Chi sono i due gruppi hacker filorussi che rivendicano gli attacchi ai frigoriferi dei supermercati

Gli attacchi informatici ai frigoriferi dei supermercati, registrati prima in Francia e poi in diversi Paesi europei, compresa l'Italia, hanno avuto un nuovo sviluppo il 4 novembre 2026. Due gruppi hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato le manomissioni in un video diffuso online. «Non c'è stato bisogno di alcun malware. Abbiamo semplicemente sfruttato i sistemi integrati», sostengono nel messaggio, affermando inoltre di poter colpire altre infrastrutture, tra cui centrali elettriche e impianti idrici.

La loro responsabilità, però, non è stata confermata: mancano riscontri pubblici che li colleghino agli episodi o dimostrino un'origine comune dei diversi casi. Entrambi sono però già noti alle autorità per le attività contro organizzazioni e infrastrutture occidentali. I loro precedenti aiutano a capire come operano e quale ruolo hanno nel fenomeno dell'hacktivismo.

Chi è NoName057(16): i criminali informatici che rivendicano gli attacchi hacker ai frigoriferi

NoName057(16) è attivo dal marzo 2022, poco dopo l'invasione russa dell'Ucraina. Dopo aver preso di mira soprattutto siti e servizi del Paese, ha esteso le proprie campagne agli Stati che sostengono Kiev, concentrandosi su istituzioni pubbliche, banche e servizi di trasporto, anche in Italia.

Il gruppo è noto soprattutto per gli attacchi DDoS (Distributed Denial of Service), che sommergono siti e servizi online di richieste da più dispositivi, fino a rallentarli o renderli temporaneamente irraggiungibili. Non comportano necessariamente un'intrusione nei sistemi della vittima o il furto di dati.

Per organizzare le offensive, il collettivo utilizza DDoSia, uno strumento che permette pure a persone con competenze informatiche limitate di partecipare alle campagne. I partecipanti sono reclutati soprattutto tramite Telegram e alcuni ricevono ricompense in criptovalute.

Nel luglio 2025 NoName057(16) è stato al centro dell'operazione Eastwood, coordinata da Europol ed Eurojust con il coinvolgimento di diversi Paesi, tra cui l'Italia. L'intervento ha portato a due arresti, sette mandati di cattura e all'interruzione di oltre 100 server utilizzati dalla rete. Secondo Europol, il gruppo contava su circa 4.000 sostenitori.

L'operazione non ha però fermato le sue attività. Nel febbraio 2026 NoName057(16) ha rivendicato attacchi contro siti di rappresentanze diplomatiche italiane e alberghi di Cortina, in occasione delle Olimpiadi invernali di Milano-Cortina. Ha motivato le azioni con il sostegno dell'Italia all'Ucraina, ma nel complesso non sono stati segnalati disservizi di rilievo.

Chi è Z-Pentest, il gruppo sanzionato dall'Unione europea

Z-Pentest è nato nel settembre 2024 dall'iniziativa di alcuni membri di NoName057(16) e Cyber Army of Russia Reborn (CARR). Secondo un'allerta congiunta di agenzie occidentali del dicembre 2025, la sua nascita sarebbe seguita a contrasti in CARR sul sostegno finanziario dell'intelligence militare russa.

A distinguerlo da NoName057(16) sono soprattutto le intrusioni nei sistemi di tecnologia operativa (OT), utilizzati per controllare apparecchiature e processi fisici, dai macchinari industriali ai dispositivi che regolano servizi essenziali. Un accesso non autorizzato può modificare parametri operativi, con conseguenze legate all'impianto e alle protezioni presenti.

Nel video del 4 novembre, NoName057(16) e Z-Pentest sostengono di aver manomesso apparecchiature Danfoss e sistemi Dixell XWEB sfruttando funzionalità già presenti nei dispositivi, senza ricorrere a malware. Affermano inoltre di poter colpire impianti idrici, centrali elettriche e altre infrastrutture. Queste dichiarazioni non dimostrano però il loro coinvolgimento negli episodi dei supermercati. La vicenda ha sollevato interrogativi anche sui rischi per mense e strutture sanitarie.

Il 13 luglio 2026 l'Unione europea ha sanzionato Z-Pentest e due suoi esponenti, Yuliya Vladimirovna Pankratova e Denis Olegovich Degtyarenko. Il Consiglio dell'UE gli attribuisce un attacco del dicembre 2024 contro un'azienda idrica danese e segnala operazioni contro infrastrutture critiche nei settori dell'acqua e dell'energia.

Chi altro ha preso di mira l'Europa: CARR, Killnet e Dark Storm Team

Tra i collettivi filorussi figura il già citato CARR, attivo dal 2022. Inizialmente impegnato in campagne DDoS, ha poi rivendicato intrusioni nei sistemi industriali. Nel dicembre 2025 il Dipartimento di Giustizia statunitense ha annunciato l'incriminazione di una presunta componente di CARR per diverse operazioni, tra cui un attacco a un impianto di lavorazione della carne a Los Angeles. Secondo l'atto d'accusa, l'episodio avrebbe provocato il deterioramento di prodotti alimentari e una perdita di ammoniaca nel novembre 2024.

Secondo le agenzie di sicurezza occidentali, il GRU, l'intelligence militare russa, avrebbe contribuito alla nascita di CARR e finanziato gli strumenti utilizzati dal collettivo.

Un'altra sigla è Killnet, divenuta nota nel 2022 per gli attacchi DDoS contro siti governativi, aziende e organizzazioni dei Paesi occidentali. Ha preso di mira anche servizi europei. Nel giugno 2023 ha annunciato lo scioglimento della struttura esistente e nel gennaio 2024 una riorganizzazione, per cui la sigla non identifica necessariamente il collettivo originario.

Tra gli altri collettivi compare Dark Storm Team, che ha rivendicato attacchi contro siti istituzionali e servizi di trasporto, soprattutto in Polonia e Finlandia. In questo caso va fatta una precisazione: ENISA lo classifica come filopalestinese e anti-israeliano, non filorusso. Gruppi con orientamenti diversi possono prendere di mira gli stessi Paesi, come già avvenuto in Italia, senza necessariamente appartenere alla stessa organizzazione.

Perché gli hacker filorussi attaccano i Paesi europei: il ruolo dell'hacktivismo

L'hacktivismo, termine nato dall'unione di hacking e attivismo, consiste nell'utilizzare strumenti informatici per sostenere cause politiche o ideologiche. I gruppi filorussi presentano spesso le proprie azioni come ritorsioni per gli aiuti all'Ucraina, le sanzioni contro Mosca o altre decisioni dei governi occidentali. Anche un vertice internazionale o una dichiarazione politica possono diventare l'occasione per annunciare nuovi attacchi. Queste attività possono inserirsi nel contesto più ampio della guerra ibrida, che comprende anche operazioni informatiche e altre forme di pressione.

Nel 2025 sono state raccolte 4.709 rivendicazioni di attacchi da parte di gruppi hacktivisti contro obiettivi nei Paesi dell'Unione europea e oltre l'89% riguardava attacchi DDoS. Le cifre si riferiscono però a ciò che i collettivi hanno dichiarato di aver fatto, non al numero di attacchi effettivamente riusciti o che hanno provocato danni.

Per molti di questi gruppi conta altresì la propaganda. Su Telegram e altri canali annunciano i bersagli, reclutano sostenitori e pubblicizzano le operazioni. Secondo un'allerta congiunta delle agenzie occidentali del dicembre 2025, alcuni collettivi tendono a esagerare o inventare i risultati degli attacchi, anche se in determinati casi sono stati riscontrati danni effettivi.

Resta infine il tema dei rapporti con lo Stato russo. Nei casi di NoName057(16) e CARR, le autorità occidentali hanno individuato legami di diversa natura con il Cremlino e l'intelligence militare russa. Non significa che tutti i gruppi filorussi siano controllati da Mosca, né che gli episodi nei supermercati siano attribuibili alla Russia, servono riscontri tecnici e investigativi.

non perderti questo articolo

Attacco hacker ai frigoriferi: cos’altro possono colpire e cosa rischiano supermercati, mense e ospedali