Quando uno stabilimento è costretto a interrompere la produzione, i costi aumentano e i clienti esigono risposte. I gruppi di ransomware sfruttano sempre più spesso questa pressione prendendo di mira i sistemi su cui le organizzazioni industriali fanno affidamento per continuare a operare.
I dati mostrano che le vittime di ransomware nel settore manifatturiero, pari a 1.183 tra il 1° gennaio e il 29 luglio 2026, sono aumentate fino al 39,7% rispetto allo stesso periodo dell’anno precedente. Le vittime europee hanno registrato un aumento vertiginoso dell’85,4%.
Si è trattato di attacchi contro i produttori, non necessariamente contro la loro tecnologia operativa (OT). Tuttavia, gli autori degli attacchi non hanno bisogno di compromettere i controllori industriali per bloccare la produzione: può essere sufficiente disabilitare le applicazioni, gli account o l’infrastruttura che li supporta.
L’attrattiva deriva da una combinazione di costosi tempi di inattività, sistemi interconnessi e difficoltà di ripristino. I criminali possono esercitare pressione su un’organizzazione interrompendo le operazioni, rubando informazioni sensibili o minacciando entrambe le cose.
Per un'azienda industriale, l'impatto può includere il mancato raggiungimento degli obiettivi di produzione, ritardi negli ordini dei clienti e l'impossibilità di coordinare i fornitori. Il ripristino potrebbe richiedere che i team di ingegneri verifichino i sistemi prima di riavviare i processi fisici.
La logica commerciale è semplice: più un’organizzazione ha difficoltà a operare senza i propri sistemi, maggiore è la pressione che gli aggressori possono esercitare. Ciò non significa che la vittima pagherà, né che il pagamento ripristinerebbe le operazioni.
L’incidente di ransomware verificat osi nel luglio 2026 presso Fairlife, società di proprietà di Coca-Cola, ne fornisce un chiaro esempio.
Il 16 luglio, Coca-Cola ha confermato un accesso non autorizzato ai sistemi di Fairlife, compresi quelli relativi alla produzione, in relazione a un evento di ransomware. Le operazioni di produzione negli Stati Uniti sono state temporaneamente sospese. L’azienda ha dichiarato che la qualità e la sicurezza dei prodotti non sono state compromesse e che la produzione canadese non ha subito ripercussioni.
Il 27 luglio, Coca-Cola ha annunciato che la maggior parte della produzione era ripresa nei quattro stabilimenti statunitensi di Fairlife. Ha inoltre confermato che erano stati sottratti dei dati. Le scorte esistenti avevano in gran parte garantito la disponibilità al dettaglio e, sulla base delle informazioni allora disponibili, l’azienda non prevedeva un impatto finanziario significativo.
L’incidente dimostra come il ransomware possa compromettere i sistemi legati alla produzione e interrompere le operazioni fisiche. Non è stato accertato che gli autori dell’attacco abbiano manipolato i controllori industriali, e la situazione non dovrebbe essere descritta in tal senso.
Per altri produttori, la questione concreta è se la produzione potrebbe continuare qualora un sistema di importanza analoga diventasse indisponibile.
Le operazioni industriali non dipendono solo dalle apparecchiature presenti in fabbrica. I servizi di gestione delle identità, le postazioni di lavoro degli ingegneri, la pianificazione della produzione e altri sistemi di supporto possono tutti influire sul funzionamento di un sito.
Alcune di queste dipendenze rientrano nell’ambito dell’OT. Altre collegano i processi operativi all’IT aziendale.
Dragos ha evidenziato questo problema di classificazione nel suo Rapporto sulla sicurezza informatica OT/ICS 2026, sottolineando che le postazioni di ingegneria e le interfacce uomo-macchina possono essere erroneamente descritte come IT semplicemente perché utilizzano Windows. Il loro sistema operativo non modifica il loro ruolo operativo.
Dal punto di vista della difesa, ciò implica che le organizzazioni debbano comprendere cosa fa ciascun sistema e cosa dipende da esso. Il solo confine di rete non basta a stabilire se la produzione possa sopravvivere alla perdita di un servizio condiviso.
Il supporto remoto aiuta ingegneri e fornitori a effettuare la manutenzione delle apparecchiature senza essere fisicamente presenti. Tuttavia, un accesso scarsamente controllato può anche fornire una via d’accesso agli ambienti operativi.
Le linee guida del NCSC sulla connettività OT, pubblicate nel gennaio 2026, raccomandano di ridurre l’esposizione attraverso misure quali l’accesso just-in-time e le connessioni mediate tramite gateway controllati. Questi approcci aiutano a evitare di esporre direttamente le risorse OT alle reti esterne.
Le organizzazioni dovrebbero essere in grado di stabilire chi dispone di accesso remoto, a quali risorse può accedere, quando tale accesso è necessario e come può essere revocato.
Una configurazione di accesso che rimane attiva a lungo dopo la conclusione di un’attività di manutenzione crea un’esposizione non necessaria. Lo stesso vale quando l’account di un fornitore dispone di autorizzazioni più ampie di quelle richieste dal suo lavoro.
La sostituzione o l’aggiornamento di una risorsa industriale può richiedere una pianificazione operativa, verifiche di compatibilità e un’adeguata finestra di manutenzione.
Tali vincoli possono costringere le organizzazioni a gestire sistemi obsoleti per periodi prolungati. L’NCSC riconosce che molti sistemi OT sono difficili da aggiornare o sostituire, rendendo particolarmente importanti una solida protezione dei confini e la segmentazione.
Ciò dovrebbe influenzare il modo in cui vengono stabilite le priorità relative alle esposizioni. I team devono valutare se un asset sia raggiungibile, cosa controlli e quali protezioni siano già in atto.
Laddove non sia pratico un intervento correttivo immediato, limitare la connettività e rafforzare il monitoraggio può aiutare a ridurre il rischio mentre si pianifica una soluzione a più lungo termine.
Il 12 maggio 2026, Foxconn ha confermato che alcuni dei suoi stabilimenti nordamericani avevano subito un attacco informatico. Il comunicato aziendale indicava che erano state attivate misure di risposta e che gli stabilimenti colpiti stavano tornando alla normale produzione.
Da parte sua, il gruppo di ransomware Nitrogen ha rivendicato la responsabilità dell’attacco e ha affermato di aver sottratto dei dati. Tali affermazioni vanno oltre quanto confermato pubblicamente da Foxconn e devono essere considerate come dichiarazioni degli autori dell’attacco.
L’interruzione confermata delle attività negli stabilimenti illustra le conseguenze operative di un attacco ai danni di un importante produttore. Solleva inoltre una questione relativa alla catena di approvvigionamento: in che modo i clienti potrebbero mantenere la produzione se un fornitore critico non fosse in grado di effettuare le consegne?
Per i responsabili della sicurezza e delle operazioni, la dipendenza dai fornitori deve essere presa in considerazione nella pianificazione contro il ransomware. La resilienza della vostra organizzazione può essere compromessa da un incidente che si verifica al di fuori del proprio ambiente.
I dati indicano una crescente pressione del ransomware sulle organizzazioni industriali. Ciò non significa che ogni incidente nel settore manifatturiero comporti una compromissione diretta dei dispositivi OT.
Un rapporto pubblicato nel febbraio 2026 ha registrato 119 gruppi di ransomware che hanno preso di mira le organizzazioni industriali nel corso del 2025, rispetto agli 80 del 2024, colpendo complessivamente 3.300 organizzazioni. Si tratta di osservazioni relative al 2025 pubblicate nel 2026, non dei dati complessivi sugli incidenti del 2026.
Esistono diversi modi in cui un’organizzazione industriale può subire interruzioni operative:
Comprendere quale scenario si sia verificato è fondamentale per le indagini e il ripristino. Tutti e tre gli scenari devono essere presi in considerazione nella pianificazione della resilienza.
Iniziare con un obiettivo pratico: comprendere cosa potrebbe interrompere le operazioni e ridurre le vie attraverso cui un aggressore potrebbe causare tale esito.
Mantenere un inventario che colleghi le risorse al loro scopo, ai proprietari e ai processi critici. Includere le workstation di ingegneria, l’infrastruttura di accesso remoto e i servizi di supporto necessari per mantenere attiva la produzione.
Utilizzare tali informazioni per identificare in quali casi un singolo account, una connessione o un servizio compromesso potrebbe influire su più aree operative.
Applica il principio del privilegio minimo a dipendenti, collaboratori esterni e fornitori. Proteggi gli accessi esterni con un'autenticazione forte, rimuovi le autorizzazioni non necessarie e rivedi gli accessi quando cambiano i ruoli o i rapporti con i fornitori.
La segmentazione dovrebbe limitare la comunicazione tra IT e OT e all’interno degli ambienti operativi. L’NCSC identifica la segmentazione, l’autenticazione a più fattori (MFA) resistente al phishing e il principio del privilegio minimo come importanti misure di protezione dei confini OT.
Le decisioni relative al contenimento dovrebbero essere concordate con i team operativi prima che si verifichi un incidente.
L’NCSC raccomanda di stabilire un piano di isolamento. Laddove l’architettura lo consenta, le organizzazioni potrebbero essere in grado di disconnettere un servizio interessato o revocare l’accesso a un fornitore, mantenendo al contempo le altre connessioni necessarie.
Le esercitazioni dovrebbero verificare chi autorizza l’isolamento, come comunicano i team operativi e quali prove sono necessarie prima della riconnessione.
Un'esercitazione di ripristino efficace dovrebbe andare oltre la semplice verifica della possibilità di ripristinare un backup.
L’organizzazione sarebbe in grado di ripristinare i sistemi necessari per riavviare un processo critico? Le configurazioni sono disponibili e affidabili? Quali fornitori o tecnici sarebbero necessari? Quali controlli devono essere effettuati prima della ripresa della produzione?
Queste domande trasformano la preparazione al ransomware in un esercizio operativo che coinvolge i team di sicurezza, ingegneria e continuità operativa.
Integrity360 aiuta le organizzazioni a valutare e rafforzare la sicurezza OT attraverso servizi di consulenza, auditing, ingegneria e risposta agli incidenti. Il nostro lavoro comprende l’analisi dei rischi, la classificazione delle risorse, i test di resilienza al ransomware e il supporto per un’infrastruttura OT sicura.
La priorità è comprendere le vostre esposizioni operative, affrontare i punti deboli più rilevanti e preparare i vostri team a reagire in caso di interruzioni.
Contattate Integrity360 per proteggere il vostro ambiente OT
Perché i gruppi di ransomware prendono di mira gli ambienti OT?
Le organizzazioni industriali possono trovarsi sotto forte pressione quando la produzione o i servizi essenziali si arrestano. Gli autori degli attacchi cercano di sfruttare tale pressione, in particolare laddove le dipendenze operative, gli accessi esposti o le difficoltà di ripristino ne aumentano l’impatto.
Il ransomware può bloccare la produzione senza infettare i controllori industriali?
Sì. La produzione può dipendere da altri sistemi che diventano indisponibili, oppure gli operatori potrebbero dover isolare i sistemi durante un incidente. Un semplice arresto della produzione non dimostra di per sé che i controllori industriali siano stati compromessi.
Qual è un esempio confermato di ransomware industriale risalente al 2026?
Fairlife ha temporaneamente sospeso la produzione negli Stati Uniti a seguito di un attacco ransomware reso noto il 16 luglio 2026. Coca-Cola ha confermato che erano stati coinvolti sistemi legati alla produzione e ha successivamente annunciato che la maggior parte della produzione era ripresa in quattro stabilimenti statunitensi.
A cosa dovrebbero dare priorità le organizzazioni per ridurre il rischio di ransomware OT?
Le priorità includono la visibilità delle risorse e delle dipendenze, l’accesso remoto controllato, la segmentazione, la correzione basata sul rischio e procedure collaudate di isolamento e ripristino. I team di sicurezza e quelli operativi dovrebbero concordare insieme queste misure.