Della guerra ibrida si parla ogni giorno in termini di Stati, eserciti e alleanze. Molto meno di ciò che comporta per le imprese, che di quel conflitto non sono parte ma ne attraversano il terreno: ogni impresa legata a un'organizzazione più grande, come fornitore o come cliente, o a un impianto o a un servizio essenziale, può diventare la via d'accesso verso qualcuno più importante di lei.
Che cosa dicono le istituzioni
Il non-paper del Ministero della Difesa (novembre 2025), un documento informativo firmato dal ministro Crosetto, definisce la minaccia ibrida come l'insieme di azioni coordinate, condotte da attori statali e non statali, sotto la soglia del conflitto armato e spesso non attribuibili.
Il testo la descrive come un processo continuo che ha tra i suoi obiettivi infrastrutture critiche, centri decisionali, servizi essenziali, strutture commerciali, industrie e catene di approvvigionamento.
Per l'Italia il documento riporta i dati dell'ACN: nel 2024 gli eventi cyber sono cresciuti del 40% e gli incidenti con impatto confermato dell'89%; nel primo semestre 2025 gli aumenti sono stati del 53% e del 98%. Tra i settori più colpiti segnala il manifatturiero, dove prevalgono piccole e medie imprese prive di difese adeguate: «le nostre piccole aziende sono bersagli facili». Il principale vettore di compromissione resta lo spearphishing.
Per le supply chain della Difesa il testo chiede di rafforzare la cooperazione tra pubblico e privato, anche per ridurre i rischi di spionaggio industriale.
Chi agisce, e perché
Il documento indica come attori principali Russia, Cina, Iran e Corea del Nord, con diverse motivazioni (per una descrizione completa, citiamo anche quelle non direttamente pertinenti al dominio cyber):
La Russia agisce per ragioni belliche: minare la coesione del fronte occidentale che sostiene l'Ucraina, con sabotaggi, cyberattacchi e disinformazione, incidendo su energia e catene di approvvigionamento.
La Cina persegue obiettivi economici e tecnologici di lungo periodo: acquisire know-how strategico, penetrare infrastrutture critiche e catene di fornitura. Mirerebbe a un Occidente più debole e frammentato, ma con il mercato europeo stabile e aperto, per sfruttarlo.
L'Iran usa proxy regionali e strumenti cibernetici, a basso profilo, per esercitare pressione sugli snodi marittimi e destabilizzare aree strategiche.
La Corea del Nord ricorre a ransomware, furto di criptovalute e spionaggio digitale per autofinanziare il regime.
Questi obiettivi si perseguono in due modi, che spesso si intrecciano.
Il primo sono le operazioni condotte direttamente dagli Stati, con unità dei servizi di intelligence. Un caso documentato è Sandworm, l'unità 74455 dell'intelligence militare russa (GRU): le autorità americane hanno incriminato nel 2020 sei suoi ufficiali per gli attacchi alla rete elettrica ucraina del 2015 e 2016 e per NotPetya.
Il secondo è più opaco. Organizzazioni cybercriminali operano da Paesi che le tollerano o le proteggono, e hanno così mano libera contro obiettivi occidentali: la regola non scritta è non colpire in patria né tra gli alleati, in cambio del silenzio dello Stato (ne parla Il sistema parallelo).
Per chi subisce, la distinzione è invisibile: chi sta dietro può sembrare un criminale qualunque. Le motivazioni cambiano, il metodo no: entrare da chi è meno difeso e più facile da aggredire.
Che cosa si è visto
Ucraina. Il 24 febbraio 2022, all'alba dell'invasione, un attacco alla rete satellitare KA-SAT di Viasat rese inutilizzabili migliaia di modem, anche in uso a enti militari e governativi ucraini, con una grave perdita di comunicazioni. L'accesso era partito da un dispositivo VPN configurato male nella rete di gestione del fornitore, da cui si era arrivati ai modem dei clienti. Gli effetti non si fermarono al confine: furono colpiti decine di migliaia di utenti in vari Paesi europei, e in Germania il monitoraggio e il controllo da remoto di circa 5.800 turbine eoliche restò fuori uso per settimane. Il 10 maggio 2022 Stati Uniti, Regno Unito e Unione europea hanno attribuito l'attacco alla Russia, che ha sempre negato.
La strada: dai piccoli ai grandi
Il bersaglio finale non è sempre un'infrastruttura critica o un'istituzione. Può essere una grande azienda che non è strategica in senso stretto, ma il cui nome pesa: colpire un marchio simbolo del made in Italy non mette a rischio la sicurezza nazionale, ma è un enorme evento d'immagine, sicuramente destabilizzante per l'opinione pubblica.
Chi vuole raggiungere uno di questi bersagli incontra difese robuste, budget dedicati, team di sicurezza. I suoi fornitori, spesso no. Il percorso più conveniente quindi raramente è l'assalto frontale: passa da chi ha già un accesso legittimo. Un fornitore di manutenzione, un cliente con accesso ai sistemi, un fornitore di servizi IT, lo studio professionale che tratta dati riservati, l'operatore logistico... Ha una storia documentata.
Volt Typhoon. Secondo un avviso delle agenzie di sicurezza statunitensi e alleate (febbraio 2024), un gruppo cinese si posiziona nelle reti di energia, comunicazioni, trasporti e acqua per poterne interrompere le funzioni in caso di crisi. Tra le vittime ci sono piccole organizzazioni che forniscono servizi a realtà più grandi; in alcuni ambienti l'accesso è durato almeno cinque anni.
Cloud Hopper. Nel 2018 il Dipartimento di Giustizia americano ha incriminato due persone legate al gruppo APT10, attribuito a una struttura del Ministero della Sicurezza di Stato cinese. Violando fornitori di servizi IT gestiti (MSP), il gruppo è risalito ai sistemi dei loro clienti in almeno dodici Paesi.
Il meccanismo è il flusso di informazioni. Tra un'impresa e i suoi fornitori e clienti passano ogni giorno fatture, ordini, preventivi, documenti tecnici, file condivisi, richieste di pagamento: scambi attesi, con persone conosciute, su canali già aperti. Se una minaccia prende il controllo della posta di un fornitore, può inviare una fattura vera, nel formato di sempre, a chi la aspetta: con un allegato infetto, un link, un IBAN modificato. Nessuno la sospetta, perché arriva da chi è abituato a scrivere. Non serve forzare una porta: basta inserirsi in un flusso che nessuno controlla.
Anche i fornitori IT possono essere un ponte d'accesso, e più potente: società di assistenza informatica, MSP, produttori di software gestionale, integratori che collegano i macchinari. Oltre ai documenti, hanno accessi diretti ai sistemi dei clienti, account di manutenzione, strumenti di gestione e aggiornamenti firmati. Compromettere uno di loro vuol dire avere la strada aperta verso tutti i suoi clienti: il rapporto è uno a molti. Nel rapporto Verizon 2026 le violazioni che coinvolgono una terza parte sono il 48% del totale, salite dal 30% dell'anno precedente: un aumento del 60%.
Come ti riguarda, in concreto
Fin qui lo scenario descritto dalle istituzioni. Resta da vedere che cosa significa per chi fa impresa.
La domanda non è più solo «sono abbastanza grande da interessare?», ma anche «che posizione occupo nella filiera?». Ci sono tre modi di essere coinvolti. Si può essere il bersaglio, se si fa parte di un settore o di una filiera strategica, o se si è un nome la cui visibilità lo rende appetibile. Si può essere il tramite, se si lavora per qualcuno che lo è: la strada verso l'azienda grande passa da te. Si può essere un danno collaterale, se si finisce nel raggio di un'operazione pensata per altri. In tutti e tre i casi conta meno la dimensione e più la posizione. Ecco come cambia, a seconda di chi sei.
Se sei un fornitore di aziende più grandi
Manutenzione, impianti, servizi, software, logistica: per chi prepara un'operazione, il tuo valore sta in ciò che puoi toccare. Un accesso remoto ai sistemi di un cliente, un account di manutenzione, credenziali che il cliente ti ha dato, un aggiornamento che invii. È la porta che nessuno mette in discussione, perché è quella di un fornitore conosciuto. Il rischio concreto è che qualcuno entri da te per arrivare al cliente. Ed è un rischio che i clienti più strutturati non possono ignorare: la direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, chiede ai soggetti nel suo perimetro di gestire la sicurezza della catena di fornitura, e quindi di pretendere garanzie da chi fornisce loro prodotti e servizi. Se succede, il cliente ti chiederà conto anche se tu non eri l'obiettivo, e il danno sarà contrattuale e reputazionale prima ancora che tecnico.
Se sei un fornitore IT o un MSP
Per te il rapporto uno a molti è letterale: un solo accesso compromesso ai tuoi strumenti di gestione può aprire decine di clienti. Cloud Hopper è esattamente questo. Il rischio non è soltanto essere violato: è che il tuo ambiente diventi il passaggio per tutti gli altri. Contano tre cose: chi ha accesso ai tuoi strumenti di gestione, con quali credenziali, e se te ne accorgeresti.
HOXEY ha scelto l'opposto: non abbiamo alcun accesso ai dispositivi installati nella rete dei clienti, come spiega il Modello di sicurezza Hoxey.
Se hai impianti o macchine collegate in rete
Industria, energia, edilizia, logistica e, sempre più, agricoltura. Se hai controllori, macchine o impianti raggiungibili da remoto, il rischio non è solo perdere dati, è fermare cose reali.
Nel caso Viasat è bastato un dispositivo VPN configurato male per arrivare ai modem dei clienti. Dispositivi come questo si trovano anche in una piccola azienda: non servono tecniche sofisticate, bastano le difese di base mancanti.
Con Shodan puoi vedere quali dispositivi sono raggiungibili da internet: l'articolo mostra come farlo, con un esempio che puoi ripetere. Le misure di base sono in Indicazioni pratiche per blindare la sicurezza.
Se sei in un settore esposto
Energia, trasporti, telecomunicazioni, finanza, sanità: sono i settori che il non-paper indica come infrastrutture critiche, perché colpirne uno solo può mettere in difficoltà l'intero Paese. Il perimetro non si ferma ai grandi nomi: intorno a ciascuno c'è una rete di fornitori più piccoli, per manutenzione, integrazione IT e tecnologie operative. Nelle fonti pubbliche non ci sono dati italiani su quanta parte degli incidenti passi da lì: è una deduzione ragionevole, non un dato. Come detto, la NIS2 chiede a questi soggetti di gestire anche i rapporti con i fornitori diretti: chi lavora per loro se lo vedrà chiedere.
Che cosa vale per tutti
Il problema non è solo bloccare l'ingresso. Volt Typhoon è rimasto dentro per anni, con strumenti già presenti nei sistemi e cancellando selettivamente i log. Un'operazione predisposta con largo anticipo è, per definizione, qualcosa che stava già lì prima. Contano da quanto tempo c'era qualcuno e se te ne eri accorto. La logica di una minaccia che ha tempo è raccontata in Mura potenti. Nessun allarme.
Il riscatto può non esserci. NotPetya, il malware diffuso nel 2017 attraverso un software contabile ucraino, si presentava come ransomware ma distruggeva i dati. Quando dietro c'è uno Stato, il messaggio di riscatto può essere solo una copertura, e pagare non riporta indietro nulla. In quel caso contano i backup che funzionano e che qualcuno ha provato davvero a ripristinare.
Chi sta dietro non cambia il danno. Un'unità militare, un criminale a contratto o entrambi: per chi subisce il risultato è lo stesso, e a rispondere verso i clienti sei tu.
Quattro domande da farsi
- Chi, tra fornitori e collaboratori, ha accesso ai miei sistemi, e con quali credenziali?
- Ai sistemi di quale cliente accedo io, e che cosa succederebbe se qualcuno usasse il mio accesso?
- Quali router, VPN e dispositivi non aggiornati o con le credenziali di fabbrica ho dimenticato?
- Se qualcuno fosse già dentro, che cosa me lo direbbe, e quando?
Per un'impresa la domanda non è quanto sia alto il muro, ma che cosa, nella tua rete, renderebbe visibile chi è già dentro.