La Spagna ha arrestato a marzo un uomo sospettato di aiutare tre gruppi hacktivist filorussi. Tra questi c’è NoName057(16), che colpisce spesso siti italiani. La polizia lo ha annunciato solo a luglio. Non sono noti né il nome né le imputazioni formali. Il punto è capire quanto pesi un arresto come questo.
Apri le schede una alla volta: la quarta elenca ciò che la polizia non ha chiarito.
La Policía Nacional ha annunciato a inizio luglio l’arresto di un uomo a Palencia. L’operazione risale a marzo. L’identità non è stata resa nota.
L’indagine è partita nell’agosto 2025 da un’informazione dell’FBI. Secondo la polizia, l’uomo avrebbe aiutato un hacker ucraino legato a CARR a fuggire in Russia attraverso Polonia e Bielorussia.
È indagato per appartenenza o collaborazione con un’organizzazione terroristica, apologia del terrorismo e danneggiamento informatico. Accuse formali non sono state annunciate.
NoName057(16) è noto soprattutto per gli attacchi DDoS contro governi e organizzazioni dei Paesi che sostengono l’Ucraina. È attivo dal 2022 e usa DDoSia, una piattaforma con cui i volontari partecipano agli attacchi.
CARR è nato nel 2022 con attacchi di basso livello in Ucraina. Nel 2024 gli Stati Uniti hanno sanzionato due suoi presunti membri, accusandoli di aver preso di mira infrastrutture critiche americane. Z-Pentest è una sua diramazione.
Secondo Mandiant, citata da The Record, CARR mantiene un rapporto operativo stretto con Sandworm, l’unità dell’intelligence militare russa.
In Italia diversi commentatori leggono i DDoS di NoName057(16) come poco più di un disservizio. Iezzi, di Swascan, ha detto che il vero rischio è l’escalation. QuiFinanza osserva che gli attacchi raramente provocano danni significativi.
L’NCSC britannico, a gennaio, ha invitato a non sottovalutare questi gruppi. Il direttore Jonathon Ellison ha spiegato che attacchi tecnicamente semplici possono impedire l’accesso a servizi essenziali.
Secondo il governo statunitense, CARR ha rivendicato anche attacchi a sistemi di controllo industriale di impianti idrici ed energetici. The Record precisa che molte sue operazioni restano DDoS poco sofisticati.
La polizia dice che l’uomo coordinava azioni e dava supporto ai gruppi, comprese operazioni attribuite a NoName057(16). The Register scrive che potrebbe aver eseguito attacchi per conto del gruppo: è un’ipotesi, non un fatto accertato.
Non sono noti il nome, le imputazioni formali né gli attacchi che gli vengono contestati. Le fonti consultate non dicono se abbia colpito bersagli italiani.
Un presunto rappresentante di Z-Pentest ha detto al sito russo SecPost di ignorare chi fosse stato fermato. Ha aggiunto che la polizia potrebbe aver sbagliato.
Resta aperto anche l’effetto dell’arresto. Secondo The Record, l’operazione europea del 2025 ha colpito oltre cento server, ma il gruppo ha continuato a rivendicare attacchi.
Nella casa dell’uomo gli agenti hanno sequestrato computer e dispositivi per criptovalute. Hanno congelato un portafoglio che, secondo gli inquirenti, avrebbe ricevuto i proventi della vendita di informazioni ottenute con attività criminali.
Il Dipartimento di Stato americano offre fino a 10 milioni di dollari per informazioni su NoName057(16). Per CARR e per Z-Pentest la cifra è fino a 2 milioni ciascuno.
L’8 ottobre la Farnesina ha dichiarato di aver respinto attacchi al proprio sito, senza disservizi. Nessuno li aveva rivendicati, ma Security Affairs nota che lo schema è quello di NoName057(16). L’Espresso precisa che le fonti pubbliche non documentano un ordine del governo russo.
A febbraio il gruppo aveva preso di mira siti legati alle Olimpiadi Milano-Cortina. Il ministro Tajani disse che l’Italia aveva fermato gli attacchi contro la Farnesina e i siti olimpici.
Secondo Cybersecurity360, il gruppo rivendica 487 attacchi all’Italia tra ottobre 2024 e gennaio 2026. È un numero dichiarato dal collettivo, non verificato.
