ICS: CISA e FBI aggiornano l’allerta sui dispositivi Siemens, Schneider e Rockwell
A luglio 2026 CISA, FBI e altre agenzie federali degli Stati Uniti hanno diffuso un nuovo avviso su una campagna di cyberattacchi attribuita ad attori legati all’Iran. La campagna potrebbe essere stata usata per colpire sistemi di controllo industriale presenti nelle infrastrutture critiche statunitensi, compresi dispositivi di Siemens, Schneider Electric e Rockwell Automation.
Nel nuovo avviso, che riprende e aggiorna una prima versione pubblicata ad aprile, compaiono ora in modo esplicito apparecchiature di Siemens , Schneider Electric e Rockwell Automation.
Le agenzie parlano di attività che starebbero prendendo di mira settori sensibili negli Stati Uniti: energia, acqua, acque reflue e anche strutture governative.
Il dato che pesa di più è un altro. Per CISA, FBI e le altre agenzie coinvolte, questi attacchi avrebbero già provocato interruzioni operative e perdite economiche, anche se per ora non sono stati diffusi numeri né casi dettagliati.
Allerta CISA e FBI sui dispositivi ICS di Siemens, Schneider e Rockwell
Nel testo aggiornato, il perimetro si allarga rispetto alle prime segnalazioni, che erano concentrate soprattutto su dispositivi Rockwell.
Adesso l’avviso nomina con chiarezza sistemi industriali di tutti e tre i grandi fornitori. Per le agenzie Usa è il segnale di una campagna più estesa e più organizzata di quanto fosse emerso all’inizio.
Nel mirino ci sono soprattutto i PLC, i controllori logici programmabili, quando risultano esposti direttamente su Internet.
Per chi lavora nelle infrastrutture critiche, il rischio è alto. Questi dispositivi stanno spesso al centro dei processi industriali, quindi un accesso non autorizzato può tradursi in effetti fisici, blocchi del servizio o modifiche che incidono sulla sicurezza operativa.
Come avvengono gli attacchi ai PLC esposti online
Le agenzie statunitensi spiegano che gli aggressori non si stanno più limitando a cercare password banali o configurazioni lasciate con i valori di default.
In questa campagna, stando all’aggiornamento pubblicato, gli attaccanti stanno usando software di ingegneria del tutto legittimi, gli stessi che negli ambienti industriali vengono usati ogni giorno.
Nel documento aggiornato ci sono diversi elementi che vanno proprio in questa direzione.
Fra gli strumenti citati compaiono Rockwell Studio 5000 Logix Designer, Schneider EcoStruxure Control Expert e Siemens TIA Portal. L’avviso spiega che, usando questi programmi, gli attaccanti riescono ad accedere ai sistemi, caricare file di progetto malevoli e modificare la logica di funzionamento degli impianti in modi che, almeno all’inizio, possono sembrare normali attività tecniche.
In base a quanto osservato dalle agenzie, le operazioni includono la manipolazione delle interfacce HMI, l’alterazione dei dati SCADA e, nei casi più gravi, la disattivazione delle logiche di allarme e di arresto di sicurezza.
Ed è qui che la questione diventa particolarmente delicata: non si parla soltanto di furto di dati, ma di possibili conseguenze dirette sul funzionamento degli impianti.
Perché la campagna preoccupa di più gli esperti
Per diversi analisti, il salto vero si vede soprattutto nel livello di complessità.
Usare strumenti ufficiali dei vendor e inserirsi in flussi di lavoro industriali reali rende questi attacchi più difficili da individuare e molto più credibili all’interno delle reti OT.
Nell’avviso aggiornato, CISA, FBI e le altre agenzie federali Usa hanno inserito anche nuovi indicatori di compromissione e misure di mitigazione.
Il messaggio che arriva sia dai vendor sia dalle agenzie governative è chiaro: i dispositivi ICS non dovrebbero essere raggiungibili da Internet, e le organizzazioni dovrebbero applicare misure di hardening, segmentazione di rete e controlli rigorosi sugli accessi ai software di ingegneria.
Se gestisci un impianto industriale, questo avviso suona come un richiamo molto concreto: la sicurezza OT non può più reggersi soltanto su configurazioni di base o su un isolamento di fatto dei sistemi.
Gli attaccanti, oggi, conoscono sempre meglio gli strumenti del settore e sanno usarli contro chi quei sistemi li adopera ogni giorno. E allora la domanda diventa anche etica: quanto è accettabile continuare a esporre a Internet sistemi così delicati, sapendo che un abuso può trasformarsi in interruzioni, danni economici e rischi reali per la sicurezza operativa?
