Il 13 luglio Regno Unito e Unione europea hanno attribuito all’FSB russa l’attacco di fine dicembre all’energia polacca. Sono arrivate anche le prime sanzioni cyber congiunte. Eppure i tecnici che analizzarono il malware avevano indicato un’altra unità, quella dell’intelligence militare. Londra non ha spiegato su quali prove si fonda il suo giudizio.
Apri le schede nell’ordine che preferisci: la quarta mette a confronto le diverse attribuzioni.
Il 29 dicembre 2025 la Polonia era sotto gelo e nevicate. Il CERT polacco ha registrato attacchi a una trentina di impianti eolici e fotovoltaici. Un attacco separato ha colpito una centrale di cogenerazione che fornisce calore a clienti residenziali.
Secondo il rapporto del CERT, negli impianti rinnovabili sono stati danneggiati in modo irreparabile dispositivi di comunicazione. Nella centrale un malware ha cancellato i dati di computer Windows. Le ricostruzioni concordano che l’operazione contro la centrale è fallita.
Fino a luglio le attribuzioni venivano da aziende di sicurezza e da un CERT nazionale. Il 13 luglio il Regno Unito e l’Unione europea hanno attribuito l’attacco al Centre 16 dell’FSB. È l’unità di intelligence dei segnali del servizio di sicurezza russo.
L’annuncio ha accompagnato il primo pacchetto di sanzioni cyber congiunto dei due blocchi. Il governo britannico ha colpito 24 tra persone ed entità.
Il Consiglio dell’Unione ha attribuito allo stesso Centre 16 anche il gruppo Turla. Il CERT polacco aveva riconosciuto che per quel cluster si trattava della prima attività distruttiva resa pubblica.
ESET, che per prima ha pubblicato i dettagli tecnici, ha chiamato DynoWiper il malware usato. Lo ha ricondotto a Sandworm, gruppo che le autorità statunitensi collegano al GRU, con confidenza media.
Il ricercatore Anton Cherepanov ha spiegato che tecniche e infrastruttura ricalcano campagne precedenti di Sandworm. Ha ammesso che il malware potrebbe essere stato passato a un altro gruppo.
Dragos ha indicato con confidenza moderata un gruppo chiamato Electrum, che si sovrappone in modo significativo a Sandworm.
Le attribuzioni pubbliche sono diverse, e ognuna ha un grado di certezza diverso.
CERT Polska. Gruppo Static Tundra, noto anche come Berserk Bear o Dragonfly, che l’FBI collega al Centre 16. Il rapporto dice di non poter stabilire se Sandworm abbia partecipato.
ESET. Sandworm, con confidenza media. Dragos. Electrum, con confidenza moderata.
Regno Unito e Unione europea. Centre 16 dell’FSB. L’NCSC britannico ha declinato di commentare le prove su cui si basa.
Anche le cifre divergono. Londra parla di 500.000 civili senza elettricità. Il CERT polacco e The Record parlano di calore per quasi mezzo milione di clienti. Il CERT esclude effetti sulla stabilità elettrica per l’attacco agli impianti rinnovabili.
Il Cremlino nega di condurre operazioni cyber offensive. Il quadro cambierebbe se i governi pubblicassero le prove tecniche.
V1 / V2
Secondo l’avviso congiunto, il Centre 16 scansiona internet in cerca di router raggiungibili. Cerca quelli con password e stringhe SNMP di default o deboli. SNMP è il protocollo con cui si gestiscono i dispositivi di rete.
L’unità ha sfruttato anche vulnerabilità note dei dispositivi Cisco, compresa la funzione Smart Install. Le contromisure indicate sono SNMPv3, disattivazione delle versioni vecchie, password uniche e accesso limitato ai protocolli di gestione.
L’avviso porta la firma di agenzie di dodici Paesi, tra cui Stati Uniti e Italia, oltre all’NCSC britannico.
L’Italia è tra i Paesi le cui agenzie hanno firmato l’avviso sui router. Le fonti consultate non riportano attacchi riusciti a impianti italiani legati a questa campagna.
Per chi gestisce reti di imprese, enti locali o impianti, la verifica è concreta. Va controllato se i router rispondono a SNMP con credenziali di default. I settori più esposti, secondo gli alleati, sono comunicazioni, difesa, energia, finanza, pubblica amministrazione e sanità.
Sul piano politico, ex funzionari statunitensi sentiti da ISMG osservano che un attacco fallito rende difficile giustificare una ritorsione.
