Nel 2025, 1 attacco cyber grave su 10 nel mondo è avvenuto in Italia: siamo un colabrodo?

Alle due di notte di lunedì 2 novembre, in un supermercato ICA di Stoccolma, i congelatori hanno iniziato a salire verso i cinquanta gradi e nessuno se n'è accorto fino al mattino, quando c'era solo da buttare tutto. Nelle stesse ore la scena si ripeteva in Belgio, in Lussemburgo, in Irlanda, e in Italia. Poi sono arrivate le celle dell'Établissement français du sang, con temperature impostate a centodieci gradi, quindi gli allarmi bomba, almeno 35 voli tra il 3 e il 6 novembre e altri 18 il 7, oltre a scuole e redazioni. Di recente, si è saputo che a metà ottobre è stata violata anche la società che costruisce il tunnel del Brennero. Nessun governo ha ancora messo una firma su tutto questo, ed è qui che la cronaca smette di bastare: l’Europa non è in guerra, ma non è nemmeno in pace, vive in una zona grigia in cui chi la attacca sceglie azioni che costano poco, che si possono smentire facilmente (plausible deniability, cioè la possibilità di negare ogni responsabilità senza essere smentiti da prove certe) e che restano abbastanza piccole da non obbligare nessuno a rispondere con la forza.

Il metodo è banale, il bersaglio no

Il metodo ha una semplicità che mette a disagio, perché nessun malware ha scardinato niente: gli aggressori sono entrati nelle interfacce di gestione dei controller Danfoss, Copeland e Dixell lasciate raggiungibili da internet e da lì hanno giocato con temperature e sbrinamenti, come il CERT-FR aveva avvisato il 12 ottobre. La seconda ondata è arrivata ventuno giorni dopo, a contromisure già pubbliche, perché le vulnerabilità erano note da mesi, gli apparecchi più colpiti erano fuori produzione, senza aggiornamenti, ed una ricerca aveva già contato più di duemilasettecento interfacce esposte per un solo modello.

Il caso dei sistemi di refrigerazione del sangue, aggiunge un’ulteriore livello, perché ad essere violato è stato un fornitore di impianti frigoriferi e da lì tre siti dell'ente francese, dove solo l'intervento di un operatore ha scongiurato il peggio, salvando il plasma. Due sigle filorusse dell'hacktivismo, che hanno poi minacciato acquedotti e centrali elettriche, rivendicavano già oltre venti attacchi simili da gennaio. Nessuna autorità ha confermato che siano loro i registi di questi giorni, e il nodo sta proprio qui: basta una pagina di controllo lasciata aperta su internet, e l’intrusione non richiede competenze particolari. Perciò, chi la subisce non può sapere se dall’altra parte c’era un adolescente o un gruppo di professionisti, perché le tracce sono le stesse.

Gli allarmi bomba sono il caso più istruttivo della settimana. Eurocontrol ha contato 35 voli il 3, il 5 e il 6 novembre, una quota compresa tra lo 0,026 e lo 0,049 per cento del traffico, e senza effetti sui ritardi. Il 7, però, gli allarmi sono stati almeno 18 e hanno portato deviazioni e caccia in volo. A cosa serve, allora, un allarme che ferma così poco? Serve a misurare quanto ci mettiamo a reagire, a saturare polizie e redazioni e a far sentire tutti sotto tiro, come dimostrano le mail, scritte nella lingua dei destinatari, arrivate anche a giornali e tv di Irlanda, Regno Unito e Bulgaria. Il 7 novembre i servizi europei hanno aperto un'indagine congiunta sulla pista russa, che alcuni funzionari ritengono la più probabile, ma gli stessi avvertono che le prove non bastano e che potrebbe non arrivare mai una risposta definitiva, perché anche con attivisti e simpatizzanti di un certo paese, resterebbe da stabilire se quel paese li abbia diretti, incoraggiati o solo lasciati fare.

Per capire perché dietro una sigla ideologica si possa sospettare altro, basta il quadro tracciato dal Consiglio UE il 13 luglio, quando ha attribuito al sedicesimo centro dell'FSB il controllo di diversi gruppi cyber e ha descritto un ecosistema in cui servizi, criminali, finti hacktivisti e società private lavorano sotto direzione o con il consenso di Mosca, fino al sabotaggio di impianti energetici polacchi. Non è una prova sulle ultime notti, ma spiega che la negabilità è il vero prodotto di queste operazioni. L'Europa è il terreno ideale perché è piena di infrastrutture interdipendenti, perché sostiene Kiev senza essere belligerante e perché la commissaria alla gestione delle crisi Hadja Lahbib ha dovuto ricordare il 3 novembre che bisogna prepararsi anche a un conflitto armato.

L'Italia nel mirino: venti supermercati, un tunnel e un ritardo che si vede

In Italia i casi segnalati sono di circa venti punti vendita siciliani, tra Catania, Palermo e Ragusa, più Toscana, Emilia-Romagna, Sassari e Veneto, e il vertice di Palazzo Chigi del 3 novembre con intelligence e ACN (agenzia per la cybersicurezza italiana) ha parlato di impatto limitato rispetto alle migliaia di negozi del Paese, indicando come causa sistemi obsoleti con interfacce esposte e autenticazione carente. Il problema non è la mancanza di allarmi: la stessa agenzia aveva diffuso già il 13 ottobre un bollettino con sei verifiche urgenti, ma tra il bollettino e il negozio sotto casa ci sono catene di affiliati e manutentori esterni, tanto che Assocold, pur ritenendo il sistema italiano più resistente di altri, ha più volte chiesto incentivi per sostituire gli impianti vecchi. Giorgia Meloni ha ammesso di non sapere se frigoriferi, plasma e allarmi bomba siano collegati, ma di vedere una sola direzione, cioè l'attacco alle infrastrutture civili, dal cibo agli ospedali ai trasporti.

Anche le infrastrutture strategiche sono a rischio: BBT SE, la società che costruisce il tunnel di base del Brennero, ha confermato un attacco mirato di metà ottobre con accesso a dati raggiungibili da internet, senza conseguenze sui lavori, mentre la Polizia postale di Bolzano indaga. A rivendicarlo è un gruppo russofono dell'estorsione informatica, ma nessuna autorità ha confermato né il nome né la quantità di dati sottratti, e qui si vede la sfumatura che complica tutto: un gruppo criminale che vuole soldi e uno Stato che vuole destabilizzare usano gli stessi strumenti e da fuori sembrano identici. Sul fronte aerei gli allarmi hanno toccato Fiumicino, Malpensa e Venezia, dopo che più di duecentottanta scuole erano state raggiunte da segnalazioni false, e la Procura di Milano ha aperto un fascicolo preliminare con la sezione antiterrorismo.

A questo si aggiunge un salto di livello, che riguarda le persone e non più gli impianti: da due settimane un gruppo filorusso ha messo una taglia su 18 nomi ritenuti ostili a Mosca, tra cui il procuratore di Roma, il capo della Polizia postale e il ministro degli Esteri Antonio Tajani, pubblicando sul dark web schede con recapiti privati e indirizzi delle abitazioni e, per il ministro, anche dati dei familiari. Quelle schede non dimostrano di per sé una violazione dei sistemi della Farnesina, ma l'effetto intimidatorio è lo stesso, e infatti Tajani ha collegato la campagna al sostegno italiano all'Ucraina, la Procura di Roma indaga e i dati restano online, perché rimuoverli è tecnicamente impossibile.

I numeri sulla cybersicurezza vanno letti con attenzione, perché dicono che il Paese vede meglio di prima, non che sia più sicuro. Il Rapporto Clusit ha contato 507 attacchi gravi nel 2025, il 9,6% del mondo e il 42% in più sul 2024, ma a spingere la crescita è l’hacktivismo, pari in Italia al 64% di quello globale, una quota che gli stessi analisti ritengono gonfiata dal campione e che nell’aggiornamento di ottobre scende al 17%, mentre cresce il cybercrime. Per l’ACN, i 2.171 eventi gestiti nel primo semestre, il 47% in più, dipendono soprattutto dalle notifiche obbligatorie della NIS2, che hanno fatto emergere 690 soggetti mai comparsi prima, e ad aprile il CSIRT aveva inviato circa millecinquecento comunicazioni su oltre duemila servizi esposti. Più monitoraggio e più consapevolezza, ma resta da capire quanto arrivi davvero nei negozi, nei cantieri e negli ospedali.

Come ci si difende, e cosa può fare l'Europa

Le misure sono quelle che l’ACN ha elencato nel suo bollettino. Censire controllori, pannelli e router dei manutentori serve a togliere dalla rete pubblica le interfacce di gestione, separare gli impianti dalle reti aziendali, proteggere gli accessi remoti con VPN, autenticazione a più fattori e controllare le temperature anche con misure indipendenti, senza scollegare tutto d’istinto, perché fermare una cella senza coordinarsi con chi la conosce può aggravare il danno. Chi usa l’impianto, chi lo installa e chi lo costruisce sono spesso soggetti diversi, e per questo il Cyber Resilience Act sposta una parte del peso sui produttori, che dall’11 settembre devono segnalare le vulnerabilità sfruttate anche sui prodotti già venduti, mentre i requisiti di progettazione arriveranno a dicembre 2027. Resta il parco già installato: su quello a fine vita un ripristino di fabbrica non basta, perché lascia intatta la vulnerabilità, e la sostituzione ha un costo che qualcuno dovrà decidere di sostenere.

Sul piano normativo l'Europa ha già gli strumenti, che vanno però portati a regime: la NIS2 (direttiva europea sulla sicurezza di reti e sistemi informativi) ha allargato la platea dei soggetti obbligati. La proposta di Cybersecurity Act 2 di gennaio punta a designare asset ICT chiave, a escludere i fornitori ad alto rischio e a fare della ENISA(agenzia dell’Unione europea per la cybersicurezza) il coordinatore delle crisi, mentre il Blueprint, ovvero la gestione delle cyber crisi europee, prevede che un incidente informatico sia letto come parte di una campagna ibrida, con un quadro situazionale unico tra settori. L'opportunità, se così può chiamarsi, è che questa sequenza ha reso politicamente conveniente ciò che per anni è sembrato un costo, dunque mettere in sicurezza la tecnologia operativa di filiere ritenute impensabili da attaccare.

Sul piano nazionale il governo si muove: il ministro dell'Interno Piantedosi ha convocato per martedì 10 novembre il Comitato nazionale per l'ordine e la sicurezza pubblica, e a dicembre arriverà in aula il Ddl sulla cyber-difesa, che attribuisce al capo di Stato maggiore della Difesa il ruolo di autorità cyber militare. È un passaggio necessario, ma riguarda soprattutto lo spazio militare, mentre i frigoriferi dei supermercati e le celle del sangue restano nel perimetro civile, dove la responsabilità è divisa tra produttori, installatori e gestori.

Perché subiamo e basta

La domanda con cui questo sito ha titolato già ad ottobre un articolo, cioè se siamo già in guerra, ha oggi risposte molto più concrete, e allora tocca porsi quella che nessun bollettino risolve: se siamo in un conflitto, perché ci limitiamo ad incassare? Per ogni controller manomesso abbiamo diffuso un'allerta, per ogni allarme bomba una dichiarazione di preoccupazione, e per un ecosistema che da anni sabota infrastrutture ci siamo accontentati di sanzionare nove persone e quattro entità, un costo che l'avversario assorbe senza cambiare linea. La ragione sta nell'architettura europea, costruita per proteggere e non per dissuadere, con la sicurezza nazionale riservata agli Stati, la politica estera subordinata all'unanimità e una dottrina che ha preferito condannare e resistere piuttosto che far pagare un prezzo credibile. Lo si è visto in questi giorni anche in Italia: Tajani ha chiesto di portare la guerra ibrida al tavolo del G7 Esteri di lunedì a Parigi, ma sull'ipotesi di convocare l'ambasciatore russo ha invitato alla prudenza finché non ci sono prove formali, e il cortocircuito è tutto qui, perché una politica che aspetta la prova per muoversi lascia l'iniziativa a chi ha costruito l'operazione per non lasciare prove.

Qualcosa si muove, ma ognuno per conto suo. I Paesi Bassi con la loro strategia di difesa cyber del 2025 passano dalla reazione alle operazioni proattive contro i gruppi ostili, Danimarca, Cechia e Regno Unito conducono già operazioni offensive, il governo tedesco ha approvato ad agosto un disegno di legge che rafforza i poteri dei servizi e un anno fa il ministro Crosetto chiedeva un'Arma cyber civile e militare da almeno cinquemila unità con un centro europeo contro la guerra ibrida. Ventisette dottrine contro un solo avversario producono ventisette soglie e altrettanti tempi di decisione. Il rapporto del Centro comune di ricerca della Commissione europea, uscito il 23 ottobre, indica un percorso in tre passaggi: anticipazione, difesa attiva e ritorsione reattiva, di cui l'ultimo resta il più teorico.

La risposta, se vuole avere senso, deve nascere a Bruxelles e dev’essere coordinata dalle intelligence europee prima ancora che dalle diplomazie. La buona notizia è che coordinarsi si può, visto che oggi i servizi lavorano già insieme sull'origine delle mail ai voli, che Europol ha convocato per la prossima settimana le polizie di tutti i Paesi coinvolti e che dentro l'INTCEN (EU Intelligence and Situation Centre) esiste dal 2016 una cellula per le minacce ibride, anche se resta un luogo di analisi alimentato da ciò che i servizi nazionali scelgono di condividere. Sarebbe utile quanto necessaria, una catena operativa che unisca attribuzione tecnica, valutazione politica e risposta proporzionata con soglie concordate in anticipo, così che l'esposizione di un attore, sanzioni, espulsioni ed operazioni cibernetiche contro server, finanziamenti e reclutatori dell'ecosistema ostile, scattino insieme. Nessuno chiede di colpire ospedali o supermercati per specularità, perché l'obiettivo è alzare il costo dell'infrastruttura che sostiene l'aggressione e non scendere al suo livello morale, ma un'Unione che ha il peso economico per sanzionare e servizi capaci di infiltrare i gruppi ostili non può continuare a presentarsi come bersaglio paziente. Se siamo in un conflitto, e le notti di questi giorni lo suggeriscono con una certa chiarezza, la scelta reale è tra rispondere insieme, con regole condivise attraverso una cabina di regia comune, oppure continuare a farci misurare un Paese alla volta.