Cybersecurity, la cattiva informazione può diventare un’arma di propaganda. Varriale: «Serve consapevolezza»

• La disinformazione può amplificare gli effetti degli attacchi informatici. Titoli allarmistici e attribuzioni non verificate possono favorire la propaganda degli aggressori.
• Eventi e incidenti cyber non sono sinonimi. I dati ACN devono essere interpretati distinguendo segnalazioni, compromissioni e impatti confermati.
• La guerra cibernetica non coincide con il cybercrime. Hacktivisti, organizzazioni criminali e apparati statali perseguono obiettivi differenti.
• La divulgazione delle vulnerabilità richiede responsabilità. Il pubblico deve essere informato senza compromettere inutilmente la protezione dei sistemi.

La cattiva informazione può diventare un’arma nella guerra cibernetica, soprattutto quando il giornalismo perde la capacità di distinguere tra criminalità informatica, operazioni di intelligence, hacktivismo e attività riconducibili agli apparati militari. La crescente attenzione verso gli attacchi informatici ha trasformato la cybersecurity in un argomento quotidiano, ma non sempre l’aumento della copertura giornalistica coincide con una maggiore comprensione delle minacce. Anzi, la diffusione di informazioni incomplete, attribuzioni affrettate e statistiche prive di contesto può alimentare allarmismo e propaganda. È uno dei problemi sollevati da Livio Varriale, direttore di Matrice Digitale, durante il convegno “Le frontiere della cybersecurity”, moderato dal professor Michele Iaselli al DIGEAT Festival di Lecce. Il confronto ha riguardato la responsabilità dell’informazione nella sicurezza nazionale e il delicato equilibrio tra trasparenza, segretezza e divulgazione delle vulnerabilità.

La cybersecurity raccontata dai giornali non sempre corrisponde alle minacce reali

Il primo problema della comunicazione cyber riguarda la capacità di comprendere quello che viene raccontato. Un sito temporaneamente irraggiungibile, una vulnerabilità scoperta da un ricercatore e un’intrusione conclusa con la sottrazione di informazioni riservate sono fenomeni differenti. Eppure, nel dibattito pubblico, vengono spesso riuniti nella definizione generica di attacco hacker. La semplificazione diventa particolarmente pericolosa quando un episodio criminale viene presentato come un’operazione militare senza elementi sufficienti per dimostrarlo. Varriale ha richiamato la responsabilità dei giornalisti che riproducono comunicazioni istituzionali senza un’adeguata verifica tecnica e senza distinguere i fatti accertati dalle interpretazioni. La comunicazione delle autorità è una fonte giornalistica, non un sostituto dell’attività di verifica. Il problema era già emerso nell’analisi dedicata alla propaganda cyber e alla narrazione distorta del conflitto digitale, nella quale veniva criticata la tendenza a costruire collegamenti geopolitici senza sufficienti riscontri.

ACN, gli eventi informatici non possono essere presentati tutti come attacchi riusciti

La differenza tra informazione e allarmismo emerge anche nell’utilizzo delle statistiche. Nel primo semestre 2026 l’Agenzia per la cybersicurezza nazionale ha registrato 2.171 eventi cyber, dei quali 1.072 classificati come incidenti con impatto confermato. Il dato è significativo proprio perché distingue il volume delle segnalazioni dalle conseguenze effettivamente accertate. Inoltre, l’ampliamento del perimetro di osservazione introdotto dalla NIS2 contribuisce all’aumento delle rilevazioni. Presentare ogni evento come un attacco riuscito significa alterare il significato delle statistiche. La maggiore capacità di individuare anomalie può rappresentare anche un miglioramento della sicurezza, mentre la scoperta di una vulnerabilità non dimostra automaticamente che sia stata utilizzata per compromettere un sistema. Un giornalismo competente deve chiarire queste differenze, soprattutto quando i numeri vengono utilizzati per valutare la sicurezza nazionale o giustificare nuovi investimenti pubblici.

Cybercrime, hacktivismo e operazioni statali: la guerra cibernetica non è una categoria indistinta

Attribuire un attacco informatico a uno Stato richiede elementi più solidi di una rivendicazione pubblicata sui social. Gli apparati di intelligence possono condurre operazioni di spionaggio e sabotaggio, le organizzazioni criminali perseguono generalmente finalità economiche e i gruppi hacktivisti utilizzano spesso le intrusioni o gli attacchi DDoS per ottenere visibilità politica. Esistono sovrapposizioni e collegamenti, ma non tutte le attività informatiche ostili possono essere classificate come operazioni di guerra. Varriale ha richiamato il fenomeno delle campagne DDoS rivendicate dai gruppi filorussi, osservando come la loro esposizione mediatica possa assumere un valore propagandistico superiore agli effetti tecnici degli attacchi. Un’interruzione temporanea non equivale necessariamente alla compromissione dell’infrastruttura colpita. La distinzione diventa essenziale anche per comprendere il peso delle vere operazioni statali, come emerge dall’analisi sulle dottrine e sugli attori della guerra cibernetica.

Ransomware e rivendicazioni criminali: il rischio di fare pubblicità agli estorsori

La comunicazione degli incidenti ransomware presenta una difficoltà ulteriore. Gli aggressori utilizzano la minaccia di pubblicare informazioni riservate per esercitare pressione sulle vittime, mentre la diffusione incontrollata delle loro rivendicazioni può aumentare il danno reputazionale. Il giornalismo deve raccontare le estorsioni senza trasformare le dichiarazioni dei criminali in fatti accertati, verificando la natura delle informazioni compromesse e gli effetti sulla continuità dei servizi. Anche il pagamento del riscatto richiede un’informazione rigorosa: non garantisce il recupero dei dati né la loro cancellazione da parte degli aggressori. La pressione esercitata sulle strutture sanitarie, documentata nei casi di ransomware contro ospedali e fornitori di servizi sanitari, dimostra quanto sia importante distinguere l’emergenza operativa dalla strategia comunicativa degli estorsori.

Trasparenza o segretezza: quanto deve sapere il pubblico di una vulnerabilità?

Il secondo intervento di Varriale ha affrontato il problema della divulgazione delle vulnerabilità e della concentrazione delle segnalazioni nelle infrastrutture europee. Informare tempestivamente gli operatori è indispensabile, ma diffondere dettagli tecnici immediatamente sfruttabili può aumentare l’esposizione dei sistemi non ancora aggiornati. Il problema riguarda quindi il momento della pubblicazione, la natura delle informazioni diffuse e la possibilità concreta di adottare misure correttive. Su questo punto assume rilievo la politica nazionale di Coordinated Vulnerability Disclosure adottata dall’ACN. Il sistema assegna allo CSIRT Italia un ruolo di coordinamento tra ricercatori e fornitori per favorire la correzione delle vulnerabilità prima della divulgazione pubblica. La procedura italiana per la segnalazione coordinata delle vulnerabilità costituisce un esempio della necessità di conciliare ricerca, sicurezza e responsabilità. La questione riguarda anche le piattaforme europee di condivisione. Centralizzare le informazioni può migliorare la difesa collettiva, ma aumenta l’importanza della protezione delle infrastrutture che le raccolgono. Il contributo del consulente Lorenzo Bosetti, dedicato alla complessità delle notifiche, ha evidenziato l’esigenza di rendere più efficiente la circolazione delle informazioni tra organizzazioni e autorità, senza aggiungere nuovi ostacoli alla gestione degli incidenti.

L’informazione indipendente è parte della resilienza nazionale

La riflessione proposta da Varriale si inserisce nel più ampio confronto aperto da Michele Iaselli sulla necessità di costruire una cultura della sicurezza informatica. Un cittadino informato dispone di strumenti per distinguere una minaccia concreta da una narrazione propagandistica, mentre un pubblico esposto esclusivamente a messaggi allarmistici rischia di diventare più vulnerabile alla manipolazione. Il ruolo del giornalismo non è quello di sostituirsi agli apparati di sicurezza o alle autorità, ma di verificare le informazioni e renderle comprensibili. La cybersecurity richiede anche un’informazione capace di distinguere il pericolo reale dalla sua rappresentazione pubblica. È su questa differenza che si misura la qualità del giornalismo specializzato e la sua capacità di contribuire alla sicurezza collettiva.