Per quattro giorni di fila, a fine agosto 2026, una centrale elettrica britannica è rimasta fuori uso a causa di un attacco informatico attribuito a un gruppo legato all’Iran. L’impianto è piccolo, la rete elettrica nazionale non ha mai rischiato un blackout diffuso, e il governo di Londra lo ha ripetuto più volte nei giorni successivi. Ma l’episodio, unito a un dato pubblicato in parallelo dagli analisti europei, cambia la lettura del rischio per l’intero settore energetico continentale: nei primi sei mesi del 2026 sono stati registrati oltre 3.400 tentativi di intrusione nei sistemi di controllo delle reti elettriche dei paesi UE. Non è un episodio isolato. È un segnale.
Il caso britannico riporta alla memoria un precedente italiano poco citato negli ultimi anni: gli attacchi quasi simultanei subiti dal Gestore dei Servizi Energetici (GSE) e da Eni nell’estate 2022, quando per la prima volta l’Italia si confrontò concretamente con un ransomware capace di paralizzare parte dell’infrastruttura energetica nazionale. Quattro anni dopo, con la guerra in Ucraina ancora aperta e le tensioni con l’Iran che si intrecciano a quelle con la Russia, il settore energia torna al centro delle preoccupazioni dei responsabili sicurezza europei.
Cosa è successo alla centrale elettrica nel Regno Unito
Secondo la ricostruzione pubblicata dal Guardian il 23 agosto 2026, un gruppo di hacker legato all’Iran è riuscito a bloccare per quattro giorni consecutivi le operazioni di un impianto di generazione elettrica di piccole dimensioni nel Regno Unito. Il governo britannico ha confermato l’incidente, precisando che si trattava di un generatore “small-scale” e che in nessun momento è esistito un rischio per la rete elettrica nazionale nel suo complesso. Reuters ha riportato che il 24 agosto le autorità britanniche hanno riunito i vertici delle principali aziende energetiche del paese per un briefing sulle misure di protezione da adottare, dopo che le notizie sull’attacco erano diventate pubbliche.
Il portale specializzato oenergetice.cz ha descritto l’episodio con una formula diventata rapidamente ricorrente tra gli analisti del settore: “piccola centrale, grande avvertimento”. La tesi è semplice: anche un impianto marginale, se compromesso con successo per giorni, dimostra che i controlli industriali (ICS/SCADA) del settore energetico restano vulnerabili, indipendentemente dalla scala dell’operatore colpito. Le autorità britanniche non hanno pubblicato dettagli tecnici sul vettore d’attacco né sulla durata dell’accesso non autorizzato prima del rilevamento, un’omissione che alcuni ricercatori hanno criticato come tipica di una gestione della comunicazione orientata a contenere l’allarme pubblico più che a informare il settore.
Chi sono gli hacker legati all’Iran
Il Regno Unito non ha attribuito pubblicamente l’attacco a un gruppo specifico con nome in codice, limitandosi a parlare di attore “legato all’Iran” (Iran-linked). Questo tipo di attribuzione prudente è comune quando le prove tecniche non sono ancora state validate da più agenzie di intelligence, o quando si vuole evitare un’escalation diplomatica in un momento di tensione regionale. Diversi gruppi storicamente collegati a Teheran hanno in passato preso di mira infrastrutture energetiche e idriche in Israele, Stati Uniti ed Europa, spesso con l’obiettivo dichiarato di dimostrare capacità offensive più che causare danni fisici permanenti.
La scelta di colpire un impianto piccolo, anziché puntare a un nodo critico della rete nazionale, è coerente con un pattern osservato più volte negli ultimi anni: gli operatori di secondo livello, meno protetti e meno monitorati rispetto ai grandi gestori nazionali, offrono un punto d’ingresso più semplice e un rischio di rilevamento più basso, pur generando comunque un titolo di prima pagina quando l’attacco riesce.
La risposta del governo britannico
Il briefing del 24 agosto ai vertici delle utility energetiche britanniche segna un cambio di passo comunicativo. Anziché limitarsi a un comunicato tecnico, Londra ha scelto di convocare direttamente i responsabili delle aziende del settore, un segnale che l’esecutivo considera l’episodio un caso di studio da cui trarre lezioni operative, non un semplice incidente isolato da archiviare. Nel comunicato ripreso da Reuters, le autorità hanno ribadito che non vi era “alcuna minaccia al sistema elettrico più ampio”, una formula che ricorre spesso in questo tipo di dichiarazioni ufficiali e che serve a contenere l’ansia pubblica senza necessariamente rassicurare gli operatori tecnici, concentrati sulla domanda più rilevante: quanto tempo l’attaccante è rimasto dentro la rete prima di essere scoperto.
I numeri UE: 3.400 tentativi di intrusione nel primo semestre 2026
Il dato che dà alla vicenda britannica una dimensione europea arriva da un’analisi separata, pubblicata a inizio agosto 2026: nei primi sei mesi dell’anno sono stati registrati oltre 3.400 tentativi di penetrazione nei sistemi di controllo delle reti elettriche dei paesi dell’Unione Europea. Gli analisti citati nel report segnalano che una quota significativa di questi tentativi ha preso di mira ambienti ICS (Industrial Control Systems) e SCADA, le piattaforme che gestiscono fisicamente la distribuzione di energia elettrica e che, per ragioni storiche di progettazione, sono spesso più difficili da aggiornare rispetto ai normali sistemi IT aziendali.
Il numero, se confermato da fonti aggiuntive nei prossimi mesi, indica una pressione costante e non episodica sulle infrastrutture energetiche europee: non un singolo attore che sferra un colpo isolato, ma un ecosistema di gruppi statali, criminali e ibridi che testano sistematicamente le difese perimetrali del settore. Per un continente che dipende in modo crescente da reti elettriche interconnesse per gestire la transizione verso le rinnovabili, la superficie d’attacco cresce insieme alla complessità del sistema stesso.
Il precedente italiano: GSE ed Eni
Per capire perché l’episodio britannico preoccupa così tanto i responsabili della sicurezza del settore energetico italiano, bisogna tornare alla notte tra il 28 e il 29 agosto 2022, quando il Gestore dei Servizi Energetici, la società controllata dal Ministero dell’Economia che gestisce gli incentivi alle rinnovabili in Italia, fu colpita da quello che l’azienda stessa definì “un ransomware di nuovissima generazione”. L’attacco violò rete, client, infrastruttura applicativa, file server e sistemi email. Per contenere il danno, GSE isolò l’intera infrastruttura, disattivò servizi telematici, postazioni di lavoro ed email, e comunicò che il portale sarebbe rimasto offline “fino a data da destinarsi”.
Una settimana dopo l’attacco, GSE era riuscita a riportare online solo il proprio sito pubblico (gse.it): tutti i servizi collegati alla gestione degli incentivi per le rinnovabili restavano bloccati. L’azienda aveva indicato mercoledì 7 settembre come data prevista per il ripristino dei servizi ai clienti, lavorando con le autorità per riconfigurare i sistemi e mettere in sicurezza i dati. Nel frattempo, GSE precisò che il suo ruolo di acquirente di ultima istanza del gas per il sistema elettrico italiano non era stato compromesso, ma polizia postale e autorità cyber italiane erano ancora al lavoro per stabilire quali dati fossero stati effettivamente sottratti.
Due giorni dopo la notizia dell’attacco a GSE, anche Eni comunicò di aver rilevato un accesso non autorizzato alla propria rete aziendale, individuato dai sistemi di protezione interni rafforzati dopo l’inizio del conflitto in Ucraina. A differenza di GSE, il colosso energetico italiano descrisse le conseguenze come “di minore entità”, pur confermando che l’incidente aveva le caratteristiche di un attacco ransomware. Le prime ricostruzioni indicavano un possibile coinvolgimento di attori legati alla Russia, colpita in quel periodo da sanzioni internazionali, ma nessuna attribuzione formale fu mai confermata dalle autorità italiane.
Perché le infrastrutture energetiche restano un bersaglio privilegiato
Tre fattori spiegano perché il settore energia continua ad attrarre più attacchi rispetto ad altri comparti industriali. Primo: l’impatto reputazionale e politico di un blackout, anche parziale, è sproporzionato rispetto al costo tecnico dell’attacco, il che rende il settore un bersaglio efficiente per chi cerca visibilità o vuole esercitare pressione geopolitica. Secondo: molti impianti di generazione, soprattutto quelli di piccola e media scala, operano ancora con sistemi di controllo industriale progettati decenni fa, quando la connettività a internet non era prevista nel design originale, e la loro modernizzazione avanza più lentamente rispetto agli aggiornamenti dei sistemi IT tradizionali. Terzo: la segmentazione tra rete IT (email, gestionali, portali clienti) e rete OT (i sistemi che controllano fisicamente turbine, contatori e sottostazioni) è spesso più debole di quanto dichiarato nelle policy ufficiali, come dimostrato dal caso GSE, dove un attacco partito probabilmente dai sistemi IT ha comunque paralizzato l’intera operatività aziendale per settimane.
Il caso britannico aggiunge un quarto elemento: anche gli impianti “non critici” per la stabilità della rete nazionale sono bersagli redditizi per chi vuole dimostrare capacità offensive, generare copertura mediatica o testare le difese in vista di operazioni più ambiziose. Un attaccante che riesce a restare dentro un piccolo generatore per quattro giorni senza essere fermato ottiene una prova di concetto che può essere riutilizzata, affinata e applicata su bersagli più grandi.
Cronologia comparata: i principali incidenti energetici in Europa (2022-2026)
| Data | Bersaglio | Paese | Tipo di attacco | Impatto dichiarato |
|---|---|---|---|---|
| 28-29 agosto 2022 | GSE (Gestore Servizi Energetici) | Italia | Ransomware | Portale offline per settimane, servizi clienti bloccati |
| 31 agosto – 1 settembre 2022 | Eni | Italia | Accesso non autorizzato alla rete | Conseguenze definite “di minore entità” dall’azienda |
| Gennaio-giugno 2026 | Sistemi di controllo reti elettriche UE | Unione Europea | Tentativi di intrusione ICS/SCADA | Oltre 3.400 tentativi registrati, nessun blackout confermato |
| Agosto 2026 (4 giorni) | Centrale elettrica di piccola scala | Regno Unito | Attacco attribuito a gruppo legato all’Iran | Impianto fuori uso 4 giorni, rete nazionale non a rischio |
| 24 agosto 2026 | Vertici aziende energetiche UK | Regno Unito | Briefing governativo post-incidente | Rafforzamento misure di protezione richiesto al settore |
Il quadro italiano nel 2026: ransomware in crescita
L’episodio britannico si inserisce in un contesto italiano già sotto pressione. Secondo un report ripreso da Security Affairs, nel primo semestre 2026 le organizzazioni italiane hanno subito 148 rivendicazioni ransomware confermate, con una media di 24,7 attacchi al mese, pari a 5,7 alla settimana. Gli attaccanti hanno sottratto oltre 13.400 GB di dati nel periodo analizzato, e il Nord Ovest italiano è risultato l’area più colpita, con il 42,6% delle vittime totali. I gruppi più attivi contro le aziende italiane in questa finestra temporale sono stati LockBit5 e Qilin, secondo la stessa fonte.
Il settore manifatturiero resta il comparto più colpito in Italia, ma gli analisti sottolineano che l’energia, insieme ai trasporti, rientra tra i settori dove un singolo incidente riuscito ha un effetto moltiplicatore superiore rispetto alla media, proprio per l’interdipendenza con altre filiere produttive. È lo stesso ragionamento che spinge le autorità europee a inserire energia e trasporti tra i settori prioritari delle esercitazioni cyber su scala continentale.
Il contesto geopolitico: non solo Iran
L’attribuzione a un gruppo legato all’Iran va letta insieme, non in alternativa, al pattern di attività riconducibili alla Russia che da anni prende di mira le infrastrutture energetiche europee, spesso in modo speculare all’evoluzione del conflitto in Ucraina e alle sanzioni internazionali. Le prime ricostruzioni sull’attacco a GSE nel 2022 puntavano proprio verso attori “dall’Est, probabilmente dalla Russia”, secondo quanto riportato all’epoca da fonti giornalistiche italiane, anche se nessuna attribuzione formale fu mai confermata dalle autorità.
Il settore energia europeo si trova quindi stretto tra più fronti di pressione contemporaneamente: gruppi legati all’Iran, gruppi legati alla Russia, e una galassia crescente di operatori ransomware puramente finanziari che approfittano della superficie d’attacco lasciata scoperta dalla modernizzazione incompleta dei sistemi OT. Distinguere tra motivazione geopolitica e motivazione criminale, in molti di questi casi, richiede mesi di analisi forense e non sempre porta a una risposta definitiva.
Confronto tra approcci nazionali: Regno Unito vs Italia
I due casi, pur distanti quattro anni, offrono un confronto utile sulle strategie di comunicazione post-incidente adottate dai governi europei. Il Regno Unito ha scelto la trasparenza minima: ha confermato l’attacco solo dopo che la notizia era già circolata sulla stampa, ha evitato di fornire dettagli tecnici sul vettore d’ingresso e ha convocato un briefing riservato con i vertici del settore piuttosto che pubblicare un’analisi tecnica completa. L’Italia, nel 2022, aveva optato per una comunicazione più operativa da parte di GSE, con aggiornamenti quasi quotidiani sullo stato del ripristino, anche se la scelta di mantenere il portale offline “fino a data da destinarsi” generò comunque incertezza tra gli utenti del sistema di incentivi alle rinnovabili.
Nessuno dei due approcci risolve il problema di fondo: la mancanza di uno standard europeo uniforme su tempi e contenuti della comunicazione obbligatoria in caso di incidente a un’infrastruttura energetica critica. La direttiva NIS2, in fase di applicazione progressiva nei diversi stati membri nel corso del 2026, punta proprio a colmare questo divario imponendo obblighi di notifica più stringenti, ma l’attuazione resta disomogenea da paese a paese.
Impatto sul mercato e sugli investimenti in sicurezza OT
Ogni incidente ad alta visibilità come quello britannico tende a produrre due effetti misurabili nel breve periodo: un incremento delle richieste di audit di sicurezza OT/ICS da parte degli operatori energetici, e una revisione al rialzo dei premi assicurativi cyber per il comparto, soprattutto per gli impianti di generazione più piccoli che fino a poco tempo fa venivano considerati a basso rischio. Gli operatori di medie dimensioni, spesso privi di un team di sicurezza OT dedicato, sono quelli più esposti a un aumento dei costi di conformità, perché devono colmare in tempi rapidi un divario di maturità accumulato in anni di sottoinvestimento.
Nel medio periodo, la pressione regolatoria in arrivo con la piena applicazione di NIS2 e con il Cyber Resilience Act aggiunge un ulteriore incentivo economico ad accelerare la segmentazione tra reti IT e OT, un intervento che gli esperti del settore indicano da anni come la misura singola più efficace per limitare la propagazione di un attacco partito da un’email di phishing fino ai sistemi di controllo industriale.
Tabella: pressione cyber sul settore energetico UE nel 2026
| Indicatore | Valore | Periodo | Fonte |
|---|---|---|---|
| Tentativi di intrusione su reti elettriche UE | Oltre 3.400 | Gennaio-giugno 2026 | Analisi cyber threat settore energia |
| Durata blackout centrale UK | 4 giorni consecutivi | Agosto 2026 | Guardian / Reuters |
| Ransomware confermati in Italia | 148 rivendicazioni | Primo semestre 2026 | Security Affairs |
| Dati esfiltrati da vittime italiane | Oltre 13.400 GB | Primo semestre 2026 | Security Affairs |
| Area italiana più colpita | Nord Ovest, 42,6% delle vittime | Primo semestre 2026 | Security Affairs |
| Vulnerabilità aggiunte al catalogo CISA KEV | 75 nel Q2 2026 (+5,6% sul Q1) | Secondo trimestre 2026 | Security Online |
ICS e SCADA: la superficie d’attacco che nessuno vede
Per chi non lavora nel settore energetico, la distinzione tra rete IT e rete OT può sembrare un tecnicismo, ma è la chiave per capire perché un ransomware possa spegnere un impianto per giorni anziché ore. I sistemi SCADA (Supervisory Control and Data Acquisition) e i controllori PLC che gestiscono fisicamente turbine, valvole e sottostazioni sono stati progettati per la disponibilità e la sicurezza fisica, non per resistere ad attacchi informatici moderni. Molti di questi sistemi girano su versioni di firmware che non ricevono patch da anni, non per negligenza, ma perché un aggiornamento non pianificato può fermare la produzione con costi immediati ben superiori al rischio percepito di un attacco.
Questo crea un paradosso ricorrente nel settore: gli operatori sanno che i loro sistemi OT sono vulnerabili, ma il costo operativo di una patch programmata è spesso considerato più alto del costo probabilistico di un incidente, almeno finché un incidente come quello britannico non sposta bruscamente quella percezione del rischio, spingendo consigli di amministrazione e regolatori a intervenire con urgenza.
La risposta italiana e il ruolo dell’ACN
In Italia, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha rafforzato negli ultimi mesi il monitoraggio degli operatori energetici classificati come infrastrutture critiche, in linea con gli obblighi previsti dalla direttiva NIS2. Le imprese del settore energia rientrano tra i comparti ad “alta criticità” individuati dalla normativa, il che comporta obblighi di notifica degli incidenti entro tempistiche strette e controlli periodici sulla postura di sicurezza. Dopo i precedenti di GSE ed Eni, il settore energetico italiano è considerato dagli analisti uno dei più sensibili al tema, anche perché la transizione verso le rinnovabili sta moltiplicando il numero di impianti connessi alla rete, ciascuno un potenziale punto d’ingresso aggiuntivo.
Il caso britannico rafforza l’argomento a favore di controlli più stringenti anche sugli operatori di dimensioni minori, non solo sui grandi gestori nazionali, un cambio di prospettiva che diversi addetti ai lavori italiani chiedono da tempo, sostenendo che la protezione concentrata sui pochi grandi nodi lascia scoperta la lunga coda di impianti piccoli e medi che, sommati, rappresentano comunque una quota rilevante della capacità produttiva nazionale.
Previsioni: cosa aspettarsi nei prossimi mesi
Sulla base dei fatti raccolti, alcune tendenze sembrano più probabili di altre nei prossimi mesi. Primo, con l’applicazione più stringente della NIS2 in diversi paesi UE dall’autunno 2026, è probabile un aumento del numero di incidenti energetici resi pubblici, non perché gli attacchi aumentino improvvisamente, ma perché gli obblighi di notifica portano alla luce episodi che in passato sarebbero rimasti riservati. Secondo, gli operatori di piccola e media scala, finora ai margini dell’attenzione regolatoria, dovrebbero affrontare controlli più severi, seguendo la stessa logica che ha spinto il Regno Unito a convocare un briefing settoriale dopo l’attacco di agosto. Terzo, è ragionevole aspettarsi che le dispute sull’attribuzione geopolitica (Iran, Russia, o attori ibridi) restino irrisolte per mesi, dato che nessuno dei due precedenti recenti (UK 2026, GSE/Eni 2022) ha portato a un’attribuzione formale definitiva.
Quarto, i costi assicurativi cyber per il settore energia sono destinati a salire ulteriormente, in particolare per gli impianti privi di segmentazione IT/OT documentata, un requisito che sempre più assicuratori stanno inserendo come condizione per il rinnovo delle polizze. Quinto, è probabile un aumento della domanda di competenze specifiche in sicurezza OT/ICS, un’area dove la carenza di personale qualificato resta più marcata rispetto alla sicurezza IT tradizionale, complicando il percorso di adeguamento delle aziende del settore nei tempi richiesti dalla normativa europea.
Cosa possono fare oggi gli operatori energetici
Al di là delle raccomandazioni generiche, i due casi analizzati suggeriscono priorità concrete. La segmentazione reale, non solo documentata su carta, tra rete IT e rete OT resta la misura con il miglior rapporto tra costo e riduzione del rischio, perché limita la capacità di un attaccante di passare da una casella email compromessa ai sistemi che controllano fisicamente la produzione. Il monitoraggio continuo dei sistemi ICS/SCADA, anche quando non è tecnicamente possibile applicare patch immediate, permette di ridurre il tempo di permanenza di un attaccante nella rete, che nel caso britannico è stato di almeno quattro giorni prima che l’impianto tornasse operativo. Infine, piani di comunicazione degli incidenti predefiniti e testati prima che l’emergenza si verifichi evitano l’incertezza mostrata sia da GSE nel 2022 sia, in parte, dal governo britannico nel 2026, dove la conferma pubblica è arrivata solo dopo che la notizia era già circolata sulla stampa.
Domande frequenti
La centrale elettrica britannica colpita ad agosto 2026 riforniva utenti finali?
Le autorità britanniche hanno definito l’impianto “small-scale” e hanno precisato che non c’è mai stato un rischio per il sistema elettrico nazionale nel suo complesso. Non sono stati resi pubblici dettagli sulla capacità produttiva esatta dell’impianto o sul numero di utenze eventualmente coinvolte.
È stata confermata ufficialmente l’attribuzione all’Iran?
No. Le fonti giornalistiche (Guardian, Reuters) parlano di un attore “legato all’Iran” sulla base di analisi di sicurezza, ma il governo britannico non ha pubblicato un’attribuzione formale con nome del gruppo responsabile.
Cosa significa “3.400 tentativi di intrusione” nelle reti elettriche UE?
Il dato si riferisce ai tentativi di accesso non autorizzato registrati contro i sistemi di controllo (ICS/SCADA) delle reti elettriche dei paesi UE nel primo semestre 2026. Non tutti i tentativi hanno successo: il numero misura la pressione complessiva subita dal settore, non il numero di incidenti riusciti.
L’attacco a GSE nel 2022 è mai stato attribuito ufficialmente?
No. Le prime ricostruzioni giornalistiche indicavano un possibile coinvolgimento di attori legati alla Russia, ma non risulta un’attribuzione formale confermata dalle autorità italiane.
Perché i sistemi SCADA sono più difficili da proteggere rispetto ai normali server aziendali?
Molti sistemi SCADA sono stati progettati per garantire disponibilità e sicurezza fisica continua, non per resistere a minacce informatiche moderne. Aggiornarli richiede spesso il fermo temporaneo della produzione, un costo che gli operatori tendono a rimandare rispetto al rischio percepito di un attacco.
La NIS2 obbliga gli operatori energetici a notificare questo tipo di incidenti?
Sì. Il settore energia rientra tra i comparti ad alta criticità della direttiva NIS2, che impone obblighi di notifica degli incidenti entro tempistiche stringenti agli enti competenti, tra cui in Italia l’Agenzia per la Cybersicurezza Nazionale.
Quanti attacchi ransomware ha subito l’Italia nel primo semestre 2026?
Secondo un report ripreso da Security Affairs, le organizzazioni italiane hanno registrato 148 rivendicazioni ransomware confermate nel periodo, con oltre 13.400 GB di dati esfiltrati e il Nord Ovest come area più colpita.
Gli impianti energetici di piccola scala sono davvero un bersaglio prioritario?
Il caso britannico suggerisce di sì: gli operatori minori, spesso meno protetti e meno monitorati rispetto ai grandi gestori nazionali, offrono un punto d’ingresso più semplice pur generando comunque forte visibilità mediatica in caso di attacco riuscito.
