Ogni volta che un collettivo con un nome da password debole pubblica qualcosa su Telegram, l’Italia scopre di essere sotto attacco.
Poi la settimana passa, i siti tornano su, nessuno sa cosa sia successo davvero e si riparte da capo al giro successivo.
Il problema di questo ciclo non è l’allarme in sé. È che dopo trent’anni di “al lupo” nessuno distingue più il lupo dal cane del vicino, e quando arriva quello vero lo trattiamo come l’ennesimo defacement.
Negli ultimi giorni il copione si è ripetuto con tre episodi che la stampa ha fuso in un’unica narrazione.
Vale la pena separarli, perché la distanza tecnica tra l’uno e l’altro è enorme, e la lezione operativa è diversa per ciascuno.
Primo episodio dell'”attacco hacker all’Italia”: niente hack, è un dossier
I dati di Antonio Tajani, del procuratore Francesco Lo Voi e del capo della Polizia postale Ivano Gabrielli sarebbero comparsi nel dark web per mano di NoName057(16), con una lista complessiva di diciotto bersagli non solo italiani.
La Procura di Roma ha aperto un fascicolo per accesso abusivo e minacce, con il Cnaipic al lavoro. Fin qui la cronaca.
Il dettaglio che conta, e che la cronaca ha trattato come colore, è un altro: gli autori avrebbero offerto denaro per ottenere numeri di telefono, email e informazioni sui familiari dei bersagli.
Questo non è il comportamento di chi ha bucato un sistema. Chi ha esfiltrato un database non mette una taglia su ciò che dovrebbe già avere.
È il comportamento di chi sta costruendo un dossier a partire da fonti aperte e chiede alla comunità di completarlo.
In gergo si chiama doxxing, ed è una tecnica di intimidazione, non di intrusione.
Il doxxing di ministri
La distinzione non è accademica. Un doxxing si costruisce con registri pubblici, vecchi leak aggregati, metadati di foto, profili social dei parenti, visure camerali, il curriculum che il bersaglio stesso ha pubblicato nel 2014.
Il “sistema informatico” violato, nella maggior parte dei casi, è la somma delle tracce che ciascuno di noi lascia per vent’anni senza ripulire nulla.
La domanda forense corretta non è “da dove è uscito il dato”, ma “il dato era già fuori, e da quanto“.
Sull’attribuzione, poi, Tajani ha fatto una cosa rara: ha distinto tra hacker filorussi e regia statale. Fa bene.
NoName057(16) è un collettivo con un tool di DDoS crowdsourced, DDoSia, che paga in criptovalute i volontari che prestano la banda; l’operazione Eastwood del 2025 ne ha smontato l’infrastruttura e in Italia ha portato all’arresto di cinque persone residenti qui, non a Mosca.
Gruppo allineato alla propaganda russa, certo. “Attacco della Russia”, invece, è una frase che richiede prove che nessuno al momento ha mostrato, e la differenza tra le due cose è la differenza tra un reato comune e un atto ostile tra Stati.
Chi la cancella per fare un titolo migliore sta facendo il lavoro del collettivo, che vive precisamente di quel titolo.
Secondo episodio: la rivendicazione sulla DIA
Un soggetto anonimo ha rivendicato la sottrazione di 220 MB di dati dalla Direzione investigativa antimafia (DIA), oltre trecento file, con richiesta di riscatto in Bitcoin o Monero.
Le fonti investigative, per ora, dicono che non risulta alcuna violazione dei sistemi protetti e che il materiale sarebbe quello già pubblicamente accessibile dal sito web.
Se confermato, il “furto” sarebbe un wget -r con una richiesta di riscatto in calce.
Scaricare un intero sito pubblico e ripresentarlo come bottino è banale: PDF di comunicati, relazioni semestrali, organigrammi, tutto materiale che la DIA pubblica perché è il suo lavoro pubblicarlo.
Il volume impressiona il lettore, non l’analista. 220 MB di documenti pubblici valgono esattamente zero, e il fatto che qualcuno chieda un riscatto per restituire al proprietario ciò che il proprietario distribuisce gratis dovrebbe far ridere, non spaventare.
Il punto però non è ridere. È che la rivendicazione è stata rilanciata prima di qualsiasi verifica, e da quel momento in poi la DIA si è trovata a dover smentire un attacco che forse non è mai esistito.
Una rivendicazione è un’ipotesi investigativa
Questo è il meccanismo che va rotto: una rivendicazione è un’ipotesi investigativa, non una notizia.
Finché non c’è la conferma della vittima o di un’autorità, la forma corretta è “il gruppo X sostiene di”, mai “la DIA è stata violata”.
Chi scrive il secondo titolo sta facendo marketing gratuito a un estorsore, e sta anche consumando la credibilità che servirà il giorno in cui la violazione sarà vera.
Tra l’altro, la verifica non è un mistero esoterico. Si chiede un campione. Inoltre, si controlla se nei file ci sia qualcosa che non è indicizzato da un motore di ricerca. Si guardano i metadati: date di creazione, autori, percorsi interni. Infine, si confronta con quanto già circola nei leak aggregati.
Mezz’ora di lavoro che separa un breach da un bluff, e che quasi nessuna redazione fa prima di pubblicare.
Terzo episodio: il Brennero, cioè l’incidente vero
Mentre tutti guardavano i ministri, la società BBT SE del tunnel di base del Brennero, ha confermato un accesso non autorizzato risalente a metà ottobre con esposizione parziale di dati raggiungibili online.
Le prime indagini puntano a Everest, un gruppo di estorsione con storia ransomware, non a NoName057(16).
La società ha isolato i sistemi, avviato analisi forensi con supporto esterno e segnalato alla Polizia postale di Bolzano.
Dichiara che la costruzione dell’opera non ha subito impatti; entità e profondità della compromissione restano da chiarire.
È l’unico dei tre episodi che somiglia a un incidente informatico nel senso tecnico, ed è quello con meno titoli. Eppure ha tutto ciò che dovrebbe preoccupare: infrastruttura transfrontaliera, attore che monetizza, tre settimane tra accesso e comunicazione pubblica, perimetro dei dati ancora indefinito.
Ma Everest non fa propaganda su Telegram, pubblica sul proprio leak site quando la trattativa fallisce, e non ha bisogno che si parli di lui: ha invece bisogno che si paghi.
Paradossalmente, la risposta di BBT è anche l’unica da manuale: contenimento, forensics, notifica all’autorità, comunicazione misurata senza negare e senza drammatizzare.
È il comportamento che la NIS2 chiede ai soggetti essenziali e che nella pratica si vede raramente. Se c’è qualcosa da imparare da questa settimana, è lì, non nei post dei collettivi.
Il costo di gridare “Al lupo, al lupo”
Mettere i tre casi nello stesso titolo ha un costo preciso. L’attenzione pubblica è finita; spesa su un DDoS da venti minuti o su una rivendicazione farlocca, ne resta meno per il breach industriale che ci metterà mesi a presentare il conto.
Gli hacktivisti lo sanno benissimo: il loro payload non è il traffico che intasa un sito, è l’articolo che ne parla. Infatti un DDoS fallito con titolo in prima pagina è un DDoS riuscito.
Per chi è esposto per ruolo, il doxxing va trattato come un incidente di sicurezza personale, con la stessa disciplina che si userebbe per un server. Ridurre l’impronta: cosa dicono di me i registri pubblici, le visure, i social dei familiari, le foto geolocalizzate di dieci anni fa.
Separare le identità: un numero e una mail per il ruolo istituzionale, altri per la famiglia, mai riciclati. Blindare l’operatore telefonico contro il SIM swap, perché il numero pubblicato nel dossier diventa il prossimo vettore.
Cambiare le risposte alle domande di sicurezza che ormai sono tutte nel dossier. E avvisare chi sta intorno, perché il bersaglio secondario di un dossier è sempre il familiare meno attento.
Per le organizzazioni, invece, la lezione è quella del Brennero: la differenza tra un incidente gestito e una crisi, la fa quello che si è preparato prima, non la velocità del comunicato dopo.
Per chi racconta queste cose, infine, il protocollo è di una semplicità imbarazzante.
Si dovrebbero porre quattro domande (chi conferma, con quali prove, il dato è nuovo o riciclato, il sistema è protetto o pubblico), prima di scrivere “attacco hacker”. Non le fa quasi nessuno, e ogni volta che non le facciamo regaliamo al lupo quello che voleva.
Resta una domanda sola. Quando il lupo arriverà davvero – e arriverà -, chi ci crederà?
Partecipa alla community