Cyberattacco e blackout: può davvero spegnere una città?

Un hacker davanti a un computer, un comando impartito da remoto e, pochi secondi dopo, un'intera metropoli che precipita nel buio. È una delle immagini più utilizzate quando si parla di cyberattacchi alle infrastrutture critiche, ma la realtà è più complessa. Un attacco informatico può effettivamente provocare un'interruzione dell'energia elettrica e la storia recente offre casi documentati nei quali è accaduto davvero. Questo, però, non significa che "spegnere una città" sia normalmente semplice quanto premere un pulsante, né che qualsiasi intrusione in una società elettrica possa automaticamente trasformarsi in un blackout totale.
Il verdetto corretto si trova quindi a metà strada tra due estremi. È sbagliato sostenere che una rete elettrica sia immune dagli attacchi informatici perché composta da impianti fisici; allo stesso modo è fuorviante immaginare le infrastrutture energetiche moderne come un unico computer collegato a Internet che possa essere disattivato integralmente attraverso una singola password compromessa. Le reti sono sistemi distribuiti, dotati di protezioni, ridondanze, operatori e procedure di emergenza. Ma sono anche sempre più digitalizzate e, proprio per questo, possiedono una superficie informatica che deve essere difesa.
Il precedente più importante resta quello dell'Ucraina. Nel dicembre 2015 un'operazione informatica riuscì concretamente a interrompere la distribuzione elettrica a circa 225.000 clienti. Un anno più tardi un secondo attacco colpì la rete nell'area di Kyiv utilizzando un malware progettato specificamente per interagire con sistemi industriali. Questi episodi hanno dimostrato definitivamente che il passaggio dal cyberspazio al mondo fisico non è teorico: un comando digitale può contribuire all'apertura di un interruttore, all'interruzione di una linea e quindi allo spegnimento reale delle luci.

Il verdetto: sì, ma non come nei film

Alla domanda "un cyberattacco può spegnere una città?" la risposta più accurata è dunque sì, purché si chiarisca cosa significhi. È realistico che un'operazione sofisticata provochi blackout temporanei in specifiche aree, interrompa il servizio a decine o centinaia di migliaia di utenti oppure comprometta alcuni servizi essenziali. È invece molto più difficile sostenere che un aggressore possa necessariamente disattivare contemporaneamente ogni fonte di alimentazione, ogni sottostazione, ogni sistema di emergenza e ogni possibilità di ripristino di una grande città con un solo gesto.
La differenza è fondamentale perché il termine blackout viene spesso utilizzato come se descrivesse un fenomeno unico. In realtà può indicare l'interruzione di un quartiere, di una parte della rete di distribuzione, di una città, di più regioni o, negli scenari estremi, di porzioni molto vaste di un sistema elettrico interconnesso. Durata ed estensione dipendono inoltre dalla natura del guasto e dalla capacità degli operatori di isolare il problema e riconfigurare rapidamente la rete.
Un attaccante non deve necessariamente riuscire a distruggere l'intero sistema per ottenere conseguenze significative. La compromissione di alcuni nodi critici può essere sufficiente a provocare disservizi importanti. Proprio perché una città moderna dipende dall'elettricità per quasi ogni attività, un'interruzione relativamente circoscritta può produrre effetti molto più ampi del numero di abitazioni direttamente rimaste senza corrente.

Per capire il rischio bisogna capire come arriva l'elettricità

Una rete elettrica moderna può essere semplificata in tre grandi livelli: produzione, trasmissione e distribuzione. L'energia viene generata da centrali e impianti di diversa natura, trasferita sulle grandi distanze attraverso la rete di trasmissione ad alta tensione e successivamente distribuita verso città, quartieri, imprese e abitazioni attraverso reti a tensioni progressivamente inferiori.
Questi livelli non funzionano come una catena puramente passiva. Il sistema elettrico deve mantenere continuamente un equilibrio tra energia prodotta e consumata. Gli operatori controllano flussi, tensioni, frequenza, disponibilità degli impianti e stato delle linee. Protezioni automatiche intervengono quando vengono rilevate condizioni anomale, isolando parti del sistema per evitare che un problema locale provochi conseguenze più estese.
La digitalizzazione ha reso questa gestione molto più efficiente. Sensori e sistemi di telecontrollo permettono agli operatori di sapere cosa accade in punti lontani della rete e, quando necessario, di modificare configurazioni senza inviare ogni volta personale fisicamente sul posto. È proprio questa capacità di controllo remoto, essenziale per un sistema moderno, a introdurre contemporaneamente un problema di sicurezza informatica.

IT e OT: due mondi collegati ma differenti

Quando si parla di attacco a una società elettrica bisogna distinguere tra i normali sistemi informatici aziendali e la cosiddetta Operational Technology, abbreviata in OT. Nel primo gruppo rientrano computer degli uffici, posta elettronica, sistemi amministrativi e gestionali. Nel secondo si trovano invece apparati e software utilizzati per osservare o controllare processi fisici.
Un ransomware che blocca il computer della contabilità di un'azienda energetica è un incidente serio, ma non equivale automaticamente al controllo di una sottostazione. Per provocare direttamente un blackout, l'attaccante deve normalmente riuscire ad avvicinarsi al livello nel quale i sistemi industriali interagiscono con la rete fisica oppure provocare indirettamente una situazione che costringa l'operatore a interrompere il servizio.
Il problema è che, nel corso degli anni, i confini tra IT e OT sono diventati meno assoluti. La necessità di monitorare gli impianti a distanza, raccogliere dati, effettuare manutenzione e integrare sistemi differenti ha moltiplicato le connessioni. Una configurazione progettata correttamente cerca di mantenere una forte segmentazione e controllare rigidamente gli accessi, ma infrastrutture complesse possono includere apparecchiature installate molti anni prima e successivamente integrate con tecnologie più recenti.

Cosa sono SCADA, PLC e sistemi di controllo industriale

Tra gli acronimi più frequenti compare SCADA, che indica sistemi di supervisione, controllo e acquisizione dati. In termini molto semplici, consentono agli operatori di visualizzare ciò che accade in un'infrastruttura industriale e, dove previsto, inviare comandi agli apparati controllati.
I PLC, o controllori logici programmabili, sono invece computer industriali progettati per gestire macchinari e processi fisici. Possono essere utilizzati in stabilimenti, impianti idrici, infrastrutture energetiche e numerosi altri ambienti. Non devono essere immaginati come normali personal computer: vengono progettati per lavorare continuamente e interagire con dispositivi reali.
Esistono poi apparati di protezione e controllo che intervengono direttamente sulla rete elettrica. Un sistema compromesso potrebbe, a seconda della configurazione e del livello di accesso ottenuto dall'aggressore, essere utilizzato per alterare comandi oppure ostacolare la visibilità degli operatori. È precisamente questo collegamento tra informatica e processo fisico a rendere la cybersecurity industriale differente dalla normale sicurezza di un sito web.

Perché "un clic" è una rappresentazione fuorviante

Il momento finale di un attacco può anche consistere nell'invio di un comando digitale. Ma concentrarsi soltanto su quel comando nasconde tutto ciò che normalmente deve essere avvenuto prima. Le operazioni contro infrastrutture industriali più sofisticate possono richiedere conoscenza dell'ambiente, accessi ottenuti in precedenza e comprensione delle conseguenze fisiche delle azioni compiute.
Non basta quindi che qualcuno sia un bravo criminale informatico. Manipolare in maniera prevedibile una infrastruttura energetica richiede anche conoscenze specifiche del sistema bersaglio. Due reti possono utilizzare architetture, apparati, protezioni e configurazioni differenti. Un'azione capace di produrre un effetto in un impianto non può essere automaticamente trasferita a qualsiasi altra città.
È uno dei motivi per cui gli attacchi realmente capaci di produrre conseguenze fisiche vengono considerati particolarmente sofisticati. L'immagine cinematografica dell'hacker che individua una pagina segreta e preme "off" confonde il passaggio finale con l'intera operazione necessaria per arrivarci.

Ucraina 2015: quando il cyberattacco provocò davvero un blackout

Il 23 dicembre 2015 rappresenta una data fondamentale nella storia della cybersicurezza energetica. Tre società ucraine di distribuzione elettrica furono colpite da un'operazione coordinata che portò a interruzioni del servizio per circa 225.000 clienti.
Gli aggressori erano riusciti a penetrare precedentemente negli ambienti informatici delle società e successivamente a raggiungere i sistemi utilizzati per le operazioni. Nel momento dell'attacco vennero disconnesse diverse sottostazioni, producendo un impatto fisico immediato sul territorio.
L'operazione non si limitò però allo spegnimento dell'energia. Vennero utilizzati anche strumenti distruttivi contro sistemi informatici e furono compromesse alcune capacità di controllo remoto. In parallelo, le comunicazioni dei servizi clienti vennero ostacolate, rendendo più difficile gestire immediatamente l'ondata di segnalazioni provenienti dagli utenti rimasti senza corrente.
È proprio la combinazione di più azioni a mostrare quanto sia sbagliato ridurre il caso al famoso "clic". Il blackout fu il risultato di una operazione preparata e coordinata, non di un attaccante che casualmente trovò online l'interruttore generale dell'Ucraina.

Il dettaglio decisivo: gli operatori riuscirono a lavorare manualmente

Uno degli aspetti più importanti del caso ucraino fu la possibilità di utilizzare procedure manuali. Anche quando una parte dei sistemi digitali era diventata inutilizzabile, i tecnici poterono intervenire direttamente sulle infrastrutture e ripristinare progressivamente l'alimentazione.
Questa capacità contribuì a limitare la durata dell'interruzione e dimostra perché la resilienza conti almeno quanto la prevenzione. Nessuna organizzazione può ragionevolmente garantire che qualsiasi attacco venga fermato prima di produrre un effetto. È quindi essenziale che esistano procedure per continuare a operare, isolare sistemi compromessi e recuperare il controllo.
Infrastrutture automatizzate e moderne non dovrebbero quindi diventare necessariamente dipendenti da un unico livello digitale. La presenza di modalità alternative di gestione, procedure di emergenza e personale addestrato può trasformare un incidente grave ma temporaneo in qualcosa di molto diverso da un blackout prolungato.

Ucraina 2016: arriva un malware progettato per la rete elettrica

Quasi esattamente un anno più tardi l'Ucraina venne colpita nuovamente. Nel dicembre 2016 un attacco contro una sottostazione nell'area di Kyiv causò un'interruzione di circa un'ora. Questa volta comparve uno strumento destinato a diventare uno dei simboli della guerra informatica contro le infrastrutture: Industroyer, conosciuto anche come CrashOverride.
La caratteristica più preoccupante di Industroyer era la capacità di comunicare attraverso protocolli realmente utilizzati nei sistemi elettrici. Il malware non era quindi soltanto progettato per infettare computer Windows o cancellare file: possedeva componenti pensati appositamente per interagire con tecnologie industriali.
Il caso dimostrò che un aggressore sufficientemente preparato poteva trasformare la conoscenza dei protocolli industriali in un'arma informatica capace di produrre effetti fisici. Il blackout fu relativamente breve e circoscritto, ma il potenziale del malware preoccupò profondamente gli specialisti proprio perché mostrava un livello crescente di automazione.

Industroyer2 e il tentativo fermato nel 2022

Durante la guerra iniziata con l'invasione russa dell'Ucraina, nel 2022 venne individuata una nuova variante chiamata Industroyer2. L'operazione era nuovamente diretta contro infrastrutture elettriche ucraine e mirava a una sottostazione ad alta tensione.
In questo caso il tentativo venne individuato e contrastato prima che potesse produrre il blackout pianificato. La vicenda è importante perché dimostra anche il lato opposto della storia: la presenza di un malware progettato per la rete elettrica non implica automaticamente che l'attacco riesca.
Difesa, monitoraggio, intelligence e collaborazione tra gestori e specialisti possono interrompere una campagna prima che raggiunga l'obiettivo fisico. Se si raccontano soltanto gli incidenti riusciti si rischia infatti di creare l'impressione che gli aggressori possiedano una capacità quasi illimitata. La realtà della cyberdifesa è fatta anche di attacchi rilevati, isolati e neutralizzati.

Un blackout totale è molto più difficile di un'interruzione locale

Una grande città non viene generalmente alimentata attraverso un singolo cavo facilmente disattivabile. La ridondanza delle reti consente, entro determinati limiti, di modificare i flussi e utilizzare percorsi alternativi quando una componente viene persa.
Ciò non significa che ogni sistema sia immune a guasti multipli. Eventi fisici passati hanno dimostrato che una combinazione di problemi può innescare interruzioni a cascata su aree molto vaste. Proprio per questa ragione le reti dispongono di sistemi automatici di protezione progettati per isolare rapidamente le anomalie.
Per provocare intenzionalmente un blackout di grande estensione, un aggressore dovrebbe quindi superare non soltanto le difese informatiche, ma anche le caratteristiche fisiche e operative della rete interconnessa. Dovrebbe inoltre impedire o rallentare le reazioni degli operatori e i meccanismi di protezione. È un obiettivo enormemente più complesso rispetto all'interruzione di una singola struttura.

Il rischio di una cascata esiste, ma non è automatico

Le reti elettriche sono sistemi nei quali le componenti influenzano continuamente le altre. Se una linea viene disconnessa, l'energia può redistribuirsi su percorsi alternativi. Se quei percorsi si sovraccaricano e vengono a loro volta disconnessi dalle protezioni, può formarsi una cascata di guasti.
È così che alcuni dei più grandi blackout della storia sono riusciti ad assumere dimensioni molto superiori al problema iniziale, anche senza alcun cyberattacco. Una vulnerabilità informatica potrebbe teoricamente essere utilizzata per creare condizioni favorevoli a una cascata, ma prevederne con precisione l'evoluzione è molto più difficile che rappresentarlo in una simulazione cinematografica.
Il sistema cambia infatti di momento in momento in base a domanda, produzione disponibile, stato delle linee e numerosi altri fattori. Gli operatori e gli automatismi lavorano precisamente per impedire che la perdita di un componente diventi una crisi sistemica.

Il vero obiettivo potrebbe non essere tutta la città

Da un punto di vista strategico, un aggressore potrebbe non avere alcun bisogno di spegnere completamente una città. Interrompere energia in un distretto specifico, colpire un impianto idrico oppure compromettere le operazioni di una determinata infrastruttura può essere sufficiente per produrre un forte impatto.
Una delle lezioni della sicurezza moderna è proprio questa: il danno non deve essere valutato soltanto in megawatt mancanti. La posizione delle strutture coinvolte e la loro funzione possono contare quanto la dimensione geografica del blackout.
Un'interruzione relativamente piccola ma concentrata su un punto particolarmente sensibile può essere più problematica di un blackout più ampio in una zona dotata di buone capacità di backup. Per questo la protezione delle infrastrutture critiche richiede una valutazione delle dipendenze e non soltanto della dimensione degli impianti.

Cosa succede a una città quando manca la corrente

Una città contemporanea dipende dall'elettricità per una quantità di servizi che diventa davvero visibile soltanto quando l'alimentazione viene meno. Illuminazione domestica e commerciale sono soltanto la parte più evidente.
I semafori possono smettere di funzionare o passare a modalità di emergenza, con effetti immediati sulla mobilità. Sistemi ferroviari e metropolitani possiedono generalmente procedure e alimentazioni specifiche, ma un'interruzione estesa può comunque influenzare stazioni, segnalamento, accessi e servizi ai passeggeri.
Le telecomunicazioni dipendono anch'esse dall'energia. Antenne e centrali possiedono sistemi di backup, ma batterie e generatori non rappresentano una fonte infinita. Se il blackout dura a lungo e interessa un'area vasta, anche la capacità dei cittadini di comunicare può deteriorarsi progressivamente.
Anche i pagamenti elettronici, gli sportelli, i negozi e una parte della logistica possono subire conseguenze. Una carta bancaria perfettamente funzionante serve a poco se il terminale del commerciante, la rete dati o i sistemi che lo collegano al servizio di pagamento non sono operativi.

Ospedali: generatori e sistemi di emergenza riducono il rischio

Gli ospedali rappresentano uno degli esempi più immediati quando si descrivono le conseguenze di un blackout. Le strutture sanitarie critiche dispongono normalmente di alimentazioni di emergenza e generatori proprio perché la continuità energetica è essenziale.
Questo non significa tuttavia che un ospedale possa ignorare indefinitamente un'interruzione della rete. Sistemi di backup devono funzionare correttamente, possiedono requisiti di manutenzione e dipendono dalla disponibilità di carburante quando l'interruzione si prolunga.
La distinzione è quindi simile a quella valida per l'intera città: l'assenza di corrente non equivale automaticamente alla cessazione immediata di ogni attività, ma aumenta il livello di emergenza operativa e riduce progressivamente i margini di sicurezza.

Anche l'acqua dipende dall'energia

La relazione tra elettricità e servizio idrico è meno intuitiva ma altrettanto importante. Pompe, sistemi di trattamento, valvole, sensori e impianti di sollevamento possono richiedere alimentazione elettrica e controlli industriali.
Un blackout prolungato può quindi creare effetti indiretti sulla disponibilità o sulla gestione dell'acqua potabile e delle acque reflue, a seconda della struttura locale della rete e delle capacità di emergenza predisposte.
È anche per questa ragione i sistemi idrici sono considerati infrastrutture critiche da proteggere direttamente dagli attacchi informatici. Un aggressore non deve necessariamente colpire la rete elettrica per produrre un problema urbano: può tentare di compromettere i sistemi di controllo di altri servizi essenziali.

L'allerta del 19 agosto 2026 sui PLC Siemens

Il tema è particolarmente attuale perché il 19 agosto 2026 diverse agenzie statunitensi hanno diffuso un avviso congiunto su una minaccia attiva contro controllori programmabili Siemens della serie S7 utilizzati in vari settori di infrastrutture critiche.
L'avviso riguarda installazioni presenti nei settori della manifattura critica, energia, acqua, chimica, alimentazione e agricoltura, oltre ad altre strutture. Le autorità hanno segnalato attività di ricognizione e sviluppo di capacità contro dispositivi esposti e non adeguatamente protetti.
È essenziale, tuttavia, non trasformare l'allerta in una notizia inesistente. Le autorità non hanno annunciato che questi attacchi abbiano già provocato un blackout nazionale o lo spegnimento di una grande città americana. Hanno avvertito che la minaccia è reale e che una compromissione potrebbe, in determinate circostanze, provocare interruzioni dei processi, fermo degli impianti, rischi per la sicurezza o danni alle apparecchiature.

Il ruolo dell'intelligenza artificiale negli attacchi del 2026

L'allerta americana contiene anche un elemento nuovo: gli aggressori starebbero utilizzando strumenti basati sull'intelligenza artificiale per accelerare alcune attività di sviluppo degli strumenti di attacco. È un dato importante, ma anche in questo caso deve essere interpretato senza sensazionalismo.
L'IA può ridurre il tempo necessario per produrre codice, analizzare informazioni o adattare strumenti esistenti. Questo può abbassare in parte la barriera tecnica per alcune operazioni e aumentare la velocità con cui vengono tentati gli attacchi.
Non significa, però, che un modello generativo possa automaticamente comprendere un'intera rete industriale e spegnere una città senza competenze umane. Le infrastrutture fisiche conservano complessità, configurazioni specifiche e sistemi di protezione. L'IA può diventare un moltiplicatore di capacità, non una bacchetta magica capace di eliminare tutti gli ostacoli tecnici.

Attenzione anche all'attribuzione

Nel contesto geopolitico attuale è facile collegare qualsiasi attività informatica contro infrastrutture occidentali a un determinato Stato. Ma l'attribuzione di un cyberattacco è un processo complesso che richiede elementi tecnici, intelligence e valutazioni indipendenti.
Nel caso dell'allerta sui controllori Siemens, le agenzie statunitensi hanno descritto la campagna attiva senza attribuirla pubblicamente a uno specifico soggetto nel documento. Il fatto che altre campagne recenti abbiano suscitato sospetti geopolitici non autorizza automaticamente a trasferire la stessa attribuzione a ogni incidente.
È una regola fondamentale per il giornalismo sulla cybersecurity: distinguere sempre tra capacità osservata, sospetto e attribuzione ufficiale. Confonderli può trasformare un fatto tecnico in un'affermazione geopolitica non dimostrata.

Non tutti gli attacchi alle aziende energetiche colpiscono direttamente gli impianti

Un'altra fonte frequente di confusione riguarda gli attacchi informatici contro società del settore energia. Se un'azienda viene colpita da ransomware e sospende temporaneamente alcune operazioni, non significa necessariamente che il malware abbia preso direttamente il controllo delle apparecchiature fisiche.
Una società può decidere di fermare un processo per precauzione mentre verifica l'estensione dell'incidente oppure perché sistemi amministrativi indispensabili sono diventati indisponibili. Il risultato per il consumatore può comunque essere grave, ma la catena tecnica è diversa da quella di un malware che apre direttamente un interruttore elettrico.
Separare impatto IT e impatto OT aiuta quindi a comprendere realmente la gravità di un incidente. Un attacco alla posta elettronica di una utility, un ransomware contro la fatturazione e un malware progettato per controllare una sottostazione appartengono alla stessa grande categoria della cybersecurity, ma hanno capacità e conseguenze molto differenti.

Perché le vecchie apparecchiature possono diventare un problema

Molte infrastrutture industriali possiedono una vita operativa molto più lunga rispetto a quella di un normale computer. Una apparecchiatura industriale può rimanere in funzione per decenni, mentre sistemi informatici di consumo vengono sostituiti ogni pochi anni.
Questo significa che alcune installazioni sono state progettate in un periodo nel quale la possibilità di collegarle a reti esterne era molto più limitata e la cybersecurity non aveva l'importanza attuale. Aggiungere successivamente telecontrollo, manutenzione remota o integrazione con sistemi aziendali può creare nuove esigenze di protezione.
Non significa che ogni impianto vecchio sia automaticamente vulnerabile. Ma gestione degli aggiornamenti, segmentazione, controllo degli accessi e monitoraggio diventano particolarmente importanti quando apparati industriali vengono inseriti in un ambiente connesso molto diverso da quello nel quale erano stati originariamente progettati.

Internet esposto non dovrebbe significare impianto indifeso

Una delle raccomandazioni più ricorrenti nelle campagne di sicurezza riguarda la necessità di limitare l'esposizione diretta dei dispositivi industriali. Un apparato che può essere raggiunto indiscriminatamente dall'esterno offre inevitabilmente più opportunità di essere individuato e attaccato.
La difesa moderna utilizza diversi livelli: segmentazione delle reti, autenticazione, controllo degli accessi, monitoraggio e aggiornamenti. Nessuna singola misura è sufficiente da sola. La logica consiste nel fare in modo che la compromissione di un punto non consegni automaticamente all'aggressore il controllo di tutto ciò che si trova dietro.
Questo principio prende spesso il nome di difesa in profondità. L'obiettivo non è immaginare un perimetro digitale perfetto e invalicabile, ma costruire più ostacoli indipendenti e capacità di rilevamento lungo il percorso.

La segmentazione è l'opposto del "pulsante unico"

La segmentazione serve precisamente a impedire che un problema in una parte della rete si diffonda automaticamente ovunque. Sistemi aziendali, ambienti industriali e diverse zone operative possono essere separati e comunicare soltanto attraverso collegamenti controllati.
Se questa architettura è progettata correttamente, compromettere un computer dell'ufficio non dovrebbe consentire automaticamente di controllare una sottostazione elettrica. Un aggressore deve superare ulteriori barriere, e ogni passaggio offre ai sistemi di sicurezza un'altra possibilità di rilevare comportamenti anomali.
È anche per questo che parlare di "un clic che spegne tutto" è fuorviante. Le infrastrutture mature vengono costruite proprio per evitare l'esistenza di un singolo punto digitale di fallimento capace di abbattere l'intero sistema.

Il fattore umano rimane decisivo

La tecnologia, tuttavia, non può sostituire completamente le persone. Gli operatori devono essere in grado di comprendere quando ciò che vedono sugli schermi potrebbe non rappresentare correttamente ciò che sta accadendo fisicamente.
Durante un incidente cyber-fisico, una delle situazioni più pericolose può essere la perdita di visibilità affidabile. Se un sistema comunica dati errati oppure smette di fornire informazioni, l'operatore deve poter utilizzare altri indicatori e procedure per capire lo stato reale dell'infrastruttura.
Formazione ed esercitazioni diventano quindi componenti della sicurezza informatica tanto quanto firewall e software. Un piano di emergenza che esiste soltanto sulla carta e non è mai stato provato può rivelarsi insufficiente proprio nel momento in cui dovrebbe funzionare.

Resilienza significa anche riuscire a ripartire

Nella cybersecurity delle infrastrutture critiche il concetto chiave non è soltanto impedire gli attacchi, ma garantire la resilienza. Una rete resiliente deve riuscire a contenere l'incidente, mantenere i servizi essenziali quando possibile e recuperare rapidamente le funzioni compromesse.
Per questo backup, componenti di ricambio, procedure manuali e piani di disaster recovery hanno un ruolo fondamentale. Una stessa intrusione può produrre conseguenze molto differenti in due organizzazioni a seconda della preparazione del personale e della rapidità del ripristino.
La misura del successo non consiste quindi necessariamente nel poter dire "nessuno è mai entrato". Può consistere nel riuscire a dire che, nonostante una compromissione, il servizio essenziale è rimasto disponibile oppure è stato ripristinato prima che le conseguenze diventassero sistemiche.

Una città è un sistema di dipendenze

Il vero motivo per cui un blackout cyber può diventare pericoloso è la quantità di dipendenze incrociate che caratterizza una città moderna. L'energia alimenta le telecomunicazioni, ma le telecomunicazioni sono necessarie anche per coordinare gli interventi sull'energia. Gli acquedotti dipendono dall'elettricità, mentre gli operatori elettrici possono dipendere da reti dati che utilizzano infrastrutture di comunicazione.
Questa interconnessione crea un rischio di effetto domino che non deve necessariamente coincidere con un collasso tecnico della rete elettrica. È possibile che l'energia venga ripristinata relativamente presto, ma che alcuni servizi collegati richiedano più tempo per tornare pienamente operativi.
La sicurezza urbana deve quindi essere studiata come una rete di servizi interdipendenti, non come una collezione di settori completamente separati. È una delle ragioni per cui energia, acqua, telecomunicazioni, sanità e trasporti vengono considerati infrastrutture critiche.

Blackout e disinformazione possono amplificarsi a vicenda

Durante una vera interruzione elettrica può comparire anche un secondo problema: la disinformazione. In assenza di informazioni affidabili, messaggi non verificati possono diffondersi rapidamente attribuendo il blackout a guerra, terrorismo, sabotaggio o collasso nazionale prima che le autorità abbiano stabilito la causa.
Un aggressore potrebbe persino avere interesse a sfruttare il caos comunicativo prodotto dall'incidente, indipendentemente dal fatto che ne sia realmente responsabile. In questo modo il danno tecnico viene accompagnato da un tentativo di diminuire la fiducia pubblica nelle istituzioni.
Per questa ragione una risposta efficace comprende anche la comunicazione. Spiegare rapidamente quali aree siano interessate, quali servizi funzionino e quali comportamenti debbano essere adottati riduce la possibilità che il vuoto informativo venga occupato da voci incontrollate.

Un normale guasto può sembrare un cyberattacco

La maggior parte dei blackout non nasce da un attacco informatico. Guasti tecnici, eventi meteorologici estremi, incendi, errori operativi, incidenti e danni fisici possono interrompere la rete senza alcun intervento hacker.
Quando un'interruzione avviene durante un periodo di tensione internazionale, tuttavia, la tentazione di attribuirla immediatamente al cyberwarfare può essere forte. È un errore metodologico. La causa deve essere determinata attraverso analisi tecniche e non attraverso la semplice coincidenza temporale con una crisi geopolitica.
Anche un sistema informatico non funzionante durante un blackout potrebbe esserne la conseguenza invece che la causa. È precisamente questo tipo di distinzione che rende le indagini su infrastrutture cyber-fisiche particolarmente complesse.

La sicurezza fisica conta quanto quella digitale

Concentrarsi esclusivamente sugli hacker può portare a dimenticare che una sottostazione, un trasformatore o una linea possono essere danneggiati anche fisicamente. Le infrastrutture energetiche devono quindi essere protette contemporaneamente da minacce cyber e convenzionali.
Un attacco combinato potrebbe teoricamente utilizzare strumenti differenti per rallentare la risposta. Per questo i gestori adottano una visione integrata della sicurezza, considerando intrusioni informatiche, sabotaggio fisico, fenomeni naturali e guasti operativi.
La resilienza migliore è quella che non dipende dall'aver previsto esattamente quale sarà il prossimo incidente, ma dalla capacità di mantenere il servizio anche davanti a scenari differenti.

Quanto è realistico un blackout nazionale?

Passare da una sottostazione compromessa allo spegnimento di un intero Paese aumenta enormemente la complessità. Le grandi reti nazionali comprendono migliaia di componenti, molte organizzazioni, sistemi di protezione e collegamenti con reti vicine.
Non è corretto affermare che un blackout cyber nazionale sia fisicamente impossibile. Gli eventi a cascata esistono e le infrastrutture critiche vengono protette proprio perché le conseguenze di uno scenario estremo sarebbero enormi. Ma presentarlo come un risultato facilmente ottenibile da un singolo hacker remoto significa ignorare la complessità reale del sistema.
Un'operazione capace di produrre effetti di quella scala richiederebbe presumibilmente un livello eccezionale di accesso, conoscenza e coordinamento, oltre alla capacità di superare le contromisure e le reazioni degli operatori. È una categoria di rischio da pianificare, non uno scenario da trattare come inevitabile.

Perché proprio le infrastrutture critiche attirano gli aggressori

Energia, acqua e trasporti possiedono un valore strategico perché un'interruzione produce rapidamente conseguenze sociali. Un aggressore interessato non soltanto al guadagno economico ma alla coercizione o destabilizzazione può quindi considerare questi settori obiettivi particolarmente interessanti.
Questo spiega perché le tensioni geopolitiche vengano accompagnate da un aumento dell'attenzione verso la cybersecurity industriale. Anche attività che non producono immediatamente danni possono servire per raccogliere informazioni, testare difese oppure mantenere accessi utilizzabili in futuro.
La difesa deve quindi agire anche prima dell'incidente visibile. Rilevare una ricognizione anomala o un tentativo di intrusione può impedire che mesi dopo quell'accesso venga trasformato in qualcosa di più grave.

L'intelligenza artificiale rende il problema più veloce, non necessariamente più semplice

Nel 2026 la presenza dell'IA generativa aggiunge una nuova variabile. Automatizzare parti della ricerca di vulnerabilità, della programmazione o dell'analisi può permettere agli aggressori di moltiplicare il numero di tentativi e ridurre alcuni tempi di preparazione.
Lo stesso principio vale però per la difesa. Sistemi di analisi automatizzata possono aiutare gli operatori a individuare anomalie all'interno di grandi quantità di dati di rete, filtrare eventi e accelerare alcune attività di risposta.
Il confronto non è quindi tra hacker dotati di IA e infrastrutture immobili. È una corsa continua nella quale strumenti simili possono aumentare le capacità di entrambi i lati. La differenza resta nella qualità dell'architettura di sicurezza, nella preparazione e nella capacità di reagire quando qualcosa supera le prime difese.

Cosa significa davvero "cybersecurity urbana"

Proteggere una città non significa installare un antivirus in municipio. La cybersecurity urbana comprende una rete di soggetti pubblici e privati che gestiscono energia, acqua, trasporti, sanità, telecomunicazioni e servizi amministrativi.
Queste organizzazioni devono condividere informazioni sulle minacce quando necessario e costruire procedure coordinate. Un incidente che nasce in una utility può infatti diventare rapidamente rilevante per ospedali, trasporti e autorità locali.
La sicurezza dipende quindi anche dalla capacità di cooperazione. Un gestore può essere tecnicamente molto preparato, ma se durante un'emergenza le informazioni non raggiungono tempestivamente gli altri servizi essenziali, l'impatto complessivo può comunque aumentare.

Il cittadino può fare qualcosa?

La protezione della rete elettrica spetta naturalmente a gestori e istituzioni, non al singolo cittadino. Esistono però normali misure di preparazione alle interruzioni di corrente che risultano utili indipendentemente dalla loro causa.
Mantenere dispositivi essenziali carichi, conoscere i numeri di emergenza e seguire le indicazioni ufficiali permette di gestire meglio un eventuale blackout temporaneo. Chi dipende da apparecchiature mediche alimentate elettricamente dovrebbe inoltre conoscere le procedure previste dal proprio piano sanitario e dal fornitore del dispositivo.
La preparazione non deve trasformarsi in allarmismo. Un cyberattacco capace di lasciare un'intera grande città senza elettricità per giorni resta uno scenario eccezionale. Le stesse misure di base risultano utili anche durante temporali, incendi o guasti tecnici, che continuano a rappresentare cause molto più comuni di interruzione.

Fact-check: tre affermazioni da distinguere

Dire che "un cyberattacco non può causare un blackout perché l'elettricità è un'infrastruttura fisica" è falso. I casi ucraini hanno dimostrato che sistemi digitali compromessi possono essere utilizzati per provocare reali interruzioni del servizio.
Dire che "qualsiasi hacker può spegnere una città con un clic" è invece fuorviante. Le reti sono distribuite, protette e dotate di ridondanze; un attacco capace di produrre conseguenze fisiche richiede normalmente condizioni molto più complesse.
Affermare infine che "un blackout cyber totale è impossibile" sarebbe altrettanto scorretto. Le reti elettriche possono essere vulnerabili a eventi a cascata e gli Stati investono nella protezione delle infrastrutture critiche precisamente perché scenari a bassa probabilità ma ad altissimo impatto non possono essere ignorati.

La vera domanda non è se un attacco sia possibile

Dopo gli episodi dell'Ucraina non è più necessario chiedersi se sia tecnicamente possibile causare un'interruzione elettrica attraverso un attacco informatico. È già accaduto. La domanda più utile è quanto una determinata infrastruttura sia capace di impedire che l'intrusione raggiunga i sistemi critici e, se questo avviene, di contenere rapidamente l'impatto.
La differenza tra una breve interruzione locale e una crisi di lunga durata può dipendere dalla resilienza: segmentazione efficace, sistemi di protezione indipendenti, capacità manuale, backup, ricambi, personale formato e comunicazioni di emergenza.
È qui che il racconto cinematografico diventa particolarmente ingannevole. L'elemento decisivo non è soltanto la potenza dell'aggressore, ma il modo in cui la rete reagisce. Due infrastrutture esposte allo stesso tipo di incidente possono subire conseguenze profondamente differenti.

Dal buio digitale alla realtà: il rischio esiste, il mito va ridimensionato

Il quadro finale è quindi meno spettacolare di un film, ma non per questo tranquillizzante. I cyberattacchi alle reti elettriche possono produrre effetti reali e sono già riusciti a lasciare centinaia di migliaia di persone senza corrente. Malware progettati specificamente per sistemi industriali hanno dimostrato che la frontiera tra mondo digitale e infrastruttura fisica è ormai definitivamente permeabile.
Allo stesso tempo, una città non possiede normalmente un unico interruttore digitale disponibile su Internet. Ridondanze, protezioni automatiche, separazione delle reti e capacità di intervento umano rendono molto più difficile trasformare una singola compromissione in un blackout totale e duraturo.
L'allerta statunitense dell'agosto 2026 sui controllori industriali conferma che la minaccia non appartiene al passato. La crescita delle connessioni e l'utilizzo dell'intelligenza artificiale da parte degli aggressori aumentano la pressione sulle organizzazioni che gestiscono infrastrutture essenziali. Ma un avviso su una minaccia attiva non equivale alla prova che intere città siano sul punto di essere spente.
Il fact-check porta quindi a una risposta precisa: sì, un cyberattacco può provocare un blackout; no, non è realistico descrivere normalmente il fenomeno come un semplice clic capace di spegnere automaticamente un'intera città. Il rischio più concreto è quello di interruzioni mirate, temporanee ma potenzialmente gravi, soprattutto quando colpiscono servizi essenziali o si combinano con altri problemi.
La sicurezza di una città non dipende dal poter affermare che nessun aggressore riuscirà mai a entrare. Dipende dalla capacità di resistere, isolare e ripristinare. È questa la differenza tra un'intrusione informatica e una vera crisi urbana: quanto lontano il danno riesce a propagarsi prima che persone, sistemi automatici e procedure di emergenza riescano a fermarlo.
E voi quanto considerate concreto il rischio dei cyberattacchi alle infrastrutture critiche? Pensate che energia, acqua e telecomunicazioni siano ormai tra i fronti più importanti della sicurezza nazionale oppure ritenete che il pericolo venga spesso raccontato in maniera troppo sensazionalistica? Lasciate nei commenti la vostra opinione sul rapporto tra digitalizzazione, sicurezza e resilienza delle nostre città.