Il panorama delle minacce in evoluzione nell'automazione industriale: un'analisi approfondita dei rischi e delle soluzioni per la cybersecurity

Principali Fonti di Minacce alla Cybersecurity nei Sistemi di Automazione Industriale

Internet rimane il principale punto di ingresso per le minacce informatiche ai sistemi di controllo industriale (ICS). Siti web dannosi, risorse online compromesse e servizi cloud sono vettori comuni di attacco. Inoltre, i cybercriminali spesso distribuiscono contenuti malevoli tramite piattaforme di messaggistica, rendendo più difficile la rilevazione e la prevenzione. Le email di phishing rivolte ai lavoratori negli ambienti ICS rappresentano un'altra fonte comune di attacchi, con gli aggressori che tentano di rubare informazioni sensibili o ottenere accessi non autorizzati.

Nel 2025, i dati hanno mostrato un leggero calo nel numero di computer ICS colpiti da minacce provenienti da queste fonti, anche se permangono differenze regionali. Ad esempio, l’Africa ha registrato la percentuale più alta di computer ICS bloccati da risorse internet inserite in denylist, raggiungendo quasi il 5%. In confronto, Australia e Nuova Zelanda hanno avuto la percentuale più bassa, pari al 2,35%. Tali disparità regionali possono spesso essere attribuite a variazioni locali nell’attività degli attori delle minacce e nell’adozione di pratiche di cybersecurity.

Aumento delle Minacce da Documenti Malevoli e Campagne di Phishing

Un’area che ha visto un aumento dell’attività di minaccia è quella dei documenti malevoli. Nel terzo trimestre del 2025, si è registrato un incremento dell’1,98% nella percentuale di computer ICS su cui sono stati bloccati documenti malevoli. Questo rappresenta una tendenza positiva, invertendo il calo registrato alla fine del 2024. La minaccia principale in questa categoria proviene da campagne di phishing che sfruttano vecchie vulnerabilità del software. Un caso notevole è stato l’uso della vulnerabilità dell’Equation Editor di Microsoft Office (CVE-2017-11882) per distribuire spyware in Sud America.

Questo aumento delle minacce da documenti malevoli sottolinea la necessità di una continua applicazione di patch e aggiornamenti dei sistemi software per chiudere le falle di sicurezza note. Inoltre, l’uso crescente di attacchi di phishing localizzati — come la recente campagna di phishing in lingua spagnola — evidenzia l’importanza della consapevolezza globale e dell’intelligence sulle minacce regionali nelle strategie di cybersecurity.

Script Malevoli e Pagine di Phishing: Una Preoccupazione in Crescita

Nel terzo trimestre del 2025, script malevoli e pagine di phishing sono diventati una delle categorie di minacce più diffuse per gli ICS, con un aumento del 6,79% delle istanze bloccate. Questa categoria ha mostrato una significativa variazione regionale, con Africa, Asia orientale e Sud America come le regioni principali per i blocchi di script malevoli. In Asia orientale, ad esempio, la percentuale di script malevoli bloccati è aumentata di ben 5,23 punti percentuali, trainata principalmente dalla diffusione di spyware tramite software client torrent.

Queste statistiche evidenziano una tendenza crescente nella distribuzione di malware attraverso piattaforme non tradizionali, come applicazioni di condivisione file e torrent. Questo cambiamento sottolinea la necessità per gli operatori ICS di implementare misure robuste di protezione degli endpoint e sicurezza di rete, in particolare per i sistemi che si basano su applicazioni software non tipicamente associate alle infrastrutture critiche.

Malware di Seconda Fase: Spyware, Ransomware e Miner

Una volta avvenuta l’infezione iniziale, gli aggressori spesso dispiegano malware di seconda fase, inclusi spyware, ransomware e cryptominer, per compromettere ulteriormente i sistemi della vittima. Nel terzo trimestre del 2025, spyware e ransomware sono stati bloccati rispettivamente sul 4,04% e sullo 0,17% dei computer ICS, mostrando un leggero aumento rispetto al trimestre precedente. Queste minacce sono particolarmente pericolose per la loro capacità di operare silenziosamente, spesso rimanendo inosservate per lunghi periodi.

D’altra parte, i miner — sia eseguibili che basati sul web — hanno registrato una diminuzione delle istanze bloccate, con un calo marcato ai livelli più bassi dal terzo trimestre del 2022. Questa tendenza potrebbe suggerire che, sebbene i miner rimangano una minaccia, la loro diffusione negli ambienti industriali potrebbe essere in calo, mentre gli aggressori si concentrano su forme di malware più sofisticate e meno rilevabili.

La Rinascita del Malware Auto-Propagante

Worm e virus, un tempo utilizzati principalmente per infezioni iniziali, si sono evoluti per funzionare come malware di seconda fase con la capacità di diffondersi autonomamente attraverso le reti. Questa natura auto-propagante li rende particolarmente pericolosi negli ambienti ICS, dove possono diffondersi rapidamente tramite supporti rimovibili infetti, condivisioni di rete o persino sistemi interni come le piattaforme di gestione documentale.

Nel terzo trimestre del 2025, la percentuale di sistemi ICS colpiti da worm e virus ha registrato un leggero aumento, raggiungendo rispettivamente l’1,26% e l’1,40%. Ciò indica che, sebbene la frequenza delle infezioni da worm e virus rimanga relativamente bassa, esse rappresentano ancora un rischio significativo per i sistemi industriali connessi in rete, specialmente quelli che si basano su software obsoleti o vulnerabili.

Implicazioni e Raccomandazioni per la Cybersecurity Industriale

I dati del terzo trimestre del 2025 evidenziano chiaramente la natura in evoluzione delle minacce informatiche rivolte ai sistemi di automazione industriale. Poiché i cybercriminali continuano a sviluppare tecniche sempre più sofisticate, le organizzazioni devono rimanere vigili e proattive nelle loro pratiche di sicurezza. Ecco alcune raccomandazioni chiave:

1. Gestione Regolare delle Patch: Assicurarsi che tutti i sistemi — in particolare il software soggetto a vulnerabilità note — siano regolarmente aggiornati è fondamentale per prevenire infezioni iniziali.

2. Formazione dei Dipendenti: Considerando l’aumento degli attacchi di phishing, educare i dipendenti a riconoscere email sospette e contenuti malevoli è una misura di difesa critica.

3. Rilevamento Avanzato delle Minacce: Sfruttare sistemi di rilevamento delle minacce basati su intelligenza artificiale può migliorare significativamente la capacità di un’organizzazione di identificare e mitigare minacce emergenti in tempo reale.

4. Segmentazione della Rete: Isolare i sistemi critici dalle parti meno sicure della rete può aiutare a contenere le infezioni e limitare la diffusione del malware.

5. Protezione degli Endpoint: Investire in misure robuste di sicurezza degli endpoint, specialmente per dispositivi che eseguono software meno comuni come client torrent o app di messaggistica, può prevenire l’ingresso di malware negli ambienti ICS.

Applicazione Pratica: L’Importanza della Cybersecurity nell’Automazione Industriale

L’implementazione di protocolli di cybersecurity solidi non è solo una precauzione — è una necessità. Ad esempio, un incidente in Asia orientale in cui spyware malevoli sono stati distribuiti tramite popolari client torrent dimostra come gli aggressori stiano sempre più prendendo di mira piattaforme meno convenzionali. Adottando framework di sicurezza completi, le organizzazioni di automazione industriale possono mitigare questi rischi e proteggere infrastrutture critiche.

Scenario di Soluzione: Un impianto di produzione che integra PLC per la produzione automatizzata può adottare strumenti di monitoraggio in tempo reale, che tracciano il traffico di rete e rilevano eventuali pattern insoliti associati ad attività di malware. Questo approccio proattivo potrebbe prevenire interruzioni significative causate da attacchi come ransomware o spyware, garantendo la continuità operativa e la protezione della proprietà intellettuale.