Iran e minacce cyber, così Londra rafforza la sicurezza delle infrastrutture energetiche

Un impianto energetico britannico è rimasto fermo per quattro giorni dopo un attacco informatico. Le dimensioni erano ridotte, l’interruzione non ha avuto conseguenze sulla rete nazionale e il governo di Londra ha precisato che in nessun momento vi è stato un rischio per la sicurezza dell’approvvigionamento del Paese. Ma l’incidente, avvenuto a luglio e attribuito da fonti di sicurezza ad hacker legati all’Iran, è stato sufficiente a mettere in allerta il settore energetico britannico.

A riferirlo è il Financial Times, secondo cui il National Cyber Security Centre (Ncsc) e il Department for Energy Security and Net Zero hanno incontrato i vertici delle aziende del comparto fornendo indicazioni, raccomandazioni e i prossimi passi da seguire dopo l’attacco.

Il nome e la localizzazione dell’impianto non sono stati resi pubblici. Londra ha descritto la struttura come uno “small-scale energy generator”, dunque un generatore di dimensioni limitate, e ha insistito su un punto: l’episodio non ha messo in pericolo il sistema energetico nel suo complesso. La precisazione è importante anche per definire correttamente la portata dell’accaduto. Non si è trattato di un blackout nazionale, né di un attacco capace di compromettere un segmento essenziale della rete britannica.

Resta tuttavia il fatto operativo: un’intrusione informatica è riuscita, secondo quanto riportato dalla stampa britannica, a produrre un effetto fisico e a interrompere per quattro giorni l’attività di un’infrastruttura energetica.

Il Sunday Telegraph, che per primo ha rivelato l’episodio, lo ha indicato come il primo caso conosciuto di questo tipo nel Regno Unito riconducibile ad attori legati all’Iran. Sul punto è necessaria cautela. Il governo britannico ha confermato l’incidente, ma nelle dichiarazioni pubbliche disponibili non ha formalmente attribuito l’operazione a Teheran. Il collegamento con hacker iraniani o filo-iraniani deriva dalle ricostruzioni delle fonti di sicurezza riportate dai media.

È proprio questo margine tra attribuzione tecnica, responsabilità politica e attività di gruppi apparentemente non statali a rendere il caso interessante.

Negli ultimi mesi le autorità britanniche avevano già segnalato un innalzamento del rischio proveniente dallo spazio cyber iraniano. Il Ncsc ha avvertito che attori statali iraniani e gruppi collegati all’Iran conservano capacità di condurre operazioni informatiche e ha invitato le organizzazioni britanniche, in particolare quelle maggiormente esposte agli effetti della crisi mediorientale, a rivedere i propri livelli di sicurezza. Tra le indicazioni figurava anche una particolare attenzione ai sistemi di controllo industriale, gli apparati digitali che regolano concretamente il funzionamento di impianti e infrastrutture.

La questione, dunque, precede l’incidente di luglio.

A fine maggio il governo britannico, insieme a Ncsc, Ofgem e National Energy System Operator, aveva pubblicato una nuova Energy Sector Cyber Security Strategy, una tabella di marcia quadriennale costruita attorno a un assunto piuttosto netto: l’infrastruttura energetica è sempre più digitalizzata, decentralizzata e interconnessa e, proprio per questo, offre una superficie di attacco più ampia rispetto al passato.

Nel documento Londra riconosce una crescita delle operazioni contro le infrastrutture critiche e osserva come gruppi hacktivisti e attori statali ad alte capacità cerchino sempre più spesso di raggiungere i sistemi industriali non soltanto per attività di spionaggio, ma anche per preparare o condurre azioni potenzialmente distruttive e disruptive.

Il caso emerso ora sembra inserirsi esattamente in questo spazio.

Il Financial Times richiama inoltre una serie di recenti operazioni contro infrastrutture idriche statunitensi attribuite a gruppi legati all’Iran. Tra questi compare CyberAv3ngers, formazione associata dalle autorità americane al Corpo delle Guardie della rivoluzione islamica. In precedenti campagne gli attaccanti hanno preso di mira programmable logic controllers, i dispositivi che permettono di automatizzare e controllare processi industriali.

Non esistono tuttavia, almeno pubblicamente, elementi sufficienti per affermare che l’attacco britannico abbia utilizzato lo stesso metodo. L’accostamento è utile piuttosto per comprendere l’evoluzione della minaccia: non più soltanto sottrazione di dati, campagne di phishing o defacement di siti internet, ma tentativi di interferire con il funzionamento concreto delle infrastrutture.

Per Londra il problema assume anche una dimensione geopolitica. La tensione con Teheran è aumentata parallelamente alla guerra in Medio Oriente e alla decisione britannica di consentire agli Stati Uniti di utilizzare basi nel Regno Unito per operazioni definite “difensive”. Il Corpo delle Guardie della rivoluzione islamica aveva avvertito che le basi impiegate per operazioni contro il territorio iraniano avrebbero potuto essere considerate obiettivi legittimi.

Questo non permette di stabilire automaticamente un rapporto diretto tra quelle dichiarazioni e l’attacco di luglio. Mostra però il contesto nel quale le autorità britanniche stanno leggendo il rischio.

C’è poi un secondo elemento, forse meno appariscente ma più rilevante nel medio periodo. La trasformazione del sistema energetico britannico sta moltiplicando generatori distribuiti, operatori, tecnologie digitali e fornitori connessi alla rete. La stessa strategia governativa riconosce che l’attuale disciplina sulla sicurezza delle reti copre soprattutto gli operatori più critici e non l’intero ecosistema energetico. Più aumenta il numero degli attori collegati al sistema, più diventa difficile ragionare soltanto in termini di protezione delle grandi centrali o delle infrastrutture strategiche tradizionali.

È anche per questo che l’incidente di luglio conta più per ciò che segnala che per il danno immediatamente prodotto.

Il governo britannico sta preparando una più ampia Energy Resilience Strategy, destinata ad affrontare insieme rischi climatici, vulnerabilità tecnologiche, minacce cyber e conseguenze delle tensioni geopolitiche. Nel frattempo, la strategia sulla sicurezza informatica del settore prevede entro la fine del 2026 un’esercitazione congiunta tra governo e industria per verificare la capacità di reagire a un attacco sofisticato contro il sistema energetico britannico.

Il piccolo impianto rimasto offline per quattro giorni non ha provocato blackout e non ha avvicinato il Regno Unito a una crisi energetica. Sarebbe fuorviante presentarlo in questi termini. Ha però mostrato concretamente una delle vulnerabilità su cui Londra lavorava già da mesi: la possibilità che un attore ostile riesca a passare dal dominio digitale a quello fisico, producendo un’interruzione reale del servizio.