Sabotatori silenziosi: la manovra di potere nascosta che minaccia la rete elettrica americana

Non ci sono blackout, né richieste di riscatto, né allarmi che risuonano nelle sale di controllo. Eppure, sotto questa calma inquietante, gli esperti di cybersecurity avvertono che una minaccia silenziosa e calcolata si sta insinuando sempre più nel cuore della rete elettrica americana. L’avversario? Volt Typhoon - un gruppo di hacker sponsorizzato da uno Stato, la cui mossa più pericolosa è restare in silenzio. Secondo un nuovo executive brief di Ampyx Cyber, questa campagna invisibile non è un fastidio tecnico, ma un rischio strategico che richiede un’attenzione urgente da parte dei leader del settore.

A differenza delle bande di ransomware più spavalde, che annunciano la loro presenza con il caos digitale, Volt Typhoon si insinua in silenzio, usando account utente legittimi e strumenti amministrativi per mantenere un punto d’appoggio. “Ciò che rende Volt Typhoon pericoloso non è ciò che ha fatto, ma ciò che ha scelto di non fare”, avverte Patrick Miller, CEO di Ampyx Cyber. La loro strategia? Restare non rilevati, mappando in silenzio e mantenendo l’accesso alle infrastrutture critiche - pronti a colpire quando la posta in gioco è più alta, ad esempio durante crisi geopolitiche o eventi meteorologici estremi.

Le utility elettriche sono particolarmente vulnerabili. I loro sistemi IT e OT interconnessi - spesso datati o difficili da modernizzare - ampliano la superficie d’attacco, mentre le esigenze operative spesso prevalgono su misure di sicurezza aggressive. L’attenzione degli attaccanti su gestione delle identità, accesso remoto e sistemi enterprise significa che potrebbero minare l’affidabilità anche senza toccare la sala di controllo.

Le agenzie governative hanno testimoniato che Volt Typhoon è “posizionato per passare dall’IT all’OT”, una prospettiva agghiacciante, viste le conseguenze nazionali di una disruption della rete. Le loro tattiche sono modulari e persistenti: team diversi possono accedere ripetutamente allo stesso ambiente, ciascuno usando strumenti legittimi, rendendo il rilevamento quasi impossibile senza una visibilità granulare. Anche azioni ripetute o ridondanti non sono errori - sono segnali di campagne coordinate e di lungo periodo.

Il messaggio di Ampyx Cyber ai leader delle utility è chiaro: non aspettate una crisi per giustificare l’azione. Il silenzio non è sicurezza. Invece, le organizzazioni devono porsi domande scomode: sappiamo davvero chi ha accesso privilegiato e come lo usa? Siamo in grado di rilevare il sottile abuso di credenziali valide? I nostri sistemi di accesso remoto sono aggiornati e rigidamente controllati? Il confine tra IT e OT è reale - o solo presunto?

Difendersi da Volt Typhoon richiede un cambio di mentalità. Le difese tradizionali, orientate a malware evidenti o exploit rapidi, non bastano. Le utility devono invece investire in logging completo, monitoraggio comportamentale e resilienza architetturale - concentrandosi sulla riduzione dei percorsi di accesso da cui dipendono gli avversari. Budget e personale limitati sono sfide reali, ma il rischio dell’inazione è molto più grande: un avversario silenzioso e paziente che sceglie il momento di massimo impatto.

Come la mette Miller, “L’assenza di interruzioni non significa assenza di rischio. Significa che l’accesso viene preservato.” Per la rete elettrica americana, il momento di agire è adesso - prima che il silenzio si trasformi in sabotaggio.

WIKICROOK

• Volt Typhoon: Volt Typhoon è una campagna di cyber-spionaggio cinese che prende di mira le infrastrutture critiche statunitensi, con l’obiettivo di infiltrare e potenzialmente sabotare sistemi essenziali.
• Tecnologia Operativa (OT): La Tecnologia Operativa (OT) include sistemi informatici che controllano apparecchiature e processi industriali, spesso rendendoli più vulnerabili dei sistemi IT tradizionali.
• Credenziale: Una credenziale è un’informazione come un nome utente o una password usata per confermare la tua identità quando accedi ad account online o sistemi protetti.
• Persistenza: La persistenza comprende tecniche usate dal malware per sopravvivere ai riavvii e restare nascosto sui sistemi, spesso imitando processi o aggiornamenti legittimi.
• IT: L’IT riguarda la gestione e la protezione di sistemi informatici, reti e dati, svolgendo un ruolo vitale nella cybersecurity e supportando la convergenza con l’OT nelle organizzazioni moderne.