venerdì 6 novembre 2026
Dopo i supermercati, le riserve di sangue destinate agli ospedali. In Francia un attacco informatico ha alterato da remoto temperatura e sbrinamento di tre impianti frigoriferi dell’Établissement français du sang (EFS). Gli allarmi hanno permesso al personale di intervenire prima che le scorte venissero compromesse. Nessun danno sanitario, ma questo non riduce la gravità dell’accaduto: questa volta l’obiettivo non erano merci destinate alla vendita, bensì prodotti essenziali per salvare vite umane.
L’aggressione ha sfruttato i sistemi di un fornitore esterno, non la rete informatica dell’ente sanitario. È bastato colpire un anello della catena tecnologica per mettere a rischio un servizio fondamentale. Il caso dimostra che la vulnerabilità delle infrastrutture critiche comprende anche manutentori, dispositivi connessi e imprese terze. Gli attacchi ai frigoriferi dei supermercati europei avevano già rivelato questa fragilità. Ora il salto è evidente: dal danno economico alla possibilità di compromettere la sicurezza sanitaria.
A questo scenario si aggiunge l’ondata di allarmi bomba che il 5 novembre ha coinvolto almeno 27 voli in Europa. Aerei dirottati, scorte militari e controlli straordinari: minacce finora rivelatesi infondate, ma capaci di paralizzare collegamenti e mobilitare apparati di sicurezza in diversi Paesi. Non si tratta di cyberattacchi nel senso tecnico del termine. Eppure il loro effetto è altrettanto significativo: per perturbare un servizio essenziale non sempre occorre distruggerlo. A volte è sufficiente costringerlo a reagire a un pericolo annunciato.
La guerra ibrida opera proprio in questa zona grigia. Non ha bisogno di carri armati né di una dichiarazione di guerra. Può combinare sabotaggi, cyberattacchi, intimidazioni, propaganda e operazioni di influenza per produrre insicurezza, sfiducia nelle istituzioni e costi economici crescenti. Le rivendicazioni dei gruppi filorussi NoName057(16) e Z-Pentest per gli episodi nei supermercati richiamano un modello in cui soggetti formalmente autonomi possono favorire gli obiettivi di una potenza senza esporla apertamente.
È il problema della “plausibile negabilità”, da tempo parte dell’arsenale della conflittualità ibrida russa. Si agisce attraverso intermediari, reti informali e gruppi che condividono gli interessi di uno Stato, lasciando nell’ombra i rapporti di sostegno o coordinamento. A questo punto arriva puntuale l’obiezione: “Ma come possiamo rispondere se non abbiamo la prova che dietro ci sia Mosca?”. La domanda sembra dettata dal buon senso, ma nasconde un’insidia: applicare alla sicurezza nazionale criteri propri di un procedimento giudiziario, ignorando la natura stessa della guerra ibrida. La sicurezza nazionale non è un processo penale. Le decisioni di uno Stato si fondano su intelligence e riscontri convergenti; non richiedono una sentenza né di svelare fonti e metodi. Se per reagire a un’aggressione pretendiamo di dimostrare pubblicamente ogni responsabilità, finiamo per trasformare la plausibile negabilità in un vantaggio strategico per chi aggredisce, consentendogli di continuare ad agire senza subirne le conseguenze.
È proprio questa logica che occorre contrastare. Quando gruppi organizzati conducono operazioni ostili a beneficio di una potenza, la risposta deve poter interrompere le loro attività, colpire le infrastrutture operative e imporre costi alle reti di supporto individuate dall’intelligence. Le misure nei confronti dello Stato eventualmente responsabile richiedono i presupposti previsti dal diritto internazionale; ma questa verifica non può bloccare ogni azione contro la minaccia concretamente identificata. Qui emerge un’asimmetria anche normativa: chi aggredisce sfrutta anonimato e ambiguità, mentre chi subisce rischia di trasformare i propri vincoli giuridici in un obbligo di immobilità. Il rispetto delle norme è un valore delle democrazie, non un impegno a rinunciare agli strumenti che quelle stesse norme consentono.
Difendere le reti, controllare gli accessi remoti e verificare i fornitori resta indispensabile. Ma la sola resilienza non può essere una strategia completa. All’aggressore basta trovare una vulnerabilità; chi difende deve proteggere migliaia di possibili bersagli. Se dopo ogni attacco l’unica conseguenza è il ripristino dei sistemi e una condanna diplomatica, quale incentivo avrebbe chi aggredisce a fermarsi? La deterrenza richiede che l’avversario percepisca un rischio concreto per le proprie capacità operative. Non significa invocare rappresaglie indiscriminate, ma prevedere risposte mirate, autorizzate e proporzionate, incluse operazioni cibernetiche di contrasto quando le condizioni giuridiche lo permettano.
L’Italia non parte da zero. Dal 2022 la legge prevede, nelle crisi più gravi per la sicurezza nazionale, misure attive di intelligence contro le minacce informatiche, anche con la cooperazione della Difesa e specifiche garanzie per il personale. Più recenti iniziative parlamentari puntano a rafforzare queste capacità, attribuendo alle Forze armate un ruolo più ampio anche nelle operazioni cibernetiche offensive contro aggressioni al di sotto della soglia di un conflitto armato. Il problema, dunque, non è soltanto disporre degli strumenti giuridici, ma avere la volontà politica e la capacità operativa di utilizzarli quando necessario. Una deterrenza credibile non si costruisce con le sole dichiarazioni di principio.
Intelligence, sanzioni mirate, azione diplomatica, contrasto alle reti di supporto e, nei casi consentiti, capacità cibernetiche offensive possono concorrere alla stessa strategia. È un terreno sul quale Italia, Europa e Nato devono rafforzare il coordinamento, senza trasformarlo in un alibi per rinviare le decisioni. Le riserve di plasma sono state salvate grazie agli allarmi; gli aerei sono atterrati senza che le minacce trovassero conferma. Ma il costo dell’incertezza è già ricaduto su cittadini, imprese e istituzioni. Domani potrebbero essere in gioco l’acqua potabile, l’energia o altre funzioni vitali. Una Nazione deve saper proteggere i propri cittadini, ma anche far comprendere a chi li minaccia che l’aggressione comporta conseguenze. Senza questa capacità di risposta, la difesa rischia di ridursi alla semplice attesa del prossimo attacco.
(*) Docente universitario di Diritto internazionale e normative per la sicurezza
di Renato Caputo (*)