Dopo i bombardamenti congiunti USA-Israele del 28 febbraio 2026, che hanno ucciso la Guida Suprema iraniana Ali Khamenei e decapitato gran parte della leadership dell’IRGC (Islamic Revolutionary Guard Corps), si registra un’intensificazione delle operazioni riconducibili, secondo varie fonti, alle milizie irachene filo-iraniane. Queste attività si concentrano non solo nel Medio Oriente, dove è in corso una guerra aperta con attacchi contro basi americane e obiettivi israeliani, ma si estendono anche all’Europa attraverso forme di minaccia ibrida.
Tra marzo e aprile 2026 si sono registrati episodi in Belgio (Liegi e Bruxelles), Paesi Bassi (Rotterdam, Amsterdam, L’Aia), Regno Unito (Londra e Manchester),Francia (Parigi) e Germania (Berlino e Francoforte). I target sono sempre gli stessi: sinagoghe, centri comunitari ebraici e ambulanze della comunità. A rivendicare gli attacchi è il gruppo Harakat Ashab al-Yamin al-Islamia (HAYI), un gruppo emerso nel marzo del 2026, la cui natura è ancora incerta, attraverso la piattaforma Telegram con un linguaggio jihadista ma con riferimenti espliciti alla “vendetta per Gaza e per l’uccisione di Khamenei”.
Natura del gruppo HAYI e legami con l’Iran
HAYI (Harakat Ashab al-Yamin al-Islamia) è apparso dal nulla il 9 marzo 2026 con un post Telegram che annunciava “l’inizio delle sue operazioni militari contro gli interessi statunitensi e israeliani in tutto il mondo”. Non esistono riferimenti precedenti online o offline. Ciò suggerirebbe che HAYI sia un gruppo di recente formazione, costituito appositamente per questa campagna di attentati.
Tuttavia, le sospette modalità di diffusione (tra cui la propagazione coordinata online, l’uso di differenti account e tempistiche anomale) sollevano il dubbio se HAYI sia un autentico gruppo terroristico o se serva semplicemente da facciata per operazioni ibride iraniane che consentono una plausibile negabilità.
Le incongruenze nelle rivendicazioni attribuite a HAYI (Harakat Ashab al-Yamin al-Islamia) emergono con chiarezza e sollevano interrogativi sulla reale natura e sull’organizzazione del gruppo. Gli account Telegram che si presentano come ufficiali appaiono sospetti: spesso creati da poco, diventano attivi solo in coincidenza degli attacchi e contano pochissimi follower, elementi che ne mettono fortemente in dubbio l’autenticità.
Anche la tempistica è problematica: le rivendicazioni giungono frequentemente dopo che la notizia si è già diffusa su altri canali, senza figurare tra le prime fonti attendibili. A ciò si aggiungono errori linguistici ricorrenti nei testi e nei video, indice di scarsa professionalità o di traduzioni approssimative.
Sul piano operativo le criticità sono altrettanto evidenti. Infatti, molti attentati attribuiti a HAYI rivelano un livello amatoriale: ordigni improvvisati che non detonano correttamente, incendi eseguiti in modo maldestro, video girati con il telefono in maniera rudimentale. Finora gli attacchi hanno causato danni limitati e nessuna vittima.
Queste anomalie cumulativamente alimentano il legittimo dubbio che alcune rivendicazioni possano essere in parte costruite, gonfiate o manipolate. È plausibile, cioè, che si tratti di episodi slegati — commessi da individui o piccoli gruppi autonomi con scarse capacità — che HAYI (o chi per essa) cerca di ricondurre sotto un’unica sigla per proiettare l’immagine di un’organizzazione terroristica strutturata, coordinata e più minacciosa di quanto non sia in realtà. In questo scenario, il gruppo sfrutterebbe opportunisticamente attentati occasionali per costruire una narrazione di continuità operativa e di efficacia, anche quando gli elementi fattuali suggeriscono frammentazione, improvvisazione e scarsa professionalità.
Ulteriori elementi di analisi provengono dal direttore dell’ICCT (International Centre for Counter-Terrorism), Thomas Renard secondo il quale esistono numerosi indizi che questo gruppo non sia autentico e forti segnali che potrebbe essere supportato da un paese straniero, e l’Iran sarebbe in cima alla lista. Ranard sottolinea, tuttavia, che siamo ancora nel “campo delle speculazioni”. Secondo le indagini dell’ ICCT il video di rivendicazione dell’attentato di Liegi è stato inizialmente pubblicato su un canale Telegram affiliato a un’altra milizia sciita irachena filo-iraniana, Asaib Ahl al-Haq, che a quanto pare mantiene stretti legami con la Forza Quds del Corpo delle Guardie Rivoluzionarie Islamiche (IRGC).
In conclusione, la pericolosità degli atti resta reale e va contrastata con determinazione, indipendentemente dalla matrice ultima. Allo stesso tempo, è doveroso mantenere un approccio cauto: distinguere tra ciò che è verificato, ciò che è plausibile e ciò che resta ancora speculativo. Solo indagini giudiziarie approfondite potranno chiarire definitivamente il quadro. Al momento, infatti, le autorità europee non hanno ancora attribuito ufficialmente questi attentati all’Iran o a una sua direzione centralizzata.
Strategia iraniana: guerra ibrida con plausibile negabilità?
Attualmente l’Iran evita di formare veri e propri gruppi organizzati, limitandosi a diffondere le rivendicazioni di Ashab al-Yamin attraverso canali Telegram collegati al regime e alle sue milizie irachene affiliate. Pare, invece, che preferisca reclutare individui tramite social media ed attraverso lo stesso Telegram, esternalizzando così le attività terroristiche e offrendo compensi anche per incarichi semplici, come la banale registrazione di un video.
Secondo gli esperti di antiterrorismo, gli attacchi presenterebbero alcune analogie con le presunte operazioni ibride russe in Europa , in cui funzionari russi avrebbero reclutato persone online per compiere attacchi di sabotaggio. Sembra che questi attacchi siano spesso effettuati da cittadini non russi in cambio di piccole somme di denaro e senza una piena consapevolezza di chi siano i destinatari delle operazioni.
Martha Turnbull, direttrice del Centro europeo di eccellenza per il contrasto alle minacce ibride (Hybrid CoE) ha sottolineato come questi attacchi dimostrino la continua attenzione del regime iraniano verso i dissidenti, la diaspora iraniana e, più recentemente, obiettivi ebrei e israeliani. Più in generale, ha osservato che gli attori ibridi che rappresentano una minaccia, tra cui Russia, Cina e Iran, “stanno facendo sempre più ricorso ad attori non statali o a gruppi per procura”.
Il regime iraniano ha mostrato la tendenza a mascherare il proprio coinvolgimento in attacchi all’estero utilizzando individui di paesi terzi, come le tre persone arrestate in Grecia nel marzo 2023 per aver pianificato attacchi a una sinagoga e a un ristorante kosher.
La serie di incendi dolosi e attacchi in Europa, potrebbe quindi non essere una novità nella sostanza, ma sembrerebbero seguire lo stesso schema dei precedenti attacchi terroristici sponsorizzati dall’Iran.
Seguendo questa ipotesi, alcuni analisti ritengono che l’Iran, o parti del suo apparato di sicurezza, starebbe cercando di condurre in Europa, attraverso reti proxy o gruppi di facciata come HAYI, una campagna di attacchi ibridi a bassa intensità. L’obiettivo presunto sarebbe destabilizzare il continente, seminare paura nelle comunità ebraiche e generare pressione psicologica e polarizzazione sociale, mantenendo una plausibile deniabilità.
Tuttavia, questa interpretazione solleva un dubbio legittimo: se Teheran stesse realmente orchestrando una simile strategia, gli effetti finora sarebbero stati così modesti? C’è quindi il rischio concreto di scambiare atti di lupi solitari, esaltati o piccoli gruppi autonomi per operazioni coordinate di “proxy” iraniani. La distinzione tra vera direzione statale e semplice sfruttamento opportunistico di un ecosistema filo-iraniano resta, allo stato attuale, difficile da accertare con certezza.
Il cauto approccio europeo
A seguito dell’accordo politico raggiunto dal Consiglio Affari Esteri il 29 gennaio, il Consiglio ha formalmente deciso oggi di aggiungere il Corpo delle Guardie Rivoluzionarie Islamiche (IRGC) dell’Iran alla lista delle organizzazioni terroristiche dell’UE. La diretta conseguenza di ciò è che l’IRGC è soggetto anche a misure restrittive nell’ambito del regime di sanzioni antiterrorismo dell’UE come congelamento dei suoi fondi e di altri beni finanziari o risorse economiche negli Stati membri dell’UE, nonché il divieto per gli operatori dell’UE di mettere a disposizione del gruppo fondi e risorse economiche .
La designazione dell’IRGC da parte dell’UE possiede un forte valore simbolico in un momento di grande pressione sul regime iraniano, sia interna che internazionale. Se da un lato ha fornito all’Europa strumenti legali più efficaci, dall’altro ha alzato il rischio di ritorsioni a bassa intensità. Pochi giorni dopo la decisione, l’Iran ha risposto dichiarando gli eserciti dei Paesi europei «gruppi terroristici».
Nel contesto della guerra in Medio Oriente, il portavoce di Europol, Jan Op Gen Oorth, aveva sostenuto di aspettarsi che gruppi legati all’Iran avrebbero potuto cercare di svolgere “attività destabilizzanti” all’interno dell’UE, come attacchi terroristici, campagne di intimidazione e finanziamento del terrorismo, affermando che la minaccia terroristica potrebbe essere aggravata da individui che agiscono da soli o da piccole cellule che agiscono di propria iniziativa, ha affermato.
Tuttavia, attualmente, quando si parla di Iran, la comunicazione pubblica UE/media tende a privilegiare conseguenze economiche e/o umanitarie interne all’Europa o repressioni in Iran, piuttosto che l’esportazione diretta di violenza sul territorio europeo. Mentre L’UE e i servizi di intelligence (Europol,AIVD,MI5, procure nazionali) agiscono concretamente con arresti, neutralizzazioni e sanzioni (inclusa la designazione dell’IRGC), le comunicazioni pubbliche restano caute e generiche, proprio perché gli indizi disponibili non sono ancora sufficienti a sostenere affermazioni più esplicite o definitive.
