La crescente dipendenza dalla tecnologia ha trasformato gli aeroporti, gli ospedali, le reti elettriche e i sistemi di comunicazione in possibili obiettivi delle cosiddette minacce ibride, una modalità d’azione che combina strumenti digitali, azioni fisiche e tecniche di disinformazione per indebolire il funzionamento di un paese. A differenza di un attacco militare convenzionale, queste operazioni possono svilupparsi senza scontri armati e senza che risulti facile identificare i loro responsabili, il che rende difficile sia la risposta delle autorità sia l’attribuzione delle responsabilità.
La Unione Europea definisce le minacce ibride come attività ostili coordinate che mirano a danneggiare uno Stato, un’istituzione o una società mediante diversi strumenti utilizzati congiuntamente. Tra questi figurano i cyberattacchi, il sabotaggio di infrastrutture critiche, la manipolazione informativa, la pressione economica e le interferenze nei sistemi di navigazione. Possono essere promosse da attori statali o da gruppi non statali e in genere sono progettate per restare al di sotto della soglia di un conflitto armato aperto. La loro finalità non consiste sempre nel distruggere un’installazione: può anche essere generare incertezza, interrompere i servizi quotidiani, provocare perdite economiche o erodere la fiducia dei cittadini nelle istituzioni.
La preoccupazione europea è aumentata durante gli ultimi anni. Nel marzo 2026, il Consiglio dell’UE ha approvato nuove conclusioni per rafforzare la capacità degli Stati membri di fronte a queste minacce, mentre il Parlamento europeo ha adottato a settembre una risoluzione sulla protezione delle infrastrutture critiche di fronte alle operazioni ibride. Il dibattito coincide con uno scenario di crescente attività malevola nell’ambiente digitale. Secondo il rapporto sulle minacce del 2026 della Agenzia dell’Unione Europea per la Cybersicurezza (ENISA), il trasporto ha concentrato l’8% degli incidenti esaminati, mentre le amministrazioni pubbliche sono state il settore più colpito, con il 32%.
Aeroporti: interferenze nel GPS, sistemi bloccati e voli sospesi
Uno dei settori particolarmente esposti è il trasporto aereo, la cui attività dipende da un’ampia rete di comunicazioni, radar, sistemi di navigazione, piattaforme di gestione dei voli e servizi digitali. Un attacco contro uno di questi elementi può provocare ritardi, cancellazioni o restrizioni alle operazioni, anche se non si verifica alcun danno fisico agli aerei. I criminali informatici possono anche rivolgersi a imprese che forniscono servizi agli aeroporti, come fornitori di biglietteria, gestione dei bagagli o tecnologie dell’informazione, generando interruzioni che incidono su più strutture contemporaneamente.
Tra le tecniche che destano maggior preoccupazione presso le autorità aeronautiche ci sono il jamming e lo spoofing, due modalità di interferenza sui segnali di navigazione satellitare. La prima consiste nel rendere difficile o bloccare la ricezione di tali segnali, mentre la seconda utilizza segnali falsi per far sì che le apparecchiature ricevano informazioni errate sulla propria posizione o sull’ora. La Agenzia Europea per la Sicurezza Aerea (EASA) ha aggiornato a luglio 2026 le sue raccomandazioni di sicurezza di fronte all’aumento di queste incidenze, soprattutto nelle regioni vicine ad aree di conflitto.
Queste interferenze possono obbligare gli equipaggi a utilizzare sistemi di navigazione alternativi e, in determinate circostanze, modificare rotte o dirottare i voli. Non significa che gli aerei perdano automaticamente il controllo, poiché l’aviazione dispone di procedure e apparecchiature di riserva. Tuttavia, possono aumentare il carico di lavoro di piloti e controllori e ridurre temporaneamente la capacità operativa di determinate rotte. Un’operazione ibrida potrebbe combinare un’interferenza tecnologica con la diffusione di informazioni false per amplificare l’allarme tra i viaggiatori, anche se sarebbe necessario dimostrare tale coordinamento per parlare di una campagna di questo tipo.
Ospedali: operazioni rinviate e perdita di accesso ai dati medici
Gli ospedali rappresentano un altro obiettivo particolarmente delicato perché i loro sistemi informatici sono direttamente collegati all’assistenza sanitaria. Le cartelle cliniche digitali, i risultati di laboratorio, la gestione delle ambulanze, gli appuntamenti medici e numerose attrezzature dipendono da reti e applicazioni che devono essere mantenute disponibili. Se un’organizzazione sanitaria perde temporaneamente l’accesso a tali strumenti, può essere costretta a ricorrere a procedure manuali, riorganizzare le visite o rinviare determinate procedure.
Una delle minacce più comuni è il ransomware, un tipo di programma dannoso che blocca i sistemi o cifra i file per chiedere in seguito un riscatto economico. ENISA ha documentato incidenti di questo tipo in ospedali europei che hanno causato il rinvio di procedure mediche. Inoltre, il furto di dati sanitari può compromettere informazioni particolarmente sensibili dei pazienti e generare nuove conseguenze anche dopo aver ripristinato i sistemi.
Tuttavia, un attacco di ransomware contro un ospedale non costituisce necessariamente un’operazione ibrida. Può trattarsi di criminalità economica senza obiettivi politici o strategici. La componente ibrida apparirebbe se esistessero prove che l’attacco fa parte di un’azione coordinata destinata a destabilizzare i servizi sanitari, ad esempio combinandolo con sabotaggi in altre infrastrutture o con campagne deliberate per diffondere informazioni false sull’assistenza medica. In questo scenario, l’obiettivo potrebbe essere sia interrompere il funzionamento dell’ospedale sia aumentare la sfiducia della popolazione nella capacità di risposta delle autorità.
Comunicazioni: il rischio dei cavi sottomarini e delle reti di telefonia
Le reti di telecomunicazioni costituiscono un’altra infrastruttura strategica perché sostengono gran parte dell’attività economica e dei servizi pubblici. Una significativa interruzione della connettività può influire su chiamate telefoniche, connessioni a internet, pagamenti elettronici e sistemi di coordinamento delle emergenze, anche se la sua portata dipenderà dalla durata dell’incidente e dalle connessioni alternative disponibili. Gli attacchi possono essere diretti contro apparecchiature informatiche e centri dati, ma anche contro elementi fisici delle reti, come installazioni di fibra ottica o cavi sottomarini.
La Commissione europea stima che i cavi sottomarini trasportino circa il 99% del traffico intercontinentale di internet, il che ne spiega l’importanza per la sicurezza e l’economia. Dopo diversi incidenti registrati negli ultimi anni, Bruxelles ha promosso misure specifiche per rafforzarne la protezione e migliorare la capacità di riparazione. Nel febbraio 2026 ha presentato nuovi strumenti per valutare i rischi, individuare le vulnerabilità e rispondere a possibili danni in queste infrastrutture.
La difficoltà consiste nel determinare l’origine di ogni incidente. Il taglio di un cavo non dimostra di per sé che esista un sabotaggio, poiché può anche dipendere da attività marittime, errori umani o fenomeni naturali. Per attribuirlo a un’operazione ibrida è necessario esaminare prove tecniche, la possibile intenzionalità e la sua relazione con altre azioni. Proprio quell’ambiguità costituisce una delle caratteristiche di queste minacce: i responsabili possono tentare di far sì che un’azione deliberata sembri un incidente e così rendere più difficile una risposta coordinata.
Come si protegge la Spagna e quando si può parlare di un attacco ibrido
La risposta a queste minacce richiede la partecipazione di diversi organismi di sicurezza, amministrazioni e operatori privati. In Spagna, il Centro Criptológico Nacional (CCN), l’Istituto Nazionale di Cybersicurezza (INCIBE) e gli organismi responsabili della protezione delle infrastrutture critiche svolgono funzioni connesse alla prevenzione, alla rilevazione e alla risposta agli incidenti nell’ambito di rispettiva competenza. A livello europeo, la direttiva NIS2 stabilisce un quadro rafforzato di cibersicurezza per settori essenziali come l’energia, i trasporti, la sanità e le telecomunicazioni, con obblighi di gestione dei rischi e di comunicazione degli incidenti per gli enti inclusi nel suo ambito.
La protezione non dipende soltanto dall’impedire gli attacchi. È fondamentale anche mantenere sistemi di backup, disporre di piani di continuità, effettuare simulazioni e garantire che i servizi essenziali possano continuare a funzionare durante un’interruzione tecnologica. Negli aeroporti, questo implica disporre di procedure alternative di navigazione e gestione; negli ospedali, assicurare meccanismi per continuare a prendersi cura dei pazienti; e nelle comunicazioni, rafforzare le rotte ridondanti e la capacità di recupero delle reti.
La principale cautela è distinguere tra un guasto tecnico, un cyberattacco isolato e un’operazione ibrida organizzata. Un arresto dei sistemi informatici di un aeroporto, un guasto nelle telecomunicazioni o un’interruzione ospedaliera non consentono di concludere automaticamente che esista un’azione ostile coordinata. Per stabilire tale relazione è necessario indagare l’origine dell’incidente, identificare possibili prove di intenzionalità e determinare se faccia parte di una campagna più ampia.
Pertanto, l’aumento delle minacce ibride non significa che tutti i problemi tecnologici siano riconducibili a sabotaggi. La preoccupazione delle autorità riguarda la possibilità che diversi attacchi apparentemente indipendenti facciano parte della stessa strategia di destabilizzazione, sfruttando la dipendenza da infrastrutture che risultano essenziali per la vita quotidiana.