CyberAv3ngers, legato al Corpo delle Guardie della Rivoluzione Islamica iraniana (IRGC). Un episodio che, pur di dimensioni contenute, segna un salto qualitativo nella campagna iraniana contro le infrastrutture critiche occidentali.

Un generatore da 15 MW, non la rete nazionale

L’impianto colpito è un generatore a gas di picco da circa 15 megawatt, il tipo di infrastruttura che entra in funzione per fornire potenza supplementare nei momenti di massima domanda, non un nodo critico della rete elettrica nazionale. Le autorità britanniche hanno confermato l’incidente precisando che “ha colpito un generatore di piccole dimensioni e non ha mai comportato rischi per il sistema energetico più ampio”. Proprio questa apparente marginalità è ciò che più preoccupa gli analisti: non è la scala del singolo impianto a contare, ma la ripetibilità della tecnica. Come ha osservato un analista di Check Point Software commentando il caso, “i dispositivi devono essere molto diversi e distribuiti, e accedere a un sistema critico… può essere piuttosto facile” — un problema strutturale, non un incidente isolato.

Come è avvenuta l’intrusione

Secondo la ricostruzione circolata sulla stampa britannica, gli attaccanti hanno individuato controllori Rockwell Automation Allen-Bradley MicroLogix 1100 e 1400 esposti direttamente su internet, senza le protezioni di rete che dovrebbero normalmente isolare questi dispositivi OT dal mondo esterno. Da lì, l’attacco è stato quasi disarmante nella sua semplicità operativa: modifica degli indirizzi IP e delle password dei dispositivi, in modo da impedire al personale dell’impianto di riprendere il controllo dell’equipaggiamento, e in alcuni casi alterazione dei file di progettazione e della logica ladder che governa il funzionamento del PLC. Nessun malware sofisticato, nessun exploit zero-day: solo credenziali deboli o assenti su hardware industriale raggiungibile dalla rete pubblica, esattamente lo schema che CyberAv3ngers ha già sfruttato altrove.

L’attacco risale a luglio 2026 ma è stato reso pubblico solo il 22 agosto, con un vuoto di comunicazione ufficiale che gli osservatori hanno definito insolito: “non c’è stata praticamente nessuna informazione proveniente dalle fonti ufficiali attese, come l’NCSC”, il centro nazionale britannico per la cybersecurity. Il nome dell’operatore e la localizzazione esatta dell’impianto non sono stati resi noti, presumibilmente per ragioni di sicurezza operativa.

CyberAv3ngers: una storia di PLC violati

Se l’attribuzione a CyberAv3ngers verrà confermata, l’episodio britannico si inserirebbe in un pattern operativo ormai consolidato. Il gruppo, riconducibile all’IRGC, è emerso pubblicamente alla fine del 2023 con una campagna contro controllori Unitronics Vision esposti su internet e utilizzati da utility idriche statunitensi, colpendo tra gli altri l’Aliquippa Municipal Water Authority in Pennsylvania. CISA e FBI risposero con l’advisory AA23-335A, che documentava lo sfruttamento di credenziali di default sui PLC Unitronics come vettore principale. Da allora il gruppo non si è fermato: a luglio 2026 fonti hanno segnalato sospetti coinvolgimenti in intrusioni contro sistemi idrici in Minnesota, a conferma di una strategia costante — colpire l’anello più debole dell’automazione industriale occidentale, ovunque sia raggiungibile senza autenticazione robusta.

Il contesto geopolitico rende la traiettoria coerente: dallo scoppio del conflitto tra Iran, Stati Uniti e Israele, i gruppi cyber affiliati a Teheran hanno intensificato le operazioni contro bersagli negli USA, in Israele, nei Paesi del Golfo e in Europa. Il salto dal colpire utility idriche di piccole municipalità americane a un impianto di generazione elettrica nel Regno Unito rappresenta un’estensione geografica della stessa dottrina operativa: infrastrutture energetiche e idriche di dimensioni contenute, spesso gestite da enti locali con budget di sicurezza limitati, come terreno di dimostrazione della capacità di Teheran di colpire l’Occidente anche fuori dai confini mediorientali.

Attribuzione: cosa sappiamo e cosa no

È importante essere precisi sul livello di certezza disponibile pubblicamente. Al momento non esiste una prova tecnica pubblica che colleghi in modo definitivo CyberAv3ngers all’incidente britannico: l’attribuzione riportata da Telegraph e Financial Times si basa su fonti di intelligence, non su indicatori di compromissione pubblicati o su una dichiarazione ufficiale del gruppo. Va inoltre notato che CyberAv3ngers ha in passato rivendicato pubblicamente le proprie operazioni con post sui propri canali — un comportamento che, se assente in questo caso, potrebbe suggerire un cambio di postura verso operazioni più silenziose, oppure semplicemente riflettere la scelta del Regno Unito di non confermare i dettagli per non offrire un palcoscenico agli attaccanti.

Due righe per i difensori OT/ICS

Il caso britannico ribadisce una lezione che il settore OT fatica a metabolizzare da anni: l’esposizione diretta di PLC e controllori industriali su internet resta uno dei rischi più facilmente evitabili e più frequentemente ignorati. Per i team che gestiscono ambienti di automazione industriale, la priorità immediata è la verifica di quali asset OT siano raggiungibili dalla rete pubblica, seguita dalla segmentazione di rete tra IT e OT e dall’eliminazione di credenziali di default sui dispositivi Rockwell, Unitronics, Siemens e affini — un problema che CISA e FBI hanno segnalato ripetutamente anche per dispositivi Siemens S7 in contesti di attacchi assistiti dall’IA.

• Mappare tutti i dispositivi ICS/SCADA raggiungibili da internet (Shodan/Censys possono essere un primo strumento di verifica)
• Eliminare credenziali di default su PLC Rockwell Allen-Bradley MicroLogix, Unitronics Vision e dispositivi equivalenti
• Segmentare rigorosamente le reti OT dalle reti IT e dall’accesso remoto diretto
• Implementare backup verificati e testati dei file di progettazione e della logica ladder dei PLC
• Abilitare autenticazione forte e logging per ogni accesso remoto a sistemi di controllo industriale

Non servono zero-day né infrastrutture offensive sofisticate per mettere fuori servizio un impianto energetico per quattro giorni: bastano un controllore esposto e una password mai cambiata. È questa la vera notizia dietro l’incidente britannico, e il motivo per cui merita attenzione ben oltre i 15 megawatt del generatore colpito.