#Iran #USA #Trump #Hormuz

Si parla di:ToggleNon un semplice blackout digitale, ma un tentativo — riuscito solo in parte — di trasformare un attacco informatico in un’emergenza sanitaria pubblica. FBI ed EPA hanno confermato che, dal 27 luglio 2026, impianti idrici e fognari di almeno sette stati americani sono stati colpiti da intrusioni coordinate contro controllori industriali esposti su internet. Un memo delle forze dell’ordine del Minnesota, il primo stato a rendere pubblico l’incidente, è ancora più esplicito sul movente: l’obiettivo dichiarato degli attaccanti non era interrompere il servizio, ma contaminare l’acqua potabile.Cosa è successo nel weekend del 26-27 luglioIl Minnesota ha rilevato attività ostile su oltre 30 sistemi idrici e fognari comunitari nella notte tra domenica 26 e lunedì 27 luglio. L’impianto idrico di Braham, una comunità di circa 1.700 abitanti, è stato messo completamente fuori uso e ripristinato in circa due ore passando alla gestione manuale. A Plymouth sono state disconnesse apparecchiature con connettività cellulare su due torri idriche e diverse stazioni di sollevamento fognario. South St. Paul e Maple Plain hanno mantenuto il servizio nonostante l’impatto sui controlli automatizzati, ma Maple Plain ha dichiarato lo stato di emergenza locale.L’incidente non si è fermato al Minnesota: il Wisconsin ha rilevato attività ostile sui propri impianti idrici nello stesso arco temporale, tanto da spingere il Dipartimento delle Risorse Naturali a ordinare “azioni immediate” agli operatori. Nell’avviso congiunto pubblicato giovedì, FBI ed EPA hanno confermato che utility idriche di almeno sette stati — non nominati pubblicamente — hanno segnalato incidenti dal 27 luglio in poi, in alcuni casi con degrado operativo reale.Il bersaglio tecnico: PLC Rockwell esposti su internetL’avviso FBI/EPA identifica con precisione l’equipaggiamento colpito: controllori logici programmabili (PLC) Allen-Bradley delle serie MicroLogix 1100 e 1400, prodotti da Rockwell Automation, raggiungibili direttamente da internet. Gli attaccanti hanno effettuato accesso remoto a questi dispositivi, modificandone indirizzo IP e password — di fatto scacciando gli operatori legittimi dalla possibilità di monitorare e controllare l’impianto. In almeno un caso, dopo aver notato discrepanze tra siti diversi, l’organizzazione vittima ha scoperto che gli attaccanti erano andati oltre, alterando direttamente i file di progetto del PLC: la logica ladder che governa il comportamento fisico di pompe e valvole.La fisica dietro l’obiettivo dichiarato dagli attaccanti si chiama backsiphonage. Le reti di distribuzione idrica lavorano in pressione positiva, tipicamente tra 40 e 80 psi, per spingere l’acqua verso gli utenti e tenere fuori dalle tubature eventuali contaminanti esterni. L’EPA fissa a 20 psi la soglia sotto la quale un evento di perdita di pressione viene classificato come pericoloso: scendere sotto quel valore in prossimità di un cross-connection — un punto in cui le tubature di distribuzione corrono vicino a fonti non potabili, come acque di falda, pozzi privati o linee fognarie — può risucchiare quei contaminanti all’interno del sistema attraverso giunti o crepe nelle tubature, lo stesso principio fisico di una cannuccia. La pericolosità dell’attacco sta nella combinazione di due capacità simultanee: manipolare i PLC per abbassare la pressione, e allo stesso tempo sopprimere gli allarmi che dovrebbero avvisare gli operatori del calo, lasciandoli con dashboard apparentemente normali mentre il sistema fisico è già in stato non sicuro.Nessuna contaminazione è stata confermata: il Dipartimento della Salute del Minnesota ha dichiarato che la qualità dell’acqua non è stata compromessa in nessuno degli impianti colpiti e non sono state emesse ordinanze di bollitura a livello statale.Chi c’è dietro: Iran, CyberAv3ngers e l’ipotesi false flagGli investigatori federali ritengono probabile il coinvolgimento di attori legati all’Iran, sebbene l’attribuzione non sia confermata. Il tempismo è indicativo: gli attacchi in Minnesota sono iniziati quattro giorni dopo che la CISA aveva aggiornato un avviso su larga scala riguardante l’espansione delle operazioni iraniane contro acqua, energia e infrastrutture governative statunitensi. Tre giorni prima degli attacchi, il gruppo Handala — attribuito al Ministero dell’Intelligence iraniano — aveva pubblicamente minacciato di colpire reti idriche, elettriche e di trasporto americane, proprio nello stesso giorno dell’aggiornamento CISA.Secondo i ricercatori di Tenable, il pattern operativo osservato in Minnesota è coerente con l’ecosistema CyberAv3ngers, gruppo collegato al Corpo delle Guardie Rivoluzionarie Islamiche che dal 2023 prende sistematicamente di mira le infrastrutture idriche statunitensi e sanzionato dal Tesoro USA nel febbraio 2024. Il contesto geopolitico è quello di un conflitto armato aperto tra Stati Uniti e Iran, iniziato il 28 febbraio 2026 e proseguito con un cessate il fuoco entrato in vigore ad aprile: le operazioni cyber iraniane contro le infrastrutture critiche americane sono continuate e si sono intensificate da allora.Gli inquirenti stanno però valutando anche un’ipotesi più inquietante: che chi ha condotto l’attacco abbia deliberatamente riutilizzato tattiche, strumenti e infrastruttura associati agli attori iraniani per costruire un’operazione false flag, capace di alimentare tensioni tra Washington e Teheran in un momento in cui i due paesi sono già in conflitto aperto. Nessuna attribuzione formale è stata effettuata; nessuna accusa è stata mossa.Uno scontro politico, un problema strutturaleLa vicenda ha acceso anche uno scontro politico interno: il presidente Trump ha respinto pubblicamente l’attribuzione all’Iran, attribuendo la responsabilità alla “grossolana incompetenza” del Minnesota e del governatore democratico Tim Walz. Walz ha risposto puntando il dito contro i tagli imposti dall’amministrazione Trump alla CISA, che secondo TechCrunch ha perso circa un terzo del proprio organico, incluso lo smantellamento della sua iniziativa anti-ransomware. Al di là della disputa politica, il problema strutturale resta: un’indagine EPA del 2024 ha rilevato che il 70% dei sistemi idrici ispezionati dal 2023 non rispettava gli obblighi di valutazione del rischio previsti dall’America’s Water Infrastructure Act, e un successivo rapporto dell’Inspector General ha individuato vulnerabilità critiche o gravi in 97 dei oltre 1.000 sistemi idrici controllati, per una popolazione servita di circa 26,6 milioni di persone.Cosa devono fare subito gli operatoriLe raccomandazioni congiunte di FBI, EPA e CISA per il settore idrico sono immediate e concrete: scollegare i PLC dall’accesso diretto a internet, sostituendo la connettività cellulare non protetta con VPN dedicate e autenticazione a più fattori dove l’accesso remoto resta necessario; cambiare tutte le password predefinite o deboli, dato che una quota significativa dei dispositivi compromessi utilizzava credenziali banali; confrontare i file di progetto dei PLC in produzione con backup offline noti per individuare eventuali discrepanze nella logica ladder, che possono persistere anche dopo un reset delle password; impostare fisicamente i selettori a chiave dei controllori in modalità “Run”, che blocca la modifica remota della logica anche in caso di compromissione di rete; e pianificare la sostituzione dei dispositivi a fine vita come le serie MicroLogix 1100/1400, che potrebbero non ricevere più aggiornamenti di sicurezza da Rockwell Automation.Un dettaglio da non sottovalutare riguarda i fornitori di servizi gestiti: l’avviso FBI segnala che configurazioni di rete replicate da uno stesso managed service provider su più clienti possono moltiplicare il successo di un singolo attacco su decine di impianti diversi — un rischio di supply chain che le utility idriche, spesso piccole e con personale IT limitato o assente, raramente hanno la capacità di verificare da sole.Indicatori tecnici e riferimentiDispositivi presi di mira: Rockwell Automation Allen-Bradley MicroLogix 1100 (PLC) Rockwell Automation Allen-Bradley MicroLogix 1400 (PLC) Tecnica osservata: Accesso remoto diretto a PLC esposti su internet Modifica di IP e password del dispositivo Alterazione dei file di progetto / logica ladder ("ladder logic discrepancies") Soppressione di allarmi e monitoraggio Attore sospettato: CyberAv3ngers / cluster IRGC-CEC (attribuzione non confermata da FBI) Possibile operazione false flag in corso di verifica Riferimenti ufficiali: FBI/EPA PSA - Malicious Cyber Actors Targeting Water and Wastewater Sector PLCs CISA Advisory AA26-097A (campagna ICS legata all'Iran)

Si parla di:ToggleMentre i missili iraniani cadevano sulle basi americane in Iraq e Bahrain nella primavera del 2026, qualcun altro stava già facendo il lavoro sporco a monte: individuare dove dormivano, mangiavano e lavoravano i soldati statunitensi. Non con un drone o un informatore, ma con un protocollo di telecomunicazioni progettato negli anni ’70 per instradare chiamate tra centrali telefoniche. Un’indagine del progetto no-profit Mobile Surveillance Monitor, ripresa dal Financial Times e da TechCrunch, sostiene che Teheran abbia sfruttato sistematicamente le debolezze di SS7 per tracciare il personale militare USA in Medio Oriente prima e durante il conflitto con Israele e Stati Uniti.Un protocollo vecchio quanto la Guerra Fredda tecnologicaSignaling System 7 (SS7) è l’infrastruttura di segnalazione che dagli anni ’70 permette agli operatori di rete 2G e 3G di scambiarsi informazioni su instradamento di chiamate, SMS e roaming. Il problema è noto da oltre un decennio agli specialisti di sicurezza delle telecomunicazioni: SS7 si basa su un modello di fiducia reciproca tra operatori che non prevede autenticazione robusta tra le reti. Chiunque abbia accesso — legittimo o comprato sul mercato grigio della sorveglianza — a un nodo SS7 può inviare query di tipo “Send Routing Information” (SRI) per ottenere la cella a cui è agganciato un numero di telefono, ottenendo così una localizzazione approssimativa del dispositivo, ovunque nel mondo, senza che l’utente se ne accorga.È la stessa classe di debolezza usata in passato da broker di sorveglianza commerciale e da servizi di intelligence per intercettare SMS di autenticazione a due fattori o localizzare dissidenti. Ciò che rende il caso iraniano rilevante non è la tecnica in sé, già documentata, ma la scala e il tempismo: un uso operativo in tempo di guerra, contro obiettivi militari di una potenza nucleare.La scoperta: un’impennata di query SS7 nel GolfoGary Miller, ricercatore che ha fondato Mobile Surveillance Monitor e collabora con il Citizen Lab dell’Università di Toronto, ha rilevato un’impennata anomala di “SS7 ping” — richieste ripetute di localizzazione — su reti di telecomunicazione di diversi paesi mediorientali. L’attività sarebbe iniziata a ridosso dell’operazione aerea congiunta USA-Israele contro i siti nucleari iraniani, per poi intensificarsi nei primi giorni del conflitto, quando l’Iran ha lanciato missili e droni contro le posizioni americane nella regione.I segnali intercettati indicherebbero un interesse mirato per numeri associati a basi militari e hotel utilizzati da personale e contractor statunitensi in Iraq, Bahrain e altri paesi della regione — non una raccolta indiscriminata, ma query concentrate su specifiche fasce numeriche e reti locali note per essere frequentate da soggetti occidentali.Non solo SS7: l’ad-tech come arma di sorveglianzaIl report segnala un secondo livello di raccolta, complementare a SS7: l’uso di tecnologie pubblicitarie commerciali (l’ecosistema RTB, “real-time bidding”) per identificare smartphone tramite advertising ID (IDFA/GAID) e correlarli, attraverso data broker, a posizioni geografiche precise. È la stessa superficie di rischio già segnalata da anni riguardo alla possibilità per chiunque compri dataset pubblicitari di ricostruire pattern di movimento di individui specifici — qui però applicata, secondo i ricercatori, a fini di targeting militare in un teatro di guerra attivo.La combinazione delle due tecniche — segnalazione telefonica di rete e dati pubblicitari commerciali — rappresenta un salto di sofisticazione rispetto alle classiche operazioni SS7 isolate: un attore statale che integra fonti SIGINT tradizionali con l’enorme mole di dati commerciali normalmente destinata al marketing.Timeline essenzialeFine febbraio 2026: primo aumento rilevato delle query SS7 sospette, in coincidenza con l’avvio della campagna aerea USA-Israele contro l’Iran.Marzo-aprile 2026: intensificazione del tracciamento durante lo scambio di attacchi missilistici e con droni contro le posizioni statunitensi in Iraq e Bahrain.14 luglio 2026: pubblicazione del report da parte del Financial Times, ripreso da TechCrunch, Security Boulevard e altre testate di settore.Due righe per i difensoriPer chi si occupa di sicurezza delle telecomunicazioni e di protezione del personale ad alto rischio (militari, diplomatici, giornalisti in zone di conflitto, dirigenti esposti), il caso ribadisce alcuni punti che il settore conosce ma fatica a far diventare prassi diffusa:Le difese SS7 lato operatore (firewall di segnalazione, filtri su messaggi SRI-SM/PSI provenienti da reti non attendibili) restano disomogenee a livello globale, specialmente in aree di conflitto dove la cooperazione tra operatori è debole.Il personale ad alto rischio dovrebbe evitare la SIM del proprio operatore domestico quando si muove in teatri sensibili, preferendo dispositivi dedicati, SIM locali “pulite” o soluzioni di comunicazione satellitare/crittografata che non transitano su rete 2G/3G tradizionale.La disattivazione del roaming 2G/3G e l’uso forzato di reti 4G/5G con autenticazione più robusta riduce, senza eliminarla, l’esposizione a query SS7 (il 4G usa Diameter, comunque non immune da abusi simili).Gli advertising ID dei dispositivi militari o di personale sensibile dovrebbero essere disattivati o randomizzati sistematicamente, e le app non essenziali rimosse prima di operazioni in teatri a rischio.Il caso si inserisce in un pattern più ampio: dal 2014 a oggi, ricercatori indipendenti e vendor di sicurezza mobile hanno ripetutamente dimostrato che SS7 resta uno dei punti ciechi più sottovalutati della sicurezza nazionale, proprio perché la sua debolezza non risiede in un bug patchabile ma nell’architettura stessa di fiducia tra operatori, difficile da riformare su scala globale in tempi brevi.Indicatori e pattern di rilevamentoNon essendo un malware ma un abuso di protocollo, non esistono IoC nel senso classico. I pattern che i team SOC delle telco e i CERT dovrebbero monitorare includono:# Pattern di rilevamento abuso SS7 (indicativi, non esaustivi) - Volume anomalo di messaggi SRI / SRI-SM verso uno stesso MSISDN o range di MSISDN in un intervallo di tempo ristretto (query ripetute = tentativo di tracciamento continuo) - Richieste PSI (Provide Subscriber Info) o ATI (Any Time Interrogation) originate da Global Title esterni non associati a roaming legittimo dell'abbonato - Origine dei messaggi SS7 da reti GT (Global Title) storicamente associate a broker di sorveglianza o a operatori "shell" con traffico legittimo minimo - Correlazione temporale tra query SS7 e attivazione di advertising ID dello stesso dispositivo in piattaforme RTB di terze parti - Assenza di firewall SS7/SIGTRAN conforme alle raccomandazioni GSMA FS.11 e FS.19La GSMA pubblica da anni linee guida (FS.11, FS.19) per il filtraggio del traffico di segnalazione: la loro adozione disomogenea, soprattutto fuori dai mercati occidentali, resta il vero tallone d’Achille che un attore statale come l’Iran può — e a quanto pare sa — sfruttare con costi minimi e attribuzione tutt’altro che scontata.