Attacco ransomware alle Gallerie degli Uffizi: il patrimonio culturale italiano nel mirino del cybercrime

Nella notte tra sabato 1 e domenica 2 febbraio 2026, uno dei musei più importanti al mondo è finito nel mirino del cybercrime organizzato. Le Gallerie degli Uffizi di Firenze sono state colpite da un attacco ransomware che ha compromesso i server amministrativi dell'istituzione, paralizzando per diversi giorni le funzioni interne del museo. L'attacco è avvenuto in concomitanza con un'analoga aggressione informatica all'Università La Sapienza di Roma, in un momento di particolare tensione legato alle Olimpiadi invernali di Milano-Cortina 2026. L'episodio rappresenta un campanello d'allarme per l'intero settore culturale italiano, tradizionalmente considerato un obiettivo secondario dagli analisti di sicurezza informatica.

Cronologia dell'attacco

L'intrusione è avvenuta durante le ore notturne del weekend, una finestra temporale scelta strategicamente dagli attaccanti per sfruttare la ridotta sorveglianza IT tipica dei giorni non lavorativi. Il server amministrativo delle Gallerie è stato il bersaglio primario: il virus ha colpito i sistemi dedicati alle attività gestionali interne, inclusi email del personale, risorse umane, procurement e comunicazioni interne. Il sito istituzionale, il sistema di biglietteria, le telecamere di sorveglianza e i software di gestione dell'accoglienza hanno invece continuato a funzionare regolarmente, consentendo al museo di restare aperto al pubblico senza interruzioni.

Il direttore Simone Verde ha immediatamente sporto denuncia alla Polizia Postale, attivando le procedure di contenimento e ripristino. Al personale è stato ordinato di non accendere i computer fino ad autorizzazione del reparto IT, di evitare connessioni remote ai sistemi del museo e di cambiare immediatamente le password degli account email. Una società specializzata è stata incaricata della bonifica completa di tutte le macchine. Entro mercoledì 5 febbraio, secondo quanto riportato da La Nazione, i sistemi erano stati completamente ripristinati grazie all'attivazione dei backup.

Attribuzione: il gruppo Medusa

Secondo le ricostruzioni giornalistiche, in particolare quelle di Eco Vicentino e Cybersecurity360, l'attacco è stato rivendicato dal gruppo criminale Medusa, uno dei collettivi ransomware-as-a-service (RaaS) più attivi a livello globale. Medusa opera dal giugno 2021 e si distingue per l'utilizzo di un modello di doppia estorsione: i dati delle vittime vengono cifrati e simultaneamente esfiltrati, con la minaccia di pubblicazione su un sito di leak dedicato in caso di mancato pagamento del riscatto. Le evidenze suggeriscono che il gruppo operi dalla Russia o da uno stato alleato, poiché evita sistematicamente di colpire organizzazioni all'interno della Federazione Russa e dei paesi della Comunità degli Stati Indipendenti (CSI).

Impatto e analisi dei danni

Le prime verifiche, condotte dai tecnici degli Uffizi in collaborazione con la Polizia Postale e con il supporto dell'Agenzia per la Cybersicurezza Nazionale (ACN), non hanno evidenziato perdite di dati né compromissioni critiche irreversibili dell'infrastruttura museale. Tuttavia, l'impatto operativo è stato significativo: i servizi amministrativi sono rimasti bloccati per diversi giorni, con conseguenze su risorse umane, contabilità, approvvigionamenti e pianificazione interna. Il fatto che i sistemi di biglietteria, videosorveglianza e accoglienza fossero su reti separate ha evitato conseguenze ben peggiori, dimostrando come una segmentazione di rete anche parziale possa limitare il raggio d'azione di un attacco.

L'aspetto più preoccupante resta la possibile esfiltrazione di dati amministrativi. Sebbene non siano state confermate fughe di informazioni, il modello operativo di Medusa prevede la sottrazione di dati prima della cifratura: eventuali documenti interni, dati del personale, contratti con fornitori e corrispondenza istituzionale potrebbero essere stati acquisiti dagli attaccanti. Al momento della stesura di questo articolo, nessun dato relativo alle Gallerie degli Uffizi risulta pubblicato sul sito di leak di Medusa, ma il rischio non può essere escluso.

Un trend in crescita: le istituzioni culturali sotto attacco

L'attacco agli Uffizi non è un caso isolato. Le istituzioni culturali europee sono diventate bersagli sempre più frequenti del cybercrime e delle operazioni state-sponsored. Nel luglio 2025, il Museum national d'Histoire naturelle di Parigi è stato colpito da un attacco informatico che ha costretto alla cancellazione di una mostra. Nell'ottobre 2024, l'Art Gallery of Ontario in Canada ha subito un incidente di cybersecurity che ha compromesso i sistemi interni. Nel 2024, l'Opera di Santa Maria del Fiore a Firenze ha perso 1,785 milioni di euro a causa di una truffa BEC (Business Email Compromise), in cui i criminali hanno intercettato le comunicazioni email con un fornitore di lavori edili, sostituendo le coordinate bancarie per il pagamento. Persino il Louvre di Parigi ha rivelato gravi vulnerabilità: un audit del 2014 aveva segnalato che le password dei sistemi di sorveglianza erano banali come "Louvre" e "Thales", eppure non erano state cambiate per oltre un decennio.

Perché i musei sono vulnerabili

Le istituzioni culturali presentano caratteristiche che le rendono particolarmente esposte alle minacce cyber. I budget IT sono storicamente ridotti rispetto ad altri settori: il Louvre, ad esempio, ha investito 169 milioni di euro in acquisizioni contro 87 milioni in sicurezza. La digitalizzazione accelerata delle collezioni e dei servizi al pubblico ha ampliato enormemente la superficie d'attacco senza un corrispondente rafforzamento delle difese. Il personale tecnico è spesso limitato, la formazione sulla cybersecurity è carente, e i sistemi legacy sono diffusi. Inoltre, musei e archivi custodiscono dati sensibili — informazioni sui prestiti, assicurazioni, donatori, personale — il cui valore per i criminali non deve essere sottovalutato. La percezione di essere "al di fuori del radar" degli attaccanti ha alimentato un falso senso di sicurezza che gli eventi recenti hanno definitivamente smentito.

Implicazioni normative: NIS2 e il settore culturale

L'attacco agli Uffizi solleva interrogativi urgenti sulla postura di sicurezza delle istituzioni culturali italiane nel contesto della direttiva NIS2. Sebbene musei e gallerie non rientrino direttamente tra i "soggetti essenziali" o "importanti" elencati dalla direttiva, la loro dipendenza da infrastrutture digitali e la loro rilevanza per l'identità nazionale suggeriscono che standard di sicurezza analoghi dovrebbero essere adottati volontariamente. L'ACN ha già sviluppato la piattaforma "Suite Museum Cloud" per fornire infrastruttura digitale ai musei italiani, ma l'incidente dimostra che la protezione tecnologica deve essere accompagnata da governance, formazione e procedure di risposta agli incidenti strutturate.

Raccomandazioni operative per le istituzioni culturali

1. 1.Implementare una segmentazione di rete rigorosa tra sistemi amministrativi, sistemi di biglietteria/accoglienza e sistemi di sorveglianza. L'architettura degli Uffizi, che ha isolato i servizi al pubblico, ha dimostrato la sua efficacia nel contenere l'impatto dell'attacco.
2. 2.Adottare un'architettura zero-trust con autenticazione multifattore (MFA) su tutti gli accessi, in particolare per email, VPN e sistemi di gestione remota. Le credenziali compromesse restano il vettore di ingresso più comune per i gruppi ransomware.
3. 3.Implementare sistemi di backup offline e immutabili con test di ripristino periodici. La capacità degli Uffizi di ripristinare i sistemi entro pochi giorni è stata possibile grazie a backup funzionanti.
4. 4.Attivare monitoraggio SOC 24/7, in particolare durante weekend e festività, quando gli attaccanti prediligono colpire. L'attacco agli Uffizi è avvenuto nella notte tra sabato e domenica, sfruttando la ridotta sorveglianza IT.
5. 5.Condurre programmi di security awareness training per tutto il personale, con simulazioni di phishing e procedure di verifica per i pagamenti. La truffa BEC all'Opera di Santa Maria del Fiore dimostra che il fattore umano resta il punto debole più critico.
6. 6.Predisporre un piano di risposta agli incidenti (Incident Response Plan) testato e aggiornato, con procedure chiare di escalation, comunicazione e coordinamento con le autorita competenti (Polizia Postale, ACN, CSIRT Italia).

L'attacco alle Gallerie degli Uffizi è un segnale inequivocabile: nessuna organizzazione è al riparo dal cybercrime, indipendentemente dal settore di appartenenza. Le istituzioni culturali italiane custodiscono un patrimonio di valore inestimabile — non solo artistico, ma anche in termini di dati, relazioni istituzionali e reputazione internazionale. Proteggere questo patrimonio nel dominio digitale non è più un'opzione, ma una necessità strategica. AEGIDA supporta le organizzazioni nell'adozione di architetture di sicurezza moderne, dalla valutazione del rischio all'implementazione di modelli zero-trust, fino alla compliance con i requisiti NIS2 e alla formazione del personale.