NoName057(16) rivendica gli attacchi ai frigoriferi: tra DDoS, propaganda russa e attribuzioni senza prove

📌 In Sintesi

• NoName057(16) e Z-Pentest rivendicano gli attacchi contro i sistemi di refrigerazione europei. La dichiarazione diffusa il 3 novembre 2026 non costituisce una prova della responsabilità dei gruppi. Le analisi tecniche pubbliche non hanno ancora stabilito un’attribuzione definitiva.
• NoName057(16) continua a utilizzare DDoS, propaganda politica e mobilitazione distribuita. L’intervista esclusiva del gennaio 2023, le campagne contro le istituzioni italiane e l’operazione Eastwood di Europol ricostruiscono l’evoluzione di una rete hacktivista trasformata in un problema giudiziario internazionale.
• Gli incidenti ai frigoriferi riguardano la sicurezza OT, non soltanto la disponibilità dei siti web. I controllori industriali esposti possono consentire alterazioni delle temperature con conseguenze materiali. Dimostrare chi li abbia manipolati richiede evidenze differenti da una rivendicazione Telegram.

NoName057(16) torna al centro della cronaca italiana per due ragioni distinte: la prosecuzione delle campagne DDoS contro obiettivi europei e la rivendicazione degli attacchi che, tra ottobre e novembre 2026, hanno colpito i sistemi di refrigerazione di numerosi supermercati. Il 3 novembre il collettivo filorusso, insieme a Z-Pentest, si attribuisce la manipolazione delle apparecchiature industriali, dichiarando di aver utilizzato funzionalità integrate anziché malware. Il video viene rilanciato dal Tg1 e dalla stampa italiana il giorno successivo, ma nessuna attribuzione tecnica pubblica dimostra che NoName057(16) abbia effettivamente eseguito le intrusioni rivendicate. La differenza è fondamentale perché il gruppo è conosciuto principalmente per gli attacchi Distributed Denial of Service, mentre la modifica dei parametri di un impianto frigorifero richiede un accesso ai sistemi di controllo. La vicenda assume un significato ancora maggiore osservando la storia del collettivo: intervistato in esclusiva nel gennaio 2023, protagonista di ripetuti attacchi contro le istituzioni italiane e bersaglio dell’operazione Eastwood di Europol nel 2025, NoName057(16) ha costruito parte della propria influenza proprio attraverso la capacità di trasformare ogni rivendicazione in un evento mediatico.

Frigoriferi hackerati in Europa: la rivendicazione di NoName057(16) non chiude le indagini

La prima grande ondata di incidenti contro la refrigerazione commerciale viene documentata nella notte tra l’11 e il 12 ottobre 2026, quando centinaia di supermercati francesi registrano anomalie nei sistemi frigoriferi. La vicenda, ricostruita nell’approfondimento sugli attacchi ai supermercati francesi, mostra conseguenze materiali rilevanti: prodotti freschi e surgelati compromessi, impianti da riportare in condizioni operative e segnalazioni di incendi sottoposte agli accertamenti delle autorità.

Tra il 1° e il 2 novembre una nuova ondata interessa diversi Paesi europei, compresi Belgio, Svezia, Irlanda e Italia. Nei supermercati svedesi vengono segnalate temperature fino a 50-55 gradi all’interno di alcuni congelatori, mentre numerosi punti vendita devono intervenire per limitare le perdite. Il fenomeno viene documentato nell’analisi dei cyberattacchi ai supermercati europei del 2 novembre.

Il 3 novembre compare la rivendicazione congiunta di NoName057(16) e Z-Pentest, successivamente diffusa attraverso un video nel quale i gruppi sostengono di aver colpito apparecchiature Danfoss e Dixell XWEB. La dichiarazione attribuisce gli incidenti a una presunta operazione coordinata e prospetta ulteriori azioni contro infrastrutture idriche, energetiche e industriali. Non vengono però rese pubbliche evidenze forensi sufficienti per collegare in modo definitivo i gruppi alle intrusioni. L’analisi pubblicata il 7 novembre 2026 da Unit 42 di Palo Alto Networks è esplicita: le rivendicazioni di NoName057(16) e Z-Pentest rimangono non verificate.

Esiste una rivendicazione. Esistono incidenti documentati. Non esiste ancora una prova pubblica che dimostri che gli autori della rivendicazione siano responsabili di tutte le compromissioni osservate. È possibile che soggetti differenti abbiano sfruttato problemi simili, oppure che alcuni attori abbiano tentato di appropriarsi mediaticamente di operazioni già note. Entrambe rimangono possibilità da verificare, non conclusioni.

Dal DDoS al controllo industriale: due capacità offensive profondamente differenti

NoName057(16) diventa noto soprattutto attraverso gli attacchi DDoS contro portali pubblici e istituzioni occidentali. Il Distributed Denial of Service consiste nel generare grandi quantità di traffico verso un servizio per comprometterne la disponibilità. L’effetto può essere il rallentamento o l’interruzione temporanea di un sito, senza che gli aggressori abbiano necessariamente acquisito accesso ai database o ai sistemi interni. La manipolazione di un frigorifero industriale appartiene invece a uno scenario diverso. I sistemi di refrigerazione commerciale utilizzano controllori, sensori, piattaforme di supervisione e strumenti di teleassistenza che permettono di impostare temperature, controllare compressori e gestire i cicli di sbrinamento. Quando un soggetto non autorizzato riesce a modificare questi parametri, può interferire direttamente con un processo fisico, provocando danni economici anche senza installare ransomware o sottrarre dati.

L’approfondimento sulle responsabilità nella sicurezza dei frigoriferi industriali spiega perché il problema coinvolga produttori, installatori, manutentori e aziende utilizzatrici. La distinzione tecnica è determinante: saturare un sito web e modificare il funzionamento di un controllore industriale non richiedono le stesse competenze, né producono necessariamente le stesse evidenze investigative. Per attribuire un’intrusione OT servono elementi come registri degli accessi, tracciati delle modifiche ai parametri, informazioni sui collegamenti remoti e correlazioni affidabili con l’infrastruttura utilizzata dagli aggressori. La rivendicazione di NoName057(16), da sola, non fornisce queste prove.

Unit 42 rileva inoltre oltre 5.000 dispositivi esposti a Internet riconducibili ai produttori interessati dal fenomeno, attraverso una rilevazione effettuata il 5 e il 6 novembre. In Italia ne vengono osservati circa 370 nel perimetro specifico di quella scansione. Il dato misura l’esposizione, non il numero dei dispositivi compromessi o necessariamente vulnerabili. Non può quindi essere trasformato in una statistica sugli attacchi riusciti. La reale minaccia è tuttavia evidente: apparecchiature che controllano funzioni fisiche possono diventare raggiungibili attraverso Internet, ampliando la superficie disponibile per tentativi di accesso non autorizzato.

L’intervista esclusiva del 2023 aveva già mostrato la strategia di NoName057(16)

Per comprendere perché il gruppo continui a ottenere attenzione mediatica occorre tornare al 16 gennaio 2023, quando viene pubblicata l’intervista esclusiva a NoName057(16) sul perimetro cibernetico italiano. Il confronto, realizzato per posta elettronica attraverso domande non concordate, contiene dichiarazioni particolarmente significative. Gli hacktivisti spiegano di considerare l’Italia un bersaglio in funzione del suo sostegno politico e militare all’Ucraina. Sostengono inoltre di svolgere attività che vanno oltre il DDoS, citando raccolta informativa, OSINT e attività di analisi. Si tratta di affermazioni provenienti direttamente dal gruppo e non di una verifica delle sue capacità tecniche. La rilevanza giornalistica risiede nella possibilità di confrontare quelle dichiarazioni con gli eventi successivi. Poche settimane dopo, NoName057(16) prende di mira il sito dei Carabinieri, mentre nel marzo 2023 vengono documentati attacchi contro il Consiglio superiore della magistratura e il Ministero del Lavoro.

Nello stesso periodo il gruppo collega pubblicamente i propri obiettivi alla posizione geopolitica italiana. La scelta delle istituzioni possiede una dimensione simbolica evidente. Un DDoS contro un sito ministeriale può produrre un disservizio limitato, ma la rivendicazione consente di presentare l’episodio come un attacco contro l’intero Stato. È il meccanismo attraverso il quale la visibilità mediatica può diventare parte del risultato ricercato dagli aggressori. Il dato non autorizza però a considerare tutti gli attacchi inutili. Una ripetizione sistematica delle interruzioni può determinare costi di mitigazione, impegno del personale e problemi di accessibilità dei servizi. La valutazione richiede quindi di distinguere ciò che è tecnicamente accaduto dalla rappresentazione politica dell’episodio.

DDoSia, ricompense e reclutamento: la struttura del gruppo non è soltanto ideologica

L’attività di NoName057(16) si sviluppa attraverso DDoSia, una piattaforma concepita per organizzare campagne distribuite e facilitare la partecipazione di sostenitori. Il modello permette di utilizzare risorse informatiche messe a disposizione dagli aderenti per generare traffico verso gli obiettivi selezionati. Un elemento distintivo è rappresentato dagli incentivi. Già nel gennaio 2023 il gruppo offre ricompense economiche per partecipare alle campagne DDoS. Il 20 marzo dello stesso anno annuncia un fondo premi da un milione di rubli per i partecipanti, collegando l’iniziativa alla celebrazione dell’annessione russa della Crimea.

L’attivismo dichiarato viene affiancato da un sistema di compensi, riconoscimenti e competizione tra partecipanti. Non occorre essere un ricercatore di vulnerabilità per contribuire a un’operazione DDoS coordinata. La stessa struttura viene successivamente descritta da Europol nel quadro dell’operazione Eastwood. Il collettivo sfrutta una combinazione di ideologia, appartenenza comunitaria, strumenti automatizzati e meccanismi di gamification, trasformando la partecipazione in un’attività accessibile a un pubblico molto più ampio rispetto agli ambienti tradizionali dell’intrusione informatica.

Questo modello spiega la capacità di mantenere pressione su numerosi obiettivi, ma non dimostra automaticamente il possesso di competenze per compromettere ambienti industriali complessi. L’eventuale collaborazione con gruppi dotati di capacità differenti deve essere analizzata caso per caso. Un precedente significativo arriva nel luglio 2024, quando viene documentato un accordo dichiarato tra NoName057(16) e AzzaSec, accompagnato da un’analisi tecnica del ransomware sviluppato da quest’ultimo gruppo. L’episodio mostra la presenza di relazioni tra ambienti hacktivisti e soggetti che utilizzano malware estorsivi, ma non implica che ogni operazione venga eseguita da una struttura comune.

Europol colpisce NoName057(16), ma la rete sopravvive all’operazione Eastwood

Nel luglio 2025 NoName057(16) diventa il bersaglio dell’operazione Eastwood, coordinata da Europol ed Eurojust con la partecipazione delle autorità giudiziarie e di polizia di numerosi Paesi. La ricostruzione dell’operazione internazionale contro NoName057(16) permette di osservare quanto la struttura del gruppo sia più articolata dell’immagine proposta attraverso i canali social.

Secondo il comunicato ufficiale di Europol del 16 luglio 2025, l’azione determina due arresti, sette mandati di cattura, ventiquattro perquisizioni e l’interruzione di oltre cento sistemi informatici utilizzati nell’infrastruttura offensiva. La cooperazione internazionale coinvolge anche l’Italia, dove le indagini della Polizia Postale portano all’identificazione di cinque soggetti ritenuti partecipanti alle attività del collettivo. L’operazione raggiunge inoltre numerosi sostenitori, informandoli delle possibili conseguenze penali delle loro azioni. Eastwood dimostra che una rete costruita attorno alla partecipazione distribuita può essere investigata attraverso l’analisi dell’infrastruttura, delle comunicazioni e delle responsabilità individuali. Non determina però l’estinzione definitiva dell’ecosistema.

Nel gennaio 2026 il National Cyber Security Centre britannico pubblica una nuova allerta sulle attività degli hacktivisti filorussi, richiamando la persistenza delle operazioni DDoS e il rischio per le organizzazioni che erogano servizi essenziali. Il quadro viene approfondito nell’analisi delle minacce hacktiviste russe contro le infrastrutture britanniche. La possibilità di ricostruire strumenti, infrastrutture e comunità di sostenitori consente a questo genere di organizzazioni di mantenere capacità operative anche dopo interventi giudiziari rilevanti. La repressione penale può ridurre la capacità offensiva e individuare i responsabili, ma non sostituisce la protezione tecnica dei sistemi esposti. È una lezione particolarmente importante per interpretare la nuova rivendicazione sui frigoriferi, arrivata oltre un anno dopo Eastwood.

Novembre 2026: DDoS, frigoriferi e dati personali nel mirino

La settimana che porta NoName057(16) nuovamente al centro del dibattito italiano non riguarda soltanto la refrigerazione industriale. Tra il 31 ottobre e il 3 novembre, il gruppo pubblica nuove rivendicazioni di attacchi DDoS contro servizi di trasporto e portali tedeschi nell’ambito della campagna OpGermany. Le dichiarazioni comprendono anche presunte intrusioni in sistemi di controllo industriale, che tuttavia non risultano confermate indipendentemente.

Si ripresenta quindi la stessa distinzione: la rivendicazione di un’interruzione di servizio non prova automaticamente l’entità del danno e, soprattutto, non certifica un accesso ai sistemi operativi. Il 7 novembre emerge inoltre la notizia di una campagna di intimidazione attraverso la pubblicazione o la ricerca a pagamento di informazioni personali su figure istituzionali italiane. Tra i nomi citati figurano Antonio Tajani, ministro degli Esteri, Francesco Lo Voi, procuratore della Repubblica di Roma, Ivano Gabrielli, dirigente della Polizia Postale, e Paolo Tassan-Zanin, sindaco di Aviano. Le ricostruzioni giornalistiche collegano queste attività a NoName057(16), mentre la Procura di Roma conduce accertamenti. La presenza di nomi, dati personali e offerte di ricompensa costituisce un problema distinto dal DDoS e dagli attacchi OT. Non è corretto trattare automaticamente queste vicende come un’unica operazione coordinata.

Esiste però un elemento comune sul piano della comunicazione: il tentativo di esercitare pressione attraverso azioni visibili, rivendicazioni pubbliche e intimidazioni dirette verso bersagli identificabili.

Il problema dell’informazione diventa particolarmente delicato in questo contesto. Un titolo che presenta come verificata una rivendicazione criminale può amplificare il risultato propagandistico cercato dall’autore del messaggio. È una questione affrontata nell’approfondimento sul rapporto tra cybersecurity, informazione e propaganda, che distingue gli eventi segnalati dagli incidenti accertati e dalle conseguenze effettivamente dimostrate.

I frigoriferi del sangue in Francia dimostrano che il rischio industriale è reale

La prudenza nell’attribuzione non deve trasformarsi in una minimizzazione degli incidenti. Il 2 novembre 2026 una compromissione che coinvolge un fornitore di apparecchiature frigorifere raggiunge tre strutture dell’Établissement français du sang (EFS), il servizio pubblico francese responsabile della raccolta e distribuzione di prodotti sanguigni. I parametri di temperatura e sbrinamento vengono modificati, creando condizioni potenzialmente pericolose per la conservazione dei materiali biologici. La vicenda viene ricostruita nell’approfondimento sugli attacchi ai frigoriferi del sangue e sulla risposta di EFS.

Gli allarmi e le procedure operative permettono di mettere in sicurezza gli impianti e preservare i prodotti. L’ente conferma che nessuna sacca di plasma viene persa e non si verificano conseguenze sanitarie. Il caso mostra concretamente perché il rischio OT sia diverso dalla normale indisponibilità di una pagina web. Un sistema di controllo industriale può produrre conseguenze su prodotti alimentari, medicinali e materiali biologici. Non è necessario sottrarre informazioni o bloccare un server per causare un danno economico.

Al tempo stesso, non risulta un’attribuzione ufficiale dell’incidente EFS a NoName057(16). Anche questo episodio deve rimanere separato dalle rivendicazioni del collettivo. La questione centrale è la protezione delle apparecchiature e dei sistemi di teleassistenza che consentono ai fornitori di accedere agli impianti. In Italia l’ACN ha diffuso un’allerta sulla filiera del freddo, segnalando episodi in Toscana ed Emilia-Romagna e richiamando gli operatori alla verifica degli accessi remoti, all’isolamento dei sistemi industriali e alla protezione dei controllori esposti. Nessuno di questi elementi dimostra automaticamente che tutte le aziende coinvolte siano state colpite dalla stessa organizzazione criminale.

Il vero successo della propaganda cyber è ottenere un’attribuzione senza dimostrarla

La vicenda NoName057(16) presenta una contraddizione significativa. Il gruppo diventa famoso attraverso una tecnica relativamente accessibile, il DDoS, ma la sua reputazione cresce anche grazie alla capacità di comunicare ogni operazione come un episodio di guerra cibernetica contro i governi occidentali. Nel novembre 2026 questa dinamica si ripresenta con una differenza sostanziale: la rivendicazione non riguarda soltanto la disponibilità di siti web, ma il funzionamento di impianti fisici. Se fosse dimostrata una partecipazione diretta alle intrusioni industriali, il quadro tecnico delle capacità attribuibili al gruppo dovrebbe essere aggiornato. Fino ad allora, presentare NoName057(16) come autore accertato del sabotaggio dei frigoriferi significa anticipare le conclusioni degli investigatori. È altrettanto scorretto dichiarare il gruppo estraneo agli episodi in assenza di elementi che lo escludano. Il compito dell’analisi cyber è collocare la rivendicazione nel contesto delle capacità documentate, dei rapporti con altri attori e delle evidenze tecniche disponibili. La storia del collettivo, dall’intervista del 2023 all’operazione Eastwood, mostra un’organizzazione capace di sviluppare infrastrutture, reclutare sostenitori, costruire alleanze e selezionare obiettivi coerenti con il proprio orientamento politico.

Non dimostra però che ogni operazione attribuita a soggetti filorussi provenga dalla stessa struttura o sia stata ordinata dagli apparati statali russi. Il problema della cybersecurity italiana non consiste dunque soltanto nell’identificazione dell’autore di un DDoS o di una manipolazione industriale. Consiste anche nella capacità di produrre informazioni verificabili, distinguere i diversi livelli di minaccia e proteggere realmente i sistemi esposti. Da questo punto di vista, NoName057(16) rimane un caso emblematico.

Le sue campagne DDoS sono documentate, la rete di partecipazione è stata oggetto di indagini internazionali e la sua propaganda è osservabile. La responsabilità degli attacchi ai frigoriferi, invece, richiede ancora riscontri pubblici indipendenti. La vera lezione di novembre 2026 è che la sicurezza delle infrastrutture non può dipendere dalle rivendicazioni dei criminali e l’informazione non può trasformare quelle rivendicazioni in verità accertate. Le apparecchiature industriali vulnerabili devono essere protette indipendentemente dall’identità degli aggressori. E i responsabili degli attacchi devono essere individuati attraverso le prove, non attraverso la capacità di ottenere spazio nei telegiornali.