Le password deboli o predefinite continuano a offrire agli attaccanti una via di accesso agli ambienti industriali e ai dispositivi connessi. Tra giugno e agosto 2026, le tecniche legate alle credenziali rappresentano circa un terzo delle rilevazioni analizzate da Nozomi Networks Labs negli ambienti OT, le tecnologie che controllano i processi fisici, e IoT, l’Internet of Things.
Il quadro emerge dalla telemetria anonimizzata dei clienti che partecipano al programma di condivisione dell’azienda. Le attività osservate interessano manifattura, trasporti, energia e altri servizi essenziali, con attacchi che sfruttano dispositivi esposti, sistemi privi di aggiornamenti e account scarsamente protetti. A queste modalità si affiancano l’accelerazione della ricerca di vulnerabilità attraverso l’intelligenza artificiale e la diffusione di nuove famiglie di botnet.
Indice degli argomenti
Credenziali e ricognizione nelle reti industriali
Nelle rilevazioni ricondotte alle tecniche del modello MITRE ATT&CK, gli attaccanti continuano a utilizzare credenziali predefinite, account validi e tentativi di accesso per forza bruta. Questi strumenti consentono di ottenere un primo punto di ingresso e di spostarsi tra i sistemi della rete.
Una volta acquisito l’accesso, le attività di ricognizione comprendono scansioni dei sistemi e dell’infrastruttura per individuare dispositivi e risorse. Tra le tecniche osservate assumono particolare rilievo il denial of service, che compromette la disponibilità dei servizi, e la manipolazione dei dati: due modalità che incidono su requisiti centrali per il funzionamento degli ambienti industriali.
Nozomi Networks indica nella rimozione delle password predefinite, nell’autenticazione robusta e nel monitoraggio delle attività anomale degli account alcune delle misure utili a interrompere queste sequenze di attacco. La copertura richiede inoltre l’osservazione dei diversi protocolli utilizzati nelle comunicazioni di rete.
Manifattura in testa per allarmi medi
La manifattura occupa il primo posto nella graduatoria dei settori per numero medio di allarmi per organizzazione, superando i trasporti, che guidavano la classifica del secondo semestre 2025. Energia, utility e gestione dei rifiuti si collocano al terzo posto, sostituendo il settore governativo.
Il confronto considera soltanto i comparti con un numero statisticamente significativo di clienti partecipanti al programma di telemetria. Secondo l’analisi, i tre settori ai vertici condividono una forte dipendenza da sistemi OT e IoT interconnessi, la presenza di apparecchiature legacy difficili da aggiornare e vincoli stringenti sulla continuità operativa.
Con lo stesso criterio del numero medio di allarmi per organizzazione, l’Australia raggiunge il primo posto tra i Paesi, guadagnando due posizioni rispetto al secondo semestre 2025. Seguono Regno Unito e Francia. Anche questa graduatoria include esclusivamente i mercati con una partecipazione statisticamente significativa al programma.
Scattered Spider guida le attività attribuite
Tra i gruppi individuati negli ambienti monitorati, Scattered Spider è associato a quasi la metà degli allarmi attribuiti a specifici attori, confermando il primato già registrato nel secondo semestre 2025. Il gruppo è noto per l’efficacia degli attacchi di ingegneria sociale.
La graduatoria comprende inoltre UNC4536, la cui collocazione geografica resta priva di conferma ufficiale, sebbene diverse fonti richiamate nel documento lo descrivano come russofono. Al terzo posto figura l’attore collegato a RomCom, tracciato anche come UNC4895 e legato alla Russia, cui l’analisi associa oltre il 12% delle attività attribuite.
Completano i primi cinque UNC5636, sul quale le informazioni pubbliche sono limitate, e APT29, conosciuto anche come Cozy Bear e attribuito al servizio di intelligence estero russo SVR. L’attribuzione utilizzata nell’analisi si basa sui rilevamenti associati a componenti malevoli, traffico, tracce comportamentali sugli endpoint e indicatori di compromissione.
Cresce il peso delle vulnerabilità più gravi
Nella distribuzione globale riportata da Nozomi Networks, il 50% delle vulnerabilità presenta un livello di gravità alto e l’8% critico, secondo il CVSS, il sistema di valutazione della gravità delle vulnerabilità. Per quelle del 2025 le quote indicate erano rispettivamente del 43% e del 5%: il peso complessivo delle due categorie sale quindi dal 48% al 58%.
Un dato distinto riguarda le vulnerabilità scoperte nel 2026 e rilevate con maggiore frequenza: in questo gruppo, l’80% ha gravità alta o critica. Tra i sistemi interessati figurano controllori industriali di fornitori diffusi come Siemens e Rockwell Automation.
L’applicazione delle correzioni deve confrontarsi con le esigenze produttive. I dispositivi vulnerabili possono occupare posizioni centrali nei processi e richiedere interventi programmati con mesi di anticipo. Per questo, l’azienda raccomanda di assegnare le priorità considerando l’esposizione effettiva e il ruolo operativo delle apparecchiature, affiancando agli aggiornamenti misure compensative a livello di rete.
L’AI accorcia i tempi di intervento
Secondo l’analisi di Nozomi Networks, l’intelligenza artificiale può comprimere da giorni a ore l’intervallo tra la divulgazione di una vulnerabilità e il suo sfruttamento. Questa accelerazione aumenta la pressione sugli operatori delle infrastrutture critiche, nei quali gli aggiornamenti sono condizionati da requisiti di sicurezza, disponibilità e continuità del servizio.
L’azienda partecipa al progetto Glasswing di Anthropic per esplorare l’impiego di modelli avanzati nella ricerca di vulnerabilità OT, IoT e nei sistemi cyberfisici. Sul versante della difesa, utilizza funzionalità di threat intelligence supportate dall’AI per individuare minacce emergenti, varianti di malware e attività sospette prima che siano disponibili le firme tradizionali.
Alla fine dell’estate 2026, Nozomi Networks Labs aveva inoltre divulgato responsabilmente oltre 560 vulnerabilità zero-day. Le ricerche descritte comprendono quattro falle in dispositivi Siemens PROFINET, nove nel driver NTFS-3G per Linux, 19 in un dispositivo IO-Link Master di Pepperl+Fuchs e 16 in due modelli di gateway industriali Advantech. Gli effetti potenziali includono instabilità dei dispositivi, aumento dei privilegi, esecuzione di comandi e interferenze con le comunicazioni industriali.
Botnet, dispositivi esposti e protezione degli impianti
Le osservazioni raccolte attraverso gli honeypot, sistemi predisposti per intercettare le attività ostili, collocano gli Stati Uniti al primo posto per numero di indirizzi IP univoci associati a dispositivi compromessi nelle botnet, seguiti dalla Cina. Il picco del periodo risale al 29 agosto, con attacchi provenienti da 1.716 indirizzi IP univoci.
Durante l’estate sono state osservate le famiglie Apex2, c2c/meow, Tengu e Kataru. L’azienda segnala anche Kairos, una nuova botnet sviluppata in linguaggio Go. Il riutilizzo di codice, le derivazioni da Mirai e l’adozione di exploit pubblicamente disponibili facilitano la creazione e l’espansione di queste reti.
Le indicazioni operative del documento comprendono la riduzione dell’esposizione diretta dei dispositivi IoT a Internet, l’aggiornamento dei firmware e il controllo del traffico anomalo in uscita. Per gli ambienti industriali, Nozomi Networks richiama inoltre la segmentazione tra reti IT e OT, la visibilità continua sugli asset e piani di risposta che limitino le conseguenze delle intrusioni sui processi produttivi.
Partecipa alla community