Operazione Eastwood: smantellato NoName057(16)

Europol smantella NoName057(16) con l’operazione Eastwood: 9 arresti, 100 server disattivati e la rete DDoS più temuta d’Europa fuori gioco.

NoName057(16). Bastava il suo nome a far tremare l’Europa. Una delle cyber gang più attive e pericolose del pianeta, divenuta nota per i massacci attacchi DDoS sferrati contro istituzioni pubbliche, aziende strategiche e infrastrutture critiche dei Paesi membri della NATO.
Quella che un tempo si reputava intoccabile e irraggiungibile, è stata smantellata nel corso dell’Operazione Eastwood, coordinata da Europol ed Eurojust con il supporto di diversi Paesi europei.

1. Due parole su NoName056(17)
2. Operazione Eastwood: la fine di NoName056(17)
3. Impatto e conseguenze

Questo evento segna un momento cruciale nella lotta all’hacktivismo sponsorizzato politicamente, in quanto si è colpita direttamente una delle più strutturate macchine di propaganda filorussa in ambito europeo.
Ma come si è riusciti a intercettarli? Come si è arrivati all’identificazione dei membri chiave e al loro arresto?

Come dico sempre: andiamo con ordine e affrontiamo per gradi l’argomento.

Due parole su NoName057(16)

Attivo sin dal marzo 2022, il collettivo hacker filorusso NoName057(16) si è rapidamente imposto come la più temibile e attiva minaccia per i Paesi europei. Specializzato in attacchi DDoS (Distributed Denial of Service), il suo focus principale erano istituzioni governative, media, aeroporti, banche e infrastrutture critiche situate in Europa e in Paesi considerati avversari degli interessi di Mosca.

L’elemento chiave delle loro attività era DDoSia, uno strumento che permetteva loro di condurre attacchi distribuiti coordinati attraverso una rete composta da volontari filorussi. L’azione collettiva veniva gestita tramite gruppi Telegram dedicati, usati per distribuire obiettivi, istruzioni operative e propaganda. I membri venivano anche premiati economicamente attraverso un sistema basato su criptovalute, incentivandoli così a partecipare attivamente.

Stando alle indagini condotte dall’Europol, il gruppo utilizzava anche repository pubblici su GitHub per distribuire strumenti e script utili a facilitare gli attacchi informatici. Sebbene operasse sotto la bandiera dell’hacktivism filorusso, NoName057(16) ha mostrato fin da subito un’organizzazione tecnica molto ben strutturata, sfruttando la potenza del crowd-sourced hacking per lanciare offensive massicce in tempo reale.

Operazione Eastwood: la fine di NoName057(16)

Nel marzo 2023 Europol e Eurojust hanno avviato un’indagine partendo da una segnalazione ricevuta dalle autorità ucraine. Sono stati forniti dettagli tecnici determinanti sull’infrastruttura usata dal gruppo hacker. Denominata Operazione Eastwood, questa ha coinvolto forze di polizia di Estonia, Germania, Lituania, Paesi Bassi, Romania e Ucraina. Le attività investigative hanno permesso di mappare progressivamente la rete criminale di NoName057(16).

L’azione decisiva si è svolta tra il 14 e il 17 luglio 2025, con operazioni simultanee in Francia, Germania, Paesi Bassi, Spagna, Svezia e Svizzera, unito al supporto tattico tattico dell’FBI. Le autorità hanno emesso sei mandati d’arresto per sospetti in Russia, identificando due presunti leader del collettivo. In Francia è stato trattenuto un sospetto in custodia preventiva, mentre in Spagna è stata registrata una detenzione. In Ucraina è stato arrestato un individuo identificato come il principale amministratore della rete. Secondo le fonti, questi sarebbe il responsabile sia della gestione tecnica degli attacchi DDoS, che dello sviluppo di DDoSia.

Parallelamente, l’Europol ha lavorato a stretto contatto con GitHub e Telegram per disattivare gli account e i repository utilizzati dal gruppo. Ciò ha portato alla chiusura immediata di diversi canali Telegram dedicati alla propaganda e al coordinamento degli attacchi. In più, il codice sorgente di DDoSia e degli altri strumenti automatizzati sono stati rimossi dal repository GitHub ufficiale della gang. Quest’azione ha paralizzando di fatto le capacità operative residue del collettivo.

Il bilancio complessivo dell’Operazione Eastwood conta in totale 9 arresti, tra cui 5 soggetti inclusi della lista degli EU Most Wanted, oltre 1000 simpatizzanti notificati per favoreggiamento e più di 100 server disattivati a livello globale.

Impatto e conseguenze

Lo smantellamento di NoName057(16) è uno dei colpi più duri mai subiti da una cybergang filorussa operante in Europa. L’arresto di figure chiave e la distruzione dell’infrastruttura tecnica e comunicativa del gruppo, hanno determinato una perdita immediata di capacità offensiva. Questo elemento ha ripercussioni dirette sulla continuità delle loro campagne DDoS.

Secondo gli analisti dell’Europol, l’Operazione Eastwood potrebbe innescare una frammentazione interna, portando alcuni affiliati rimasti a tentare di riorganizzarsi in cellule indipendenti, meno strutturate e difficili da monitorare. Non è escluso nemmeno un effetto deterrente, che potrebbe dissuadere temporaneamente altri gruppi con caratteristiche analoghe dal proseguire attività simili.

Dal punto di vista geopolitico, questo intervento segna una vittoria per l’Europa contro le azioni pro-Cremlino. L’Operazione Eastwood ha evidenziato chiaramente come la cooperazione transnazionale tra intelligence, forze di polizia e settore privato rappresenti oggi la via più efficace per contrastare queste minacce.

In conclusione

L’Operazione Eastwood è un precedente importante nella lotta alle cybergang e ai collettivi cybercriminali organizzati. Tuttavia, lo smantellamento di NoName057(16) non implica automaticamente la fine del fenomeno, considerando che strutture simili potrebbero emergere rapidamente sfruttando infrastrutture decentralizzate e tattiche più sofisticate.

Sebbene la capacità operativa filorussa sia stata temporaneamente indebolita, rimane da capire se la dispersione del gruppo porterà a un’effettiva diminuzione della minaccia DDoS o a una sua trasformazione in entità frammentate, più agili e difficili da identificare. Sarà quindi fondamentale monitorare con attenzione l’evoluzione di questo scenario nel breve e medio periodo.