Norvegia sotto DDoS: colpito il cuore digitale dello Stato per oltre 30 ore

🛡️ Executive Summary

• Digdir è sotto attacco DDoS dalle 03:38 del 24 agosto: numerosi servizi digitali condivisi della Pubblica Amministrazione norvegese hanno subito interruzioni e rallentamenti.
• ID-porten, MinID, Maskinporten, eInnsyn, Altinn, eSignering e Digital postkasse figurano tra le piattaforme direttamente o indirettamente coinvolte.
• Non risultano intrusioni né compromissioni di dati personali e non esiste al momento un’attribuzione ufficiale dell’attacco.

La Norvegia ha trascorso oltre trenta ore sotto un attacco DDoS diretto contro il cuore della propria infrastruttura digitale pubblica, con conseguenze su autenticazione elettronica, servizi amministrativi, comunicazioni tra cittadini, imprese e Stato e scambio di informazioni tra enti. Il bersaglio è Digitaliseringsdirektoratet, Digdir, l’agenzia responsabile di numerose piattaforme condivise utilizzate dall’intero settore pubblico norvegese. L’attacco è iniziato alle 03:38 del 24 agosto 2026 e, pur senza produrre evidenze di intrusione o sottrazione di dati, ha provocato periodi di completa indisponibilità e rallentamenti. È già il terzo episodio di questo tipo contro Digdir in un periodo molto ristretto.

L’attacco colpisce il punto di accesso digitale alla Pubblica Amministrazione

Nel comunicato ufficiale diffuso da Digdir l’agenzia conferma che il DDoS è iniziato nella notte tra domenica e lunedì e ha interessato una parte sostanziale delle proprie soluzioni digitali comuni. Tra i servizi direttamente coinvolti figurano ID-porten, Kontakt- og reservasjonsregisteret, Maskinporten, MinID, eFormidling, ELMA, eInnsyn, Ansattporten e Selvbetjeningsløsningen. Altinn, eSignering e Digital postkasse hanno subito a loro volta conseguenze. Non si tratta quindi della semplice indisponibilità di un sito istituzionale: l’attacco ha raggiunto componenti utilizzati come infrastruttura trasversale da amministrazioni, cittadini e aziende.

ID-porten trasforma il DDoS in un problema nazionale di accesso

Il nodo più sensibile è ID-porten, sistema di autenticazione che consente agli utenti di accedere a migliaia di servizi pubblici attraverso identità elettroniche come MinID e altri sistemi compatibili. Quando questa infrastruttura rallenta o diventa indisponibile, il problema si propaga automaticamente verso servizi che non sono stati attaccati direttamente. Durante l’incidente gli utenti hanno sperimentato login falliti, risposte lente e tempi di autenticazione molto superiori al normale. Il DDoS mostra quindi uno dei rischi della centralizzazione digitale: concentrare l’identità e l’accesso aumenta efficienza e interoperabilità, ma crea anche componenti la cui indisponibilità può produrre effetti a cascata su un’intera amministrazione.

Alcuni servizi sono rimasti completamente indisponibili per brevi periodi

Digdir riferisce di essere riuscita a mantenere gran parte delle piattaforme almeno parzialmente operative durante l’attacco, ma alcune soluzioni sono state completamente irraggiungibili per brevi intervalli. Alla mattina del 25 agosto la situazione continuava a oscillare tra miglioramenti e nuove ondate di traffico, mentre nel primo pomeriggio l’agenzia dichiarava i sistemi sostanzialmente stabilizzati pur segnalando ancora disservizi su alcune piattaforme. Il comportamento è tipico delle campagne DDoS contemporanee: il traffico può arrivare a ondate, cambiare vettore e intensità e costringere i sistemi di mitigazione a modificare continuamente filtri e capacità di assorbimento. La scala globale della minaccia è cresciuta rapidamente: nel secondo trimestre del 2026 gli attacchi DDoS superiori a 1 Tbps sono aumentati del 519%, trasformando eventi un tempo eccezionali in una componente molto più ordinaria del traffico ostile.

Il bersaglio è la disponibilità, non risultano intrusioni nei sistemi

Il direttore di Digdir Frode Danielsen ha chiarito un elemento fondamentale: non esistono indicazioni di una compromissione dei sistemi o di dati personali sottratti. Un DDoS non deve essere confuso automaticamente con un’intrusione. L’obiettivo è saturare risorse di rete, server o applicazioni affinché gli utenti legittimi non riescano più a raggiungerle. Questo non riduce però la rilevanza dell’incidente quando il bersaglio è un’infrastruttura pubblica centrale. Rendere indisponibile un servizio di identità digitale può ostacolare pratiche fiscali, accesso a portali sanitari, procedure amministrative e comunicazioni con lo Stato senza che l’attaccante debba violare una sola banca dati.

È il terzo attacco contro Digdir in poche settimane

L’episodio assume maggiore importanza perché non è isolato. Digdir conferma che si tratta del terzo attacco DDoS recente contro le proprie piattaforme. Un precedente incidente del 3 agosto aveva già colpito ID-porten e altre soluzioni comuni, provocando problemi di autenticazione per servizi come Helsenorge, NAV e l’amministrazione fiscale. Un ulteriore attacco era stato registrato a fine giugno. La ripetizione modifica la valutazione del rischio: non si parla più di gestire un evento eccezionale, ma di progettare l’infrastruttura assumendo che nuovi tentativi di saturazione possano arrivare regolarmente. È lo stesso scenario descritto dall’IOCTA 2026 di Europol, dove i DDoS vengono considerati strumenti economici, accessibili e ad alto valore politico.

Nessuna attribuzione ufficiale nonostante il contesto geopolitico

Al momento le autorità norvegesi non hanno attribuito ufficialmente l’attacco. Questo punto è particolarmente importante perché campagne DDoS contro enti pubblici europei vengono spesso rapidamente associate a gruppi hacktivisti filorussi, soprattutto dopo l’invasione dell’Ucraina e l’ingresso di Finlandia e Svezia nella NATO. La storia recente fornisce numerosi precedenti, ma non costituisce una prova relativa all’incidente norvegese. Gruppi come NoName057(16) hanno trasformato il denial-of-service in uno strumento ricorrente di pressione politica e propaganda, arrivando a colpire amministrazioni e istituzioni europee e costruendo reti internazionali di sostenitori. Le operazioni di contrasto hanno portato anche all’arresto in Spagna di un presunto hacktivista collegato agli ecosistemi filorussi, ma Digdir non ha indicato al momento alcun collegamento con questi attori.

Il DDoS rimane perfetto per la pressione politica perché produce un risultato visibile

Il denial-of-service possiede caratteristiche che lo rendono particolarmente adatto alle campagne hacktiviste. Costa meno di un’intrusione sofisticata, può essere eseguito attraverso botnet o servizi a noleggio e produce un effetto immediatamente comprensibile anche al pubblico non tecnico: il sito non risponde, il login fallisce, il servizio dello Stato appare indisponibile. Questa visibilità genera un ritorno propagandistico che può essere molto superiore alla reale sofisticazione dell’operazione. NoName057(16), KillNet e altri collettivi hanno costruito una parte rilevante della propria reputazione proprio su questo meccanismo. Anche le infrastrutture utilizzate da queste reti sono diventate oggetto di operazioni giudiziarie, come nel sequestro olandese di centinaia di server collegati anche ad attività DDoS filorusse.

La Norvegia deve difendere un’infrastruttura che concentra la fiducia dello Stato digitale

Digdir opera con il supporto del proprio fornitore Vivicta e ha notificato l’incidente alla Nasjonal sikkerhetsmyndighet, NSM, e al garante norvegese per la protezione dei dati. Al termine dell’emergenza l’agenzia ha annunciato una nuova valutazione delle misure necessarie per ridurre il rischio di ricorrenza. La questione tecnica riguarda capacità di scrubbing, distribuzione geografica, ridondanza, rate limiting e capacità di spostare rapidamente il traffico malevolo. Quella strategica è però ancora più importante: quanto può dipendere uno Stato digitale da pochi punti comuni di autenticazione e interscambio prima che la loro disponibilità diventi essa stessa un elemento di sicurezza nazionale?

L’incidente norvegese mostra bene perché misurare un cyberattacco soltanto in termini di dati rubati sia insufficiente. Nessun database deve essere necessariamente violato perché un’operazione produca conseguenze reali. Se per decine di ore cittadini e imprese faticano ad autenticarsi nei servizi dello Stato, l’attaccante ha già colpito una delle proprietà fondamentali della sicurezza informatica: la disponibilità.

La Norvegia ha costruito una delle amministrazioni più digitalizzate d’Europa. Proprio per questo, il DDoS del 24 agosto non rappresenta soltanto un problema di traffico di rete: è un test sulla resilienza dello Stato quando la porta d’ingresso ai servizi pubblici diventa essa stessa il bersaglio.