LUGLIO 2026 -
Cari soci,
leggevo nei giorni scorsi che i ricercatori della società di sicurezza informatica Darktrace hanno pubblicato l'analisi di un malware chiamato ZionSiphon progettato, presumibilmente da attori affiliati all’Iran, per compromettere gli impianti di trattamento delle acque in Israele. Il virus, costruito con conoscenza approfondita dei protocolli industriali e pensato per diffondersi via USB, avrebbe dovuto agire alterando i livelli di cloro e modificando la pressione degli impianti di desalinizzazione idrica fino a valori potenzialmente letali.
Avrebbe dovuto. Sembra infatti che un errore nel meccanismo di validazione lo porti, per ora, ad autodistruggersi prima di attivarsi.
Il punto su cui vorrei soffermarmi, però, non è tanto lo stato attuale del malware, quanto il fatto che esistono attori con la volontà e le competenze per sviluppare strumenti di questo tipo, in un contesto geopolitico in cui gli attacchi alle infrastrutture civili sono diventati parte integrante del conflitto ibrido. In altre parole: qualcuno ha progettato, sviluppato e diffuso un malware che sa come muoversi nei sistemi SCADA idrici, che conosce i parametri della clorazione, che si propaga via USB per superare i gap fisici delle reti air-gapped, e che ha come obiettivo esplicito la morte di persone.
Questa è la nuova frontiera dei conflitti asimmetrici: non serve bombardare un acquedotto se lo si può avvelenare con una chiavetta USB.
Vale allora la pena usare questo caso come spunto per un esercizio applicabile a qualsiasi operatore di infrastrutture critiche. Proviamo a chiederci: quante delle nostre infrastrutture nazionali sarebbero in grado di rilevare un malware come ZionSiphon prima che raggiunga i sistemi di controllo? Sono in atto, in questo momento, strumenti e procedure per rilevare anomalie in tempo utile? Sono state definite delle misure adottabili nell'immediato in caso di attacco? E, soprattutto, quanti operatori hanno mai eseguito un esercizio realistico di risposta a un incidente cyber-fisico?
La Direttiva NIS2, recepita nel nostro ordinamento, rappresenta un passo avanti importante nel definire obblighi più stringenti per i gestori di infrastrutture essenziali. Ma le norme, da sole, non bastano. Serve una cultura della sicurezza che penetri fino all’operatore di turno nell’impianto, che formi chi maneggia fisicamente i dispositivi di controllo. Gli esempi di domande proposti sono un punto di partenza per un ragionamento sulla resilienza operativa, e il momento giusto per porle è prima che un incidente renda la risposta urgente.
Maria Beatrice Versaci
(Newletter AIIC n. 04 (2026))
