Settimana Nera: Commissione UE Hackerata, Romania Sotto Assedio, gli Hacker Russi Tornano sui Vecchi Bersagli

La prima settimana di aprile 2026 verrà ricordata come un punto di inflessione nella sicurezza cibernetica europea. Tre eventi apparentemente distinti — la compromissione del cloud della Commissione Europea da parte del gruppo TeamPCP, la dichiarazione del Ministro della Difesa rumeno su 10.000 attacchi cyber giornalieri, e l'allarme del CERT-UA sul ritorno sistematico di APT28 e Void Blizzard nelle reti ucraine già compromesse — convergono in un quadro che non ammette più letture frammentarie. L'Europa è il campo di battaglia di una guerra ibrida multivettore in cui attori statali (Russia, Cina, Iran, Corea del Nord), gruppi proxy e cybercriminali opportunisti operano in una convergenza operativa senza precedenti.

1. La Commissione Europea Violata: L'Operazione TeamPCP

Il 10 marzo 2026, un attore malevolo identificato come TeamPCP ha sfruttato una chiave API AWS rubata — ottenuta attraverso un attacco supply-chain alla piattaforma Trivy — per penetrare l'ambiente cloud Amazon della Commissione Europea. L'intrusione è rimasta non rilevata per 14 giorni: il Centro Operativo di Cybersecurity ha identificato l'anomalia solo il 24 marzo, notificando CERT-EU il giorno successivo. Il 27 marzo, la Commissione ha reso pubblica la violazione. Il 28 marzo, il gruppo ShinyHunters ha pubblicato il dataset rubato sul dark web.

L'impatto è massiccio: 42 client interni della Commissione Europea e almeno 29 altre organizzazioni dell'Unione che utilizzano il servizio di hosting europa.eu sono stati colpiti. CERT-EU ha confermato l'esposizione di 51.992 file (2,22 GB) relativi a comunicazioni email, contenenti nomi, indirizzi email, username e contenuti di comunicazioni in uscita. L'archivio completo pubblicato sul dark web ammonta a 90 GB compressi, circa 340 GB decompressi.

TeamPCP non è un attore sconosciuto. CERT-EU lo ha collegato a precedenti attacchi supply-chain su GitHub, PyPI, NPM e Docker, e alla distribuzione del malware "TeamPCP Cloud Stealer" tramite il pacchetto PyPI LiteLLM, che ha compromesso decine di migliaia di dispositivi. Il gruppo rappresenta l'evoluzione più pericolosa del threat landscape attuale: attori che colpiscono la supply chain del software per accedere a bersagli governativi ad alto valore. La Commissione ha confermato che non sono stati rilevati siti web compromessi, manomissioni o movimenti laterali verso altri account AWS, ma l'analisi dei database esfiltrati è ancora in corso.

2. Romania: 10.000 Attacchi al Giorno e la Guerra Ibrida ai Confini della NATO

Il 1° aprile 2026, il Ministro della Difesa rumeno Radu Miruta ha dichiarato pubblicamente che la Romania subisce più di 10.000 attacchi cyber al giorno contro le proprie istituzioni. Dan Cîmpean, direttore della Direzione Nazionale di Cybersecurity, ha descritto gli attacchi come "sistematici, ben preparati" e ha evidenziato come "spesso coincidano con decisioni politiche o sviluppi sociali in Romania, in particolare quelli legati al sostegno all'Ucraina".

L'attribuzione è esplicita: gruppi rusofoni, inclusi i collettivi ransomware Qilin e Gentlemen, con sospetti legami con Mosca. I bersagli includono l'agenzia nazionale delle acque (colpita da ransomware), fornitori di energia, istituzioni governative e infrastrutture critiche. Ma gli attacchi cyber sono solo una componente di un'operazione ibrida più ampia che include campagne di disinformazione mirate a erodere la fiducia istituzionale e a influenzare l'opinione pubblica rumena sulla questione ucraina.

Ci sono molte istituzioni che possono essere attaccate, e ne vediamo più di 10.000 al giorno. Gli attacchi sono sistematici, ben preparati, e spesso coincidono con decisioni politiche legate al sostegno per l'Ucraina.

— Dan Cîmpean, Direttore Nazionale Cybersecurity Romania — aprile 2026

La Romania rappresenta un caso paradigmatico per l'intera alleanza NATO. La sua posizione geografica ai confini orientali dell'Unione, il ruolo di hub logistico per il supporto all'Ucraina, e la presenza di basi militari alleate la rendono un bersaglio prioritario per le operazioni ibride russe. Il volume di 10.000 attacchi giornalieri — se confermato — supera di gran lunga le medie europee e suggerisce un livello di targeting dedicato paragonabile a quello subito dall'Estonia nel 2007 e dall'Ucraina dal 2022, ma su scala sostenuta nel tempo.

3. L'Allarme CERT-UA: APT28 e Void Blizzard Tornano nelle Reti Violate

Il 3 aprile 2026, CERT-UA ha lanciato un allarme che dovrebbe preoccupare ogni responsabile di sicurezza in Europa: i gruppi russi APT28 (Fancy Bear) e Void Blizzard stanno sistematicamente rivisitando reti precedentemente compromesse per verificare se l'accesso è ancora attivo, se le vulnerabilità sono state corrette e se le credenziali rubate sono ancora valide. Non si tratta di nuovi attacchi: è un'operazione di ricognizione su scala industriale delle compromissioni passate.

CERT-UA ha documentato un'evoluzione significativa nelle tattiche di accesso iniziale: il phishing tradizionale sta lasciando spazio a ingegneria sociale sofisticata. Gli operatori utilizzano numeri di telefono ucraini, account di messaggistica legittimi e parlano ucraino fluente con conoscenza dettagliata dei bersagli. Costruiscono fiducia attraverso telefonate e videochiamate prima di inviare file malevoli. Questa evoluzione indica un livello di investimento operativo HUMINT (Human Intelligence) integrato con le capacità cyber — un salto qualitativo rispetto alle campagne di phishing di massa degli anni precedenti.

Un dato positivo emerge tuttavia dall'analisi: gli incidenti cyber complessivi in Ucraina sono diminuiti nel secondo semestre 2025 rispetto al primo — la prima riduzione dall'inizio dell'invasione su larga scala. Questo suggerisce che le difese organizzative ucraine stanno migliorando. Ma il ritorno sui vecchi bersagli da parte di APT28 indica che la Russia sta cambiando strategia: invece di cercare nuove vittime, sfrutta le compromissioni pregresse dove il remediation è stato incompleto.

4. Il Fronte Parallelo: Corea del Nord e Iran nella Stessa Settimana

Mentre l'Europa fronteggia la minaccia russa, la stessa settimana ha visto due ulteriori operazioni di alto profilo da parte di altri attori statali. Il 1° aprile, attori nordcoreani hanno sottratto 280 milioni di dollari dalla piattaforma DeFi Drift Protocol attraverso un attacco sofisticato che ha consentito il takeover del Security Council amministrativo della piattaforma. Elliptic ha confermato l'attribuzione alla DPRK sulla base di indicatori on-chain, metodologie di riciclaggio e indicatori a livello di rete. Questo è il diciottesimo attacco attribuito alla Corea del Nord nel 2026, portando il totale annuale a oltre 300 milioni di dollari — fondi che finanziano direttamente il programma nucleare e missilistico di Pyongyang.

Contemporaneamente, l'11 marzo il gruppo iraniano Handala — collegato al Ministero dell'Intelligence e della Sicurezza iraniano (MOIS) — ha condotto un attacco distruttivo contro Stryker Corporation, colosso del medtech da 22,6 miliardi di dollari di fatturato e oltre 53.000 dipendenti. L'attacco ha cancellato circa 80.000 dispositivi e gli attaccanti hanno dichiarato di aver esfiltrato 50 terabyte di dati prima della distruzione. Stryker ha impiegato tre settimane per ripristinare le operazioni complete. CISA e Microsoft hanno rilasciato linee guida di hardening specifiche in risposta, e l'FBI ha sequestrato due siti di data leak di Handala.

5. Il Quadro Convergente: Una Guerra Ibrida Multivettore

La settimana del 28 marzo - 3 aprile 2026 non è una serie di coincidenze. È l'espressione operativa di un threat landscape che ha raggiunto un nuovo livello di complessità. Quattro attori statali — Russia, Cina (attraverso i collegamenti supply-chain di TeamPCP), Iran e Corea del Nord — hanno condotto operazioni significative contro obiettivi europei e occidentali nella stessa finestra temporale. Le tecniche sono diverse ma complementari: supply-chain compromise (TeamPCP/Commissione UE), attacchi volumetrici e ransomware (Russia/Romania), ricognizione persistente (APT28/Void Blizzard in Ucraina), furto finanziario (DPRK/Drift), e operazioni distruttive (Iran/Handala contro Stryker).

Questa convergenza operativa non richiede coordinamento formale tra gli attori. Come documentato dal Google Threat Intelligence Report di febbraio 2026, la pressione cumulativa di quattro programmi cyber offensivi statali che colpiscono simultaneamente gli stessi ecosistemi — infrastrutture critiche, supply chain software, istituzioni governative, settore finanziario, settore sanitario — crea una superficie di attacco che nessuna singola difesa settoriale può contenere. Il risultato è un'erosione sistemica della fiducia nelle infrastrutture digitali europee.

6. Implicazioni per l'Italia e Raccomandazioni Operative

L'Italia, come membro NATO e UE con infrastrutture critiche distribuite e un tessuto industriale fortemente interconnesso, è direttamente esposta a ognuno dei vettori di attacco documentati questa settimana. La compromissione della Commissione Europea attraverso la supply chain AWS ha implicazioni dirette per ogni ente italiano che utilizza servizi cloud della piattaforma europa.eu o che si interfaccia con sistemi della Commissione. Il targeting della Romania — altro membro del fianco est NATO — suggerisce che qualsiasi paese che supporta l'Ucraina è un bersaglio legittimo per le operazioni ibride russe. L'allarme CERT-UA sul ritorno nelle reti già violate dovrebbe spingere ogni organizzazione italiana a verificare se precedenti incidenti sono stati effettivamente remediated fino alla causa radice.

1. 1.Audit immediato delle supply chain software: verificare l'integrità di tutte le dipendenze cloud, le chiavi API con privilegi amministrativi e i pacchetti da repository pubblici (PyPI, NPM, Docker). L'attacco TeamPCP dimostra che una singola chiave compromessa può esporre un'intera istituzione.
2. 2.Revisione del remediation di incidenti passati: sulla base dell'allarme CERT-UA, ogni organizzazione che ha subito un incidente negli ultimi 24 mesi deve verificare se la causa radice è stata eliminata, se le credenziali sono state ruotate completamente e se i punti di accesso originali sono stati bonificati.
3. 3.Implementazione di architetture zero-trust per ambienti cloud: il gap di rilevamento di 14 giorni della Commissione Europea è inaccettabile. Il monitoraggio continuo degli accessi cloud, la segmentazione dei privilegi e l'anomaly detection basata su comportamento devono essere priorità immediate.
4. 4.Hardening del settore sanitario: l'attacco Handala a Stryker dimostra che i fornitori di tecnologia medica sono bersagli diretti. Ogni ospedale e ASL italiana deve valutare l'esposizione ai propri fornitori critici e implementare piani di continuità operativa che considerino la compromissione della supply chain medicale.
5. 5.Preparazione alla NIS2: la direttiva, recepita in Italia con il D.Lgs. 138/2024, impone obblighi di sicurezza e notifica degli incidenti a operatori di servizi essenziali e importanti. Le sanzioni raggiungono i 10 milioni di euro o il 2% del fatturato globale. Il tempo per la compliance non è domani: è adesso.
6. 6.Crittografia delle comunicazioni critiche: in uno scenario di minaccia persistente dove attori statali conducono operazioni di sorveglianza e pre-posizionamento, la protezione delle comunicazioni interne con cifratura end-to-end e architetture peer-to-peer non è un'opzione: è una necessità operativa.

Conclusione: La Nuova Normalità

La settimana nera dell'Europa non è un'anomalia. È la nuova normalità di un continente che opera sotto pressione cyber costante da parte di molteplici attori statali simultanei. La Commissione Europea violata, la Romania sotto assedio, l'Ucraina che avverte sul ritorno degli hacker nelle vecchie ferite, la Corea del Nord che finanzia il proprio programma nucleare con furti crypto, e l'Iran che cancella le infrastrutture di un colosso del medtech — tutto nella stessa settimana — non è la tempesta perfetta. È il tempo che fa adesso, e che continuerà a fare.

La transizione dalla difesa reattiva alla resilienza anticipatoria — invocata al NATO Cyber Champions Summit di Praga a marzo 2026 — non è più un obiettivo strategico a lungo termine. È una necessità operativa quotidiana. Per ogni organizzazione italiana, la domanda non è più "se" sarà colpita, ma se ha l'architettura, i processi e la consapevolezza per continuare a operare quando — non se — l'attacco arriverà.