Chi sono davvero gli hacker, spiegato bene

Le minacce e i sabotaggi avvenuti nelle ultime settimane, come gli allarmi bomba nelle scuole e la manomissione dei frigoriferi dei supermercati, hanno avuto conseguenze simili, soprattutto la diffusione della paura tra la popolazione. È il motivo per cui spesso vengono raccontati insieme, come se fossero opera delle stesse persone, ma si sa talmente poco su chi li abbia organizzati che collegarli è quantomeno fuorviante.

È ancora più fuorviante, se non sbagliato, usare la parola hacker e definire “attacco hacker” qualsiasi tipo di sabotaggio o minaccia, come hanno fatto alcuni politici nelle ultime settimane. Nel caso delle minacce inviate alle scuole, per esempio, non servono grandi capacità tecniche o hackeraggi: da quanto si sa finora, gli autori non hanno compromesso nessun sistema informatico, ma hanno usato un account di un’ex universitaria di Taiwan in vendita sul dark web e gli indirizzi mail pubblici, disponibili sul sito del ministero dell’Istruzione.

Si dà la colpa agli hacker, senza fare nessuna distinzione, in parte per comodità e in parte perché “hacker” è diventata una parola evocativa, che si usa per qualsiasi cosa sia digitale e misteriosa. È però rischioso farlo, perché parlare semplicemente di hacker appiattisce una realtà complessa e molto varia, formata da centinaia di gruppi grandi e piccoli, più o meno attivi, legati ai governi o indipendenti, che talvolta hanno un ruolo concreto nelle guerre e nelle tensioni tra i paesi.

Anche quando si parla di veri attacchi hacker, infatti, bisogna considerare che ci sono hacker e hacker: c’è chi attacca per convinzioni politiche o etiche, chi per conto di servizi di sicurezza e governi, chi per soldi, chi per sfida e divertimento, chi solo per diffondere caos, con obiettivi che possono sovrapporsi o cambiare col tempo. Visto che non è quasi mai possibile sapere chi siano davvero, individuare le motivazioni che li spingono ad attaccare è un modo per capire meglio come gli hacker e i gruppi hacker si organizzano, come si muovono e soprattutto quanto sono pericolosi.

I dati dell’ENISA, l’agenzia dell’Unione Europea per la sicurezza informatica, mostrano come quasi ogni giorno in Europa il sistema informatico di un ministero, di una banca, di un ospedale o di una grande azienda subisca un attacco informatico, spesso senza gravi conseguenze e senza che i giornali ne parlino. Nel 2025 l’agenzia ha registrato 8.257 incidenti che hanno riguardato paesi e organizzazioni europee: il 57,3 per cento aveva motivazioni ideologiche, il 29,3 per cento economiche, e una parte più piccola riguardava lo spionaggio da parte di altri stati.

I gruppi hacker hanno rivendicato in totale 4.709 attacchi, di cui quasi la metà contro siti della pubblica amministrazione. L’Italia è il terzo paese europeo sia per numero di rivendicazioni (10,5 per cento del totale) sia per attacchi con richiesta di riscatto (13,6 per cento), in entrambi i casi dopo Germania e Francia.

Molti di questi attacchi, soprattutto quelli che diventano pubblici dopo una rivendicazione, vengono organizzati per attivismo politico. In questo caso non si parla semplicemente di hacker, ma di hacktivist, una parola nata dall’unione di hacker e activist, attivista. Negli anni Ottanta e Novanta gruppi come il Chaos Computer Club in Germania o lo statunitense Cult of the Dead Cow agivano per difendere la libertà di accesso alle informazioni e il rispetto della privacy; dalla metà degli anni Duemila ha avuto molta notorietà il collettivo chiamato Anonymous, che per anni ha attaccato governi e grandi aziende, anche in Italia.

Dal 2014, con il primo intervento militare russo in Ucraina, sono cambiate molte cose, e ancora di più dopo l’invasione russa su larga scala del 2022. È come se il mondo degli hacktivisti si fosse diviso in due blocchi: molti gruppi si sono schierati apertamente con uno dei due fronti e hanno iniziato a scegliere obiettivi in base alla politica estera dei paesi coinvolti e alle loro alleanze. Anonymous, per esempio, ha attaccato più volte la Russia.

Questi gruppi non sono mai entità definite e quasi mai si sa chi ci sia dietro: per questo è difficile capire che legami abbiano con i governi che sostengono con le loro azioni. A volte i rapporti sono diretti, ma quasi mai espliciti; a volte invece i gruppi sono completamente indipendenti e attaccano solo per convinzione politica.

Della possibilità di agire di nascosto approfittano anche i servizi segreti, che creano gruppi di finti attivisti per rivendicare i propri attacchi: per questo motivo gli esperti parlano di faketivism, dall’inglese fake, falso, e activism. Il faketivism è un modo per colpire un altro paese senza esporsi direttamente: se un attacco informatico viene rivendicato da un gruppo di presunti attivisti, il governo che lo ha ordinato può negare ogni coinvolgimento e il paese colpito fatica a rispondere.

Il metodo più usato dagli hacktivisti è l’attacco DDoS, da distributed denial of service: consiste nel mandare a un sito moltissime richieste nello stesso momento, da tanti dispositivi diversi, finché il server che lo ospita non riesce più a rispondere e il sito diventa irraggiungibile. Un DDoS non permette di entrare nei sistemi né di rubare dati, quindi ha un impatto limitato alla durata dell’attacco, solitamente di poche ore. I danni dipendono dal tipo di servizio pubblico offerto dal sito attaccato, perché un conto è bloccare il sistema informatico di un’azienda, un conto quello di un ospedale.

Organizzare un attacco DDoS costa poco. Servono molti dispositivi da cui far partire il traffico, come computer o videocamere infettate all’insaputa dei proprietari (le cosiddette botnet), server presi in affitto oppure i computer di volontari.

Chi attacca solo per soldi invece solitamente usa un ransomware, un software malevolo che blocca i computer di un’azienda o di un ente cifrandone i dati, rendendoli illeggibili, finché la vittima non paga un riscatto (ransom, in inglese) per riaverne il controllo. Oggi quasi tutti i gruppi ransomware rubano i dati prima di cifrarli e minacciano di pubblicarli se il riscatto non viene pagato.

Un attacco ransomware richiede più competenze e più tempo rispetto a un DDoS. Prima bisogna entrare nella rete della vittima con credenziali rubate, con mail di phishing o sfruttando i difetti di programmi esposti su internet, come quelli che servono ai dipendenti per collegarsi da remoto. Una volta dentro la rete, gli attaccanti si muovono indisturbati anche per giorni, settimane o addirittura mesi, poi copiano i dati e alla fine lanciano la cifratura prima di chiedere un riscatto.

Tuttavia non sempre chi attacca con ransomware lo fa per soldi e chi organizza attacchi DDoS lo fa per attivismo. Le categorie servono a orientarsi ma nella pratica si confondono, anche perché i gruppi hacker sfruttano il caos e l’inganno per raggiungere i loro obiettivi: le rivendicazioni degli attacchi non sono sempre vere e anche quando lo sono tendono a esagerarne l’impatto e a dare informazioni fuorvianti per alimentare il timore nei loro confronti.

Gli hacker che attaccano per soldi, poi, spesso agiscono da paesi che in qualche modo tollerano le loro azioni, visto che potrebbero fare loro gioco: secondo un rapporto del centro studi britannico Chatham House, i gruppi di lingua russa evitano di attaccare paesi alleati con la Russia e in cambio vengono lasciati in pace dalle autorità.

Negli ultimi quattro anni uno dei gruppi più attivi è stato NoName057(16), lo stesso che ha detto di aver sabotato i frigoriferi nei supermercati. È comparso per la prima volta nel marzo del 2022, poche settimane dopo l’invasione russa in Ucraina, e da allora viene considerato filorusso. L’ENISA gli ha attribuito quasi la metà di tutti gli attacchi a sfondo ideologico registrati nel 2025 contro siti di governi, banche e aziende di trasporti.

– Leggi anche: Ci sono davvero hacker filorussi dietro gli attacchi ai frigoriferi dei supermercati?

Nel giugno del 2025, durante il vertice della NATO all’Aia, NoName057(16) rivendicò attacchi contro società di trasporto dei Paesi Bassi e contro l’aeroporto di Amsterdam Schiphol. Negli anni ne ha organizzati diversi in Italia, contro il sito del governo, della Camera, dei ministeri della Difesa, degli Esteri e dei Trasporti, della Guardia di Finanza, dell’Autorità regolatrice dei trasporti, di Atac e Atm, degli aeroporti di Bologna e Malpensa.

Secondo l’ENISA, circa un quarto delle rivendicazioni di NoName057(16) sono state confermate, mentre il resto era solo un tentativo del gruppo di intestarsi attacchi altrui o le conseguenze di guasti. Anche nel caso dei frigoriferi non è chiaro se la rivendicazione sia attendibile: la Francia per esempio ha accusato un gruppo hacker legato ai Guardiani della Rivoluzione, il più potente corpo militare, politico ed economico del regime iraniano. Non è ancora chiaro nemmeno se dietro i primi sabotaggi in Francia e gli altri più recenti in Italia e in altri paesi europei ci siano le stesse persone.

Prima di NoName057(16) il gruppo filorusso più noto era KillNet, attivo soprattutto nel 2022 e nel 2023, che tra gli altri colpì diversi siti istituzionali italiani. L’altro gruppo che ha rivendicato il sabotaggio ai frigoriferi si chiama Z-Pentest: è stato fondato nel settembre del 2024 da membri fuoriusciti da NoName057(16) e da un altro gruppo di hacker, CARR (Cyber Army of Russia Reborn), ed è più specializzato in intrusioni nei sistemi industriali esposti su internet, violati usando password deboli o mai cambiate. Gruppi come NoName057(16) dicono di essere indipendenti dal governo russo, ma la loro attività è incoraggiata e amplificata dai media statali russi.

– Leggi anche: Se tutto è connesso, tutto può essere hackerato

Il più grande gruppo che sostiene l’esercito ucraino contro la Russia è l’IT Army of Ukraine, nato nei primi giorni dell’invasione, dopo un appello dell’allora ministro ucraino per la Trasformazione digitale, Mykhailo Fedorov, che invitava chi avesse competenze informatiche ad attaccare la Russia. Al massimo della sua attività il canale Telegram del gruppo aveva circa 300mila iscritti, anche se non tutti partecipavano agli attacchi. L’IT Army of Ukraine organizza soprattutto DDoS contro banche, operatori telefonici e sistemi di pagamento russi.

Il governo ucraino sostiene di non controllare il gruppo, ma secondo diversi esperti che hanno analizzato l’attività dell’IT Army of Ukraine è improbabile che in tempo di guerra i servizi militari e di intelligence ucraini lascino agire in modo del tutto indipendente un gruppo così grande. Sul fronte filoucraino ci sono anche gruppi più piccoli che rivendicano attacchi a centrali elettriche e impianti: nel 2024 uno di questi, OneFist, diffuse immagini dei pannelli di controllo di alcune centrali elettriche russe sostenendo di averle manomesse.

All’inizio di novembre il gruppo ucraino Silent Crow e i Cyber Partisans, un gruppo hacker bielorusso, hanno detto di essere entrati nei sistemi di Rosstat, l’istituto pubblico di statistica russo, e di averne sottratto più di 11 milioni di certificati di morte. Secondo l’agenzia di stampa Bloomberg, a cui gli hacker hanno consegnato i dati, quasi 400mila di questi certificati, emessi tra il febbraio del 2022 e la fine di agosto del 2026, riportano un collegamento esplicito con la guerra in Ucraina. È un’informazione che il governo russo non ha mai reso pubblica.

Rosstat ha confermato di aver subìto un attacco tra il 29 ottobre e il 1° novembre, ma ha negato che siano stati rubati dati importanti. Le cifre sono comunque coerenti con altre stime: Mediazona, un sito di notizie russo indipendente, ha identificato per nome quasi 286mila soldati russi morti e ritiene che il numero reale sia vicino al mezzo milione.

– Leggi anche: I soldati russi uccisi in Ucraina sono più di 400mila?

Il secondo grande fronte è quello degli hacktivisti che si schierano con la Palestina contro Israele e i paesi filoisraeliani. Vengono da paesi a maggioranza musulmana come l’Indonesia, la Malaysia e il Marocco. I più noti sono Dark Storm Team, Keymous+ e Mr Hamza. Usano soprattutto attacchi DDoS.

Una parte di questo fronte però non è fatta da attivisti indipendenti. Da anni infatti l’Iran usa finti gruppi di attivisti per rivendicare attacchi organizzati dai propri apparati: il caso più noto è CyberAv3ngers, che nel novembre del 2023 entrò in decine di dispositivi di controllo industriale prodotti dall’azienda israeliana Unitronics, usati tra l’altro negli acquedotti. Secondo la CISA, l’agenzia statunitense per la sicurezza informatica, i dispositivi compromessi furono almeno 75, di cui 34 in impianti statunitensi di trattamento delle acque reflue. Il gruppo si presentava come un collettivo di hactivist contro Israele, ma nel febbraio del 2024 il dipartimento del Tesoro statunitense sanzionò sei funzionari del comando informatico dei Guardiani della Rivoluzione, ritenendoli responsabili.

Più di recente è diventato molto attivo Handala, che si definisce un gruppo filopalestinese indipendente ma che secondo il dipartimento di Giustizia statunitense è uno dei gruppi di facciata del ministero dell’Intelligence iraniano. Dopo l’inizio dei bombardamenti statunitensi e israeliani contro l’Iran, il 28 febbraio 2026, Handala ha attaccato Stryker, un’azienda statunitense che produce attrezzature mediche: ha detto di aver cancellato i dati di oltre 200mila dispositivi e di aver costretto l’azienda a chiudere gli uffici in 79 paesi, numeri che Stryker non ha confermato. Ha anche violato l’email personale del direttore dell’FBI Kash Patel.

C’è poi il caso di Predatory Sparrow (Gonjeshke Darande, in persiano), che si presenta come un gruppo di attivisti contro il regime iraniano, ma che è stato spesso collegato a Israele. Nel giugno del 2022 provocò un incendio in un’acciaieria iraniana, sostenendo di aver avvisato in anticipo i servizi di emergenza per evitare vittime. Durante la guerra del giugno 2025 tra Israele e Iran rivendicò attacchi alla banca statale iraniana Sepah e alla piattaforma di criptovalute Nobitex. Israele non ha mai confermato un coinvolgimento.

Ci sono anche gruppi che le aziende di sicurezza informatica chiamano APT, dell’inglese advanced persistent threat, cioè “minaccia avanzata e persistente”. Sono squadre di hacker molto preparate, quasi sempre legate a un governo e ai suoi servizi segreti, che entrano nei sistemi di ministeri, aziende della difesa o infrastrutture e restano nascoste anche per mesi o anni, per spiare o per preparare un sabotaggio.

La Cina ne ha decine. Secondo la CISA, gli hacker cinesi di Volt Typhoon sarebbero rimasti nascosti, in alcuni casi per almeno cinque anni, nei sistemi di infrastrutture statunitensi per la gestione di energia, acqua, trasporti e telecomunicazioni, con l’obiettivo non di rubare dati, ma di prepararsi a sabotarle in caso di conflitto. Un altro gruppo chiamato Salt Typhoon è entrato nelle reti di diversi grandi operatori telefonici statunitensi. APT41 invece fa sia spionaggio per conto del governo cinese sia attacchi per soldi, ed è uno degli esempi di quanto sia difficile tenere separate le categorie.

A differenza degli hacktivisti, questi gruppi non rivendicano quasi mai i loro attacchi e non si danno un nome: quelli con cui sono conosciuti li scelgono le aziende che li scoprono. Le sigle con i numeri, come APT41, vengono da Mandiant, società di sicurezza informatica che oggi fa parte di Google. I nomi legati al meteo li usa invece Microsoft, che dal 2023 associa un fenomeno atmosferico a ogni paese: Typhoon per la Cina, Blizzard per la Russia, Sandstorm per l’Iran, Sleet per la Corea del Nord.

La Russia ha APT28 e APT29, legati rispettivamente al GRU, il servizio di intelligence militare, e all’SVR, quello per l’estero. Ad APT28 è stato attribuito l’attacco al parlamento tedesco del 2015, ad APT29 quello all’azienda statunitense SolarWinds, scoperto nel 2020, che permise di entrare nei sistemi di diverse agenzie federali.

La Corea del Nord usa i suoi hacker soprattutto per procurarsi soldi, aggirando le sanzioni internazionali: nel febbraio del 2025 il gruppo conosciuto come Lazarus ha rubato alla piattaforma Bybit circa 1,5 miliardi di dollari in criptovalute, secondo l’FBI il più grande furto di criptovalute mai registrato.

Alcuni di questi gruppi si spacciano per hacktivisti per rivendicare i propri attacchi senza esporsi. Il caso più documentato riguarda Sandworm, un’unità del GRU che Mandiant chiama anche APT44, ritenuta responsabile di alcuni degli attacchi informatici più gravi degli ultimi anni, come i blackout in Ucraina del 2015 e del 2016 e NotPetya, il malware che nel 2017 bloccò aziende in tutto il mondo. Nell’aprile del 2024 Mandiant ha concluso che Sandworm usa almeno tre canali Telegram che si presentano come gruppi di hacktivisti – XakNet Team, CARR e Solntsepek – per rivendicare i suoi attacchi e diffondere i dati rubati.

Una novità degli ultimi anni è che i gruppi di hacktivisti si alleano, anche quando hanno poco in comune. Nel luglio del 2024 due gruppi filopalestinesi, High Society e 7 October Union, hanno fondato la Holy League, che si definisce la più grande alleanza di hacktivisti del mondo: ne fanno parte più di settanta gruppi filorussi e filopalestinesi, tra cui NoName057(16). Il nemico comune sono i paesi occidentali che sostengono l’Ucraina e Israele. Nel dicembre del 2024 la Holy League annunciò una campagna contro la Francia, con attacchi DDoS e rivendicazioni di intrusioni nei sistemi di alcune organizzazioni francesi.

Le campagne comuni hanno di solito un nome con l’hashtag, come #OpGermany o #OpFrance. Le alleanze nascono e si sciolgono di continuo per motivi diversi, non solo politici, ma anche legati a convenienze e litigi: a volte servono a organizzare una singola operazione per poi cambiare subito assetto e nome. Tra gennaio e marzo del 2025 Telegram ha chiuso i canali di più di sessanta gruppi hacktivisti, molti dei quali sono ricomparsi con altri nomi o su altre piattaforme. Per i gruppi più piccoli queste alleanze servono soprattutto a farsi notare, perché comparire in un’operazione accanto a nomi noti dà visibilità e permette di scambiarsi strumenti e liste di obiettivi.

I gruppi che negli ultimi anni hanno fatto più danni, però, hanno organizzato attacchi ransomware per soldi, non per attivismo, né in operazioni per conto dei governi. Nel primo semestre del 2026 l’azienda di sicurezza informatica Cyble ha contato 3.836 attacchi ransomware nel mondo, più di 630 al mese, di cui 866 in Europa e nel Regno Unito.

Tra i gruppi più attivi ci sono Qilin, The Gentlemen, Akira, DragonForce, Cl0p, Play e Medusa, che hanno preso il posto di LockBit, un gruppo di criminali informatici russi, il più noto e il più longevo, bloccato nel 2024 da un’operazione dalle autorità del Regno Unito a cui hanno partecipato diversi altri paesi europei e gli Stati Uniti. Dal settembre dello scorso anno LockBit si è almeno in parte ricostituito con il nome di LockBit 5.0. Il fatto che non ci sia un solo gruppo dominante protegge l’intero sistema dalle operazioni di polizia: quando i sistemi di un gruppo vengono scoperti e disattivati, i suoi affiliati possono passare velocemente a un altro gruppo.

Gli strumenti di intelligenza artificiale hanno semplificato e velocizzato anche la gestione degli attacchi ransomware: i criminali informatici usano modelli linguistici per analizzare gli archivi di dati rubati e capire quanto valore ci sia in quei dati, un’informazione essenziale per fissare un riscatto. Alcuni gruppi come DragonForce usano sistemi di AI per scrivere minacce più credibili.

Infine ci sono gruppi che si presentano come hacktivisti, ma che sembrano interessati soprattutto ai soldi. Molti canali Telegram che vengono gestiti da presunti hacktivisti funzionano come mercati illegali dove si vendono credenziali rubate, accessi a reti aziendali e attacchi DDoS su commissione. Le rivendicazioni politiche servono come una sorta di annuncio pubblicitario per dimostrare che gli strumenti funzionano.

– Leggi anche: I criminali informatici sono diventati imprenditori

Un esempio è Keymous+, che si definisce un gruppo di “hacker nordafricani” ed è attivo dalla fine del 2023. Nel 2025 è stato il terzo gruppo hacktivista più attivo contro l’Unione Europea, con il 6,5 per cento degli attacchi a sfondo ideologico, ma ha colpito decine di paesi senza una linea politica coerente. Secondo l’ENISA, l’attivismo di Keymous+ potrebbe essere una copertura per la vendita di attacchi DDoS a pagamento per gruppi alleati. I filopalestinesi di Mr Hamza seguono un modello simile, proponendo attacchi DDoS come servizi da offrire ad altri gruppi o a clienti con motivazioni politiche.

Un altro caso di sospetto falso attivismo riguarda Anonymous Sudan, un gruppo di presunti hacker nazionalisti sudanesi comparso nel 2023, quando rese irraggiungibili per ore servizi di grandi aziende come Microsoft, OpenAI e PayPal, e poco dopo l’attacco di Hamas del 7 ottobre 2023 colpì Red Alert, l’applicazione israeliana che avvisa dei lanci di razzi. Nell’ottobre del 2024 il dipartimento di Giustizia statunitense ha incriminato due fratelli sudanesi, accusati tra le altre cose di aver venduto l’accesso al loro strumento per i DDoS tramite Telegram. Diverse aziende di sicurezza informatica e alcuni giornalisti specializzati hanno fatto notare che gli obiettivi di Anonymous Sudan coincidevano spesso con gli interessi russi.

Le distinzioni tra tutte queste categorie – hactivism, faketivism, APT, gruppi ransomware – non sono sempre nette e probabilmente nei prossimi anni lo saranno sempre di meno anche perché gli attivisti, i criminali e i gruppi legati ai servizi segreti e agli Stati usano sempre più spesso le stesse piattaforme e gli stessi strumenti. Questa mescolanza di metodi e interessi rende molto più difficile capire chi ci sia dietro un attacco e le sue reali motivazioni.