Frigoriferi dei supermercati spenti a distanza, celle del plasma impostate a 110 gradi, 35 falsi allarmi bomba sui voli europei. In un mese l’Europa è diventata il bersaglio di una guerra ibrida. Il 9 novembre la rivendicazione di un furto di file alla DIA, poi ridimensionata. Per Antonio Nicaso, in esclussiva per DarkSide, bisogna «seguire anche i dati».

Alcune addette alle vendite di un supermercato svuotano i banchi frigo dopo il blocco dei sistemi di refrigerazione causato dagli attacchi hacker che hanno colpito la grande distribuzione europea.

In meno di un mese l’Europa ha visto i frigoriferi di centinaia di supermercati spegnersi a distanza, le celle che conservano il plasma della Francia impostate a 110 gradi, decine di aerei di linea deviati per bombe che non c’erano, i dati personali di ministri e magistrati messi in circolo sul dark web. Lunedì 9 novembre si è aggiunto il caso più delicato per l’Italia: la rivendicazione di un presunto furto di file alla Direzione investigativa antimafia, poi ridimensionata dalle prime verifiche.

Tutti questi episodi, non sono stati collegati ufficialmente e non sono ovviamente riconducibili ad un unico attore. Il quadro che emerge è quello di una guerra ibrida: azioni a basso costo, difficili da attribuire, pensate per seminare paura, consumare risorse e incrinare la fiducia nelle istituzioni. Oggi, martedì 10 novembre, il Viminale riunisce il Comitato nazionale per l’ordine e la sicurezza pubblica, mentre a Parigi i ministri degli Esteri del G7 discutono della minaccia su richiesta italiana.

Il caso DIA: l’antimafia nel mirino

La mattina del 9 novembre sui social compare una rivendicazione: un utente che si firma ‘weykofa’ sostiene di aver sottratto agli archivi della Direzione investigativa antimafia circa 300 file, oltre 220 megabyte, e li mette in vendita sul dark web chiedendo un riscatto in bitcoin. Secondo quanto circolava online, il pacchetto avrebbe contenuto informazioni su oltre venti gruppi della criminalità organizzata, atti d’indagine, statistiche interne, dati sul personale, documenti finanziari e corrispondenza con Europol e con l’Unione europea.

Intorno alle 11:00 abbiamo avuto conferma delle verifiche avviate dai tecnici della DIA. In giornata arriva il primo ridimensionamento: fonti vicine al dossier riferiscono che non risulta alcun attacco ai sistemi protetti. Secondo gli accertamenti svolti fino a quel momento, sarebbe stato acquisito soltanto il contenuto del sito internet pubblico della Direzione, senza esfiltrazione di dati riservati.

Il nodo, dunque, è la natura di quei file: materiale già pubblico spacciato per bottino, o documenti non destinati alla diffusione. Nel primo caso si tratterebbe di una truffa o di un’operazione di intimidazione; nel secondo, di una violazione gravissima. Non è la prima volta che la DIA finisce nel mirino: all’inizio del 2025 il collettivo filorusso NoName057(16) aveva inserito il suo sito tra i bersagli di una campagna di attacchi Ddos, che però non sottraggono dati.

Anche ridimensionato, l’episodio pesa per il momento in cui arriva: alla vigilia del vertice del Viminale e di una riunione delle polizie europee convocata da Europol, e mentre sul dark web circolano richieste di dati sul ministro degli Esteri Antonio Tajani, sul procuratore di Roma Francesco Lo Voi e sul capo della Polizia postale Ivano Gabrielli. Colpire, o anche solo fingere di colpire, l’organismo che custodisce i segreti delle indagini sulle mafie significa toccare un nervo scoperto dello Stato.

La cronistoria: un mese di attacchi

• Notte tra l’11 e il 12 ottobre
  In Francia vengono manomessi da remoto i sistemi di refrigerazione di circa 700 supermercati. Le centraline, in gran parte del produttore danese Danfoss e spesso datate, vengono mandate in sbrinamento forzato: temperature fino a 50 gradi, tonnellate di cibo da buttare, danni stimati in decine di milioni di euro. La Procura di Parigi apre un’indagine.
• Notte tra l’1 e il 2 novembre
  Colpite le celle frigorifere di tre sedi dell’Établissement français du sang (EFS), l’ente pubblico delle trasfusioni, attraverso il fornitore Coolworld. La temperatura impostata passa da -30 a 110 gradi, ma un tecnico di turno interviene in tempo: plasma e campioni non vengono danneggiati e sono trasferiti altrove.
• 2 novembre
  Nuova ondata sui frigoriferi dei supermercati in mezza Europa: Italia (Sicilia e Toscana), Belgio, Germania, Irlanda, Paesi Bassi, Portogallo, Estonia, Finlandia, Svezia. Lo stesso giorno in Italia arrivano falsi allarmi bomba a numerose scuole.
• 3 novembre
  I collettivi filorussi NoName057(16) e Z-Pentest rivendicano con un video gli attacchi ai frigoriferi. Esperti e intelligence italiana li considerano attori di basso livello e dubitano dell’autenticità.
• 3–6 novembre
  Eurocontrol registra 35 falsi allarmi bomba su voli europei: 7 il 3, 14 il 5 e 14 il 6 novembre. Coinvolti Italia, Francia, Polonia, Austria, Bulgaria, Romania, Repubblica Ceca, Danimarca. Aerei deviati e ispezionati, alcuni scortati da caccia militari. Le email arrivate a Fiumicino e Malpensa, scritte in italiano, sono firmate “Stato Maschile” o “Mikhail Andropov”.
• Inizio novembre
  A Montecitorio vengono violate le caselle email di tre deputati, tra cui quella di Giorgia Meloni (da premier ne usa un’altra). Il 6 novembre in Irlanda vengono evacuate le redazioni di RTÉ, Irish Independent e Newstalk per minacce via email.
• 7 novembre
  Il Financial Times riferisce che per le intelligence europee i falsi allarmi sui voli hanno matrice russa. Tajani denuncia che i suoi dati sono sul dark web e che gli hacker cercano informazioni sui familiari. Segnalato un cyberattacco alla Galleria del Brennero.
• 8 novembre
  Piantedosi convoca il Comitato nazionale per l’ordine e la sicurezza pubblica per il 10 novembre.
• 9 novembre
  La rivendicazione del presunto furto di file alla DIA, poi ridimensionata. A Parigi la procuratrice Laure Beccuau apre un’inchiesta sul capo di Shahid Kaveh, unità cyber dei pasdaran iraniani, ritenuta dietro l’attacco di ottobre ai supermercati. Si apre il G7 Esteri di Parigi. La Procura di Milano contesta anche la pubblica intimidazione per i falsi allarmi sui voli.
• 10 novembre
  Vertice al Viminale con polizia, intelligence ed esperti cyber. Seconda giornata del G7.

Le dinamiche: colpire dove fa più paura, spendendo poco

Gli episodi sono diversi tra loro, ma condividono alcuni tratti.

Bersagli quotidiani, non militari. Il cibo nei supermercati, il sangue per le trasfusioni, i voli di linea, le scuole, le redazioni dei giornali. Sono obiettivi scelti per toccare la vita di tutti i giorni e generare ansia, più che per causare vittime.

Porte lasciate aperte. Gli attacchi ai frigoriferi non hanno richiesto capacità straordinarie. Gli hacker hanno sfruttato centraline collegate a internet per la gestione remota, spesso vecchie e senza aggiornamenti di sicurezza, in molti casi protette da credenziali deboli. Ricercatori di cybersicurezza hanno rilevato attività di scansione su questi sistemi nei giorni precedenti l’ondata di novembre. L’Acn ha invitato la grande distribuzione a verificare i propri impianti e i collegamenti con i fornitori.

Effetto moltiplicatore. Un’email anonima basta a far deviare un aereo, far decollare i caccia, mobilitare artificieri e procure. Secondo fonti governative, l’obiettivo è proprio questo: costringere gli apparati a impiegare più risorse di quelle disponibili. Anche un furto di dati non avvenuto, come sembra nel caso DIA, produce allarme, verifiche e titoli.

Nebbia sull’attribuzione. Le rivendicazioni arrivano da gruppi filorussi considerati di basso profilo, le email sono firmate da sigle che smentiscono, i messaggi partono da caselle compromesse o servizi anonimi come Proton Mail. La Francia punta ora sull’Iran. Il ministro della Difesa Guido Crosetto ha parlato di “guerra sotto soglia”, costruita apposta per non poter essere attribuita con certezza.

Dati come arma. I dossier sui vertici istituzionali, la caccia alle informazioni sui familiari di Tajani, la rivendicazione contro la DIA: l’informazione stessa diventa strumento di pressione e intimidazione.

Il contesto: la guerra ibrida contro l’Europa

Con “guerra ibrida” si intende un insieme di azioni ostili che restano sotto la soglia del conflitto armato: attacchi informatici, sabotaggi, disinformazione, intimidazioni, uso di intermediari criminali. Lo scopo non è conquistare territorio ma logorare un avversario, dividerne l’opinione pubblica e mettere in dubbio la capacità dello Stato di proteggere i cittadini.

L’Unione europea indica da tempo nella Russia il principale attore statale di questa minaccia, spesso tramite reti di intermediari. Il ministro degli Esteri Tajani ha detto che “qualcosa ci porta a guardare a Est”, pur distinguendo l’attività di gruppi filorussi da un coinvolgimento diretto di Mosca. Altre figure dello stato hanno allargato il campo a Russia, Cina e Iran. La Francia, per l’attacco di ottobre ai supermercati, ha indicato i pasdaran iraniani e ha convocato l’ambasciatore di Teheran. L’ambasciata russa a Roma ha risposto con un post ironico, offrendo la collaborazione del centro dell’Fsb per gli incidenti informatici.

I numeri italiani confermano la pressione. Secondo l’Agenzia per la cybersicurezza nazionale, nei primi nove mesi del 2026 gli eventi cyber rilevati sono stati 3.271, già più dei 2.729 dell’intero 2025, con 1.992 incidenti dall’impatto confermato. Il Csirt Italia ha individuato quasi 45 mila asset e servizi a rischio, oltre 3.200 dei quali potenzialmente compromessi.

Tutto questo scenario implica una riflessione. È in questo quadro, infatti, che il presunto attacco alla DIA acquista un significato diverso. Quando i confini tra criminalità informatica, estorsione e destabilizzazione politica si confondono, anche gli archivi dell’antimafia diventano un possibile bersaglio strategico. Un altro scenario possibile è quello di una operazione sotto falsa bandiera o anche di una operazione criminale che approfitta del contesto caotico dal punto di vista cyber.

La reazione dell’Europa e dell’Italia

In Europa

• Francia. È il primo Paese ad aprire un’inchiesta giudiziaria sugli attacchi alla catena del freddo e ad attribuirli a uno Stato: nel mirino il capo dell’unità cyber Shahid Kaveh, legata ai Guardiani della rivoluzione iraniani, e i suoi due vice. Il ministro degli Esteri Jean-Noël Barrot ha parlato di una campagna di estrema gravità e convocato l’ambasciatore iraniano.
• Unione europea. L’Alta rappresentante Kaja Kallas ha annunciato che la guerra ibrida sarà al centro del prossimo Consiglio Affari esteri, avvertendo che, in caso di attribuzione, la risposta dovrà essere forte. Il commissario all’Agricoltura Christophe Hansen ha definito gli attacchi ai supermercati un tentativo deliberato di colpire la filiera alimentare. Il commissario ai Trasporti Apostolos Tzitzikostas ha assicurato che il traffico aereo resta pienamente operativo. Il tema sarà anche sul tavolo dei leader europei a Dublino a fine settimana.
• Spagna. Il ministro degli Esteri José Manuel Albares ha parlato di aggressione ibrida e guerra psicologica.
• Cooperazione investigativa. Le intelligence europee lavorano insieme sui falsi allarmi; Europol ha convocato in settimana le forze di polizia dei Paesi colpiti.

In Italia

• Farnesina. Su richiesta di Tajani la minaccia ibrida è entrata nell’agenda del G7 Esteri di Parigi del 9 e 10 novembre. Il ministro ha chiesto un segnale forte e unitario e ha ottenuto che il tema venga discusso anche a Bruxelles.
• Viminale. Oggi il Comitato nazionale per l’ordine e la sicurezza pubblica esamina i sistemi ancora vulnerabili, nuovi protocolli per le infrastrutture critiche, la protezione delle reti scolastiche e le piste investigative. Piantedosi ha precisato che la convocazione non segnala un’emergenza in atto.
• Indagini. L’Acn ha inviato informative alla Procura nazionale antimafia e antiterrorismo, che coordina gli uffici distrettuali. Sui falsi allarmi indagano le procure di Milano, che contesta anche la pubblica intimidazione, e di Busto Arsizio; la Procura di Roma indaga sui dati di Tajani e Gabrielli finiti nel dark web.
• Parlamento. È in fase avanzata al Senato il disegno di legge che riorganizza la Difesa in chiave cyber, affidando al capo di Stato maggiore il ruolo di autorità cyber militare; il voto in Aula è atteso a dicembre.
• Palazzo Chigi. La presidente del Consiglio Giorgia Meloni ha detto che gli attacchi devono preoccupare, ammettendo che non è ancora possibile stabilire se gli episodi siano collegati.

Nicaso a DarkSide: «Seguire il denaro non basta, bisogna seguire i dati»

Antonio Nicaso, tra i maggiori studiosi delle organizzazioni criminali, legge il caso DIA dentro questo scenario. Ecco la sua analisi, rilasciata in esclusiva a DarkSide – Storia segreta d’Italia.

“Al di là di quanto sarà accertato sul presunto hackeraggio dei dati della Direzione investigativa antimafia, l’attuale scenario conferma l’importanza di ciò che ho sostenuto durante una conferenza alle Nazioni Unite organizzata dalla Fondazione Magna Grecia: seguire il denaro resta indispensabile, ma bisogna seguire anche i dati. È questo il senso del «follow the flow», un approccio che estende l’attenzione dai flussi finanziari a quelli informativi, nella consapevolezza che il controllo delle informazioni può diventare uno strumento di potere e di condizionamento delle istituzioni.

La sfida è prevenire il rischio che l’uso ostile dei dati alimenti forme sempre più insidiose di guerra ibrida, nelle quali gli interessi criminali possono intrecciarsi con strategie di destabilizzazione. La loro pericolosità risiede anche nella capacità di colpire senza un’aggressione immediatamente riconoscibile, sfruttando le vulnerabilità dei sistemi per compromettere il funzionamento delle istituzioni e la fiducia nei loro confronti.

Per questo la protezione dei dati deve essere considerata, sempre più, una questione di sicurezza nazionale, con una responsabilità politica che non può essere delegata soltanto agli specialisti informatici. Non è possibile permettersi ulteriori indugi, perché aspettare che il danno si manifesti significa lasciare l’iniziativa a chi vuole colpire obiettivi sensibili”.