L’anti allagamento di Venezia sotto cyber attacco: che ci insegna sulle nostre vulnerabilità Paese

C’è un giallo cyber in corso in merito all’attacco rivendicato in questi giorni contro il sistema anti-allagamento di Piazza San Marco a Venezia — con la diffusione di screenshot dei pannelli di controllo e la minaccia, da parte del gruppo Infrastructure Destruction Squad, di essere ancora dentro la rete.

Non ci sono prove definitive dell’attacco – i responsabili dicono che è tutto sotto controllo. Ma il tema è e resta critico perché adesso con questo tipo di attacchi in ballo c’è la sicurezza fisica di persone, città, comunità.

Attacco al sistema anti allegamento di Venezia

Il sistema colpito, secondo le ricostruzioni emerse tra l’11 e il 13 aprile 2026, è quello che contribuisce a proteggere Piazza San Marco e l’area della Basilica dalle maree, un’infrastruttura realizzata nell’ambito degli interventi di salvaguardia di Venezia e basata su pompe, valvole pneumatiche e sensori. I controlli citati dalla stampa indicano che i sistemi della Basilica risultano separati e non compromessi; proprio per questo, però, il caso è ancora più istruttivo: mostra che anche un’infrastruttura locale, meno estesa del MOSE ma strettamente connessa alla protezione fisica della città, può essere usata come leva dimostrativa, simbolica e politica.

Di base bisogna capire che Venezia dipende ormai da un ecosistema tecnico in cui difesa idraulica e difesa digitale sono inseparabili. E se il caso San Marco segnala la possibile vulnerabilità di un apparato OT urbano, il MOSE rappresenta la scala superiore dello stesso problema: un’infrastruttura critica nazionale, composta da sistemi di controllo, reti di comunicazione, procedure operative e personale specializzato, il cui malfunzionamento avrebbe effetti materiali immediati sulla laguna, sulla città e sull’economia.

Lo si è visto nelle guerre attuali, in Ucraina e anche in Iran.

Le infrastrutture critiche — ovvero l’insieme di sistemi, reti e asset il cui malfunzionamento o la cui distruzione avrebbe un impatto debilitante sulla salute, la sicurezza e il benessere economico dello Stato — sono oggi, il target per la guerra ibrida e asimmetrica.

La complessità della situazione è confermata dai dati del Rapporto Clusit 2025, che documenta una crescita esponenziale degli attacchi gravi contro le istituzioni e le infrastrutture strategiche, con un incremento della criticità degli impatti che oggi colpisce oltre l’80% degli eventi censiti.

Il sistema MOSE difeso da attacchi cyber

Il caso del sistema MOSE (Modulo Sperimentale Elettromeccanico) di Venezia emerge come l’emblema di questa nuova vulnerabilità: un’opera d’ingegneria civile di valore inestimabile la cui sopravvivenza, e con essa quella della città lagunare, dipende strettamente dalla resilienza dei suoi sistemi di controllo digitale.   

Non è solo una barriera fisica contro le maree eccezionali; è un ecosistema digitale complesso che coordina 78 paratoie mobili collocate alle bocche di porto di Lido, Malamocco e Chioggia. Il funzionamento del sistema si basa sulla capacità di monitorare in tempo reale i livelli idrometrici e di attivare le procedure di sollevamento attraverso sistemi SCADA (Supervisory Control and Data Acquisition) e PLC (Programmable Logic Controller). La vulnerabilità di tale architettura non risiede solo nell’hardware, ma nella logica di comando che governa l’equilibrio tra la laguna e il mare aperto.   

Un aspetto centrale dell’intesa riguarda la gestione del fattore umano. Le statistiche dimostrano che la maggior parte delle violazioni delle infrastrutture critiche inizia con una tecnica di ingegneria sociale o phishing mirata ai dipendenti o agli appaltatori. Il Consorzio Venezia Nuova ha dunque adottato una policy di cybersecurity rigorosa che impegna non solo il personale interno, ma anche le terze parti e i fornitori di servizi a contribuire proattivamente alla sicurezza dei sistemi informativi. Questo approccio è coerente con la necessità di proteggere una “mappa operativa” dell’infrastruttura che, se finisse nelle mani sbagliate, potrebbe facilitare intrusioni fisiche o sabotaggi mirati.   

La sicurezza OT

Per comprendere appieno la pericolosità degli attacchi hacker alle infrastrutture critiche, è necessario analizzare le differenze strutturali tra la cybersecurity Information Technology (IT) e quella Operational Technology (OT). La sicurezza IT è storicamente focalizzata sulla protezione dei dati e sulla riservatezza. Al contrario, la sicurezza OT ha come priorità assoluta la disponibilità dei sistemi e la sicurezza fisica dei processi industriali.

In un contesto come quello del controllo delle maree, l’integrità dei dati non è solo una questione di privacy, ma di sicurezza pubblica. Se un hacker manipolasse i dati dei sensori idrometrici facendo credere al sistema che la marea sia bassa quando invece sta salendo rapidamente, le paratoie del MOSE potrebbero non essere sollevate in tempo, portando all’allagamento di Venezia. Questo scenario evidenzia come un attacco OT possa avere conseguenze fisiche devastanti che i sistemi IT tradizionali raramente affrontano.   

I sistemi OT presentano sfide uniche. Molte infrastrutture utilizzano tecnologie legacy progettate decenni fa, quando la connettività Internet non era prevista. Questi dispositivi spesso non supportano la crittografia moderna o l’autenticazione a più fattori e, cosa più grave, non possono essere sottoposti a patch regolari poiché l’aggiornamento richiederebbe l’arresto di processi critici. La convergenza IT-OT significa che un malware entrato nella rete aziendale tramite un’e-mail di phishing (IT) può muoversi lateralmente fino a raggiungere i PLC che controllano le turbine o le paratoie (OT).

Attacchi cyber sull’Italia

I dati forniti dal Rapporto Clusit (ottobre 2025) dipingono un quadro di allerta senza precedenti per l’Italia. Nel primo semestre del 2025, gli attacchi informatici gravi sono aumentati del 36% rispetto al semestre precedente, confermando una tendenza strutturale che vede il nostro Paese come uno dei bersagli principali a livello europeo. L’Italia, infatti, è vittima di circa il 10% degli attacchi mondiali, una percentuale sproporzionata rispetto al suo peso demografico ed economico.   

Il settore più colpito in Italia è quello Governativo, Militare e delle Forze dell’Ordine, che da solo raccoglie il 38% degli incidenti totali. Questo dato riflette l’uso del cyber-spazio come strumento di pressione geopolitica e sabotaggio istituzionale. Ancora più preoccupante è l’incremento degli attacchi nel settore dei trasporti e della logistica, cresciuto del 150% rispetto all’anno precedente. In un sistema integrato, il blocco di un porto o di una rete ferroviaria ha ripercussioni immediate sulla supply chain e sulla sicurezza dei cittadini.

La gravità degli attacchi è in costante aumento: l’82% degli incidenti analizzati nel 2025 è classificato con impatto “Critico” o “Alto”, il che significa che l’attacco ha causato interruzioni totali del servizio o perdite di dati irreparabili. La motivazione economica (cybercrime) resta prevalente (87%), ma lo spionaggio e il sabotaggio di stato stanno diventando sempre più frequenti e sofisticati, spesso agendo sotto la copertura di gruppi criminali per mantenere una plausibile denegabilità.

Dal sabotaggio fisico al panico sociale

L’analisi dei casi internazionali fornisce prove tangibili della pericolosità degli attacchi hacker per la sicurezza pubblica. Il caso della centrale idrica di Oldsmar, Florida (2021), rappresenta il “near miss” più spaventoso degli ultimi anni. Un attaccante è riuscito a violare il sistema di controllo remoto TeamViewer e ha tentato di aumentare il livello di idrossido di sodio (soda caustica) nell’acqua potabile da 100 a 11.100 parti per milione. La soda caustica viene utilizzata in minime dosi per controllare l’acidità, ma a quei livelli è una sostanza altamente corrosiva capace di causare ustioni chimiche alla bocca, alla gola e allo stomaco, oltre a danni permanenti agli occhi. Solo la vigilanza in tempo reale di un operatore, che ha visto il cursore del mouse muoversi autonomamente sullo schermo, ha evitato un avvelenamento di massa.

Un altro esempio fondamentale è l’attacco ransomware alla Colonial Pipeline (2021), che ha dimostrato come la fragilità della sicurezza IT possa paralizzare un’infrastruttura OT pur senza colpirla direttamente. Sebbene l’attacco avesse preso di mira solo i sistemi di fatturazione, l’azienda è stata costretta a chiudere l’intero oleodotto per cinque giorni perché non aveva visibilità sulla possibile propagazione del malware ai sistemi di controllo del flusso di carburante. Questo blackout ha causato una crisi energetica sulla costa orientale degli Stati Uniti, con code chilometriche ai distributori e un diffuso senso di insicurezza pubblica.

In Italia, l’attacco ai Musei degli Uffizi nel 2026 ha aperto nuovi interrogativi sulla sicurezza delle istituzioni culturali. Gli hacker si sono mossi silenziosamente nell’infrastruttura per mesi, rubando non solo dati sensibili ma anche la “mappa operativa” del museo: ingressi riservati, logiche di sorveglianza e percorsi di servizio. Queste informazioni sono considerate critiche perché potrebbero essere utilizzate per pianificare intrusioni fisiche o furti di opere d’arte, a dimostrazione che il confine tra minaccia digitale e reale è ormai inesistente.

Geopolitica e Attori State-Sponsored: Il Rischio Volt Typhoon

La minaccia alle infrastrutture critiche non è solo opera di criminali comuni, ma è parte integrante delle strategie di difesa e offesa degli stati nazionali. Il gruppo Volt Typhoon, attribuito alla Repubblica Popolare Cinese, rappresenta l’esempio più avanzato di questo tipo di minaccia. A differenza dei gruppi ransomware che cercano un ritorno economico immediato, Volt Typhoon si concentra sul pre-posizionamento all’interno delle reti IT delle infrastrutture civili (energia, acqua, trasporti) per abilitare sabotaggi futuri in caso di conflitto geopolitico.

La pericolosità di Volt Typhoon risiede nelle tecniche “Living off the Land” (LotL). Invece di installare malware personalizzati che potrebbero essere rilevati dai sistemi di difesa, questi attori utilizzano strumenti legittimi già presenti nel sistema operativo (come PowerShell o WMI) per eseguire le loro operazioni. Questo permette loro di rimanere invisibili per anni. In alcuni casi documentati da CISA e FBI, gli attaccanti hanno mantenuto l’accesso a reti critiche per oltre cinque anni, studiando ogni dettaglio dell’architettura OT prima di essere scoperti.

Questo tipo di attività trasforma le infrastrutture civili in potenziali “ostaggi digitali”. Se un attore di stato potesse spegnere la rete elettrica o bloccare i sistemi di gestione delle acque reflue di un’intera nazione con un clic, il potere negoziale in qualsiasi scenario di crisi internazionale cambierebbe radicalmente. Per l’Italia e per Venezia, il MOSE rientra pienamente in questa categoria di target strategici che devono essere protetti da attori di stato con capacità offensive asimmetriche.

Strategia di difesa per il Mose

La protezione di un’opera come il MOSE richiede un approccio di “difesa in profondità” che superi il concetto di semplice protezione del perimetro. Poiché l’integrazione IT-OT è inevitabile, la strategia deve spostarsi verso la cyber-resilience: la capacità non solo di resistere agli attacchi, ma di assorbire l’urto e ripristinare le funzioni vitali in tempi rapidissimi.

L’applicazione del modello Zero Trust è il primo passo. In una rete Zero Trust, nessun dispositivo o utente è considerato affidabile per impostazione predefinita, anche se si trova all’interno del perimetro fisico del MOSE. Ogni transazione di dati e ogni comando inviato ai PLC deve essere autenticato e autorizzato continuamente. Questo approccio riduce drasticamente la superficie di attacco e limita la capacità degli hacker di muoversi lateralmente nel sistema.   

La segmentazione della rete è un’altra misura critica. Dividere l’architettura digitale del MOSE in zone di sicurezza indipendenti permette di isolare un’eventuale compromissione. Se un ufficio amministrativo (zona IT) venisse colpito da un ransomware, la segmentazione impedirebbe al virus di propagarsi ai server che controllano le paratoie (zona OT). Questo richiede l’uso di firewall industriali progettati per comprendere i protocolli specifici degli impianti idraulici, come il Modbus o il Profinet, rilevando comandi anomali che potrebbero indicare un tentativo di sabotaggio.

Un’ulteriore frontiera è la “Security by Design” applicata all’ingegneria civile. In futuro, infrastrutture come il MOSE dovranno essere progettate con sistemi di sicurezza intrinseci, dove i meccanismi di fail-safe fisici prevalgono su quelli digitali. Ad esempio, la presenza di sistemi idraulici di emergenza che possono essere attivati manualmente, indipendentemente dalla rete hackerata, rappresenta l’ultima linea di difesa per la città di Venezia.

Venezia non è un’isola isolata nel cyberspazio. La sua trasformazione in Smart City, con sensori IoT che monitorano tutto, dai flussi turistici alla qualità dell’aria, aumenta l’interconnessione e, di conseguenza, il rischio sistemico. Le infrastrutture intelligenti promettono efficienza energetica e mobilità sostenibile, ma creano un “ecosistema di vulnerabilità” dove un attacco ai semafori può paralizzare i mezzi di soccorso o una manipolazione della rete elettrica può inibire i sistemi di allerta marea.

In questo contesto, emerge la necessità di un nuovo modello di “Protezione Civile Digitale”. Tradizionalmente, la Protezione Civile si occupa di eventi fisici (terremoti, alluvioni). Oggi, deve essere dotata di strumenti per gestire le emergenze cyber che hanno impatti fisici. Questo implica la creazione di protocolli di emergenza per la cittadinanza in caso di blackout digitale prolungato e la garanzia che i servizi essenziali (ospedali, forze dell’ordine) abbiano sistemi di comunicazione ridondanti e protetti, come le reti satellitari o le connessioni in fibra ottica dedicate.   

La pericolosità degli attacchi hacker per la sicurezza pubblica non è più un’ipotesi teorica da film di fantascienza, ma una realtà operativa che richiede investimenti massicci e un cambio culturale profondo. Il caso del MOSE dimostra che la protezione del patrimonio storico e umano di una città come Venezia dipende dalla nostra capacità di dominare la complessità digitale.

Tre pilastri per la difesa cyber delle infrastrutture fisiche italiane

L’analisi dei trend 2025 e dei casi internazionali evidenzia tre pilastri per il futuro:

1. L’integrazione obbligatoria tra sicurezza fisica e digitale: Non può esserci sicurezza delle infrastrutture senza una difesa cibernetica avanzata e sistemi di fail-safe meccanici.   
2. La cooperazione istituzionale e internazionale: Lo scambio di IoC tra Polizia di Stato, ACN e partner internazionali è l’unico modo per contrastare attori state-sponsored come Volt Typhoon.   
3. La responsabilità della Governance: I dirigenti delle infrastrutture critiche devono considerare la cybersecurity come un imperativo strategico, investendo non solo in tecnologia ma soprattutto nella formazione continua del fattore umano.   

L’Italia ha compiuto passi significativi con il recepimento della NIS2 e il potenziamento dell’Agenzia per la Cybersicurezza Nazionale, ma il divario tra la velocità degli attaccanti (spesso supportati dall’Intelligenza Artificiale) e la capacità di difesa delle organizzazioni resta una sfida aperta. La sicurezza di Venezia, e con essa la resilienza dell’intero Paese, dipenderà dalla nostra capacità di trasformare la vulnerabilità digitale in una nuova forma di forza tecnologica e istituzionale.