Attori affiliati all'Iran — advisory congiunto CISA e partner AA26-097A (agg. 22 luglio 2026)high
Acqua ed energia: l'allarme su attori iraniani e i PLC esposti in rete
Il 22 luglio 2026 CISA e le agenzie partner hanno aggiornato l'advisory AA26-097A su attori affiliati all'Iran che colpiscono i controllori logici programmabili (PLC) esposti direttamente su internet nelle infrastrutture critiche statunitensi. La novità rispetto alla campagna del 2023, sostanzialmente dimostrativa, è che questa attività ha causato interruzioni operative e perdite economiche confermate. L'update amplia il raggio dai PLC Rockwell Automation a Schneider Electric e Siemens, aggiunge guida per rilevare modifiche malevole nei moduli di codice riutilizzabili e una tecnica di esfiltrazione (T1041) basata sul software di configurazione del fornitore. I settori toccati: acqua, energia, enti pubblici. La misura che conta resta togliere quei dispositivi dalla rete pubblica.
Il bersaglio non è un software, è un mattone
Un controllore logico programmabile — un PLC — è la scatola che dice a una pompa quando girare, a una valvola quando aprirsi, a un impianto quando fermarsi. Non è un server pieno di dati: è il pezzo che tiene in piedi la parte fisica di un acquedotto o di una sottostazione. Il 22 luglio 2026 CISA e le agenzie partner hanno aggiornato l'advisory AA26-097A, pubblicato per la prima volta il 7 aprile, dedicato ad attori affiliati all'Iran che prendono di mira proprio questi dispositivi quando sono raggiungibili direttamente da internet.
La differenza con il passato è il punto della notizia. Una campagna simile del 2023 fu in larga parte dimostrativa: cambiare la schermata di un dispositivo, lasciare un messaggio, poco più. Le agenzie scrivono che questa attività, invece, ha prodotto interruzioni operative e perdite economiche confermate per alcune organizzazioni colpite. Non è più un graffito su un pannello: è un impianto che si ferma.
Cosa aggiunge l'update di luglio
L'advisory di aprile mappava tecniche e indicatori su un insieme ristretto di dispositivi. L'aggiornamento del 22 luglio allarga il quadro in tre direzioni. Amplia il raggio dei bersagli osservati: non più solo PLC Rockwell Automation, ma anche Schneider Electric, Siemens e potenzialmente altri marchi. Aggiunge una guida operativa per rilevare modifiche malevole nei moduli di codice riutilizzabili all'interno dei programmi PLC Rockwell — il punto dove un attaccante può nascondere una logica ostile che sopravvive ai controlli superficiali. E documenta una tecnica di esfiltrazione in più.
- 01PLC raggiungibile da internetil dispositivo è esposto senza filtri di rete
- 02Credenziali di defaultpassword mai cambiate dall'installatore
- 03Software di configurazione del fornitoreusato dall'attaccante per leggere e portare via i file di progetto
Su quest'ultimo punto le agenzie sono esplicite e citano un identificatore MITRE ATT&CK preciso: T1041 (Exfiltration Over C2 Channel), nella forma dell'uso del software di configurazione del fornitore, ospitato su infrastruttura in affitto, per sottrarre i file di progetto del PLC. Questo ID lo riportiamo perché è nell'advisory. Le altre due voci in testa a questo dossier — dispositivo accessibile da internet e credenziali di default, nel vocabolario ICS di ATT&CK — sono invece una mappatura ragionata da parte nostra dei comportamenti descritti, non ID copiati da un documento ufficiale: la distinzione conta, e la dichiariamo.
Perché i readings falsi sono la parte inquietante
Alcune testate che hanno ripreso l'advisory riferiscono che gli attaccanti, in casi che coinvolgono PLC Schneider e Siemens, avrebbero manipolato le letture mostrate agli operatori — di fatto "accecandoli" con valori falsi mentre l'impianto faceva altro. Trattiamo questo dettaglio con cautela: è coerente con quanto le agenzie descrivono, ma la sua ricostruzione più vivida arriva da fonti secondarie, non dal testo dell'advisory che abbiamo potuto leggere. Se è vero, è il tipo di manipolazione che rende un guasto difficile da diagnosticare in tempo: chi guarda il pannello vede numeri normali.
Chi è esposto, e cosa fare adesso
Il filo conduttore è lo stesso da anni, ed è quasi imbarazzante nella sua semplicità: questi dispositivi non dovrebbero mai essere raggiungibili direttamente da internet. Le raccomandazioni delle agenzie sono coerenti con questo. Togliere i PLC dall'esposizione pubblica, mettendoli dietro una rete amministrativa fidata. Isolare l'architettura dei modem cellulari, che spesso è la scorciatoia con cui un impianto remoto finisce online. Cambiare le password di default — la porta d'ingresso più banale e più sfruttata. Validare i file di progetto prima di riportare un dispositivo in modalità di esecuzione, per non reintrodurre logica malevola. E informare i fornitori di servizi della minaccia attiva, perché la catena spesso passa da loro.
Una nota di metodo, dovuta. L'attribuzione qui è quella delle agenzie: attori "affiliati all'Iran", non un gruppo con un nome e un volto. Il perimetro esatto delle vittime non è pubblico, e non lo inventiamo. Quello che è verificabile — e che basta per agire — è nell'advisory in testa alla pagina: i dispositivi colpiti, le tecniche, e la lista di indicatori aggiornata a luglio 2026 da confrontare con i propri log. Il resto, comprese le ricostruzioni più cinematografiche, va tenuto per quello che è finché una fonte primaria non lo conferma. La parte che non richiede conferme è la più noiosa e la più efficace: un PLC che regge un acquedotto non ha alcun motivo di rispondere a chiunque passi da internet.
