In sintesi
- Un messaggio Telegram attribuito al gruppo filorusso NoName057(16) rivendica l’accesso al controllo di una centrale idroelettrica italiana, con una schermata associata al 29 ottobre 2026.
- L’immagine mostra un pannello HMI, ma secondo Cybersecurity360 non identifica l’impianto né il gestore e non documenta comandi impartiti o danni.
- In Francia, invece, produttori idroelettrici hanno segnalato attacchi reali a sistemi di supervisione e automazione: il tema delle interfacce di controllo esposte è concreto.
Una schermata, il simbolo dell’orso e un orologio che segna le 10:30 del 29 ottobre: è ciò che, allo stato attuale, sostiene la rivendicazione di NoName057(16) su una centrale idroelettrica italiana. Cybersecurity360 ha messo in fila ciò che si può verificare e ciò che resta propaganda. La distinzione è importante, ma non deve far abbassare la guardia a chi gestisce impianti con interfacce di controllo raggiungibili da Internet.
Cosa è successo
Secondo quanto ricostruito da Cybersecurity360, un messaggio pubblicato su Telegram e attribuito al gruppo filorusso NoName057(16) rivendica l’accesso al controllo di una centrale idroelettrica italiana. La rivendicazione circola sotto forma di schermata, associata al 29 ottobre 2026, che contiene l’anteprima di un video della durata di 1 minuto e 59 secondi.
Nell’anteprima si vede un pannello HMI (Human Machine Interface, l’interfaccia grafica con cui gli operatori supervisionano e comandano un impianto) intitolato “Centrale idroelettrica”. Compaiono anche il simbolo dell’orso usato dal gruppo e un orologio che indica il 29 ottobre alle 10:30.
Cosa è verificato e cosa no
Il punto, sottolinea Cybersecurity360, è che il messaggio esiste come schermata ma non identifica la centrale, il gestore né le conseguenze di un’eventuale intrusione. Non ci sono elementi che documentino comandi impartiti all’impianto o danni. In altre parole, è verificabile che la rivendicazione sia stata diffusa; non lo è, sulla base di quanto pubblicato, che l’accesso sia avvenuto nei termini descritti né che abbia avuto effetti.
Non si tratta di un episodio isolato. La testata ricorda un’altra rivendicazione, datata 11 ottobre, che riguardava un impianto idrico nazionale. Nel frattempo, oltralpe, produttori idroelettrici francesi hanno segnalato attacchi reali a sistemi di supervisione e automazione. Proprio il confronto con i casi francesi confermati, osserva Cybersecurity360, consente di distinguere le prove tecniche dalla propaganda.
Perché riguarda anche te
Per chi gestisce infrastrutture la lezione è doppia. Da un lato, una rivendicazione non verificata produce comunque effetti: genera allarme, costringe i gestori a verifiche straordinarie e può alimentare sfiducia verso i servizi essenziali. Nella lettura Nexim, è proprio questo il risultato che un gruppo può ottenere anche senza un danno tecnico dimostrato.
Dall’altro lato, i casi francesi indicano che i sistemi di supervisione e automazione degli impianti idroelettrici sono un bersaglio concreto, non teorico. La platea dei potenziali obiettivi, a nostro avviso, va oltre i grandi produttori: comprende gestori di piccoli impianti, utility del servizio idrico e amministrazioni locali che spesso si affidano a manutentori esterni con accesso remoto. Sono contesti in cui un’interfaccia di controllo pubblicata online per comodità operativa può restare dimenticata per anni.
Per le famiglie l’impatto diretto, sulla base dei fatti noti, non è documentato: la schermata non mostra conseguenze sul servizio. Ma l’energia e l’acqua che arrivano nelle case dipendono anche da questi sistemi, e la qualità dell’informazione conta: rilanciare rivendicazioni non verificate amplifica il messaggio di chi le diffonde.
Come proteggersi / Cosa fare
Le azioni che seguono sono buone pratiche di settore riconosciute per la protezione degli ambienti OT (Operational Technology) e non derivano da indicazioni specifiche relative a questo episodio.
Per gestori di impianti, utility e PA
- Censire cosa è esposto. Verificare, anche con scansioni dall’esterno, se HMI, sistemi SCADA, PLC o gateway di telemetria sono raggiungibili da Internet. Un’interfaccia di controllo non dovrebbe mai essere pubblicata direttamente in rete.
- Segmentare IT e OT. Separare la rete industriale da quella d’ufficio con firewall e zone di transito dedicate, consentendo solo i flussi strettamente necessari e documentati.
- Blindare gli accessi remoti. Telemanutenzione solo tramite VPN o jump server dedicati, con autenticazione a più fattori, account nominativi (niente credenziali condivise o predefinite) e sessioni abilitate su richiesta e a tempo.
- Controllare i fornitori. Inventariare i manutentori che dispongono di accesso remoto, revocare le utenze inattive e prevedere nei contratti requisiti di sicurezza sugli accessi.
- Monitorare e registrare. Conservare i log di accesso alle HMI e attivare il monitoraggio del traffico OT per individuare connessioni anomale, comandi fuori orario o modifiche non autorizzate ai parametri di processo.
- Preparare la risposta, anche comunicativa. Definire una procedura per verificare rapidamente una rivendicazione (confronto tra schermate, log e configurazione reale delle HMI), un piano per passare al controllo manuale locale e un canale per informare autorità competenti e cittadini senza amplificare la propaganda.
Per utenti privati
- Verificare prima di condividere. Una schermata su Telegram non è una prova: meglio attendere conferme di gestori o autorità prima di rilanciare notizie di attacchi a infrastrutture.
- Proteggere i propri dispositivi connessi. Chi ha impianti domestici controllabili da remoto (fotovoltaico, domotica, telecamere) dovrebbe cambiare le password predefinite, aggiornare il firmware e disattivare l’accesso da Internet se non serve.
Il punto di vista Nexim
Da operatore di rete, leggiamo questo episodio come un promemoria: la superficie d’attacco di un impianto non è la centrale in sé, ma ogni percorso di rete che porta alla sua interfaccia di controllo. Un’HMI raggiungibile da Internet, anche solo per comodità di un manutentore, è un problema a prescindere da chi lo rivendichi e da quanto la rivendicazione sia fondata. La difesa efficace parte dal perimetro: connettività dedicata e separata per la telemetria, accessi remoti centralizzati e tracciati, filtraggio e monitoraggio del traffico a monte. È su questi livelli che lavoriamo con utility e PA nell’ambito dei servizi di protezione DDoS e sicurezza di rete, partendo sempre da una mappatura di ciò che è davvero esposto.
Livello di rischio
Medio. La rivendicazione di NoName057(16) non identifica l’impianto né documenta comandi o danni, quindi non ci sono elementi per parlare di un incidente accertato in Italia. Il livello non è però basso, perché in Francia sono stati segnalati attacchi reali a sistemi di supervisione e automazione idroelettrici e le rivendicazioni su impianti italiani si sono ripetute, l’11 e il 29 ottobre.
Fonti
- I russi dentro centrali idroelettriche italiane? Facciamo chiarezza – Cybersecurity360