Frigoriferi, aerei, scuole e infrastrutture. Come la guerra ibrida punta alle vulnerabilità dell’Europa. Parla Teti​

Cyberattacchi ai sistemi di refrigerazione industriale, falsi allarmi bomba sui voli e minacce rivolte alle scuole. Episodi apparentemente diversi, ma accomunati dalla capacità di generare allarme sociale, compromettere servizi essenziali e alimentare una percezione diffusa di vulnerabilità. Dietro questi eventi potrebbe nascondersi una strategia di guerra ibrida? Ne parliamo con Antonio Teti, esperto di cybersecurity e intelligence, che invita alla prudenza nell’attribuzione delle responsabilità, senza sottovalutare i possibili obiettivi geopolitici e cognitivi di queste operazioni.

Professor Teti, negli ultimi giorni l’Europa è stata interessata da una serie di episodi inquietanti: attacchi ai sistemi di refrigerazione industriale, falsi allarmi bomba sugli aerei e minacce alle scuole. Siamo di fronte a eventi isolati oppure potrebbe esserci una strategia comune?

È proprio questo l’interrogativo più importante. Al momento non esistono elementi pubblici sufficienti per affermare che questi episodi siano riconducibili a un’unica regia. Non abbiamo un’attribuzione ufficiale, né rivendicazioni credibili e verificabili che consentano di identificare con certezza i responsabili. Tuttavia, ritengo che alcuni elementi meritino un’attenta valutazione da parte degli apparati di intelligence. Mi riferisco alla concentrazione temporale degli episodi, alla natura degli obiettivi colpiti, all’assenza apparente di finalità economiche e, soprattutto, alla capacità di produrre effetti psicologici e sociali molto superiori alle risorse necessarie per realizzarli. È uno schema che presenta caratteristiche compatibili con le moderne operazioni di guerra ibrida e di influenza cognitiva. Non significa che esista necessariamente un coordinamento, ma che gli effetti prodotti sono coerenti con quelli ricercati nelle strategie di destabilizzazione.

Partiamo dagli attacchi ai sistemi di refrigerazione. Chi potrebbe esserci dietro queste operazioni?

Tra le ipotesi che considero maggiormente plausibili vi è quella di gruppi hacktivisti filorussi, già attivi contro infrastrutture e servizi europei. Secondo quanto riportato da alcune fonti, organizzazioni come Z-Pentest Alliance e NoName057(16) avrebbero preso di mira sistemi di refrigerazione fin dall’inizio del 2026 e vi sarebbero anche delle  evidenze su rivendicazioni attribuite a Z-Pentest Alliance e riconducibili a molteplici attacchi concentrati nella giornata del 26 aprile. Questi precedenti sono importanti perché dimostrano l’esistenza di un interesse operativo verso una categoria di sistemi industriali che, fino a poco tempo fa, veniva considerata marginale rispetto agli obiettivi tradizionali del cyberwarfare. Naturalmente, la presenza di precedenti non costituisce una prova di responsabilità negli episodi attuali, ma rappresenta un indicatore significativo nell’analisi delle possibili matrici.

Perché un attore ostile dovrebbe prendere di mira proprio i frigoriferi industriali e la grande distribuzione alimentare?

Perché oggi non è necessario colpire una centrale elettrica o un’infrastruttura militare per provocare effetti rilevanti sulla sicurezza di un Paese. La filiera del freddo rappresenta un sistema essenziale per la conservazione e la distribuzione degli alimenti, per la logistica farmaceutica e per numerosi processi industriali e di conseguenza compromettere un sistema di refrigerazione significa potenzialmente causare perdite economiche, interrompere attività commerciali, deteriorare prodotti e generare preoccupazione tra i consumatori. Ma c’è un elemento ancora più importante: l’impatto psicologico. Se un cittadino scopre che un supermercato può perdere il controllo dei propri impianti a causa di un attacco informatico, comprende improvvisamente che la minaccia cyber non riguarda soltanto banche, ministeri o grandi aziende tecnologiche, ma entra direttamente nella sua quotidianità. È il passaggio dalla compromissione tecnologica alla destabilizzazione della percezione di sicurezza.

Lei ritiene possibile che dietro questi attacchi ci siano direttamente servizi d’intelligence stranieri?

È una possibilità che non può essere esclusa, ma che richiede evidenze concrete. Un servizio d’intelligence potrebbe utilizzare infrastrutture apparentemente secondarie per verificare le capacità di difesa, i tempi di risposta delle autorità e il livello di resilienza dei sistemi occidentali. In termini strategici, si tratterebbe di attività di ricognizione operativa, pressione e possibile preparazione del campo per operazioni successive. Tuttavia, esiste un problema fondamentale di attribuzione. Come osservato anche da Rafe Pilling di Sophos, un accesso abusivo a un pannello di controllo industriale può lasciare tracce limitate, rendendo complesso distinguere l’azione di un singolo criminale da quella di un’organizzazione strutturata. Gli attacchi registrati in Francia l’11 e il 12 ottobre, che avrebbero coinvolto controller Danfoss obsoleti ed esposti su Internet, dimostrano quanto possa essere semplice sfruttare determinate vulnerabilità. Non bisogna quindi confondere la sofisticazione degli effetti con quella dell’attaccante.

Passiamo agli allarmi bomba sui voli europei e alle minacce indirizzate alle scuole. Quali elementi attirano maggiormente la sua attenzione?

Innanzitutto, la loro capacità di generare un’enorme mobilitazione delle strutture di sicurezza senza che sia necessariamente presente un ordigno esplosivo. Un falso allarme bomba può determinare deviazioni di voli, controlli straordinari, evacuazioni, interruzioni operative e un considerevole impiego di risorse delle forze dell’ordine. In questo caso, il costo dell’azione può essere estremamente basso, mentre quello sostenuto dalle istituzioni e dagli operatori coinvolti può risultare molto elevato. C’è poi un elemento particolarmente interessante: le comunicazioni minatorie inviate il 2 novembre a circa 270 scuole italiane, redatte in arabo e firmate da un sedicente Corpo delle Guardie della Rivoluzione Islamica, contenevano anche riferimenti a voli Ryanair. Successivamente, due voli Ryanair sono stati interessati da deviazioni verso Fiumicino. Questa circostanza merita attenzione investigativa, ma non dimostra automaticamente che le comunicazioni e gli episodi aeronautici siano parte della stessa operazione.

La firma attribuita ai Pasdaran iraniani potrebbe indicare un coinvolgimento di Teheran?

Personalmente sono molto prudente su questa interpretazione. Una firma così esplicita e vistosa potrebbe rappresentare un tentativo di depistaggio, oppure una classica operazione sotto falsa bandiera, quella che nel linguaggio dell’intelligence viene definita “false flag”. Un attore ostile potrebbe utilizzare simboli, linguaggi e riferimenti riconducibili a un altro Paese per orientare deliberatamente l’attenzione degli investigatori e dell’opinione pubblica verso una determinata direzione. Non possiamo escludere a priori un coinvolgimento iraniano, ma non possiamo neppure considerare autentica una firma semplicemente perché compare in una comunicazione minatoria. L’attribuzione deve basarsi su elementi tecnici, investigativi e informativi convergenti, non sulla sola identità dichiarata dall’autore della minaccia. Anzi, proprio l’eccessiva evidenza di determinati riferimenti può costituire un elemento da valutare criticamente.

Quindi, secondo la sua analisi, la pista russa resta quella più plausibile?

Se dovessi formulare una valutazione analitica, sulla base degli elementi attualmente disponibili e dei precedenti operativi, considererei plausibile una matrice russa o comunque riconducibile ad ambienti allineati agli interessi strategici di Mosca. Preciso però che si tratta di una mia ipotesi, non di un’attribuzione accertata. Il motivo principale è la coerenza dello schema operativo con alcune forme di pressione ibrida che l’Europa osserva da anni: sabotaggi, attività di interferenza, operazioni cyber, campagne di disinformazione e azioni finalizzate a compromettere la fiducia dei cittadini nelle istituzioni. In passato, i servizi di sicurezza cechi hanno attribuito alla Russia campagne di falsi allarmi bomba rivolte a scuole e strutture pubbliche. Inoltre, esistono gruppi hacktivisti filorussi che hanno già manifestato interesse per i sistemi di controllo industriale e, in particolare, per la refrigerazione. Questi elementi rendono la pista degna di approfondimento, ma non consentono di trasformare una valutazione di plausibilità in una certezza investigativa.

Quale sarebbe il vantaggio strategico per Mosca nell’organizzare operazioni di questo tipo?

Il vantaggio potrebbe consistere nella possibilità di produrre instabilità senza ricorrere a un’aggressione militare convenzionale e senza esporsi direttamente sul piano politico e diplomatico. La guerra ibrida si fonda anche sull’utilizzo di strumenti non militari, attori intermediari e operazioni difficilmente attribuibili. I cosiddetti “proxy”, tra cui gruppi hacktivisti, possono offrire una forma di negabilità plausibile: l’azione produce effetti coerenti con gli interessi di uno Stato, ma non emergono necessariamente prove di un suo coinvolgimento diretto. L’obiettivo potrebbe non essere distruggere infrastrutture, bensì alimentare la sensazione che nessun settore della vita quotidiana sia realmente al sicuro. Il cittadino comincia a percepire come vulnerabili il supermercato, l’aeroporto, la scuola e, progressivamente, l’intero sistema dei servizi pubblici. Quando questa percezione diventa diffusa, il danno non è più soltanto economico o tecnologico, ma politico e sociale.

Lei parla di operazioni cognitive. In che modo questi episodi possono trasformarsi in strumenti di guerra psicologica?

È probabilmente l’aspetto più interessante dell’intera vicenda. Nelle operazioni cognitive, l’obiettivo non è necessariamente il sistema informatico compromesso, ma la mente delle persone che osservano e interpretano le conseguenze dell’attacco. Un frigorifero industriale compromesso può diventare una notizia nazionale. Un falso allarme bomba può provocare paura in migliaia di passeggeri e nelle loro famiglie. Una minaccia rivolta alle scuole può generare preoccupazione tra genitori, studenti e insegnanti. In tutti questi casi, l’evento materiale rappresenta soltanto il primo livello dell’operazione. Il secondo livello è costituito dalla sua amplificazione attraverso i media, i social network e le conversazioni pubbliche. Il terzo livello, quello più strategico, riguarda l’erosione progressiva della fiducia nella capacità dello Stato di garantire sicurezza. È qui che un’azione informatica o una semplice comunicazione minatoria possono assumere una dimensione di guerra psicologica. La paura diventa un moltiplicatore degli effetti dell’attacco.

Ma non potrebbe trattarsi semplicemente di criminali comuni o di emulatori che sfruttano vulnerabilità già note?

Assolutamente sì, ed è una delle principali ragioni per cui invito a non formulare attribuzioni definitive. Dopo gli episodi francesi di ottobre, le vulnerabilità dei controller industriali esposti in rete hanno acquisito maggiore visibilità. Un attore con competenze tecniche limitate potrebbe individuare sistemi analoghi e replicare modalità operative già osservate. In altri termini, il rischio di emulazione è concreto e in maniera analoga, la storia dei falsi allarmi bomba dimostra che alcune campagne possono essere riconducibili a singoli individui, gruppi non strutturati o persone motivate da esibizionismo, volontà di provocazione o semplice desiderio di creare disordine. Purtuttavia, non dobbiamo attribuire automaticamente una matrice geopolitica a ogni episodio che produce allarme sociale.  La differenza tra un’operazione criminale, un’azione dimostrativa e una campagna di guerra ibrida emerge soprattutto dall’analisi del contesto, delle modalità operative, delle infrastrutture utilizzate e degli eventuali collegamenti tra gli autori.

Quali elementi servirebbero per dimostrare che gli attacchi ai frigoriferi e gli allarmi bomba sono collegati?

Servirebbero riscontri forensi e investigativi precisi. Per esempio, la presenza di infrastrutture digitali condivise, indirizzi IP riconducibili alla medesima organizzazione, indicatori di compromissione comuni, analogie significative nelle tecniche utilizzate oppure rivendicazioni verificabili pubblicate sui canali di comunicazione di gruppi già conosciuti. Anche l’analisi delle tempistiche, delle comunicazioni e delle eventuali sovrapposizioni operative potrebbe fornire elementi utili. Ma bisogna essere chiari: la coincidenza temporale non equivale a una prova di coordinamento. Due campagne possono verificarsi nello stesso periodo senza avere alcun collegamento organizzativo. Il compito dell’intelligence è proprio distinguere le correlazioni apparenti dalle connessioni effettive, evitando di costruire attribuzioni sulla base di semplici suggestioni.

C’è un aspetto che considera particolarmente preoccupante dal punto di vista della sicurezza nazionale?

Sì, la progressiva trasformazione di infrastrutture tecnologiche ordinarie in potenziali strumenti di pressione strategica. Per molto tempo abbiamo associato il concetto di infrastruttura critica a centrali elettriche, reti di telecomunicazione, sistemi finanziari, trasporti e grandi piattaforme industriali. Oggi dobbiamo comprendere che anche un controller industriale utilizzato per regolare la temperatura di una cella frigorifera può diventare il punto di ingresso per un’azione capace di produrre conseguenze economiche, sociali e reputazionali. Molti sistemi OT, cioè le tecnologie operative che governano processi fisici e industriali, sono stati progettati privilegiando continuità di funzionamento e affidabilità, non necessariamente la resistenza agli attacchi informatici provenienti da Internet. Quando questi dispositivi vengono esposti direttamente alla rete, soprattutto se obsoleti, non aggiornati o protetti da credenziali inadeguate, la superficie di attacco aumenta considerevolmente. Il risultato è che strumenti tecnologici relativamente semplici possono diventare vettori di destabilizzazione.

Quali misure dovrebbero adottare le aziende e le istituzioni europee per contrastare queste minacce?

Occorre innanzitutto modificare l’approccio alla protezione delle infrastrutture operative. La prima misura consiste nell’individuare tutti i dispositivi industriali accessibili da Internet, eliminando le esposizioni non necessarie e adottando sistemi di accesso remoto sicuri, autenticazione robusta e segmentazione delle reti. È poi indispensabile realizzare un inventario aggiornato degli asset OT, monitorare le anomalie operative, verificare le vulnerabilità dei controller e predisporre procedure di continuità operativa anche in caso di compromissione dei sistemi digitali. Ma la risposta non può essere esclusivamente tecnologica. Servono maggiore cooperazione tra imprese, autorità nazionali di cybersicurezza, forze di polizia e apparati di intelligence, oltre a una capacità di comunicazione pubblica che impedisca agli attaccanti di amplificare artificialmente la paura. In particolare, bisogna evitare che un episodio tecnicamente circoscritto venga trasformato, attraverso narrazioni manipolative, nella rappresentazione di un collasso generalizzato della sicurezza.

In merito all’attacco hacker al Tunnel del Brennero, sul quale, secondo indiscrezioni giornalistiche, sarebbe stata avviata un’indagine transfrontaliera che coinvolge i servizi di intelligence europei, siamo di fronte a una nuova escalation della guerra ibrida contro le infrastrutture strategiche dell’Europa?

Il caso del Brennero, qualora venissero confermate le informazioni relative all’attacco informatico, rappresenterebbe un ulteriore segnale di una trasformazione estremamente preoccupante dello scenario della sicurezza europea. Come ho evidenziato, le infrastrutture critiche non costituiscono più soltanto obiettivi economici o logistici, ma sono diventate potenziali strumenti di pressione geopolitica, destabilizzazione e condizionamento strategico. Sottolineo che il Brennero rappresenta uno snodo fondamentale per i collegamenti commerciali e la mobilità tra Italia ed Europa centrale. Un’eventuale compromissione dei sistemi digitali che supportano infrastrutture di questa rilevanza potrebbe produrre conseguenze ben superiori al semplice disservizio informatico, con possibili ripercussioni sulla continuità dei trasporti, sulle catene di approvvigionamento e sulla sicurezza economica.

In conclusione, professore, quale messaggio ci consegnano questi episodi?

Credo che il messaggio più importante sia che la sicurezza nazionale non si misura più soltanto nella capacità di proteggere i grandi obiettivi strategici, ma anche nella resilienza dei sistemi tecnologici che sostengono la vita quotidiana. La mia valutazione è che alcuni di questi episodi presentino caratteristiche compatibili con operazioni di guerra ibrida e pressione cognitiva, e che la pista di ambienti filorussi meriti particolare attenzione. Ma, fino all’emergere di prove verificabili, qualsiasi attribuzione deve rimanere nel campo delle ipotesi. C’è però una conclusione che possiamo trarre indipendentemente dall’identità degli autori. Oggi è possibile produrre un effetto psicologico e sociale rilevante con investimenti minimi, sfruttando vulnerabilità tecnologiche apparentemente marginali. Ed è proprio questa sproporzione tra il costo dell’attacco e l’impatto generato a rappresentare una delle caratteristiche più insidiose delle nuove minacce ibride. La vera sfida per l’Europa non consiste soltanto nello scoprire chi abbia colpito, ma nell’impedire che sistemi vulnerabili e paura collettiva diventino strumenti permanenti di pressione geopolitica.

Perché nella guerra ibrida contemporanea non è sempre necessario distruggere un’infrastruttura: talvolta è sufficiente convincere una popolazione che nessuna infrastruttura sia davvero sicura.