Dai siti istituzionali alle filiere civili, gli attacchi ibridi in territorio europeo si moltiplicano con rischi concreti. Ma gli attacchi più visibili non sono necessariamente i più pericolosi: concentrarsi sul rumore rischia di far perdere di vista danni fisici e tangibili
Gli attacchi informatici contro i sistemi di refrigerazione commerciale hanno raggiunto anche l’Italia. In Sicilia, il gruppo Coop Radenza ha confermato la compromissione degli impianti di almeno quattro supermercati, mentre l’Agenzia per la Cybersicurezza Nazionale (ACN) ha ricevuto una notifica d’incidente da un’azienda toscana della ristorazione collettiva e rilevato un attacco ai danni di un’impresa emiliana produttrice di surgelati.
La crescente esposizione della filiera agroalimentare ha indotto Palazzo Chigi a convocare per oggi, 3 novembre, una riunione coordinata dal sottosegretario Alfredo Mantovano, con la partecipazione dei vertici dell’ACN e delle Agenzie di intelligence. Il coinvolgimento del comparto informativo colloca la sicurezza dei sistemi industriali e delle infrastrutture civili nell’ambito delle priorità di sicurezza nazionale.
Questi sono solo gli ultimi di una serie di episodi che evidenziano la diversa portata delle operazioni cyber. L’8 ottobre 2026 il sito del Ministero degli Affari Esteri è stato oggetto di un attacco informatico di tipo DDoS (Disturbed Denial of Service), poi attribuito al collettivo russo Noname057(16). Pochi giorni dopo, nella notte tra l’11 e il 12 ottobre, un attacco di natura molto diversa ha colpito i sistemi di refrigerazione di centinaia di supermercati francesi, distruggendo tonnellate di merce. Il primo attacco ha un colpevole ma non ha prodotto danni; il secondo ha causato perdite per milioni di euro ma, al momento, ancora nessuna rivendicazione.
Il contrasto solleva una questione. Statistiche, media e comunicazione istituzionale tendono a concentrarsi su ciò che è rivendicato e facilmente monitorabile. Ma ciò che è più visibile coincide con ciò che più pericoloso? Per l’Italia, tra i Paesi più colpiti al mondodall’hacktivismo il rischio è concreto.
Nella nota della Farnesina si è assicurato un monitoraggio costante in collaborazione con il Polo Strategico Nazionale e le autorità competenti, proseguendo con verifiche su siti delle sedi diplomatico-consolari all’estero. Noname057(16) rivendica le proprie azioni su Telegram e opera attraverso DDoSia, una piattaforma che consente a chiunque di partecipare agli attacchi. Secondo Europol conta oltre 4.000 sostenitori, prevalentemente russofoni e privi di competenze tecniche avanzate, motivati da un mix di ideologia e incentivi, dai pagamenti in criptovalute e modalità che trasformano gli attacchi in “giochi”. Questo modello decentrato spiega la loro resilienza: l’operazione Eastwood, a cui ha partecipato anche l’Italia, aveva messo fuori uso gran parte dell’infrastruttura, ma il gruppo è tornato a colpire.
Secondo il Rapporto Clusit 2026, nel 2025 l’Italia è stata il primo bersaglio mondiale dell’hacktivismo, cresciuto del 145%. I dati dell’Agenzia per la Cybersicurezza Nazionale ne mostrano però il limite: a fronte di un aumento del 38% degli eventi gestiti dal CSIRT Italia gli incidenti con impatto confermato sono cresciuti solo del 7 e la quota di DDoS con effetti misurabili risulta meno dell’11%. Un’esposizione a pressione costante e crescente, ma con effetti concreti sempre più marginali.
L’utilità di questi attacchi va cercata altrove. L’Italia diventa bersaglio in quanto sostenitrice dell’Ucraina, come nel febbraio 2026, quando i DDoS contro sedi diplomatiche italiane all’estero furono motivati con la proroga degli aiuti militari a Kiev. L’obiettivo è la notizia: anche un attacco fallito, conquista giornali a un costo quasi nullo.
In Francia gli attaccanti hanno avviato da remoto cicli di sbrinamento forzato che hanno portato frigoriferi e congelatori fino a 50° per ore, distruggendo intere scorte alimentari e, secondo la Procura di Parigi, provocando vari principi d’incendio. Non è servita una capacità sofisticata: Danfoss e Copeland, presentavano vulnerabilità note ai produttori, ma molti apparati erano obsoleti. La stessa banalità tecnica che nei DDoS produce rumore ha qui generato un danno fisico su una filiera civile essenziale.
La risposta è arrivata al livello politico più alto. Il primo ministro Sébastien Lecornu ha affidato il caso all’ANSSI, che ha avviato il coordinamento con le controparti europee, e ha definito urgente scollegare da Internet i controllori interessati. In questo caso a determinare la gravità è stato l’effetto, non la firma.
Al momento nessuno ha rivendicato l’attacco. Le ipotesi restano aperte: dall’azione opportunistica a una matrice statale, che il contesto rende plausibile. Secondo l’intelligence danese la Russia conduce già operazioni di sabotaggio contro aziende che riforniscono l’Ucraina. Nessun elemento consente però di andare oltre la plausibilità. Proprio questa incertezza, tipica degli attacchi ibridi, rende difficile qualsiasi risposta politica.
Il confronto mette in luce un limite degli strumenti di valutazione. Le statistiche si basano su incidenti resi pubblici, premiando gli attacchi più visibili. Secondo Clusit, in Italia l’hacktivismo vale il 39% degli incidenti gravi, spionaggio e sabotaggio appena lo 0,4%. Non è detto che questo dato indichi la rarità del fenomeno: può riflettere piuttosto una effettiva difficoltà di osservarlo o renderlo noto al pubblico.
Nel resto d’Europa la pressione russa sempre più sul piano fisico, e il caso francese, mostra come vulnerabilità banali possano colpire filiere civili essenziali. Nulla indica che l’Italia sia al riparo: i sistemi industriali esposti sono un problema comune, e la minaccia ibrida è considerata, dalle istituzioni, come un rischio a cui il Paese è esposto.
Ne discendono due indicazioni: far emergere, negli obblighi di notifica previsti dalla Direttiva NIS2 (UE 2022/2555), gli incidenti con effetti fisici, oltre a contare gli eventi ed estendere il monitoraggio ai sistemi operativi delle filiere civili. Il primo tipo di attacco è il più visibile facile da monitorare; il secondo, silenzioso e difficile da attribuire, è quello che produce danni concreti. Una valutazione costruita soprattutto sul primo rischia di offrire un quadro rassicurante proprio là dove la vulnerabilità è maggiore.
