Ue e Regno Unito sanzionano la rete cyber russa che ha colpito almeno nove Paesi dal 2010

Cos’è successo

L'Unione europea e il Regno Unito hanno varato il primo pacchetto coordinato di sanzioni cyber contro l'“ecosistema” con cui la Russia opera in Europa. Bruxelles ha colpito nove persone e quattro entità; Londra, con una lista separata, 24 soggetti. Le due liste seguono la catena dai soggetti esterni — società e criminali informatici usati come intermediari — fino agli ufficiali che li dirigerebbero.

Al centro dell'attribuzione europea c'è il Centro 16 dell'FSB, il servizio federale di sicurezza russo: secondo l'Ue controlla il gruppo hacker russo Turla e conduce dal 2010 campagne di spionaggio e sabotaggio contro governi e infrastrutture in almeno nove Paesi. Alla stessa unità Bruxelles attribuisce il fallito attacco del dicembre 2025 alla rete energetica polacca, che avrebbe potuto lasciare 500.000 persone senza elettricità. La NATO ha sostenuto le attribuzioni e chiesto a Mosca di fermarsi.

Perché conta

Attorno all'FSB e al GRU — servizio di sicurezza e intelligence militare russi — si muovono soggetti esterni che forniscono competenze o accessi. L'Ue usa “ecosistema” per descrivere proprio questo meccanismo. Affidandosi a questa filiera, Mosca moltiplica le operazioni e conserva il margine necessario per contestarne la responsabilità; Bruxelles e Londra ne ricostruiscono pubblicamente i collegamenti.

• IMPULS, nella lista britannica, avrebbe reclutato hacker nelle università russe per l'unità cyber 29155 del GRU. Altri sanzionati sono legati a Lumma Stealer, software che ha sottratto credenziali ad almeno 2.100 vittime britanniche in sei mesi. Londra sostiene che quelle stesse credenziali siano poi servite allo spionaggio russo, alimentato così anche da soggetti formalmente esterni ai servizi;
• Congelare i beni di un ufficiale che opera stabilmente in Russia ha spesso un valore soprattutto politico. Società tecnologiche e gruppi criminali devono invece spostare denaro e affittare infrastrutture all'estero. Quando banche e fornitori digitali applicano i divieti, il margine operativo si restringe sul serio; l'efficacia dipende da quanti rapporti internazionali conserva ciascun nodo;
• L'allerta pubblicata da 18 agenzie di 12 Paesi mostra quanto ordinarie possano essere le porte d'ingresso; il Centro 16, ad esempio, cerca router protetti da password predefinite o deboli e sfrutta vulnerabilità note dei sistemi Cisco. Un apparato statale può così raggiungere reti critiche attraverso dispositivi vecchi o mal configurati: a una regia sofisticata può bastare, talvolta, un router gestito male.

Adesso

• Sostenute dalla NATO, le attribuzioni diventano una posizione dell'intera Alleanza. Il comunicato non richiama l'Articolo 5 — la clausola di difesa collettiva, attivabile quando un cyberattacco raggiunge la soglia di attacco armato — e la formula sull'“intera gamma di capacità” compare da anni nei documenti NATO stessi. Il risultato è un'accusa condivisa da più capitali, senza però alcuna promessa di risposta armata;
• Il regime cyber dell'UE è in uso dal 2020, eppure le campagne attribuite al Centro 16 continuano a proseguire imperterrite, e società e identità criminali possono essere riciclate. Ogni volta che i proxy cambiano pelle, le liste andranno aggiornate e — dove restano dipendenti dall'Occidente — accompagnate dal taglio dei servizi su cui contano; invecchieranno altrimenti più in fretta della rete stessa che descrivono;
• Sostituire i router a fine vita e sistemare configurazioni elementari — dalle password di fabbrica ai protocolli obsoleti — è il margine d'azione più immediato per chi gestisce infrastrutture critiche. Serve a togliere al Centro 16 gli accessi più economici, senza aspettare che sanzioni e attribuzioni ne intacchino la rete. Per una campagna che attraversa mezzo continente dal 2010, sorprendentemente, la porta d'ingresso può ancora essere una password lasciata com'era.