Il 19 agosto NSA, CISA, FBI, Dipartimento dell’Energia ed EPA hanno pubblicato l’advisory congiunta AA26-231A, dedicata a una minaccia attiva contro i controllori programmabili Siemens della serie S7. Il quadro è preciso. Attori non attribuiti individuano i dispositivi raggiungibili da internet con servizi di scansione come Censys e ZoomEye, poi li interrogano con script Python generati con l’assistenza di modelli di IA a partire da informazioni pubbliche.
Gli script poggiano su snap7 e python-snap7, librerie open source che parlano il protocollo S7comm sulla porta TCP 102, e si presentano come software di monitoraggio OT. Consentono di leggere e scrivere la memoria del PLC, la configurazione e la ladder logic. Le famiglie coinvolte coprono l’intero catalogo, dalle S7-200 alle S7-1500, compresi i controllori di sicurezza della serie F.
Il dettaglio più importante è ciò che l’advisory non contiene. Manca una vulnerabilità nuova da correggere: le agenzie parlano di debolezze note, configurazioni errate e credenziali deboli, e Siemens ha fatto sapere che le contromisure sono già nelle proprie linee guida. Mancano indicatori di compromissione e un conteggio delle vittime; l’attività è descritta come ricognizione persistente e sviluppo di capacità. Le difese raccomandate sono igiene elementare: inventario dei dispositivi, firmware aggiornato, porta 102 chiusa verso l’esterno, protezione con password dei controllori.
Proprio per questo il documento merita attenzione. Per vent’anni una parte consistente dell’OT è stata protetta dalla scarsità di competenze specialistiche più che dalla sicurezza. Che S7comm fosse fragile lo si sa almeno dai tempi di Stuxnet, e che molti controllori fossero raggiungibili da internet lo mostrano da anni i motori di scansione. A chi voleva approfittarne mancava il saper fare: conoscere il protocollo, costruire uno strumento affidabile, capire cosa toccare in un processo fisico senza farsi scoprire al primo tentativo. Era un sapere concentrato nei tecnici dei costruttori, in pochi integratori e in qualche gruppo statale. I modelli generativi erodono esattamente questo fossato, perché trasformano documentazione pubblica e librerie esistenti in codice funzionante. Le agenzie lo dicono in modo esplicito: tempo e competenze necessari per sviluppare strumenti d’attacco ai sistemi industriali si riducono drasticamente.
Indice degli argomenti
Una curva, non un episodio
AA26-231A è l’ultimo punto di una traiettoria riconoscibile. Nell’ottobre 2024 OpenAI aveva segnalato che CyberAv3ngers, il gruppo legato ai Pasdaran che l’anno prima aveva colpito i PLC Unitronics negli impianti idrici statunitensi, usava ChatGPT per ricognizione e debugging: l’IA faceva da assistente. Nel novembre 2025 Anthropic ha documentato la campagna di spionaggio GTG-1002, attribuita a un attore statale cinese, in cui un agente di programmazione aveva eseguito in autonomia tra l’80 e il 90% delle operazioni tattiche contro una trentina di organizzazioni: l’IA conduceva, ma in ambienti IT. Con AA26-231A il passaggio arriva all’OT, e le agenzie riconducono l’attività alla tecnica del framework MITRE ATT&CK che descrive l’acquisizione di capacità offensive tramite intelligenza artificiale.
Sullo sfondo c’è un’altra advisory, la AA26-097A di aprile, aggiornata a luglio. Attori affiliati all’Iran hanno manipolato PLC esposti di Rockwell, Schneider Electric e Siemens in impianti idrici, energetici e governativi, senza zero-day, usando lo stesso software di ingegneria degli operatori legittimi.
Conviene non caricare il dato oltre il suo peso. L’advisory non attribuisce, non quantifica e non descrive danni fisici, e diversi analisti hanno osservato che il fattore di rischio dominante resta l’esposizione, comunque sia stato scritto lo script. L’obiezione è fondata e rafforza la tesi: l’IA ha lasciato intatta la superficie d’attacco e ha abbassato il costo di usarla. Quando lo strumento si genera su richiesta, aggiungere un impianto alla lista dei bersagli costa quasi nulla, e la scelta dell’attaccante dipende sempre meno dal valore del bersaglio e sempre più dalla sua visibilità. Un piccolo acquedotto con tre operatori diventa trovabile quanto una raffineria.
Il soffitto e il pavimento
Questa lettura illumina una contraddizione nella risposta politica. A giugno il Dipartimento del Commercio statunitense ha sottoposto per la prima volta a controllo delle esportazioni un modello di IA, anziché i chip su cui viene addestrato. I modelli erano Mythos 5 e Fable 5 di Anthropic, e la misura seguiva segnalazioni su un possibile aggiramento delle protezioni che ne limitavano le capacità cyber offensive. L’accesso è rimasto sospeso in tutto il mondo per quasi tre settimane, fino alla revoca delle restrizioni il 30 giugno. Il bersaglio era il soffitto delle capacità: modelli in grado, secondo le segnalazioni, di individuare vulnerabilità sconosciute e scrivere exploit funzionanti.
AA26-231A racconta il pavimento. Per scrivere un client S7comm che si spaccia per software di monitoraggio basta un assistente di programmazione generalista, una libreria open source disponibile da oltre dieci anni e un motore di scansione commerciale. Nessun regime di licenza arriva a questo livello, tanto meno ora che i modelli open-weight, scaricabili ed eseguibili in locale, hanno prestazioni vicine a quelle dei migliori. Il rischio cyber dell’IA viene governato dove è più spettacolare, mentre nell’OT si materializza dove è più banale. Il controllo dei modelli più capaci risponde a un pericolo diverso e ha le sue ragioni; il problema nasce quando lo si considera sufficiente a proteggere gli impianti.
Il secondo tempo: l’esposizione la crea la filiera
C’è una frase dell’advisory che merita più spazio di quello che ha avuto. Le agenzie scrivono che le misure raccomandate sono particolarmente importanti per chi lavora con fornitori di servizi o integratori che hanno accesso remoto ai PLC, perché il proprietario potrebbe non sapere di essere esposto. Qui la questione smette di essere tecnica: la porta su cui lavorano quegli script, spesso, non l’ha aperta chi gestisce l’impianto.
Il caso più istruttivo viene dall’Europa. L’8 agosto CERT Polska ha pubblicato il rapporto integrativo sugli attacchi del 29 dicembre 2025 al settore energetico polacco, rivelando un secondo impianto colpito: una centrale di cogenerazione che serve circa 50.000 abitanti. Controllori Siemens S7-300, S7-1200 e S7-1500 sono stati messi in STOP e bloccati con una password che ne impediva la modifica; turbina a vapore e trattamento delle acque di processo si sono fermati. La reazione degli operatori ha contenuto il fermo, senza conseguenze sulle forniture.
Il percorso d’ingresso è la parte che interessa. L’attaccante è partito da un parco eolico, dove aveva compromesso il firewall perimetrale, e vi ha trovato un router cellulare installato per il telecontrollo. Da lì è entrato nella APN privata, la rete cellulare dedicata con cui il distributore di energia dialoga con gli impianti connessi. La APN non isolava i dispositivi tra loro. Tra quelli raggiungibili c’era un PLC WAGO con modem integrato, installato nella centrale per scambiare dati con il distributore, con l’interfaccia web accessibile dalla rete cellulare e le credenziali di amministrazione di fabbrica. È bastato per arrivare alla rete OT. Al parco eolico il distributore aveva prescritto il protocollo con cui i suoi sistemi dovevano parlare con l’impianto, ma nessun requisito sull’interfaccia di amministrazione del router. Secondo CERT Polska è il primo caso osservato di una APN privata usata come vettore verso una rete OT, e la configurazione senza isolamento era comune in Polonia e con ogni probabilità diffusa anche in altri Paesi.
Le organizzazioni coinvolte sono tre, e nessuna delle due vittime gestiva la rete che le collegava. Il dispositivo che ha fatto da ponte era lì per rispondere a un’esigenza del distributore. C’è poi un dettaglio che racconta bene il problema: poiché nella centrale erano in corso lavori di manutenzione, il gestore aveva attribuito il fermo a un errore dei tecnici dell’appaltatore e lo aveva segnalato solo a titolo informativo. Il primo segnale di un sabotaggio è stato archiviato come errore del manutentore. Nel caso polacco non risulta alcun uso di IA: l’attaccante ha lavorato per giorni, a mano. Mostra però dove si forma l’esposizione che gli script di AA26-231A vanno cercando: nella somma di decisioni prese da soggetti diversi dal proprietario.
Dove cadono le regole
Negli ultimi anni l’Europa ha costruito un’architettura di regole pensata proprio per questi rischi. Vista dal caso polacco e da AA26-231A, però, ha i punti di presa spostati.
Dall’11 settembre sono in vigore gli obblighi di segnalazione del Cyber Resilience Act: i fabbricanti devono notificare entro 24 ore le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti, attraverso la piattaforma unica gestita da ENISA. Né AA26-231A né il caso polacco contengono una vulnerabilità di questo tipo; contengono credenziali di fabbrica, interfacce esposte, reti configurate in modo permissivo. I requisiti di progettazione del CRA, compresa la configurazione sicura di default, si applicheranno dall’11 dicembre 2027 ai prodotti immessi sul mercato da allora, e un S7-300 installato quindici anni fa ne resta fuori. La configurazione di una APN privata, infine, è un servizio di connettività e sfugge alla disciplina dei prodotti con elementi digitali.
Sul versante di chi gestisce gli impianti c’è la NIS2, recepita con il D.Lgs. 138/2024. L’articolo 24 include tra le misure obbligatorie la sicurezza della catena di approvvigionamento, riferita ai rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi. Le misure di base fissate dall’ACN con la determinazione 379907/2025 vanno adottate, per i soggetti entrati nell’elenco nel 2025, entro il 31 ottobre. Nel caso polacco, però, il distributore non era un fornitore della centrale: era la controparte che ne regolava la connessione alla rete. Il loro rapporto nasce da un obbligo regolatorio, e un presidio della filiera costruito attorno al contratto rischia di non vederlo. L’esposizione nasce in uno spazio che nessuna delle due discipline presidia: tra il prodotto e il fornitore, nella connessione imposta da un terzo.
La questione riguarda da vicino l’Italia. Con la delibera 385/2025, modificata dalla 564/2025, ARERA ha esteso l’obbligo del Controllore Centrale di Impianto previsto dalla norma CEI 0-16 a tutti gli impianti eolici e fotovoltaici da 100 kW in su connessi in media tensione, nuovi ed esistenti, con la funzione che consente al distributore di limitarne la potenza con un comando remoto. Per gli impianti esistenti le scadenze vanno dalla fine del 2026 al marzo 2028. Per obbligo regolatorio, dunque, un intero segmento della generazione distribuita sta installando un punto di comunicazione con il distributore, e diversi modelli in commercio integrano un modem cellulare. La CEI 0-16 prevede requisiti di sicurezza per il canale verso il distributore, e questo mette l’Italia in una posizione migliore di quella polacca. La lezione di CERT Polska, tuttavia, riguarda ciò che circonda il protocollo: l’interfaccia di amministrazione del dispositivo, le sue credenziali, la rete condivisa che nessuno sorvegliava. Chi inventaria quei dispositivi, e chi ne risponde, è una domanda da porsi finché le installazioni sono in corso.
Dal fossato delle competenze al fossato della visibilità
Se la scarsità di competenze non protegge più, la difesa deve spostarsi sulla visibilità: sapere che cosa è connesso, attraverso quale rete, per volontà di chi. È un’informazione oggi distribuita tra proprietari, manutentori, integratori, distributori e operatori mobili, senza che nessuno la possieda per intero. Le raccomandazioni di CERT Polska valgono oltre il caso: trattare una rete gestita da terzi come si tratterebbe internet, attivare l’isolamento tra i dispositivi, non esporre interfacce di amministrazione, includere questi collegamenti nei test e nelle revisioni di architettura. Sono misure tecniche semplici. La parte difficile è istituzionale.
Gli obblighi di inventario e di presidio della filiera dovrebbero seguire la connessione oltre che la proprietà. I requisiti che un distributore impone per collegare un impianto alla rete possono diventare il luogo in cui fissare anche i requisiti minimi del dispositivo che realizza quella connessione, e ARERA e ACN hanno titolo per coordinarsi su questo. Per vent’anni l’OT ha potuto contare sul fatto che attaccarlo fosse difficile. L’IA non ha bucato i PLC: ha reso evidente che molte delle porte d’ingresso appartengono a qualcun altro.
Partecipa alla community