In questo articolo Indice dei contenuti 3 sezioni
Negli Stati Uniti le agenzie federali hanno alzato il livello di guardia su una nuova ondata di attacchi informatici alle infrastrutture critiche, con gli hacker che si stanno appoggiando all’intelligenza artificiale per colpire più in fretta e con meno competenze tecniche di prima. Nel mirino ci sono i PLC Siemens S7, quei controllori programmabili che regolano i processi industriali dentro impianti idrici ed energetici, stabilimenti produttivi e perfino aziende agricole. L’allarme arriva da tre sigle pesanti: CISA, FBI e NSA.
Il punto più delicato riguarda gli acquedotti e gli impianti di trattamento delle acque reflue. Negli ultimi mesi sono state registrate intrusioni in diversi Stati americani, tra cui Minnesota, Michigan, Arkansas, Georgia e New Jersey. Non si tratta di semplici violazioni di dati. Un PLC comanda direttamente valvole, pompe, macchinari, tutto ciò che si muove fisicamente dentro un impianto. Comprometterlo significa poter interrompere un servizio, bloccare la produzione o mandare in avaria le apparecchiature.
Come l’AI cambia il lavoro degli attaccanti
La parte che preoccupa di più le autorità americane è il modo in cui l’AI viene impiegata. Gli hacker la usano per generare script di exploit partendo da informazioni già pubbliche, quelle che chiunque potrebbe trovare in rete con un po’ di pazienza, e per capire in tempi rapidissimi come funziona un determinato dispositivo prima di provare a violarlo. In pratica l’intelligenza artificiale fa da acceleratore: comprime in poche ore un lavoro che prima richiedeva giorni e una preparazione tecnica solida.
Il risultato è che non servono nemmeno vulnerabilità inedite. I sistemi più esposti sono quelli con software non aggiornato, configurazioni deboli oppure raggiungibili direttamente da Internet senza filtri. E molti impianti industriali, per come sono nati e per come vengono mantenuti nel tempo, rientrano esattamente in questa categoria. Sono già visibili online, spesso girano con versioni datate del firmware e nessuno li ha mai davvero messi in sicurezza perché fino a poco tempo fa il rischio sembrava teorico.
Le raccomandazioni di CISA e il contesto degli ultimi attacchi
Da tempo CISA ripete lo stesso concetto ai gestori delle infrastrutture: staccare dalla rete pubblica tutti i dispositivi che non hanno alcuna ragione per essere accessibili da Internet e installare gli aggiornamenti disponibili appena escono. Consigli che sulla carta sembrano banali, nella pratica meno, perché in molti casi la connessione remota serve alla manutenzione e toglierla significa riorganizzare le procedure interne di un impianto.
L’ultimo avviso non nasce dal nulla. Arriva dopo una serie di episodi che hanno colpito il settore idrico americano, alcuni dei quali sono stati ricondotti a sospetti hacker iraniani. Un filone che negli ultimi tempi ha attirato parecchia attenzione, perché tocca un servizio essenziale e perché dimostra quanto siano fragili sistemi progettati decenni fa, quando la sicurezza informatica non era una priorità.
Perché i sistemi industriali restano un bersaglio comodo
C’è una differenza sostanziale tra un server aziendale e un controllore industriale. Il primo si aggiorna, si riavvia, si sostituisce. Il secondo invece deve restare acceso, spesso ventiquattro ore su ventiquattro, e fermarlo per applicare una patch significa interrompere un processo produttivo o, nel caso di un acquedotto, l’erogazione dell’acqua. È per questo che tantissimi sistemi industriali continuano a funzionare con software vecchio di anni.
A questo si aggiunge la facilità con cui è possibile individuarli. Esistono strumenti che permettono di mappare i dispositivi connessi alla rete pubblica e i PLC lasciati esposti finiscono in quegli elenchi senza troppa fatica. A quel punto, con l’AI che semplifica la scrittura del codice necessario a sfruttare le falle note, la barriera d’ingresso per un attaccante si abbassa parecchio.
La sicurezza informatica applicata al mondo industriale, insomma, si ritrova a rincorrere. Le agenzie americane insistono sui controlli di base, dalla segmentazione delle reti alla verifica delle credenziali predefinite, misure elementari che però in molti impianti non sono mai state adottate.
