Sandworm e la Rete Elettrica Europea: Anatomia di una Campagna Ibrida che l'Italia non Può Ignorare
Il 2026 si sta configurando come l'anno in cui la guerra ibrida russa contro l'Europa ha superato una soglia critica. A marzo, tre eventi apparentemente distinti hanno delineato un quadro convergente: il servizio di intelligence olandese AIVD-MIVD ha pubblicato un rapporto che documenta l'intensificazione sistematica delle operazioni ibride russe nel continente; il Munich Security Report ha classificato i cyberattack come rischio numero uno per le nazioni del G7 per la prima volta nella storia; e il Consiglio dell'Unione Europea ha adottato nuove sanzioni contro entità responsabili di attacchi cyber contro gli Stati membri. Al centro di questa convergenza si trova un attore specifico: Sandworm, noto anche come APT44, l'unità di sabotaggio cibernetico del GRU russo.
Sandworm/APT44: Dal Blackout Ucraino alla Campagna BadPilot
Sandworm non è un gruppo APT ordinario. È l'unità 74455 del GRU, il servizio di intelligence militare russo, responsabile di alcuni degli attacchi più distruttivi della storia della cybersecurity: il blackout della rete elettrica ucraina nel 2015 e 2016, il wiper NotPetya del 2017 che ha causato 10 miliardi di dollari di danni globali, e l'attacco ai sistemi satellitari Viasat nel febbraio 2022 che ha interrotto le comunicazioni in tutta l'Unione Europea nelle ore precedenti l'invasione dell'Ucraina.
Nel gennaio 2026, Microsoft e Amazon hanno documentato la campagna "BadPilot": un'operazione sistematica di Sandworm che sfrutta dispositivi di rete perimetrali mal configurati, VPN e piattaforme di collaborazione per penetrare infrastrutture critiche in Nord America e in Europa. L'analisi di Barracuda Networks, pubblicata il 16 marzo 2026, conferma che il gruppo sta puntando su settori specifici: energia (incluso oil & gas), telecomunicazioni, trasporto marittimo, industria degli armamenti e apparati governativi. La campagna BadPilot rappresenta un'evoluzione tattica significativa: invece di malware custom, Sandworm sfrutta strumenti legittimi già presenti nei sistemi target — la tecnica "living off the land" — rendendo il rilevamento estremamente difficile.
Il malware DynoWiper, attribuito a Sandworm nel 2025-2026, e progettato specificamente per i sistemi di controllo industriale (ICS). Carica firmware corrotto nelle Remote Terminal Units (RTU), forzandole in loop di riavvio infinito, e simultaneamente cancella le interfacce uomo-macchina (HMI). Questo doppio vettore — disruption fisica + cancellazione dati — rappresenta l'evoluzione più pericolosa del sabotaggio OT.
La Rete Elettrica come Campo di Battaglia: i Dati del Munich Security Report 2026
Il Munich Security Report 2026 ha segnato un punto di svolta nel discorso strategico europeo. Per la prima volta, i cyberattack sono stati classificati come rischio numero uno per la sicurezza delle nazioni del G7, salendo di tre posizioni rispetto al 2021. La Germania ha registrato il punteggio di rischio cyber più alto (75 su 100), con il 73% degli intervistati che considera imminente un attacco significativo e il 39% che dubita della preparazione del proprio paese. Questi dati, provenienti da un contesto tradizionalmente focalizzato su minacce convenzionali, segnalano che la comunità strategica europea ha raggiunto un consenso sulla gravità della minaccia cyber alle infrastrutture energetiche.
Il rapporto documenta una escalation drammatica delle operazioni ibride russe tra il 2022 e il 2026. I ricercatori hanno catalogato 219 incidenti di sospetta guerra ibrida russa in Europa tra il 2014 e il 2025, con il 46% concentrato nel solo 2024, secondo i dati citati da GLOBSEC. Le operazioni includono droni russi nello spazio aereo polacco (settembre 2025), MiG-31 che hanno violato lo spazio aereo estone per 12 minuti, sabotaggi a infrastrutture sottomarine nel Baltico, e attacchi arson coordinati. La componente cyber di questa campagna ibrida non è separata: è integrata con le operazioni cinetiche in quello che gli analisti definiscono "blended cyber-kinetic operations".
L'Allarme dell'Intelligence Olandese e il Caso della Fontana
A marzo 2026, i servizi olandesi AIVD e MIVD hanno pubblicato un rapporto congiunto che rappresenta uno dei documenti più espliciti mai prodotti da un'agenzia di intelligence europea sulla minaccia russa. Il rapporto avverte che la Russia si sta preparando a un confronto prolungato con l'Occidente attraverso una campagna sistematica che combina attacchi cyber, sabotaggio fisico e operazioni di influenza coperta. Le agenzie olandesi documentano attacchi DDoS contro siti governativi, operazioni di spionaggio che hanno sottratto dati sensibili dalla polizia (il caso "Laundry Bear" del settembre 2024) e tentativi di manipolazione di politici europei.
Un dettaglio apparentemente banale del rapporto merita attenzione analitica: hacker collegati alla Russia hanno penetrato il sistema di controllo di una fontana pubblica in una città olandese. L'episodio potrebbe sembrare insignificante, ma rappresenta esattamente la logica operativa di Sandworm: testare l'accesso a sistemi di controllo industriale civili a basso rischio prima di colpire target di alto valore. È il medesimo approccio documentato prima degli attacchi alla rete elettrica ucraina — ricognizione e validazione delle capacità su obiettivi secondari.
La Russia non solo ha dimostrato la capacità di assorbire perdite sostanziali in Ucraina, ma ha addirittura ampliato e riformato le proprie forze armate. Questo indica la preparazione di Mosca per un conflitto sostenuto.
— Rapporto congiunto AIVD-MIVD, marzo 2026
Le Sanzioni UE di Marzo 2026: Risposta Diplomatica alla Minaccia Cyber
Il 16 marzo 2026, il Consiglio dell'Unione Europea ha adottato nuove misure restrittive contro tre entità e due individui responsabili di attacchi cyber contro Stati membri. Le sanzioni hanno colpito Integrity Technology Group (Cina), responsabile della compromissione di oltre 65.000 dispositivi in sei Stati membri tra il 2022 e il 2023; Anxun Information Technology (Cina), fornitore di servizi di hacking mirati a infrastrutture critiche; ed Emennet Pasargad (Iran), fronte per cyberattack iraniani inclusa l'interferenza elettorale negli Stati Uniti e l'attacco alla rivista francese Charlie Hebdo. Il regime sanzionatorio UE conta ora 19 individui e 7 entità designate, con proroga fino al 18 maggio 2026.
Le sanzioni segnalano un'evoluzione importante del "cyber diplomacy toolbox" europeo. Tuttavia, l'assenza di entità russe nell'ultimo pacchetto — nonostante le evidenze documentate dai propri servizi di intelligence — rivela le tensioni politiche interne all'UE sulla gestione del confronto con Mosca. La Francia, nel comunicato del Ministero degli Esteri del 17 marzo, ha sottolineato la necessità di colpire l'"ecosistema offensivo privato" che abilita le operazioni statali, suggerendo che il prossimo passo potrebbe riguardare le aziende russe di cybersecurity che operano come contractor del GRU.
L'Asse del Pre-posizionamento: Volt Typhoon e il Paradigma Cinese
La campagna russa non opera in isolamento. L'analisi dell'IISS (International Institute for Strategic Studies) del gennaio 2026 documenta come Volt Typhoon, il gruppo cinese che ha infiltrato infrastrutture critiche americane, stia estendendo le proprie operazioni oltre il Nord America. CISA, FBI e NSA hanno confermato che Volt Typhoon mantiene accesso persistente a reti di infrastrutture critiche per potenziali effetti distruttivi durante crisi future. La tecnica è identica al modus operandi di Sandworm: pre-posizionamento silenzioso tramite "living off the land", senza malware rilevabile, con attivazione rinviata a un momento di crisi geopolitica. Il rapporto finlandese sulla sicurezza nazionale 2026 ha confermato che sia la Russia che la Cina stanno attivamente prendendo di mira reti governative, aziende tecnologiche e istituti di ricerca, sfruttando le debolezze nelle supply chain dei sistemi informativi occidentali.
Il Google Threat Intelligence Report di febbraio 2026 ha documentato per la prima volta operazioni coordinate di Cina, Iran, Russia e Corea del Nord contro la base industriale della difesa occidentale. Non si tratta di una coalizione formale, ma di una convergenza operativa: quattro attori statali che colpiscono gli stessi settori con TTPs complementari, creando una pressione cumulativa che nessuna singola difesa settoriale può contenere.
Il Settore Energetico Europeo: Superficie di Attacco in Espansione
ENISA, nel Threat Landscape 2025, ha classificato il settore energetico come il secondo più colpito nell'UE con l'11,3% degli incidenti significativi. Il caso paradigmatico resta l'attacco di maggio 2023 alla Danimarca: 22 aziende energetiche colpite simultaneamente in un'operazione a due ondate — la prima sfruttando uno zero-day nei firewall Zyxel, la seconda con tecniche coerenti con Sandworm — documentato dal SektorCERT danese. Nel 2022, l'attacco a Deutsche Windtechnik ha disconnesso il monitoraggio remoto di 2.000 turbine eoliche. Questi non sono incidenti isolati: sono test operativi per validare catene di attacco contro la rete elettrica continentale.
L'accelerazione nella distribuzione di tecnologie smart grid, asset energetici rinnovabili e sensori industriali connessi sta espandendo drammaticamente la superficie di attacco OT europea. Ogni nuovo dispositivo connesso rappresenta un potenziale punto di ingresso. Gli Emirati Arabi Uniti, a febbraio 2026, intercettavano tra 90.000 e 200.000 cyberattack al giorno, con oltre il 70% attribuito ad attori statali — un dato che riflette la pressione crescente sulle infrastrutture energetiche strategiche a livello globale.
Implicazioni per l'Italia e il Framework di Risposta
L'Italia è particolarmente esposta. La dipendenza energetica dal gas naturale, le interconnessioni con i corridoi energetici mediterranei, la presenza di infrastrutture NATO strategiche e un tessuto industriale di PMI con investimenti cybersecurity ancora insufficienti creano un profilo di rischio elevato. La direttiva NIS2, recepita in Italia con il decreto legislativo del 2024, impone obblighi di cybersecurity a operatori energetici, trasporti, infrastrutture digitali e supply chain critiche — con sanzioni fino a 10 milioni di euro o il 2% del fatturato globale. Ma la compliance normativa è condizione necessaria, non sufficiente.
Il modello danese del SektorCERT — condivisione di threat intelligence settoriale e coordinamento della risposta a incidenti — rappresenta una best practice che l'Italia dovrebbe emulare attraverso il CSIRT nazionale e gli ISAC settoriali. La sfida più profonda è tuttavia di natura architetturale: le reti OT progettate decenni fa per l'isolamento fisico sono ora esposte a internet attraverso la digitalizzazione. La migrazione verso architetture zero-trust per ambienti OT, la segmentazione rigorosa delle reti IT/OT e l'adozione di crittografia post-quantum per proteggere dati SCADA critici da attacchi "harvest now, decrypt later" non sono opzioni strategiche — sono necessità operative immediate.
L'intelligence europea stima che la Russia potrebbe lanciare operazioni localizzate entro sei mesi da un eventuale cessate il fuoco in Ucraina, precedute da cyberattack intensificati contro infrastrutture energetiche, reti di comunicazione e sistemi governativi. Per ogni organizzazione del settore energetico italiano, il momento per un audit OT, un'analisi di gap NIS2 e l'implementazione di segmentazione di rete e crittografia post-quantum è adesso — non dopo il prossimo incidente.
Conclusione: Oltre la Difesa Reattiva
Il quadro che emerge dalla convergenza di intelligence olandese, Munich Security Report, rapporto finlandese, sanzioni UE e analisi di Google, Microsoft e Barracuda Networks non lascia margini di ambiguità. La Russia sta conducendo una campagna ibrida coordinata contro le infrastrutture europee, con Sandworm/APT44 come braccio operativo principale. La Cina, attraverso Volt Typhoon e Salt Typhoon, persegue una strategia parallela di pre-posizionamento. L'Iran e la Corea del Nord aggiungono vettori aggiuntivi attraverso hacktivisti proxy e ransomware. Come ha osservato il NATO Cyber Champions Summit di Praga del 16 marzo 2026, la transizione dalla "difesa reattiva" alla "resilienza anticipatoria" non è più un obiettivo a lungo termine: è una necessità immediata per la sopravvivenza operativa delle infrastrutture critiche europee.