La guerra informatica contro l'Europa ha nomi, sigle e strategie differenti. NoName057(16), Z-Pentest, Male State ed Everest sono alcune delle organizzazioni finite al centro dell'attenzione investigativa dopo una serie di attacchi, intrusioni e minacce che hanno interessato anche l'Italia. Non si tratta necessariamente di un'unica struttura coordinata, ma di una galassia eterogenea di gruppi filorussi, estremisti e criminali informatici che operano con obiettivi e modalità differenti.

La preoccupazione è cresciuta dopo gli episodi che hanno coinvolto i sistemi di refrigerazione di supermercati europei, gli allarmi bomba inviati agli aeroporti e l'intrusione informatica subita dalla società impegnata nella costruzione della Galleria di base del Brennero. A questi casi si aggiungono le minacce contro personalità istituzionali, magistrati e investigatori impegnati nel contrasto alla criminalità informatica.

Il quadro è complesso. Alcune responsabilità sono state rivendicate direttamente dagli hacker, altre rappresentano ipotesi investigative ancora da verificare. Non esistono, allo stato attuale, elementi pubblici sufficienti per attribuire tutti gli episodi a una regia comune. Ma la moltiplicazione delle offensive ha spinto le autorità europee a rafforzare il coordinamento.

NoName057(16), il collettivo che colpisce i Paesi vicini all'Ucraina

Tra le organizzazioni più attive figura NoName057(16), collettivo filorusso comparso nel marzo 2022, poco dopo l'inizio dell'invasione dell'Ucraina. Il gruppo ha concentrato progressivamente le proprie operazioni contro istituzioni e aziende dei Paesi che sostengono Kiev.

La tecnica più utilizzata è quella degli attacchi DDoS, acronimo di Distributed Denial of Service. In pratica, i server di un sito vengono sommersi da un numero enorme di richieste di accesso, fino a renderlo temporaneamente irraggiungibile. L'obiettivo principale non è necessariamente rubare informazioni, ma interrompere i servizi e provocare disagi.

Il collettivo utilizza una rete internazionale di sostenitori, reclutati soprattutto attraverso Telegram. Con il progetto DDoSia, i partecipanti possono mettere a disposizione la capacità di elaborazione dei propri computer per contribuire alle operazioni informatiche.

Gli investigatori hanno individuato una struttura organizzativa con centri di comando e controllo, server intermedi e sistemi destinati a rendere più difficile l'identificazione dei responsabili. Secondo valutazioni di intelligence, il gruppo presenta collegamenti con l'ambiente dei servizi militari russi, anche se il grado di controllo diretto esercitato da Mosca sulle singole operazioni non è sempre documentabile.

L'operazione Eastwood e i sospetti di vendetta contro gli investigatori

Nel luglio 2025 NoName057(16) è stato colpito dall'operazione internazionale Eastwood, coordinata da Europol ed Eurojust, con il coinvolgimento delle autorità investigative di diversi Paesi europei.

L'intervento ha consentito di disattivare numerosi server utilizzati dal collettivo, individuare sospetti appartenenti alla rete e avviare procedimenti nei confronti di presunti responsabili.

Anche l'Italia ha partecipato alle indagini attraverso la Polizia postale e la Procura di Roma. Gli accertamenti italiani hanno permesso di identificare cinque persone ritenute aderenti all'organizzazione.

Il gruppo è tornato recentemente al centro dell'attenzione per la pubblicazione sul dark web di informazioni riguardanti personalità considerate ostili alla Russia.

Tra i nomi comparsi figurano il procuratore di Roma, Francesco Lo Voi, e il direttore della Polizia postale, Ivano Gabrielli, entrambi coinvolti nelle attività investigative contro il collettivo. Sono stati indicati anche esponenti delle istituzioni europee, magistrati e giornalisti.

Secondo le ricostruzioni investigative, la pubblicazione di queste informazioni potrebbe rappresentare una forma di intimidazione o ritorsione nei confronti di chi ha contribuito a contrastare l'organizzazione.

Z-Pentest, gli attacchi alle infrastrutture industriali

Un profilo differente è quello di Z-Pentest, conosciuto anche come Z-Pentest Alliance. Il gruppo è emerso nel settembre 2024 dalla collaborazione tra componenti di NoName057(16) e Cyber Army of Russia Reborn, noto con la sigla CARR.

La sua attività è particolarmente preoccupante perché riguarda i sistemi di controllo industriale, utilizzati per gestire impianti energetici, reti idriche e altre infrastrutture essenziali.

A differenza degli attacchi che rendono temporaneamente inaccessibili i siti Internet, le intrusioni nei sistemi industriali possono avere conseguenze anche sul funzionamento fisico degli impianti.

Nel dicembre 2024 il collettivo ha colpito un'azienda del settore idrico in Danimarca, episodio successivamente richiamato dalle istituzioni europee.

Il 13 luglio 2026 il Consiglio dell'Unione europea ha inserito Z-Pentest nell'elenco dei soggetti sottoposti a misure restrittive per attacchi informatici che rappresentano una minaccia per gli Stati membri.

Il provvedimento riconosce la pericolosità del gruppo e i suoi collegamenti con altre organizzazioni filorusse, senza però dimostrare automaticamente una responsabilità in tutti gli episodi rivendicati negli ultimi mesi.

I supermercati europei e la minaccia agli acquedotti

Il 4 novembre NoName057(16) e Z-Pentest hanno rivendicato congiuntamente una serie di attacchi ai sistemi di refrigerazione utilizzati dalla grande distribuzione alimentare in diversi Paesi europei, compresa l'Italia.

La rivendicazione è arrivata attraverso un video diffuso sui social, nel quale i due collettivi sostengono di aver compromesso apparecchiature di controllo legate ai sistemi Danfoss e Dixell XWeb.

Secondo la loro versione, non sarebbe stato necessario installare programmi informatici dannosi. Gli attaccanti avrebbero sfruttato funzionalità già presenti nei dispositivi esposti alla rete.

Il messaggio è stato accompagnato da un avvertimento sulle possibilità di colpire altri settori strategici, compresi acquedotti, centrali elettriche e impianti industriali.

Gli hacker hanno sostenuto che incidenti analoghi avrebbero interessato centinaia di strutture europee, accusando i responsabili della sicurezza di non aver imparato dagli attacchi precedenti.

La rivendicazione, tuttavia, non equivale a una conferma indipendente. Non è stato dimostrato pubblicamente che tutti gli episodi segnalati siano riconducibili alle due organizzazioni. In Italia, le autorità hanno riferito di conseguenze limitate, con problemi concentrati soprattutto su apparecchiature e sistemi tecnologici non adeguatamente aggiornati.

Male State e il mistero dei falsi allarmi bomba

Un'altra sigla emersa negli ultimi giorni è Male State, traducibile come Stato Maschile, movimento estremista russo fondato da Vladislav Pozdnyakov.

L'organizzazione è nota per le posizioni misogine, razziste e omofobe. Nel 2021 è stata dichiarata estremista e messa al bando dalle autorità russe. Il suo nome è comparso nelle comunicazioni relative ai falsi allarmi bomba che hanno provocato disagi negli aeroporti italiani ed europei. Le minacce, diffuse attraverso messaggi di posta elettronica, segnalavano la presunta presenza di ordigni su alcuni voli, costringendo le autorità a effettuare controlli e adottare misure precauzionali.

Il collegamento con Male State resta però controverso. Un account Telegram associato all'ambiente del movimento e al suo fondatore ha negato alla Bbc qualsiasi responsabilità, sostenendo che l'organizzazione non esisterebbe più da anni.

Le indagini devono quindi chiarire se il nome sia stato utilizzato da persone realmente legate al movimento oppure da altri soggetti intenzionati a sfruttarne la notorietà.

La distinzione è importante perché una rivendicazione falsa può essere utilizzata per depistare gli investigatori e attribuire un'operazione a un'organizzazione estranea ai fatti.

Everest, il gruppo sospettato dell'attacco al Brennero

Tra i casi più delicati figura l'intrusione informatica ai danni di BBT SE, la società europea incaricata della progettazione e costruzione della Galleria di base del Brennero, infrastruttura ferroviaria strategica tra Italia e Austria.

L'attacco risale al 17 ottobre 2026, ma è diventato pubblico soltanto nei primi giorni di novembre.

La società ha confermato che soggetti non autorizzati sono riusciti ad accedere ad alcuni dati attraverso sistemi collegati a Internet. Dopo aver individuato l'intrusione, sono stati isolati i sistemi interessati e coinvolti specialisti esterni per le analisi informatiche.

Secondo le informazioni diffuse dalla società, l'incidente non ha avuto conseguenze sulle attività operative e non ha compromesso i lavori di costruzione della galleria.

I sospetti degli investigatori si concentrano su Everest, gruppo criminale russofono specializzato nel furto di informazioni e nelle estorsioni informatiche.

L'organizzazione è conosciuta per la sottrazione di dati riservati e per le successive richieste economiche rivolte alle vittime, accompagnate dalla minaccia di pubblicare le informazioni sul dark web.

Non è ancora stato chiarito quali dati siano stati effettivamente compromessi nell'attacco al Brennero, né è stata confermata ufficialmente la responsabilità di Everest.

Le indagini sono affidate alla Polizia postale di Bolzano.

Gruppi diversi, obiettivi e strategie differenti

Le quattro sigle non possono essere considerate automaticamente componenti di una stessa organizzazione.

NoName057(16) si distingue soprattutto per l'attivismo politico e gli attacchi finalizzati a interrompere temporaneamente i servizi digitali. Z-Pentest ha sviluppato capacità rivolte ai sistemi industriali e alle infrastrutture critiche.

Everest opera prevalentemente nell'ambiente della criminalità informatica a scopo di estorsione, mentre Male State nasce come movimento estremista e il suo coinvolgimento nelle recenti minacce agli aeroporti non è accertato.

Esistono collaborazioni documentate, in particolare tra NoName057(16) e Z-Pentest, ma non ci sono elementi sufficienti per collegare automaticamente anche gli altri gruppi alle medesime operazioni.

La guerra informatica può comprendere azioni di propaganda, attacchi dimostrativi, furti di dati e operazioni contro infrastrutture strategiche. Attività differenti che possono produrre effetti simili sul piano della sicurezza e della percezione pubblica.

Europol rafforza il coordinamento delle indagini

La successione degli episodi ha spinto Europol a convocare una riunione investigativa con le autorità di polizia dei Paesi coinvolti.

L'obiettivo è condividere le informazioni raccolte, confrontare le caratteristiche tecniche degli attacchi e individuare eventuali collegamenti tra le operazioni. In Italia, la questione è seguita dalla Polizia postale, dagli organismi di intelligence e dall'Agenzia per la cybersicurezza nazionale. Il governo ha richiamato l'attenzione sulla necessità di rafforzare le difese dei sistemi esposti a Internet, soprattutto quelli utilizzati per gestire servizi essenziali. Gli interventi riguardano l'aggiornamento delle apparecchiature, la protezione degli accessi remoti, il monitoraggio delle anomalie e la separazione tra le reti informatiche aziendali e quelle destinate al controllo degli impianti industriali.

Il rischio di una nuova fase della guerra ibrida

La successione degli attacchi informatici dimostra quanto la sicurezza nazionale dipenda ormai anche da infrastrutture digitali spesso invisibili ai cittadini. Un sistema di refrigerazione, una rete idrica, un impianto energetico o una piattaforma utilizzata per gestire i trasporti possono diventare obiettivi di operazioni capaci di provocare interruzioni dei servizi e conseguenze economiche.

La presenza di collettivi ideologicamente vicini alla Russia alimenta il timore che alcune offensive rientrino in una più ampia strategia di pressione contro i Paesi europei che sostengono l'Ucraina. Tuttavia, vicinanza politica, collaborazione tra gruppi e direzione operativa da parte di apparati statali sono elementi distinti, che devono essere dimostrati caso per caso.

Le indagini dovranno stabilire quali episodi siano effettivamente collegati, chi abbia organizzato le singole operazioni e se siano coinvolte strutture statali. Per l'Europa, la sfida immediata è impedire che vulnerabilità già conosciute vengano sfruttate per colpire servizi indispensabili. Perché il messaggio lanciato dagli hacker non riguarda soltanto gli attacchi già compiuti, ma soprattutto la possibilità di ripeterli contro infrastrutture più delicate.