Il 28 luglio 2025 un cyberattacco mise fuori uso i sistemi informatici di Aeroflot e costrinse la compagnia russa a cancellare oltre cento voli, secondo quanto riportato da Associated Press. Migliaia di passeggeri rimasero a terra senza che fosse stato colpito fisicamente un solo aeroporto.

Nelle sale d’attesa dello scalo Sheremetyevo di Mosca, i tabelloni smisero di fornire indicazioni attendibili. Le file si allungarono e molti viaggiatori non sapevano quando sarebbero riusciti a partire. La procura russa aprì un’indagine, mentre gruppi di hacker contrari al Cremlino rivendicarono l’operazione, come riferì anche Reuters.

Non furono impiegati carri armati, missili o soldati. Eppure una parte dei trasporti del Paese si fermò. L’attribuzione dell’attacco rimase incerta e non venne dimostrato il coinvolgimento diretto di uno Stato. L’episodio mostrò, tuttavia, quanto un’azione condotta attraverso una rete informatica possa entrare nella vita quotidiana: interrompere un viaggio, bloccare un pagamento o rendere più difficile accedere a un servizio pubblico.

Non tutti i cyberattacchi costituiscono automaticamente un’operazione di guerra ibrida. Possono essere compiuti anche da gruppi criminali interessati al denaro. Ma gli effetti prodotti aiutano a comprendere che cosa potrebbe accadere se azioni analoghe venissero coordinate con sabotaggi, pressioni economiche e campagne di disinformazione.

La domanda riguarda direttamente anche il nostro Paese: quanto sarebbe vulnerabile la guerra ibrida in Italia?

Che cos’è la guerra ibrida

Negli anni degli attentati terroristici in Europa si parlava soprattutto di guerra asimmetrica. Da una parte c’erano gli Stati, con eserciti, intelligence e grandi risorse; dall’altra gruppi più piccoli, capaci di colpire obiettivi civili e di sfruttare la paura per moltiplicare l’effetto delle proprie azioni.

Oggi si parla sempre più spesso di guerra ibrida. Non è la stessa cosa e un’espressione non ha sostituito l’altra. Nella guerra asimmetrica lo squilibrio riguarda soprattutto le forze in campo. In quella ibrida, invece, vengono utilizzati insieme strumenti militari e non militari: cyberattacchi, pressioni economiche, sabotaggi, propaganda, spionaggio e manipolazione delle informazioni.

La NATO definisce le minacce ibride come una combinazione di mezzi militari e non militari, manifesti e occulti, impiegati per confondere il confine tra guerra e pace e destabilizzare una società.

Il Centro europeo di eccellenza per il contrasto alle minacce ibride sottolinea inoltre come queste operazioni sfruttino le vulnerabilità già presenti in uno Stato senza superare necessariamente la soglia di una guerra dichiarata. Lo scopo può essere interrompere un servizio, condizionare una scelta politica oppure alimentare sfiducia e divisioni.

Il problema è capire chi colpisce

In una guerra tradizionale è più facile riconoscere l’avversario. Ci sono eserciti, confini violati e armi visibili. Esistono inoltre convenzioni e norme del diritto internazionale umanitario che stabiliscono, almeno sulla carta, che cosa sia consentito e quali persone debbano essere protette.

Nella guerra ibrida, invece, quasi tutto rimane in una zona grigia. Un attacco informatico può essere rivendicato da un gruppo di attivisti ma sostenuto, direttamente o indirettamente, da uno Stato. Dietro un sabotaggio può nascondersi un guasto oppure un’azione deliberata. Una notizia falsa può partire da un sito anonimo, attraversare i social network e arrivare nel dibattito politico senza rivelare chi l’abbia organizzata.

Questo non significa che non esistano regole. Il problema è attribuire con certezza un’azione: bisogna dimostrare chi abbia agito, per conto di chi e con quale obiettivo. Senza prove solide diventa difficile stabilire una responsabilità giuridica e decidere come rispondere.

Cyberattacchi, gli effetti sulla vita quotidiana

Alcuni episodi mostrano quanto una crisi digitale possa rapidamente uscire dagli uffici informatici.

Nell’aprile 2022 il Costa Rica fu colpito da una serie di attacchi ransomware attribuiti al gruppo criminale Conti. I sistemi di diversi ministeri vennero compromessi e il Ministero delle Finanze dovette sospendere le piattaforme utilizzate per le imposte e le dogane.

Le procedure di importazione e di esportazione rallentarono e molti dipendenti ebbero problemi con gli stipendi. Il presidente Rodrigo Chaves dichiarò lo stato di emergenza nazionale. Poche settimane dopo fu colpito anche il sistema sanitario: circa 1.200 ospedali e strutture dovettero affrontare il blocco delle reti, secondo Reuters.

Nel luglio dello stesso anno numerosi servizi pubblici digitali dell’Albania finirono fuori uso. Una ricostruzione della Cybersecurity and Infrastructure Security Agency indicò che gli aggressori erano rimasti per mesi nelle reti governative prima di lanciare l’attacco. Tirana attribuì l’operazione all’Iran, che negò ogni responsabilità, e ruppe le relazioni diplomatiche con Teheran.

In Ucraina, invece, il cyberattacco del dicembre 2023 contro Kyivstar, il maggiore operatore telefonico del Paese, accompagnò una guerra già combattuta con missili e droni. Milioni di utenti ebbero difficoltà a telefonare e a collegarsi a Internet. In alcune zone furono interessati anche i sistemi utilizzati per segnalare gli attacchi aerei.

Tre situazioni differenti, non tutte riconducibili alla stessa matrice, ma unite da un dato: un attacco contro una rete informatica può trasformarsi in un problema per chi aspetta uno stipendio, una merce, una telefonata o una cura.

Perché la guerra ibrida in Italia è un rischio concreto

L’Italia non è necessariamente più debole degli altri Paesi europei. È però particolarmente esposta perché concentra infrastrutture, collegamenti e servizi indispensabili non soltanto per la propria economia, ma anche per quella del continente.

La posizione al centro del Mediterraneo rende il Paese un punto di passaggio per porti, rotte commerciali, gasdotti, cavi sottomarini e reti di comunicazione. È un vantaggio economico e politico, ma aumenta anche il numero degli obiettivi da proteggere. Colpire uno snodo italiano può produrre conseguenze ben oltre i nostri confini.

C’è poi la dipendenza dal digitale. Ospedali, banche, trasporti, enti pubblici e imprese lavorano attraverso reti collegate tra loro. Questa connessione rende i servizi più rapidi, ma permette a un problema nato in un punto di propagarsi lungo l’intera catena.

Secondo la Relazione annuale 2025 dell’Agenzia per la cybersicurezza nazionale, il CSIRT Italia, la struttura che sorveglia e gestisce gli incidenti informatici, ha trattato 2.729 eventi, il 38% in più rispetto al 2024. Di questi, 615 sono stati classificati come incidenti confermati.

I numeri non dimostrano che l’Italia sia costantemente attaccata da potenze straniere: un incidente informatico può avere cause e autori differenti. Mostrano però quanto sia ampia la superficie da difendere e quanto sia diventato difficile separare la sicurezza digitale dalla vita quotidiana.

Comuni e imprese, la sicurezza parte dal basso

Una delle vulnerabilità italiane è la frammentazione. Il Paese è composto da migliaia di Comuni, numerose aziende sanitarie e un tessuto produttivo formato soprattutto da piccole e medie imprese. Non tutte queste organizzazioni dispongono di personale specializzato, sistemi aggiornati e risorse sufficienti per proteggere le proprie reti.

Una grande amministrazione può permettersi un gruppo di esperti che controlli i sistemi giorno e notte. Un piccolo Comune può avere una sola persona che si occupa contemporaneamente di computer, posta elettronica, programmi e assistenza agli uffici. Eppure anche quel Comune conserva dati personali e garantisce servizi essenziali.

La stessa difficoltà riguarda le imprese. Un’azienda può essere ben protetta, ma dipendere da un fornitore più piccolo e meno preparato. Chi attacca cerca spesso proprio quel passaggio secondario: entra dalla porta più facile e da lì prova a raggiungere il resto della rete.

Esiste anche un problema di competenze. Una parte consistente della popolazione italiana non possiede ancora conoscenze digitali di base. Non è soltanto una questione di produttività: è anche un rischio per la sicurezza.

I cavi sottomarini sostengono le comunicazioni digitali e costituiscono infrastrutture strategiche da proteggere. (Fonte: Pexels)

Il fattore umano tra i principali punti d’ingresso

In molte catene di sicurezza la persona rimane uno dei punti più esposti. Una password debole, un allegato aperto senza attenzione o una telefonata costruita con abilità possono rendere inutili sistemi di protezione molto costosi.

Per chi attacca è spesso più semplice ingannare un dipendente che sviluppare gli strumenti necessari a violare una macchina ben protetta. Basta presentarsi come un tecnico, creare un falso senso di urgenza o convincere qualcuno a comunicare una credenziale.

È la cosiddetta ingegneria sociale: non si forza direttamente il computer, ma si sfruttano fiducia, paura, fretta o distrazione. Per questo la sicurezza non può essere affidata soltanto ai programmi informatici. Servono formazione, procedure chiare e la possibilità di segnalare rapidamente un errore. Un dipendente che nasconde un clic sbagliato può provocare più danni dell’errore iniziale.

Cavi, porti ed energia sotto minaccia

La vulnerabilità italiana non riguarda soltanto i computer. Una parte rilevante delle comunicazioni internazionali passa attraverso cavi posati sui fondali marini. Sotto il Mediterraneo viaggiano dati, telefonate, operazioni finanziarie e informazioni utilizzate ogni giorno da cittadini, istituzioni e imprese.

Le esplosioni che nel 2022 danneggiarono i gasdotti Nord Stream mostrarono quanto sia difficile proteggere le infrastrutture collocate sui fondali e attribuire con certezza la responsabilità di un sabotaggio.

Un cavo può essere danneggiato da un incidente, da un’ancora o da un’azione deliberata. Sotto il mare, però, ricostruire che cosa sia accaduto e individuare i responsabili è particolarmente complesso.

Anche per conoscere e proteggere questo mondo nascosto, l’Italia ha istituito a La Spezia il Polo nazionale della dimensione subacquea, nel quale collaborano Marina Militare, imprese, università e centri di ricerca.

Lo stesso vale per porti, aeroporti, centrali elettriche e reti ferroviarie. Un attacco non deve necessariamente distruggere queste infrastrutture. Può essere sufficiente rallentarle, interrompere i sistemi di controllo o creare il dubbio che non siano più sicure. Anche la paura di un blocco può produrre conseguenze economiche e politiche.

La disinformazione sfrutta paure reali

La guerra ibrida non colpisce soltanto ciò che un Paese possiede. Colpisce anche ciò in cui i suoi cittadini credono.

Una campagna di disinformazione funziona meglio quando non inventa tutto, ma parte da un problema reale e lo esaspera fino a renderlo irriconoscibile. Basta scegliere un tema che susciti paura o rabbia — la guerra, l’immigrazione, il costo dell’energia o la salute — e presentarlo in modo da rafforzare un sospetto già esistente.

L’obiettivo non è sempre convincere tutti della stessa falsità. Può essere sufficiente confondere le persone, moltiplicare versioni incompatibili e rendere difficile distinguere un fatto da un’opinione. Quando nessuno crede più a nessuno, anche le istituzioni faticano a comunicare durante un’emergenza.

L’Istituto Affari Internazionali ha analizzato il ruolo delle narrazioni nella competizione tra Stati. Lo studio sulla guerra narrativa e sulla guerra ibrida mostra come conquistare l’attenzione e la fiducia dell’opinione pubblica possa diventare importante quanto controllare uno spazio fisico.

La difesa comincia prima dell’emergenza

Essere vulnerabili non significa essere indifesi. L’Italia fa parte della NATO e dell’Unione europea, possiede un sistema di intelligence articolato, strutture militari specializzate e un patrimonio industriale e scientifico di alto livello. L’Agenzia per la cybersicurezza nazionale coordina inoltre la prevenzione e la risposta agli incidenti informatici più rilevanti.

Anche il quadro europeo è diventato più solido grazie alla direttiva NIS2 sulla cybersicurezza e alle regole sulla resilienza dei soggetti critici. Le norme, però, da sole non bastano.

Occorre proteggere le reti, ma anche insegnare ai cittadini a riconoscere una manipolazione. Bisogna mettere in sicurezza le infrastrutture e costruire fiducia nelle istituzioni. Servono tecnici preparati, giornalisti capaci di verificare le informazioni e amministratori in grado di comunicare durante una crisi.

Servono soprattutto sistemi alternativi. Se una rete smette di funzionare, deve essercene un’altra pronta a sostituirla. Quando si interrompe una fornitura, occorrono scorte e canali differenti. Un ospedale che perde i propri sistemi digitali deve poter continuare ad assistere i pazienti.

Questa capacità ha un nome poco spettacolare: resilienza. Significa continuare a funzionare anche quando qualcosa si rompe o viene colpito. La sicurezza comincia prima dell’emergenza: quando un Comune protegge i dati, un’impresa forma il personale, un ospedale prepara un sistema di riserva e un cittadino controlla una notizia prima di condividerla.

La guerra ibrida sfrutta le crepe già aperte: sistemi non aggiornati, dipendenze strategiche, responsabilità confuse e sfiducia. Per difendersi non basta cercare il nemico fuori dai confini. Bisogna anche guardare dentro il Paese e correggere ciò che lo rende più facile da colpire.

Perché una democrazia non si difende soltanto con le armi. Si difende ogni giorno, anche quando la guerra non si vede.

L'articolo Guerra ibrida in Italia: perché il Paese è vulnerabile proviene da Il Contemporaneo.