Il 21 agosto scorso un team misto di U.S. Coast Guard e FBI è salito a bordo della VL Prosperity, una Very Large Crude Carrier diretta verso le coste del Texas con circa due milioni di barili di greggio saudita, dopo che le comunicazioni di bordo erano rimaste interrotte per trenta ore mentre la nave attraversava lo Stretto di Gibilterra. Tre giorni dopo un secondo boarding ha riguardato una gasiera LNG, anch’essa sospettata di avere le reti compromesse. La notizia, riportata solo il 16 settembre ma relativa a eventi delle settimane precedenti, sta ora facendo il giro della stampa specializzata perché segna uno dei casi più documentati di intrusione informatica su naviglio energetico diretto negli Stati Uniti.

Cosa sappiamo finora

La VL Prosperity, di proprietà della liberiana GMF GLV No. 4 SA e gestita sul piano tecnico e safety da HMM Ocean Service (Corea del Sud), aveva caricato il petrolio a Sidi Kerir, in Egitto, a fine luglio, con rotta verso il Golfo del Messico via Gibilterra. Durante l’attraversamento dello stretto le comunicazioni satellitari e di bordo sono rimaste fuori uso per circa trenta ore, un’anomalia sufficiente a far scattare l’allarme una volta che la nave si è avvicinata alle acque territoriali statunitensi. Il 21 agosto è quindi intervenuto un team composto da personale di law enforcement della Coast Guard, membri del Cyber Protection Team, un ispettore navale e operatori del Cyber Action Team dell’FBI, per quello che le autorità hanno definito un “comprehensive cyber security boarding and investigation” volto a verificare l’integrità dei sistemi OT e IT della nave.

Il 24 agosto è seguita una seconda ispezione su una nave gasiera LNG, i cui dettagli identificativi non sono stati resi pubblici per motivi di sicurezza operativa. Secondo la testimonianza di un membro dell’equipaggio della VL Prosperity, ripresa dall’agenzia iraniana Mehr News, gli aggressori sarebbero stati in grado di intervenire sui parametri del motore, aumentandone potenzialmente il regime di giri e disabilitando le cisterne di carburante e olio motore: un dettaglio che, se confermato, indicherebbe un accesso non alla sola rete IT amministrativa ma a sistemi di controllo più vicini all’OT di bordo. Le autorità statunitensi non hanno confermato questo specifico dettaglio e sottolineano che, al momento, non risultano danni operativi, instabilità della nave, pericoli per l’equipaggio o impatti ambientali.

Un’attribuzione ancora aperta, ma con l’Iran sullo sfondo

Le autorità americane parlano genericamente di “foreign cyber actors” senza rivendicazioni note né attribuzioni ufficiali a un gruppo specifico. È significativo, tuttavia, che a dare per prima ampio risalto alla vicenda sia stata proprio l’agenzia di stampa iraniana Mehr News, mentre alcune testate statunitensi riportano che gli investigatori starebbero valutando possibili collegamenti con Teheran, in un contesto di tensioni geopolitiche crescenti nel Golfo Persico e di una lunga storia di operazioni informatiche iraniane contro il settore energetico e marittimo occidentale (basti ricordare i precedenti contro compagnie di shipping e porti mediorientali attribuiti ad attori legati all’IRGC). Al momento nessuna fonte ufficiale ha confermato l’attribuzione, e resta plausibile anche l’ipotesi di un gruppo criminale comune che abbia semplicemente trovato un bersaglio di opportunità in reti di bordo notoriamente poco segmentate e spesso ancora dipendenti da protocolli legacy.

Perché la superficie di attacco marittima sta esplodendo

Gli analisti di settore, tra cui Mark Douglas di Starboard Maritime Intelligence, osservano da tempo che la superficie d’attacco delle navi commerciali è in costante crescita: connettività satellitare always-on per l’equipaggio e per la telemetria, integrazione crescente tra reti IT (posta elettronica, ERP, sistemi di gestione flotta) e reti OT (ECDIS, sistemi di governo, monitoraggio del motore), oltre a fornitori terzi che accedono da remoto per manutenzione predittiva. Questo caso arriva a pochi mesi da un advisory del Dipartimento dei Trasporti USA sulle best practice di cybersecurity per il naviglio commerciale (aprile 2026) e dalle linee guida sulla gestione del rischio cyber pubblicate dall’International Maritime Organization, a testimonianza di un settore che regolatori e assicuratori considerano ormai strutturalmente esposto.

Il settore energetico marittimo è un bersaglio particolarmente attraente per attori state-sponsored: una nave ferma o dirottata per ore genera conseguenze economiche immediate, alimenta l’incertezza sui mercati petroliferi e può essere usata come leva di pressione geopolitica senza la necessità di un attacco cinetico. Negli ultimi due anni si sono già registrati incidenti simili contro porti nordamericani ed europei e contro compagnie di shipping, un pattern che rende questo caso l’ultimo di una serie e non un evento isolato.

Cosa devono fare gli operatori del settore

Per i CISO e i responsabili sicurezza di compagnie armatoriali, gestori tecnici e charterer, l’episodio è un promemoria concreto su alcune priorità spesso trascurate nella cybersecurity navale:

• Segmentazione reale tra rete IT amministrativa, rete di comunicazione equipaggio e rete OT di governo/propulsione, con gateway monitorati e non semplici VLAN
• Monitoraggio attivo di anomalie prolungate nelle comunicazioni satellitari, spesso primo segnale visibile di un incidente in corso
• Audit periodici degli accessi remoti concessi a fornitori di manutenzione e system integrator, storicamente un vettore di compromissione nel settore OT
• Piani di incident response che includano esplicitamente lo scenario “nave in navigazione”, con procedure di failover manuale per i sistemi di propulsione critici
• Coordinamento preventivo con Coast Guard, autorità portuali e assicuratori P&I per accelerare la risposta in caso di sospetta compromissione prima dell’attracco

Due righe tecniche per i difensori

Al momento non sono stati pubblicati indicatori di compromissione (IoC) specifici legati a questo incidente: né le autorità USA né i media hanno diffuso hash, IP o TTP dettagliate riconducibili all’attore. Di seguito una checklist minima di verifica basata sui pattern noti in incidenti marittimi analoghi, utile come base di hardening in attesa di eventuali advisory ufficiali:

# Checklist di verifica post-incidente per reti navali (basata su pattern noti,
# non su IoC confermati per questo caso specifico)
1. Verificare log di sistemi VSAT/Fleet Broadband per interruzioni anomale
   prolungate (>1h) non correlate a manutenzione pianificata
2. Controllare integrità firmware di ECDIS, AIS e sistemi di governo
   rispetto alle baseline certificate dal produttore
3. Revisionare account di accesso remoto per vendor di manutenzione
   (VPN, RDP, TeamViewer/AnyDesk) attivi nelle ultime 72h prima
   dell'anomalia
4. Verificare eventuali modifiche non autorizzate a setpoint di
   motore/serbatoi tramite log del sistema di automazione (es. Kongsberg,
   Wartsila, ABB)
5. Segnalare a USCG Cyber Command (NRC) e al proprio Flag State
   qualunque interruzione di comunicazione non spiegata durante
   il transito in aree ad alto rischio geopolitico

La vicenda resta aperta: non è chiaro se le indagini di FBI e Coast Guard porteranno a un’attribuzione pubblica, né se altre navi risultino colpite dalla stessa campagna. Quel che è certo è che il settore marittimo, spina dorsale del commercio energetico globale, si conferma un obiettivo sempre più centrale nelle dinamiche di conflitto ibrido tra Stati.