Una settimana di attacchi informatici ha colpito l’Italia e l’Europa e i servizi di sicurezza seguono soprattutto la pista russa. Gli investigatori, però, avvertono: le prove per ora non bastano e le ipotesi in campo sono diverse. Il governo parla di guerra ibrida e il vicepremier Antonio Tajani porterà il tema al G7 di Parigi. Ma chi c’è davvero dietro? Gli investigatori lavorano su più piste, e la più citata non è l’unica.
La pista russa
È la più battuta. Il nome che ricorre è quello di NoName057(16), collettivo filorusso attivo dal 2022 e noto per gli attacchi DDoS ai siti istituzionali italiani, dalla Farnesina ai ministeri. Secondo l’intelligence italiana è il suo network dietro la “taglia” sui dati di 18 persone considerate nemiche di Mosca, tra cui Tajani, il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. La scelta dei bersagli ha una logica: Lo Voi e Gabrielli hanno seguito l’operazione Eastwood, coordinata da Eurojust, che portò a cinque mandati d’arresto internazionali contro cittadini russi.
Il 4 novembre NoName, insieme al gruppo Z-Pentest, ha rivendicato in un video anche gli attacchi ai frigoriferi. Per gli allarmi bomba, il Financial Times riferisce che le agenzie di sicurezza europee seguono soprattutto la pista russa, ritenuta da alcuni funzionari la più probabile per movente, modalità operative e precedenti. Secondo la ricostruzione del Sole 24 Ore, gli investigatori collocano i due gruppi nella sfera d’influenza del GRU, l’intelligence militare russa. Il ministro degli Affari europei Tommaso Foti non esclude la matrice russa e parla di “atto ostile alla sicurezza nazionale”.
Mosca però nega. “Come ci sia finito Tajani, è da chiedere a chi bazzica da quelle parti”, ha commentato l’ambasciata russa a Roma. E anche chi la ritiene la pista più solida ammette il limite: se pure fossero attivisti filo-Cremlino, resterebbe da dimostrare che i servizi russi li abbiano diretti o incoraggiati.
La rivendicazione
Il primo dubbio riguarda i tempi. Il video di NoName e Z-Pentest è comparso oltre tre settimane dopo il primo attacco francese del 12 ottobre, mentre il collettivo di solito rivendica subito. Sul suo canale Telegram pubblico, inoltre, non risulta un messaggio che attribuisca esplicitamente i frigoriferi al gruppo. E il 3 novembre NoName ha colpito con un DDoS la stessa Danfoss, produttrice dei controllori, rivendicando all’istante: perché tornare su un’azienda già violata, e perché tacere per settimane sull’operazione più sofisticata? Secondo gli investigatori, le ipotesi sono tre: la rivendicazione è autentica ma tardiva; è un’appropriazione opportunistica di un’azione altrui; oppure il video è un’esca lanciata da terzi per vedere chi reagisce. Per ora nessuna è provata.
Le email dei falsi allarmi bomba erano firmate “Combattenti dello Stato Maschile”, sigla che richiama Male State, movimento russo ultranazionalista e misogino fondato da Vladislav Pozdnyakov. Ma Pozdnyakov nega ogni coinvolgimento e un canale Telegram collegato al gruppo ha risposto al servizio russo della Bbc con tono di scherno, sostenendo secondo altre ricostruzioni che il movimento non esista più da anni. Che il nome sia stato scelto per depistare o sfruttato da qualcun altro è una domanda aperta. Gli inquirenti, intanto, non vedono negli autori una minaccia concreta per l’aviazione: l’effetto cercato sembra il caos, più che l’attentato.
Il denaro, non la politica
Sul Brennero i sospetti si focalizzano sul gruppo Everest, definito filorusso e specializzato nel furto di dati. Ma Everest è prima di tutto un’organizzazione dedita alle estorsioni, attiva dal 2020, che ha colpito sanità, energia, trasporti e industria. I siti che monitorano le violazioni riportano una sua rivendicazione sulla società del tunnel già il 17 ottobre, con un archivio da 812 gigabyte e la minaccia di pubblicarlo se la trattativa fallisce. Se fosse confermato, il caso sarebbe nato come ricatto e non come tassello di una campagna politica. Non risultano, al momento, legami accertati con le altre azioni di questi giorni.
Sistemi esposti
È la lettura meno spettacolare e forse la più solida. Il Cert francese ha confermato la compromissione di controllori Danfoss e Copeland raggiungibili da internet, e il direttore dell’agenzia ANSSI, Vincent Strubel, ha parlato in Senato di difetti di sicurezza elementari e password deboli. Secondo Forescout sono quasi 13mila i servizi di refrigerazione esposti in 99 Paesi. Il consulente Fredrik Blix osserva che il silenzio degli attaccanti esclude i gruppi ransomware: restano un attacco fatto “perché si poteva” o il tentativo di seminare inquietudine nei Paesi che sostengono l’Ucraina. Un esperto di Sophos considera plausibili tanto un’entità statale quanto un singolo individuo. In questa lettura conta meno chi ha colpito e più quanto era facile farlo.
Una regia o molte?
Resta l’ipotesi più scomoda: che non ci sia un’unica cabina di regia. Tra i collettivi alcuni collaborano mentre altri sono rivali e si sottraggono i domini a vicenda. Gli attacchi francesi potrebbero avere una matrice diversa, anche statale, da quella delle fasi successive: quella che appare una campagna unitaria potrebbe essere insomma la somma di operazioni distinte sullo stesso bersaglio tecnologico.
Cosa succede ora
Indagano la sezione cyber della Procura nazionale antimafia e antiterrorismo e la Polizia postale, mentre la prossima settimana Europol ha convocato le polizie dei Paesi coinvolti. Nel cyberspazio, ricordano gli esperti, una firma non è una prova: i dati finora noti permettono di dire come sono stati colpiti i sistemi, molto meno di dire con certezza chi li ha colpiti.
Affari Alert
Aggiornamenti e contenuti editoriali dedicati, via email.
Dal 1 Gennaio 2027: 0,99€/mese o 9,99€/anno