CISA ha messo un numero su una campagna contro il settore idrico: a luglio ha osservato attività malevola contro oltre 100 sistemi esposti su internet nel Water and Wastewater Systems sector, spesso tramite PLC collegati direttamente a un modem cellulare. Il quadro non è quello di incidenti sparsi, ma di una superficie esposta abbastanza ampia da essere individuata e riusata in serie.
Il punto debole è il controller raggiungibile dall’esterno. Se un PLC resta accessibile dal web o da una connessione cellulare aperta, può essere sondato e alterato senza passare da un punto d’ingresso IT tradizionale. CISA collega questa ondata ad attori affiliati all’Iran e la considera abbastanza concreta da accompagnarla con indicazioni per ridurre l’esposizione internet degli impianti OT.
Per gli operatori idrici, soprattutto i piccoli gestori, il rischio non è un singolo host compromesso ma il confine stesso tra rete interna e internet. Se quella frontiera resta aperta, lo stesso schema può essere ripetuto su altri siti e in altri stati, con un impatto che dipende più dalla raggiungibilità del PLC che dalla presenza di malware visibile.