La società che costruisce la Galleria di Base del Brennero è stata colpita da un attacco informatico mirato. BBT SE, responsabile della progettazione e realizzazione del collegamento ferroviario tra Italia e Austria, ha confermato che soggetti non autorizzati hanno avuto accesso ad alcuni dati raggiungibili via Internet. Il gruppo di estorsione digitale Everest rivendica l’azione e sostiene di aver sottratto 812 GB di informazioni, una quantità per ora priva di conferma indipendente.
Il punto sensibile è quale documentazione sia effettivamente uscita. Disegni esecutivi, rilievi e procedure di cantiere potrebbero alimentare ricognizioni mirate e tentativi di compromissione successivi, se autentici, completi e aggiornati. BBT SE, però, ha comunicato all’ANSA il 7 novembre 2026 che, in base alle informazioni disponibili, l’incidente non ha avuto ripercussioni sulle attività operative: i sistemi interessati sono stati isolati, sono state avviate analisi forensi con specialisti esterni e sono state informate le autorità competenti.
Indice degli argomenti
Il quadro delle prove: l’attacco al Brennero è confermato, l’archivio no
L’intrusione risale, secondo le ricostruzioni pubblicate, a metà ottobre; la rivendicazione Everest viene collocata al 17 ottobre. Il caso è diventato pubblico il 6 novembre sulla stampa austriaca. Le quantità attribuite al bottino e la sua composizione richiedono una verifica distinta dalla conferma dell’accesso non autorizzato.
La sequenza del caso Brennero, secondo le ricostruzioni pubbliche
Attacco al Brennero: fatti, rivendicazioni e verifiche aperte
| Elemento | Stato delle informazioni al 7 novembre 2026 |
|---|---|
| Accesso abusivo ai dati | Confermato da BBT SE. L’azienda parla di informazioni raggiungibili tramite Internet; non ha descritto il vettore tecnico dell’intrusione. |
| Impatto sui lavori | Non rilevato da BBT SE. È la valutazione aziendale comunicata mentre gli accertamenti erano ancora in corso. |
| Responsabilità di Everest | Rivendicata, non attribuita ufficialmente. Le notizie riferiscono della pista Everest, ma nessuna autorità ha pubblicato un’attribuzione definitiva. |
| Volume di 812 GB | Dichiarato dal gruppo. L’entità reale dell’eventuale esfiltrazione e la corrispondenza con i file dell’azienda non sono state verificate in pubblico. |
| Circa 460.000 file | Conteggio non confermato. Non risulta diffuso da BBT SE un inventario che convalidi questo numero. |
| Disegni, rilievi e procedure | Tipologie da accertare. Manca una classificazione ufficiale del materiale consultato o sottratto, delle versioni e del livello di sensibilità. |
Fonti: dichiarazioni di BBT SE riportate da ANSA e ORF Tirol (6–7 novembre 2026); cifra di 812 GB riportata come rivendicazione da HuffPost. Il numero di 460.000 file e le categorie documentali non risultano convalidati da un inventario pubblico della società.
L’affermazione secondo cui l’intero archivio sarebbe già pubblico va quindi trattata con particolare cautela. I riscontri disponibili documentano la rivendicazione e la minaccia di diffusione, ma non permettono di certificare la pubblicazione integrale dei file né l’autenticità di ogni documento circolato. L’eventuale possesso di materiale da parte degli estorsori e la sua disponibilità a terzi sono due fatti diversi.
Perché progetti e rilievi potrebbero avere valore per un aggressore
Un grande progetto ferroviario produce file di ingegneria, rilievi e documentazione per il coordinamento di imprese, progettisti e fornitori. Se alcuni di quei file sono riservati e attuali, la loro esposizione può fornire conoscenza tecnica che richiederebbe tempo e risorse per essere ricostruita dall’esterno. Il valore del materiale dipende dalle revisioni, dalla precisione, dal contesto e dalla corrispondenza con i lavori realmente eseguiti.
Anche una fuga che lasci intatti i sistemi informatici può avere un seguito: un truffatore potrebbe sfruttare nomi, progetti o procedure per rendere più credibili comunicazioni fraudolente dirette alle imprese della filiera. Un altro rischio è che informazioni tecniche vengano combinate con dati pubblici o reperiti altrove per orientare ulteriori attività di intelligence. Si tratta di scenari di rischio, non di azioni che siano state osservate nel caso BBT SE.
Il rischio maggiore potrebbe derivare proprio dalla correlazione di informazioni provenienti da documenti differenti: elaborati progettuali, dati di manutenzione e procedure operative potrebbero consentire a un soggetto ostile di ricostruire caratteristiche e dipendenze dell’infrastruttura. Questa conoscenza avrebbe un valore di intelligence anche senza disporre di accessi ai sistemi di controllo o di capacità per intervenire direttamente sul funzionamento della galleria.
Quali verifiche cambiano davvero la valutazione del rischio dipende dal tipo di documento e dal suo aggiornamento. Le tre categorie seguenti aiutano a separare l’utilità potenziale di un archivio dalla prova di un pericolo attuale.
Progetti, rilievi topografici e documentazione strutturale
Possono descrivere lo stato previsto o rilevato dell’opera. Prima di valutarne la sensibilità occorre distinguere bozze da elaborati approvati, verificare le revisioni e capire se riguardino strutture effettivamente realizzate. Non costituiscono di per sé prova dell’esistenza di punti vulnerabili o di un piano di sabotaggio.
Procedure operative e documentazione di cantiere
Se autentiche e tuttora adottate, possono offrire contesto su ruoli, passaggi autorizzativi e flussi tra aziende. La verifica difensiva riguarda soprattutto chi le usa, chi può accedervi e quanto siano ancora valide; in caso di esposizione, vanno rivisti accessi e procedure interessate.
Informazioni su comunicazione e monitoraggio
Potrebbero aiutare a comprendere le dipendenze tra attività di costruzione, fornitori e sistemi tecnici. Per stabilire se esista un rischio cyber concreto servono prove di sistemi in uso, configurazioni attuali e possibilità effettive di accesso non autorizzato, che ad oggi non sono state rese pubbliche.
Un furto di informazioni non dimostra la possibilità di sabotare la galleria del Brennero
La distinzione decisiva è fra conoscere elementi di un’infrastruttura e poter intervenire sui suoi sistemi. Per comprometterne un processo operativo servirebbero condizioni ulteriori, come accessi effettivamente disponibili e debolezze utilizzabili in ambienti reali. Non sono state presentate prove pubbliche di queste condizioni nel caso Brennero. Non risultano evidenze di accessi ai sistemi industriali né di manipolazione delle funzioni di controllo della galleria.
Dal dato sottratto al possibile danno: quattro livelli da tenere distinti
C’è anche un elemento temporale. La Galleria di Base del Brennero non è ancora aperta al traffico ferroviario. BBT SE ha annunciato nel comunicato del 21 ottobre 2026 la previsione di entrata in esercizio nel 2034 e un costo a vita intera di circa 11,7 miliardi di euro, dopo l’aggiornamento del progetto tecnologico e delle soluzioni di sicurezza. Vecchi elaborati potrebbero quindi descrivere una configurazione diversa da quella definitiva: la verifica delle versioni è parte integrante della risposta al possibile furto.
Everest è russofono: quali prove ci sono sulla matrice dell’attacco
Il nome Everest compare nelle ricostruzioni di ORF Tirol e del Tiroler Tageszeitung. È un gruppo criminale di lingua russa noto per estorsioni digitali, descritto dalla società di threat intelligence ZeroFox in un rapporto del 6 febbraio 2026 come un attore che combina ransomware, sottrazione di dati e altre forme di monetizzazione degli accessi. La stessa analisi segnala una tendenza del gruppo a esagerare quantità e sensibilità del materiale rivendicato, talvolta fino a presentarne in modo non attendibile la provenienza.
La lingua e l’ecosistema criminale in cui opera Everest non sono una prova di direzione da parte dello Stato russo. Non risultano elementi pubblici sufficienti per attribuire questo episodio al governo di Mosca o per collegarlo ad altre campagne contro infrastrutture europee. La rivendicazione non sostituisce un’attribuzione tecnica da parte degli investigatori. Inoltre, per BBT SE non è stata confermata una cifratura dei sistemi: parlare di estorsione digitale con possibile esfiltrazione è più preciso che descrivere come accertato un ransomware capace di bloccare il cantiere.
In un contesto europeo caratterizzato da un’intensificazione delle attività ostili e da campagne riconducibili alla guerra ibrida, è importante non cadere nella tentazione di ricondurre automaticamente ogni attacco informatico a un’unica strategia o a un mandante statale. La coincidenza temporale, la natura strategica dell’obiettivo e la matrice geografica o linguistica degli attori non costituiscono, da sole, prove di un coordinamento: distinguere il cybercrime dalle operazioni di intelligence e dalle attività di influenza è essenziale per evitare attribuzioni affrettate e valutazioni di minaccia distorte.
Il precedente Stadler e il rischio della filiera ferroviaria
Un precedente del luglio 2026 offre un confronto concreto. Il costruttore svizzero Stadler Rail dichiarò che il gruppo Everest aveva chiesto 10 milioni di franchi svizzeri di riscatto dopo che credenziali compromesse avevano permesso l’accesso a una piattaforma di scambio dati con un fornitore. Secondo il comunicato Stadler riprodotto da LOK Report il 21 luglio, i sistemi interni dell’azienda e la produzione erano rimasti indenni e il materiale riguardava informazioni tecniche del fornitore, giudicate non rilevanti per la sicurezza.
Quel caso mostra come la documentazione condivisa possa diventare un obiettivo anche senza fermare un’attività industriale. Non permette però di dedurre che l’attacco al Brennero abbia seguito lo stesso percorso: BBT SE non ha indicato il punto di ingresso, i permessi violati o eventuali fornitori coinvolti.
Le verifiche urgenti per BBT SE, appaltatori e operatori
Le priorità difensive dipendono dai risultati dell’indagine, ma non richiedono di attendere la piena pubblicazione del presunto archivio. Il primo passo è mettere in relazione i documenti potenzialmente compromessi con chi li utilizza e con i sistemi ancora attivi, senza diffondere ulteriormente materiale riservato. Le contromisure pratiche riguardano sia i dati sia i rapporti con i fornitori.
- Classificare il materiale: ricostruire quali repository siano stati accessibili, verificare i file effettivamente esposti e distinguere versioni obsolete, esecutive e operative.
- Ridurre il rischio di nuovi accessi: riesaminare account, sessioni, permessi e collegamenti esterni dei repository interessati; revocare credenziali potenzialmente compromesse e applicare autenticazione forte.
- Verificare la separazione fra ambienti: controllare che la violazione documentale non abbia coinvolto account o collegamenti condivisi con sistemi di produzione, monitoraggio e gestione tecnica.
- Allertare la filiera: coordinare imprese, progettisti e manutentori contro richieste false, messaggi apparentemente interni e riutilizzo improprio di documenti.
- Aggiornare il rischio fisico e cyber: esaminare con i responsabili della sicurezza quali informazioni, se davvero divulgate, richiedano una revisione delle autorizzazioni o delle procedure vigenti.
Sul piano normativo la direttiva europea NIS2 include nel settore trasporti, fra gli altri, i gestori delle infrastrutture ferroviarie. La sua applicazione concreta a una società di progetto in fase di costruzione va però verificata alla luce dell’attività svolta e delle norme nazionali pertinenti. BBT SE dichiara di aver informato le autorità competenti, senza rendere pubblici i dettagli degli adempimenti.
Il punto da chiarire nelle prossime comunicazioni è circoscritto: quali file siano stati realmente sottratti, quanto siano attuali e chi possa ancora utilizzarli. Da queste risposte dipenderà la differenza tra un grave incidente di riservatezza documentale e un rischio che richieda ulteriori interventi di sicurezza sull’infrastruttura. Fino ad allora la costruzione prosegue, secondo BBT SE, senza impatti operativi rilevati.
Partecipa alla community