Oltre 2 milioni di impianti connessi in Italia, molti gestiti da remoto. Interfacce su internet e Modbus senza autenticazione: il profilo di rischio è lo stesso dei frigoriferi presi di mira.
Il bersaglio dopo i frigoriferi
I frigoriferi dei supermercati li hanno già fatti sbrinare a comando. La domanda ovvia è quale sia il prossimo oggetto connesso e poco presidiato. Un’analisi di CyberSecurity Italia punta sul fotovoltaico, e il ragionamento regge. In Italia, a fine 2025, gli impianti connessi alla rete sono oltre 2 milioni, per circa 43,5 GW. Una parte è roba del Conto Energia 2010–2013, con apparati di comunicazione ormai fuori supporto.
Perché sono esposti
Il punto debole non è il pannello, è il contorno digitale. Inverter, datalogger e gateway vengono gestiti da remoto, spesso tramite il cloud del produttore. Molti parlano Modbus, un protocollo industriale nato per funzionare in rete chiusa: nella versione su TCP viaggia in chiaro, senza password. Se lo esponi direttamente su internet, chi lo trova può leggerlo e, nei casi peggiori, scrivere comandi. Aggiungi firmware scaricabile pubblicamente, patch rare e siti non presidiati, e hai il quadro.
Dalla teoria all’attacco in ore
Non è più fantascienza mettere insieme i pezzi. I ricercatori di Claroty Team82 hanno mostrato che un agente di intelligenza artificiale, con supervisione umana, è arrivato a eseguire comandi come root su un dispositivo di laboratorio in circa 28 minuti e per sei dollari, partendo da vulnerabilità già pubbliche e dal firmware scaricato. Tradotto: la finestra tra «la falla è nota» e «qualcuno la sfrutta» si misura ormai in ore.
Non è solo mancata produzione
Il rischio più ovvio è l’impianto fermo o danneggiato. Ma su scala la cosa cambia natura. Il 29 dicembre 2025 in Polonia c’è stato un attacco coordinato a oltre 30 parchi eolici e fotovoltaici, mirato a RTU, HMI e relè di protezione nelle cabine di connessione. Non ha causato blackout, ma le forze cibernetiche polacche lo hanno definito il più forte colpo alle loro infrastrutture energetiche da anni, poi attribuito con media confidenza al gruppo russo Sandworm.
Cosa non sappiamo, e cosa resta da fare
Un’avvertenza onesta: l’articolo non conta quanti impianti italiani siano davvero esposti, e non segnala attacchi al nostro fotovoltaico in corso. È un’analisi di profilo di rischio, non un bollettino di vittime. Il consiglio tecnico che ne esce è sobrio: togliere gli asset OT dall’esposizione diretta su internet e, dove non arrivano le patch perché l’apparato è a fine vita, difendersi con la segmentazione di rete.
Fonte: CyberSecurity Italia
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Modbus senza password non è un difetto: è il protocollo che lavora come è stato progettato, trent’anni fa, per una rete isolata che non esisteva più nel momento in cui qualcuno ha deciso di esporlo su internet. Il problema nasce quasi sempre lì, in quella scelta fatta per comodità: aprire una porta per monitorare l’impianto da remoto, magari su richiesta dell’installatore, e poi dimenticarsene. Mi capita spesso, nei penetration test, di trovare interfacce di gestione raggiungibili da fuori che il cliente giurava fossero «interne». Non perché qualcuno sia stato sprovveduto, ma perché nessuno ha più messo gli occhi su quel pezzo di rete da quando l’impianto è stato collaudato.
C’è poi la questione del fine vita, e qui secondo me vale la pena non raccontarsela. Un datalogger del Conto Energia 2012 non riceverà mai più un aggiornamento, e sostituirlo ha un costo che molte aziende rimandano finché l’impianto produce. È una posizione comprensibile sul piano economico, un po’ meno su quello del rischio. Quando la patch non arriverà più, l’unica difesa seria che resta è la segmentazione: tenere quel dispositivo dietro un firewall, su una rete separata, lontano da internet e dai sistemi gestionali. Non è elegante, non risolve la vulnerabilità, ma riduce drasticamente chi può arrivarci. Nelle aziende con impianti produttivi questo pezzo – l’OT separato dall’IT – è ancora quello messo peggio, molto più degli uffici.
Se guardo dove sta andando, non mi aspetto il blackout da film. Mi aspetto una cosa più prosaica: ondate opportunistiche come quella dei frigoriferi, che scandagliano internet a tappeto cercando le solite porte aperte e colpiscono chi le lascia visibili, un impianto alla volta, senza un bersaglio preciso. Gli strumenti per automatizzare la scansione e lo sfruttamento costano ormai pochi euro, e questo sposta l’equilibrio: non serve più essere interessanti per essere raggiunti, basta essere esposti. Il fotovoltaico diffuso, fatto di tanti piccoli impianti simili tra loro e poco presidiati, è esattamente il terreno su cui questo tipo di campagna rende di più.