Tra il 26 e il 27 luglio un attacco coordinato ha colpito i sistemi di controllo di oltre 30 acquedotti e impianti idrici di piccoli e medi comuni del Minnesota. L’agenzia informatica dello Stato ne ha dato notizia il 28 luglio. Secondo le autorità, l’acqua distribuita è rimasta sicura.
A Braham l’impianto di trattamento si è fermato per circa due ore. A Plymouth sono stati scollegati i dispositivi di comunicazione cellulare di due serbatoi e delle stazioni di sollevamento, e il personale è passato alla gestione manuale. Anche South St. Paul è stata colpita, mentre Maple Plain ha dichiarato lo stato di emergenza.
Sette Stati, un solo tipo di dispositivo
Il 30 luglio FBI ed EPA hanno diffuso un avviso: incidenti simili sono stati registrati in almeno sette Stati. Il bersaglio comune sono i controllori programmabili Rockwell Automation MicroLogix 1100 e 1400 raggiungibili direttamente da Internet. Gli attaccanti hanno cambiato indirizzi IP e password dei dispositivi, così i gestori hanno perso il monitoraggio da remoto e hanno dovuto mandare qualcuno sul posto.
Un’attribuzione ufficiale non c’è. Le autorità statunitensi avevano avvertito più volte, l’ultima con un avviso aggiornato il 22 luglio, che gruppi ostili prendono di mira i dispositivi di controllo industriale esposti in rete. Nel novembre 2023, per fare un esempio, l’acquedotto di Aliquippa, in Pennsylvania, si era ritrovato un controllore manomesso da un gruppo legato all’Iran. L’avviso c’era. Molti dispositivi sono rimasti dov’erano.
Lo schema non cambia: apparati industriali collegati a Internet per comodità, senza VPN e spesso con password deboli o predefinite. Per trovarli basta una scansione, nessuna tecnica sofisticata. E il problema non è americano. Acquedotti, impianti e piccole aziende manifatturiere usano gli stessi dispositivi anche in Italia.
Se ne gestisci uno, lancia una scansione esterna e scopri quali dispositivi sono raggiungibili da Internet: nessun PLC dovrebbe esserlo. Per l’accesso remoto usa una VPN con autenticazione a più fattori, non porte aperte.
Cambia le password predefinite e conserva una copia delle configurazioni e dei programmi dei controllori. Imposta un allarme per i cambi di configurazione e per la perdita di comunicazione con i dispositivi.
E prova davvero le procedure di gestione manuale, con il personale che dovrà usarle. In Minnesota sono state quelle a tenere l’acqua nei rubinetti.
