Le cronache delle ultime trentasei ore hanno messo nello stesso calderone attacchi informatici agli impianti frigoriferi, minacce via mail contro i voli e il timore di dirottamenti fantasma. Distinguerle è il primo atto di difesa, perché la più grave è quella di cui si parla meno. L’analisi di di Alberto Pagani, docente di Geopolitica e Geostrategia, Università di Bologna — Esperto di Intelligence e Guerra Cognitiva
Martedì 3 novembre, poco prima delle nove del mattino, nella casella di posta di Aeroporti di Roma arriva una mail senza firma: a bordo di due voli Ryanair in avvicinamento a Fiumicino, uno da Lisbona e uno da Dublino, ci sarebbero degli ordigni. Il protocollo scatta come deve. Due Eurofighter dell’Aeronautica Militare si alzano in volo per affiancare l’aereo irlandese, che tocca terra alle 10.44; artificieri e unità cinofile controllano velivoli, passeggeri e bagagli; poco dopo mezzogiorno tutto rientra. Nelle stesse ore la scena si ripete a Sofia, dove atterrano sotto osservazione un Ryanair da Dublino e un Wizz Air partito da Orio al Serio, poi a Varsavia e a Murcia: sette voli in tutto, nessun esplosivo. Il giorno prima un Wizz Air Londra–Sofia era finito a Budapest scortato da un caccia ungherese, e circa 280 scuole italiane avevano ricevuto minacce analoghe.
Nelle stesse trentasei ore, da Silvi Marina a Sassari, dai supermercati siciliani alla Siaf di Bagno a Ripoli, che prepara i pasti per scuole e ospedali, qualcuno entrava da remoto nei sistemi di telegestione dei banchi frigo e portava le temperature oltre i quaranta gradi. Nei titoli e nei commenti sui social le due storie sono diventate una sola: «attacco hacker». È un errore comprensibile, ma è un errore, e correggerlo non è pignoleria lessicale. Dietro quella parola si nascondono almeno tre minacce diverse, con attori, strumenti, difese e livelli di gravità che non hanno nulla in comune.
Il freddo che si scalda
La prima è autenticamente cyber. Gli impianti frigoriferi della grande distribuzione e della ristorazione collettiva sono governati da centraline raggiungibili via internet, spesso installate dai manutentori con le credenziali di fabbrica e mai più aggiornate. È il mondo della tecnologia operativa, nato per funzionare e non per difendersi, che il collegamento in rete ha esposto a chiunque sappia cercarlo. La campagna è cominciata in Francia a metà ottobre, ha toccato Belgio, Svezia, Irlanda, Paesi Bassi, Finlandia, Estonia e Lussemburgo, e ora l’Italia. Il ministro Piantedosi l’ha definita un’iniziativa coordinata a livello europeo. Il danno è economico e potenzialmente sanitario, ma la natura del fenomeno è chiara: un attaccante che può trovarsi ovunque nel mondo sfrutta una vulnerabilità informatica. La risposta passa per l’Agenzia per la cybersicurezza nazionale, la Polizia postale e, soprattutto, per l’igiene digitale di chi installa e gestisce quegli impianti.
La bomba che non c’è
La seconda minaccia, quella che ha investito i voli, con la cybersecurity c’entra poco o nulla. Per spedire una mail anonima non occorre violare alcun sistema: bastano un indirizzo usa e getta e un server compiacente all’estero. Le indagini di Polaria e Polizia postale diranno chi c’è dietro, e per ora gli inquirenti non hanno accertato collegamenti tra il caso di Fiumicino e quelli europei. Lo schema, però, è noto. I servizi della Repubblica Ceca hanno attribuito alla Russia le ondate di falsi allarmi che nel 2024 avevano colpito decine di scuole ceche e slovacche, e nel maggio 2021 una falsa minaccia bomba servì a Minsk come pretesto per far atterrare un volo Ryanair e arrestare il dissidente Roman Protasevič.
L’allarme bomba è l’arma perfetta di una guerra ibrida a basso costo: non richiede competenze tecniche, non lascia ordigni da analizzare, obbliga lo Stato a reagire ogni volta come se la minaccia fosse vera. Fa decollare i caccia, chiude le piste, devia le rotte, e intanto misura i tempi di risposta di ciascun Paese. Il suo vero bersaglio è la percezione, la sensazione diffusa che nulla, né la scuola né l’aereo, sia più sicuro. È guerra cognitiva in senso proprio, e chi titola indistintamente sugli «hacker all’attacco dei cieli» le fa, senza volerlo, da amplificatore.
Il codice dei quattro numeri
Esiste poi una terza minaccia, che ieri non si è materializzata ma che episodi recenti rendono tutt’altro che teorica, ed è di gran lunga la più seria. Riguarda lo squawk 7500, il codice che il pilota imposta sul transponder per comunicare in silenzio al controllo del traffico aereo che a bordo è in corso un’interferenza illecita, cioè un dirottamento. Negli ultimi mesi quel codice è comparso più volte senza motivo. Il 13 ottobre un Boeing della Corendon diretto da Corfù a Norimberga ha fatto sospendere per ore le operazioni dello scalo bavarese, per un guasto al sistema radio di bordo secondo la compagnia; il giorno dopo un Air India Francoforte–Delhi è stato deviato su Jaipur per quello che appare un errore del pilota. Nella grande maggioranza dei casi la spiegazione è questa: un dito sbagliato sul pannello, un’avaria, un’informazione mal interpretata. È giusto dirlo, per non alimentare psicosi.
Per capire perché, basta sapere come funziona quel dialogo tra cielo e terra. Il transponder è una specie di citofono di bordo. Da terra il radar «suona», cioè lancia una domanda via radio, e l’aereo risponde in automatico declinando chi è, a che quota vola e quale codice ha impostato il pilota. Succede ogni pochi secondi, per migliaia di voli contemporaneamente. Il punto debole è che questo citofono non ha un videocitofono: nessuno controlla chi sta davvero parlando. Il sistema è stato progettato decenni fa, quando nessuno immaginava che qualcuno potesse spacciarsi per un aereo, e quindi le risposte non sono né cifrate né firmate. Funziona come una telefonata in cui qualcuno dice «sono la tua banca»: se il tono è giusto e le parole sono quelle attese, gli si crede. Allo stesso modo un messaggio radio confezionato nel formato corretto viene preso per buono. In teoria, quindi, si può far comparire sullo schermo di un controllore un 7500 che nessun pilota ha mai digitato, o perfino un aereo che non esiste.
Qui sta la differenza decisiva rispetto ai frigoriferi. Quei frigoriferi si possono manomettere da un computer a migliaia di chilometri di distanza, perché sono collegati a internet. Il transponder no. Il segnale radio usato dagli aerei si comporta come il fascio di una torcia: arriva dove «vede» e si ferma dietro le montagne e oltre l’orizzonte. Per inserirsi in quella conversazione bisogna essere lì, a portata di radar, con un trasmettitore vero. Oggi ne bastano di piccoli, delle dimensioni di un portatile, che si comprano per poche centinaia di euro e si programmano dal computer. Un apparato così, potenziato e ben posizionato, su un’altura, un tetto o un furgone parcheggiato vicino a un aeroporto, potrebbe fare il lavoro. Questa è guerra elettronica, non informatica. E vuol dire una cosa precisa e inquietante: qualcuno, per conto di un attore ostile, si trova fisicamente sul nostro territorio con l’attrezzatura in mano, ha scelto il luogo e l’ora e sa esattamente che cosa sta facendo.
Non è fantascienza. Con il fratello minore di questa tecnica, la falsificazione del segnale GPS, l’aviazione civile convive già. Dal 2022 i piloti che volano vicino al Baltico, al Mar Nero o al Medio Oriente vedono spesso i propri strumenti indicare posizioni sbagliate, a volte di decine di chilometri, e le compagnie che volano a lungo raggio verso est segnalano interferenze su quasi tutti i voli. Il passo dall’ingannare il navigatore di bordo all’ingannare il radar di terra è tecnicamente breve.
Il sistema, comunque, non è indifeso. Il radar non si limita ad ascoltare la risposta: misura anche da dove arriva e quanto ci mette ad arrivare, un po’ come quando riconosciamo che una voce che dice di essere in cucina in realtà viene dal pianerottolo. Più antenne a terra possono confrontare ciò che sentono e smascherare l’incongruenza. E il controllore può verificare con discrezione via radio con i piloti. Ognuna di queste difese, però, costa minuti, e in un’emergenza il tempo è proprio la risorsa che l’attaccante vuole consumare. Intasare le frequenze, far decollare i caccia, tenere un aereo in attesa sul mare: per raggiungere l’obiettivo non serve abbattere nulla. Basta far credere, anche solo per un quarto d’ora, che stia succedendo.
Chi fa che cosa
Separare le tre minacce non è un esercizio accademico, perché a ciascuna corrisponde una catena di risposta diversa. La prima chiama in causa l’ACN e la responsabilità di chi gestisce impianti connessi. La seconda le forze di polizia, la cooperazione giudiziaria europea e una comunicazione pubblica capace di non trasformare ogni mail anonima in un’emergenza nazionale. La terza richiede ciò che oggi manca quasi del tutto: un ascolto costante delle frequenze radio attorno ad aeroporti e centri di controllo, la capacità di localizzare una sorgente ostile, come si fa con un radioamatore abusivo ma in pochi minuti e prima che il furgone riparta, un raccordo stabile tra ENAV, Aeronautica Militare, autorità di vigilanza sulle frequenze e intelligence, e una spinta europea verso standard di sorveglianza autenticati, che non si improvvisano e richiederanno anni.
Serve soprattutto una dottrina che stabilisca chi fa che cosa quando la minaccia non è né del tutto militare né del tutto civile, né soltanto informatica né soltanto fisica. La guerra ibrida vive esattamente in quella zona grigia e prospera sulla confusione delle categorie. Chiamare tutto «attacco hacker» è il modo più rapido per concederle un vantaggio: mette sullo stesso piano un frigorifero manomesso e un trasmettitore nascosto vicino a una pista, e rischia di farci preoccupare troppo del primo e troppo poco del secondo.
