Un’ondata di attacchi informatici ha colpito l’Italia e l’Europa, con servizi di refrigerazione esposti in 99 Paesi e minacce di divulgazione dati su figure considerate nemiche di Mosca. La pista russa è la più battuta, ma le prove non sono definitive e altre ipotesi non sono escluse. Gli investigatori seguono diverse tracce, tra cui il gruppo filorusso NoName057(16) e l’organizzazione Everest, mentre il governo italiano parla di guerra ibrida e il vicepremier Antonio Tajani ne parlerà al G7 di Parigi.
La pista russa e il gruppo NoName057(16)
La pista russa è la più citata dagli investigatori, con il nome che ricorre spesso: NoName057(16), un collettivo filorusso attivo dal 2022 e noto per attacchi DDoS ai siti istituzionali italiani. Secondo l’intelligence italiana, il suo network è dietro la “taglia” sui dati di 18 persone considerate nemiche di Mosca, tra cui il vicepremier Antonio Tajani, il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. La scelta dei bersagli ha una logica: Lo Voi e Gabrielli hanno seguito l’operazione Eastwood, coordinata da Eurojust, che portò a cinque mandati d’arresto internazionali contro cittadini russi.
Le rivendicazioni non sono sempre tempestive
Il 4 novembre, NoName, insieme al gruppo Z-Pentest, ha rivendicato in un video anche gli attacchi ai frigoriferi. Tuttavia, il video è comparso oltre tre settimane dopo il primo attacco francese del 12 ottobre, mentre il collettivo di solito rivendica subito. Gli investigatori ipotizzano che la rivendicazione possa essere autentica ma tardiva, un’appropriazione opportunistica di un’azione altrui o un’esca lanciata da terzi per vedere chi reagisce. Per ora nessuna ipotesi è provata.
Le email dei falsi allarmi e il movimento russo
Le email dei falsi allarmi bomba erano firmate “Combattenti dello Stato Maschile”, sigla che richiama il movimento russo ultranazionalista e misogino Male State, fondato da Vladislav Pozdnyakov. Tuttavia, Pozdnyakov nega ogni coinvolgimento e un canale Telegram collegato al gruppo ha risposto al servizio russo della BBC con tono di scherno, sostenendo che il movimento non esiste più da anni. Che il nome sia stato scelto per depistare o sfruttato da qualcun altro è una domanda aperta.
Le altre ipotesi non sono escluse
Nonostante la pista russa sia la più battuta, gli inquirenti non escludono altre ipotesi. Il gruppo Everest, definito filorusso e specializzato nel furto di dati, è stato indicato come possibile responsabile degli attacchi sul Brennero, ma è principalmente un’organizzazione dedita alle estorsioni, attiva dal 2020. I siti che monitorano le violazioni riportano una sua rivendicazione sulla società del tunnel già il 17 ottobre, con un archivio da 812 gigabyte e la minaccia di pubblicarlo se la trattativa fallisse. Se fosse confermato, il caso sarebbe nato come ricatto e non come tassello di una campagna politica. Il Cert francese ha confermato la compromissione di controllori Danfoss e Copeland raggiungibili da internet, e il direttore dell’agenzia ANSSI, Vincent Strube, ha parlato in Senato di difetti di sicurezza elementari e password deboli. Secondo Forescout, sono quasi 13mila i servizi di refrigerazione esposti in 99 Paesi. L’esperto Fredrik Blix osserva che il silenzio degli attaccanti esclude i gruppi ransomware: restano un attacco fatto “perché si poteva” o il tentativo di seminare inquietudine nei Paesi che sostengono l’Ucraina.
