In questi giorni sto leggendo commenti sui social nei quali si percepisce la scarsa documentazione su cosa stia accadendo a livello internazionale e come, nel 2026, decisioni politiche, spesso hanno ripercussioni digitali da parte di gruppi hacktivistici, più o meno identificati o identificabili.
Qui cerco di ricostruire una timeline di eventi, perchè è quella l’unica cosa che ci può far capire dove siamo immersi, come una cronologia delle campagne ibride contro l’Italia e l’Europa, seguendo per ogni episodio tre domande: che cosa è successo, chi se ne assume la responsabilità o a chi è stato attribuito, e quale legame è documentato con una decisione politica.
Il sabotaggio di una rete satellitare un’ora prima dell’invasione dell’Ucraina, lo spionaggio delle reti logistiche che portavano aiuti a Kyiv e i DDoS rivendicati come risposta a un discorso di Mattarella hanno tutti un legame politico documentabile, ma di natura diversa. Nel primo caso c’è un’attribuzione statale e un legame con l’operazione militare. Nel secondo, è la scelta dei bersagli a rivelare l’obiettivo. Nel terzo, il movente è dichiarato dal gruppo che rivendica l’attacco. Così come la sequenza che parte in Francia a ottobre e arriva in Italia a inizio novembre 2026, per gli attacchi ai sistemi di refrigerazione della GDO. È un caso concreto di come un accesso informatico possa produrre un danno fisico nella vita quotidiana, alterando la temperatura degli impianti e causando la perdita di merce.
Italia ed Europa, 2015–2026
Ho scelto il 2015 come punto di partenza e il 2022 come spartiacque. La selezione si concentra su Russia, gruppi filorussi e Bielorussia, con i casi italiani in evidenza. Dove l’attribuzione è arrivata anni dopo, sono indicate entrambe le date.
| Quando | Che cosa è successo | Che cosa documentano le fonti |
|---|---|---|
| Aprile–maggio 2015 · Germania | Intrusione nel Bundestag, con sottrazione di dati e compromissione di account di posta. | Nel 2020 l’UE ha sanzionato due persone e un’unità del GRU, l’intelligence militare russa, per l’attacco. consilium.europa.eu |
| Maggio 2017 · Francia | Migliaia di email legate alla campagna di Emmanuel Macron sono state diffuse due giorni prima del ballottaggio presidenziale. | Il profilo pubblicato dal governo britannico riporta l’attribuzione francese al GRU, ribadita nel 2025. Il momento della pubblicazione lega l’operazione al calendario elettorale. assets.publishing.service.gov.uk |
| Marzo 2018 · Regno Unito | Sergej Skripal e la figlia vengono avvelenati con un agente nervino a Salisbury. | Nel 2019 il Consiglio UE ha sanzionato due agenti del GRU e i vertici del servizio per il caso. È un esempio di operazione clandestina condotta sul territorio di un altro Stato europeo. Consilium |
| 2021 · Frontiera orientale dell’UE | Il regime bielorusso strumentalizza i flussi migratori verso il confine dell’Unione. | L’UE attribuisce a Minsk l’uso politico di quei flussi e a novembre amplia il proprio regime sanzionatorio. La condotta contestata riguarda le autorità bielorusse e il modo in cui hanno usato la situazione alla frontiera. consilium.europa.eu |
| 24 febbraio 2022 · Ucraina ed Europa | L’attacco a KA-SAT, la rete satellitare di Viasat, provoca interruzioni in Ucraina e in diversi Paesi UE. | L’UE lo attribuisce alla Federazione Russa. L’attacco precede di circa un’ora l’invasione su vasta scala e, secondo l’UE, la facilita. Qui il legame con una decisione statale è diretto. Consilium |
| Maggio 2022 · Italia | Il collettivo filorusso Killnet rivendica attacchi contro siti italiani, tra cui quelli di Senato, Difesa e Polizia di Stato. | Le fonti documentano i bersagli e le rivendicazioni del gruppo. Il livello di evidenza pubblica sul mandante statale è inferiore a quello del caso KA-SAT. rainews.it |
| 2022–2024 · Europa, Italia compresa | Una campagna informatica prende di mira la logistica occidentale coinvolta nel sostegno all’Ucraina, inclusi nodi di trasporto e telecamere connesse. | Nel 2025 Regno Unito e alleati attribuiscono la campagna all’unità 26165 del GRU. Il profilo britannico include l’Italia tra i Paesi interessati. Il legame politico è nella scelta del bersaglio: le reti che permettono di consegnare gli aiuti. National Cyber Security Centre |
| Luglio 2023 · UE | La campagna RRN usa copie di siti di informazione e istituzionali, insieme a falsi account social, per diffondere propaganda a sostegno della guerra russa. | Il Consiglio UE sanziona sette persone e cinque entità. Documenta la partecipazione di organismi statali russi o affiliati allo Stato. Consilium |
| Maggio 2024 · Germania, Cechia e UE | Berlino rende pubblica la compromissione di caselle email della dirigenza socialdemocratica. Nello stesso mese l’UE sanziona Voice of Europe per una campagna di manipolazione mediatica. | L’UE identifica APT28 come attore controllato dalla Russia nella campagna informatica contro Germania e Cechia. Le sanzioni su Voice of Europe riguardano un’altra operazione, rivolta anche al dibattito politico europeo in periodo elettorale. Consilium |
| Febbraio 2025 · Italia | Dopo il discorso di Mattarella a Marsiglia del 5 febbraio, NoName057(16) rivendica ondate di DDoS contro siti italiani. Tra i bersagli figurano aeroporti, porti, banche e, il 28 febbraio, Quirinale e CSM. | Il gruppo cita le parole di Mattarella nelle rivendicazioni. Il movente dichiarato è quindi documentato. A luglio Eurojust ed Europol coordinano un’operazione contro l’infrastruttura del gruppo, con perquisizioni anche in Italia. Il comunicato di Eurojust documenta il gruppo e i suoi legami operativi, lasciando aperta la questione di un eventuale ordine del governo russo per gli attacchi italiani. quirinale.it |
| Novembre 2025 · Polonia | Vengono danneggiati binari e linea elettrica sulla ferrovia Varsavia–Dorohusk, verso il confine ucraino. | La procura polacca formula accuse per atti di sabotaggio che, secondo l’indagine, sarebbero stati compiuti per conto dell’intelligence russa. Il collegamento con il servizio russo è formulato in sede giudiziaria come accusa. Portal Gov.pl |
| Febbraio 2026 · Italia | Il governo italiano riferisce di aver sventato tentativi di attacco contro sedi diplomatiche e siti legati alle Olimpiadi invernali e a strutture alberghiere di Cortina. | Tajani parla di origine russa. I dettagli tecnici resi pubblici nell’annuncio sono limitati, quindi il caso va letto come una dichiarazione governativa con attribuzione circoscritta. reuters.com |
| Luglio–ottobre 2026 · UE | Il Consiglio adotta nuove sanzioni e proroga fino all’ottobre 2027 le misure contro le attività destabilizzanti russe. | Nelle motivazioni di luglio l’UE collega esplicitamente il Cyber Army of Russia Reborn al GRU e documenta campagne DDoS contro Paesi che sostengono l’Ucraina. È un caso in cui la fonte istituzionale esplicita il legame tra un gruppo filorusso e un servizio statale. Consilium |
| 10 ottobre–6 novembre 2026 · Francia, Italia e altri Paesi europei | Dopo gli attacchi del 10–11 ottobre in Francia, il CERT-FR segnala il 12 ottobre numerose compromissioni di sistemi di telegestione della refrigerazione Danfoss AK-SM e AK-SC e Copeland/Dixell XWEB. Una seconda ondata interessa più Paesi europei dal 2 novembre, Italia compresa. A Macerata, secondo Cyber Security 360, un supermercato ha scartato 450 kg di alimenti. | Il 4 novembre NoName057(16) e Z-Pentest rivendicano gli attacchi in un video. Il 6 novembre Tajani riferisce pubblicamente della rivendicazione. Z-Pentest era già stato sanzionato dall’UE a luglio per attacchi a infrastrutture, incluso un gestore idrico danese. Nelle fonti pubbliche consultate, il mandante di questa specifica operazione e il legame con una decisione statale restano da accertare. CERT-FR |
Lo stesso rigore serve per gli episodi di questi giorni. Il 6 novembre 2026, parlando dei falsi allarmi bomba nel trasporto aereo, Tajani ha dichiarato che mancavano ancora prove sull’autore, mentre ha riferito di rivendicazioni filorusse per altri attacchi, contro supermercati. L’esistenza di una campagna documentata e l’attribuzione del singolo episodio sono due domande diverse. Nel luglio 2025 l’UE aveva già descritto pubblicamente un modello sistematico di operazioni attribuite alla Russia, intensificatosi dopo l’invasione. Gli allarmi recenti restano un episodio da verificare per conto proprio. esteri.it
Ecco, una timeline di questo tipo può bastare per documentare una “guerra” in corso. Poi si può sicuramente discutere sull’efficienza delle difese di ciascuno. Qui c’entra molto il fatto che in Italia per vent’anni prima dell’avvento dei sistemi computazionali basati su LLM, lato IT si è esclusivamente dormito, perdendosi concetti di base come l’utilizzo di reti private per proteggere gioielli aziendali, proteggere una rete da attacchi esterni e tutte queste nozioni che si sono consolidate estremamente bene un po’ ovunque tra il 2000 e il 2020. Ma questo è un altro discorso e non serve a documentare l’esistenza o meno di guerra ibrida.