Per la prima volta un governo europeo accusa ufficialmente Teheran di un sabotaggio fisico su larga scala contro il proprio territorio. Non è una sentenza, ma l’attribuzione francese poggia su basi solide: il centro interministeriale che riunisce l’agenzia per la cybersicurezza, i servizi segreti e la Difesa ha indicato quattro elementi tecnici che portano nella stessa direzione. E colpisce un dettaglio: la Francia non partecipa alla guerra contro l’Iran, eppure è stata presa di mira. L’Italia, che ospita basi americane coinvolte nel conflitto, ha buone ragioni per sentirsi almeno altrettanto esposta.
Indice degli argomenti
Italia e minaccia iraniana: il nodo dell’attribuzione
L’ondata del 2 novembre, che ha raggiunto anche supermercati e aziende italiane, resta invece senza un colpevole: Roma parla di hacker filorussi, Parigi limita le proprie accuse all’attacco di ottobre. Ma il rischio per il nostro Paese va oltre i frigoriferi. Governi alleati hanno già documentato spionaggio tecnologico, reti di approvvigionamento iraniane con base in Italia e l’uso di criminali comuni come intermediari. E se Washington tornasse a bombardare su larga scala, la probabilità che Teheran cerchi di colpire gli alleati europei degli Stati Uniti crescerebbe in modo sensibile.
Il sabotaggio attribuito all’Iran e il precedente francese
Nella notte tra l’11 e il 12 ottobre 2026 qualcuno ha preso il controllo da remoto dei controllori di refrigerazione di circa 700 punti vendita della grande distribuzione francese. Non ha rubato dati né chiesto riscatti: ha impostato i cicli di sbrinamento su temperature elevate. Secondo l’ANSSI, l’agenzia nazionale per la cybersicurezza, il risultato sono state perdite di merce e, in almeno quindici casi, principi d’incendio. Tra le vittime figurano anche piccole macellerie, un mattatoio e cooperative agroalimentari. In contemporanea sono stati colpiti apparati Schneider Electric di piccoli impianti idroelettrici, con effetti definiti moderati.
Il 9 novembre il ministero degli Esteri francese ha pubblicato una dichiarazione formale di attribuzione. Parla di una campagna senza precedenti per portata e aggressività, la prima condotta sul territorio nazionale con finalità puramente di sabotaggio, e stima i danni (impianti, incendi, derrate) in decine di milioni di euro. L’autore indicato è l’unità cyber-offensiva Shahid Kaveh, inquadrata nel Centro elettronico e cyber del Corpo dei Guardiani della Rivoluzione Islamica (IRGC-CEC).
Parigi ha convocato l’ambasciatore iraniano, ha annunciato che proporrà nuove sanzioni europee e si è riservata «ogni altra misura», pubblica o non pubblica. La procura di Parigi ha aperto un’istruttoria e chiesto mandati d’arresto internazionali contro il comandante dell’unità e i suoi due vice.
Su cosa si basa l’attribuzione
Il rapporto tecnico del C4 (CERTFR-2026-CTI-009) fonda l’attribuzione su quattro elementi: le caratteristiche dell’infrastruttura d’attacco, condivisa con attività di ricognizione su sistemi Schneider; l’uso di strumenti considerati «firma» dell’unità; la rivendicazione dell’attacco, già il 13 ottobre, sul canale di propaganda CyberbanNews, legato a Shahid Kaveh; tracce di lingua persiana nell’infrastruttura. Un allegato indica nominativamente Hamid Reza Lashgarian come capo dell’IRGC-CEC, e Mahdi Lashgarian e Reza Salarvand come comandanti dell’unità.
Due cautele restano d’obbligo. Si tratta di un’attribuzione governativa, non di un accertamento giudiziario. E Teheran ha respinto le accuse, definendole infondate e di parte. Tuttavia la combinazione di prove tecniche, di intelligence e di un precedente documentato rende questa attribuzione tra le più robuste mai rese pubbliche da un governo europeo nei confronti dell’Iran.
Shahid Kaveh e la facilità di replicare gli attacchi
Shahid Kaveh non è una sigla nuova. Il 7 aprile 2026 FBI, CISA, NSA, Dipartimento dell’Energia, EPA e Cyber Command avevano diffuso un avviso congiunto (AA26-097A) su attori legati all’Iran che, almeno da marzo, sfruttavano controllori industriali (PLC) esposti su Internet nelle infrastrutture critiche statunitensi, causando in alcuni casi interruzioni operative e perdite economiche. Nello stesso documento le agenzie ricordano che CyberAv3ngers, il nome con cui il gruppo si era fatto conoscere colpendo impianti idrici, è un altro nome di Shahid Kaveh.
Il rapporto francese aggiunge tre elementi utili a chi deve difendersi. Il primo: l’unità opera dietro identità di facciata «hacktiviste» (CyberAveng3rs, Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front). Una rivendicazione firmata da un presunto collettivo spontaneo può quindi coprire un’operazione statale. Il secondo: dispone almeno da giugno 2024 di script per individuare, accedere e controllare apparati Schneider Electric, Siemens e Rockwell, e ad aprile 2026 ha condotto ricognizioni di massa in Francia tramite il protocollo industriale Modbus.
Il terzo: tra marzo e aprile 2026 aveva già rivendicato una campagna di sabotaggio contro interessi israeliani e statunitensi, che comprendeva frigoriferi di fabbricazione israeliana. La Francia, in altre parole, è stata il terzo bersaglio di una tecnica collaudata.
Il punto più rilevante per l’Italia è la semplicità del vettore. Davanti al Senato francese, il 21 ottobre, il direttore dell’ANSSI Vincent Strubel ha indicato come porte d’ingresso interfacce di amministrazione esposte, password deboli o di fabbrica e modelli obsoleti, non vulnerabilità sofisticate. Non servono capacità d’élite: serve un inventario di dispositivi dimenticati online. È una barriera d’ingresso bassissima, alla portata anche di attori non statali che vogliano imitare l’attacco.
L’ondata italiana e le responsabilità ancora da chiarire
Tre settimane dopo, nella notte tra l’1 e il 2 novembre, una seconda ondata ha colpito sistemi di refrigerazione commerciale in diversi Paesi europei, tra cui l’Italia, con casi in Sicilia, Toscana ed Emilia-Romagna. Il 3 novembre il sottosegretario Alfredo Mantovano ha riunito a Palazzo Chigi il ministro dell’Agricoltura, il direttore dell’Agenzia per la cybersicurezza nazionale (ACN) e i direttori delle agenzie di intelligence.
La nota finale parla di impatto limitato, circoscritto a pochi punti vendita con sistemi obsoleti, e stabilisce che ogni anomalia segnalata venga notificata dall’ACN ai NAS dei Carabinieri. L’Agenzia aveva diramato già il 13 ottobre, subito dopo il caso francese, un bollettino tecnico per grande distribuzione, logistica alimentare e manutentori (BL01/261013/CSIRT-ITA), ripubblicato in versione aggiornata il 3 novembre. Il 10 novembre il ministro dell’Interno ha riunito il Comitato nazionale per l’ordine e la sicurezza pubblica per esaminare i rischi connessi agli attacchi informatici.
Sulla paternità, le fonti ufficiali divergono, almeno in apparenza. A margine del G7 Esteri di Parigi, il 9 novembre, il ministro Antonio Tajani ha dichiarato che gli attacchi ibridi che riguardano l’Italia sono «certamente» opera di hacker filorussi, aggiungendo di non sapere se dietro vi sia un governo. Parigi, da parte sua, limita espressamente la propria attribuzione all’attacco di ottobre. Il 5 novembre CISA, FBI e i dipartimenti statunitensi di Salute, Agricoltura e Trasporti hanno diffuso una scheda congiunta sulla minaccia ai sistemi di refrigerazione industriale e alla catena del freddo, senza indicare alcun responsabile.
Per un analista, questa divergenza non è una contraddizione: indica due ipotesi da tenere aperte. La prima, oggi la più coerente con le dichiarazioni ufficiali, è l’emulazione. Una tecnica economica e ormai di pubblico dominio viene ripresa da gruppi filorussi, che da anni colpiscono l’Italia con campagne di disturbo. La seconda è la convergenza: attori diversi che, nel quadro della cooperazione tra Mosca e Teheran, sfruttano la stessa superficie d’attacco o si coprono a vicenda.
Le false identità hacktiviste documentate dal C4 rendono le rivendicazioni, di per sé, un indicatore debole. Fino a quando non saranno pubblicate evidenze tecniche sull’ondata italiana, ogni attribuzione resta prematura. Il dato strategico invece è certo: la filiera del freddo italiana è risultata raggiungibile.
Iran, basi americane e scelte di Trump: perché l’Italia è esposta
Tutto questo avviene dentro una guerra in corso. Dal 28 febbraio 2026 Stati Uniti e Israele conducono operazioni militari contro l’Iran. Dopo le elezioni di medio termine del 3 novembre, il presidente Trump ha moltiplicato i segnali contraddittori. Il 5 novembre, dopo una riunione con il suo staff di sicurezza nazionale, ha detto ai giornalisti nello Studio Ovale che era il momento di decidere se «andare oltre» con i raid. Il 6 novembre ha confermato un attacco a un sistema di difesa aerea sull’isola di Qeshm, nello Stretto di Hormuz.
L’8 novembre, intervistato dalla CNN, ha definito «altamente improbabile» un ritorno alla guerra purché i negoziati facciano progressi. Nella stessa intervista ha però precisato che gli Stati Uniti hanno già individuato in Iran obiettivi infrastrutturali, tra cui centrali elettriche e ponti.
È questo il nesso decisivo. La dottrina iraniana ha sempre compensato l’inferiorità convenzionale con strumenti asimmetrici, negabili ed economici: il cyber è il più flessibile. Una campagna contro centrali e ponti iraniani alzerebbe con ogni probabilità l’incentivo di Teheran a imporre costi agli alleati di Washington nel modo più visibile possibile: colpire la vita quotidiana dei cittadini europei, dai supermercati all’acqua all’energia. Già il 2 marzo il National Cyber Security Centre britannico aveva osservato che il rischio di una minaccia cyber iraniana indiretta era quasi certamente aumentato per le organizzazioni con presenza o catene di fornitura in Medio Oriente.
I quattro vettori della minaccia iraniana per l’Italia
L’Italia ha caratteristiche che la rendono visibile in questo calcolo. Ospita infrastrutture militari statunitensi di primo piano, da Sigonella ad Aviano. Il 24 giugno il segretario generale della NATO Mark Rutte ha dichiarato che 500 aerei statunitensi erano decollati dalle basi americane in Italia a sostegno dell’operazione Epic Fury. Il ministro della Difesa Guido Crosetto ha replicato che il governo aveva autorizzato solo attività tecniche e logistiche, «non cinetiche», e ha definito quella ricostruzione fuorviante.
Per la percezione iraniana, tuttavia, conta più l’affermazione pubblica del segretario generale dell’Alleanza che la precisazione di Roma. Già nella Relazione annuale presentata al Parlamento il 4 marzo, l’intelligence italiana avvertiva che un’escalation in Iran avrebbe potuto innalzare il rischio terroristico in Europa e in Italia, soprattutto verso obiettivi israeliani o statunitensi.
- Sabotaggio di sistemi industriali minori. Il caso francese dimostra che il bersaglio non è il grande operatore strategico, ben protetto dalla normativa sul Perimetro e da NIS2, ma la lunga coda di dispositivi gestiti da installatori e manutentori: banchi frigo, celle, piccoli impianti idroelettrici e idrici. Il tessuto produttivo italiano, fatto di piccole imprese e di impianti distribuiti, offre una superficie ampia. È probabile che questo resti il vettore più immediato.
- Spionaggio tecnologico e reti di procurement. L’Italia è già stata snodo di filiere iraniane.
- Il 16 dicembre 2024 l’ingegnere iraniano Mohammad Abedini è stato arrestato a Malpensa su richiesta degli Stati Uniti. Il Dipartimento di Giustizia lo accusava di aver procurato componenti americani per i sistemi di navigazione dei droni dei Pasdaran, e di aver fornito supporto materiale ai Pasdaran: secondo l’accusa, il drone che nel gennaio 2024 uccise tre militari statunitensi alla base Tower 22, in Giordania, montava un sistema di navigazione prodotto dalla sua azienda.
- Il 12 gennaio 2025 il ministro della Giustizia Carlo Nordio ha chiesto la revoca dell’arresto, sostenendo che i reati contestati non erano punibili in entrambi gli ordinamenti; Abedini è rientrato in Iran lo stesso giorno, quattro giorni dopo la liberazione della giornalista Cecilia Sala, detenuta a Teheran. Il governo ha sempre definito le due vicende «parallele ma non congiunte», ma il caso mostra quanto l’Italia sia esposta alla pressione iraniana sui propri cittadini.
- Il 29 maggio 2026 il Tesoro USA ha sanzionato Saied Zahedi, cittadino iraniano residente in Italia, accusato di aver pagato con un conto statunitense i domini usati da una rete iraniana per impersonare aziende americane e acquisire beni soggetti a restrizioni.
- Criminali come intermediari. Il 31 luglio 2025 quattordici governi occidentali hanno denunciato la crescente collaborazione dei servizi iraniani con organizzazioni criminali internazionali per colpire giornalisti, dissidenti, cittadini ebrei e funzionari in Europa e Nord America.
- Il 10 giugno 2026 una nuova dichiarazione congiunta, firmata da oltre venti Paesi, ha condannato le «trame letali» dell’intelligence dei Pasdaran, della Forza Quds e del ministero dell’Intelligence, e la campagna di attacchi in Europa rivendicata dal gruppo Harakat Ashab al-Yamin al-Islamiya.
- Il precedente più chiaro è la rete svedese Foxtrot, sanzionata dal Tesoro USA nel marzo 2025 per aver orchestrato per conto dell’Iran l’attacco all’ambasciata israeliana di Stoccolma. L’Italia non figura tra i firmatari di nessuna delle due dichiarazioni. È una scelta diplomatica legittima, che può riflettere la volontà di mantenere un canale con Teheran, ma priva Roma di un segnale di deterrenza condiviso con gli alleati.
- Convergenza con il cybercrimine e operazioni d’influenza. Nell’agosto 2024 FBI e CISA hanno documentato che attori iraniani legati al governo vendevano accessi e collaboravano direttamente con gruppi ransomware (ALPHV, NoEscape, RansomHouse), nascondendo ai partner la propria origine. Il confine tra criminalità e operazione statale è quindi sfumato per scelta. Sul fronte dell’influenza, il 16 marzo 2026 il Consiglio dell’UE ha sanzionato la società Emennet Pasargad, ricondotta dal C4 all’unità Shahid Shoostari, per la violazione del database di abbonati di Charlie Hebdo, la manipolazione di cartelloni pubblicitari durante le Olimpiadi di Parigi e attacchi in Svezia.
Tre scenari per l’Italia tra tregua e ritorsioni iraniane
I tre scenari seguenti legano la postura iraniana attesa alle opzioni oggi sul tavolo di Washington. Le probabilità sono espresse secondo la scala estimativa usata dalle agenzie d’intelligence.
- Scenario A, accordo o tregua negoziale. Le operazioni distruttive si riducono, mentre spionaggio, acquisizioni tecnologiche e repressione transnazionale proseguono (quasi certo). Esposizione italiana moderata, concentrata su diaspora, aziende dual use e reti di approvvigionamento.
- Scenario B, raid limitati e pressione economica (la situazione attuale). Sabotaggi a bassa intensità su sistemi industriali esposti, furti e pubblicazione di dati, campagne di intimidazione dietro false identità hacktiviste (probabile). Esposizione italiana media: filiera del freddo, piccoli impianti idrici ed energetici, piccole imprese con accessi remoti non protetti.
- Scenario C, campagna di bombardamenti su centrali e infrastrutture. Ritorsione asimmetrica contro gli alleati degli Stati Uniti e i Paesi che ospitano basi americane, con possibile ricorso a reti criminali per azioni fisiche (probabile). Esposizione italiana alta: basi USA, interessi israeliani ed ebraici, sistemi industriali, obiettivi simbolici.
Gli indicatori da monitorare sono quattro: nuove rivendicazioni su CyberbanNews o sulle identità di facciata di Shahid Kaveh che citino obiettivi italiani; scansioni Modbus e accessi anomali a interfacce di telecontrollo segnalati dal CSIRT Italia; mosse di sanzione UE sul caso francese, che potrebbero provocare ritorsioni contro gli Stati che le sostengono; infine la decisione americana sui raid contro infrastrutture civili iraniane, il fattore che più di ogni altro sposterebbe il quadro dallo scenario B allo scenario C.
La risposta italiana tra difesa tecnica e deterrenza
La lezione francese è doppia. Sul piano tecnico, la difesa più efficace è la meno spettacolare: censire e togliere da Internet i dispositivi di telecontrollo, sostituire le credenziali di fabbrica, imporre obblighi contrattuali ai manutentori, sostituire gli apparati fuori supporto. Il bollettino dell’ACN va in questa direzione. La sua efficacia dipende però da migliaia di piccoli operatori che non rientrano negli obblighi della normativa sui soggetti essenziali.
Sul piano politico, Parigi ha dimostrato che un’attribuzione pubblica, documentata e accompagnata da misure giudiziarie e sanzionatorie è uno strumento di deterrenza, non solo di comunicazione. Senza un’analisi tecnica pubblica dell’ondata del 2 novembre, l’Italia resta sospesa tra l’ipotesi filorussa e quella iraniana. Questa ambiguità avvantaggia l’attaccante, chiunque sia. Con la decisione di Trump ancora aperta, il tempo per ridurre la superficie d’attacco è adesso, prima che la guerra torni a salire di intensità.
Bibliografia
1. Ministère de l’Europe et des Affaires étrangères, «Déclaration d’attribution à l’Iran de cyberattaques visant la France», 9/11/2026 – diplomatie.gouv.fr
2. ANSSI, «Campagnes de déstabilisation et sabotage menées à l’encontre des intérêts français par la République islamique d’Iran», 9/11/2026 – cyber.gouv.fr
3. C4 / CERT-FR, rapporto CERTFR-2026-CTI-009, 9/11/2026 – cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-009/
4. Parquet de Paris (proc. Laure Beccuau), comunicato sull’apertura dell’istruttoria e i mandati d’arresto, 9/11/2026
5. Sénat, audizione del direttore generale ANSSI Vincent Strubel, 21/10/2026
6. Presidenza del Consiglio dei ministri, nota sulla riunione relativa agli attacchi ai sistemi di refrigerazione commerciale, 3/11/2026 – governo.it
7. ACN / CSIRT Italia, bollettino BL01/261013/CSIRT-ITA, 13/10/2026 (v1.1, 3/11/2026)
8. Dichiarazioni del ministro degli Esteri Antonio Tajani a margine del G7 Esteri, Parigi, 9/11/2026
9. DIS – Sistema di informazione per la sicurezza, Relazione annuale sulla politica dell’informazione per la sicurezza 2026, 4/3/2026
10. CISA, FBI, NSA, EPA, DOE, USCYBERCOM-CNMF, avviso AA26-097A, 7/4/2026 (agg. 22/7/2026)
11. CISA, FBI, HHS, USDA, DOT, scheda congiunta sui sistemi di refrigerazione industriale e catena del freddo, 5/11/2026
12. CISA, FBI, DC3, avviso AA24-241A, «Iran-based Cyber Actors Enabling Ransomware Attacks on US Organizations», 28/8/2024
13. UK National Cyber Security Centre, valutazione sulla minaccia cyber iraniana, 2/3/2026
14. Consiglio dell’UE, Regolamento di esecuzione (UE) 2026/589 e Decisione (PESC) 2026/588, 16/3/2026
15. U.S. Department of the Treasury, comunicato su Foxtrot Network e Rawa Majid, 12/3/2025; comunicato «Economic Fury» sulla rete Sepehr (Saied Zahedi), 29/5/2026
16. U.S. Department of Justice, accuse contro Mohammad Abedini e Mahdi Sadeghi, 16/12/2024; Ministero della Giustizia, comunicato del 12/1/2025
17. Dichiarazione congiunta sulle minacce statali iraniane in Europa e Nord America, 31/7/2025; dichiarazione congiunta su minacce statali iraniane e attacchi rivendicati da HAYI, 10/6/2026 (U.S. Department of State, FCDO)
18. NATO, intervista del segretario generale Mark Rutte a Fox News, 24/6/2026; Ministero della Difesa, dichiarazione del ministro Guido Crosetto, 24/6/2026
19. Donald J. Trump, dichiarazioni nello Studio Ovale, 5/11/2026 e 6/11/2026; intervista a CNN, 8/11/2026
20. Ministero degli Esteri della Repubblica islamica dell’Iran, replica all’attribuzione francese, 10/11/2026
Partecipa alla community