Cybersecurity

Hacker iraniani abbattono reti elettriche e idriche in occidente: quali conseguenze

Gli attacchi alle infrastrutture critiche tornano al centro dell’attenzione dopo le offensive attribuite a gruppi legati all’Iran contro reti elettriche e idriche Usa e Uk, in un contesto di sistemi industriali sempre più connessi e vulnerabili

Pubblicato il 25 ago 2026

Aggiungi tra i preferiti su Google

Luisa Franchina

Presidente Associazione Italiana esperti in Infrastrutture Critiche

Maria Beatrice Versaci

Junior Analyst Hermes Bay S.r.l.

Chiedi all'AI

Riassumi questo articolo

Approfondisci con altre fonti

Si è saputo solo in questi giorni, ma a luglio un cyberattacco iraniano ha messo fuori uso per quattro giorni una centralina elettrica inglese mentre, negli stessi giorni, la Repubblica Islamica colpiva con un’operazione simile anche gli Stati Uniti, concentrandosi però sulle infrastrutture idriche, e compromettendone i servizi in 12 stati^[1]. Nonostante l’impianto elettrico disabilitato fosse relativamente piccolo e le autorità britanniche parlano di nessuna ripercussione sui servizi, i tentativi di rimettere in funzione la centralina sono andati avanti per tutti i quattro giorni. Le autorità, per motivi di sicurezza, non hanno reso noto quale impianto sia stato colpito, né quale tecnica sia stata utilizzata per violarlo.

Ma più che la portata materiale del danno, è rilevante lo scopo che sembra aver motivato l’operazione. Date le dimensioni ridotte del target e l’impatto praticamente nullo, sembra infatti poco probabile che l’attacco fosse concepito per arrecare un danno reale alla popolazione civile, mentre appare più plausibile che l’obiettivo fosse dimostrare che soggetti collegati a Tehran sono in grado di penetrare nei sistemi britannici e di disattivarli.

Iran, lo spionaggio che verrà: lo scenario dopo la guerra

Indice degli argomenti

Gli attacchi alle infrastrutture critiche negli Stati Uniti

Diversa la situazione negli Stati Uniti, dove il target sono stati gli impianti di depurazione delle acque reflue e l’impatto dell’attacco è stato più ampio, tanto che le autorità in diversi degli stati interessati hanno dovuto diffondere un avviso ai cittadini che avvertiva di bollire l’acqua corrente prima di utilizzarla. L’identità degli autori dell’offensiva non è nota, ma la campagna presenta similitudini con il modus operandi del gruppo CyberAv3ngers, o Shahid Kaveh Group, legato ai Guardiani della Rivoluzione iraniani. Il gruppo è stato infatti oggetto di un’allerta congiunta diffusa dalle autorità statunitensi nell’aprile 2026^[2], che lo ha descritto come solito colpire i sistemi PLC (controllori logici programmabili).

Si tratta in questo caso di dispositivi che regolano fisicamente processi industriali come la variazione della pressione dell’acqua o il dosaggio dei prodotti chimici utilizzati per il trattamento. In particolare, quelli interessati dagli attacchi di CyberAv3ngers sono stati prodotti da diversi fornitori, sia americani che non, tra i quali Rockwell Automation, Schneider Electric e Siemens^[3]. Le intrusioni hanno comportato l’accesso ai file di progetto dei dispositivi, la modifica della logica di controllo e l’alterazione di quanto veniva mostrato dalle interfacce uomo-macchina e dai sistemi di supervisione, causando in alcuni casi interruzioni operative^[4].

I target preferiti sono stati i dispositivi lasciati esposti direttamente su internet, che risultavano privi di un’adeguata separazione dalle reti informatiche aziendali e protetti da credenziali deboli. Gli attacchi sono stati condotti facendo uso di software di progettazione legittimi e protocolli industriali standard.

PLC esposti e sistemi di controllo vulnerabili

Analogamente, nel 2023 lo stesso gruppo aveva compromesso controllori di un diverso produttore, questa volta israeliano, in altre strutture statunitensi. Anche questa volta l’attacco è stato condotto sfruttando la password di fabbrica, che non era mai stata sostituita^[5]. Le analogie tra questi episodi evidenziano come l’elemento ricorrente di queste campagne è proprio la scarsa protezione dei dispositivi industriali lasciati esposti alla rete. Questi ambienti sono stati storicamente progettati per funzionare isolati dalle reti informatiche più ampie, ma negli ultimi anni sono stati progressivamente collegati a internet per permetterne la gestione e il monitoraggio da remoto. Non hanno però ricevuto lo stesso livello di attenzione, in termini di misure di protezione, riservato ai sistemi informativi più visibili.

Infrastrutture critiche europee tra resilienza e connessioni

La situazione appena descritta si presenta analoga anche nei paesi europei. Muovendo proprio dalla considerazione che i sistemi energetici in Europa restano in parte affidati a impianti di generazione datati, non progettati per resistere ad attacchi informatici moderni, mentre la crescente diffusione di generazione distribuita aumenta la dipendenza da software e dispositivi connessi (a loro volta bersagli plausibili) nel 2023 Unione Europea e NATO hanno avviato una task force congiunta dedicata proprio al rafforzamento della resilienza delle infrastrutture critiche^[6]. Nel 2024 la ENISA ha aggiunto un’esercitazione paneuropea, la Cyber Europe, pensata proprio per testare la capacità di risposta del settore energetico a scenari di attacco su vasta scala^[7].

L’esposizione delle infrastrutture critiche italiane

In questo contesto si inserisce anche l’esposizione strutturale italiana, che condivide con il resto del continente e con il Regno Unito le stesse caratteristiche di fondo, ossia una rete diffusa di piccoli impianti energetici e idrici, spesso dotati di sistemi di controllo meno recenti, che sono stati progressivamente collegati a reti informatiche più ampie per esigenze di gestione remota.

Sicurezza delle infrastrutture critiche italiane e direttiva NIS2

Dall’ottobre 2024 l’Italia ha recepito la direttiva europea NIS2 attraverso il decreto legislativo 4 settembre 2024, n. 138, i cui obblighi di sicurezza informatica interessano direttamente le imprese dei settori energetico e idrico, in quanto soggetti essenziali, sotto la vigilanza dell’Agenzia per la Cybersicurezza Nazionale^[8]. L’adeguamento normativo colloca il paese all’interno di uno sforzo europeo più ampio, volto a innalzare gli standard minimi di protezione proprio per quella tipologia di infrastrutture diffuse e disomogenee appena descritta. Del resto, la letteratura scientifica dedicata all’individuazione di sistemi di controllo industriale esposti su internet mostra come questa condizione sia una caratteristica ricorrente ovunque le apparecchiature meno recenti vengono collegate alla rete senza un’adeguata segmentazione, indipendentemente dal paese.

Attacchi alle infrastrutture critiche: i dati italiani ed europei

I dati raccolti a livello nazionale negli ultimi due anni confermano una tendenza in crescita anche in Italia per quanto riguarda gli attacchi alle infrastrutture energetiche. Secondo la Relazione annuale al Parlamento dell’Agenzia per la Cybersicurezza Nazionale, nel 2024 il CSIRT Italia ha gestito 1.979 eventi cyber, pari a una media di 165 al mese, di cui 573 con impatto confermato su operatori pubblici e privati^[9]; mentre nel 2025 gli eventi gestiti sono saliti a 2.729, con un aumento del 38% rispetto all’anno precedente. Gli incidenti con impatto confermato sono cresciuti in misura più contenuta, del 7%, arrivando a 615^[10]. Il Rapporto Clusit 2026 conferma la stessa direzione a livello di sistema Paese, con 507 incidenti gravi censiti nel 2025 contro i 357 del 2024, un aumento del 42%, pari al 9,6% degli incidenti totali registrati nel mondo^[11].

A livello europeo, il comparto energetico mostra un andamento analogo. Secondo Clusit gli incidenti informatici contro il settore Energy & Utilities nel 2025 sono aumentati del 40% rispetto al 2023, con l’Europa che per la prima volta ha superato le Americhe come area più colpita^[12]. Per quanto riguarda la preparazione specifica degli ambienti industriali, un’indagine condotta tra la fine del 2024 e la fine del 2025 su imprese italiane della filiera industriale ha rilevato che solo il 20% dei gestori di impianti dispone di un piano di risposta agli incidenti dedicato agli ambienti di controllo industriale, e appena il 5% lo sottopone a verifiche periodiche^[13], un divario che aiuta a spiegare perché dispositivi lasciati esposti online con credenziali mai cambiate restino, ancora oggi, un punto di accesso praticabile.