NoName057(16), gli attacchi DDoS diventano un gioco di propaganda a pagamento

La ricerca dell’Università Aalto presenta NoName057(16) come qualcosa di più di un normale collettivo di hacktivisti. Il gruppo filorusso combina attacchi distribuiti di negazione del servizio (DDoS), propaganda, reclutamento ideologico e incentivi economici. Secondo lo studio, il risultato si colloca all’incrocio tra hacktivismo, attività informatiche geopolitiche e criminalità digitale. 12

La lezione centrale è questa: un sito irraggiungibile per poche ore può avere un obiettivo politico molto più duraturo. L’interruzione rende le istituzioni apparentemente vulnerabili, amplifica la paura e può spingere il pubblico a dubitare delle organizzazioni responsabili dei servizi essenziali.

L’obiettivo non è soltanto mandare offline un sito

NoName057(16) ha lanciato migliaia di attacchi DDoS contro organizzazioni pubbliche e private, soprattutto negli Stati membri della NATO e in altri Paesi europei, tra cui la Finlandia. 2 Un attacco DDoS inonda un servizio di richieste o traffico fino a impedire l’accesso agli utenti legittimi.

La conseguenza immediata può essere una temporanea indisponibilità del servizio. Ma, secondo l’analisi di Aalto, il disservizio viene anche trasformato in una piattaforma per la propaganda, con l’obiettivo di delegittimare gli avversari. 2

È questo a rendere la campagna una minaccia ibrida: l’operazione tecnica crea un incidente visibile, mentre i messaggi che la accompagnano lo inseriscono in una narrazione politica. L’effetto cercato non è necessariamente un danno tecnico permanente, bensì ansia, danno reputazionale e minore fiducia nei governi, nelle istituzioni e nei servizi critici. 12

DDoSia: come vengono reclutati e coordinati i volontari

Il modello operativo del gruppo distribuisce gran parte del lavoro attraverso una rete di volontari. I partecipanti vengono reclutati su Telegram e ricevono accesso a DDoSia, lo strumento usato per coordinare gli attacchi contro obiettivi selezionati o promossi dalla rete. 23443

In questo modo si abbassa la soglia tecnica di ingresso. Per partecipare non è necessario sviluppare exploit sofisticati: è sufficiente contribuire con le risorse informatiche del proprio dispositivo e seguire la struttura delle campagne. Il sistema è basato sul crowdsourcing, ma viene orientato centralmente attraverso la scelta dei bersagli, le comunicazioni e gli incentivi alle prestazioni. 234

Ne nasce una comunità mobilitabile attorno a eventi politici e al sostegno percepito agli avversari della Russia, ma con caratteristiche che ricordano anche i servizi criminali “a pagamento”. Per questo Aalto descrive un modello che sfuma i confini tra hacktivismo ideologico, guerra informatica geopolitica e criminalità digitale motivata dal profitto. 23

Perché definirlo un “gioco online patriottico” è strategico

DDoSia non viene presentato semplicemente come un software per attacchi. Il progetto descrive la partecipazione come un “gioco online patriottico”, inducendo i contributori a percepire l’attività di disturbo come un’azione nazionalista o civica, invece che come un comportamento criminale. 338

La struttura ispirata ai videogiochi può favorire il reclutamento e la permanenza nel gruppo: offre un’identità condivisa, obiettivi visibili e una dimensione competitiva. Alcune ricostruzioni hanno inoltre descritto classifiche e incentivi legati ai risultati, anche se meccanismi precisi e modalità di pagamento sono cambiati nel tempo e variano a seconda delle fonti. 3944

La combinazione è funzionale alla strategia: l’ideologia fornisce la motivazione, la forma del gioco rende la partecipazione accessibile e sociale, mentre le ricompense economiche offrono un motivo ulteriore per continuare a contribuire.

Le criptovalute aggiungono una motivazione commerciale

Il progetto ha offerto ricompense in criptovaluta ai partecipanti che contribuivano ad attacchi riusciti. Le prime ricostruzioni citavano pagamenti fino a 80.000 rubli russi, pari a circa 1.200 dollari all’epoca, per attività DDoS portate a termine con successo. 46

Il sistema di ricompense rende più difficile distinguere nettamente tra il volontario motivato politicamente e il criminale informatico pagato. I partecipanti possono essere attratti dalla propaganda filorussa, dalla dimensione sociale del gruppo, dalla competizione o dalla prospettiva di un pagamento. I risultati di Aalto indicano che queste motivazioni possono agire insieme, non necessariamente in alternativa. 2

Le prove disponibili non dimostrano che ogni partecipante venga pagato o che ogni attacco sia motivato dal denaro. La conclusione più solida è che la criptovaluta fornisce al gruppo un ulteriore strumento per reclutare e incentivare i contributori, accanto alla componente ideologica.

La Finlandia mostra la scala del fenomeno

Secondo l’Università Aalto, dal 7 gennaio 2025 NoName057(16) ha condotto 23 campagne di attacco contro obiettivi finlandesi, colpendo 129 organizzazioni pubbliche e private. Tra i bersagli figuravano il Parlamento e altre istituzioni governative, comuni, banche e istituzioni finanziarie, oltre a fornitori di servizi legati alle infrastrutture critiche. Aalto ha inoltre registrato un aumento degli attacchi dopo l’ingresso della Finlandia nella NATO, avvenuto nel 2023. 1

In Europa, l’impatto immediato di queste campagne può tradursi nella temporanea indisponibilità di servizi online. L’impatto più ampio riguarda però la percezione: cittadini e utenti possono convincersi che enti pubblici, organizzazioni finanziarie o fornitori di servizi essenziali non siano in grado di proteggere in modo affidabile i propri “ingressi digitali”.

Per un attaccante, questa percezione ha valore anche quando i sistemi tornano operativi rapidamente.

Cosa ha cambiato l’operazione Eastwood — e cosa non ha dimostrato

Tra il 14 e il 17 luglio 2025, Europol ed Eurojust hanno coordinato l’operazione Eastwood, un intervento multinazionale contro le persone e le infrastrutture di NoName057(16). Hanno agito simultaneamente autorità di Repubblica Ceca, Francia, Finlandia, Germania, Italia, Lituania, Polonia, Spagna, Svezia, Svizzera, Paesi Bassi e Stati Uniti. 17

L’operazione ha interrotto un’infrastruttura d’attacco composta da oltre 100 sistemi informatici distribuiti nel mondo e ha portato offline una parte significativa dell’infrastruttura centrale dei server del gruppo. 17 Altre ricostruzioni hanno riferito anche di arresti, perquisizioni e mandati di arresto. 1723

Si è trattato di un duro colpo operativo, ma “interrotto” non significa “eliminato definitivamente”. Le prove disponibili non mostrano che il reclutamento, la propaganda politica o gli effetti comunicativi del gruppo siano cessati. Una struttura basata su volontari e coordinata online può potenzialmente adattarsi alla rimozione di singoli server o amministratori.

Come dovrebbero prepararsi le organizzazioni

L’analisi di Aalto indica che la risposta deve andare oltre la normale mitigazione degli attacchi DDoS. Nel threat modeling, nella valutazione del rischio e nella gestione degli incidenti, le organizzazioni dovrebbero considerare anche gli obiettivi politici dell’attaccante, il suo modello operativo e le sue motivazioni, invece di trattare ogni evento soltanto come un problema di disponibilità. 2

Questo significa affiancare alla preparazione tecnica un piano di comunicazione:

• Prepararsi alla narrazione, oltre che all’interruzione. Occorre individuare quali servizi, istituzioni e pubblici potrebbero essere coinvolti e pianificare come spiegare l’incidente in modo accurato.
• Coordinare sicurezza e comunicazione. I team informatici possono chiarire cosa è successo e quali servizi restano disponibili; quelli della comunicazione possono affrontare voci, intimidazioni e affermazioni fuorvianti.
• Comunicare in modo trasparente e credibile. Minimizzare o nascondere un attacco può lasciare spazio alla propaganda ostile. Aggiornamenti chiari aiutano a evitare che un disservizio temporaneo venga rappresentato come il collasso di un’istituzione. 2
• Misurare il recupero anche oltre il ritorno online. Ripristinare un sito è necessario, ma bisogna valutare anche la fiducia del pubblico, il danno reputazionale e l’eventuale diffusione di false ricostruzioni sull’incidente.

L’implicazione più importante dello studio è quindi strategica. DDoSia trasforma comuni utenti di Internet in partecipanti a un’operazione d’influenza coordinata e fa apparire la perturbazione informatica come un gioco. Per difendersi servono infrastrutture resilienti, ma anche la capacità di contrastare la storia costruita attorno all’attacco.