ACN, la guerra degli hacker fa spettacolo. Crosetto e Quacivi si contendono il potere vero

In sintesi

• NoName057(16) fa notizia anche quando mancano le prove. Rivendicare un sabotaggio industriale non significa averlo compiuto: la Francia attribuisce agli iraniani gli attacchi di ottobre ai frigoriferi.
• Le fughe di dati sono trattate come invasioni militari. Il caso DIA mostra quanto sia facile scambiare un annuncio sul dark web per una violazione accertata delle infrastrutture dello Stato.
• Crosetto avanza, Quacivi delimita il campo. La Difesa guadagna un proprio dominio operativo cyber, ma il nuovo direttore dell’ACN non cede il coordinamento della sicurezza civile.
• Frattasi potrebbe cambiare palcoscenico dopo che l’ACN ha delineato la macchina organizzativa. Dietro i titoli allarmistici rimane la partita meno fotogenica: soldi e fornitori.

C’è un’Italia nella quale basta una rivendicazione su Telegram per evocare la guerra mondiale, e un’altra nella quale si decidono davvero chi comanda la cybersicurezza, chi gestisce i dati e chi incassa le commesse. La prima riempie i giornali. La seconda si muove tra il Ministero della Difesa, Palazzo Chigi, l’Agenzia per la cybersicurezza nazionale (ACN) e l’industria tecnologica. Non è una coincidenza da romanzo di spionaggio: è la fotografia di queste settimane. NoName057(16) si prende le copertine, i frigoriferi diventano un affare geopolitico, una presunta fuga di documenti della DIA viene raccontata come una nuova disfatta dello Stato. Intanto Guido Crosetto conquista spazio nella guerra cibernetica, Andrea Quacivi difende il ruolo civile dell’ACN e Bruno Frattasi potrebbe trovare una nuova destinazione istituzionale. Il problema non sono soltanto gli hacker. È il teatro costruito attorno a loro, mentre la politica ridisegna la pianta del potere che controlla la sicurezza nazionale.

NoName057 e il giornalismo che scambia un comunicato per una prova

Cominciamo dai professionisti della rivendicazione. NoName057(16) è un gruppo filorusso conosciuto da anni, soprattutto per i DDoS: attacchi che sovraccaricano un servizio fino a renderlo irraggiungibile. Talvolta producono disservizi seri; non dimostrano però, per definizione, che siano stati sottratti documenti o conquistati sistemi interni. Matrice Digitale intervistò il collettivo nel gennaio 2023, quando buona parte dell’informazione italiana stava ancora imparando a pronunciarne il nome e addirittura c’era chi accusava la testata di fare propaganda ai russi per poi ottenere incarichi di governo ed ora tace. Nel 2025 l’operazione Eastwood di Europol ha mostrato che la rete non era una fantasia digitale. Ma prendere sul serio un attore non significa prendergli per buone tutte le dichiarazioni.

Il 3 novembre NoName057(16) e Z-Pentest si attribuiscono gli attacchi ai controllori dei frigoriferi europei. Una parte della stampa corre: ecco i russi, ecco la guerra ibrida, ecco il supermercato trasformato in fronte bellico. Peccato che il DDoS contro una pagina web e la modifica remota dei parametri di un impianto industriale siano due operazioni differenti, con accessi, competenze ed effetti differenti. L’analisi della rivendicazione aveva già separato le dichiarazioni dalla prova tecnica. Non è prudenza da timorosi: è il mestiere di chi verifica prima di pubblicare. Lo stesso vale per il terrorismo mediatico sui «frigoriferi portati a 50 gradi»: bisogna distinguere il valore impostato sul controllore dalla temperatura effettivamente raggiunta dai prodotti.

Poi arriva il dettaglio che manda all’aria la sceneggiatura. Il 9 novembre la Francia attribuisce all’unità iraniana Shahid Kaveh, collegata ai Pasdaran, il sabotaggio degli impianti di circa 700 supermercati nella notte fra l’11 e il 12 ottobre, con almeno quindici principi d’incendio. È un’attribuzione ufficiale francese, non una sentenza irrevocabile; e non autorizza a scaricare sull’Iran ogni successivo incidente europeo. Ma è abbastanza per ricordare ai commentatori che Parigi non indica NoName057 come responsabile della campagna francese di ottobre. Chi aveva già assegnato il ruolo del cattivo ha un problema di copione.

L’ucraino, Porro e la differenza fra propaganda e guerra informatica

Quando le valutazioni di militari ucraini diventano materiale per titoli sensazionalistici, anche su circuiti editoriali come quello di Nicola Porro, il rischio è trasformare una testimonianza di parte in una perizia universale. Gli ucraini conoscono bene la guerra cibernetica russa; questo non significa che ogni sabotaggio industriale europeo sia opera dei gruppi più visibili su Telegram. Sandworm, associato all’intelligence militare russa e a operazioni distruttive contro l’Ucraina, appartiene a una categoria operativa diversa da NoName057. Le campagne collegate all’ecosistema Sandworm e il precedente Viasat insegnano che la guerra cyber può compromettere comunicazioni e servizi essenziali. Non che si debba invocare Sandworm ogni volta che qualcuno mette mano a un termostato.

Il punto più grave non è nemmeno l’errore di attribuzione. È ciò che gli allarmi coprono: dispositivi industriali esposti, accessi remoti mal protetti, manutentori con privilegi e fornitori che vendono connettività senza governarne i rischi. L’allerta ACN alla filiera del freddo riguarda anche due episodi italiani, uno in Toscana e uno in Emilia-Romagna, non attribuiti pubblicamente a un unico attore. E il caso dei frigoriferi dell’ente francese del sangue dimostra cosa sia la difesa concreta: impianti coinvolti, allarmi tempestivi, prodotti salvati. Si chiama resilienza, non propaganda. Sarebbe utile discuterne prima di distribuire medaglie a chi pubblica il video più minaccioso.

DIA, Camera e Tajani: la scorciatoia del data breach spettacolare

Lo stesso riflesso condizionato agisce sui dati istituzionali. Un attore chiamato weykofa offre in vendita 222 megabyte e 302 file attribuiti alla Direzione Investigativa Antimafia. Il titolo è pronto: «DIA hackerata». Mancano però i passaggi decisivi: verificare autenticità, provenienza, contenuto, eventuale carattere già pubblico dei documenti e vettore d’accesso. La ricostruzione della presunta vendita dice esattamente questo: una rivendicazione non certifica un’intrusione. Ed è doveroso non confondere questa vicenda con il caso degli accessi abusivi contestati nell’ambito della Direzione nazionale antimafia e antiterrorismo, organismo diverso dalla DIA. Lì il tema era l’uso indebito di accessi legittimi; qui non conosciamo ancora l’origine dei file.

Con la Camera e con la circolazione di informazioni personali su Antonio Tajani torna il solito automatismo: più importante è il bersaglio, più enorme deve sembrare la compromissione. Solidarietà a chi subisce minacce e diffusione di dati, certo. Ma una casella parlamentare non equivale alla rete riservata del governo; dati personali diffusi non provano da soli l’infiltrazione del Ministero degli Esteri. Tajani può legittimamente discutere di sicurezza e minacce ibride al G7. Il giornalismo, dal canto suo, deve chiedere che cosa sia stato davvero sottratto e da quale sistema. Invece preferisce spesso un unico vocabolario, buono per tutti gli usi: «hackerati». È il modo più rapido per informare poco e spaventare molto.

Crosetto e Frattasi: il possibile commissariamento che non ha bisogno di un commissario

Ed eccoci alla partita principale. Guido Crosetto non sta inventando la guerra cyber: sta portando nell’ordinamento militare competenze e strumenti che la Difesa considera indispensabili. La distinzione è seria. La protezione civile delle reti, gli obblighi NIS2 e la risposta agli incidenti non sono la conduzione di operazioni militari. Il riassetto già analizzato in agosto sposta il peso operativo verso la Difesa. Il punto politico è che insieme alle competenze possono spostarsi budget, personale, infrastrutture e influenza sui fornitori. Bruno Frattasi non era un osservatore neutrale di questo percorso. Durante la sua direzione l’ACN ha rafforzato il raccordo con lo Stato maggiore della Difesa. La sua provenienza prefettizia, i rapporti con il sistema politico e il contesto degli scontri interni raccontati da Matrice Digitale autorizzano una domanda scomoda:

Frattasi e Crosetto potevano rappresentare due sponde di un trasferimento progressivo di potere dal perimetro civile a quello militare?

È una chiave di lettura politica, non la prova di un piano segreto concordato. Ma ignorare quella convergenza sarebbe altrettanto puerile. L’arrivo di Andrea Quacivi, manager proveniente da Sogei, rompe l’equilibrio precedente. Non arriva un altro prefetto abituato alle mediazioni fra apparati: arriva un dirigente che conosce infrastrutture, contabilità e funzionamento delle piattaforme pubbliche. Per questo la sua audizione del 13 ottobre al Senato è più importante di molte dichiarazioni sulla minaccia russa. Quacivi riconosce alla Difesa il dominio operativo militare, anche in tempo di pace, ma mantiene all’ACN il coordinamento della resilienza e delle crisi civili. Crosetto prende la guerra; Quacivi non gli consegna al momento il resto del Paese.

Qui sta il vero inciucio possibile, o il compromesso istituzionale, secondo il punto di osservazione: ciascuno accetta una parte dell’altro, ma nessuno rinuncia davvero al peso politico. Il «commissariamento» dell’ACN non richiede per forza un commissario. Potrebbe prendere forma se le capacità più pregiate, le informazioni e i contratti strategici migrassero verso la Difesa lasciando all’Agenzia gli adempimenti, le circolari e la facciata della vigilanza. Oggi non ci sono elementi per dire che questo esito sia già realizzato. Ci sono invece ragioni per controllare come vengono distribuite le competenze e soprattutto i soldi.

Leonardo e Palantir: la sovranità promessa, la dipendenza acquistata

Il rafforzamento militare porta inevitabilmente al tavolo Leonardo, protagonista industriale della Difesa italiana, e le piattaforme di analisi dei dati utilizzate negli ecosistemi militari occidentali. In questo scenario compare Palantir, società statunitense che ha rapporti documentati con apparati della Difesa e un ruolo importante nell’ecosistema tecnologico ucraino. La vicenda dell’incarico italiano a Mykhailo Fedorov e dei suoi rapporti con Alex Karp è stata ricostruita qui. Non prova una regia congiunta Leonardo-Palantir né un accordo per controllare l’ACN. Alza però una domanda che nessun patriottismo da convegno può eludere.

Chi controlla software, dati, accessi e aggiornamenti quando un Paese affida funzioni strategiche a tecnologie estere?

Si può comprare un’eccellente capacità operativa e perdere contemporaneamente margine di autonomia. Se la sovranità digitale finisce per coincidere con il cambio di fornitore o con la segretezza di un contratto, non è sovranità: è dipendenza vestita con una divisa più elegante. Crosetto ha tutto il diritto di cercare strumenti moderni per la Difesa; il Parlamento ha il dovere di verificare interoperabilità, controllo nazionale, conflitti d’interesse e condizioni di uscita dai contratti. Altrimenti il problema non sarà stabilire chi «comanda» sull’ACN, ma scoprire chi comanda davvero sulle tecnologie dello Stato.

Frattasi verso il teatro: sipario sulla sicurezza?

Il finale è quasi scritto da un autore satirico. Secondo indiscrezioni giornalistiche del 10 novembre, Frattasi potrebbe approdare all’Accademia nazionale d’arte drammatica Silvio D’Amico. Non c’è una nomina formalizzata, né un elemento che dimostri un incarico concesso per comprarne il silenzio. Il prefetto ha un profilo amministrativo e culturale che rende plausibile un ruolo del genere. Ma il simbolismo è irresistibile: mentre il sistema cyber recita la guerra totale, il suo ex direttore potrebbe finire a occuparsi letteralmente di teatro e questo potrà bastare ad acquietare le polemiche di questi giorni dove sono trapelate notizie sui giornali riguardo i contratti che solo alti funzionari possono conoscere. Nel frattempo, l’analisi dei conti ACN e dei rilievi della Camera porta alla luce la proposta di aumentare di 1,22 milioni di euro annui il fondo per la ricollocazione di dirigenti, fino a 1,5 milioni dal 2027. Non è la prova di stipendi illegali né di una distribuzione personale di denaro. È però il promemoria che, mentre ci vengono chiesti sacrifici in nome dell’emergenza cyber, gli apparati sanno difendere con grande precisione le proprie garanzie. Ai tecnici, magari, resterà l’ennesimo discorso motivazionale sul talento e sui giovani hacker evocati da Zangrillo.

Basta guerra raccontata: servono responsabilità verificabili

La soluzione non è un ministero della verità che certifichi le notizie né un nuovo badge da esperto cyber. È molto meno scenografica:

separare nelle comunicazioni ufficiali rivendicazioni, attacchi confermati, furti di dati e attribuzioni; rendere obbligatoria la verifica delle esposizioni dei sistemi industriali; attribuire ai fornitori responsabilità misurabili; pubblicare indicatori verificabili sui risultati dell’ACN; controllare in Parlamento il confine tra Difesa, intelligence e sicurezza civile.

Non si chiede di rivelare segreti operativi. Si chiede di non usare la segretezza come schermo per qualsiasi decisione economica e amministrativa. La guerra ibrida esiste e gli avversari dello Stato non sono personaggi inventati. Proprio per questo la propaganda non può diventare il carburante del sistema che dovrebbe combatterla. NoName057 può rivendicare quanto vuole; il giornalismo non è tenuto a fargli da megafono. Crosetto può costruire capacità militari; non può bastare una dichiarazione per dimostrare sovranità tecnologica. Quacivi può difendere l’ACN; deve dimostrare che l’Agenzia produce sicurezza e non soltanto adempimenti. E Frattasi, con o senza palcoscenico, resta parte di una stagione amministrativa sulla quale è legittimo fare domande.

La notizia non è che qualcuno abbia hackerato un frigorifero. È che, mentre l’Italia guarda il frigorifero, si decide chi avrà le chiavi dell’intero sistema.