Guerra ibrida: dai frigoriferi agli allarmi bomba, anatomia di una strategia del caos. VIDEOGRAFICA
Dal 12 ottobre centinaia di supermercati in Francia, Italia e altri otto Paesi europei hanno avuto i frigoriferi spenti da remoto. Il 4 novembre è toccato alle celle per gli emoderivati dell’ente francese del sangue. Nelle stesse ore 271 scuole italiane hanno ricevuto falsi allarmi bomba, e decine di voli europei sono stati deviati o scortati dai caccia per minacce via email. Nessun ordigno trovato. Due gruppi filorussi rivendicano i frigoriferi. Mosca nega.Gli episodi sembrano diversi. Il meccanismo è lo stesso: costo minimo per chi attacca, costo massimo per chi si difende.
L’ATTACCO AI FRIGORIFERI
Per quel che riguarda i frigoriferi, non serve un virus. Serve un pannello di controllo lasciato su internet. I banchi frigo dei supermercati sono gestiti da centraline che permettono ai tecnici di regolarli a distanza. Quelle coinvolte sono soprattutto della danese Danfoss (serie AK-SM 800 e i vecchi AK-SC) e, secondo il CERT francese, dei sistemi XWEB di Dixell e Copeland. Molte sono collegate alla rete senza VPN né separazione dal resto dell’impianto.
Ecco come funziona, schematicamente, l’attacco nella ricostruzione operata dagli analisti:
Motori di ricerca come Shodan e Censys catalogano i dispositivi connessi. Per le sole AK-SM 800A, Censys ne conta 2.765 raggiungibili dall’esterno. Le password di fabbrica non sono quasi mai cambiate, oppure esistono delle falle ai sistemi di sicurezza ormai note. Il 20 ottobre i ricercatori di Claroty hanno pubblicato tre vulnerabilità delle centraline Danfoss: la più grave consiste in una password nascosta, generata ogni giorno a partire dalla data. Chi ricostruisce l’algoritmo, e non è poi così difficile, entra come amministratore. Danfoss ha rilasciato la correzione, ma molti impianti non sono aggiornati o non sono più aggiornabili.
L’attacco non consiste nello spegnimento dei frigoriferi. Gli hacker modificano lo sbrinamento, trasformandolo da ciclo breve a riscaldamento continuo, fino a 50 gradi. Poi allungano il tempo prima che scatti l’allarme. Gli attacchi avvengono intorno alle 4 di notte, a negozi chiusi. In alcuni impianti la temperatura è salita per sei ore senza che nessuno se ne accorgesse. Il risultato: merce da buttare, nessuna traccia di malware, nessun dato rubato. Solo un danno fisico prodotto con i comandi legittimi del sistema.
GLI ALLARMI BOMBA
Parlando di attacchi bomba, la tecnologia conta ancora meno. E’ sufficiente l’invio di email in serie a scuole, aeroporti, compagnie aeree e redazioni, da caselle anonime o da profili cifrati: con l’avvento delle AI, queste procedure sono sempre più semplici da gestire. I mittenti cambiano ogni volta: Pasdaran iraniani, ministero dell’Istruzione egiziano, il movimento russo “Stato Maschile”, un certo “Mikhail Andropov”. La firma più ricorrente, “Stato Maschile”, è un movimento russo fondato da Vladislav Pozdnyakov, già condannato per incitamento all’odio. La stessa sigla era comparsa nel 2022 in Montenegro, su falsi allarmi accompagnati da richieste politiche sulla Russia. Un account Telegram legato al gruppo ha però negato le email del 5 novembre. Ogni firma apre una pista diversa e confonde l’attribuzione.
Ogni minaccia attiva il protocollo: evacuazione, artificieri, voli deviati, caccia in volo. Il 5 novembre Eurocontrol ha contato 14 voli coinvolti su circa 26.300: lo 0,05 per cento.
Una mail alle redazioni rivendica le minacce e annuncia nuovi obiettivi: navi, metropolitane, treni. In Irlanda vengono evacuate le sedi di RTE e Newstalk.
Costo per chi attacca: quasi zero. Costo per chi si difende: ore di lavoro, evacuazioni, voli cancellati, personale mobilitato, paura.
CHI SONO GLI AUTORI?
Il fronte cyber russo è strutturato, sostanzialmente, in due livelli. Più in alto, le unità collegate ai Servizi: Sandworm e APT28 del GRU, Berserk Bear dell’FSB. Fanno poche operazioni, mirate e distruttive. Più in basso, i gruppi “hacktivisti”: rumorosi, rivendicano tutto, permettono a Mosca di negare.
NoName057(16). Attivo dal marzo 2022. Specialità: attacchi DDoS, cioè siti sommersi di richieste fino a renderli irraggiungibili. Lo strumento è DDoSia, distribuito su Telegram a volontari pagati in criptovalute. In Italia ha colpito Malpensa nel 2024 e la Guardia di Finanza nel 2025. Nel luglio 2025 l’operazione Eastwood di Europol ha spento oltre 600 server. Il gruppo è tornato attivo.
Z-Pentest. Nato nel settembre 2024 da membri di NoName057(16) e del Cyber Army of Russia Reborn (CARR). Fa un lavoro diverso: entra nei sistemi industriali esposti, spesso con password di fabbrica. Negli Stati Uniti CARR ha manomesso acquedotti e un impianto alimentare a Los Angeles. È il profilo più compatibile con i frigoriferi.
I LEGAMI CON LO STATO
Nel dicembre 2025 il Dipartimento di Giustizia americano ha sostenuto che CARR è stato fondato, finanziato e diretto dal GRU. Per NoName057(16) parla di un progetto “autorizzato dallo Stato”, con membri dipendenti di un ente creato per decreto presidenziale. Washington offre fino a 10 milioni di dollari per informazioni.
GLI ESECUTORI
Sul terreno, le operazioni ibride usano “agenti usa e getta”: giovani, migranti, piccoli criminali reclutati su Telegram. Pagamento spesso in criptovalute; nel caso dei pacchi incendiari del 2024, furono pagati circa 960 dollari a spedizione. Spesso non sanno per chi lavorano. Questo rende l’attribuzione molto difficile.
LE INDAGINI
Nessun responsabile identificato. Nessun collegamento accertato tra frigoriferi e allarmi bomba. La premier Meloni lo ha detto il 6 novembre: non è chiaro se gli episodi siano connessi. Per gli allarmi sui voli, la Procura di Roma ha aperto un fascicolo contro ignoti per procurato allarme, sotto il coordinamento della Procura nazionale antimafia e antiterrorismo. Sui frigoriferi lavorano Polizia Postale e Agenzia per la cybersicurezza nazionale (ACN). Il direttore dell’ACN è stato sentito dal Copasir il 4 novembre.
La sequenza ravvicinata, i legami documentati tra i gruppi rivendicanti e il GRU, le firme russe sulle email portano tutte alla Russia È la lettura prevalente tra le fonti di intelligence. Il Cremlino nega. Alcune rivendicazioni risultano però non del tutto credibili, ed in alcuni casi volutamente effettuate per depistare le indagini. Ad esempio, NoName057(16) fa attacchi di tipo DDoS, non intrusioni industriali. Ha rivendicato dopo settimane dai primi attacchi, e poche ore dopo che un canale di analisi aveva indicato Z-Pentest come possibile autore. Nel video utilizzato per rivendicare l’attacco non c’è alcuna prova tecnica, anzi: il file, generato con l’intelligenza artificiale, si chiamava “хрень”, più o meno “stronzata”.
In più, le centraline esposte sono migliaia, e la loro vulnerabilità è pubblica dal 20 ottobre. Chiunque poteva sfruttarla, anche criminali comuni o emulatori. Le firme incoerenti e improbabili sulle email possono, infine, servire a depistare in qualunque direzione.
Il punto è proprio questo: un attacco ibrido funziona anche fino a quando nessuno può provare chi ne è l’autore.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
