Attacchi informatici ai PLC Rockwell Automation nel 2026: lezioni per gli utenti di sistemi legacy
July 28, 2026Il più grande incidente di sicurezza informatica del 2026, relativo a sistemi di tecnologia operativa (OT), si è verificato nell'arco di sei settimane questa primavera. Tra marzo e metà aprile, hacker iraniani hanno preso di mira sistematicamente quasi 4.000 PLC Rockwell Automation e Allen-Bradley esposti a Internet, dislocati in infrastrutture critiche statunitensi. La campagna ha portato a un avviso federale congiunto da parte di CISA, FBI, NSA, DOE, EPA e US Cyber Command il 7 aprile, seguito da un rapporto di Censys sull'esposizione al rischio il 10 aprile.
Gli ingegneri che utilizzano sistemi Rockwell di vecchia generazione (SLC 500, PLC-5, vecchi MicroLogix) dovrebbero prestare attenzione. Questo attacco è stato pianificato per anni.
Marzo 2026. L'attività di minaccia iraniana contro le infrastrutture critiche statunitensi si è intensificata notevolmente. Gli aggressori, affiliati a due gruppi principali, i CyberAv3ngers legati al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC) e Handala, legata al Ministero dell'Intelligence e della Sicurezza (MOIS), hanno iniziato una ricognizione sistematica dei dispositivi di controllo industriale esposti a Internet. Il loro obiettivo erano i PLC di Rockwell Automation esposti sulla porta 44818 tramite EtherNet/IP.
7 aprile. La CISA, l'FBI, la NSA, il Dipartimento dell'Energia (DOE), l'EPA e il Comando Cibernetico degli Stati Uniti hanno emesso un avviso congiunto confermando che gli aggressori avevano estratto file di progetto da dispositivi compromessi, manipolato display HMI e SCADA e distribuito malware di tipo wiper. Almeno un impianto idrico è stato costretto a passare alla gestione manuale dopo aver perso il controllo del PLC.
Il 10 aprile, Censys ha pubblicato dati sull'esposizione che mostrano 5.219 host a livello globale che risultano essere dispositivi Rockwell o Allen-Bradley raggiungibili tramite EtherNet/IP, di cui circa 3.900 negli Stati Uniti. La stragrande maggioranza era semplicemente connessa a Internet pubblica con le impostazioni predefinite.
Gli aggressori non hanno sfruttato vulnerabilità zero-day. Hanno utilizzato Shodan e Censys per individuare PLC a marchio Rockwell su internet, per poi tentare di sfruttare le credenziali predefinite e i comandi diretti di EtherNet/IP.
Qualsiasi PLC Rockwell Automation o Allen-Bradley con connettività Ethernet esposto a Internet pubblico rappresentava un obiettivo valido. I modelli interessati includevano ControlLogix (serie 1756, il modello di punta ampiamente utilizzato nelle infrastrutture critiche), CompactLogix (serie 1769, 5370, 5380, comuni nelle medie imprese manifatturiere e nelle utility), MicroLogix (serie 1100, 1400, più vecchi e ampiamente utilizzati in impianti più piccoli e siti remoti), SLC 500 con Ethernet (progettato negli anni '90 senza significative funzionalità di sicurezza) e PLC-5 con Ethernet (un progetto degli anni '80 ancora in uso nel settore petrolifero e del gas, idrico e nell'industria pesante).
Gli aggressori non necessitavano di funzionalità avanzate. EtherNet/IP implementa un'autenticazione minima per impostazione predefinita e molti siti non avevano mai modificato le password predefinite, disabilitato i servizi CIP non utilizzati o aggiunto un firewall tra i loro PLC e la rete del provider.
La campagna Rockwell del 2026 ha messo in luce una vulnerabilità strutturale trascurata per due decenni. Centinaia, forse migliaia, di sistemi SLC 500 e MicroLogix sono ancora in servizio attivo presso impianti idrici, centrali energetiche e fabbriche americane. Questi controllori sono stati progettati prima ancora che si pensasse ai PLC connessi a Internet. Non dispongono di autenticazione crittografica, avvio sicuro, controllo degli accessi basato sui ruoli e spesso nemmeno di un meccanismo di aggiornamento del firmware.
Non è possibile applicare patch a un PLC-5. Non esiste un aggiornamento che aggiunga la crittografia al bridge seriale-Ethernet di un SLC 500. I dispositivi sono quelli che sono.
Questo impone una scadenza improrogabile. La direttiva NIS2 dell'UE richiede la conformità entro ottobre 2026, con sanzioni pecuniarie consistenti, e si applica esplicitamente ai sistemi OT. Sebbene negli Stati Uniti manchi una normativa equivalente, i mandati settoriali di TSA, DOE ed EPA si stanno muovendo nella stessa direzione. Gli impianti che utilizzano PLC obsoleti esposti a Internet sono sempre più spesso in violazione delle normative, e questo era vero anche prima che i gruppi APT iraniani iniziassero a identificare i propri controller.
Il comunicato congiunto del 7 aprile chiarisce che le agenzie federali considerano ormai questi dispositivi un vettore attivo per la sicurezza nazionale.
Passaggio 1: Verifica ogni PLC presente nella tua rete. Utilizza Shodan, Censys o strumenti di rilevamento delle risorse OT (Dragos, Nozomi, Claroty) per identificare ogni dispositivo Rockwell presente nelle tue gamme di indirizzi IP pubblici. Nella scansione Censys, la maggior parte dei dispositivi esposti non era esposta intenzionalmente. Si trovavano dietro firewall configurati in modo errato oppure erano connessi per la risoluzione di problemi da remoto e non venivano mai disconnessi.
Passaggio 2: Rimuovere i PLC da Internet. Posizionare ogni PLC Rockwell raggiungibile sulla porta 44818 dietro un firewall opportunamente configurato. Per l'accesso remoto, utilizzare un modem cellulare con VPN, non una connessione Ethernet diretta. Isolare dalla rete i controller critici, ove possibile.
Passaggio 3: Eseguire l'aggiornamento ove possibile. I controller CompactLogix serie 5380 e 5480 più recenti offrono autenticazione tramite trusted-slot, estensioni di sicurezza CIP e verifica dell'integrità del firmware.
Passaggio 4: Per le piattaforme veramente obsolete come SLC 500 e PLC-5, bisogna accettare che non è possibile applicare patch. Sono disponibili tre opzioni. La segmentazione della rete con gateway unidirezionali utilizza dispositivi con diodo dati o gateway unidirezionali per consentire il monitoraggio del traffico in uscita, impedendo al contempo che i comandi in entrata raggiungano il controllore. La migrazione a una piattaforma più recente utilizza i programmi di migrazione di Rockwell per SLC 500 a CompactLogix e PLC-5 a ControlLogix, che sono maturi ma richiedono una pianificazione dei tempi di inattività. Se la migrazione non è immediata, è possibile implementare misure di sicurezza in loco: modificare tutte le password predefinite, disabilitare i servizi EtherNet/IP non utilizzati, limitare l'accesso tramite ACL e monitorare il traffico EtherNet/IP per rilevare comandi anomali.
Nessuna di queste soluzioni è perfetta. Ma qualsiasi è meglio che avere un gruppo APT iraniano che estrae i file del tuo progetto e sovrascrive il firmware del controller alle 2 del mattino di sabato.
Mentre le aziende si affannano a mettere in sicurezza o migrare i vecchi sistemi Rockwell, aumenta la domanda di moduli ControlLogix e CompactLogix di ricambio (serie 1756 e 1769) per la sostituzione di unità potenzialmente compromesse, di dispositivi di sicurezza Ethernet (dispositivi "bump-in-the-wire" che aggiungono autenticazione e ispezione del traffico senza modifiche al firmware del controller), di kit di migrazione da sistemi legacy a sistemi moderni (adattatori, chassis e alimentatori per la conversione da SLC 500 a CompactLogix) e di moduli Allen-Bradley difficili da reperire per le aziende che mantengono scorte di ricambi legacy durante migrazioni pluriennali.
L'inventario di TZTechio, che spazia dai moderni CompactLogix serie 5380 ai modelli I/O 1746 e 1771 di vecchia generazione, copre questa gamma. Quando un impianto idrico necessita di un 1756-L73 entro mercoledì, la disponibilità è fondamentale.
La campagna Rockwell del 2026 non è avvenuta in modo isolato. È l'ultimo di una serie di incidenti relativi agli straordinari che si sono intensificati a partire dal 2023.
Gli attacchi a Unitronics (2023-2024) sono stati attacchi di matrice iraniana contro PLC Unitronics di fabbricazione israeliana installati presso aziende idriche statunitensi, utilizzando la stessa strategia di scansione Shodan, credenziali predefinite e assunzione del controllo. La cancellazione di 80.000 dispositivi Stryker (marzo 2026) è avvenuta poche settimane prima della campagna Rockwell e ha cancellato 80.000 endpoint dall'infrastruttura di dispositivi medici. Non si è trattato di un incidente OT, ma ha dimostrato che le flotte di dispositivi critici per la sicurezza sono nel mirino. La scadenza del NIS2 (ottobre 2026) ha spinto gli Stati membri dell'UE a darsi da fare per soddisfare i requisiti relativi alla segnalazione obbligatoria degli incidenti, alla sicurezza della catena di approvvigionamento e alla gestione del rischio OT. La spinta normativa statunitense seguirà nel 2027.
Gli hacker hanno imparato che i sistemi di controllo industriale rappresentano il punto debole delle infrastrutture critiche. La campagna Rockwell del 2026 dimostra che non servono risorse statali per compromettere la maggior parte dei PLC. Basta una query Shodan e la volontà di provare le password predefinite.
Per chiunque sia responsabile di un sistema Rockwell preesistente, è giunto il momento di pianificare. Effettuate un audit dei vostri controller. Disconnetteteli da Internet. Se non potete proteggerli, migrateli prima che lo faccia qualcun altro al posto vostro.
---
*Fonti: CISA/FBI/NSA/DOE/EPA/US Cyber Command Joint Advisory, 7 aprile 2026; Censys Research Report, 10 aprile 2026; BleepingComputer; CNN; Defense One. Questo articolo è a scopo informativo e non costituisce consulenza in materia di sicurezza informatica o conformità. Consultare professionisti qualificati per il proprio specifico contesto.*
Continua a leggere, rimani aggiornato, iscriviti e ti invitiamo a dirci cosa ne pensi.
Inoltre, con il tuo permesso, vogliamo inserire cookie per rendere la tua visita e l'interazione con slOC più personale. Per questo utilizziamo cookie analitici e pubblicitari. Con questi cookie noi e terze parti possiamo tracciare e raccogliere il tuo comportamento su Internet all'interno e all'esterno di super-instrument.com. In questo modo noi e terzi adattiamo super-instrument.com e le pubblicità al tuo interesse. Facendo clic su Accetta accetti questo. Se rifiuti, utilizziamo solo i cookie necessari e purtroppo non riceverai alcun contenuto personalizzato. Ti invitiamo a visitare la nostra Cookie policy per maggiori informazioni o per modificare il tuo consenso in futuro.
Accept and continue Decline cookies
