A nord e a ovest dei suoi confini, la Russia conduce da anni un confronto molto meno visibile, fatto di sabotaggi, intrusioni informatiche, campagne di influenza, violazioni dello spazio aereo e operazioni contro infrastrutture sensibili. Polonia e Repubbliche baltiche sono diventate uno dei principali terreni su cui questa pressione viene esercitata.

A metterla in fila, è un rapporto del Congressional Research Service (Crs), il servizio di ricerca indipendente del Congresso americano dal nome Russian Hybrid Warfare Activities in Europe: Considerations for Congress. Il documento è stato ripreso dal Uk Defence Journal, che ne sottolinea soprattutto le conclusioni relative al fianco orientale della Nato.

Il quadro riguarda sei Paesi alleati – Polonia, Estonia, Lettonia, Lituania, Romania e Bulgaria – accomunati dalla vicinanza geografica alla Russia o alla Bielorussia e dal sostegno fornito a Kyiv dall’inizio dell’invasione su vasta scala. Secondo uno degli studi citati dal Crs, il numero delle operazioni ibride russe registrate in Europa sarebbe quadruplicato tra il 2023 e il 2024. Un’altra ricostruzione ha censito almeno 151 episodi riconducibili o attribuiti alla Russia tra febbraio 2022 e marzo 2026.

Sono numeri che vanno letti con cautela: attribuire con certezza un’operazione clandestina è, per definizione, complicato. Ed è proprio l’ambiguità dell’attribuzione uno degli elementi ricorrenti di queste attività. L’obiettivo, osserva il Crs, è spesso creare abbastanza incertezza da rendere più difficile una risposta politica o militare, mantenendo l’azione al di sotto della soglia di un conflitto armato. Mosca, da parte sua, respinge regolarmente le accuse occidentali.

La Polonia nel mirino

Varsavia occupa un posto particolare in questa geografia. È uno dei principali snodi logistici occidentali per il sostegno militare all’Ucraina e, insieme ai Baltici, uno dei Paesi che negli ultimi anni ha assunto le posizioni più nette sulla minaccia russa.

Il Crs ricorda che nell’aprile 2025 l’Agenzia per la sicurezza interna polacca, l’Abw, aveva segnalato 44 arresti dall’inizio dell’invasione russa dell’Ucraina collegati ad attività di spionaggio o sabotaggio nell’interesse di Russia o Bielorussia. Tra le contestazioni figuravano la sorveglianza di installazioni militari, progetti contro le linee ferroviarie utilizzate per il trasporto di aiuti a Kyiv e l’incendio di un centro commerciale di Varsavia.

Il fenomeno non si è esaurito. Nel maggio di quest’anno l’Abw ha annunciato l’arresto di tre cittadini polacchi accusati, tra le altre cose, di aver raccolto informazioni sulla dislocazione delle forze Nato presenti nel Paese e di essersi preparati a compiti di natura diversiva e sabotatoria. Secondo l’agenzia polacca, gli indagati avrebbero operato su incarico di un cittadino russo legato all’Fsb.

A luglio, la stessa agenzia ha comunicato il rinvio a giudizio di un diciottenne ucraino accusato di aver svolto incarichi per i servizi russi, compresa la preparazione di attività diversive attraverso l’impiego di un drone. L’inchiesta ha anche ricostruito un sistema di reclutamento attraverso servizi di messaggistica e pagamenti in criptovalute.

C’è poi il capitolo ferroviario. Il 16 novembre 2025 due distinti attacchi danneggiarono linee in Polonia. Il primo ministro Donald Tusk li definì un “atto di sabotaggio senza precedenti”. Le autorità polacche sospettano due cittadini ucraini che avrebbero lavorato per l’Fsb e che, dopo gli episodi, sarebbero fuggiti in Bielorussia.

Il nuovo modello. Meno agenti, più intermediari

È forse questo il passaggio più significativo del rapporto americano. La pressione delle autorità europee sugli apparati d’intelligence russi ha costretto Mosca ad adattare il proprio metodo operativo.

Secondo una stima dell’MI5 richiamata dal Crs, tra il 2022 e il 2024 almeno 750 diplomatici russi e sospetti ufficiali d’intelligence sono stati espulsi dai Paesi europei. Una riduzione della presenza ufficiale che non avrebbe però fermato le operazioni clandestine. I servizi russi avrebbero compensato facendo un uso crescente di intermediari e reclutando persone per incarichi specifici, talvolta senza un legame evidente con la Federazione Russa.

È un modello meno sofisticato di quello tradizionale, ma anche più difficile da prevenire. Gli esecutori possono essere cittadini del Paese bersaglio, stranieri residenti in Europa oppure individui reclutati online. Possono essere impiegati una sola volta e non sempre conoscono fino in fondo il committente per cui stanno lavorando.

Per Mosca il vantaggio è duplice: ridurre l’esposizione diretta dei propri apparati e rendere più complessa l’attribuzione politica dell’operazione. Il Crs cita uno studio su 145 “low-level agents” reclutati per operazioni russe, inseriti in reti compartimentate e impiegati in attività che andavano dalla trasmissione di ordini fino al sabotaggio vero e proprio.

La pressione sui Baltici

Estonia, Lettonia e Lituania presentano vulnerabilità diverse ma condividono una caratteristica: sono tre Paesi Nato direttamente affacciati sullo spazio strategico russo e bielorusso.

Qui il ventaglio delle attività segnalate è particolarmente ampio. Le autorità baltiche registrano regolarmente attacchi DDoS contro infrastrutture, servizi pubblici, media, banche e trasporti. A questi si sommano operazioni informative che cercano di alimentare divisioni interne, soprattutto attorno alla presenza delle comunità russofone, e atti di vandalismo contro monumenti e simboli nazionali o legati al sostegno all’Ucraina.

Il rapporto ricorda anche l’aggressione subita nel marzo 2024 a Vilnius da Leonid Volkov, già capo di gabinetto di Alexei Navalny, colpito con un martello fuori dalla propria abitazione. L’intelligence lituana giudicò l’attacco probabilmente organizzato e realizzato dalla Russia.

Sul versante del sabotaggio, il Crs richiama invece i pacchi incendiari che nel 2024 presero fuoco in strutture logistiche in Germania e Regno Unito dopo essere partiti dalla Lituania, così come gli episodi che negli ultimi anni hanno interessato cavi e infrastrutture sottomarine nel Baltico. In alcuni casi le indagini sono ancora aperte e non consentono attribuzioni definitive. Ma è proprio la vulnerabilità delle infrastrutture sul fondale marino ad aver spinto la Nato, nel gennaio 2025, ad avviare l’operazione Baltic Sentry.

Il 18 agosto il primo ministro estone Kristen Michal ha spiegato che un possibile collegamento con la Russia figura tra le piste investigative sull’incendio che ha interessato un edificio utilizzato da Milrem Robotics, azienda estone della difesa che produce sistemi terrestri senza equipaggio impiegati anche dall’Ucraina. Al momento, tuttavia, le autorità non hanno attribuito pubblicamente l’attacco a Mosca.

Una strategia sotto la soglia

Il filo conduttore è la ricerca di effetti strategici senza arrivare allo scontro militare diretto. Secondo il Crs, le attività russe possono servire contemporaneamente a imporre costi ai Paesi bersaglio, impegnarne apparati di sicurezza e intelligence, misurarne i tempi di risposta e indebolire nel lungo periodo il sostegno politico all’Ucraina.

È qui che sabotaggio, cyber e disinformazione finiscono per sovrapporsi. L’attacco materiale a una ferrovia o a un’infrastruttura energetica può produrre un danno limitato; la sua amplificazione attraverso campagne informative, accuse incrociate e dubbi sull’attribuzione può moltiplicarne l’effetto politico.

La stessa Defense Intelligence Agency americana, citata dal rapporto, sostiene che Mosca utilizzi operazioni clandestine, strumenti informativi, cyberattacchi, violazioni dello spazio aereo e proxy per mettere alla prova capacità e determinazione della Nato evitando, per quanto possibile, il passaggio a un confronto militare diretto.

Da qui anche la cautela con cui Polonia e Paesi baltici stanno rafforzando la protezione delle infrastrutture critiche. Nelle ultime settimane Varsavia, Vilnius e le altre capitali della regione hanno innalzato l’attenzione intorno a impianti energetici e altri siti sensibili, anche alla luce dei timori di possibili operazioni costruite per rendere particolarmente difficile stabilire rapidamente la responsabilità dell’attacco.

Il problema che si pone alla Nato è dunque meno teorico di quanto possa sembrare. L’Alleanza ha già chiarito che, in determinate circostanze, anche un’operazione ibrida potrebbe condurre all’invocazione dell’articolo 5. Ma proprio perché queste operazioni sono pensate per restare nella zona grigia tra competizione e conflitto, l’attività decisiva è quella che consente di raccogliere prove, attribuire rapidamente la responsabilità e costruire una risposta sufficientemente credibile da aumentare il costo per chi agisce sotto soglia.