Perché il rischio sul fotovoltaico: nell’analisi di cyber intelligence effettuata da Wateronmars di Alex Orlowski, visionata da Cybersecurity Italia, si legge inverter, datalogger, gateway e RTU condividono lo stesso profilo di rischio dei refrigeratori connessi ad internet della società Danfoss e mandati in tilt nei giorni scorsi in diversi Paesi dell’Ue. Inoltre, gli impianti fotovoltaici analizzati presentano anche il cloud del produttore come via di controllo, Modbus/TCP privo di autenticazione e siti non presidiati.

Il 29 dicembre 2025 in Polonia un attacco informatico coordinato ha colpito numerosi siti del sistema elettrico connessi alla generazione distribuita, in particolare il bersaglio sono stati oltre 30 parchi eolici e fotovoltaici attraverso le cabine di connessione alla rete (RTU, HMI, relè di protezione).

Sebbene l’offensiva non abbia avuto successo e non abbia causato interruzioni nella fornitura di elettricità, è stata classificata dal comando delle forze cibernetiche polacche come il più forte attacco alle infrastrutture energetiche degli ultimi anni.

Il 23 gennaio, ricercatori di sicurezza hanno attribuito con un livello di confidenza medio la responsabilità al gruppo state-sponsored russo Sandworm. 

Secondo l’analisi di cyber intelligence effettuata da Wateronmars di Alex Orlowski, e visionata da Cybersecurity Italia, dopo i cyber attacchi agli impianti frigoriferi e dei refrigeratori della Grande Distribuzione Organizzata (GDO) di decine di supermercati in otto Paesi europei, Italia compresa, il prossimo bersaglio potrebbero essere gli impianti fotovoltaici, proprio come già avvenuto in Polonia un anno fa.

Perché il rischio anche per il fotovoltaico

In Italia a fine 2025 risultavano connessi oltre 2 milioni di impianti fotovoltaici per circa 43,5 GW, in gran parte gestiti da remoto tramite datalogger, gateway e piattaforme cloud dei produttori. Il parco installato include impianti del Conto Energia (2010–2013) con apparati di comunicazione ormai fuori supporto.

Questi impianti fotovoltaici hanno lo stesso profilo di rischio OT dei controllori Danfoss, la società danese di proprietà della maggior parte dei refrigeratori attaccati di recente, forzando da remoto lo sbrinamento con temperature portate fino a 50 °C.

Danfoss attribuisce la maggior parte delle compromissioni a modelli fuori

supporto (AK-SM 800, AK-SC 355) o ad AK-SM 800A con firmware non aggiornato, esposti direttamente su internet.

Il nuovo fattore

Il 13 ottobre Claroty Team82 ha mostrato che un agente AI di coding (Claude Sonnet 4.6 via Cursor), partendo dalle vulnerabilità ed esposizioni comuni pubbliche e dal firmware scaricabile dal sito del produttore, ha riprodotto le vulnerabilità e ottenuto esecuzione di comandi come root su un dispositivo di laboratorio in circa 28 minuti e 6 dollari, con supervisione umana. La finestra tra divulgazione e sfruttabilità si misura ormai in ore.

Perché riguarda il fotovoltaico

Secondo l’analisi cyber intelligence effettuata da Wateronmars di Alex Orlowski, inverter, datalogger, gateway e RTU degli impianti fotovoltaici analizzati in Italia condividono lo stesso profilo di rischio (interfacce esposte, firmware pubblico, patch rare, parco installato datato) dei refrigeratori attaccati, con tre aggravanti specifiche: il cloud del produttore come via di controllo, Modbus/TCP privo di autenticazione e siti non presidiati.

Per cui Orlowski consiglia ai CISO l’audit di esposizione su tutti gli impianti gestiti entro 30 giorni, con lista di remediation ordinata per rischio.

La catena del freddo, la situazione in Italia

Nella notte tra l’11 e il 12 ottobre 2026 un attacco ai controllori di refrigerazione

Danfoss ha forzato lo sbrinamento dei banchi frigo di circa 700 supermercati francesi, con temperature fino a 50 °C, con la merce da buttare. Una seconda ondata ha colpito sette Paesi europei e, il 2 novembre, almeno quattro punti vendita Coop in Sicilia. Ma attenzione all’attribuzione: le principali catene italiane hanno dichiarato di non utilizzare le tecnologie Danfoss coinvolte all’estero. Per gli episodi italiani il vettore tecnico non è confermato e va trattato come ipotesi.

Al momento, l’Agenzia per la Cybersicurezza Nazionale, si legge sul suo sito, ha ricevuto una notifica Nis di incidente da parte di un’azienda toscana operante nel settore della ristorazione collettiva; ha rilevato, non ancora notificato, un attacco ai danni di un’impresa emiliana della produzione di surgelati. L’Agenzia ha intensificato ogni monitoraggio vista la capillare distribuzione territoriale del settore per individuare ogni ulteriore possibile caso di attacco ed invita tutti gli operatori della distribuzione alimentare e della filiera del freddo ad attivare le misure urgenti di verifica e mitigazione.

Le Azioni immediate indicate da ACN

Cosa abbiamo imparato

“Il fattore decisivo”, commenta a Cybersecurity Italia, Alex Orlowski “è il fine vita dei dispositivi e il mancato aggiornamento, prima della singola vulnerabilità ed esposizioni comuni: senza patch disponibili, l’unica difesa è la rete”.

“Un asset OT raggiungibile da internet”, aggiunge, “è attaccabile senza violare la rete interna dell’organizzazione. L’effetto è fisico ed economico immediato: merce, incendi, chiusure, spreco”.

“Nel fotovoltaico”, conclude Orlowski, “l’equivalente è la mancata produzione, danno agli apparati e, su scala, instabilità di rete”.

Vai al sito di Cybersecurity Italia.

L'articolo La tecnica del cyber caos, dopo i refrigeratori il prossimo bersaglio gli impianti fotovoltaici? sembra essere il primo su CyberSecurity Italia.