L’incidente di Colleferro e la nuova frontiera della guerra ibrida. Scrive Preziosa

L’esplosione avvenuta il 13 agosto nello stabilimento KNDS Ammo Italy di Colleferro sarà chiarita dalla magistratura. È questo il punto dal quale occorre partire e al quale sarà necessario tornare. La Procura di Velletri sta accertando la dinamica dell’incendio e della successiva esplosione verificatasi nel reparto pressatura polveri. Il ministro della Difesa Guido Crosetto ha affermato che, allo stato delle informazioni disponibili, non risulta “qualcosa di diverso da un problema interno”, aggiungendo opportunamente che non c’è bisogno di attribuire responsabilità non dimostrate a chi già conduce da anni una guerra ibrida contro l’Occidente. Non sappiamo se a Colleferro vi sia stato qualcosa di diverso da un incidente e non abbiamo elementi per sostenerlo. Ma questo non significa che l’episodio debba essere osservato prescindendo dal contesto strategico nel quale è avvenuto. KNDS Ammo Italy non è una normale struttura industriale. Lo stabilimento produce materiali esplosivi destinati alla difesa, tra cui munizioni, granate, spolette, teste di guerra e razzi. Il Comune di Colleferro classifica sia KNDS Ammo Italy sia Avio come industrie a rischio di incidente rilevante, soggette alla disciplina Seveso e dotate di specifici piani di emergenza esterna.

Colleferro costituisce quindi un polo industriale nel quale convergono capacità legate alla difesa e allo spazio. Un evento grave può produrre conseguenze non soltanto locali, ma estendersi alle catene produttive alle quali quegli impianti appartengono. Il valore strategico di un’infrastruttura, infatti, non dipende soltanto dalle sue dimensioni, ma dalle dipendenze che convergono su di essa e dagli effetti cosiddetti sistemici che una sua interruzione può produrre. KNDS assume, quindi,  rilievo strategico per il Paese. La guerra in Ucraina ha reso evidente quanto l’industria della difesa sia tornata a essere parte integrante della capacità militare di uno Stato. Munizioni, logistica, energia e capacità produttive non costituiscono semplicemente il retroterra economico dello strumento militare: determinano la capacità di generarlo, sostenerlo e rigenerarlo nel tempo. Di conseguenza diventano anch’esse potenziali obiettivi della competizione. Sabotaggi, cyberattacchi, incendi dolosi, interferenze nelle supply chain, operazioni informative, azioni condotte attraverso proxy e impiego di sistemi senza pilota consentono oggi di produrre effetti significativi mantenendosi al di sotto della soglia tradizionalmente associata a un atto di guerra. È precisamente questa zona di ambiguità tra incidente, azione ostile e attribuzione a rendere il problema molto più complesso.

La democratizzazione della capacità offensiva

L’esperienza dei conflitti recenti ha mostrato quanto sia cambiato il rapporto fra costo dell’attacco, costo della difesa ed effetto prodotto. Un piccolo drone commerciale modificato può costare poche migliaia di euro; il bersaglio contro il quale viene impiegato può valere milioni o costituire un nodo difficilmente sostituibile di una catena industriale. Quando poi l’obiettivo contiene materiali energetici, esplosivi o comunque suscettibili di amplificare gli effetti dell’offesa, la sproporzione può diventare ancora maggiore. È questa una delle conseguenze della democratizzazione della capacità offensiva. La progressiva diffusione di tecnologie dual use rende accessibili anche a organizzazioni estremiste, gruppi radicalizzati, proxy e persino singoli individui capacità che, fino a pochi anni fa, richiedevano risorse e competenze prevalentemente statali.

Quanto accaduto recentemente all’aeroporto di Leipzig/Halle dimostra che la questione non è teorica. Nella notte fra il 4 e il 5 agosto le autorità tedesche hanno rinvenuto nell’area cargo dell’aeroporto un drone dotato di un dispositivo esplosivo. Le indagini sono state affidate alla Procura generale di Dresda e alla struttura della polizia criminale sassone competente per terrorismo ed estremismo. Le autorità tedesche hanno inoltre ricordato che Leipzig/Halle rientra fra le infrastrutture critiche. Al momento, non è stata resa nota alcuna attribuzione dell’episodio.

Quando l’informazione diventa vulnerabilità

C’è poi un altro problema, meno appariscente ma altrettanto importante. Nei giorni successivi a eventi di questo tipo, giornali, siti, social network e altre fonti aperte ricostruiscono caratteristiche degli stabilimenti, produzioni, collegamenti industriali, territorio e localizzazione di infrastrutture analoghe presenti nel Paese. Si tratta, nella maggior parte dei casi, di informazioni già pubblicamente disponibili e la loro diffusione rientra nella normale attività informativa. Il problema nasce quando informazioni singolarmente innocue vengono raccolte, organizzate e messe in relazione tra loro. È l’aggregazione, infatti, che può modificarne il valore.

Un indirizzo, una fotografia satellitare, la descrizione di un’attività produttiva, una mappa industriale, il nome di un fornitore o la localizzazione di un deposito possono avere scarso valore se considerati separatamente. Riuniti, classificati e correlati possono invece produrre una rappresentazione estremamente accurata di una filiera industriale, delle interdipendenze che la sostengono e delle sue vulnerabilità. È ciò che nel mondo dell’intelligence viene definito, in termini generali, effetto mosaico: informazioni non necessariamente sensibili prese singolarmente possono assumere un valore sensibile quando vengono combinate. Nell’era dell’intelligenza artificiale questo problema assume una dimensione ancora maggiore. La raccolta, classificazione e correlazione di enormi quantità di informazioni open source possono essere automatizzate, accelerando l’analisi e consentendo di individuare relazioni, dipendenze e ricorrenze difficilmente riconoscibili osservando separatamente i singoli dati. Una società aperta come la nostra non può e non deve rinunciare alla trasparenza. Deve però sviluppare una nuova cultura della sicurezza informativa. Quando parliamo di un’infrastruttura sensibile, la stessa informazione può essere letta contemporaneamente dal cittadino, dal giornalista, dall’investitore e dall’intelligence di un Paese concorrente. Non significa classificare tutto. Significa comprendere che anche la gestione dell’informazione costituisce ormai parte della protezione dell’infrastruttura. Nella competizione strategica, infatti, conoscere un sistema significa anche comprenderne le dipendenze e, attraverso di esse, individuarne le vulnerabilità.

L’incidente e la sua seconda vita

Un evento può avere una causa ed essere successivamente utilizzato da un soggetto completamente diverso per produrre un altro effetto. Un incidente industriale può essere accidentale e diventare materiale per una campagna di propaganda, un sabotaggio può essere eseguito attraverso un intermediario rendendo difficile risalire al mandante, un’azione compiuta da un individuo può essere amplificata informativamente da uno Stato. Allo stesso modo, un incidente può essere descritto come sabotaggio e un sabotaggio può essere fatto apparire come incidente.

Per questo nella competizione ibrida dobbiamo distinguere almeno tre momenti: evento, attribuzione, sfruttamento dell’evento. Non necessariamente coincidono, ed è proprio questa separazione a rendere il fenomeno particolarmente difficile da interpretare e gestire.

L’attribuzione non è un processo immediato perché richiede intelligence, investigazione giudiziaria, analisi tecnica, cyber intelligence, cooperazione internazionale e, soprattutto, tempo. La competizione informativa, invece, non aspetta e la narrazione dell’evento comincia quasi istantaneamente. Può quindi accadere che, mentre uno Stato democratico sta ancora cercando di capire che cosa sia realmente avvenuto, qualcun altro stia già cercando di stabilire che cosa quell’evento debba significare. L’assenza di attribuzione non significa assenza di competizione.

Anche altri episodi verificatisi in Europa suggeriscono la necessità di osservare il fenomeno con attenzione, evitando tuttavia di costruire correlazioni che i fatti non consentono ancora di dimostrare. In Sardegna, nella notte fra il primo e il 2 agosto, sono state incendiate le automobili di due ricercatori impegnati nelle attività legate alla candidatura italiana dell’Einstein Telescope nell’area di Sos Enattos. La Procura di Nuoro procede per terrorismo. Il dato interessante non riguarda soltanto l’obiettivo materiale. Einstein Telescope è una grande infrastruttura scientifica europea per la futura osservazione delle onde gravitazionali. L’episodio ricorda quindi che proteggere una capacità strategica significa proteggere non solamente l’infrastruttura fisica, ma anche le persone, le conoscenze, le reti scientifiche e l’ecosistema che la rende possibile.

C’è poi il caso della petroliera Seajewel, danneggiata nel febbraio 2025 al largo di Savona da esplosioni sulle quali la magistratura italiana ha aperto un’indagine. La nave era stata associata nelle ricostruzioni pubbliche ai traffici petroliferi russi e al più vasto fenomeno della cosiddetta shadow fleet, ma anche in questo caso la prudenza sull’attribuzione rimane indispensabile. Sono eventi differenti e non devono essere collegati artificiosamente. È proprio questo il punto. In un ambiente caratterizzato da guerra ibrida, sabotaggi, criminalità, terrorismo, incidenti industriali e operazioni informative possono produrre manifestazioni esteriormente simili pur derivando da cause completamente diverse. Il problema per lo Stato consiste nel distinguerle.

La guerra dell’attribuzione

Nella competizione ibrida anche l’attribuzione diventa terreno di confronto. Sapere chi ha fatto cosa, con quale strumento, per quale finalità e per conto di chi diventa condizione necessaria per decidere una risposta. È qui che intelligence e controintelligence assumono un ruolo centrale. Gli Stati devono raccogliere segnali deboli, confrontare eventi avvenuti in Paesi differenti, individuare eventuali pattern, ricostruire reti di intermediari, distinguere operazioni coordinate da coincidenze ed evitare contemporaneamente due rischi opposti: non riconoscere un attacco oppure vedere un attacco dove esiste soltanto un incidente. Una falsa attribuzione può infatti essere strategicamente pericolosa quanto una mancata attribuzione. È significativo che la Difesa italiana abbia già riconosciuto questa trasformazione. Nel novembre 2025 il ministro Crosetto ha presentato al Consiglio Supremo di Difesa il non-paper Il contrasto alla guerra ibrida: una strategia attiva. L’Atto di indirizzo della Difesa del luglio 2026 ha successivamente indicato il contrasto alla guerra ibrida tra le priorità sulle quali rafforzare capacità di analisi, coordinamento e risposta.

Colleferro dovrebbe allora spingerci a porre una domanda più ampia. Non soltanto che cosa è accaduto, ma quanto è resiliente il sistema industriale strategico italiano rispetto a ciò che potrebbe accadere. Proteggere questi siti significa ormai considerare insieme sicurezza fisica, difesa anti-drone, cyber security, insider threat, supply chain, intelligence, protezione delle informazioni, ridondanza produttiva, dispersione delle capacità e possibilità di rapido ripristino.

È la logica della resilienza applicata alla competizione strategica. Un sistema difficile da penetrare, capace di assorbire un attacco, continuare a funzionare e ripristinare rapidamente le proprie capacità riduce il beneficio che un avversario può attendersi da un’azione ostile. La deterrenza, in altri termini, non deriva soltanto dalla possibilità di imporre un costo, ma anche dalla capacità di negare l’effetto strategico ricercato dall’avversario. È anche in questa direzione che dovrebbe evolvere la protezione delle infrastrutture critiche e dell’industria della difesa europea.

Sarà la magistratura a stabilire definitivamente che cosa sia accaduto a Colleferro. Anticiparne le conclusioni sarebbe sbagliato. Ma attendere la magistratura non significa ignorare il contesto. Viviamo in una competizione strategica permanente nella quale strumenti militari, cibernetici, economici, informativi, cognitivi e clandestini interagiscono continuamente e nella quale la linea di separazione fra pace e conflitto è diventata sempre più difficile da individuare. In questo ambiente l’attribuzione degli eventi non è né semplice né lineare. È essa stessa parte della competizione. Per questo non sappiamo ancora che cosa sia accaduto a Colleferro, ma sappiamo perfettamente in quale mondo è accaduto.