Gli hacker italiani al soldo dei russi: cripto in cambio di dati

Da almeno due anni gli hacker russi hanno intensificato il «lavoro» sull’Italia. Le informazioni in nostro possesso fanno risalire alla fine del 2024 i primi annunci di NoName057(16) rivolti anche a chi vive nel nostro Paese.

La proposta di ingaggio ha quasi sempre l’aspetto di un’offerta di lavoro come tante altre: c’è un incarico da svolgere e viene promesso un compenso, corrisposto in criptovalute facili da nascondere e ancor più facili da incassare. Si cercano residenti in Italia, ma anche in Germania e Francia, che vogliano guadagnare qualche soldo senza esporsi troppo, se necessario. Persone già sul posto, capaci di raggiungere qualcuno o procurare qualcosa. Una specie di delivery dello spionaggio.

Gli incarichi – abbiamo riscontrato con alcune fonti dell’intelligence – sono vari, in una scala che parte da commissioni apparentemente ordinarie, come fotografare un edificio ritenuto d'interesse o ritirare un pacco conto terzi, ma che può arrivare anche a livelli di difficoltà da provetti 007.

In particolare, gli annunci rivolti ai possibili agenti italiani riguardavano tre target che, letti oggi, assumono un rilievo investigativo tutt'altro che secondario: ovvero, raccogliere informazioni su un’organizzazione per i diritti umani; sorvegliare un collaboratore di un importante politico (c’era già il progetto di minacciare il ministro Antonio Tajani?), e addirittura infiltrarsi in un partito alla ricerca di notizie su alcune imprese del settore della difesa. Tre operazioni di cui ignoriamo esiti, ammesso che siano state effettivamente messe in atto.

La stessa modalità di reclutamento è stata riscontrata, peraltro, dai giornalisti di Rtl: entrati sotto copertura nelle piattaforme Telegram di NoName, hanno ricevuto le medesime proposte dopo aver superato alcune «selezioni» su canali riconducibili agli ambienti del collettivo russo.

PERQUISIZIONI

L’attenzione per l’Italia si rafforza ancor di più nel 2025. Il 17 febbraio RedHotCyber documenta l’apertura di un canale Telegram di NoName nella nostra lingua così da facilitare la ricerca di possibili agenti. Il 28 ottobre Cybersecurity360 rende pubblico un secondo annuncio rivolto a residenti negli stessi tre Paesi mentre un’offerta simile compare in un dossier dell’intelligence tedesca dedicato alla Renania Settentrionale-Vestfalia, quasi in contemporanea.

Assieme a Francia e Germania, due Paesi leader nella costruzione di una linea di difesa finanziaria e militare dell’Ucraina, c’è sempre e comunque Roma. Non sempre, però, gli accorgimenti per sviare indagini e controlli funzionano, malgrado la maestria dei maghi di NoName nel nascondersi dietro le cortine fumogene dell’anonimato digitale.

Nel luglio 2025 l’operazione Eastwood porta, infatti, a cinque perquisizioni nell’ambito di una inchiesta in cui si contano nove indagati. Dagli accertamenti sarebbero emersi riscontri sull’uso del software DdoSia, il programma che consente di partecipare a un attacco hacker anche senza essere informatici esperti: è il gruppo NoName infatti a fornire gli strumenti e le istruzioni per l’assalto. Agli hacker dilettanti è chiesto solo di tenere accesi i computer mentre questi sommergono di richieste i servizi scelti come bersaglio. Per chi prova a collegarsi, il risultato è un sito di destinazione lento o irraggiungibile. I singoli volontari vengono così utilizzati per un’azione orchestrata da altri in cui nessuno sa a che cosa sta partecipando e con chi.

Quando le notizie da procacciare riguardano però non più le persone ma gli apparati, allora la ricerca vira su un profiling di più alto spessore. Si abbandona Telegram e si passa ai sistemi vecchia maniera, quelli raccontati da John Le Carrè nei suoi capolavori spy. Come dimostra l'inchiesta della Procura di Roma per spionaggio a favore della Russia che vede indagato un ex funzionario dell’intelligence italiana che, secondo l’accusa, avrebbe raccolto informazioni attraverso diverse fonti, anche militari, per consegnarle a un presunto agente russo con copertura diplomatica. L'uomo è stato scoperto e arrestato insieme a un complice.

IMPRENDITORI IN BRIANZA

Ma il rapporto con i Servizi russi può coinvolgere anche chi svolge un mestiere lontano dall’intelligence, almeno apparentemente. Per seguirne una traccia concreta bisogna tornare al 2024, fra Milano e la Brianza, dove entrano in scena due imprenditori legati a una società immobiliare. Il 25 gennaio un account controllato da uno di loro riceve criptovalute per l’equivalente di 500 euro. Il 3 aprile dello stesso anno arrivano altri 1.500 euro. Gli investigatori ricostruiscono entrambi i trasferimenti: 2.000 euro complessivi, versati mentre i due si rendevano disponibili ad accettare incarichi da Mosca.

Le richieste, è emerso dal racconto delle cronache giudiziarie, riguardavano informazioni su un imprenditore della sicurezza elettronica e dei droni, documenti Nato e fotografie di obiettivi militari. Ai due era stato, inoltre, suggerito di studiare un possibile piano per delle telecamere da installare sui taxi, una idea che avrebbe potuto trasformare veicoli già in circolazione in punti di osservazione insospettabili.

I reclutatori, inoltre, dovevano mappare le zone urbane prive di videosorveglianza, così da evitare occhi (elettronici) indiscreti, e trovare alloggi per cittadini russi in transito in Italia. Il 28 aprile 2026 il processo con rito abbreviato a carico dei due uomini d'affari si è concluso con due condanne in primo grado, a due anni e sei mesi e a due anni e due mesi, per corruzione del cittadino da parte dello straniero. La giudice ha tuttavia escluso l’aggravante della finalità terroristica ed eversiva. E proprio la necessità di alloggi puliti apre il capitolo degli appoggi necessari a chi si sposta sotto copertura in questo gioco di specchi che è la guerra cibernetica. Come raccontano i dettagli di un’altra vicenda, il progetto di fuga di Serhii Chalyi, ricostruito nelle inchieste della magistratura tedesca su una rete di sabotaggio attivo nell’Est Europa.

DA VIENNA ALLA SICILIA

Il 16 maggio 2024 Chalyi chiede all’autista Pavlo T. di accompagnarlo fuori dalla Polonia. Durante il viaggio arrivano notizie sugli arresti di altri componenti della rete e il programma cambia. Oleksandr Varyvoda indica un contatto nell’area di Vienna capace, secondo il piano, di procurare documenti falsi. La prosecuzione prevista del viaggio porta verso la Sicilia, dove altri intermediari dovrebbero aiutare il fuggiasco a lasciare l’Europa.

Questa sequenza trova riscontro nell’inchiesta To Build a Fire di Joshua Yaffa, pubblicata online dal New Yorker il 2 febbraio 2026, che identifica Pavlo T. come Pavlo Tkachuk. E, prima ancora, ne aveva scritto la testata polacca Onet, l’8 dicembre 2025, spiegando che la rotta sulla Sicilia non era stata un ripiego, ma una idea maturata all’interno di un piano esecutivo predisposto già da mesi. Italia terra di conquista ma anche di transito. E di tradimenti.