Sicurezza informatica OT: panoramica delle minacce del 2026 per l'industria francese

· 16 minuti di lettura
16 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

I sistemi industriali sono diventati l'obiettivo prioritario dei criminali informatici. Nel 2025, il 68% degli incidenti di sicurezza informatica segnalati all'ANSSI riguardava sistemi OT (Operational Technology), contro il 41% del 2022. La crescente interconnessione tra le reti IT e OT, accelerata dall’Industria 4.0, ha notevolmente ampliato la superficie di attacco di fabbriche, centrali elettriche e reti idriche.

Questa guida illustra le principali minacce OT individuate nel periodo 2025-2026, i settori più esposti in Francia e le misure concrete per ridurre la vostra esposizione.

Perché i sistemi OT sono diventati l'obiettivo numero uno​

Per decenni, i sistemi industriali sono stati protetti dall'air gap: il loro totale isolamento fisico dalle reti IT e da Internet. Questa protezione naturale è venuta meno con la digitalizzazione industriale.

I fattori che hanno cambiato le carte in tavola:

  • Convergenza IT/OT: i controllori logici programmabili (PLC), i sistemi SCADA e i sensori sono ormai collegati ai sistemi ERP, MES e al cloud per il monitoraggio remoto
  • Durata di vita delle apparecchiature: un controllore logico programmabile (PLC) ha una durata di vita compresa tra i 15 e i 25 anni. I PLC installati tra il 2005 e il 2010 funzionano spesso con sistemi operativi obsoleti (Windows XP, CE) per i quali non viene più fornito supporto
  • Protocolli privi di sicurezza nativa: Modbus, DNP3, Profibus e BACnet sono stati progettati per garantire l’affidabilità, non la sicurezza. Non supportano né l’autenticazione né la crittografia
  • Risorse limitate: un PLC o un RTU non dispone della potenza di calcolo necessaria per eseguire un antivirus o moderni algoritmi crittografici
  • Ciclo di aggiornamento lento: l’applicazione di una patch a un PLC può richiedere un fermo di produzione programmato — molte aziende rimandano gli aggiornamenti per anni

Conseguenza: i sistemi OT presentano una serie di vulnerabilità non corrette, protocolli non sicuri e una crescente esposizione di rete. Per un aggressore, si tratta di un bersaglio ideale.

Le 6 principali minacce OT nel 2026​

1. Ransomware industriale (ICS Ransomware)​

Il ransomware rimane la minaccia numero uno. Tuttavia, nel periodo 2025-2026, i gruppi di cybercriminali hanno sviluppato varianti specifiche per i sistemi industriali, in grado di:

  • Crittografare i file di configurazione SCADA (progetti Wonderware, Ignition, Siemens TIA Portal)
  • Modificare i parametri dei controllori per provocare un guasto fisico oltre alla crittografia
  • Sfruttare le interfacce OPC-UA e Modbus TCP per diffondersi lateralmente nella rete OT

Gruppi attivi in Europa: LockBit 3.0, BlackCat/ALPHV, Play e Cl0p hanno tutti preso di mira le industrie francesi nel periodo 2024-2025. Il settore manifatturiero rappresenta il 28% delle vittime di ransomware in Europa.

Impatto medio di un ransomware industriale:

  • Tempo di inattività della produzione: da 12 a 21 giorni
  • Costo totale (riscatto + ripristino + mancato guadagno): da 2,5 a 8 milioni di euro per una PMI
  • Tasso di pagamento del riscatto: il 42% delle aziende industriali paga (rispetto al 30% di tutti i settori)

Vettori di attacco più frequenti:

  1. VPN senza MFA compromessa tramite credential stuffing
  2. Accesso remoto da parte di fornitori di servizi di manutenzione (TeamViewer, AnyDesk) con credenziali condivise
  3. Phishing mirato agli ingegneri che hanno accesso ai sistemi OT
  4. Sfruttamento di vulnerabilità nelle interfacce uomo-macchina (HMI) esposte su Internet

2. Attacchi ai controllori logici programmabili (PLC/RTU)​

I controllori programmabili sono ormai presi di mira direttamente. Gli attacchi più sofisticati modificano la logica di programma (firmware o ladder logic) per:

  • Provocare arresti di emergenza indesiderati
  • Spingere le apparecchiature oltre i loro limiti di funzionamento normali
  • Nascondere i valori reali agli operatori (manipolazione dei dati di supervisione)

Vulnerabilità ricorrenti individuate dall'ANSSI (2024-2025):

ProduttoreTipo di vulnerabilitàCVE
Siemens S7-1500Overflow del buffer nel server Modbus TCPCVE-2023-46156
Schneider Electric M340Mancanza di autenticazione sulla porta FTPCVE-2024-8935
Rockwell Automation ControlLogixRCE tramite EtherNet/IP senza autenticazioneCVE-2024-6077
Mitsubishi MELSEC iQ-RDenial of Service tramite pacchetti malformatiCVE-2024-7419
Wago Serie 750Credenziali predefinite non modificateCVE-2023-4156

Misura preventiva fondamentale: isolare i controllori in VLAN dedicate, vietare le connessioni dirette dalla rete IT, utilizzare DMZ industriali conformi all'architettura Purdue.

3. Attacchi ai protocolli industriali privi di misure di sicurezza​

Modbus, DNP3, BACnet e Profinet sono stati progettati negli anni '70-'90 per garantire affidabilità e velocità. Nessuno di essi integra un sistema di autenticazione nativo. Qualsiasi dispositivo collegato alla stessa rete può:

  • Leggere tutti i registri di un controllore Modbus senza alcuna restrizione
  • Scrivere valori nelle bobine e nei registri senza autenticazione
  • Inviare comandi DNP3 ad apparecchiature di distribuzione elettrica o idrica

Tipo di attacco: un aggressore che accede alla rete OT (tramite una VPN compromessa, una postazione di manutenzione infetta o un cavo collegato fisicamente) può inviare direttamente comandi Modbus al controllore di una pompa o di un compressore.

Misure di mitigazione:

  • Implementare gateway industriali dotati di firewall applicativo che blocchino i comandi Modbus di scrittura non autorizzati (whitelist degli indirizzi IP di origine + codici funzione)
  • Implementare l’autenticazione reciproca TLS sulle comunicazioni OPC-UA
  • Monitorare le comunicazioni Modbus per rilevare codici funzione anomali (FC05/FC06/FC15/FC16 al di fuori delle finestre di manutenzione)

4. Attacchi alle interfacce HMI e SCADA​

Le interfacce uomo-macchina (IUM) e i server SCADA rappresentano spesso i punti deboli perché:

  • Funzionano su Windows Server (2012, 2016 o addirittura 2008) raramente aggiornato
  • Sono accessibili dalle reti IT per il monitoraggio della produzione
  • Dispongono di server web per l'accesso remoto (spesso senza MFA)

Scenario di attacco comune:

  1. L'autore dell'attacco compromette una postazione IT tramite phishing
  2. Scansione della rete → rileva un server SCADA Wonderware sulla porta 80
  3. Sfruttamento di una vulnerabilità web o delle credenziali predefinite
  4. Accesso al sistema di supervisione della produzione → modifica delle soglie di allarme per mascherare un'anomalia
  5. Distribuzione del ransomware dal sistema SCADA al resto della rete OT

Fact check 2025: La piattaforma Shodan elenca oltre 15.000 interfacce uomo-macchina (HMI) industriali accessibili direttamente da Internet in Francia, di cui circa 3.400 senza autenticazione configurata.

5. Attacchi alla catena di approvvigionamento (Supply Chain OT)​

La minaccia alla catena di approvvigionamento OT è in forte aumento. Consiste nel compromettere un dispositivo, un software o un fornitore prima che raggiunga la vittima finale.

Vettori identificati:

  • Firmware dannoso presente in router industriali o gateway IoT importati (principalmente dall'Asia) che contengono backdoor
  • Aggiornamenti software compromessi di software SCADA o librerie di protocolli industriali
  • Fornitori di servizi di manutenzione che accedono alla rete OT con i propri strumenti (chiavette USB, computer portatili) da altre sedi dei clienti infette
  • Integrazione di componenti di terze parti nei controllori logici (schede di comunicazione, moduli industriali) con firmware non verificato

Requisiti NIS2 direttamente correlati: l'articolo 21 della direttiva NIS2 impone esplicitamente la gestione della sicurezza della catena di approvvigionamento per i soggetti essenziali e importanti.

6. Minacce interne (Insider)​

Le minacce interne sono spesso sottovalutate nel settore. Esse riguardano:

  • Dipendenti insoddisfatti con accesso ai sistemi di controllo
  • Subappaltatori con accessi remoti permanenti non disattivati al termine dell'incarico
  • Sabotaggio intenzionale di sistemi critici (casi documentati nel settore idrico ed energetico)

Statistiche 2024 (rapporto DBIR di Verizon): il 18% degli incidenti OT coinvolge un attore interno o un fornitore di fiducia compromesso.

Misura chiave: Accesso Zero Trust — ogni accesso deve essere autenticato (MFA), limitato nel tempo e sottoposto a controllo. Un subappaltatore non deve mai avere un accesso permanente illimitato.

I settori più esposti in Francia​

1. Acqua e servizi igienico-sanitari​

Il settore idrico è il bersaglio numero uno degli attacchi OT secondo l’ANSSI ed Europol. I motivi:

  • Infrastruttura critica con impatto diretto sulla salute pubblica
  • Sistemi obsoleti (molti RTU Sofrel risalenti agli anni 2000-2010)
  • Personale spesso poco formato in materia di sicurezza informatica
  • Bilanci IT/OT limitati negli enti locali

Caso di riferimento: Nel febbraio 2021, un hacker ha modificato il livello di soda caustica in un impianto di trattamento delle acque in Florida tramite un accesso TeamViewer non protetto. Un operatore attento ha individuato l’anomalia in tempo. Lo stesso tipo di attacco è possibile su qualsiasi sistema SCADA idrico privo di rigorosi controlli di accesso.

In Francia, la normativa NIS2 classifica i gestori dei servizi idrici che riforniscono più di 10.000 abitanti come entità essenziali, con obblighi più rigorosi in materia di sicurezza informatica a partire dal 17 ottobre 2024.

2. Energia e reti elettriche​

Gli attacchi alle infrastrutture energetiche (produzione, trasporto, distribuzione) sono triplicati in Europa dal 2022. Sono a rischio i gestori delle reti di distribuzione (GRD), i produttori di energia rinnovabile e gli stabilimenti industriali dotati di sottostazioni elettriche.

Protocolli interessati: IEC 60870-5-101/104, IEC 61850 GOOSE, DNP3 — tutti privi di autenticazione nativa nelle loro versioni di base.

3. Industria farmaceutica e agroalimentare​

Questi settori sono caratterizzati da una forte regolamentazione (FDA 21 CFR Parte 11, EU GMP Allegato 11) e dall'utilizzo di sistemi OT critici. La contaminazione di un processo di produzione causata dall'interferenza con i controllori automatici può avere gravi conseguenze per la salute.

Gli attacchi volti a interrompere la produzione (sabotaggio concorrenziale) si stanno moltiplicando in questi settori ad alto valore aggiunto.

4. Enti locali e città intelligenti​

Le città intelligenti installano su larga scala sensori, attuatori e gateway IoT, spesso con budget destinati alla sicurezza insufficienti. L'illuminazione pubblica, la gestione dei parcheggi e i sistemi di trasporto urbano sono ormai tutti connessi — e potenzialmente vulnerabili.

Le 10 misure prioritarie per garantire la sicurezza del vostro OT nel 2026​

Livello 1: Nozioni di base (da svolgere immediatamente)​

1. Inventario di tutte le risorse OT Non è possibile proteggere ciò che non si conosce. Mappate tutti i controllori, i sistemi SCADA, le interfacce HMI, i gateway e le apparecchiature di rete, indicando il sistema operativo, il firmware, i protocolli e le connessioni. Utilizzate strumenti di rilevamento passivo (Nozomi Networks, Claroty, Dragos) che non interferiscano con la rete OT.

2. Segmentazione della rete IT/OT Isolate la vostra rete OT dalla rete IT utilizzando un firewall industriale o una DMZ dedicata. L'architettura Purdue (livelli da 0 a 5) rimane il punto di riferimento. Come requisito minimo: vietare qualsiasi comunicazione diretta tra PC da ufficio e controllori di campo.

3. Eliminazione degli accessi remoti non sicuri Verificate tutti gli accessi remoti esistenti (VPN, TeamViewer, AnyDesk, RDP). Disattivate quelli che non sono strettamente necessari. Per gli accessi legittimi, implementate l'autenticazione a più fattori (MFA) e limitate le fasce orarie di accesso.

4. Modifica delle credenziali predefinite Tutte le apparecchiature (PLC, switch, HMI, router) fornite con credenziali predefinite (admin/admin, root/root) devono essere modificate al momento della prima messa in servizio. Documentate le credenziali in un archivio di password sicuro (Bitwarden, HashiCorp Vault).

5. Backup delle configurazioni dei PLC Esportate e salvate i progetti TIA Portal, Unity Pro e Studio 5000 in modalità offline, in una posizione isolata dalla rete OT. In caso di attacco ransomware, il ripristino da un backup integro deve poter avvenire nel giro di poche ore, non di settimane.

Livello 2: Rafforzamento (da pianificare su un periodo di 6-12 mesi)​

6. Autenticazione forte per gli accessi remoti Implementare una VPN industriale con MFA (TOTP o FIDO2) per tutti gli accessi remoti — tecnici interni, subappaltatori, integratori. Ogni sessione deve essere registrata (session recording) a fini di audit.

7. Monitoraggio dei comportamenti di rete OT (NDR) Implementate una sonda di monitoraggio passivo sulla vostra rete OT per rilevare anomalie di comunicazione: nuove apparecchiature, codici funzione Modbus insoliti, comunicazioni verso indirizzi IP sconosciuti, modifiche al firmware. Le soluzioni Nozomi Networks, Claroty e Dragos sono leader di mercato.

8. Gestione delle vulnerabilità OT Iscrivetevi alle newsletter sulla sicurezza dei vostri produttori (Siemens ProductCERT, Schneider Electric PSIRT, Rockwell Automation Security Advisories). Valutate i CVE critici (CVSS ≥ 7,0) e pianificate l'applicazione delle patch durante le prossime finestre di manutenzione.

9. Piano di risposta agli incidenti OT Documentare il processo specifico di risposta agli incidenti OT: chi contattare (ANSSI se si tratta di un’entità NIS2), come isolare un segmento compromesso senza interrompere la produzione, procedure di ripristino dai backup. Testare il piano una volta all’anno tramite simulazione.

10. Formazione dei team (OT Security Awareness) Gli ingegneri dell'automazione non hanno generalmente ricevuto una formazione in materia di sicurezza informatica. Sessioni di 2-4 ore dedicate alle minacce specifiche dell'OT, al phishing, alla gestione delle chiavette USB e agli accessi remoti sicuri riducono significativamente il rischio interno.

In che modo Eziwan soddisfa i requisiti di sicurezza OT​

Il gateway e la piattaforma Eziwan sono stati progettati fin dall'inizio considerando la sicurezza OT come un requisito non funzionale critico.

Architettura Zero Trust:

  • Tutte le comunicazioni gateway → cloud sono crittografate con TLS 1.3 con autenticazione reciproca tramite certificato X.509
  • Ogni gateway dispone di un identificativo univoco e non modificabile, preconfigurato in fabbrica (Device Identity)
  • Nessuna porta in entrata aperta sul gateway: le connessioni vengono avviate esclusivamente dall’OT verso il cloud (modello push)

Controllo granulare degli accessi remoti:

  • VPN OpenVPN/IPSec con autenticazione a più fattori (MFA) obbligatoria per tutti gli accessi remoti
  • Sessioni a tempo limitato (scadenza automatica configurabile: 1 ora, 4 ore, 24 ore)
  • Registro di audit completo: chi si è connesso, da quale indirizzo IP, per quanto tempo, quali azioni sono state eseguite
  • Accesso dei subappaltatori: restrizione in base all’indirizzo IP di origine, al dispositivo di destinazione e alla fascia oraria

Monitoraggio OT integrato:

  • Rilevamento di anomalie nei valori Modbus (variazione fuori intervallo, valore bloccato, comunicazione interrotta)
  • Avvisi in tempo reale via SMS/e-mail in caso di anomalie rilevate
  • Cronologia completa dei valori per l'analisi post-incidente

Hosting sovrano:

  • Infrastruttura ospitata in Francia (AWS Parigi eu-west-3), ISO 27001
  • Dati non trasferiti al di fuori dell'UE
  • Conformità al GDPR, alla direttiva NIS2 e ai requisiti dell'ANSSI

Lista di controllo per la sicurezza OT 2026​

Utilizzate questa checklist per valutare il vostro livello di maturità in materia di sicurezza informatica OT:

Governance

  • Mappa aggiornata delle risorse OT (inventario completo)
  • Politica di sicurezza OT formalizzata e approvata dalla direzione
  • Responsabile della sicurezza informatica OT designato (o MSSP specializzato)
  • Classificazione dei sistemi in base alla criticità (livelli di sicurezza IEC 62443)

Architettura di rete

  • Segmentazione IT/OT con firewall/DMZ industriale
  • VLAN dedicate per zona Purdue (livelli 0, 1, 2, 3)
  • Nessuna apparecchiatura OT accessibile direttamente da Internet
  • Nessuna connessione diretta tra postazioni IT d'ufficio e controllori di campo

Accessi e identità

  • Rimozione delle credenziali predefinite su tutte le apparecchiature
  • MFA implementato su tutti gli accessi remoti (VPN, RDP, SCADA web)
  • Accessi dei subappaltatori limitati (durata, ambito, fascia oraria)
  • Registro di audit degli accessi remoti archiviato per ≥ 1 anno

Manutenzione e aggiornamenti

  • Processo di gestione delle vulnerabilità OT documentato
  • Backup delle configurazioni dei controllori testati e archiviati fuori dalla rete
  • Procedura di aggiornamento del firmware pianificata durante le finestre di manutenzione

Rilevamento e risposta

  • Monitoraggio dei comportamenti di rete OT (NDR o SIEM OT)
  • Piano di risposta agli incidenti OT documentato e testato
  • Procedura di notifica all'ANSSI (obbligatoria per i soggetti NIS2)
  • Contatti di emergenza per la sicurezza informatica identificati (CERT interno o esterno)

Domande frequenti — Sicurezza informatica OT e minacce nel settore industriale nel 2026​

Un ransomware che colpisce la rete IT può raggiungere i controllori OT?

Sì, se le reti OT e IT sono interconnesse senza una segmentazione rigorosa. È esattamente il vettore di diffusione di NotPetya (2017) e di numerosi incidenti industriali verificatisi da allora. Il ransomware crittografa i server IT, si diffonde tramite Active Directory e le condivisioni di rete e, se la rete OT si trova sulla stessa LAN o è accessibile tramite lo stesso dominio Windows, vengono colpite le postazioni di supervisione SCADA e, talvolta, i controllori logici programmabili (PLC).

I controllori Siemens o Schneider possono essere infettati direttamente da un malware?

I controllori logici industriali non si “infettano” nel senso classico del termine (non hanno un file system standard, né consentono l’esecuzione di codice arbitrario tramite i vettori usuali). Tuttavia, possono essere riprogrammati da remoto se si ottiene l’accesso (cfr. Stuxnet). Il rischio reale consiste più spesso nell’arresto o nella manipolazione dei controllori da parte di un operatore compromesso o tramite un accesso remoto non adeguatamente protetto, piuttosto che in un’infezione diretta del firmware.

Qual è l'obbligo di notifica all'ANSSI in caso di incidente OT ai sensi della direttiva NIS2?

Per i soggetti soggetti alla normativa NIS2 (soggetti essenziali e soggetti rilevanti), l'obbligo prevede: notifica preliminare entro 24 ore se l'incidente è suscettibile di avere un impatto significativo, relazione intermedia entro 72 ore, relazione finale entro un mese. La notifica all’ANSSI può essere effettuata tramite l’apposito modulo disponibile sul suo sito web. Il mancato rispetto di tali obblighi espone a sanzioni che possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale.

Le soluzioni di segmentazione della rete OT sono molto costose per una PMI?

No. Una segmentazione di base (VLAN OT/IT su uno switch gestibile da 200-400 €, con regole restrittive tra le VLAN) è alla portata di qualsiasi PMI. Per un livello superiore, i firewall industriali compatti (Stormshield SNi40, Fortinet FortiGate Rugged) partono da 500-800 €. La segmentazione rappresenta la soluzione con il miglior rapporto costo/efficacia nella sicurezza informatica OT: contiene gli incidenti prima che si diffondano.

È necessario disattivare i protocolli non sicuri come Modbus TCP sulla rete OT?

Sulla rete OT interna, il protocollo Modbus TCP può rimanere attivo: la sua mancanza di autenticazione è accettabile in una rete fisicamente isolata e segmentata. L'errore critico consiste nell'esporre la porta Modbus (502) su Internet o sulla rete IT senza alcun controllo. La priorità è garantire che nessuna porta OT sia accessibile dall’esterno, non necessariamente sostituire Modbus con un protocollo più sicuro nel breve termine.

Conclusione​

La sicurezza informatica dei sistemi OT non è più un'opzione per le aziende industriali francesi. La direttiva NIS2, i requisiti della norma IEC 62443 e la realtà degli incidenti (ransomware, attacchi alle reti idriche, sabotaggi alle infrastrutture energetiche) rendono indispensabile la protezione dei sistemi OT.

La buona notizia: contrariamente a quanto pensano molti operatori del settore, non è necessario rifare tutto da capo per ottenere progressi significativi. Le 5 misure fondamentali presentate in questa guida — inventario, segmentazione, eliminazione degli accessi non sicuri, credenziali predefinite, backup — riducono dell’80% il rischio di incidenti gravi, con costi e complessità ragionevoli.

Il vostro prossimo passo: effettuate un audit OT della vostra infrastruttura (Eziwan offre un audit gratuito delle vostre connessioni remote) e individuate le 3 azioni prioritarie da attuare nei prossimi 30 giorni.

Articolo redatto dal team di Eziwan. Eziwan è un fornitore di gateway IIoT e di piattaforme di supervisione industriale per le PMI, gli enti locali e gli integratori di automazione francesi. Scopri il nostro approccio alla sicurezza OT →

Risorse aggiuntive​