Cybersicurezza degli acquedotti e sistemi SCADA

Nel febbraio 2021, un hacker è riuscito ad accedere da remoto al sistema di controllo dell’acquedotto di Oldsmar, in Florida, tentando di alterare pericolosamente la concentrazione di soda caustica nell’acqua potabile. Solo l’intervento tempestivo di un operatore ha evitato il disastro. Questo episodio ha acceso i riflettori su un problema molto più ampio: la sicurezza informatica degli acquedotti e dei sistemi di controllo industriale (ICS/SCADA) che gestiscono le infrastrutture idriche critiche negli Stati Uniti. Dal 2021 al 2024, una serie di attacchi e tentativi di intrusione ha spinto il governo federale a rivedere completamente il proprio approccio alla protezione di questi sistemi, considerati ormai una vera e propria questione di sicurezza nazionale.

Gli episodi che hanno cambiato la percezione del rischio

Il caso di Oldsmar non è stato un evento isolato. Tra il 2021 e il 2024 si sono susseguiti numerosi incidenti di cybersicurezza nel settore idrico statunitense, tra cui attacchi ransomware e intrusioni non autorizzate ai danni di impianti WWS (Water and Wastewater Systems).

Questi episodi hanno un denominatore comune: vulnerabilità tecniche facilmente prevenibili ma spesso ignorate per anni.

Le vulnerabilità principali nei sistemi SCADA degli acquedotti

Analizzando i vari incidenti, emergono pattern ricorrenti che espongono gli impianti idrici a rischi elevati. Ecco le principali criticità individuate:

Queste falle non sono esclusive del settore idrico, ma qui assumono un peso particolare: un errore o un attacco riuscito può avere conseguenze dirette sulla salute pubblica.

Chi minaccia le infrastrutture idriche: criminali e attori statali

Le indagini condotte negli ultimi anni indicano che le minacce provengono da due categorie di attori, spesso sovrapponibili nelle tecniche utilizzate:

  1. Gruppi criminali: motivati principalmente da fini economici, utilizzano ransomware e phishing per estorcere denaro o interrompere i servizi.
  2. Attori statali o affiliati: rappresentano una minaccia più sofisticata, capace di manipolare i processi industriali con precisione o condurre operazioni di sabotaggio in contesti geopolitici tesi.

La buona notizia, se così si può definire, è che le contromisure tecniche per difendersi da entrambe le tipologie di minaccia sono in gran parte le stesse: segmentazione delle reti, autenticazione forte e monitoraggio continuo.

La risposta federale: normative e linee guida operative

A partire dal 2021, gli Stati Uniti hanno accelerato in modo significativo la propria strategia di difesa cyber per le infrastrutture critiche. Alcuni passaggi chiave:

Questo insieme di iniziative dimostra come il governo statunitense abbia riconosciuto la necessità di un coordinamento centralizzato, affiancato da standard più stringenti e da un supporto tecnico diretto agli operatori locali.

Misure concrete per aumentare la resilienza cyber

Al di là delle normative, esistono azioni pratiche che ogni gestore di impianti idrici dovrebbe implementare senza indugio. Ecco una checklist essenziale:

  1. Identificare e isolare qualsiasi interfaccia HMI/SCADA esposta su Internet.
  2. Attivare l’autenticazione a più fattori (MFA) su tutti gli accessi remoti.
  3. Creare un inventario aggiornato degli asset OT e applicare una rigida segmentazione tra reti IT e OT.
  4. Eseguire backup offline regolari e testare periodicamente le procedure di ripristino.
  5. Applicare tempestivamente le patch di sicurezza e pianificare la sostituzione dei sistemi legacy non più supportati.
  6. Definire un piano di risposta agli incidenti (incident response) specifico per gli ambienti OT.
  7. Partecipare a reti di condivisione delle informazioni come WaterISAC per ricevere aggiornamenti tempestivi sulle minacce.

Queste misure, se applicate con costanza, riducono drasticamente la superficie d’attacco disponibile per criminali e attori ostili.

Perché la sicurezza dell’acqua è una questione di sicurezza nazionale

L’acqua potabile non è un servizio come gli altri. Un’interruzione, una contaminazione o un sabotaggio possono generare conseguenze sanitarie, economiche e sociali di enorme portata. La crescente convergenza tra reti IT e OT, unita alla diffusione di accessi remoti non sempre protetti, ha ampliato notevolmente la superficie di attacco disponibile per chi vuole colpire queste infrastrutture.

Per questo motivo, la risposta non può essere lasciata alla sola iniziativa dei singoli operatori locali. Serve un approccio integrato che unisca standard obbligatori, finanziamenti pubblici per l’ammodernamento tecnologico, condivisione rapida di intelligence sulle minacce e un supporto federale concreto per le realtà più piccole, spesso prive delle risorse necessarie per difendersi autonomamente.

Conclusione

Gli attacchi ai sistemi SCADA degli acquedotti statunitensi, dal caso simbolo di Oldsmar fino agli avvisi congiunti del 2024, hanno dimostrato quanto sia fragile la cybersicurezza delle infrastrutture idriche critiche. Le vulnerabilità sono spesso semplici da individuare, ma richiedono interventi immediati: chiusura degli accessi esposti, autenticazione forte, segmentazione delle reti e aggiornamento dei sistemi legacy. La risposta federale, con documenti come l’Executive Order 14028, la National Cybersecurity Strategy e le linee guida di CISA, EPA e FBI, segna un passo importante verso una maggiore resilienza del settore. Tuttavia, la vera sfida resta l’implementazione pratica di queste misure a livello locale, dove risorse e competenze tecniche non sempre sono all’altezza della minaccia. Proteggere l’acqua che beviamo ogni giorno significa, in ultima analisi, proteggere la sicurezza stessa del paese.