Acqua ed energia sotto attacco: dicembre 2025, le prove generali del danno fisico

A dicembre 2025 la Danimarca ha attribuito alla Russia l'attacco a un acquedotto che aveva fatto scoppiare tubature, un ransomware ha cifrato 1.000 sistemi dell'autorità idrica romena e un attacco distruttivo ha colpito oltre 30 impianti energetici in Polonia. L'analisi: danno fisico, esclusioni per attori statali, cumulo e domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Tema del mese di dicembre 2025 · di cybercoverinsurance

A dicembre 2025 tre episodi hanno mostrato, in poche settimane, cosa succede quando gli attacchi arrivano agli impianti. Il 18 dicembre la Danimarca ha attribuito alla Russia un attacco del 2024 a un acquedotto, che aveva fatto scoppiare tubature e lasciato case senza acqua. A fine mese un ransomware ha cifrato circa 1.000 sistemi dell'autorità nazionale delle acque in Romania. Il 29 dicembre un attacco distruttivo ha colpito più di 30 impianti eolici e fotovoltaici e una grande centrale di cogenerazione in Polonia.

Per chi assume il rischio cyber i tre casi sono un banco di prova per tre temi: il danno fisico causato da un attacco informatico, le esclusioni per attori statali e il cumulo sulle infrastrutture critiche. Nessuno dei tre ha prodotto un danno grave, e proprio per questo vanno letti come prove generali.

Cosa si sa

Danimarca, l'acquedotto. A fine 2024 il gruppo filorusso Z-Pentest ha modificato la pressione dell'acqua all'acquedotto di Tureby Alkestrup, a Køge, 35 km a sud di Copenaghen. Almeno tre tubature sono scoppiate, circa 50 abitazioni sono rimaste senza acqua per sette ore e 450 per un'ora. Il 18 dicembre 2025 il servizio di intelligence della difesa danese ha attribuito l'attacco a gruppi legati allo Stato russo, la prima attribuzione pubblica di questo tipo da parte di Copenaghen. Il responsabile dell'acquedotto, Jan Hansen, ha consigliato alle altre aziende di non risparmiare sulla sicurezza informatica e di stipulare un'assicurazione cyber (Euronews). Lo stesso servizio ha indicato il gruppo NoName057(16) per gli attacchi di sovraccarico ai siti danesi prima delle elezioni locali del 2025 (Security Affairs).

Romania, l'autorità delle acque. A fine dicembre 2025 un attacco ha compromesso circa 1.000 sistemi informatici dell'autorità nazionale Apele Române e di 10 delle sue 11 amministrazioni di bacino. Gli attaccanti hanno usato BitLocker, lo strumento di cifratura incluso in Windows, invece di un ransomware proprio. Sono stati colpiti server applicativi, banche dati, posta, siti web e DNS. Secondo la direzione nazionale per la sicurezza informatica, i sistemi operativi che controllano gli impianti idrici non sono stati toccati e la gestione dell'acqua è proseguita (eSecurity Planet).

Polonia, la rete energetica. Il 29 dicembre 2025 un attaccante ha colpito più di 30 impianti eolici e fotovoltaici nei punti di connessione alla rete, una grande centrale di cogenerazione che fornisce calore a quasi mezzo milione di utenti e un'azienda manifatturiera. Negli impianti rinnovabili sono stati danneggiati controllori remoti, relè di protezione e apparati di comunicazione: le stazioni hanno perso il collegamento con il gestore della rete di distribuzione, ma la produzione di elettricità è proseguita. Nella centrale un software di rilevamento ha bloccato un programma di cancellazione dei dati. CERT Polska ha collegato l'infrastruttura usata a un gruppo noto come Berserk Bear o Dragonfly, associato alla Russia, e ha parlato della prima attività distruttiva pubblicamente descritta di questo gruppo (CERT Polska).

Come sono entrati in Polonia. Secondo CERT Polska, in tutti i casi gli attaccanti sono entrati da apparati perimetrali esposti a internet, configurati come VPN e firewall, con accessi senza autenticazione a più fattori. Per l'azienda manifatturiera è stata usata una configurazione rubata in precedenza e pubblicata su un forum criminale (Help Net Security). Un rapporto successivo, dell'agosto 2026, ha descritto un quarto attacco dello stesso giorno a una centrale più piccola, con una turbina a vapore ferma per breve tempo, e un accesso attraverso una rete mobile privata mal configurata (CERT Polska).

Cosa non è noto. I costi dei tre episodi, l'eventuale presenza di coperture assicurative e, per la Romania, l'autore e la porta d'ingresso non sono stati resi pubblici.

Dal dato al danno fisico

Il rischio cambia natura. Un furto di dati produce costi di notifica e responsabilità. Una pressione alterata in un acquedotto produce tubature rotte e utenti senz'acqua. Quando l'attacco tocca gli impianti, il danno passa dalla polizza cyber alle polizze danni e responsabilità civile, e la domanda diventa quale delle due risponde.

Il cyber silenzioso torna in gioco. Molte polizze danni hanno escluso o chiarito il rischio informatico negli ultimi anni. Un danno fisico causato da un attacco può cadere tra le due coperture: escluso dalla polizza danni, non previsto dalla polizza cyber. I casi danese e polacco mostrano che lo scenario non è teorico.

La separazione tra informatica d'ufficio e impianti conta. In Romania la cifratura si è fermata ai sistemi d'ufficio e l'acqua ha continuato a scorrere (eSecurity Planet). In Polonia gli attaccanti sono arrivati agli apparati di campo. Per chi assume il rischio, la separazione tra le due reti è il dato che distingue un sinistro di interruzione da un sinistro con danni materiali.

Attori statali ed esclusioni

Tre episodi, tre attribuzioni diverse. In Danimarca l'attribuzione è ufficiale, da parte di un servizio di intelligence. In Polonia viene da CERT Polska, l'ente tecnico nazionale. In Romania non c'è attribuzione. Le esclusioni per attacchi di Stato che richiedono un'attribuzione da parte di un governo si applicherebbero in modo diverso nei tre casi.

Infrastrutture critiche, il punto più delicato. Le esclusioni introdotte negli ultimi anni si concentrano spesso sugli attacchi che compromettono il funzionamento di un servizio essenziale di uno Stato. Acqua ed energia sono il caso tipico. Un attacco come quello polacco, se avesse fermato la produzione, sarebbe stato vicino alla soglia di queste clausole.

L'assicurato non sceglie l'attaccante. Un gestore idrico o un produttore di energia non può prevedere se sarà colpito da criminali o da un gruppo statale. Il wording deve chiarire in anticipo come si tratta un attacco attribuito dopo il sinistro, anche mesi dopo, come in Danimarca.

Il cumulo sulle infrastrutture

Più di 30 impianti nello stesso giorno. In Polonia lo stesso attaccante ha colpito decine di impianti di proprietari diversi con la stessa tecnica (CERT Polska). Per un portafoglio di produttori di energia rinnovabile, spesso piccoli e numerosi, è uno scenario di cumulo concreto.

La stessa debolezza ovunque. Apparati perimetrali esposti senza autenticazione a più fattori, e configurazioni delle reti mobili private diffuse anche fuori dalla Polonia secondo CERT Polska. Una debolezza comune a molti assicurati è il punto di partenza di un evento di cumulo.

Il gestore piccolo è il più esposto. Un acquedotto locale come Tureby Alkestrup ha risorse limitate per la sicurezza. Il consiglio del suo responsabile di assicurarsi (Euronews) indica una domanda di copertura che arriva proprio dove i controlli sono più deboli.

Cosa portare ai rinnovi

Impatto per gli assicuratoriAlto

In un mese, attacchi attribuiti o legati alla Russia hanno colpito impianti idrici ed energetici in Danimarca e Polonia, con tubature scoppiate e decine di impianti danneggiati, mentre un ransomware fermava l'autorità delle acque romena.

Sul fronte del portafoglio, i casi di dicembre suggeriscono di contare quanti assicurati del settore energetico e idrico usano gli stessi apparati perimetrali e le stesse reti di comunicazione. Un attacco statale coordinato su decine di piccoli impianti è uno scenario di cumulo che va testato insieme alle esclusioni, perché è lì che il limite del portafoglio e il wording si incontrano.