La sicurezza delle infrastrutture nell’era della digitalizzazione

Negli ultimi anni la crescente digitalizzazione delle infrastrutture essenziali ha profondamente modificato il concetto stesso di sicurezza informatica. Il tradizionale confine tra sistemi informatici aziendali (Information Technology, noti come “IT”) e sistemi di controllo industriale (Operational Technology, noti come “OT”), a lungo considerato una garanzia di protezione, si rivela oggi sempre meno efficace.

Un esempio particolarmente significativo è rappresentato dall’attacco ransomware che ha colpito il porto di Ancona nel dicembre 2025, successivamente analizzato dalla società statunitense Resecurity. Tale episodio dimostra come sia possibile compromettere il funzionamento di un’infrastruttura strategica senza intervenire direttamente sui sistemi di controllo industriale, ma sfruttando esclusivamente vulnerabilità presenti nell’ambiente informatico tradizionale.

L’attacco ebbe origine l’11 dicembre 2025 attraverso una comune campagna di phishing: un operatore dell’organizzazione incaricata della gestione operativa dell’Autorità di Sistema Portuale del Mare Adriatico Centrale aprì un allegato malevolo ricevuto tramite posta elettronica, consentendo così agli attaccanti di ottenere un primo accesso alla rete aziendale. Da quel momento il gruppo criminale Anubis seguì la tipica sequenza operativa dei moderni ransomware: escalation dei privilegi, movimento laterale all’interno dell’infrastruttura informatica, accesso ai sistemi di produzione, esfiltrazione delle informazioni e successiva cifratura dei dati.

La rivendicazione dell’attacco avvenne nel gennaio 2026, quando il gruppo rese pubblica parte della documentazione sottratta e avanzò una richiesta di riscatto pari a dieci milioni di dollari in Bitcoin, concedendo sette giorni di tempo prima della pubblicazione integrale dei dati trafugati. I sistemi interessati dalla cifratura erano quelli dedicati alla gestione del tracciamento delle merci, alla pianificazione degli arrivi e delle partenze delle navi e alle procedure doganali. Sebbene nessun impianto industriale fosse stato compromesso direttamente, l’indisponibilità simultanea di tali piattaforme rese impossibile il normale svolgimento delle attività portuali, determinando il blocco della movimentazione delle merci, la deviazione delle navi verso altri scali e la sospensione delle operazioni doganali.

L’Autorità portuale precisò successivamente che la perdita aveva riguardato circa il due per cento del patrimonio informativo complessivo e che i backup avevano consentito di preservare la maggior parte dei dati. Inoltre, venne evidenziato come gran parte delle informazioni sottratte fosse già pubblica o destinata a esserlo nel breve periodo.

Questo episodio muta profondamente la prospettiva tradizionale sulla sicurezza delle infrastrutture critiche: per lungo tempo si è ritenuto che la separazione tra reti IT e sistemi OT costituisse una barriera sufficiente a garantire la continuità operativa. Il caso di Ancona dimostra invece che i normali sistemi gestionali, le piattaforme cloud, le applicazioni Software as a Service (ossia “SaaS”) e gli strumenti documentali integrati con le procedure logistiche sono ormai strettamente interconnessi con i processi operativi reali. Di conseguenza, la compromissione dei sistemi amministrativi produce effetti analoghi a quelli derivanti da un attacco diretto ai sistemi industriali, pur lasciando fisicamente intatte le infrastrutture.

Nei contesti portuali questa dipendenza dall’integrazione digitale risulta particolarmente evidente. Le operazioni di movimentazione delle merci, la gestione documentale, le procedure doganali e il coordinamento logistico dipendono sempre più da piattaforme informatiche distribuite, spesso basate su servizi cloud, mentre numerosi sistemi legacy continuano a convivere con tecnologie di nuova generazione, aumentando la complessità complessiva dell’ambiente digitale.

Il gruppo responsabile dell’attacco, Anubis, rappresenta una delle più recenti organizzazioni criminali attive nel panorama del ransomware. Comparso alla fine del 2024, ha rapidamente sviluppato un modello di business basato sul ransomware-as-a-service (ossia “RaaS”), mediante il quale gli sviluppatori del malware forniscono gli strumenti agli affiliati in cambio di una percentuale dei proventi ottenuti dai riscatti.

Uno degli elementi distintivi di Anubis consiste nell’applicazione sistematica della cosiddetta doppia estorsione. Prima della cifratura dei dati viene infatti effettuata l’esfiltrazione delle informazioni più sensibili, così da mantenere una leva ricattatoria anche nel caso in cui la vittima riesca a ripristinare i propri sistemi attraverso i backup. Nel caso del porto di Ancona furono sottratti contratti, dati del personale, piani di sicurezza e documentazione relativa alle attività di protezione portuale.

L’incidente assume particolare rilevanza anche alla luce della normativa europea. Le autorità di sistema portuale rientrano infatti tra i soggetti essenziali individuati dalla direttiva NIS2, recepita nell’ordinamento italiano mediante il decreto legislativo n. 138 del 2024. La disciplina impone l’adozione di misure proporzionate di gestione del rischio: il caso in questione conferma quindi che la sicurezza delle infrastrutture critiche non può più limitarsi alla protezione dei sistemi industriali, ma deve estendersi all’intero ecosistema digitale che sostiene le attività operative. La crescente dipendenza dai servizi cloud, dalle piattaforme gestionali e dai fornitori esterni rende indispensabile un approccio integrato alla cybersecurity, fondato soprattutto sulla loro concreta ed efficace applicazione, affinché la trasformazione digitale proceda parallelamente al rafforzamento della resilienza informatica.