Oltre 4.400 PLC Rockwell esposti mettono a rischio i sistemi idrici statunitensi

Migliaia di controller per sistemi idrici esposti su Internet

Una nuova scansione delle apparecchiature industriali connesse a Internet ha individuato più di 4.400 controller logici programmabili (PLC) Rockwell Automation esposti, i piccoli computer che gestiscono processi fisici come il trattamento delle acque, il pompaggio e il dosaggio di sostanze chimiche. I ricercatori di sicurezza di Forescout hanno identificato circa 4.407 di questi dispositivi raggiungibili direttamente dalla rete Internet pubblica, e 22 di essi si trovavano in città che hanno già subito attacchi informatici ai propri sistemi idrici. In particolare, 19 di questi 22 controller esposti risultavano in esecuzione sulla stessa configurazione di base, suggerendo un modello di vulnerabilità condiviso piuttosto che singoli errori di configurazione.

Questa scoperta avviene in un contesto di aumento documentato degli attacchi contro le utility idriche e fognarie degli Stati Uniti. Le agenzie federali, tra cui l’FBI e la CISA, hanno emesso allerte avvertendo che gli autori delle minacce stanno prendendo di mira attivamente i PLC esposti su Internet per manomettere da remoto le impostazioni dei dispositivi, in alcuni casi senza bisogno di sfruttare alcuna vulnerabilità software. Poiché questi controller sono direttamente esposti, gli aggressori possono potenzialmente accedere e modificare i parametri operativi semplicemente individuando il dispositivo e indovinando o forzando le credenziali.

Perché l’esposizione diretta è il vero problema

Diversamente da una tipica violazione di dati che coinvolge record rubati, questa vicenda riguarda infrastrutture fisiche che sono raggiungibili allo stesso modo di un sito web. I PLC Rockwell sono progettati per essere gestiti su reti industriali isolate, non per essere esposti a Internet. Quando lo sono, un aggressore non ha necessariamente bisogno di un exploit sofisticato o di una vulnerabilità zero-day. Password deboli o predefinite, software di accesso remoto non aggiornato o semplici errori di configurazione possono essere sufficienti per consentire a qualcuno di intervenire e regolare impostazioni che controllano processi reali come il dosaggio del cloro o il funzionamento delle pompe.

Questa distinzione è importante perché sposta la discussione sulla sicurezza da “questo sistema è stato violato?” a “perché questo sistema è raggiungibile?”. Secondo quanto riportato, almeno nove Stati hanno segnalato attacchi informatici legati a questo schema di apparecchiature idriche esposte, sottolineando che non si tratta di un rischio ipotetico confinato a una singola utility o regione. È un problema strutturale dell’intero settore: le apparecchiature industriali legacy non sono mai state costruite pensando all’esposizione su Internet e, con la modernizzazione del monitoraggio e della gestione da remoto, molti controller sono finiti per essere direttamente accessibili senza un’adeguata segmentazione o strati di autenticazione intermedi.

L’intersezione tra privacy e sicurezza

Sebbene questa vicenda riguardi la tecnologia operativa piuttosto che i dati personali, mette in evidenza un tema che si applica in modo trasversale alla sicurezza informatica: l’esposizione è spesso la causa principale, non la sofisticazione. Lo stesso principio è alla base di gran parte dei dati sul ransomware del secondo trimestre 2026 che mostrano un numero crescente di vittime e attività di estorsione, in cui gli aggressori spesso ottengono l’accesso iniziale attraverso punti di accesso remoto esposti piuttosto che con exploit avanzati. Che l’obiettivo sia un ospedale, un assicuratore o un impianto di trattamento delle acque, lo schema si ripete: i sistemi che dovrebbero essere isolati da Internet finiscono per essere raggiungibili e gli aggressori ne approfittano.

Per le organizzazioni che gestiscono l’accesso remoto a sistemi sensibili, la segmentazione di rete adeguata e il tunneling crittografato sono difese fondamentali. Tecnologie come le VPN, se correttamente configurate, sono pensate per collocarsi tra gli amministratori remoti e le apparecchiature che gestiscono, anziché lasciare tali apparecchiature direttamente esposte. Risorse come un’analisi dei protocolli VPN o una spiegazione di come la crittografia VPN protegga effettivamente il traffico in transito sono utili punti di partenza per i team IT che valutano se la loro configurazione di accesso remoto stia svolgendo il proprio compito. Opzioni più datate ma ancora pertinenti come L2TP/IPSec illustrano come il tunneling combinato con la crittografia sia da tempo un elemento costitutivo di base per proteggere le connessioni remote a sistemi critici, industriali o meno.

Cosa significa per te

Se non gestisci un’azienda idrica, questa storia potrebbe sembrarti lontana, ma riflette una verità più ampia su come l’infrastruttura moderna fallisce. I PLC Rockwell esposti non hanno richiesto una violazione o un elenco di credenziali trapelate per diventare un rischio; è bastato che fossero raggiungibili. La stessa logica si applica alle reti domestiche, ai sistemi delle piccole imprese e a qualsiasi pannello di gestione dei dispositivi lasciato aperto senza un’adeguata autenticazione. La lezione non è che i sistemi industriali siano particolarmente vulnerabili, ma che qualsiasi sistema esposto senza segmentazione, autenticazione forte o accesso crittografato diventa prima o poi un bersaglio.

Per i consumatori comuni, il messaggio non riguarda tanto le utility idriche in sé, quanto l’importanza di capire come dovrebbe funzionare l’accesso remoto. Se il router di casa, i dispositivi smart o la configurazione per il lavoro da remoto si basano sull’esposizione diretta a Internet anziché su connessioni crittografate e autenticate, stai seguendo lo stesso schema rischioso che ha portato a questi PLC esposti.

Punti chiave

• Oltre 4.400 PLC Rockwell sono stati trovati direttamente esposti a Internet, inclusi almeno 22 in città che hanno già subito attacchi ai sistemi idrici.
• Le agenzie federali hanno avvertito che gli aggressori stanno sfruttando direttamente questa esposizione, talvolta senza bisogno di una vulnerabilità software.
• Il problema centrale è l’esposizione e la segmentazione debole, non solo le tecniche di hacking sofisticate.
• Chiunque gestisca l’accesso remoto a sistemi sensibili, industriali o personali, dovrebbe dare priorità a connessioni crittografate e autenticate rispetto all’esposizione diretta a Internet.
• Comprendere strumenti di base come i protocolli VPN e gli standard di crittografia aiuta a chiarire come dovrebbe effettivamente apparire una corretta sicurezza dell’accesso remoto.