Un advisory congiunto di CISA, FBI e altre agenzie federali statunitensi ha lanciato l’allarme su una campagna attiva condotta da gruppi APT legati all’Iran contro dispositivi industriali Rockwell Automation / Allen-Bradley. Le operazioni, iniziate a marzo 2026, hanno già causato interruzioni operative e perdite finanziarie in diverse organizzazioni statunitensi del settore delle infrastrutture critiche.
Secondo l’FBI, l’attività ha portato all’estrazione di file di progetto dei dispositivi e alla manipolazione dei dati visualizzati su pannelli HMI e SCADA. Si tratta di due azioni particolarmente pericolose: chi controlla il file di progetto di un PLC può ricostruirne la logica di controllo e riproporla alterata; chi manipola ciò che appare sui pannelli operatore può indurre decisioni errate da parte del personale di impianto.
La superficie di attacco
Un’analisi di Censys, pubblicata il giorno successivo all’advisory, ha quantificato il problema: 5.219 dispositivi industriali esposti pubblicamente su Internet rispondono al protocollo EtherNet/IP e si identificano come Rockwell/Allen-Bradley. Il 74,6% si trova negli Stati Uniti (3.891 dispositivi), molti su provider di connettività cellulare – un indicatore di dispositivi installati sul campo e raggiungibili tramite modem cellulari spesso non protetti.
È uno schema tipico delle infrastrutture industriali reali: dispositivi di controllo deployati in stazioni remote, impianti di trattamento acque, sottostazioni energetiche, spesso con connettività cellulare aperta per motivi di manutenzione remota. La stessa semplicità che rende economica la gestione rende anche banale la scoperta via scanner pubblici come Shodan e Censys.
Le raccomandazioni operative
- Mettere i PLC dietro un firewall dedicato o, quando possibile, disconnetterli completamente da Internet.
- Analizzare i log alla ricerca di attività sospette (connessioni da provider di hosting esteri, richieste EtherNet/IP anomale).
- Implementare autenticazione multifattoriale per qualsiasi accesso alle reti OT (Operational Technology).
- Mantenere il firmware dei PLC aggiornato.
- Disabilitare servizi e metodi di autenticazione non utilizzati.
I precedenti iraniani
L’attacco non è un episodio isolato. Nel novembre 2023, un gruppo legato ai Guardiani della Rivoluzione iraniana (IRGC), identificato come CyberAv3ngers, aveva compromesso almeno 75 dispositivi PLC Unitronics negli Stati Uniti, di cui metà in reti del settore idrico. Più recentemente, il gruppo hacktivista Handala (legato al Ministero dell’Intelligence iraniano) ha cancellato circa 80.000 dispositivi della rete dell’azienda medicale statunitense Stryker, inclusi device mobili dei dipendenti.
Il filo conduttore è l’escalation delle operazioni iraniane contro infrastrutture critiche occidentali, con una logica di risposta asimmetrica alle tensioni geopolitiche tra Iran, Stati Uniti e Israele.
Cosa significa per l’Italia
L’Italia ospita centinaia di installazioni Rockwell/Allen-Bradley in settori come trattamento acque, agroalimentare, automotive, energia. Il D.Lgs. 138/2024 di recepimento della Direttiva NIS2 individua gran parte di questi operatori come “soggetti essenziali” o “importanti”, con obblighi espliciti di gestione del rischio cyber che includono proprio la segmentazione della rete OT e il controllo degli accessi remoti.
Una verifica immediata è semplice e preziosa: ogni CISO o responsabile OT dovrebbe controllare quanti dispositivi EtherNet/IP sono raggiungibili dall’esterno del perimetro di propria responsabilità. La scoperta può essere fatta anche con strumenti open source, prima che lo faccia un attaccante. Il caso Rockwell ricorda che nel mondo OT il vero vettore d’attacco più comune non è lo zero-day: è la connessione Internet che nessuno ha più spento.