Sospetta violazione collegata all'Iran dei sistemi di misurazione automatica del serbatoio (ATG) nelle stazioni di servizio statunitensi

Il 15 maggio 2026, CNN ha riferito, citando funzionari statunitensi, che hacker non identificati avevano violato sistemi di misurazione automatica dei serbatoi (ATG) che monitoravano l'inventario del carburante presso stazioni di servizio in diversi stati degli Stati Uniti. Gli ATG compromessi erano direttamente esposti a Internet e non erano protetti da password. Almeno in alcuni casi gli aggressori hanno manomesso le letture mostrate sui display dei serbatoi; i funzionari hanno dichiarato che non si è verificato alcun danno fisico e che, al momento della segnalazione, i livelli effettivi del carburante stoccato non erano stati alterati. Funzionari statunitensi hanno indicato l'Iran come principale sospettato, citando la sua storia documentata di targeting dei sistemi dei serbatoi di carburante: secondo Sky News, nel 2021 l'IRGC aveva individuato gli ATG come bersagli di cyberattacchi. Hanno però riconosciuto che l'assenza di prove forensi lasciate dagli aggressori potrebbe rendere impossibile attribuire definitivamente l'attività all'Iran anziché a un altro attore. La disclosure rientra in una più ampia escalation di operazioni cyber collegate all'Iran contro infrastrutture critiche statunitensi dopo gli attacchi USA-Israele contro l'Iran alla fine di febbraio 2026; la stessa ondata include anche la campagna CyberAv3ngers contro PLC Rockwell / Allen-Bradley (CISA AA26-097A), interruzioni presso siti petroliferi, del gas e idrici statunitensi, un attacco wiper contro il produttore di dispositivi medici Stryker e la fuga delle email private del direttore dell'FBI Kash Patel. Gli ATG esposti a Internet e privi di autenticazione sono una classe nota di esposizione ICS almeno dalla ricerca honeypot GasPot del 2015, e Bitsight TRACE ha divulgato vulnerabilità critiche in prodotti ATG ampiamente distribuiti nel settembre 2024.

Manomissione delle letture del display dell'indicatore del serbatoio confermata in un numero imprecisato di stazioni di servizio in diversi stati degli Stati Uniti; nessun danno fisico e nessuna modifica ai volumi effettivi di carburante immagazzinato segnalati al 15 maggio 2026. Il principale rischio documentato è la sicurezza piuttosto che la fornitura: una lettura ATG manipolata o soppressa potrebbe consentire a una perdita di carburante – potenzialmente migliaia di galloni che raggiungono il suolo o le riserve idriche – di non essere rilevata dagli operatori della stazione. Alle violazioni non sono stati attribuiti feriti, fuoriuscite o interruzioni della fornitura di carburante. L'attribuzione all'Iran rimane non confermata in attesa di prove forensi.