Funzionava così: venivano agganciati su alcuni canali Telegram, in nome di una comune appartenenza alla causa russa. Veniva chiesto loro di scaricare un software che serviva, con base Italia, a «gruppi di cyber terrorismo che sostenevano la causa russa nell’ambito del conflitto con l’Ucraina» per attaccare i siti italiani di infrastrutture strategiche. Lo facevano inondando di dati i server in modo da paralizzarli e renderli inservibili. Tra gli altri sono stati colpiti i ministeri di Difesa e Interno, il Mise, la Finanza e la Consob . Ma anche banche (Unicredit, Intesa, Mps), trasporti (i server di aeroporti o di importanti società pubbliche di trasporti) e grandi aziende.
La procura di Roma, in un’indagine coordinata dalla procura nazionale antiterrorismo, ha perquisito ieri cinque persone: un settantaduenne di Milano, due ventiduenni del nord, un trentenne e un ventiseienne residenti in provincia di Torino. Cinque storie diverse unite da un nome che da mesi rimbalza tra i sistemi di sicurezza europei: NoName057(16). Un collettivo hacker filorusso attivo dal marzo 2022, specializzato in attacchi informatici contro siti istituzionali, banche, trasporti, sanità, telecomunicazioni. Il decreto di perquisizione porta la firma della procuratrice aggiunta Lucia Lotti e del sostituto (oggi alla Dna) Eugenio Albamonte, in un’indagine che tocca Germania, Stati Uniti, Svizzera, Olanda, Svezia, Francia e Spagna. Un’inchiesta che ha portato, a livello internazionale, a cinque mandati di arresto nei confronti di cittadini russi – due dei quali ritenuti ai vertici dell’organizzazione – e alla disattivazione di oltre 600 server.
In Italia, gli accertamenti partono da una constatazione semplice: gli attacchi informatici che nei mesi scorsi hanno messo in difficoltà le nostre infrastrutture non venivano solo da Ip russi. Alcuni di quegli attacchi sono partiti da connessioni riconducibili a indirizzi italiani, con modalità e contenuti in tutto assimilabili a quelli del gruppo NoName. Chi ha agito sapeva cosa fare, come farlo e – soprattutto – perché farlo. Al centro dell’inchiesta, infatti, ci sono cinque persone che «in concorso tra loro», si legge nel decreto, «per finalità di terrorismo informatico» si muovevano per creare «danni concreti a infrastrutture di pubblica utilità». Due degli indagati lavorano nel settore della sicurezza informatica, con competenze tecniche definite “di livello elevato”. Gli altri tre non sono professionisti del settore, ma condividono una simpatia politica esplicita per l’ideologia filorussa. Alcuni di loro, si legge nel decreto, avrebbero sostenuto pubblicamente le campagne filo-Putin, anche in canali Telegram riconducibili al collettivo. Con più di 15mila iscritti. Dalle indagini è emerso che non venivano chieste loro particolari abilità informatiche. Perché a muovere le fila per gli attacchi telematici erano direttamente i terroristi russi, utilizzando appunto i computer con base in italia.
Nel provvedimento si raccontano i passaggi tecnici: le Ip che ricorrono, i nickname associati, la partecipazione ad azioni coordinate. Ma a interessare i magistrati è anche altro: la costanza dei contatti tra i cinque, l’organizzazione interna, la relazione diretta con i referenti russi del gruppo. Non meri simpatizzanti o follower, ma – è l’ipotesi – parte attiva e consapevole di una strategia che unisce propaganda e sabotaggio, ideologia e crimine informatico.
Le perquisizioni sono avvenute in contemporanea in Lombardia, Veneto e Piemonte. I dispositivi informatici sequestrati – computer, telefoni, hard disk – sono ora al vaglio degli esperti della Postale. È da quei dati che potrebbero arrivare i riscontri più solidi: gli strumenti usati, i canali di comunicazione, le prove della connessione con il gruppo madre. E soprattutto i magistrati tenteranno di risalire la piramide gerarchica di questi nuovi terroristi internazionali.
