Spie FSB nelle reti slovacche

Pensiamo al router che lampeggia in ufficio, o alla VPN che un'azienda usa per far lavorare da remoto i dipendenti: apparati poco appariscenti, quasi invisibili nella vita quotidiana, ma ormai porte d'ingresso dell'infrastruttura moderna. In Slovacchia, hacker legati allo Stato russo sembrano avere tastato proprio quelle porte, attorno a sistemi collegati alle reti energetiche, alla produzione di armamenti e ai ministeri.

Il ministero degli Esteri slovacco ha confermato che il Paese è finito nel mirino di operazioni cyber riconducibili all'FSB, il servizio di intelligence russo (Topky/TASR). Il ministero degli Investimenti ha precisato che l'attività riguardava infrastrutture critiche, industria della difesa e settore energetico (TA3). Nessuna centrale è rimasta al buio, nessun treno si è fermato. Proprio questa distinzione è il punto da capire.

Il ladro che lascia stare il televisore

L'operazione al centro del caso, nota come Turla, non appartiene al mondo dei gruppi ransomware in cerca di denaro rapido. Gestita dall'unità Centre 16 dell'FSB, nasce per entrare nelle reti senza farsi notare, restare nascosta e raccogliere informazioni per mesi o anni (CISA). È il ladro che non ruba il televisore, ma fotografa il quadro elettrico, annota dove siano le telecamere e prende l'impronta di ogni chiave.

I punti d'ingresso sono banali. Un avviso congiunto di CISA e FBI descrive gli attori del Centre 16 mentre sfruttano router configurati male, impostazioni deboli di gestione della rete e gateway VPN non aggiornati, cioè i dispositivi che stanno sulla soglia fra un'organizzazione e internet (CISA AA26-194A, FBI/IC3). Un gateway VPN, per esempio, può funzionare insieme da registro degli accessi e da mappa: mostra chi si collega, da dove, e quali sistemi interni raggiunga. I file di configurazione possono rivelare connessioni considerate affidabili e percorsi per spingersi più a fondo nella rete (AttackIQ).

Per un ministero o una società energetica, questo significa che un aggressore può capire dove si trovino i punti deboli senza far scattare alcun allarme. Sulla base degli elementi pubblici, si tratta di ricognizione per costruire leve future, non della prova di un sabotaggio imminente.

Perché i vicini guardano con attenzione

L'infrastruttura europea contemporanea somiglia meno a una fila di case separate che a un condominio con impianti condivisi. Slovacchia e Austria condividono una rete di trasporto del gas e un corridoio ferroviario molto trafficato fra Vienna e Bratislava (Gas Connect Austria, ÖBB). La Repubblica Ceca condivide canali di scambio dati nel settore della difesa e sistemi nelle regioni di frontiera (Novinky). Questo non significa che quei sistemi siano stati violati. Spiega però perché i governi trattino un'intrusione slovacca come una vulnerabilità comune.

Nessuno Stato vicino ha comunicato compromissioni accertate legate a questo episodio. Il timore è che configurazioni rubate, credenziali di fornitori o conoscenza dei punti deboli aiutino gli aggressori a preparare mosse future contro sistemi collegati. L'Austria ha convocato l'ambasciatore russo per attacchi cyber correlati. UE e Regno Unito hanno imposto le prime sanzioni congiunte contro Centre 16 e l'operazione Turla (Sabr Cyber & Tech News, formiche.net). Sono risposte che indicano come i governi vedano la minaccia come condivisa, anche senza prove di danni oltre confine.

Un regolamento edilizio non aggiorna un router

NIS2 nasce esattamente per scenari di questo tipo. La direttiva, in sostanza un regolamento edilizio per i servizi digitali essenziali, impone agli operatori di infrastrutture critiche di gestire il rischio cyber, segnalare rapidamente gli incidenti e mettere in sicurezza le catene di fornitura (EUR-Lex). La gestione slovacca ha messo alla prova questa logica. Secondo i media, il governo ha confermato gli attacchi solo dopo le domande dei giornalisti (TA3), mentre esponenti dell'opposizione hanno accusato l'esecutivo di una passività pericolosa (Aktuality).

Un regolamento edilizio può imporre uscite di sicurezza e rilevatori di fumo. Non può impedire a qualcuno di lasciare una porta aperta. NIS2 può fissare tempi di notifica e valutazioni del rischio; non può aggiornare un vecchio router né cambiare una chiave VPN finita nelle mani sbagliate.

Quello che è accaduto in Slovacchia, per quanto risulta dagli elementi pubblici, non dimostra che «la Russia possa paralizzare l'infrastruttura europea». Mostra che attori legati a Mosca hanno puntato sistemi utili a capire, mappare e preparare pressioni contro servizi critici. Gli appoggi sono silenziosi, l'accesso paziente, l'ambizione di lungo periodo. La prova, per l'Europa, è trattare l'accesso invisibile con la stessa serietà che riserva all'interruzione manifesta.