Cosa c’è da sapere sugli attacchi informatici al settore idrico negli Stati Uniti

Alla fine di luglio 2026, oltre 30 reti idriche municipali in tutto il Minnesota sono state prese di mira da attacchi informatici coordinati che hanno compromesso la tecnologia operativa (OT) utilizzata per monitorare e controllare a distanza le apparecchiature idriche. Gli attacchi si sono inizialmente verificati il 26 e il 27 luglio, colpendo diversi sistemi di controllo automatizzati in tutto lo Stato, compresi quelli di Plymouth, Braham e South St. Paul. Sebbene le autorità abbiano confermato che l’approvvigionamento di acqua potabile non sia stato compromesso, il Minnesota IT Services (MNIT) ha attivato il piano di risposta agli incidenti di sicurezza informatica dello Stato in collaborazione con partner municipali, statali e federali per indagare sulle violazioni e incrementare le salvaguardie delle infrastrutture critiche.

Continua a leggere per conoscere i punti chiave di questi attacchi informatici al settore idrico, il loro impatto più ampio e come Keeper^® possa aiutare a proteggere le infrastrutture critiche in tutti i settori dalle minacce informatiche.

Cosa dovresti sapere sugli attacchi informatici al settore idrico negli Stati Uniti

L’impatto degli attacchi informatici al settore idrico negli Stati Uniti

Gli attacchi informatici nazionali al settore idrico si distinguono dalle violazioni dei dati che dominano i titoli delle notizie perché, anziché sottrarre informazioni sensibili, gli aggressori hanno preso di mira l’OT con il chiaro intento di compromettere le infrastrutture critiche. L’incidente non ha riguardato tanto il furto quanto piuttosto la dimostrazione di quanto possano essere vulnerabili i sistemi di controllo industriale che mantengono in funzione i servizi essenziali. Modificando le password e gli indirizzi IP sui PLC esposti, gli autori degli attacchi hanno impedito agli operatori di accedere ai sistemi su cui facevano affidamento per monitorare e controllare le apparecchiature idriche, interrompendo la visibilità sulle prestazioni di tali sistemi. Diverse aziende di servizi sono state costrette a ricorrere alle operazioni manuali per garantire il flusso sicuro dell’acqua mentre lavoravano per riprendere il controllo.

Ciò che rende così preoccupante l’incidente è il quadro d’insieme. Nel corso della campagna che ha coinvolto diversi stati, i funzionari federali hanno segnalato conseguenze più gravi in alcune aree, tra cui avvisi di bollitura dell’acqua e cali di pressione idrica. I sistemi idrici sono diventati obiettivi allettanti per gli attacchi informatici perché molti si basano su sistemi OT esposti a Internet e gestiti da remoto, spesso collegati tramite dispositivi e modem obsoleti che non sono mai stati progettati considerando la sicurezza come una priorità. Inoltre, molte aziende di servizi pubblici, specialmente i sistemi municipali più piccoli, hanno una quantità di risorse gravemente limitata in materia di sicurezza informatica, in quanto non dispongono dei fondi e del personale necessari per proteggere ogni connessione. Di conseguenza, questo settore così essenziale da cui dipendono ogni giorno milioni di persone e aziende risulta protetto da sistemi che gli aggressori hanno scoperto essere relativamente facili da raggiungere.

Cosa può imparare il settore idrico dagli attacchi informatici negli Stati Uniti

Sebbene al momento della stesura di questo articolo le indagini siano ancora in corso, questi attacchi informatici al settore idrico hanno già messo in luce alcune vulnerabilità di sicurezza da cui le aziende di servizi idrici e fognari di ogni dimensione possono trarre insegnamento. Questo incidente ha dimostrato cosa può accadere quando vengono sfruttati sistemi esposti, credenziali deboli e lacune nei controlli di accesso di base. Per gli operatori del settore idrico e fognario, le lezioni illustrate di seguito sono sia urgenti che realizzabili.

Il rischio dell’OT esposta a Internet

La principale vulnerabilità in questi attacchi era l’accesso diretto all’OT dalla rete Internet pubblica. Gli aggressori hanno identificato e sfruttato PLC e modem cellulari esposti, compresi dispositivi non documentati installati da fornitori o operatori che non erano stati rilevati durante le scansioni di sicurezza di routine. Queste connessioni dimenticate o non gestite hanno fornito agli autori degli attacchi un percorso diretto verso i sistemi critici.

Le aziende idriche dovrebbero effettuare un inventario di ogni connessione esterna e partire dal presupposto che percorsi di accesso remoto non gestiti esistano già altrove nel proprio ambiente. L’OT non dovrebbe mai essere esposta direttamente a Internet. Gli operatori necessitano invece di un accesso remoto sicuro che crei un livello protetto tra Internet pubblico e i sistemi responsabili del funzionamento delle infrastrutture critiche.

Il pericolo delle credenziali predefinite e deboli

Molti PLC coinvolti in questo attacco erano protetti solo da password predefinite dal produttore o da credenziali deboli, il che ha consentito agli aggressori di effettuare l’accesso, modificare tali password e impedire agli operatori l’accesso ai sistemi. La lezione principale per il settore idrico è quella di eliminare tutte le password predefinite e imporre credenziali forti e univoche su ogni dispositivo e account. Le credenziali predefinite e condivise in modo non sicuro sono tra i modi più comuni con cui gli aggressori riescono a entrare, eppure sono anche tra le vulnerabilità di sicurezza più facili da correggere.

L’importanza della segmentazione della rete e dei backup offline

Il modo in cui Braham, nel Minnesota, ha reagito a questo incidente è la dimostrazione di quanto sia importante disporre di una preparazione accurata, poiché il personale è riuscito a ripristinare la situazione in meno di 90 minuti. Dopo aver rilevato la compromissione, ha isolato il sistema interessato, lo ha ripristinato da un backup e ha riavviato l’impianto, il tutto continuando a garantire ai residenti della città un servizio idrico ininterrotto. Ciò evidenzia come pratiche di ripristino efficaci possano ridurre l’impatto di un’intrusione e trasformare una potenziale crisi in una breve interruzione.

Il punto chiave è rafforzare la resilienza prima che si verifichi un attacco, segmentando i sistemi OT dai sistemi IT e dalla rete Internet pubblica, in modo che una violazione in un’area non si diffonda alle altre. Grazie a backup offline collaudati, gli operatori possono ripristinare rapidamente i sistemi quando si verifica un problema.

Perché le aziende di servizi pubblici più piccole sono particolarmente vulnerabili

La CISA ha sottolineato che gli aggressori prendono di mira gli enti idrici di tutte le dimensioni, non solo le grandi aree metropolitane. Si tratta di una grave preoccupazione, poiché le aziende di servizi pubblici municipali più piccole operano spesso con budget limitati e personale IT ridotto al minimo, il che le rende meno preparate a difendersi da questo tipo di attacchi. Le aziende di servizi pubblici più piccole dovrebbero riconoscere che anche quelle con risorse più limitate necessitano di controlli di accesso di base, e sempre più spesso non devono finanziarli da sole. A livello federale, il Programma di sovvenzioni per la sicurezza informatica a livello statale e locale (SLCGP) della CISA aiuta i governi statali, locali e territoriali a migliorare la loro resilienza in materia di sicurezza informatica, e i sistemi idrici municipali gestiti dagli enti locali possono richiedere questi finanziamenti tramite l’agenzia amministrativa del proprio stato. Anche diversi stati stanno iniziando a intervenire; ad esempio, New York ha recentemente annunciato oltre 9 milioni di dollari in sovvenzioni per la sicurezza informatica per aiutare a proteggere i sistemi idrici in tutto lo stato. Le aziende di servizi pubblici più piccole dovrebbero cercare attivamente questo tipo di finanziamenti e assistenza per colmare le lacune di sicurezza prima che vengano sfruttate.

In che modo Keeper Security aiuta a proteggere le infrastrutture critiche dagli attacchi informatici

Le raccomandazioni emanate dalle autorità in risposta a questi attacchi indicano tutte la stessa esigenza di fondo: un controllo granulare sugli accessi e sulle identità. Questo è esattamente ciò che la piattaforma unificata di sicurezza delle identità di Keeper è stata progettata per fornire. Grazie a un’architettura zero-trust e zero-knowledge, Keeper garantisce che l’accesso alle infrastrutture critiche sia verificato, crittografato e controllato in ogni fase, in modo che anche le connessioni a cui hanno attinto gli autori degli attacchi in Minnesota vengano bloccate prima che possano essere sfruttate.

Accesso remoto sicuro

Il principale punto debole in questi attacchi è stato il fatto che i sistemi OT erano raggiungibili direttamente dalla rete Internet pubblica. L’accesso remoto sicuro di Keeper per le infrastrutture elimina la necessità di tale esposizione rischiosa, fornendo agli operatori un accesso controllato ai PLC e ai sistemi di controllo senza lasciarli direttamente esposti a Internet. Invece di affidarsi a modem non sicuri e dispositivi esposti, le connessioni remote passano attraverso un canale sicuro e monitorato con Keeper.

Gestione delle credenziali e delle informazioni riservate

Default or weak credentials can make internet-facing devices easier for attackers to compromise. Keeper Password Management for Business helps enforce strong, unique credentials across accounts and replace default passwords that can give attackers an easy way in. By generating and securely storing credentials, Keeper helps close one of the easiest entry points and aligns with official recommendations to replace default passwords with strong, unique ones.

Per le identità delle macchine e le informazioni riservate che operano dietro le quinte, Keeper Secrets Manager supporta la rotazione automatizzata dei token API, degli account di servizio e di altre credenziali infrastrutturali. Ciò è importante perché, anche se un malintenzionato dovesse ottenere un accesso non autorizzato, credenziali uniche e regolarmente ruotate possono ridurre il rischio che una credenziale compromessa possa essere riutilizzata per spostarsi tra i sistemi.

Gestione degli accessi con privilegi (PAM)

Oltre a proteggere le singole credenziali, mettere in sicurezza le infrastrutture critiche significa controllare esattamente chi può accedere ai sistemi che le gestiscono. KeeperPAM^® applica il principio del privilegio minimo, in modo che utenti e fornitori abbiano solo l’accesso di cui hanno realmente bisogno, con il monitoraggio delle sessioni e il controllo delle connessioni privilegiate gestiti tramite KeeperPAM. Le funzionalità di Keeper sono in linea con le linee guida ufficiali per garantire che l’accesso remoto sia mediato, monitorato e controllato, e per limitare rigorosamente l’accesso di rete ai sistemi di controllo critici, offrendo agli operatori una maggiore capacità di rilevare e rispondere ad attività sospette prima che si aggravino.

Accesso remoto sicuro con Keeper

Gli attacchi informatici nazionali al settore idrico dovrebbero ricordare alle organizzazioni che nessun ambito è immune da tali aggressioni, nemmeno le infrastrutture critiche da cui le comunità dipendono quotidianamente. Man mano che gli attacchi informatici ai sistemi idrici si diffondono oltre i confini statali, questi incidenti evidenziano chiaramente come la protezione dei servizi essenziali dovrebbe iniziare dal controllo dell’accesso ai sistemi che li gestiscono. Keeper protegge sia l’accesso privilegiato che quello remoto grazie a un’architettura zero-trust e zero-knowledge che blocca le connessioni esposte e le credenziali deboli su cui fanno affidamento gli aggressori.

Richiedi una demo di KeeperPAM per scoprire come la tua organizzazione può proteggere le proprie infrastrutture più critiche.