Nel mondo della Cybersecurity OT (Operational Technology), il 2025 verrà ricordato come l’anno in cui gli attaccanti hanno smesso di comportarsi come semplici hacker informatici per iniziare a ragionare come ingegneri di processo.

Il report Dragos “OT/ICS Cybersecurity Year in Review 2026” evidenzia un fenomeno critico che sta ridefinendo il concetto di rischio per il settore manifatturiero e delle infrastrutture critiche: il Control Loop Mapping (Mappatura dei Cicli di Controllo). In Cybermatix, abbiamo analizzato questa tendenza per capire come proteggere concretamente i nostri clienti.

Cos’è il Control Loop Mapping?

Per anni, l’obiettivo principale di un attacco cyber a una fabbrica era l’accesso alla rete: entrare nel sistema, criptare i dati (Ransomware) o spiare le comunicazioni. Il Control Loop Mapping sposta l’asticella molto più in alto.

Si tratta di un’attività di ingegneria inversa finalizzata a comprendere la relazione fisica tra sensori, controllori (PLC) e attuatori. L’attaccante non vuole solo “entrare nel computer”, vuole capire esattamente quale variabile modificare per causare un danno fisico reale, un fermo produzione o, nel peggiore dei casi, un incidente ambientale o di sicurezza sul lavoro.

L’Anatomia dell’Attacco: Come agiscono gli avversari

Secondo i dati Dragos, l’attacco non è più impulsivo ma estremamente metodico. Ecco le fasi identificate nel corso del 2025:

• Compromissione della Workstation di Ingegneria: È il “Sacro Graal” per un hacker industriale. Una volta ottenuto l’accesso al PC del progettista o del manutentore, l’attaccante ha le chiavi del regno.
• Esfiltrazione di Asset Critici: Non vengono rubate email, ma file di progetto PLC (come estensioni .ap15, .pro, .sta), liste di I/O, schemi elettrici in PDF e database degli allarmi.
• Analisi della Logica di Processo: Gruppi come AZURITE e PYROXENE analizzano questi file per identificare i “punti di pressione”. Cercano di capire, ad esempio, quale valvola regola la pressione di un serbatoio e quali sono le soglie di allarme che ne impediscono l’esplosione.
• Mappatura del Ciclo di Controllo: L’avversario ricostruisce il diagramma di flusso del processo. Ora sa che se manipola il segnale del sensore X, il PLC non interverrà, permettendo all’attuatore Y di operare fuori dai limiti di sicurezza.

I Protagonisti della Minaccia

Il report Dragos identifica attori specifici che hanno perfezionato questa tecnica:

• AZURITE: Un nuovo gruppo focalizzato quasi esclusivamente sull’esfoliazione di dati tecnici dalle workstation di ingegneria per preparare attacchi su misura.
• KAMACITE: Un gruppo “veterano” che conduce ricognizioni mirate sui dispositivi esposti (come i gateway cellulari o i drive industriali) per ricostruire le topologie di rete e i flussi di controllo.
• SYLVANITE: Specializzato nell’aprire varchi e “mappare” le vulnerabilità dei dispositivi perimetrali, facilitando il lavoro di chi dovrà poi analizzare la logica di processo.

Il Rischio della “Cecità Operativa”

Uno dei dati più scioccanti del report è che il 30% degli incidenti OT nel 2025 è stato rilevato solo perché “la macchina si comportava in modo strano”. In assenza di un monitoraggio attivo della rete, le aziende non avevano strumenti per distinguere un guasto meccanico da un’attività di mappatura o sabotaggio in corso.

Meno del 10% delle reti industriali mondiali ha oggi una visibilità completa su ciò che accade a livello di protocolli industriali (modbus, profinet, ethernet/ip, ecc.).

La Visione di Cybermatix: Difesa Proattiva e Compliance

In Cybermatix, integriamo le evidenze del report Dragos nelle nostre soluzioni per offrire una difesa reale:

• Security by Design: Progettiamo la logica dei PLC non solo per funzionare, ma per essere resiliente. Implementiamo controlli di integrità del codice e segmentazione che rendono il “Control Loop Mapping” estremamente difficile e costoso per l’attaccante.
• Visibilità Totale: Implementiamo sistemi di monitoraggio che non guardano solo “chi parla con chi”, ma analizzano il contenuto dei messaggi industriali. Se qualcuno tenta di scaricare un file di progetto o modificare una soglia di allarme, il sistema genera un alert immediato.
• Regolamento Macchine 2023/1230: Supportiamo i costruttori nell’adeguamento alla normativa che rende la cybersecurity un requisito essenziale per la sicurezza funzionale. Proteggere il ciclo di controllo oggi è un obbligo di legge, oltre che una necessità operativa.

Conclusione

Il Control Loop Mapping dimostra che la barriera tra mondo digitale e mondo fisico è crollata. Non possiamo più permetterci di considerare i PLC come dispositivi “isolati” o intrinsecamente sicuri.

Il tuo impianto è pronto a resistere a un hacker che ne conosce la logica meglio dei tuoi operatori?

In Cybermatix siamo pronti ad aiutarti a mappare le tue difese prima che gli avversari mappino i tuoi processi.