L’8 ottobre 2026 il sito del Ministero degli Affari Esteri è stato oggetto di un attacco informatico che, secondo quanto comunicato dalla Farnesina, è stato efficacemente mitigato dai sistemi di protezione senza provocare disservizi. L’azione, un attacco di tipo DDoS (Disturbed Denial of Service), è stata ricondotta a Noname057(16), il collettivo filorusso che dal 2022 prende di mira con regolarità le istituzioni italiane. Pochi giorni dopo, nella notte tra l’11 e il 12 ottobre, un attacco di natura molto diversa ha colpito i sistemi di refrigerazione di centinaia di supermercati francesi. Manipolando a distanza i regolatori di un fornitore danese, gli autori hanno costretto banchi frigo e celle frigorifere a surriscaldarsi, causando la distruzione di tonnellate di merce e danni per milioni di euro. Il primo attacco è stato rivendicato ma non ha prodotto alcun danno; il secondo ha causato perdite per milioni di euro ma, al momento, ancora nessuna rivendicazione.
Questo contrasto pone una questione che va oltre i due episodi, riguardando il modo in cui vengono valutate le minacce cyber, particolarmente quelle che si collocano nella zona grigia della competizione ibrida. Statistiche, attenzione mediatica e comunicazione istituzionale tendono a concentrarsi su ciò che è rivendicato, visibile e facilmente misurabile. Ma è proprio questo il livello più pericoloso della minaccia. Per l’Italia, che è tra i primi paesi al mondo più colpiti dall’hacktivismo c’è un forte rischio: se la valutazione della minaccia si basa soprattutto su ciò che viene rivendicato e conteggiato, il rischio è sovrastimare il peso degli attacchi più visibili e sottostimare quello degli attacchi capaci di produrre danni concreti.
Il rumore: Noname057(16) e l’attacco alla Farnesina
Nella nota diffusa l’8 ottobre, la Farnesina ha precisato che la situazione era costantemente monitorata in collaborazione con il Polo Strategico Nazionale e in raccordo con le autorità competenti, proseguendo con verifiche su siti delle sedi diplomatico-consolari all’estero. Sono stati attivati il Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche e l’Agenzia per la Cybersicurezza Nazionale. L’attore a cui è stato ricondotto l’attacco, Noname057(16) rivendica le proprie azioni su Telegram e opera attraverso DDoSia, una piattaforma che consente a chiunque di partecipare agli attacchi contro gli obiettivi indicati dal gruppo. Più che un’organizzazione strutturata si tratta di una rete: secondo Europol conta oltre 4.000 sostenitori, prevalentemente russofoni e privi di competenze tecniche avanzate, motivati da un mix di ideologia e incentivi, dai pagamenti in criptovalute e modalità che trasformano gli attacchi in “giochi”. Questo modello decentrato spiega la loro resilienza. Nel luglio 2025 l’operazione Eastwood, coordinata da Europol ed Eurojust, che vedeva fra gli altri anche la partecipazione dell’Italia, ha smantellato oltre cento sistemi e gran parte dell’infrastruttura centrale del gruppo; eppure, poco più di un anno dopo, Noname057(16) è tornato a colpire un ministero italiano.
Il caso della Farnesina non è un’eccezione, ma la norma di un fenomeno che ha nell’Italia uno dei suoi bersagli privilegiati. Secondo il Rapporto Clusit 2026, nel 2025 l’Italia è stata il primo bersaglio mondiale dell’hacktivismo: le azioni di matrice attivista sono cresciute del 145% rispetto all’anno precedente e rappresentano ormai il 39% degli incidenti gravi registrati nel Paese, mentre la quota dei DDoS è quasi raddoppiata, dal 21% al 38,5%. I dati dell’Agenzia per la Cybersicurezza Nazionale confermano la tendenza ma ne mostrano il limite. Nel 2025 il CSIRT Italia ha gestito 2.729 eventi cyber, il 38% in più rispetto al 2024, ma gli incidenti con impatto confermato sono cresciuti solo del 7%; i picchi di attività, a febbraio, giugno, settembre e ottobre, coincidono con campagne DDoS rivendicate da gruppi hacktivisti, mentre la quota di DDoS capaci di produrre impatti misurabili è scesa da circa il 15% a meno dell’11%. Il quadro è dunque quello di una pressione costante e crescente, ma con effetti concreti sempre più marginali: molto rumore, pochi danni.
Se gli attacchi di Noname057(16) producono così pochi danni, la loro utilità va cercata altrove. Le rivendicazioni del gruppo sono esplicite: l’Italia viene colpita in quanto sostenitrice dell’Ucraina, come nel febbraio 2026, quando i DDoS contro sedi diplomatiche italiane all’estero furono motivati con la proroga degli aiuti militari a Kiev. Anche il calendario degli attacchi segue i momenti in cui questo sostegno diventa visibile, come la visita della presidente del Consiglio a Kiev nel febbraio 2023 o quella di Zelensky a Roma nel maggio dello stesso anno. Del resto, secondo ENISA i DDoS tendono a concentrarsi proprio attorno a eventi geopolitici di rilievo. L’obiettivo effettivo appare essere il voler generare notizia: un attacco fallito, come quello alla Farnesina, conquista comunque i titoli dei giornali raggiungendo il suo scopo ad un costo quasi nullo. Si tratta di una forma di segnalazione politica che opera soprattutto sul piano cognitivo. Anche la comunicazione istituzionale dunque è parte della risposta: il gruppo ha bisogno di presentare i propri attacchi come colpi andati a segno, sia per la propaganda sia per motivare i volontari; dichiarare in modo rapido e sobrio che il servizio non è stato interrotto, come ha fatto la Farnesina, smentisce questa narrazione e riduce il valore propagandistico dell’azione.
Il danno: l’attacco ai supermercati francesi
L’Attacco alla Farnesina aveva un autore che lo rivendicava e nessun effetto concreto. Quello che pochi giorni dopo ha colpito la Francia presenta le caratteristiche opposte. Nella notte tra l’11 e il 12 ottobre, i sistemi che regolano la refrigerazione di diverse centinaia di supermercati, tra cui punti vendita Intermarché, Coopérative U ed E.Leclerc, sono stati manipolati da remoto: gli attaccanti hanno avviato cicli di sbrinamento forzato che hanno portato frigoriferi e congelatori fino a 50° per diverse ore. Sono state distrutte intere scorte alimentari e, secondo la Procura di Parigi, si sono verificati vari principi d’incendio. Per ottenere questo effetto non è servita una capacità particolarmente sofisticata. I dispositivi colpiti, prodotti dalla danese Danfoss e, secondo l’agenzia per la cybersicurezza, anche dall’americana Copeland, presentavano vulnerabilità già note ai produttori. Alcune di queste falle erano state presentate pubblicamente da ricercatori indipendenti pochi mesi prima, ma molti apparati erano obsoleti, non aggiornati o raggiungibili da Internet. La stessa banalità tecnica che nei DDoS di Noname057(16) produce soprattutto rumore ha generato, in questo caso, un danno fisico su una filiera civile essenziale.
La risposta delle autorità francesi è stata immediata e si è collocata fin da subito al livello politico più alto. Il primo ministro Sébastien Lecornu ha chiesto all’ANSSI, l’agenzia nazionale per la sicurezza dei sistemi informativi, di occuparsi del caso. L’agenzia ha individuato la vulnerabilità contattato i fornitori e avviato il coordinamento con le controparti europee, nel timore che altri Paesi potessero essere colpiti; il suo direttore ha definito urgente scollegare da Internet i controllori interessati. Parallelamente, la Procura di Parigi ha aperto un’indagine affidata all’Office anti-cybercriminalité. Che la dimensione sia europea è al momento solo un’ipotesi: nello stesso periodo il gruppo Ahold Delhaize, gruppo multinazionale olandese attivo nella grande distribuzione organizzata, ha segnalato un problema di sicurezza nella propria rete, senza che sia stato accertato alcun legame. Ciò che colpisce, tuttavia, è che la reazione abbia trattato l’episodio come una questione di sicurezza nazionale pur in assenza di un autore e di un movente: a determinare la gravità è stato in questo caso l’effetto, non la firma.
A quattro giorni dall’attacco, nessuno lo ha rivendicato e le autorità non hanno indicato ufficialmente alcuna pista. Le ipotesi restano aperte. Un’azione criminale a scopo di lucro appare poco plausibile: non risultano dati sottratti né richieste di riscatto, e gli attaccanti non hanno ricavato alcun guadagno diretto. Resta possibile un’azione opportunistica favorita dal fatto che le vulnerabilità erano state rese pubbliche pochi mesi prima. Non si può escludere, infine, una matrice statale o comunque allineata a uno Stato. Il contesto la rende plausibile: secondo l’intelligence danese la Russia conduce già operazioni di sabotaggio contro i sostenitori dell’Ucraina, e i gruppi filorussi hanno già preso di mira sistemi industriali europei: ENISA segnala, tra gli altri, l’attacco del gruppo Infrastructure Destruction Squad (gruppo filorusso emerso nel giugno 2025) contro un’azienda italiana di automazione degli edifici intelligenti. Attualmente però nessun elemento consente di andare oltre la plausibilità. È proprio questa incertezza a rendere il caso rilevante per il monitoraggio degli attacchi ibridi, azioni condotte al di sotto della soglia del conflitto e spesso non attribuibili: un attacco senza autore produce comunque danni e sfiducia, ma rende difficile qualsiasi risposta politica, per l’assenza di soggetti imputabili o da dissuadere.
Il confronto tra i due casi mette in luce un limite degli strumenti con cui viene valutata questa modalità di attacco. Le statistiche si basano su ciò che viene rivendicato, notificato o reso pubblico, e premiano quindi gli attacchi più visibili. In Italia l’hacktivismo rappresenta il 39% degli incidenti gravi censiti da Clusit, mentre la categoria spionaggio e sabotaggio si ferma allo 0,4%. Non è detto che questo dato indichi la rarità del fenomeno: può riflettere piuttosto una effettiva difficoltà di osservarlo o renderlo noto al pubblico.
Nel resto d’Europa la pressione russa sta già passando dal piano digitale a quello fisico, con sabotaggi contro le aziende che riforniscono l’Ucraina, e il caso francese, pur non ufficialmente riconducibile a al pattern russo, dimostra come vulnerabilità banali possano produrre danni concreti anche su filiere civili essenziali. Nulla indica che l’Italia sia al riparo: i sistemi industriali esposti sono un problema comune, e la minaccia ibrida è considerata, dalle istituzioni, come un rischio a cui il Paese è esposto.
Ne discendono due indicazioni. La prima riguarda la misurazione: statistiche e obblighi di notifica, a partire da quelli introdotti con la Direttiva NIS2 (UE 2022/2555), dovrebbero distinguere e far emergere in modo specifico gli incidenti con effetti fisici, oltre a contare gli eventi. La seconda riguarda il perimetro: il monitoraggio deve estendersi ai sistemi operativi delle filiere civili, e non solo ai servizi delle istituzioni. Gli attacchi presi in esame mostrano dunque due volti della stessa zona grigia. Il primo è il più frequente, il più visibile e il più facile da misurare; il secondo è raro, silenzioso e difficile da attribuire, ma è quello che produce danni concreti. Una valutazione della minaccia costruita soprattutto sul primo rischia di offrire un quadro rassicurante proprio là dove la vulnerabilità e maggiore.
