Celle frigorifere che salgono a 50 gradi, sacche di sangue a rischio, voli scortati dai caccia, 271 scuole evacuate in un giorno. In una settimana l’Europa ha visto in scala reale cosa significa guerra ibrida: attacchi semplici da attuare, economici, difficili da attribuire, pensati per logorare la fiducia nei servizi essenziali
di Alessio Ramaccioni
Il primo segnale è arrivato in Francia il 12 ottobre. Circa 700 supermercati hanno visto i frigoriferi fermarsi all’improvviso, la temperatura salire, la merce avariata finire nei cassonetti. Per settimane nessuno ha rivendicato.
Il 2 novembre lo schema si è ripetuto su scala continentale. Centinaia di punti vendita in diversi Paesi europei tra cui Italia, Belgio, Paesi Bassi, Irlanda, Portogallo, Svezia, Finlandia ed Estonia, hanno registrato celle frigo arrivate a 50 gradi e tonnellate di cibo da buttare. In Italia sono stati colpiti negozi in Sicilia, Toscana e Trentino. Il commissario europeo all’Agricoltura Christophe Hansen ha parlato di un tentativo deliberato di interrompere la catena alimentare.
Il bersaglio non erano i frigoriferi in sé, ma il software che li controlla a distanza. Sono piattaforme nate per segnalare anomalie e intervenire in fretta, spesso esposte su internet con password mai cambiate o versioni non più aggiornabili. Il 4 novembre lo stesso metodo ha raggiunto l’Établissement français du sang, la Banca del Sangue pubblica francese : in tre celle per emoderivati la temperatura sarebbe passata da -30 a 110 gradi. Parigi ha escluso impatti sanitari.
Intanto partiva l’altra ondata, quella delle minacce. Il 2 novembre 271 scuole italiane hanno ricevuto email con falsi allarmi bomba. Lo stesso giorno un volo Ryanair dalla Lettonia a Roma ha segnalato un ordigno a bordo; il giorno dopo è toccato alle rotte da Lisbona e Dublino verso Fiumicino, mentre altri allarmi colpivano Polonia, Bulgaria, Ungheria e Spagna. Il 5 novembre gli alert sui cieli europei sono stati tra 18 e 27, a seconda delle fonti, sei dei quali su Roma e Milano: due voli deviati, caccia in volo di scorta, nessun esplosivo trovato. Le email usavano mittenti falsi e improbabili, dai Pasdaran iraniani al ministero dell’Istruzione egiziano, fino a una sigla chiamata “Combattenti dello Stato Maschile”.
Nella stessa notte tra 1 e 2 novembre, le app ufficiali di emergenza di Russia e Ucraina hanno inviato ai cittadini falsi avvisi di attacchi chimici e nucleari. Kiev ha ammesso un’intrusione; Mosca ha parlato di criminali informatici senza indicarli.
Il 3 novembre due gruppi filorussi, NoName057(16) e Z-Pentest, hanno rivendicato su Telegram gli attacchi ai frigoriferi, citando i marchi Danfoss e Dixell e minacciando reti idriche e centrali elettriche. Il Cremlino ha smentito. Prove dell’autenticità della rivendicazione, per ora, non ce ne sono.
I precedenti: quattro anni di colpi a bassa intensità
Gli episodi di novembre non nascono dal nulla. Secondo una ricostruzione citata da un rapporto del Congressional Research Service, tra febbraio 2022 e marzo 2026 si contano almeno 151 operazioni ibride attribuite o riconducibili alla Russia in Europa, con un notevole incremento tra il 2023 e il 2024. Nello stesso periodo, secondo una stima dei Servizi Segreti britannici, i Paesi europei hanno espulso oltre 700 presunti agenti russi.
Il repertorio è ampio e cresce per gradi: cavi sottomarini tranciati dalle ancore, pacchi incendiari nei circuiti dei corrieri, droni in volo sopra aeroporti e basi, sabotaggi ferroviari, provocazioni pensate per dividere l’opinione pubblica.
Il filo comune è il metodo: gli esecutori sono spesso “agenti usa e getta”, giovani, migranti, piccoli criminali reclutati su Telegram e pagati in criptovalute. Chi agisce spesso non sa per chi lavora. È un modello operativo che rende questi attacchi economici e quasi impossibili da ricondurre ufficialmente a Mosca. In Polonia, da sola, l’agenzia di sicurezza ABW aveva già contato 44 arresti per spionaggio e sabotaggio ad aprile 2025.Sul fronte digitale lo schema è lo stesso: tanti attacchi a basso costo, qualcuno destinato ad andare a segno.
Gli hacker russi: un ecosistema a vari livelli
Il fronte cyber russo funziona come una piramide. In cima ci sono le unità dei servizi, come Sandworm e APT28 del GRU o Berserk Bear dell’FSB: poche operazioni, mirate, capaci di spegnere – ad esempio – una rete elettrica. Alla base c’è una galassia di gruppi “hacktivisti” che fanno rumore, rivendicano tutto e offrono a Mosca la possibilità di negare.
Il confine tra i due livelli, però, è più sottile di quanto sembri. Secondo il Dipartimento di Giustizia americano il Cyber Army of Russia Reborn (CARR), la stessa area da cui nasce Z-Pentest, sarebbe stato fondato, finanziato e diretto dal GRU. Per NoName057(16) si parla di un Progetto autorizzato dallo Stato.
NoName057(16) è attivo dal marzo 2022. Il suo strumento è il DDoSia, un software distribuito su Telegram ad “agenti” più o meno volntari, spesso senza competenze tecniche, pagati in criptovalute in base al tipo di attacco. Le vittime sono siti di governi, banche, porti, ferrovie. In Italia l’organizzazione ha colpito l’aeroporto di Malpensa nel 2024 e la Guardia di Finanza nel 2025. A luglio 2025 l’operazione Eastwood, coordinata da Europol ed Eurojust con 13 Paesi, ha disattivato oltre 600 server ed emesso sette mandati d’arresto internazionali. In Italia la Polizia Postale ha perquisito cinque presunti affiliati. Il gruppo, però, è tornato operativo.
Z-Pentest e CARR, altre due sigle note agli inquirenti europei, adottano un metodo diverso: entrano nei sistemi industriali esposti su internet, spesso con password di fabbrica. Negli Stati Uniti CARR ha manomesso impianti idrici, facendo tracimare centinaia di migliaia di litri d’acqua, e nel novembre 2024 un impianto di lavorazione della carne a Los Angeles, con migliaia di chili di prodotto da buttare e una fuga di ammoniaca. È lo schema operative che oggi viene indicato come quello utilizzato nell’attacco ai frigoriferi europei.
Due tra gli attacchi registrati negli ultimi anni, in particolare, preoccupano rispetto agli obiettivi che in questa escalation di Azioni potrebbero essere colpiti con più frequenza: il 7 aprile 2025 hacker filorussi aprono una valvola della Diga di Bremanger, in Norvegia, e rilasciano 500 litri d’acqua al secondo per circa quattro ore. Ad agosto il capo dell’intelligence interna norvegese attribuisce pubblicamente l’attacco alla Russia. Tra il 29 ed il 30 dicembre 2025, poi, un attacco colpisce la rete elettrica polacca, prendendo di mira contemporaneamente sistemi informatici e dispositivi industriali, nel pieno dell’inverno.
Il salto in avanti è qualitativo: il DDoS rende un sito irraggiungibile per qualche ora; l’intrusione in un sistema industrisle produce danni fisici, dal cibo che va a male all’acqua rilasciata da una diga.
Le ipotesi investigative
A oggi nessuno degli episodi è stato collegato con certezza a un responsabile: gli investigatori non hanno nemmeno stabilito se gli attacchi ai frigoriferi e quelli di novembre siano opera della stessa mano. In Italia lavorano Polizia Postale, Viminale, intelligence e Agenzia per la cybersicurezza nazionale (ACN), il cui direttore è stato ascoltato dal Copasir il 4 novembre. L’ACN ha confermato anche un attacco a un produttore Emiliano di surgelati; Coop Radenza ha ammesso la manomissione dei banchi frigo in almeno quattro punti vendita siciliani.
Al Vaglio degli inquirenti ci sono al momento varie ipotesi, ed una non andrebbe per forza ad escludere le altre. Una delle piste più “calde” fa riferimento ad una campagna coordinate, con regia russa. È l’ipotesi che fonti investigative e di intelligence considerano più coerente con la sequenza: frigoriferi, sangue, scuole, aerei, app di emergenza, tutto nell’arco di pochi giorni. A sostegno dell’ipotesi ci sono la rivendicazione di NoName057(16) e Z-Pentest, i legami di questi gruppi con lo Stato russo emersi nelle inchieste americane, e la “firma” su alcune email. Lo “Stato Maschile” è un movimento russo fondato da Vladislav Pozdnyakov, già condannato per incitamento all’odio; la stessa sigla era comparsa nel 2022 in Montenegro, su falsi allarmi bomba accompagnati da richieste politiche sulla Russia. Il Cremlino nega.
Ci sarebbe poi un secondo filone di indagini che si concentra sull’idea che le rivendicazioni siano fittizie, utili a generare caos: NoName fa abitualmente DDoS, non intrusioni industriali; la rivendicazione è arrivata settimane dopo i primi attacchi e poche ore dopo che un canale di analisi aveva ipotizzato il coinvolgimento di Z-Pentest; il video fatto girare non contiene alcuna prova tecnica ed il file, generato con l’intelligenza artificiale, si chiamava “хрень”, che significa più o meno “stronzata”. Le sigle già note possono aver messo il cappello su un attacco altrui, dando comunque l’idea di essere ancora più pericolosi di quel che viene percepito: un effetto che conviene comunque a Mosca.
I sistemi di telecontrollo della refrigerazione , ad esempio, sono spesso esposti su internet, con password di fabbrica o software fuori produzione. Alcuni motori di ricercar, come Shodan, li rendono facili da trovare. In questo scenario altri attori, ad esempio criminali comuni o emulatori, possono aver sfruttato la stessa falla usata per gli attacchi di guerra ibrida. Lo stesso vale per gli allarmi bomba: alcuni episodi minori, come la scritta “bomba” in un bagno dell’aeroporto di Pescara, potrebbero non avere nulla a che fare con operazioni orchestrate da altri Stati
C’è poi anche la strada che porta alle cosidette “false flags”: le email alle scuole italiane erano firmate da un sedicente “Corpo delle guardie della rivoluzione islamica”; altre riportavano mittenti come il ministero dell’Istruzione egiziano. Firme eterogenee e implausibili, che potrebbero servire a confondere. C’è anche chi ipotizza che qualcuno voglia far ricadere la colpa sulla Russia, sempre per motivi e con obiettivi geopolitici, ma per questa lettura non sono emersi elementi. In realtà, attribuire questi attacchi a uno Stato è “quasi impossibile”. Ed è proprio questa ambiguità a renderli efficaci.
I rischi: logoramento, cascata, escalation
Il rischio principale della guerra ibrida non è il singolo danno, ma l’accumulo. Il rapporto Defending Europe Against Hybrid Warfare della Commissione europea e dello Hybrid CoE di Helsinki, presentato a ottobre, individua tre tendenze: la saturazione delle capacità di risposta, gli effetti a cascata e le operazioni ad alto impatto. La settimana appena trascorsa le ha evidenziate tutte.
Un’email falsa non ha costi; un volo deviato, una scuola evacuata, un aereo scortato dai caccia costano invece moltissimo. Un frigorifero spento da remoto con una password di fabbrica produce tonnellate di merce da buttare. L’intelligenza artificiale fa il resto: testi, video e rivendicazioni si producono in serie. Ogni allarme va preso sul serio, e ognuno mobilita artificieri, polizia, controllori di volo. Ripetuti a decine, gli allarmi consumano risorse e attenzione, e rischiano di abituare a non reagire. È il caso in cui un allarme vero potrebbe passare inosservato.
Il passaggio dai supermercati alle celle per gli emoderivati potrebbe essere un indizio sulla strada dell’escalation: lo stesso software, le stesse password deboli, esistono negli impianti di depurazione, negli acquedotti, nelle reti elettriche, nei sistemi ospedalieri. La diga norvegese e la rete elettrica polacca dimostrano che il salto dal danno economico al rischio per le persone è già avvenuto altrove. Le strutture più esposte sono le più piccole: aziende locali, municipalizzate, ospedali con apparati datati.
Il bersaglio finale è l’opinione pubblica. Il commissario europeo alla Difesa Andrius Kubilius lo ha detto il 23 ottobre: Mosca usa gli attacchi ibridi per indebolire la volontà degli europei di difendersi e di sostenere l’Ucraina. La paura, il disagio quotidiano, il sospetto che lo Stato non sia in grado di proteggere scuole e voli servono a quel fine. Non a caso, secondo alcuni analisti, i bersagli italiani potrebbero essere scelti anche per pesare sul dibattito politico interno. Senza prove, i governi faticano a giustificare una risposta. L’avversario lo sa e calibra ogni azione appena sotto la soglia che renderebbe inevitabile una reazione. Il rischio è duplice: subire senza rispondere, oppure reagire in modo sproporzionato a un’attribuzione sbagliata.
Il percorso degli ultimi quattro anni va da DDoS e graffiti a cavi tagliati, pacchi esplosivi, intrusioni in dighe e reti elettriche. Ogni passo sposta in avanti la soglia di ciò che sembra normale.
Come contrastarla
La guerra ibrida si vince rendendola poco redditizia. Se una società assorbe gli urti senza fermarsi, ogni attacco a bassa intensità rende meno all’avversario. Un primo passo è quello di intervenire su quella che viene definite l’“igiene digitale” dei sistemi industriali, ed è la misura più urgente e più economica. Cambiare le password di fabbrica, togliere da internet i pannelli di controllo di frigoriferi, pompe e valvole, aggiornare o sostituire i software fuori produzione, separare le reti operative da quelle d’ufficio. L’ACN ha già chiesto alla grande distribuzione di farlo. Le direttive europee NIS2 e CER, recepite in Italia, estendono gli obblighi a migliaia di operatori: vanno applicate anche ai soggetti più piccoli, che sono l’anello debole. E’ poi necessario un fortissimo coordinamento tra pubblico e private: le aziende colpite devono segnalare subito, e le autorità devono intervenire tempestivamente. Nel caso dei frigoriferi, ad esempio, per settimane l’attacco francese non ha prodotto un’allerta europea. Servono canali di condivisione rapidi tra Polizia Postale, ACN, intelligence, gestori di servizi e associazioni di categoria.
Le minacce vanno valutate per livelli, come fa ad esempio già Ryanair con il suo sistema di colori: verde, ambra, rosso. Solo l’allerta massima porta alla deviazione o all’annullamento di un volo. Scuole, aeroporti e prefetture hanno bisogno di protocolli comuni per distinguere un allarme credibile da un’email in serie, senza abbassare la guardia.
Ricondurre gli attacchi ai responsabili richiede tempo, cooperazione e investimenti in intelligence. Quando le prove ci sono, servono conseguenze: inchieste congiunte come Eastwood, sanzioni contro chi organizza e finanzia, contrasto al reclutamento su Telegram e ai pagamenti in criptovalute. Il rapporto UE avverte che risposte incrementali non bastano: il costo per l’avversario deve diventare “intollerabile”. La Commissione sta preparando un manuale operativo contro le minacce ibride e un protocollo di sicurezza d’emergenza.
Lo scopo ultimo di questi attacchi è la paura. Informazione tempestiva e trasparente su cosa è successo, cosa si sa e cosa no, toglie spazio alla disinformazione e alle rivendicazioni gonfiate. Un pubblico preparato, che sa che un falso allarme è un’arma, è meno vulnerabile. Nessuna di queste misure richiede di sapere con certezza chi c’è dietro. Proteggere i servizi e ripristinarli in fretta va fatto comunque, prima che il prossimo bersaglio sia un acquedotto o un ospedale.
Rimani aggiornato su Pubblica Now
