Quasi un asset su cinque tra quelli che tengono in vita un datacenter è scollegato da Internet, ma comunica con un dispositivo che lo è, e questo basta a renderlo raggiungibile da un potenziale attaccante. È quanto emerge da una ricerca di Claroty condotta su oltre 750.000 asset nei principali datacenter del mondo. Il 18% degli asset analizzati (oltre 32.000 dispositivi) si trova in questa condizione di esposizione indiretta; la percentuale sale al 41% per le unità di distribuzione dell'energia e al 32% per i sistemi di climatizzazione, che sono le due categorie più a rischio in assoluto.

Il dato che rassicura gli operatori è che appena lo 0,4% degli asset (993 dispositivi su 174.577) è collegato direttamente a Internet, contro il 3% degli asset IT e il 6% di quelli IoT. Il problema, spiegano i ricercatori, è che la superficie di attacco reale si misura anche tenendo conto dei percorsi indiretti, ossia i sistemi IT interconnessi, gli accessi remoti di terze parti, i servizi di gestione remota e le relazioni di fiducia tra reti. Questi, in caso di compromissione del perimetro, diventano un ponte verso l'infrastruttura operativa.

Un caso citato nel report aiuta a capire cosa significhi concretamente questo scenario. Ad aprile 2026 la società di threat intelligence Vecert ha rilevato un attacco dell’hacktivista filorusso Killnet contro il datacenter STOR in Francia e il fornitore Alpha Technologies, nel corso del quale ha sottratto dati energetici e di monitoraggio. L’attaccante ha rivendicato l’accesso a 120.000 dispositivi UPS distribuiti su 6.000 reti e la compromissione dei sistemi di alimentazione di emergenza forniti da Alpha Technologies. Claroty fa notare che un attacco di questa portata è indicativo di come i datacenter vengano ormai trattati da APT e hacktivisti alla stregua di infrastrutture critiche, con attacchi motivati da finalità geopolitiche.

Tornando ai dati aggregati della ricerca, le PDU meritano un'attenzione particolare perché rappresentano il rischio più alto dell'intero data set in termini percentuali: quattro dispositivi su dieci comunicano con un sistema già esposto a internet. Le PDU distribuiscono fisicamente l'energia dai gruppi di continuità ai singoli rack e si integrano con i sistemi di datacenter infrastructure management, che a loro volta hanno visione centralizzata sulle performance della struttura. Questo significa che un attaccante che è riuscito a infiltrarsi nell’infrastruttura e si è mosso lateralmente fino alle PDU può spegnere improvvisamente interi rack o causare danni hardware sistemici su migliaia di workload di clienti diversi, in un contesto multi-tenant dove l'impatto si moltiplica.

Anche i sistemi HVAC, che gestiscono raffreddamento e ventilazione, seguono lo stesso schema: quasi nessuno è collegato direttamente a Internet (risulta solo un dispositivo esposto su 3.695), ma uno su tre comunica con un sistema che lo è. È un dato che pesa, perché raffreddamento e ventilazione assorbono da soli quasi metà del consumo elettrico di un datacenter. Se un attaccante riuscisse a interferire con questi sistemi ci sarebbe il rischio concreto di spegnimenti automatici per surriscaldamento, con conseguenze dirette sulla continuità operativa della struttura.

L'asset più critico dell'intero perimetro risulta essere il Building Management System (BMS), che funge da hub centrale per il controllo di climatizzazione, alimentazione, backup e sicurezza fisica. Di nuovo: meno dell'1% dei BMS censiti è connesso direttamente a Internet, ma quasi il 90% comunica tramite protocolli insicuri, in primis BACnet (42% dei BMS), che trasmette in chiaro e non prevede meccanismi nativi di autenticazione o cifratura. Il 40% dei dispositivi gira su firmware datato, mentre l'1% del totale, circa 800 dispositivi, contiene vulnerabilità note e attivamente sfruttate. La combinazione di questi tre fattori, secondo i ricercatori, è particolarmente pericolosa perché un attaccante che raggiunge un BMS ottiene una vista trasversale su gran parte dei processi critici della struttura, con la possibilità di causare disservizi o danni fisici senza mai toccare direttamente un server.

Il quadro peggiora ulteriormente se si guarda ai sistemi di controllo OT, come SCADA e PLC, che raccolgono dati da sensori e gestiscono azioni fisiche come l'apertura di valvole di raffreddamento o i relè dei sistemi di power backup. L'83% dei dispositivi OT censiti comunica tramite il protocollo MODBUS, che è privo di autenticazione e trasmette i dati in chiaro. Complessivamente, l'85% dei dispositivi OT comunica su protocolli insicuri e il 48% gira su firmware obsoleto, con oltre 11.000 dispositivi che contengono vulnerabilità note e sfruttate. Sono percentuali in linea con quanto già osservato da Claroty in altri comparti OT, dal manufacturing al settore idrico, a conferma che il debito tecnico accumulato in decenni di automazione industriale resta un problema trasversale.

Sul fronte IoT, la ricerca segnala che quasi un quarto dei dispositivi (23%) contiene vulnerabilità note, con sensori ambientali, tag di asset tracking e gateway che alimentano piattaforme di datacenter infrastructure management particolarmente esposti. Il dato più significativo riguarda però le modalità di comunicazione: il 66% dei dispositivi IoT generici trasmette in plaintext su HTTP, una percentuale superiore a qualunque altra categoria di asset OT (52%) o IT (7%) censita nello studio. Per un attaccante che è già entrato nell’infrastruttura, gli asset IoT rappresentano un bersaglio particolarmente attraente per il movimento laterale verso sistemi CPS più critici.

Anche i sistemi di power monitoring e gli UPS, pur con una bassa incidenza assoluta di vulnerabilità note, mostrano lo stesso pattern di esposizione ai protocolli insicuri: l'86% degli UPS e l'82% dei sistemi di power monitoring comunicano prevalentemente via MODBUS, mentre il 59% dei dispositivi di power monitoring gira su firmware obsoleto.

I consigli degli esperti

Di fronte a questo scenario, il Team82 di Claroty indica quattro direttrici di intervento. La prima riguarda l'exposure management, da intendersi come mappatura continua dei percorsi di comunicazione tra asset, per individuare in anticipo quali sistemi comunicano con altri collegati a Internet. La seconda è la segmentazione Zero Trust tra reti IT e sistemi di facility, per limitare un eventuale movimento laterale e consentire l’applicazione di policy di privilegio minimo sugli asset a cui non si possono applicare patch. La terza raccomandazione è specifica per il BMS, che dovrebbe operare su una rete fisicamente o logicamente isolata dal resto dell'infrastruttura IT, IoT e OT, con controlli di autenticazione stringenti che attenuino l'impatto strutturale di protocolli deboli. La quarta, infine, riguarda il threat detection protocol-aware, capace di monitorare traffico BACnet, MODBUS e SNMP per stabilire una baseline dei comportamenti normali degli asset e intercettare deviazioni prima che si traducano in un'interruzione fisica del servizio.