Cosa accadrebbe se dei criminali informatici riuscissero a penetrare nei sistemi dell’infrastruttura energetica lituana? Il Paese perderebbe l’accesso all’elettricità, al riscaldamento e al gas, afferma il Centro nazionale per la sicurezza informatica lituano (NCSC).
Polonia e Lituania stanno già affrontando attacchi informatici. Il portale Delfi.lt ha analizzato la situazione in Lituania e le misure di protezione adottate di fronte alle crescenti minacce nello spazio digitale.
Il 29 dicembre dello scorso anno, in Polonia, più di 30 impianti eolici e fotovoltaici, oltre a due centrali di cogenerazione, sono stati vittime di attacchi informatici coordinati. Secondo CERT Polska, in una delle centrali gli hacker sono riusciti a spegnere una turbina a vapore e il sistema di trattamento dell’acqua.
Gli abitanti, tuttavia, non hanno perso l’accesso al riscaldamento né all’elettricità. Gli attacchi hanno impedito le comunicazioni con gli operatori della rete, ma le centrali hanno continuato a produrre energia.
Nel luglio di quest’anno, gli attacchi hanno colpito anche il settore energetico del Regno Unito. I media britannici hanno riferito che una piccola centrale elettrica è stata costretta a chiudere per quattro giorni in seguito a un attacco. Il 7 settembre, il ministro dell’Energia Michael Shanks ha confermato che l’episodio aveva avuto un impatto limitato sulle forniture elettriche, senza tuttavia rappresentare una minaccia su larga scala per il sistema britannico.
Sono state colpite anche altre aziende energetiche europee. Il 3 febbraio ha smesso di funzionare il sito web di Conpet, l’operatore rumeno dell’oleodotto nazionale. Come nel caso della centrale polacca citata in precedenza, l’oleodotto ha continuato a funzionare normalmente e il trasporto di petrolio non è stato interrotto: il problema riguardava esclusivamente il sistema informatico.
In precedenza, il 29 gennaio, problemi ai propri sistemi informatici erano stati segnalati dal fornitore sloveno di gas naturale Geoplin. L’azienda era a conoscenza del fatto che alcuni dati presenti nei suoi sistemi fossero stati resi pubblici, ma aveva comunicato che tutte le operazioni procedevano regolarmente.
Il 12 gennaio, invece, in Catalogna l’agenzia per la cybersicurezza aveva rilevato che soggetti non autorizzati avevano ottenuto accesso ai dati delle società energetiche Endesa ed Energía XXI. Gli hacker avevano avuto accesso ai dati personali dei clienti, comprese informazioni contenute nei documenti d’identità e, in alcuni casi, numeri di conto bancario.
A rischio elettricità, gas e riscaldamento
Il Centro nazionale per la sicurezza informatica (NCSC) della Lituania ha registrato tre attacchi informatici nel 2024, uno nel 2025 e, finora, sei nel corso di quest’anno.
“Dei sette attacchi registrati nel periodo 2025-2026, sei sono stati classificati come di lieve entità e uno come completamente inefficace. Tre hanno limitato l’accesso a un determinato sistema o servizio”, indica l’NCSC. Il Centro sottolinea inoltre che gli attacchi informatici possono avere ripercussioni sull’accesso all’elettricità, al gas e al riscaldamento in Lituania.
“La fornitura di questi servizi dipende non solo dall’infrastruttura fisica, ma anche dai sistemi operativi. Se qualcuno riuscisse a penetrarvi, potrebbe compromettere la gestione dell’infrastruttura, il funzionamento delle apparecchiature e le forniture ai clienti”, spiega un esperto dell’NCSC.
È tuttavia difficile valutare la probabilità che si verifichino intrusioni di questo tipo.
Il rischio non scompare
Secondo l’NCSC, le principali minacce per la Lituania sono rappresentate dai ransomware, dagli attacchi alla catena di approvvigionamento, dallo sfruttamento delle vulnerabilità dei sistemi informatici e dagli attacchi ai sistemi di controllo industriale.
“Attacchi di questo tipo provocano perdite finanziarie per le aziende e possono portarle a interrompere la fornitura dei servizi essenziali”, sottolinea l’esperto.
Mancano inoltre dati sufficienti per stabilire chi stia effettivamente conducendo gli attacchi contro la Lituania, ovvero quali Stati o gruppi criminali vi siano dietro. Chiunque ne sia responsabile, il problema assume particolare gravità alla luce della minaccia rappresentata dalla Russia, compresi gli attacchi informatici russi contro diversi Paesi europei.
“Il settore energetico riveste una grande importanza strategica e può quindi diventare vittima di sabotaggio, spionaggio e altre forme di interferenza”, osserva un dipendente dell’NCSC.
Secondo Litgrid, l’operatore energetico lituano, le minacce nel cyberspazio stanno diventando sempre più complesse a causa dello sviluppo tecnologico.
“Per il consumatore medio è sempre più difficile distinguere il phishing e altre truffe dalle vere e-mail e telefonate, anche a causa dello sviluppo dell’intelligenza artificiale”, spiega l’azienda.
Gli scenari possibili sono numerosi
L’NCSC sottolinea che sia la Lituania sia l’intera Europa devono affrontare gli stessi problemi. Le tecnologie diventano obsolete e smettono di essere sufficienti. Inoltre, mancano specialisti qualificati.
Il Centro sottolinea anche che tutte le organizzazioni del settore energetico devono essere preparate a ogni scenario, dai semplici malfunzionamenti dei sistemi fino agli attacchi informatici pianificati nei minimi dettagli. I sistemi più importanti per la fornitura devono rimanere stabili anche in condizioni estreme.
“L’NCSC supervisiona l’attuazione dei requisiti previsti dal Cybersecurity Act (CSA) e sostiene le aziende del settore energetico nella costruzione della loro resilienza agli attacchi informatici. Le organizzazioni collaborano, ci forniscono i dati necessari e attuano regolarmente i requisiti previsti dalla normativa europea”, sottolinea il Centro.
Prepararsi al peggio
Litgrid si concentra sugli attacchi alle infrastrutture che controllano la trasmissione dell’elettricità. L’azienda sostiene che i sistemi informatici e di comunicazione di queste infrastrutture siano sicuri: i sistemi sono stati protetti in modo tale che anche gli hacker che riuscissero ad accedervi non possano modificarli.
“Finora non abbiamo registrato intrusioni che abbiano avuto un impatto sul sistema di trasmissione dell’energia elettrica in Lituania, ma ci stiamo preparando a questa eventualità”, spiega Litgrid.
L’azienda sottolinea inoltre che il livello di sicurezza è aumentato grazie alla sincronizzazione degli Stati baltici con il CESA, il sistema elettrico dell’Europa continentale.
“Non dipendiamo più dal sistema elettrico russo e non siamo nemmeno più collegati ad esso. Gli operatori delle reti russe non dispongono più di informazioni sul funzionamento della nostra rete elettrica”, commenta l’azienda.
“D’altra parte, siamo collegati agli altri Paesi europei, quindi gravi interruzioni in altri Stati potrebbero avere ripercussioni anche sulla Lituania”, aggiunge.
Solo il 29% dei sistemi ha rispettato i requisiti entro i termini stabiliti
Secondo il Consiglio nazionale per la regolamentazione dell’energia (VERT), circa 1.753 sistemi di produzione e stoccaggio dell’energia devono introdurre le norme di cybersicurezza.
“Secondo i dati forniti dagli operatori di rete, solo il 29% dei sistemi ha rispettato i requisiti entro i termini stabiliti. Si tratta all’incirca di un sistema su tre”, sottolinea il Consiglio.
“Il processo è ancora in corso. Gli operatori stanno effettuando audit di cybersicurezza nelle centrali elettriche e nei sistemi di stoccaggio dell’energia e stanno ricevendo numerose dichiarazioni” sui piani per l’introduzione delle soluzioni necessarie, aggiunge.
“Il numero è quindi ancora in evoluzione. Gli operatori dispongono delle informazioni più aggiornate, poiché sono loro a supervisionare il rispetto degli standard”, spiega il Consiglio.
E adesso?
Il Consiglio spiega che, quando riceve dall’ESO, il principale operatore lituano della rete di distribuzione elettrica, l’elenco dei soggetti che non rispettano i requisiti di cybersicurezza, cerca innanzitutto di comprenderne le ragioni. Se accerta che un’unità non ha presentato la dichiarazione richiesta e non dispone di una giustificazione sufficiente, emette un ordine vincolante affinché tale dichiarazione venga fornita all’ESO entro un termine stabilito.
“Se il sistema interessato non risolve il problema entro il termine previsto, il Consiglio può, in base alla legge, imporre sanzioni, emettere un ordine vincolante di sospensione del sistema o ricorrere ad altri strumenti di attuazione”, spiega il Consiglio.
Il VERT valuta ogni caso individualmente. Se un soggetto collabora e introduce concretamente le soluzioni richieste, la cooperazione tra esso e il Consiglio è considerata più importante dell’imposizione coercitiva degli obblighi.
“In parole semplici, il VERT avverte l’azienda interessata che, se non collaborerà con l’operatore e con il Consiglio e non rispetterà le regole, potrebbe sospenderne la capacità di produrre elettricità o persino revocarle la licenza2, spiega il Consiglio.
Il Consiglio fornisce inoltre indicazioni su come attuare i requisiti. Scambia informazioni con gli operatori di rete e analizza i dati ricevuti, con l’obiettivo di aumentare il livello di cybersicurezza di tutte le aziende e dei sistemi coinvolti.
In foto: Tralicci dell’alta tensione [Simona.cerrato, CC BY-SA 3.0, via Wikimedia Commons]
Tradotto da Cesare Ceccato. Articolo originale pubblicato su Focus Europe Poland disponibile qui.
