L’hacktivism è una forma di attivismo digitale che usa gli attacchi informatici non per guadagno economico, ma per veicolare messaggi politici e ideologici. Nel 2025 l’Italia è diventata il Paese più colpito al mondo.
Quando si parla di attacchi informatici, la prima cosa che viene in mente è il profitto: credenziali rubate, dati esfiltrati, riscatti in criptovaluta. Esiste però una categoria di attori che non segue questa logica. Non cercano denaro, non vendono accessi sul dark web e non negoziano riscatti. Il loro obiettivo è un altro: rendere visibile una causa, mandare un messaggio a un governo, destabilizzare un’istituzione percepita come nemica.
Questa categoria si chiama hacktivism, e nel corso del 2025 ha subito una trasformazione profonda che ha portato l’Italia a diventare, secondo il Rapporto CLUSIT 2026, il Paese più colpito al mondo per questa tipologia di attacchi.
Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.
Cos’è l’hacktivism
Nato negli anni Novanta, quando i primi gruppi di attivisti digitali cominciarono a usare internet come strumento di protesta, il termine hacktivism è la fusione di hacking e activism. Si tratta dell’uso di tecniche informatiche offensive per promuovere cause politiche, sociali o ideologiche. La differenza fondamentale rispetto al cybercrime tradizionale è la motivazione: un gruppo criminale vuole guadagnare, un gruppo hacktivista vuole comunicare. Questo non significa che i danni siano minori, ma che la logica che guida le operazioni è completamente diversa.
Un attacco hacktivista non si valuta in base ai dati rubati o al riscatto ottenuto, ma in base alla visibilità generata. Un sito istituzionale offline per un’ora, uno screenshot del pannello di controllo di un’infrastruttura critica pubblicato su Telegram, un comunicato stampa che rimbalza sui media nazionali: questi sono i risultati che un gruppo hacktivista considera un successo. L’obiettivo non è il sistema colpito, ma il pubblico che viene a sapere dell’attacco.
Questa logica porta con sé una distinzione importante: la linea tra hacktivismo genuino e sabotaggio sponsorizzato da stati è diventata sempre più sottile. Molti gruppi che si presentano come movimenti di protesta autonomi operano con risorse, coordinamento e copertura che difficilmente si spiegano senza un supporto istituzionale. In questo contesto, l’hacktivism diventa uno strumento di guerra ibrida, in cui l’attribuzione è volutamente ambigua e la negabilità plausibile è parte integrante della strategia.
Come funziona l’hacktivism
La tecnica preferita dagli hacktivisti è il DDoS (Distributed Denial of Service), un attacco che sovraccarica i server di un sito web o di un servizio online con un volume di traffico artificialmente elevato, fino a renderlo irraggiungibile. Non richiede sofisticate vulnerabilità da sfruttare, non necessita di accesso ai sistemi interni e produce un effetto visibile e immediato. Per un gruppo che vuole fare rumore, è lo strumento più efficace disponibile.
Il DDoS funziona attraverso reti di dispositivi compromessi, le cosiddette botnet, oppure tramite strumenti distribuiti volontariamente tra i simpatizzanti del gruppo. Nel caso di NoName057(16), il collettivo filorusso smantellato dall’Operazione Eastwood nel luglio 2025, lo strumento DDoSia permetteva a chiunque di partecipare agli attacchi scaricando un’applicazione e contribuendo con la propria connessione. I partecipanti venivano persino premiati con criptovalute in base al volume di traffico generato.
Alcuni gruppi conducono operazioni più complesse che prevedono la compromissione effettiva di sistemi, la sottrazione di documenti riservati e la loro pubblicazione pubblica, una pratica nota come defacement quando riguarda la modifica visiva di un sito web. In questi casi l’obiettivo rimane la visibilità, ma il danno reputazionale e operativo per la vittima può essere significativo. Il caso più recente in Italia riguarda l’attacco al sistema anti-allagamento della Basilica di San Marco, rivendicato dal gruppo Infrastructure Destruction Squad con profilo ideologico pro-cinese, che ha pubblicato screenshot del pannello di controllo dell’infrastruttura e ha messo in vendita l’accesso root per 600 dollari.
La scelta dei bersagli non è casuale. Gli hacktivisti puntano a obiettivi con alto valore simbolico: siti di ministeri, portali di forze armate, infrastrutture pubbliche, testate giornalistiche percepite come ostili. Il criterio non è la vulnerabilità tecnica del bersaglio, ma il suo peso nella narrativa che il gruppo vuole costruire. Un sito governativo offline genera più attenzione di un’azienda privata compromessa, anche se quest’ultima avesse difese molto più deboli.
L’Italia nel mirino
Nel 2025 l’Italia ha concentrato il 64% di tutti gli attacchi hacktivisti registrati a livello mondiale: due attacchi su tre nel mondo colpivano obiettivi italiani. Il fenomeno è cresciuto del 145% rispetto all’anno precedente, portando l’hacktivism a rappresentare il 38,7% di tutti gli incidenti informatici documentati nel Paese, contro una media globale dell’8%.
La tecnica DDoS, coerentemente con il profilo hacktivista, ha rappresentato il 38,5% di tutti gli attacchi in Italia nel 2025, quasi il doppio rispetto all’anno precedente. Il settore più colpito è quello governativo, militare e delle forze dell’ordine, con un incremento del 290% rispetto al 2024. Seguono i trasporti e la logistica, in crescita di una volta e mezza rispetto all’anno precedente, e il manifatturiero.
Le posizioni dell’Italia sui conflitti internazionali in corso, in particolare il conflitto russo-ucraino e le tensioni nel contesto indo-pacifico, l’hanno resa un bersaglio privilegiato sia per i gruppi filorussi che per quelli pro-cinesi. Molti degli attacchi classificati come hacktivism sono con alta probabilità operazioni coordinate da strutture governative estere, che usano la copertura ideologica per condurre operazioni di sabotaggio e pressione diplomatica con piena negabilità.
Il risultato è che il nostro Paese si trova oggi a subire una quota di attacchi informatici sproporzionata rispetto al proprio peso demografico ed economico. Il Paese rappresenta circa il 2% del PIL mondiale, ma assorbe il 9,6% degli incidenti informatici globali. Un divario che riflette non solo la rilevanza geopolitica del Paese, ma anche la vulnerabilità percepita delle sue infrastrutture digitali pubbliche.
Come difendersi dall’hacktivism
Poiché nell’hacktivism il bersaglio è scelto per il suo valore simbolico, anche organizzazioni con infrastrutture solide possono trovarsi nel mirino semplicemente per quello che rappresentano. Di seguito sono riportate le misure più efficaci.
- Implementare protezioni DDoS dedicate.
I firewall tradizionali non sono sufficienti contro attacchi volumetrici di grandi dimensioni. Servizi di mitigazione DDoS basati su cloud, capaci di assorbire picchi di traffico nell’ordine dei terabit al secondo, sono la prima linea di difesa per qualsiasi organizzazione con un profilo di rischio elevato, in particolare quelle che operano in ambito istituzionale o che gestiscono servizi pubblici. - Definire e testare piani di risposta agli incidenti specifici per attacchi dimostrativi.
Un attacco DDoS non richiede le stesse procedure di risposta di una compromissione ransomware. I piani devono prevedere procedure di comunicazione esterna, gestione della copertura mediatica e coordinamento con le autorità competenti, in particolare con il CSIRT Italia, che monitora le campagne hacktiviste attive sul territorio nazionale. - Monitorare i canali Telegram e i forum underground.
La maggior parte dei gruppi hacktivisti annuncia i propri obiettivi e rivendica le proprie azioni su canali pubblici. Un’attività di monitoraggio delle fonti di threat intelligence permette di anticipare possibili attacchi e attivare le contromisure prima che l’offensiva sia già in corso. - Ridurre la superficie di attacco esposta su internet.
Pannelli di amministrazione, interfacce di gestione e sistemi di controllo non devono essere accessibili dalla rete pubblica. Il caso della Basilica di San Marco dimostra che anche infrastrutture gestite da enti pubblici possono essere esposte per errori di configurazione elementari. Un audit periodico della superficie esposta è una misura concreta e alla portata di qualsiasi organizzazione. - Formare il personale sulla gestione della comunicazione in caso di attacco.
Gli hacktivisti puntano all’effetto mediatico. Una risposta comunicativa lenta, contraddittoria o assente amplifica il messaggio del gruppo attaccante. Avere una procedura chiara su chi comunica, cosa comunica e quando è una parte integrante della risposta a questo tipo di minaccia.
L’attacco alla Basilica di San Marco non ha richiesto alcuna tecnica sofisticata, poiché è bastata un’interfaccia di gestione raggiungibile dalla rete pubblica. Gli hacktivisti scelgono il bersaglio per il suo valore simbolico, poi cercano la porta più comoda fra quelle che trovano aperte. Il nostro Vulnerability Assessment individua i servizi e i pannelli che la vostra organizzazione espone su internet senza saperlo e ve li restituisce in ordine di priorità: l’audit periodico che chiude quelle porte prima che qualcuno le fotografi e pubblichi lo screenshot su Telegram.
In conclusione
L’hacktivism non è una minaccia marginale né una forma di protesta innocua. La sua natura geopolitica lo rende difficile da contenere con le sole misure tecniche. Conoscere la logica di questi attacchi, i loro obiettivi e le loro tecniche è il primo passo per costruire una risposta adeguata. Perché un attacco che punta alla visibilità si combatte anche riducendo il rumore che genera e questo richiede preparazione, non solo tecnologia.
Gli attacchi hacktivisti che fanno più danno non si fermano al DDoS. Quando un gruppo arriva a pubblicare documenti riservati oppure a mostrare il pannello di controllo di un’infrastruttura, quasi sempre è entrato passando da una persona, con una credenziale riutilizzata oppure un messaggio costruito ad arte. La nostra Academy forma i vostri dipendenti a riconoscere questi tentativi e a sapere come muoversi quando l’attacco è già in corso, perché una reazione confusa amplifica proprio il messaggio che gli attaccanti stanno cercando.
- Autore articolo
- Gli ultimi articoli
Classe 1993, ingegnere gestionale e Adobe Certified Professional in Graphic Design & Visual Design. Ho mosso i primi passi nel campo informatico grazie alla passione per i videogiochi, che mi ha portato ad approfondire i motori grafici e la progettazione visiva. Scrivo da quando ero bambino e, con il tempo, la scrittura è diventata parte integrante del mio lavoro nel mondo della comunicazione e della sicurezza informatica.