Una possibile convergenza tra le proteste di piazza e l'attivismo degli hacker filorussi, con l'obiettivo di colpire contemporaneamente obiettivi fisici e digitali in diverse città italiane. È lo scenario al centro delle indagini condotte dagli apparati di sicurezza sul Movimento 17 ottobre e sui suoi presunti collegamenti con NoName057(16), il collettivo informatico già responsabile di numerosi attacchi contro siti istituzionali italiani. Secondo le ricostruzioni investigative, la minaccia legata alla mobilitazione del 24 ottobre era stata valutata di livello elevato. Resta però da accertare se il sostegno manifestato dai gruppi hacker si sia tradotto in un effettivo coordinamento operativo con gli organizzatori delle proteste.
L'attenzione degli investigatori si concentra su un'ipotesi precisa: utilizzare le manifestazioni nelle principali città italiane come occasione per provocare disordini, affiancando alle eventuali violenze nelle strade attacchi informatici contro istituzioni e servizi pubblici. Un modello che, se confermato, mostrerebbe come iniziative nate in contesti differenti possano convergere attorno a obiettivi comuni.
Il piano del 24 ottobre e le otto città coinvolte
Secondo gli elementi raccolti dal comando interforze Intel, la giornata di sabato 24 ottobre avrebbe dovuto rappresentare un momento di mobilitazione nazionale per il Movimento 17 ottobre. Le proteste erano state annunciate a Roma, Milano, Torino, Genova, Bologna, Firenze, Padova e Bari.
Il coordinamento delle iniziative sarebbe avvenuto attraverso i social network, utilizzati per raggiungere migliaia di persone e comunicare le indicazioni sui punti di ritrovo. La pagina Instagram riconducibile al movimento aveva raccolto circa 32mila follower, un dato considerato rilevante dagli investigatori per valutare la capacità di diffusione dei messaggi.
Le autorità temevano che le manifestazioni potessero trasformarsi in episodi di violenza contro attività commerciali, istituti bancari, proprietà private e sedi istituzionali. La preoccupazione nasceva anche dai disordini registrati durante precedenti mobilitazioni del 17 e 18 ottobre.
L'intervento delle forze di sicurezza ha impedito che la giornata assumesse le caratteristiche temute dagli investigatori. La ricostruzione delle intenzioni degli organizzatori rimane comunque oggetto di accertamenti e non può essere considerata una dimostrazione definitiva dell'esistenza di un piano coordinato di violenze.
Il fermo di Youssef Siher e le indagini della Procura
Al centro dell'inchiesta figura Youssef Siher, trentenne indicato come amministratore della pagina social del Movimento 17 ottobre. L'uomo è stato fermato a Milano dalla Polizia postale e dalla Digos prima della diffusione delle indicazioni relative ai luoghi di ritrovo delle manifestazioni.
Secondo quanto emerso dalle ricostruzioni giornalistiche, il trentenne è accusato di istigazione a delinquere, violenza organizzata nelle manifestazioni pubbliche e terrorismo. Le contestazioni sono ancora sottoposte alla verifica dell'autorità giudiziaria e la responsabilità dell'indagato dovrà essere accertata nelle sedi competenti.
Nell'inchiesta compare anche la moglie, una donna di 32 anni, indagata per un presunto coinvolgimento nella gestione delle comunicazioni social. Sarebbe stato proprio il suo telefono cellulare a consentire agli investigatori di rintracciare Siher, che aveva spento il proprio dispositivo.
Il pubblico ministero Francesca Crupi, della Procura di Milano, è incaricato degli sviluppi giudiziari relativi al fermo. Il successivo passaggio davanti al giudice per le indagini preliminari servirà a valutare la sussistenza dei presupposti previsti dalla legge.
L'indagine punta a ricostruire non soltanto il ruolo dei promotori delle proteste, ma anche l'eventuale esistenza di collegamenti con soggetti esterni e gruppi attivi nella propaganda digitale.
NoName e Dark Storm Team, il sostegno arrivato dal web
Il 23 ottobre, alla vigilia delle manifestazioni, gli hacker filorussi di NoName057(16) e del Dark Storm Team avrebbero pubblicato messaggi di sostegno alle proteste annunciate in Italia e in Francia.
Per gli analisti si tratta di un elemento significativo, anche alla luce delle precedenti operazioni informatiche attribuite a questi ambienti. I gruppi sono conosciuti per l'utilizzo di attacchi DDoS, una tecnica che consiste nell'inviare una quantità elevatissima di richieste verso un sito o un servizio online, con l'obiettivo di renderlo temporaneamente irraggiungibile.
NoName è stato più volte associato a campagne contro istituzioni dei Paesi europei che sostengono l'Ucraina. L'8 ottobre, secondo quanto riferito dall'ANSA, il collettivo filorusso è stato indicato come responsabile di un attacco informatico contro il sito del ministero degli Esteri italiano. In quell'occasione i sistemi della Farnesina hanno resistito all'azione e sono intervenuti gli specialisti della sicurezza informatica.
Il precedente contribuisce a spiegare l'attenzione riservata dagli investigatori ai messaggi diffusi in prossimità delle manifestazioni del 24 ottobre. Il sostegno pubblico a una protesta, tuttavia, non costituisce di per sé la prova di una collaborazione diretta tra i suoi organizzatori e gli autori di attacchi informatici.
Secondo le informazioni disponibili, Telegram ha inoltre rimosso alcuni canali riconducibili ai gruppi coinvolti, limitando temporaneamente uno degli strumenti utilizzati per diffondere comunicazioni e rivendicazioni.
Il ruolo di Bd Anonymous e la convergenza delle rivendicazioni
Nello scenario esaminato dagli analisti compare anche Bd Anonymous, collettivo di origine sud-asiatica e bengalese che ha espresso sostegno alla causa palestinese e che in passato è stato associato ad attacchi informatici contro obiettivi italiani.
La presenza di questa sigla accanto ai gruppi filorussi mostra come ambienti digitali con riferimenti politici differenti possano sostenere la stessa mobilitazione, pur senza condividere necessariamente organizzazione, finalità o strutture operative.
Nel caso di Bd Anonymous, secondo le ricostruzioni pubblicate, non sarebbero emerse specifiche intenzioni offensive nei confronti dell'Italia in relazione alla giornata del 24 ottobre. Il coinvolgimento segnalato riguarderebbe soprattutto messaggi di appoggio alle iniziative di protesta.
Questa distinzione è importante per comprendere la natura dell'allarme. Le autorità stanno valutando possibili connessioni tra diversi ambienti digitali, ma non tutte le manifestazioni di solidarietà online possono essere interpretate come parte di un unico progetto organizzato.
Putin respinge le accuse alla Russia
La vicenda ha assunto anche una dimensione internazionale dopo le dichiarazioni del presidente russo Vladimir Putin. Intervenendo in un'intervista alla televisione di Stato, ripresa dall'agenzia Tass, il leader del Cremlino ha respinto le accuse che attribuiscono alla Russia responsabilità nei disordini registrati nei Paesi europei.
Secondo Putin, chiamare in causa Mosca rappresenterebbe una dimostrazione della debolezza dei dirigenti europei e della loro incapacità di assumersi la responsabilità dei problemi interni.
La posizione del presidente russo si inserisce nel confronto politico e diplomatico tra Mosca e i governi occidentali, già segnato dalla guerra in Ucraina e dalle ricorrenti accuse relative a campagne di disinformazione e operazioni informatiche.
È necessario, tuttavia, distinguere l'attività di collettivi che si dichiarano filorussi dall'eventuale responsabilità diretta delle istituzioni russe. Sulla base delle informazioni rese pubbliche, non risulta dimostrato un ordine impartito dal Cremlino per coordinare le proteste italiane del 24 ottobre.
Le indagini riguardano possibili collegamenti tra soggetti e gruppi informatici. La loro eventuale riconducibilità a strutture statali richiederebbe ulteriori elementi di prova.
Il rischio di nuovi attacchi contro istituzioni e infrastrutture
L'attenzione degli apparati di sicurezza rimane elevata anche dopo l'intervento che ha ridimensionato la mobilitazione del 24 ottobre.
Gli analisti temono che alcuni gruppi di hacker possano riorganizzarsi e individuare nuovi bersagli, soprattutto tra le infrastrutture digitali delle forze dell'ordine, del ministero della Difesa e di altri apparati istituzionali.
Tra gli obiettivi potenzialmente esposti vengono indicati anche sistemi informatici collegati alla sorveglianza stradale e ad altri servizi di interesse pubblico.
Non si tratta di attacchi già accertati, ma di scenari di rischio presi in considerazione nell'attività di prevenzione. La distinzione resta fondamentale, perché l'esistenza di una minaccia potenziale non significa che sia stata dimostrata la capacità dei gruppi coinvolti di compromettere infrastrutture particolarmente protette.
Il lavoro degli specialisti della sicurezza informatica punta quindi a individuare tempestivamente eventuali segnali di nuove campagne ostili, ricostruendo le comunicazioni dei collettivi e monitorando le piattaforme attraverso le quali vengono annunciati gli attacchi.
