Gli hacker filorussi di NoName057(16) hanno presentato l’operazione contro Antonio Tajani, Francesco Lo Voi e Ivano Gabrielli come una nuova offensiva nel cuore delle istituzioni italiane. Schede personali pubblicate nel dark web, richieste di ulteriori informazioni e una sorta di “taglia” sui nomi considerati nemici della Russia. Ma le prime verifiche compiute dagli apparati italiani ridimensionano profondamente la portata della presunta incursione: al momento non sarebbe emersa la prova di un accesso informatico capace di sottrarre dati riservati dai sistemi dello Stato o dai dispositivi personali dei bersagli.
Questo non significa che la minaccia possa essere liquidata come una semplice bravata. Pubblicare informazioni su magistrati, dirigenti delle forze di polizia e rappresentanti del governo, invitando altri utenti a cercarne di nuove, costituisce comunque un’azione intimidatoria. Il punto, però, è un altro: non confondere una campagna di propaganda e dossieraggio con un attacco informatico riuscito, regalando agli aggressori una capacità tecnica che potrebbero non avere dimostrato.
La paura è infatti parte dell’operazione. Un dato pubblico, riciclato e inserito in una pagina del dark web, può essere presentato come il risultato di una sofisticata violazione, soprattutto se giornali, televisioni e istituzioni amplificano la rivendicazione prima di verificarne il contenuto.
Che cosa è stato realmente pubblicato
Secondo la ricostruzione attribuita alle verifiche dell’intelligence italiana, la scheda dedicata ad Antonio Tajani conterrebbe il numero del centralino di Forza Italia, due indirizzi di posta elettronica e i collegamenti ai suoi account pubblici su Facebook, Instagram, X, TikTok, Threads e YouTube. Informazioni che, per loro stessa natura, non dimostrano una penetrazione nei sistemi informatici del ministro, della Farnesina o del partito.
Nel caso del procuratore di Roma Francesco Lo Voi, sarebbe stata indicata la casella istituzionale della Procura capitolina. Anche in questo caso si tratterebbe di un recapito utilizzato per ragioni d’ufficio, non necessariamente sottratto attraverso un’operazione clandestina.
Per Ivano Gabrielli, direttore della Polizia postale, sarebbero stati pubblicati i profili LinkedIn e Facebook insieme a un numero di cellulare. Quest’ultimo elemento è più delicato, ma non prova da solo l’esistenza di un’intrusione. Numeri telefonici, indirizzi email e altre informazioni personali possono provenire da vecchie violazioni di database, elenchi commerciali, servizi di raccolta dati o archivi acquistabili online.
Le verifiche citate dalla stampa non avrebbero inoltre trovato, almeno finora, informazioni riservate riferite ai familiari di Tajani, Lo Voi, Gabrielli e del sindaco di Aviano Paolo Tassan-Zanin. Non sarebbero emersi neppure riscontri su una vera compravendita di dossier personali nei circuiti monitorati.
Essere sul dark web non significa essere stati hackerati
La presenza di un’informazione nel dark web indica dove quel dato è stato pubblicato, non come sia stato ottenuto. È una distinzione fondamentale. Un gruppo può raccogliere nomi, incarichi, fotografie, email istituzionali e profili social attraverso normali ricerche online e trasferire tutto su un sito accessibile tramite la rete Tor. La collocazione nel dark web rende il contenuto più difficile da rimuovere e gli conferisce un’apparenza clandestina, ma non certifica l’avvenuta violazione di un sistema protetto.
Nel linguaggio della cybersicurezza, la raccolta di informazioni disponibili pubblicamente viene indicata come Osint, open source intelligence. Se a questi dati vengono aggiunti recapiti recuperati da precedenti fughe di informazioni, elenchi commerciali o database acquistati illegalmente, si può costruire un profilo apparentemente dettagliato senza entrare nel computer della persona interessata.
Diverso sarebbe trovare password, comunicazioni private, documenti riservati, dati finanziari, indirizzi protetti, informazioni familiari non pubbliche o file estratti dai sistemi della pubblica amministrazione. È proprio su questa possibile origine illecita che stanno lavorando gli investigatori.
La Procura di Roma ha aperto un fascicolo nel quale potrebbero essere ipotizzati i reati di accesso abusivo a un sistema informatico e minacce. Gli accertamenti sono stati affidati agli specialisti del Cnaipic, il Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche. Per la parte riguardante Lo Voi, la competenza passerà alla Procura di Perugia.
Doxxing e intimidazione: il pericolo rimane
Il ridimensionamento tecnico dell’attacco non rende innocua l’operazione. La pubblicazione coordinata di dati personali con l’obiettivo di esporre qualcuno a pressioni, molestie o minacce viene comunemente definita doxxing. Anche quando le informazioni sono state recuperate da fonti aperte, la loro aggregazione all’interno di una scheda ostile può aumentare il rischio per la persona coinvolta.
Una casella email pubblica può essere sommersa da messaggi intimidatori. Un numero telefonico può essere utilizzato per tentativi di phishing, impersonificazione o molestie. Un profilo social può diventare il bersaglio di campagne coordinate. L’invito a cercare e vendere ulteriori dettagli, inoltre, può stimolare altre persone a tentare vere intrusioni.
Per questa ragione il Garante per la protezione dei dati personali ha avvertito media, siti e piattaforme che la ripubblicazione di informazioni provenienti da attività illecite può costituire a sua volta una violazione. L’Autorità ha annunciato il monitoraggio della circolazione dei contenuti e la possibilità di chiedere la loro rimozione.
Il comunicato del Garante ha fatto riferimento anche ai familiari di Tajani. Le successive verifiche attribuite agli apparati, tuttavia, non avrebbero finora individuato dati familiari riservati nel materiale effettivamente pubblicato. La discrepanza dovrà essere chiarita dalle indagini, distinguendo tra informazioni già diffuse, richieste formulate dagli hacker e dati che potrebbero essere ancora oggetto di ricerca.
Chi sono davvero i NoName057
NoName057(16) è attivo almeno dal marzo 2022 e sostiene apertamente la linea russa nella guerra contro l’Ucraina. La sua attività più nota consiste negli attacchi DDoS, con i quali un sito viene sommerso da un’enorme quantità di richieste fino a diventare temporaneamente irraggiungibile.
Questi attacchi possono provocare disservizi e danni economici, ma normalmente non comportano il furto dei dati contenuti nei sistemi colpiti. Mettere fuori uso per alcune ore la pagina di un ministero è diverso dall’entrare nelle sue reti interne e sottrarre documenti segreti. Nella comunicazione propagandistica dei gruppi hacktivisti, però, la distinzione viene spesso cancellata.
NoName057 ha costruito una rete di simpatizzanti prevalentemente russofoni, ai quali fornisce strumenti automatizzati per partecipare agli attacchi. Il gruppo utilizza i propri canali per indicare i bersagli, rivendicare le azioni e trasformare anche interruzioni limitate in presunte vittorie strategiche.
Nel luglio 2025, l’operazione internazionale Eastwood, coordinata da Europol ed Eurojust con la partecipazione di dodici Paesi, aveva colpito l’infrastruttura del gruppo. Oltre cento sistemi informatici erano stati neutralizzati o messi offline e diversi sospetti erano stati identificati. Lo Voi e Gabrielli sono finiti nel mirino proprio dopo le attività investigative condotte contro la rete filorussa. :chatgpt-content-reference{index=”1″}
L’obiettivo è trasformare ogni rivendicazione in una vittoria
Le campagne di NoName057 non puntano soltanto a danneggiare un servizio. Cercano soprattutto visibilità, reazioni politiche e copertura mediatica. Un attacco DDoS durato pochi minuti, una schermata pubblica esposta su Internet o una raccolta di dati già reperibili possono essere presentati come la conquista di un’infrastruttura critica.
La rivendicazione viene pubblicata per prima, spesso con toni trionfalistici. La verifica tecnica richiede invece tempo. In questo intervallo, la versione degli aggressori può diventare la narrazione dominante. Titoli allarmistici e dichiarazioni non sufficientemente circostanziate rischiano così di completare gratuitamente il lavoro propagandistico.
La risposta efficace richiede un equilibrio difficile: non sottovalutare la minaccia, ma non attribuire agli hacker capacità che non hanno dimostrato. Dire che non esiste ancora la prova di una grave intrusione non significa negare la guerra ibrida. Significa sottrarre agli aggressori il controllo del racconto.
La propaganda non deve coprire gli attacchi veri
Il rischio opposto sarebbe considerare tutti gli attacchi filorussi come bluff. NoName057 e altri gruppi hanno già provocato interruzioni reali ai danni di amministrazioni, trasporti, imprese e servizi pubblici europei. Altri soggetti possiedono capacità molto più avanzate e possono condurre operazioni di spionaggio, sabotaggio e furto di informazioni.
Proprio per questo occorre classificare correttamente ogni episodio. Un DDoS è diverso da un ransomware. Un recapito recuperato online è diverso da una casella email violata. L’accesso a un pannello lasciato esposto su Internet è diverso dalla penetrazione nella rete interna di un’infrastruttura critica. Mettere tutto sullo stesso piano produce confusione e impedisce di riconoscere le minacce realmente gravi.
Nel caso delle presunte “taglie” su Tajani, Lo Voi e Gabrielli, gli accertamenti sono ancora in corso. Finora, però, il materiale descritto appare molto meno clamoroso delle rivendicazioni. La minaccia più evidente non è il furto di un dossier segreto, ma il tentativo di costruire paura e intimidazione assemblando informazioni in gran parte pubbliche.
Gli hacker vogliono dimostrare di poter colpire chiunque e ovunque. La prima forma di difesa consiste nel verificare i fatti prima di consegnare loro la vittoria che cercano.
