Attacco informatico Z-Pentest sostenuto dal GRU all'acquedotto Tureby Alkestrup: scoppi di tubi e interruzioni dell'acqua a Køge, Danimarca

Alla fine del 2024, il gruppo di hacker filo-russo Z-Pentest ha avuto accesso all’interfaccia uomo-macchina dell’acquedotto Tureby Alkestrup a Køge, in Danimarca, attraverso un servizio VNC esposto a Internet protetto da una password debole o predefinita. Utilizzando strumenti di scansione open source per identificare il dispositivo esposto e forzando la password per l'autenticazione, gli aggressori hanno manipolato i controlli della pressione dell'acqua attraverso l'HMI, causando lo scoppio di tre condutture idriche. Circa 50 famiglie a Køge hanno perso il servizio idrico per sette ore; circa altre 450 famiglie hanno perso la fornitura per un'ora. Jan Hansen, responsabile dell'acquedotto, ha confermato l'attacco e ha riconosciuto che l'azienda era passata a una configurazione di sicurezza informatica più economica e meno sicura nel periodo precedente all'intrusione. Metodologia operativa Denmark's Defence Intelligence Service (DDIS) publicly attributed the attack to Z-Pentest on December 19, 2025, the first time Danish authorities formally attributed a cyberattack causing physical infrastructure damage to a Russian-linked actor. CISA advisory AA25-343A (December 9, 2025), issued jointly with the FBI, NSA, and international partner agencies, documents Z-Pentest's: scansione di servizi VNC connessi a Internet sulle porte predefinite da 5900 a 5910, forzatura bruta di password deboli o predefinite ed emissione di comandi direttamente tramite l'HMI senza distribuire malware. L’avviso identifica i sistemi idrici e delle acque reflue come un settore target primario. Il Dipartimento di Giustizia degli Stati Uniti ha confermato il 10 dicembre 2025 che CyberArmyofRussia_Reborn (CARR), l'organizzazione da cui Z-Pentest's founding members split in September 2024, was 'ha fondato, finanziato e diretto' dall'intelligence militare russa (GRU).

Tre condutture idriche sono scoppiate a Køge, in Danimarca. Circa 50 famiglie hanno perso la fornitura d'acqua per sette ore; circa 450 famiglie aggiuntive hanno subito interruzioni di circa un'ora. Non sono stati segnalati feriti e non è stato identificato alcun problema relativo alla qualità dell'acqua. Il costo finanziario per l'azienda non è stato reso pubblico.