di Flavio De Septis
Dai DDoS al doxxing a pagamento: il gruppo filorusso NoName057(16) mette una ricompensa sui dati personali di ministri, magistrati e investigatori europei. Nelle stesse ore emerge un attacco informatico alla società della Galleria di Base del Brennero, mentre l’intelligence europea indaga sull’origine russa degli allarmi bomba che hanno colpito 35 voli.
Il fatto
Il Ministro degli Esteri e vicepresidente del Consiglio Antonio Tajani ha annunciato su X che dati personali suoi e dei suoi familiari sono stati diffusi sul dark web da criminali informatici. Tajani ha collegato apertamente l’azione alla posizione italiana a sostegno dell’Ucraina e ha assicurato che non arretrerà: «Non mi farò intimidire in nessun modo».
Secondo quanto ricostruito dal Fatto Quotidiano e ripreso dall’ANSA, dietro l’operazione ci sarebbe NoName057(16), il collettivo filorusso che da anni bersaglia con attacchi DDoS i siti istituzionali italiani e che diverse analisi associano al GRU, l’intelligence militare di Mosca. Dal 26 ottobre il gruppo ha pubblicato una vera e propria “taglia”: offre denaro in cambio di informazioni personali su 18 persone considerate ostili alla Federazione Russa. Sul caso indaga la Procura di Roma.
Chi è nel mirino
La lista italiana comprende, oltre a Tajani, il procuratore della Repubblica di Roma Francesco Lo Voi, il direttore della Polizia Postale Ivano Gabrielli e Paolo Tassan-Zanin, sindaco di Aviano, il comune friulano che ospita la base aerea statunitense.
Tra i nomi stranieri figurano il presidente di Eurojust Michael Schmid, il magistrato della Procura di Francoforte Benjamin Krause, il capo della polizia criminale federale tedesca (BKA) Holger Münch e il giornalista investigativo Michael Alexander Martens, ricercato dalle autorità russe. Per ciascun obiettivo gli hacker hanno predisposto schede che combinano informazioni pubbliche e dati riservati: curriculum, recapiti telefonici personali, indirizzi e-mail e di residenza.
La scelta dei bersagli non è casuale: diplomazia, magistratura, polizia giudiziaria e contrasto al cybercrime, cooperazione giudiziaria europea, presenza militare alleata. È la mappa delle istituzioni che, a vario titolo, ostacolano le operazioni russe in Europa.
Le reazioni politiche
La presidente del Consiglio Giorgia Meloni ha espresso piena solidarietà a Tajani, definendo la messa in vendita di dati riservati di rappresentanti delle istituzioni un fatto di grande preoccupazione, da contrastare con la massima fermezza. Nella stessa nota Meloni ha denunciato anche la circolazione di immagini false, rilanciate secondo la premier pure da esponenti dell’opposizione, sottolineando che la libertà di espressione non deve trasformarsi in veicolo di disinformazione.
Brennero: colpita la società della Galleria di Base
Nelle stesse ore si è appreso, dal quotidiano austriaco Tiroler Tageszeitung, di un attacco informatico mirato contro BBT SE, la società europea per azioni incaricata della progettazione e costruzione della Galleria di Base del Brennero. L’azienda, interpellata dall’ANSA, ha confermato l’incidente, avvenuto il 17 ottobre: soggetti non autorizzati avrebbero avuto accesso a dati raggiungibili via Internet ma non destinati al pubblico.
BBT SE riferisce di aver attivato i protocolli di sicurezza, isolato i sistemi coinvolti, coinvolto specialisti esterni per l’analisi forense e informato le autorità; le indagini sono affidate alla Polizia Postale di Bolzano. Secondo la società non ci sarebbero state conseguenze né sull’operatività né sui cantieri. Restano però da chiarire la profondità dell’intrusione e il volume dei dati sottratti, e l’azienda non commenta l’ipotesi di trattative o riscatti.
Il giornale tirolese indica come possibile responsabile il gruppo Everest, rete estorsiva dell’ecosistema criminale di lingua russa specializzata nel furto di dati e nella minaccia di pubblicarli in cambio di denaro. Il tunnel del Brennero comparirebbe sul loro sito di leak come obiettivo austriaco.
Allarmi bomba sui voli: l’ipotesi russa
Completa il quadro l’inchiesta del Financial Times, secondo cui le agenzie di sicurezza europee stanno conducendo un’indagine congiunta per verificare se le minacce di bomba coordinate contro voli europei siano partite dalla Russia. Per alcuni funzionari dell’intelligence l’origine russa è la pista più probabile, alla luce di movente, modalità, precedenti e primi riscontri; tra le ipotesi, l’azione di attivisti filo-Cremlino o di gruppi hacker.
I numeri forniti all’ANSA da Eurocontrol parlano di 35 voli coinvolti: 7 il 3 novembre, 14 il 5 e 14 il 6 novembre (dato ancora provvisorio). Una quota inferiore allo 0,05% del traffico giornaliero, senza effetti sui ritardi della rete. Ma l’obiettivo di questo tipo di operazioni non è paralizzare il traffico aereo: è generare allarme, costi e sfiducia.
L’analisi: dal rumore al bersaglio
Presi singolarmente, i tre episodi appartengono a categorie diverse: hacktivismo statale, ransomware a scopo di lucro, minacce di sabotaggio. Letti insieme raccontano l’evoluzione della minaccia ibrida contro l’Europa.
Primo: il salto dal DDoS al doxxing. Per anni NoName057(16) è stato associato ad attacchi di negazione del servizio, rumorosi ma con impatti limitati e temporanei. La taglia sui dati personali è qualitativamente diversa: trasforma una campagna di propaganda in un’attività di targeting di persone fisiche, esternalizzata a chiunque sia disposto a vendere informazioni. È un modello di “crowdsourcing” della raccolta informativa che abbassa i costi per l’attaccante e, soprattutto, sposta il rischio dal piano digitale a quello fisico: un indirizzo di casa pubblicato è un problema di protezione personale, non di firewall.
Secondo: le infrastrutture strategiche come terreno di caccia. Il Brennero è uno dei principali corridoi di trasporto europei. Anche quando l’attacco ha un movente economico, come sembra nel caso di Everest, il valore dei dati di un’opera strategica va oltre il riscatto: progetti, fornitori, organigrammi e documentazione tecnica sono informazioni di interesse per attori statali. Il fatto che l’incidente, avvenuto il 17 ottobre, emerga pubblicamente solo tre settimane dopo e tramite la stampa ripropone il tema della trasparenza verso l’opinione pubblica, oltre agli obblighi di notifica che la normativa NIS2 impone ai soggetti essenziali e importanti.
Terzo: la saturazione dell’attenzione. Allarmi bomba, taglie, attacchi informatici e immagini false in circolazione nello stesso arco di giorni producono un effetto cumulativo che nessuno dei singoli episodi raggiungerebbe da solo. È la logica della guerra cognitiva: logorare istituzioni e cittadini, alimentare la percezione di vulnerabilità, polarizzare il dibattito interno.
Cosa dovrebbero fare istituzioni e aziende
La lezione operativa è che la sicurezza delle persone esposte e quella dei sistemi informativi non possono più essere gestite in compartimenti separati. Alcune priorità:
- Riduzione dell’esposizione digitale dei vertici e delle figure sensibili: audit OSINT periodici, rimozione dei dati personali da data broker ed elenchi pubblici, attenzione ai familiari, spesso l’anello più esposto.
- Monitoraggio continuo di dark web e canali Telegram per intercettare in anticipo liste di obiettivi, leak e menzioni del proprio personale e della propria organizzazione.
- Integrazione tra security fisica e cyber: quando un dato personale finisce in una taglia, la risposta deve coinvolgere insieme SOC, protezione personale e forze dell’ordine.
- Preparazione alla gestione degli incidenti secondo i requisiti NIS2: tempi di notifica, coordinamento con CSIRT Italia e Polizia Postale, comunicazione verso stakeholder e pubblico.
- Formazione e consapevolezza del personale sulle tecniche di raccolta informativa e di ingegneria sociale che alimentano questo tipo di schedature.
La taglia contro Tajani, Lo Voi e Gabrielli è un segnale preciso: la pressione ibrida russa sull’Italia non si limita più a mettere fuori uso un sito per qualche ora, ma punta direttamente alle persone che rappresentano lo Stato. La risposta deve essere all’altezza di questo salto di qualità.
