Attacchi cyber distruttivi: non solo frigoriferi, ecco cosa rischia l’Italia

Il 29 dicembre 2025 un cyberattacco in Polonia ha fermato la turbina a vapore e l’impianto di trattamento dell’acqua di una centrale di cogenerazione polacca che forniva calore a un’area con circa 50.000 residenti. La produzione combinata di elettricità e calore si è interrotta, ma gli operatori sono intervenuti prima che venissero sospese le forniture di riscaldamento. Non è una simulazione: è un sabotaggio industriale realmente avvenuto, ricostruito dal CERT Polska in un rapporto pubblicato nell’agosto 2026.

Nel 2017 invece tragedia sfiorata in un impianto petrolchimico in Medio Oriente, dove gli attaccanti informatici hanno cercato di causare una esplosione che avrebbe causato danni a persone oltre che agli impianti, secondo il Governo Usa.

Due episodi, di tanti, che confermano una minaccia tornata attuale in questi giorni con gli attacchi ai sistemi frigoriferi di supermercati europei: temperature alterate da remoto e alimenti distrutti.

La domanda che è sottesa a questi eventi è allarmante: forse finora abbiamo visto solo la superficie di una minaccia che potrebbe portare, nelle nostre case e città, pericoli enormi? Blackout, esplosioni. Per una centrale nucleare attaccata, gli esperti considerano anche scenari estremi di danneggiamento del combustibile e rilascio radioattivo.

Davvero? Il rischio c’è, ma bisogna anche circostanziarlo, per non cadere nel gioco degli attaccanti. Attivisti e Stati nazione interessati appunto a causare caos tra la popolazione, sfiducia nelle istituzioni democratiche.

La storia è anche qui buona maestra e ci dà il polso di quanto può succedere. Anche in Italia.

Polonia, il sabotaggio che ha fermato una turbina e risparmiato le abitazioni

L’episodio polacco è particolarmente istruttivo perché mostra un effetto fisico prodotto e un danno sociale evitato. Gli eventi del 29 dicembre 2025 hanno coinvolto più di trenta impianti eolici e fotovoltaici e due centrali di cogenerazione. Presso gli impianti rinnovabili furono compromessi dispositivi di supervisione: vennero meno le comunicazioni con gli operatori della rete, ma la generazione elettrica continuò. In una grande centrale di cogenerazione che serviva quasi mezzo milione di utenti, il tentativo di cancellare dati operativi fu bloccato da strumenti di protezione informatica. Il primo rapporto ufficiale, del 30 gennaio 2026, descrisse queste difese e l’obiettivo distruttivo della campagna.

Soltanto nell’agosto 2026 il CERT Polska ha reso noto un secondo episodio, nello stesso giorno, nella centrale più piccola: una turbina a vapore e un sistema di trattamento dell’acqua furono arrestati e la cogenerazione si fermò temporaneamente. Il personale riuscì a riprendere il controllo senza interrompere il servizio alle case. Le due centrali non vanno confuse: quella più grande respinse il tentativo di blocco; in quella più piccola il processo industriale fu effettivamente fermato.

Per il direttore del CERT Polska, Marcin Dudek, il problema non è soltanto installare strumenti di sicurezza. In un’intervista a WNP pubblicata nell’aprile 2026 ha raccontato che nella centrale più grande erano comparsi avvisi molto evidenti su un intruso dotato di privilegi elevati. «Gli strumenti da soli non servono a nulla, se nessuno reagisce ai segnali», ha spiegato (traduzione dal polacco). Dudek ha anche precisato che colpire le grandi centrali è più difficile che colpire numerosi piccoli impianti rinnovabili, perché le loro reti di controllo sono generalmente più protette e separate. Non significa che siano invulnerabili.

Dal computer al danno fisico: Aurora e Stuxnet

Il sistema che controlla una macchina industriale è chiamato tecnologia operativa, o OT. Può regolare la velocità di un motore, la posizione di una valvola, la pressione o l’alimentazione di un impianto. Il Nist statunitense, nella guida SP 800-82, ricorda che questi sistemi interagiscono con l’ambiente fisico: l’errore di una misura o di un comando può diventare un danno materiale. Per produrre un incidente grave, però, bisogna superare le protezioni che separano il controllo ordinario dalle condizioni pericolose.

Nel 2007 il laboratorio nazionale americano dell’Idaho condusse il test Aurora. I ricercatori riuscirono a danneggiare un generatore mediante manipolazioni dei suoi sistemi di controllo. Una testimonianza presentata al Congresso statunitense descrisse la possibilità di provocare danni che avrebbero richiesto mesi di riparazioni. Era una dimostrazione condotta in condizioni controllate: non autorizza a concludere che qualunque generatore moderno sia vulnerabile nello stesso modo, ma provò che il sabotaggio digitale può rompere una macchina.

Fra il 2009 e il 2010 Stuxnet prese di mira le centrifughe per l’arricchimento dell’uranio dell’impianto iraniano di Natanz. Il malware interferiva con il loro funzionamento mentre cercava di nascondere le anomalie. L’Institute for Science and International Security ha collegato alla campagna la sostituzione anomala di circa mille centrifughe, precisando che i dati disponibili non permettono di attribuire con certezza ogni singolo guasto al malware. Natanz era un impianto di arricchimento, non un reattore elettrico: è un precedente di sabotaggio di apparecchiature nucleari, non di fusione del nocciolo o di esplosione di una centrale nucleare.

Blackout: un attacco può spegnere la rete elettrica?

Il 23 dicembre 2015 gli attaccanti compromissero i sistemi di tre società di distribuzione ucraine e interruppero la corrente a circa 225.000 utenti. È un caso accertato di interruzione elettrica provocata da un’intrusione informatica, documentato anche dal Congressional Research Service statunitense. L’episodio non comportò la distruzione generalizzata dei generatori. I tecnici ripristinarono il servizio, anche ricorrendo a operazioni manuali.

Nel 2022, durante l’invasione russa, il gruppo Sandworm tentò di usare una nuova versione del malware industriale Industroyer contro un operatore energetico ucraino. Eset e il CERT-UA hanno descritto l’operazione e il lavoro di contrasto che impedì l’interruzione pianificata. I due precedenti mostrano la differenza fra compromettere una rete, ottenere un blackout e provocare danni fisici alle apparecchiature: sono tre risultati diversi, che richiedono capacità e condizioni differenti.

La Commissione europea avverte che le reti elettriche, interconnesse oltre i confini nazionali, possono propagare disservizi. In una valutazione pubblicata nel settembre 2026 ha affrontato anche i rischi per gli impianti fotovoltaici connessi a Internet. La dispersione di molti piccoli produttori aumenta le superfici da presidiare: un aggressore potrebbe cercare un effetto aggregato anziché puntare tutto su un’unica grande centrale. Il fatto che un gruppo di impianti venga compromesso non implica automaticamente un blackout nazionale: contano la quota di potenza coinvolta, le condizioni della rete e la risposta dei gestori.

Impianti chimici: la lezione di Triton, vicino al rischio di un’esplosione

Nelle centrali termoelettriche e soprattutto negli impianti petrolchimici esistono processi che impiegano combustibili, pressioni e temperature elevate. In uno scenario sfavorevole, il controllo irregolare può causare danni meccanici, perdite di sostanze pericolose, incendi o esplosioni industriali. Le conseguenze dipendono dal progetto fisico dell’impianto e dalla disponibilità delle sue protezioni: un accesso informatico abusivo non equivale di per sé a un’esplosione imminente.

Nel 2017 il malware Triton, scoperto in un impianto petrolchimico in Medio Oriente, prese di mira proprio il sistema strumentato di sicurezza incaricato di mettere in condizioni sicure il processo industriale. Il Dipartimento di Giustizia degli Stati Uniti ha sostenuto, in un atto d’accusa del 2022, che gli attaccanti volevano rendere inefficace quella protezione, creando la possibilità di danni all’impianto e lesioni alle persone. Il tentativo produsse invece un malfunzionamento che attivò due arresti automatici. Non ci fu l’esplosione che l’attacco avrebbe potuto rendere possibile. Le autorità statunitensi hanno attribuito la campagna a soggetti collegati a un ente di ricerca russo; si tratta di un’attribuzione giudiziaria statunitense, non di una sentenza definitiva richiamata come tale.

Il National Cyber Security Centre britannico richiama Triton come esempio concreto di attacco ai sistemi che proteggono la vita umana. Questi dispositivi di sicurezza hanno il compito di interrompere un processo pericoloso anche quando il normale sistema di controllo fornisce istruzioni sbagliate. La loro separazione funzionale è una barriera essenziale; Triton dimostra perché è necessario difendere anche questa barriera, oltre alla rete da cui arrivano i comandi di produzione.

Anche l’acqua potabile è una funzione fisica esposta. In un avviso del 30 luglio 2026 la Cisa americana ha segnalato un aumento degli attacchi ai controllori degli acquedotti: in casi osservati, la perdita di controllo remoto ha comportato gestione manuale prolungata e avvisi di bollire l’acqua prima del consumo. L’avviso non dimostra un avvelenamento intenzionale riuscito; documenta però una conseguenza pratica sulla fornitura sicura di un servizio essenziale.

Una centrale nucleare può esplodere per un cyberattacco?

Il rischio nucleare va descritto con precisione. Un reattore civile non può trasformarsi per via informatica in una bomba atomica. Le esplosioni che interessano la sicurezza di una centrale sono di altro tipo, per esempio di idrogeno o di vapore, e il pericolo maggiore è il danneggiamento del combustibile con possibile rilascio di materiale radioattivo. Un attacco informatico potrebbe contribuire a una catena di eventi di questo genere soltanto se venissero compromesse funzioni decisive e non intervenissero efficacemente le protezioni indipendenti.

L’Agenzia internazionale per l’energia atomica, nella guida sulla sicurezza dei sistemi di controllo nucleari, include fra le conseguenze teoricamente possibili di un sabotaggio informatico anche effetti radiologici inaccettabili. Ma le centrali sono progettate con livelli successivi di sicurezza: arresto del reattore, raffreddamento di emergenza, alimentazione di riserva e barriere fisiche. La norma Iaea sulla progettazione delle centrali prevede, per quanto praticabile, livelli di difesa indipendenti e sistemi capaci di limitare le conseguenze anche quando una protezione fallisce.

Il paragone spesso evocato è Fukushima. Nel marzo 2011 un terremoto e uno tsunami provocarono la perdita di alimentazione e raffreddamento di più reattori; seguirono la fusione del combustibile e le esplosioni di idrogeno. Come ricostruiscono le comunicazioni sugli eventi della Iaea, fu un incidente naturale e impiantistico, non un cyberattacco. L’esempio mostra che la perdita prolungata di funzioni essenziali può diventare catastrofica; non prova che un hacker possa produrla con facilità.

Le protezioni esistenti cambiano radicalmente il rischio. La Nuclear Regulatory Commission statunitense spiega che negli impianti nucleari regolati negli Stati Uniti i sistemi digitali essenziali per sicurezza, protezione e gestione delle emergenze sono isolati dalle reti esterne, compresa Internet, e soggetti a piani di cybersecurity obbligatori. L’isolamento riduce molte vie d’ingresso, mentre le barriere fisiche e i sistemi di arresto e raffreddamento rispondono ai guasti. Resta necessario valutare accessi autorizzati, manutenzioni, fornitori e apparecchiature per cui il collegamento diretto alla rete pubblica non esiste ma l’ambiente digitale continua a essere rilevante.

Trent Nelson, responsabile senior per la sicurezza dei sistemi informatici nella Divisione per la sicurezza nucleare della Iaea, ha ricordato nel Bollettino Iaea del giugno 2023 che «è essenziale stabilire ruoli, responsabilità e procedure di risposta prima che si verifichi un incidente informatico». Ha richiamato anche il rischio di fornitori compromessi che inducano persone autorizzate a effettuare interventi scorretti. È un punto decisivo: una rete isolata non elimina il rischio associato al fattore umano e alla filiera della manutenzione.

Quali difese esistono oggi, e che cosa devono verificare gli operatori

Le difese partono dal progetto dell’impianto: sistemi di arresto indipendenti dal controllo ordinario, sensori capaci di segnalare anomalie anche se il sistema di supervisione viene compromesso, possibilità di gestione locale e alimentazioni di riserva. Nelle infrastrutture più sensibili questi meccanismi sono affiancati da segmentazione delle reti, controlli sugli accessi dei manutentori, restrizioni alle connessioni remote e monitoraggio specifico delle reti industriali.

Le norme europee: tre responsabilità diverse

L’Unione europea sta intervenendo su tre fronti complementari. La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, impone ai soggetti che rientrano nel suo campo di applicazione di gestire i rischi informatici, la sicurezza dei fornitori, gli incidenti e la continuità operativa. La direttiva CER, recepita con il decreto legislativo 134/2024, allarga lo sguardo alla capacità dei soggetti individuati come critici di mantenere i servizi essenziali anche di fronte a sabotaggi e altri eventi gravi. La domanda non è soltanto chi difende i computer, ma chi mantiene l’acqua, l’energia o i trasporti disponibili quando una parte dell’impianto si ferma.

Il Cyber Resilience Act aggiunge la responsabilità dei fabbricanti: per i prodotti con elementi digitali che rientrano nella norma, quindi anche apparecchiature e software industriali quando compresi nel suo ambito, prevede requisiti di sicurezza fin dalla progettazione e di gestione delle vulnerabilità lungo il periodo di supporto. Dall’11 settembre 2026 i produttori devono già notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti; i principali requisiti si applicheranno dall’11 dicembre 2027. Per i prodotti immessi sul mercato prima di quella data non scatta automaticamente l’obbligo di adeguarli ai nuovi requisiti, salvo modifiche sostanziali successive; gli obblighi di segnalazione valgono invece anche per i prodotti precedenti che rientrano nel campo di applicazione. È un limite decisivo: rendere più sicuri i nuovi dispositivi non mette immediatamente al riparo i controllori già in funzione nelle centrali e nelle fabbriche.

Per la rete elettrica esiste inoltre un intervento mirato: il codice europeo di rete sulla cybersecurity, introdotto dal regolamento delegato 2024/1366, disciplina la valutazione e la gestione dei rischi informatici legati ai flussi elettrici transfrontalieri. È la risposta a una caratteristica concreta dell’energia: un incidente che parte in un Paese può interessare l’operatività della rete anche oltre il confine. Le regole chiariscono obblighi e responsabilità, ma la protezione di ogni impianto deve essere progettata, provata e mantenuta.

Usa e UK

Altre autorità offrono consigli utili.

La Cisa nel maggio 2025 ha avvertito che anche intrusioni tecnicamente semplici contro sistemi industriali esposti possono produrre interruzioni e, nei casi più gravi, danni fisici. Per le strutture che gestiscono energia, acqua e produzione industriale, la priorità è verificare quali controllori siano raggiungibili dall’esterno, chi possa accedervi, se i fornitori usino percorsi di manutenzione protetti, e se sia possibile riportare l’impianto in uno stato sicuro senza dipendere dalla rete compromessa.

Le autorità chiedono anche di prepararsi al fallimento della prevenzione. Nel documento del gennaio 2026 sulle minacce informatiche gravi alle infrastrutture critiche, l’autorità britannica NCSC considera possibili attacchi progettati per arrestare servizi per periodi estesi o danneggiare direttamente sistemi industriali. Non propone di azzerare ogni rischio: chiede di sapere come continuare il servizio o ripristinarlo quando la protezione digitale non basta.

Come aggiornare gli impianti OT senza fermare i servizi essenziali – il compito delle autorità

La difficoltà è che molti sistemi di tecnologia operativa, o OT, restano in esercizio per decenni. Controllano turbine, pompe, valvole, trasformatori e processi che non si possono interrompere come un normale computer d’ufficio. Un aggiornamento può interferire con il funzionamento della macchina o con le sue protezioni; per alcuni dispositivi più vecchi, poi, il produttore non rilascia più correzioni. Il Nist, nella guida alla sicurezza OT, raccomanda perciò di provare le modifiche prima di installarle e di adottare misure alternative quando una patch deve essere rinviata. Qui aggiornare in fretta e aggiornare in sicurezza possono essere due obiettivi in conflitto.

La questione è complessa e abbraccia inevitabilmente la cybersecurity nazionale di un Paese (e di un blocco intero come l’Europa). In questi giorni, dopo il caso frigoriferi, l’Acn sta appunto investigando possibili soluzioni che riguardino l’intera filiera.

Per un Paese la prima scelta è conoscere il rischio. Le autorità competenti devono guidare aziende e PA fissando criteri comuni di sicurezza e diffondendo la colpevolezza del rischio. Possono infine concentrare i controlli sulle situazioni dalle conseguenze fisiche più gravi. Un controllore vecchio che aziona una protezione di sicurezza ha una priorità diversa da un dispositivo amministrativo altrettanto vecchio.

In generale bisogna diffondere l’igiene informatica in un ambito, l’OT appunto, che non ha questa cultura.

Gli interventi immediati riguardano anzitutto gli accessi e le capacità di risposta: eliminare le connessioni inutili verso Internet, separare le reti industriali da quelle aziendali, rendere tracciabili e temporanei gli accessi dei manutentori, proteggere le credenziali, sorvegliare le anomalie senza perturbare i processi, conservare copie affidabili delle configurazioni e provare l’arresto sicuro e il ripristino anche quando la rete informatica è indisponibile.

Per gli apparati che non possono essere aggiornati subito servono controlli compensativi e una data di sostituzione; gli aggiornamenti devono essere concordati con il costruttore, verificati in ambienti di prova e programmati nelle finestre di fermo. Nessuna prova invasiva deve mettere a rischio un impianto in produzione.

Serve poi un programma nazionale pluriennale di ammodernamento OT, non una campagna episodica di adempimenti.

In Italia, governo, Acn e regolatori di settore dovrebbero stabilire priorità verificabili sui servizi più esposti; i gestori predisporre piani di bonifica e sostituzione con tappe e responsabilità; i fornitori garantire documentazione, supporto e percorsi di migrazione compatibili con i vincoli di sicurezza fisica. Dove gli investimenti sono troppo onerosi o i servizi sono regolati, occorre valutare strumenti finanziari e un adeguato riconoscimento dei costi di sicurezza, subordinandoli a risultati verificabili. Laboratori condivisi, formazione dei manutentori, simulazioni e verifiche indipendenti possono ridurre il rischio che un aggiornamento crei nuovi guasti. Sono scelte di politica industriale e di sicurezza nazionale che rendono operativi gli obiettivi delle norme europee.

La nuova era della guerra OT

Siamo entrati insomma in una nuova fase caotica di guerra OT, dove i rischi informatici sono molteplici, diffusi e “fisici”. Riguardano tutti non solo grandi impianti industriali, militari.

Come adattarsi a questa era? Bisogna adottare una dosa di sana preoccupazione senza cadere nell’allarmismo.

Un Paese non può promettere che nessuno riuscirà mai a entrare nei suoi sistemi industriali. Può invece diffondere buone pratiche, supportando aziende e PA interessate. E attrezzarsi per minimizzare i danni.

Così possiamo impedire che un’intrusione diventi automaticamente una turbina danneggiata, una perdita di sostanze pericolose o un servizio essenziale interrotto per giorni.

È questa la prova concreta della sicurezza: mantenere il controllo dei processi fisici, anche quando quello dei sistemi digitali è stato perduto.