Nella notte tra il 31 agosto e il 1° settembre 2026 un gruppo di attaccanti ha cifrato i sistemi IT centrali delle Stadtwerke Landsberg KU, l’azienda municipalizzata che gestisce elettricità, acqua, teleriscaldamento e rete in fibra per Landsberg am Lech, cittadina bavarese di circa 30.000 abitanti. È il secondo attacco ransomware contro una utility pubblica tedesca in due mesi, dopo quello di luglio alle Stadtwerke Windsbach, e arriva nella stessa settimana in cui l’Unione Europea ha attivato gli obblighi di segnalazione del Cyber Resilience Act. Per l’Italia, dove decine di multiutility municipalizzate gestiscono servizi analoghi per milioni di cittadini, il caso tedesco è un banco di prova concreto su cosa funziona e cosa no quando un ransomware colpisce un’infrastruttura essenziale.
Cosa è successo alle Stadtwerke Landsberg
Stadtwerke Landsberg KU è l’azienda pubblica che fornisce elettricità, acqua potabile, depurazione delle acque reflue, teleriscaldamento, rete in fibra ottica, infrastruttura di ricarica per veicoli elettrici, la piscina comunale Inselbad e i parcheggi a pagamento della città bavarese di Landsberg am Lech, in Alta Baviera. Secondo la ricostruzione di The Record, l’azienda ha comunicato l’attacco ai clienti lunedì 8 settembre, precisando che l’intrusione risaliva alla settimana precedente.
Nel suo comunicato ufficiale, l’azienda ha scritto: “Nonostante le estese misure di sicurezza, nella notte del 1° settembre le Stadtwerke Landsberg KU sono state vittima di un attacco informatico mirato e criminale, in seguito al quale i sistemi IT centrali dell’azienda sono stati cifrati” (Stadtwerke Landsberg KU, comunicato stampa). La cifratura ha colpito i sistemi amministrativi e di back office: gestione contratti, centralino telefonico e caselle di posta elettronica sono rimasti bloccati o fortemente limitati per giorni.
La cronologia ricostruita
Le fonti tecniche consultate, tra cui Shieldworkz, collocano l’esecuzione del payload di cifratura nella notte tra il 31 agosto e il 1° settembre 2026. L’azienda ha isolato immediatamente i sistemi compromessi dalla rete internet e ha attivato le procedure di gestione della crisi, coinvolgendo specialisti forensi esterni. La comunicazione pubblica è arrivata solo una settimana dopo, l’8 settembre, un intervallo che rispecchia una prassi comune: prima si contiene l’incidente e si verifica l’impatto reale, poi si informa clientela e stampa. Al 12 settembre 2026 l’azienda non ha ancora fornito una data certa per il pieno ripristino dei sistemi amministrativi, mentre la gestione di contratti e richieste dei clienti è tornata parzialmente operativa.
Quali servizi sono rimasti attivi, e perché conta
Il dato più rilevante dell’intera vicenda non è la cifratura in sé, ma quello che non ha smesso di funzionare. Nel comunicato ai clienti l’azienda ha precisato: “La cosa più importante da premettere: il funzionamento della rete elettrica, dell’approvvigionamento idrico, dell’impianto di depurazione, del teleriscaldamento, della rete in fibra ottica, dell’infrastruttura di ricarica, della piscina all’aperto e dei parcheggi non è stato interessato dall’attacco” (Stadtwerke Landsberg KU).
Otto servizi operativi su otto hanno continuato a funzionare senza interruzioni mentre l’IT amministrativo era in ginocchio. Questo risultato non è casuale: implica che la rete OT (Operational Technology) che controlla cabine elettriche, pompe dell’acqua e centrali di teleriscaldamento sia segmentata e isolata dalla rete IT che gestisce email, fatturazione e CRM. È lo stesso schema descritto da Cyber Insider, che elenca nel dettaglio elettricità, acqua, fognature, teleriscaldamento, fibra, ricarica EV, piscina e parcheggi come sistemi rimasti pienamente operativi durante l’intero incidente.
Il precedente ignorato: Stadtwerke Windsbach, luglio 2026
Landsberg non è il primo caso bavarese del 2026. Nella notte del 7 luglio, ignoti hanno violato i sistemi IT delle Stadtwerke Windsbach, nel distretto di Ansbach, cifrando i server centrali con un ransomware. Anche in quel caso elettricità e acqua non sono mai state a rischio, e l’azienda ha specificato che dati sanitari sensibili non risultavano coinvolti, pur senza poter escludere che dati personali dei clienti fossero stati copiati durante l’intrusione.
Due attacchi contro due utility bavaresi in meno di due mesi, con lo stesso schema (IT amministrativo colpito, rete operativa risparmiata, nessuna rivendicazione pubblica) suggeriscono che non si tratti di episodi isolati ma di una fascia di bersaglio precisa: aziende municipalizzate di medie dimensioni, spesso con budget IT più contenuti rispetto ai grandi gruppi energetici, ma con superfici d’attacco comparabili perché gestiscono infrastrutture critiche a tutti gli effetti.
Il confronto con Berlino: quando la segmentazione non basta
Il contrasto più netto arriva dalla capitale tedesca. A fine agosto il gruppo ransomware Rhysida ha rivendicato il furto di 5,79 terabyte di dati dall’amministrazione cittadina di Berlino, chiedendo un riscatto stimato in circa 2,3 milioni di dollari secondo Anadolu Agency. Le autorità berlinesi hanno rifiutato di pagare. A differenza di Landsberg, però, qui l’attacco ha riguardato reti amministrative con un volume di dati sottratti enormemente superiore, e secondo l’analisi di Tech Times un gap di sette giorni tra il primo rilevamento dell’intrusione e il completo isolamento della rete ha permesso agli attaccanti di esfiltrare grandi quantità di documenti prima che qualcuno chiudesse le porte.
Il paragone chiarisce cosa fa la differenza in questo tipo di incidenti: non la sofisticazione dell’attaccante, ma la velocità di rilevamento e isolamento. A Landsberg i sistemi compromessi sono stati scollegati nella stessa notte dell’attacco. A Berlino ci sono voluti giorni. Il risultato, in un caso, è un disservizio amministrativo temporaneo; nell’altro, un furto di dati su scala amministrativa con richiesta di riscatto milionaria.
Attribuzione assente: perché nessun gruppo ha rivendicato Landsberg
A differenza del caso berlinese, per l’attacco a Stadtwerke Landsberg nessun gruppo ransomware ha rivendicato pubblicamente la responsabilità al momento della pubblicazione di questo articolo. Le analisi tecniche di Shieldworkz e Cyber Insider concordano: non ci sono elementi per collegare l’attacco a famiglie note come LockBit, Black Basta o BlackCat/ALPHV, né è comparsa alcuna voce su leak site pubblici che citi Landsberg come vittima.
Questo silenzio ha due letture possibili. La prima: l’azienda ha già avviato una trattativa privata e il gruppo attende l’esito prima di esporsi pubblicamente. La seconda, più probabile secondo gli analisti di settore: si tratta di un affiliato ransomware-as-a-service di secondo piano, che colpisce bersagli di dimensioni contenute senza la necessità di costruirsi una reputazione mediatica, puntando su un ritorno rapido e silenzioso piuttosto che sulla pressione pubblica.
Dati dei clienti: cosa rischia di essere stato esposto
Sul fronte dati personali, Stadtwerke Landsberg non ha potuto escludere che gli attaccanti abbiano avuto accesso a informazioni dei clienti come nomi, indirizzi, numeri di telefono, indirizzi email e coordinate bancarie legate agli addebiti automatici delle bollette. Le indagini forensi erano ancora in corso alla data del 12 settembre 2026, e l’azienda non ha fornito un numero di record potenzialmente coinvolti, né confermato un’effettiva esfiltrazione.
È una posizione più prudente rispetto a molte comunicazioni aziendali post-incidente, che spesso minimizzano l’impatto nei primi giorni salvo poi rivedere le stime al rialzo. Qui l’azienda ha scelto di segnalare da subito la possibilità di esposizione dei dati bancari, un dettaglio che comporta obblighi di notifica verso le autorità di protezione dati tedesche indipendentemente dalla conferma definitiva del furto.
Segmentazione IT/OT: la lezione tecnica per le utility europee
Il caso Landsberg è probabilmente destinato a diventare un esempio da manuale nei corsi di sicurezza per operatori di infrastrutture critiche, e non per l’attacco in sé quanto per la sua contenzione. La separazione tra rete IT (amministrazione, email, fatturazione) e rete OT (controllo di cabine elettriche, pompe idriche, sistemi SCADA per il teleriscaldamento) ha impedito che un ransomware pensato per colpire server Windows e Active Directory si propagasse verso i sistemi di controllo industriale.
Questo non significa che la rete OT sia inattaccabile: significa che, in questo caso specifico, gli attaccanti non avevano un percorso laterale diretto per raggiungerla, oppure che eventuali tentativi sono stati bloccati da controlli di segmentazione (VLAN dedicate, firewall industriali, data diode) prima di causare danni operativi. Molte utility di medie dimensioni, in Germania come in Italia, hanno investito negli ultimi anni proprio in questo tipo di separazione dopo gli allarmi lanciati da BSI ed ENISA sulla vulnerabilità dei sistemi di controllo industriale.
Attacchi paralleli nella stessa settimana: non un caso isolato
Il caso Landsberg si inserisce in una settimana particolarmente densa per la sicurezza delle infrastrutture critiche europee. Il gruppo Clop ha ampliato la lista delle vittime legate allo sfruttamento della falla CVE-2026-12569 in PTC Windchill, aggiungendo Shell, Philips e General Electric a un elenco che nella sua prima ondata contava già decine di aziende industriali colpite tramite web shell JSP persistenti. In parallelo, ricercatori hanno individuato una directory aperta che esponeva l’intera infrastruttura di una campagna di furto credenziali basata sullo sfruttamento della vulnerabilità SSRF CVE-2026-15409 in SonicWall SMA1000, con circa 250 bersagli e cinque domini completamente replicati, alcuni dei quali riconducibili a reti italiane secondo il tracciamento di OffSeq.
La tabella seguente mette in fila gli episodi più rilevanti della prima settimana di settembre 2026 legati a infrastrutture critiche e sistemi aziendali europei, per dare una misura della densità di attività in corso in questo periodo.
| Vittima | Settore | Data | Gruppo | Impatto |
|---|---|---|---|---|
| Stadtwerke Landsberg KU | Utility municipale (Germania) | 1 settembre 2026 | Non rivendicato | IT amministrativo cifrato, servizi operativi mai interrotti |
| Stadtwerke Windsbach | Utility municipale (Germania) | 7 luglio 2026 | Non rivendicato | Server centrali cifrati, elettricità e acqua mai a rischio |
| Amministrazione di Berlino | Ente pubblico (Germania) | 28 agosto 2026 (rivendicazione) | Rhysida | 5,79 TB rivendicati, riscatto richiesto ~2,3 milioni $ |
| PTC Windchill (Shell, Philips, GE) | Manifatturiero/PLM (multinazionale) | Inizio settembre 2026 | Clop | CVE-2026-12569 sfruttata, dati aziendali sottratti |
| Campagna SonicWall SMA1000 | Accesso remoto aziendale (incl. Italia) | 10 settembre 2026 | Non identificato | CVE-2026-15409 SSRF, 250 bersagli, 5 domini replicati |
Il contesto normativo: obblighi di segnalazione in vigore dall’11 settembre
Il caso Landsberg arriva a ridosso di una scadenza normativa cruciale per tutto il settore. Dall’11 settembre 2026 gli obblighi di segnalazione previsti dall’articolo 14 del Cyber Resilience Act sono pienamente operativi: i produttori di prodotti con elementi digitali devono inviare un primo allarme entro 24 ore da quando vengono a conoscenza dello sfruttamento attivo di una vulnerabilità, seguito da una notifica dettagliata entro 72 ore e da un rapporto tecnico finale entro 14 giorni, indirizzati a ENISA e ai CSIRT nazionali competenti.
Le utility come Stadtwerke Landsberg non rientrano direttamente nel perimetro dei produttori disciplinati dal CRA, ma restano soggette alla direttiva NIS2, che impone tempistiche di segnalazione molto simili agli operatori di servizi essenziali. In Germania, inoltre, la legge sulla sicurezza informatica (BSI-Gesetz) obbliga da anni gli operatori di infrastrutture critiche a comunicare “senza ritardo” gli incidenti significativi al BSI, pur senza fissare una soglia oraria rigida come fanno le nuove norme europee.
| Normativa | Allerta iniziale | Notifica dettagliata | Rapporto finale | Autorità | Sanzione massima |
|---|---|---|---|---|---|
| Cyber Resilience Act (Art. 14) | 24 ore | 72 ore | 14 giorni | ENISA / CSIRT nazionale | fino a 15 milioni € o 2,5% fatturato globale |
| NIS2 (recepimento italiano) | 24 ore | 72 ore | 1 mese | ACN | fino a 10 milioni € o 2% fatturato globale |
| GDPR | 72 ore | — | — | Garante Privacy nazionale | fino a 20 milioni € o 4% fatturato globale |
| BSI-Gesetz §8b (Germania, KRITIS) | “senza ritardo” (nessun termine fisso) | — | — | BSI | variabile, sanzioni amministrative |
Il confronto mostra un progressivo irrigidimento dei termini a livello europeo: dove la legge tedesca lascia margine di discrezionalità con la formula “senza ritardo”, CRA e NIS2 fissano invece finestre orarie precise, pensate per accelerare la condivisione di informazioni sulle minacce tra Stati membri.
Perché le utility municipali sono un bersaglio in crescita
Le aziende municipalizzate che gestiscono acqua, energia e teleriscaldamento condividono tre caratteristiche che le rendono bersagli attraenti per i gruppi ransomware. Primo, gestiscono servizi che i cittadini percepiscono come indispensabili, il che alza la pressione politica sull’ente locale a risolvere in fretta, anche pagando. Secondo, spesso operano con budget IT proporzionati alle dimensioni del comune servito, non al valore strategico dell’infrastruttura che controllano: una città di 30.000 abitanti come Landsberg am Lech non ha lo stesso team di sicurezza di un grande gruppo energetico quotato. Terzo, trattano dati bancari e anagrafici di praticamente ogni residente, il che le rende bersagli redditizi anche a prescindere dal servizio essenziale erogato.
Questa combinazione spiega perché due utility bavaresi diverse siano state colpite in meno di due mesi con lo stesso copione. Non serve un attacco sofisticato mirato a un impianto industriale: basta compromettere la rete IT amministrativa, che tipicamente ha superfici d’attacco più ampie e patch meno aggiornate rispetto ai sistemi OT, spesso isolati per necessità operativa più che per scelta di sicurezza consapevole.
Il paragone con l’Italia: le multiutility sono pronte?
In Italia il modello delle municipalizzate è diffuso quanto in Germania: gruppi quotati come A2A, Hera, Iren e Acea convivono con decine di aziende locali più piccole che gestiscono acqua, rifiuti e teleriscaldamento per singoli comuni o consorzi. Il rapporto Clusit 2026 ha già segnalato un numero record di attacchi contro organizzazioni italiane nel corso dell’anno, e da ottobre 2026 circa 20.000 aziende italiane, incluse molte utility di medie dimensioni, entreranno nel perimetro delle ispezioni dell’Agenzia per la Cybersicurezza Nazionale legate alla NIS2, con sanzioni che possono arrivare a 10 milioni di euro per le inadempienze più gravi.
La domanda che il caso tedesco pone alle utility italiane è diretta: se un ransomware cifrasse oggi i server amministrativi di una municipalizzata di medie dimensioni, la rete di distribuzione idrica o elettrica reggerebbe l’urto, o cadrebbe insieme al resto? La risposta dipende quasi interamente da un fattore che raramente compare nei bilanci pubblici delle aziende: il grado reale di separazione tra rete IT e rete OT, verificato con test concreti e non solo documentato su carta.
Impatto di mercato: il costo nascosto degli attacchi alle utility
Gli attacchi a utility di dimensioni contenute come Landsberg e Windsbach raramente producono titoli di giornale paragonabili a una violazione bancaria o a un blackout, proprio perché i servizi essenziali restano attivi. Questo non significa che il costo economico sia trascurabile. Le spese di forensics esterna, il ripristino dei sistemi da backup, l’eventuale notifica a migliaia di clienti in caso di conferma della violazione dati, e i giorni di attività amministrativa ridotta (niente nuovi contratti, niente aggiornamenti di fatturazione) si sommano rapidamente, spesso in un range che per una utility di medie dimensioni si colloca tra alcune centinaia di migliaia e alcuni milioni di euro complessivi, a seconda della profondità della compromissione e degli obblighi di notifica attivati.
A questo si aggiunge un costo meno visibile ma altrettanto concreto: la fiducia dei cittadini-clienti in un’azienda che, a differenza di un fornitore privato scelto sul mercato, il residente non può cambiare facilmente. Un’interruzione prolungata del servizio clienti o una violazione confermata di dati bancari alimenta un tipo di pressione politica locale che difficilmente si traduce in un numero di bilancio, ma che pesa sulle prossime gare d’appalto per i servizi di sicurezza informatica dell’ente.
Previsioni: cosa aspettarsi nei prossimi 12 mesi
- Altri attacchi contro utility municipali di piccole e medie dimensioni in Germania, Italia e resto d’Europa emergeranno nei prossimi mesi, seguendo lo stesso schema di IT amministrativo colpito e rete operativa risparmiata, man mano che i gruppi ransomware individuano bersagli con budget di sicurezza limitati ma dati di valore.
- Gli obblighi di segnalazione entrati in vigore l’11 settembre con il Cyber Resilience Act inizieranno a produrre i primi casi pubblici di allerta a 24 ore entro fine 2026, offrendo per la prima volta dati aggregati affidabili su quante vulnerabilità vengono davvero sfruttate attivamente contro aziende europee.
- Le ispezioni ACN legate alla NIS2, in partenza da ottobre 2026 su circa 20.000 aziende italiane, porteranno alla luce carenze di segmentazione IT/OT simili a quelle discusse per il caso tedesco, con le prime sanzioni pubbliche attese non prima della seconda metà del 2027.
- Cresceranno gli investimenti delle utility europee in segmentazione di rete verificata (non solo documentata) e in piani di incident response testati con esercitazioni periodiche, sul modello di quanto raccomandato dai CSIRT nazionali dopo casi come questo.
- È probabile che emerga un’attribuzione tardiva per l’attacco a Landsberg, con l’azienda o le autorità tedesche che confermeranno il gruppo responsabile solo dopo la chiusura delle indagini forensi, un pattern comune quando non c’è stata rivendicazione pubblica immediata.
Cosa devono fare ora i responsabili sicurezza delle utility
Il caso Landsberg offre indicazioni pratiche più utili di molte linee guida teoriche. La prima è verificare concretamente, con test di penetrazione mirati e non solo con un audit documentale, che la rete OT non sia raggiungibile dalla rete IT tramite credenziali condivise, VPN mal configurate o dispositivi ponte dimenticati durante migrazioni passate. La seconda è ridurre il tempo tra rilevamento e isolamento: il confronto tra Landsberg (isolamento nella stessa notte) e Berlino (sette giorni di gap) mostra che questa singola metrica pesa più di quasi ogni altra variabile sull’esito finale dell’incidente.
La terza indicazione riguarda la comunicazione: Stadtwerke Landsberg ha scelto di segnalare da subito, in modo esplicito, quali dati potevano essere a rischio (nomi, indirizzi, coordinate bancarie) invece di limitarsi a un generico “stiamo indagando”. Questa trasparenza anticipata riduce il rischio reputazionale nel medio periodo, anche se comporta un disagio comunicativo immediato, e si allinea meglio ai nuovi obblighi di segnalazione rapida che stanno diventando la norma in tutta l’Unione Europea.
Domande frequenti
Cos’è successo esattamente alle Stadtwerke Landsberg?
Nella notte tra il 31 agosto e il 1° settembre 2026 un attacco ransomware ha cifrato i sistemi IT centrali dell’azienda municipalizzata di Landsberg am Lech, in Baviera, colpendo l’amministrazione e i servizi clienti ma non le reti operative.
L’elettricità e l’acqua sono state interrotte a Landsberg am Lech?
No. Elettricità, acqua potabile, depurazione, teleriscaldamento, rete in fibra, ricarica EV, piscina comunale e parcheggi sono rimasti pienamente operativi durante tutto l’incidente, secondo i comunicati ufficiali dell’azienda.
Chi ha rivendicato l’attacco ransomware?
Nessun gruppo ransomware ha rivendicato pubblicamente l’attacco al momento della pubblicazione di questo articolo, e non risulta alcuna voce sui leak site noti che citi Landsberg come vittima.
I dati dei clienti sono stati rubati?
L’azienda non ha escluso l’accesso a nomi, indirizzi, numeri di telefono, email e coordinate bancarie dei clienti, ma non ha confermato un furto effettivo mentre le indagini forensi erano in corso.
Cos’è il Cyber Resilience Act e cosa cambia dall’11 settembre 2026?
È il regolamento europeo sulla sicurezza dei prodotti digitali. Dall’11 settembre 2026 i produttori devono segnalare le vulnerabilità sfruttate attivamente entro 24 ore, con notifica dettagliata a 72 ore e rapporto finale a 14 giorni, indirizzati a ENISA e ai CSIRT nazionali.
Le utility italiane rischiano attacchi simili?
Sì. Le municipalizzate italiane che gestiscono acqua, energia e teleriscaldamento condividono con le utility tedesche budget IT limitati e dati sensibili su larga scala, gli stessi fattori che hanno reso Landsberg e Windsbach bersagli attrattivi.
Cosa significa segmentazione IT/OT e perché ha salvato i servizi essenziali?
Significa mantenere separate, con firewall e reti dedicate, l’infrastruttura amministrativa (email, fatturazione) da quella di controllo industriale (cabine elettriche, pompe, sistemi SCADA), impedendo a un ransomware di propagarsi dall’una all’altra.
Cosa deve fare un’azienda che subisce un attacco ransomware simile?
Isolare immediatamente i sistemi compromessi, attivare un piano di incident response con specialisti forensi esterni, comunicare in modo trasparente ai clienti quali dati potrebbero essere a rischio e rispettare i termini di segnalazione previsti da NIS2, CRA e GDPR a seconda del settore.
