La Bce sulle minacce ibride finisce per dire le stesse cose di Mattarella e Crosetto

La Banca centrale europea le chiama “minacce ibride”, i vertici italiani la definiscono guerra ibrida. Il lessico è quello tecnico del supervisore bancario, chiaro, ma il “campo di battaglia” è lo stesso, e le armi sono gli attacchi informatici e la disinformazione. E’ questo il fil rouge che collega il discorso di ieri di Anneli Tuominen (membro del Supervisory Board della Bce) alle parole del ministro della Difesa Guido Crosetto e del Presidente della Repubblica Sergio Mattarella.

Tuominen ha sottolineato che gli attacchi informatici sponsorizzati da governi e campagne manipolative fanno ormai parte integrante del rischio geopolitico per il sistema finanziario, imponendo una vigilanza costante. La definizione che la supervisor adotta è precisa: “Una minaccia ibrida è l’azione condotta da attori statali o non statali che combina cyberattacchi, coercizione economica, manipolazione dell’informazione e disinformazione, fino a includere sabotaggio, diplomazia coercitiva e minaccia implicita dell’uso della forza”. Fino a pochi anni fa la resilienza bancaria contro le guerre ibride sarebbe sembrata più un’ipotesi da manuale. Eppure l’esperienza recente ci ha dimostrato che è una minaccia concreta e quotidiana: gli attacchi Ddos del gruppo Killnet del 2022 ai siti del Senato e di altre istituzioni italiane; il ransomware contro Eni e l’intrusione ai sistemi del Gse in piena crisi energetica; gli attacchi Ddos dei russi NoName057(16) contro Intesa Sanpaolo, Mps e altre banche italiane e così via. Le minacce, ovviamente, sono anche reputazionali: basta ricordare le finte chiamate realizzate dai comici russi Vovan e Lexus ai danni della premier Giorgia Meloni, del capo della Fed Jerome Powell, e della stessa presidente della Bce Christine Lagarde, che era certa di parlare con il presidente ucraino Volodymyr Zelensky.

La Bce è quindi passata dalle analisi ipotetiche alla pratica. Nel 2024 il Sistema di supervisione bancaria di Francoforte ha condotto uno stress test (la simulazione di condizioni avverse a fronte di uno choc) sulla resilienza informatica con 109 banche per valutare come reagirebbero a un attacco informatico di grandi dimensioni. Forse i risultati non sono stati dei migliori, tanto che Francoforte evidenziato che c’è “spazio per migliorare”. Guardando al 2026, Tuominen ricorda il reverse stress test sul rischio geopolitico i supervisori stanno preparando: anziché fornire scenari, indicheranno a ciascuna banca un esito catastrofico, e sarà la banca stessa a dover individuare quali combinazioni di eventi (cyber, energetici, bellici) potrebbero portare a quel collasso.

La guerra ibrida non è solo un problema di intelligence e difesa, ma è un rischio strutturale per l’economia europea. Tuominen insiste sulla dipendenza delle banche da pochi grandi fornitori di cloud, sul rischio che un blackout o un attacco alla rete elettrica si trasformi in blocco dei pagamenti, sulle campagne di disinformazione che possono moltiplicare la velocità di una crisi di fiducia. Per la supervisor servono piani di emergenza e di comunicazione in tempi di crisi: esattamente il pezzo che, ammette, molti istituti non hanno ancora. Per fortuna la Bce non è da sola sul fronte. Quest’anno è entrato in vigore il nuovo regolamento europeo Dora (Digital Operational Resilience Act) che impone standard più elevati e la creazione di un meccanismo unico di coordinamento europeo per gestire incidenti cyber transnazionali.

Mentre al Quirinale il Consiglio supremo di difesa presieduto da Mattarella mette al centro “minaccia ibrida proveniente dalla Russia e da altri attori stranieri ostili”, Crosetto presenta un rapporto che chiede una forza mista fino a 5 mila addetti per difendere infrastrutture critiche, reti energetiche, aeroporti e lo spazio dell’informazione. Intanto l’ammiraglio Giuseppe Cavo Dragone, capo del Comitato Militare della Nato, dichiara che la Russia minaccia l’Italia e i suoi alleati tramite incessanti e crescenti iniziative ibride, sottolineando che nel 2025 gli attacchi ibridi contro infrastrutture critiche sono aumentati del 60 per cento rispetto all’anno precedente. Di fronte a questo scenario, l’allerta Bce si allinea perfettamente ai timori nazionali.

La difesa cibernetica è divenuta parte integrante della sicurezza europea collettiva: banche, reti energetiche, trasporti, comunicazioni e servizi pubblici sono tutti potenziali bersagli di questa forma di conflitto non convenzionale. Sul fronte della guerra ibrida non siamo più negli anni del “dovremmo”, ma in quelli del “dobbiamo”.