Nell’agosto 2026 Jabaroot diffonde dati attribuiti a 70.000 membri della sicurezza marocchina e li lega alla crisi di Ceuta. Ma non c’è prova di un’intrusione nei sistemi della DGST e parte dei dati sembra riciclata. Tra documenti spagnoli declassificati e possibile disinformazione, il leak diventa un caso di controspionaggio europeo…

Il collettivo hacker denominato “Jabaroot”.

Settantamila nomi, una frontiera esplosa in 48 ore, un servizio segreto che nega tutto. Il caso Jabaroot ha tutti gli ingredienti di un thriller che mischia la cybersecurity a trame geopolitiche. Peccato che la realtà, come spesso accade, è molto più sfumata della narrazione che circola online.

Il 24 agosto 2026, sui canali Telegram che portano il nome Jabaroot, compare un’enorme mole di dati personali: gli autori sostengono che appartengano a circa 70.000 membri delle forze di sicurezza e dell’intelligence marocchine, ovvero la Direction Générale de la Sûreté Nationale (DGSN) e la Direction Générale de la Surveillance du Territoire (DGST). Nomi, matricole, date di nascita, coordinate bancarie, a volte perfino il grado ricoperto.

Le Monde parla di 70.000 persone coinvolte. El País, però, guardando più da vicino i documenti, nota qualcosa di importante: la maggior parte dei nominativi non sembra appartenere a una rete di agenti segreti, ma a personale ordinario della sicurezza.

Ed è qui che la narrazione va corretta subito: parlare di “70.000 spie marocchine hackerate” è semplicemente fuorviante. Molti record sono vecchi, alcuni riguardano persone non più in servizio, altri persone decedute. Al momento non è certo che Jabaroot sia davvero penetrato nei sistemi della DGST.

Non è la prima volta: il precedente del 2025

Per capire perché le intelligence europee abbiano drizzato le antenne, bisogna tornare all’8 aprile 2025, quando il nome “Jabaroot DZ” finisce al centro di uno dei data breach più gravi mai registrati in Marocco: quello della Caisse Nationale de Sécurité Sociale (CNSS), con circa due milioni di iscritti coinvolti. La CNSS confermò l’attacco, Rabat parlò di “atto criminale” e coinvolse la magistratura. Telegram, da parte sua, chiuse il canale usato per diffondere i dati.

Nell’hacktivismo nordafricano le appropriazioni di identità sono la norma, non l’eccezione.

Ma attenzione: questo non significa che dietro ogni comparsa del marchio “Jabaroot” ci siano sempre le stesse persone. Le Monde aveva già notato, nel dicembre 2025, che dopo la chiusura dei primi canali erano spuntati nuovi account con lo stesso nome ma linguaggi diversi. Nell’hacktivismo nordafricano le appropriazioni di identità sono la norma, non l’eccezione.

Chi si nasconde dietro Jabaroot?

La prima volta, gli autori si autodefinirono “patrioti algerini”, incastonando l’attacco nella rivalità digitale tra Algeria e Marocco. Ovviamente è un dato che va preso con le pinze. Infatti, un’autoattribuzione, non equivale ad un’indagine forense indipendente.

Nell’agosto 2026 emerge una pista completamente diversa: secondo un’inchiesta di Le Monde, dietro l’ultima pubblicazione potrebbero esserci cinque ex membri della DGST, quattro ufficiali e un commissario, che sarebbero entrati in rotta di collisione con l’apparato e si sarebbero poi trasferiti in Europa. Sebbene sia un’indicazione giornalistica seria, non corrisponde ad un’attribuzione tecnica definitiva: lo stesso Le Monde aveva già ammesso di non avere elementi pubblici sufficienti per dimostrarla. Oggi la definizione più onesta resta: un attore, o un gruppo, che opera sotto il nome Jabaroot. Non si può escludere nemmeno un’operazione sotto falsa bandiera.

Rabat risponde: “Nessuna intrusione”

Dopo i fatti, il 27 agosto arriva la versione ufficiale marocchina: DGSN e DGST negano categoricamente qualsiasi violazione dei propri sistemi e sostengono che parte dei dati provenga da vecchi database assicurativi e sanitari contenenti informazioni sui dipendenti della sicurezza. Secondo Rabat, tra il materiale circolano anche immagini manipolate e documenti contraffatti. Ovviamente è stato dichiarata l’apertura di una indagine giudiziaria.

La versione del governo va presa per quello che è, non per un elemento di prova.

La versione del governo va presa per quello che è, non per un elemento di prova. Alcune analisi giornalistiche indipendenti hanno notato anomalie compatibili con un dataset riciclato, persone morte, ex dipendenti, un numero enorme di semplici agenti spacciati per “spie”. L’ipotesi più plausibile, al momento, è quella di un repackaging: dati rubati in precedenza, magari da più fonti, riorganizzati e rivenduti come il frutto di una nuova, clamorosa violazione dell’intelligence.

Il vero detonatore: Ceuta

A questo punto della storia non possiamo non parlare del punto che trasforma questa storia da “leak tecnico” a caso diplomatico. La pubblicazione arriva a meno di un mese da un evento drammatico: tra il 30 e il 31 luglio 2026, oltre 70.000 persone entrano irregolarmente a Ceuta dal Marocco, via terra e via mare (l’AFP parlò di circa 72.000). Morti, emergenza umanitaria, shock politico in Spagna. L’onda lunga di questa crisi ha scatenato dibattiti politici in tutta Europa.

In Italia, il fronte di destra ha puntato il dito contro la gestione spagnola della frontiera, presentando la crisi come conseguenza di politiche migratorie troppo permissive. La Premier ha guidato un’iniziale reazione europea che ha colpevolizzato la Spagna e il suo primo ministro Pedro Sánchez, accusato di non saper gestire la frontiera spagnola ed europea con il Marocco, permettendo l’arrivo di così tanti migranti. A tutto ciò si sono aggiunte azioni concrete. La misura più clamorosa è arrivata sul fronte Schengen: il Ministero dell’Interno italiano ha disposto la chiusura delle frontiere marittime e aeree con la Spagna in seguito ai fatti di Ceuta. Sul piano interno, alla decisione hanno dato pieno sostegno anche i due vicepremier Tajani e Salvini, esprimendo fiducia nell’operato del ministro dell’Interno Matteo Piantedosi, mentre lo stesso governo italiano ha dichiarato di essere pronto a intervenire.

L’Eco della vicenda ci è utile per comprendere l’evento e inserirlo in quadro più ampio e complesso del furto di dati. Il presunto collettivo hacker Jabaroot collega esplicitamente il leak a quella crisi, presentandolo come un messaggio all’Europa: il gruppo sostiene di possedere comunicazioni che proverebbero il coinvolgimento di funzionari marocchini nell’organizzazione dell’afflusso di migranti. El País ha documentato questa rivendicazione ma ad oggi non è stata dimostrata e non sono stati divulgati ulteriori documenti.

Cosa dicono davvero i documenti spagnoli declassificati

Qui la storia si fa concreta. Il 9 settembre Madrid ha reso pubblici 40 documenti del CNI, della Policía Nacional, della Guardia Civil e dell’intelligence militare, tutti risalenti al luglio 2026. Non sono indiscrezioni: sono atti ufficialmente declassificati e oggi rappresentano probabilmente la fonte più solida su cui ragionare.

Il 29 luglio, un giorno prima dell’ingresso di massa, il CNI individua sui social appelli a raggiungere Ceuta approfittando della Festa del Trono marocchina, lanciati da gruppi con circa 180.000 follower complessivi. Alle 13:52 l’informazione viene girata alla Delegazione del governo a Ceuta. Ma il dato più rilevante arriva alle 18:26 dello stesso giorno: il CNI avvisa direttamente DGST e DGED, le due principali strutture dell’intelligence marocchina, della possibilità di un tentativo di ingresso di massa. Reuters ha confermato questo scambio analizzando la documentazione.

Non sono indiscrezioni: sono atti ufficialmente declassificati.

Un fatto documentato, dunque, ma che non dimostra che Rabat abbia organizzato l’operazione. Dimostra solo che i servizi marocchini erano stati avvertiti in anticipo.

Alla frontiera: negligenza o regia?

Qui il quadro si complica. Una nota del CNI del 30 luglio, citata da Reuters, parla di una risposta marocchina non sufficientemente proattiva, con solo un intervento parziale di unità antisommossa incapaci di contenere la folla. Un rapporto del CENIF (Policía Nacional), trasmesso all’Audiencia Nacional e visionato da Le Monde, è ancora più duro: descrive una situazione di forte permissività da parte delle forze marocchine.

Il governo Sánchez frena: il 3 settembre, in Parlamento, il premier ha dichiarato che né i servizi spagnoli né canali diplomatici o internazionali hanno fornito elementi sufficienti per concludere che Rabat abbia pianificato l’accaduto. Anche la Commissione europea, lo stesso giorno, ha scelto la prudenza, rimandando la questione alle indagini spagnole in corso. Tuttavia tutti i servizi di sicurezza Europei stanno esaminando la documentazione trapelata.

La linea di demarcazione, quindi, è netta: ci sono prove di carenze e possibile passività nella gestione marocchina della frontiera; non ci sono prove pubbliche di una regia orchestrata da Rabat. Esattamente in questo spazio grigio Jabaroot inserisce la propria versione.

Sono i dettagli, non i grandi numeri, a interessare il controspionaggio.

Anche un dataset in gran parte “vecchio” può avere gran valore di intelligence. Il punto non è stabilire se l’intero archivio sia vero o falso in blocco, ma individuare le poche informazioni realmente nuove nascoste tra migliaia di record noti: un incarico aggiornato, un numero di conto, un trasferimento, un legame tra un’identità e un ufficio specifico. Sono i dettagli, non i grandi numeri, a interessare il controspionaggio. Se e come i servizi europei stiano incrociando questi dati con archivi propri, però, resta materia classificata.

L’ombra lunga di Pegasus

Il contesto è reso ancora più teso dal dossier Pegasus. Il Cyber Brief di CERT-EU del 3 agosto 2026 ha registrato, tra gli eventi di cyberespionaggio del mese, le rivelazioni giornalistiche secondo cui la DGST avrebbe usato lo spyware Pegasus contro politici, giornalisti e attivisti, con oltre 200 numerazioni spagnole e diversi bersagli francesi. Va detto che CERT-EU, attribuisce correttamente questa informazione alle inchieste giornalistiche, non a una propria verifica tecnica. Pegasus e Jabaroot restano due dossier distinti, senza alcun collegamento dimostrato, ma spiegano perché ogni dataset con nomi legati all’apparato marocchino venga oggi passato al setaccio con particolare attenzione in Europa.

Sul fronte strettamente cyber, la reazione pubblica è tutt’altro che clamorosa: nel Cyber Brief di agosto (pubblicato il 3 settembre), CERT-EU esamina 385 segnalazioni open-source ma non inserisce Jabaroot tra gli eventi principali del mese. Questo non significa che nessuno sta indagando. Significa che ad oggi non esiste una risposta europea coordinata. Su Ceuta, invece, l’Europa si muove eccome: il 9 settembre la Commissione ha stanziato 114,7 milioni di euro di assistenza d’emergenza per la Spagna, confermando il supporto operativo di Frontex, Europol e dell’Agenzia UE per l’asilo, sorveglianza di frontiera, telecamere termiche, droni subacquei, personale aggiuntivo, gestione dei rimpatri.

A questo punto possiamo concederci una riflessione su quanto sia cambiato il concetto stesso di “operazione cyber” e quanto queste possano impattare su diversi attori quando si mescolano ad argomenti e fatti caldi, come quello di Ceuta.