24.07.2026
USA, cyberattacchi ai sistemi di monitoraggio dei serbatoi delle stazioni di servizio

I sistemi automatici di misurazione dei serbatoi sono diventati una componente centrale nella gestione dei depositi di carburante e di altri liquidi: le apparecchiature ATG, acronimo di Automatic Tank Gauge, raccolgono in modo continuo dati relativi al livello del prodotto, al volume disponibile, alla temperatura e all’eventuale presenza di perdite; nelle installazioni più complete possono inoltre gestire soglie di allarme, relè, valvole di arresto, sistemi di ventilazione, pompe e dispositivi collegati al processo di carico o di erogazione. La possibilità di consultare questi dati da remoto consente agli operatori di controllare più impianti, pianificare i rifornimenti, verificare rapidamente le anomalie e integrare le informazioni con i sistemi amministrativi e logistici. Questa connettività modifica anche il profilo di rischio dell’impianto: una console progettata in origine per comunicare attraverso un collegamento seriale locale può diventare raggiungibile tramite rete Ethernet, modem o interfaccia web, trasferendo su Internet funzioni che incidono direttamente sulla gestione fisica del serbatoio.

Negli Stati Uniti sono state rilevate attività informatiche ostili contro sistemi ATG esposti pubblicamente: gli hacker hanno raggiunto le interfacce di gestione e modificato configurazioni attraverso l’esecuzione di comandi, sfruttando bypass dell’autenticazione, credenziali incorporate nel software, vulnerabilità di tipo SQL injection, esecuzione di comandi sul sistema operativo ed elevazione dei privilegi. Una volta ottenuto l’accesso amministrativo, il dispositivo può essere controllato come se l’operatore si trovasse davanti alla console installata nell’impianto.

In alcuni episodi sono stati alterati i valori visualizzati relativi alla quantità di carburante, lasciando invariato il volume effettivamente presente nella cisterna. Un dato falso può comunque produrre conseguenze operative immediate: il gestore può ordinare una fornitura non necessaria, rinviare un approvvigionamento urgente, interrompere l’erogazione oppure autorizzare un riempimento basandosi su una capacità residua inesistente. La manipolazione diventa ancora più pericolosa quando interessa la geometria configurata del serbatoio, le soglie di alto livello, l’identificazione del prodotto o i parametri utilizzati dal sistema per trasformare la misura della sonda in volume. Un serbatoio da 10.000 litri registrato nel software come unità da 20.000 litri può apparire lontano dal proprio limite operativo anche durante il riempimento. La modifica delle soglie di allarme può ritardare o impedire la segnalazione di una condizione di troppo pieno; l’alterazione delle etichette può scambiare gasolio e benzina nella rappresentazione dell’impianto, creando errori nella gestione delle consegne e nella selezione del prodotto. Queste modifiche colpiscono la qualità del dato su cui si basano le decisioni dell’operatore e possono compromettere la tracciabilità delle giacenze.

L’accesso al sistema ATG può riguardare anche le funzioni di rilevamento delle perdite: un hacker può disattivare gli avvisi, modificare le soglie, interrompere i test automatici oppure creare una condizione nella quale il gestore perde la visibilità del livello reale. Una perdita effettiva può quindi rimanere nascosta alla supervisione remota; il ritardo nell’intervento aumenta il rischio di contaminazione del terreno, dispersione del prodotto, formazione di vapori e danneggiamento delle apparecchiature collegate. Le autorità statunitensi hanno indicato espressamente la disattivazione degli allarmi e la perdita di visibilità sui livelli tra le conseguenze possibili della compromissione.

I dispositivi ATG possono inoltre comandare relè associati alle pompe, alle valvole di emergenza, ai sistemi di ventilazione, alle sirene e ad altri componenti periferici. La modifica della configurazione di un relè può impedire l’avvio di una pompa, lasciare un’attrezzatura in funzione, disabilitare un dispositivo di protezione o sottoporre il componente a una sequenza anomala di commutazioni. Le prove condotte su alcuni sistemi hanno dimostrato che un relè azionato ripetutamente e fuori dalle normali condizioni di esercizio può subire un guasto permanente; le conseguenze dipendono dal carico collegato e dalla configurazione concreta dell’impianto.

Una parte rilevante del problema deriva dall’evoluzione tecnica delle apparecchiature: diversi protocolli ATG nacquero per collegamenti seriali RS-232 all’interno della stazione o del deposito; l’aggiunta di una scheda di rete ha successivamente trasferito gli stessi comandi su una porta TCP, spesso senza introdurre un sistema di protezione adeguato. Collegandosi alla porta esposta, un soggetto esterno può inviare istruzioni nello stesso formato utilizzato da un terminale locale. Il codice di sicurezza previsto da alcune implementazioni presenta limiti strutturali: la protezione può essere facoltativa, può risultare disattivata nella configurazione predefinita e, su determinati modelli, utilizza soltanto sei cifre. Un codice numerico di questa lunghezza offre un milione di combinazioni; un tentativo automatizzato può verificarle in tempi ridotti, soprattutto quando il dispositivo non applica blocchi, ritardi progressivi o limitazioni al numero di accessi. Nel corso di una rilevazione tecnica sono stati individuati 6.542 sistemi direttamente raggiungibili da Internet senza alcun codice di sicurezza attivo.

Alle debolezze del protocollo si aggiungono le vulnerabilità presenti nelle interfacce web e nel software dei singoli produttori. Un’indagine su sei modelli ATG ha rilevato undici vulnerabilità, tra cui credenziali amministrative incorporate, accessi diretti a pagine riservate senza autenticazione, lettura arbitraria di file, iniezioni SQL ed esecuzione di comandi sul sistema operativo. Diverse falle permettevano di acquisire i privilegi completi dell’applicazione o il controllo del sistema sottostante; da quel punto il dispositivo poteva essere riconfigurato, utilizzato per interrompere il servizio o trasformato in un punto di accesso verso altre risorse della rete aziendale.

Il collegamento pubblico diretto rappresenta quindi la condizione da eliminare con maggiore urgenza: le porte seriali trasferite su rete, comprese quelle comunemente configurate sui numeri TCP 8001, 9001 e 10001, e le interfacce web di amministrazione non devono essere pubblicate liberamente su Internet. L’accesso remoto necessario per la manutenzione o la supervisione deve passare attraverso una rete privata virtuale, un firewall configurato con indirizzi autorizzati o specifiche liste di controllo; la segmentazione deve inoltre separare il sistema ATG dalle reti utilizzate per posta elettronica, navigazione, videosorveglianza e attività amministrative. Le credenziali predefinite devono essere sostituite con password uniche e robuste su ogni interfaccia disponibile, compresa la porta seriale raggiungibile via rete. Dove tecnicamente supportata, l’autenticazione multifattore riduce il rischio legato al furto delle password; gli apparati meno recenti richiedono spesso misure esterne, perché il firmware non offre funzioni moderne di autenticazione. In questi casi la protezione deve essere affidata all’architettura di rete, limitando le connessioni ai soli operatori e fornitori autorizzati.

Gli aggiornamenti del firmware e le correzioni di sicurezza devono essere verificati con il produttore o con il manutentore qualificato, considerando la compatibilità con sonde, relè, moduli di comunicazione e software gestionali. La lunga vita operativa dei sistemi industriali favorisce la permanenza di versioni obsolete; una console ancora efficiente dal punto di vista meccanico e metrologico può utilizzare componenti informatici privi di supporto, protocolli non cifrati o servizi di rete sviluppati prima dell’attuale diffusione degli attacchi contro le tecnologie operative. Il controllo dei registri consente infine di individuare accessi non autorizzati, variazioni delle soglie, modifiche delle etichette dei serbatoi, connessioni provenienti da indirizzi sconosciuti e allarmi cancellati o riconfigurati. I dati digitali devono essere confrontati con riscontri indipendenti, come documenti di consegna, misurazioni manuali, movimenti di erogazione e andamento storico delle giacenze; una differenza improvvisa tra questi valori può segnalare un errore tecnico, una configurazione alterata o un’attività informatica ostile.

La sicurezza del serbatoio comprende ormai anche la protezione delle apparecchiature che ne misurano e governano il funzionamento. La verifica deve riguardare la console ATG, i dispositivi di comunicazione, le modalità di assistenza remota, le credenziali assegnate ai manutentori e i collegamenti con le altre reti aziendali. Un sistema di monitoraggio esposto senza adeguate restrizioni permette di alterare le informazioni operative e, in determinate configurazioni, di intervenire sui componenti fisici dell’impianto; la protezione della connettività diventa quindi parte integrante della prevenzione di perdite, errori di riempimento, interruzioni dell’erogazione e danni ambientali.