L’ondata di attacchi informatici che ha colpito supermercati, infrastrutture e servizi pubblici in diversi paesi europei ha riportato al centro del dibattito pubblico una domanda finora rimasta soprattutto nei documenti tecnici e nelle riunioni governative: l’Italia è davvero in grado di difendersi nel cyberspazio? La risposta, secondo chi lavora nel settore, è che il Paese non dispone né del numero sufficiente di specialisti né delle condizioni organizzative necessarie per attrarli e trattenerli. Il ministro della Pubblica amministrazione Paolo Zangrillo ha spiegato il problema in modo semplice ed eccessivamente semplificato: secondo lui l’Italia avrebbe bisogno di più hacker, ma non può permetterseli perché richiederebbero stipendi troppo alti per la pubblica amministrazione. È un’affermazione che contiene una parte di verità, ma che rischia di nascondere la natura molto più complessa della crisi: non si tratta soltanto di soldi, né tantomeno di assumere una generazione immaginaria di giovani hacker milionari, ma di costruire un sistema pubblico capace di formare, selezionare, valorizzare e trattenere competenze sempre più rare.
Una settimana che ha mostrato le vulnerabilità
La discussione è arrivata dopo giorni di episodi che hanno reso tangibile, anche per chi non lavora nel settore tecnologico, il rischio di dipendere da sistemi informatici fragili. All’inizio della settimana i sistemi che controllano frigoriferi e congelatori di oltre un centinaio di supermercati in tutta Europa hanno subito attacchi e sono stati manomessi: in Italia sono stati interessati punti vendita in Sicilia e Toscana, mentre in altri paesi europei, tra cui Belgio, Germania, Irlanda, Paesi Bassi, Portogallo, Estonia, Finlandia e Svezia, sono stati segnalati episodi simili. Nei giorni successivi sono arrivate decine di segnalazioni di bombe su voli in Italia e in altri paesi europei, tutte poi rivelatesi infondate, ma sufficienti a costringere diverse compagnie aeree a dirottare aerei, attivare procedure di emergenza e sostenere costi considerevoli. In Francia, inoltre, è stato colpito l’Istituto francese del sangue, l’ente pubblico che raccoglie e distribuisce il sangue per le donazioni: un attacco agli impianti di raffreddamento che conservano parte delle donazioni, fortunatamente scoperto in tempo prima che i contenuti venissero danneggiati.
Questi episodi, pur diversi tra loro per natura e gravità, hanno avuto un effetto comune: hanno mostrato che la sicurezza informatica non è più una questione riservata a banche, grandi aziende tecnologiche o ministeri, ma riguarda la vita quotidiana delle persone, la catena alimentare, i trasporti, la sanità e la capacità dello Stato di reagire alle crisi. Il fatto che gli attacchi ai frigoriferi abbiano riguardato un software usato per gestire a distanza i sistemi di refrigerazione dei supermercati dimostra come anche apparecchiature apparentemente banali possano diventare bersagli strategici quando sono connesse a Internet e gestite da piattaforme centralizzate. Gli hacker hanno sfruttato soprattutto apparecchiature datate, che da tempo non ricevevano aggiornamenti di sicurezza, rendendo il problema meno sofisticato di quanto si possa immaginare, ma non per questo meno serio: un attacco semplice può produrre danni enormi se colpisce un anello debole di una catena di approvvigionamento.
Le parole di Zangrillo e la confusione sul termine “hacker”
Il ministro Zangrillo ha descritto gli hacker in termini che hanno suscitato reazioni immediate nel settore: ragazzi tra i 18 e i 25 anni, «pieni di tatuaggi e orecchini», che guadagnerebbero in media un milione di euro all’anno, cifre che lo Stato non potrebbe mai permettersi di pagare a causa dei limiti previsti dalla contrattazione pubblica. È un’immagine che ha un forte impatto mediatico, ma che è stata descritta in modo molto stereotipato e non corrisponde alla realtà del mercato del lavoro della cybersecurity, né in Italia né altrove. Le retribuzioni degli esperti di sicurezza informatica nel settore privato, secondo le stime citate da Pierluigi Paganini, direttore dell’osservatorio sulla Cybersecurity dell’Università Unipegaso, si collocano generalmente tra i 40 e i 50 mila euro lordi annui, mentre per i profili più senior si parte da circa 65 mila euro: cifre importanti, certo, ma molto lontane dal milione di euro evocato dal ministro.
Prima ancora di discutere degli stipendi, però, sarebbe utile fare chiarezza sul linguaggio. Zangrillo ha usato il termine “hacker” in modo generico e improprio, mescolando figure professionali e comportamenti molto diversi tra loro. Per hacker, nel senso originario del termine, si intende chi riesce a entrare in un computer o in una rete per utilizzare le informazioni che contiene, senza necessariamente fare alcunché di illegale: esistono hacker etici, chiamati anche “white hat”, che usano le stesse tecniche dei criminali informatici ma su incarico dei proprietari dei sistemi, per individuare le falle prima che vengano sfruttate da altri. All’estremo opposto ci sono gli hacker “black hat”, che entrano nei sistemi senza autorizzazione per rubare dati, estorcere denaro o causare danni. La comunità informatica aveva proposto il termine “cracker” per distinguere questi ultimi, ma la parola non si è mai davvero diffusa nel linguaggio comune, che continua a usare “hacker” per indicare qualsiasi persona capace di penetrare un sistema informatico, con una conseguente confusione che alimenta stereotipi e semplificazioni.
Esiste poi una terza categoria, gli hacktivisti, che attaccano i sistemi informatici per motivi politici o ideologici, e non necessariamente per profitto personale. Molti gruppi che si presentano come hacktivisti, come i filorussi NoName057(16) e Z-Pentest, che hanno rivendicato gli attacchi ai frigoriferi dei supermercati, sono però legati, direttamente o indirettamente, ai servizi di sicurezza di uno Stato, il che rende la distinzione tra attivismo e operazioni di intelligence molto più sfumata di quanto appaia. Questa ambiguità è al centro del dibattito sulla cosiddetta “guerra ibrida”, un termine che descrive azioni di aggressione che non arrivano al livello di una guerra dichiarata ma che producono danni concreti, disorientamento e pressione politica sui paesi bersaglio.
Il tetto di 311 mila euro: un problema reale ma non centrale
Il limite agli stipendi di cui parlava Zangrillo esiste davvero e riguarda tutta la pubblica amministrazione italiana, compresa l’Agenzia per la cybersicurezza nazionale (ACN), l’ente che coordina la difesa informatica del Paese e che al suo interno ospita il CSIRT, il gruppo di esperti che interviene quando un’amministrazione o un’azienda strategica subisce un attacco. Il tetto corrisponde allo stipendio del primo presidente della Corte di Cassazione, pari a 311 mila euro all’anno, una cifra che per la maggior parte dei lavoratori pubblici resta un orizzonte lontanissimo. Paganini ha però chiarito che questo tetto riguarda una platea molto ristretta di posizioni apicali, e non è questa la ragione per cui l’Italia fatica a trovare esperti di sicurezza informatica: il problema non è che manchino fondi per pagare stipendi da un milione di euro, che peraltro non esistono nemmeno nel settore privato, ma che manchino le condizioni per attrarre e trattenere professionisti qualificati a livelli di retribuzione molto più modesti ma comunque competitivi.
Il punto sollevato da Paganini è che un professionista della cybersecurity non cerca soltanto un buon stipendio, ma un ambiente di lavoro che gli permetta di crescere, confrontarsi con colleghi altrettanto preparati, aggiornarsi continuamente su minacce e tecnologie in evoluzione, sperimentare soluzioni nuove e vedere riconosciuto il valore del proprio contributo. In molte amministrazioni pubbliche italiane, secondo l’esperto, mancano proprio questi elementi: il contesto, gli stimoli, la possibilità di lavorare su progetti stimolanti e la prospettiva di una carriera tecnica coerente. Un esperto di sicurezza informatica che entra nella pubblica amministrazione si trova spesso di fronte a organigrammi rigidi, procedure burocratiche lente, selezioni che durano mesi o anni e una struttura gerarchica che premia l’anzianità o le competenze amministrative più che quelle tecniche, rendendo difficile immaginare un percorso professionale soddisfacente per chi ha competenze altamente specializzate.
La scarsità di competenze: un problema strutturale italiano
Il problema che pubblico e privato condividono, al di là delle differenze di retribuzione e condizioni di lavoro, è la scarsità assoluta di esperti nel Paese. Secondo i dati Eurostat , nel 2025 gli specialisti di tecnologie dell’informazione e della comunicazione (ICT) rappresentavano il 3,8 per cento degli occupati in Italia, contro il 5 per cento della media europea, con solo Grecia e Romania a registrare quote inferiori. A questo si aggiunge un problema ancora più grave sul fronte della formazione: l’Italia produce pochi laureati nel settore, con appena 1,4 laureati ogni mille giovani tra i 25 e i 34 anni, contro una media europea di 3,8, un divario che indica un deficit strutturale nel sistema educativo e formativo del Paese.
A questa scarsità di offerta si aggiunge il fenomeno della fuga dei cervelli: una parte significativa di chi si laurea in Italia nel settore tecnologico, e in particolare nella sicurezza informatica, preferisce emigrare e lavorare all’estero, attratto non solo da stipendi più alti ma anche da prospettive di carriera più stimolanti. Stefano Zanero, docente di sicurezza informatica al Politecnico di Milano, ha confermato che molti dei suoi studenti hanno scelto di andare all’estero proprio per queste ragioni, combinando motivazioni economiche con la ricerca di ambienti lavorativi più dinamici e meritocratici. Questo esodo di talenti, che in altri settori è già un problema noto, nella cybersecurity assume un’urgenza particolare perché le competenze richieste sono altamente specializzate e non facilmente sostituibili, e perché il mercato globale di questi professionisti è fortemente competitivo, con paesi come Stati Uniti, Regno Unito e Germania che offrono condizioni molto più attraenti.
Il problema dei bandi al ribasso e dell’organizzazione pubblica
Zanero ha proposto una visione del problema che va oltre la semplice assunzione di “hacker” da parte dello Stato: secondo il docente, la pubblica amministrazione dovrebbe concentrarsi sul lavoro di base, assumendo tanti tecnici ben formati piuttosto che cercare di reclutare figure altamente specializzate, per le quali sarebbe più sensato rivolgersi al settore privato attraverso collaborazioni esterne. Ma anche questa strategia incontra un ostacolo importante: i bandi pubblici per l’affidamento di servizi di cybersecurity vengono spesso pubblicati “al ribasso”, con compensi anche tre volte inferiori alle quotazioni di mercato, il che rende difficile per le aziende del settore partecipare con personale qualificato senza andare in perdita. Zanero ha sintetizzato il paradosso con una frase efficace: «Non è sempre vero che se si paga di più si prende più qualità, ma è vero che se si paga sotto una certa soglia la qualità non la si può avere».
Questo meccanismo dei bandi al ribasso, che nasce da una logica di contenimento della spesa pubblica, finisce per produrre un effetto perverso: le aziende che vincono le gare sono spesso quelle che propongono i prezzi più bassi, non necessariamente quelle con le competenze migliori, e il risultato è un servizio di qualità inferiore che non risolve il problema di fondo. A questo si aggiunge il fatto che, anche quando lo Stato riesce ad assumere personale qualificato, lo inserisce spesso in strutture organizzative che non gli permettono di esprimere appieno il proprio potenziale, perché i modelli di gestione sono pensati per un’amministrazione tradizionale e non per un settore tecnico in rapida evoluzione come la cybersecurity.
Le incertezze sulla gestione dell’ACN
A complicare ulteriormente il quadro si aggiungono le incertezze e le controversie sulla gestione stessa dell’Agenzia per la cybersicurezza nazionale, l’ente che dovrebbe essere il fulcro della difesa informatica italiana. L’ACN, nata nel 2021, ha già avuto tre direttori in pochi anni: Roberto Baldoni, il prefetto Bruno Frattasi e ora Andrea Quacivi, già amministratore delegato di Sogei, la società informatica del ministero dell’Economia. Frattasi si è dimesso il 21 maggio, e Quacivi è subentrato l’8 giugno, una frequenza di cambi al vertice che non aiuta certo a costruire continuità strategica e fiducia interna.
Nella primavera del 2025, durante la gestione di Frattasi, il sindacato interno aveva proclamato lo stato di agitazione, sollevando critiche pesanti sul modo in cui l’agenzia stava reclutando il proprio personale: secondo il sindacato, solo un terzo dei dipendenti era stato assunto tramite concorso pubblico, mentre gli altri provenivano in gran parte da altre amministrazioni centrali, spesso senza competenze specifiche in cybersecurity. Nei mesi precedenti l’ACN aveva comunque potuto assumere oltre 150 persone grazie a un decreto governativo che aveva portato la dotazione organica da 506 a 669 posti, soprattutto tecnici e impiegati, ma la qualità e la coerenza di queste assunzioni sono state messe in discussione, alimentando dubbi sulla reale capacità operativa dell’agenzia.
Cosa fanno gli altri paesi: modelli alternativi
Alcuni paesi hanno cercato di risolvere il problema della scarsità di competenze in cybersecurity adottando regole diverse da quelle del resto della pubblica amministrazione, creando percorsi di assunzione e retribuzione dedicati. Negli Stati Uniti, nel 2021, il dipartimento della Sicurezza interna ha lanciato un sistema di assunzione riservato alla sicurezza informatica, che vale anche per la CISA, l’agenzia federale che si occupa di cybersecurity e protezione delle infrastrutture: i candidati vengono selezionati attraverso prove molto concrete, non solo sulla base del curriculum, e gli stipendi possono essere più alti rispetto a quelli previsti per gli altri dipendenti federali. Anche il Regno Unito e la Germania hanno adottato soluzioni simili, riconoscendo che la cybersecurity richiede un trattamento speciale rispetto alle categorie professionali tradizionali.
Questi esempi internazionali mostrano che è possibile coniugare il servizio pubblico con la necessità di attrarre talenti altamente specializzati, ma richiedono una volontà politica di riformare le regole del gioco, non solo di aumentare i budget. Paganini ha proposto per l’Italia un percorso professionale apposito per chi lavora nella cybersecurity, con selezioni più rapide e basate sulle capacità reali dimostrate, e con la possibilità di fare carriera come tecnico senza dover necessariamente passare a ruoli amministrativi o dirigenziali, un modello che riconoscerebbe il valore della competenza tecnica pura senza costringere i migliori professionisti a abbandonare il loro campo per avanzare.
Il contesto europeo: attacchi ibridi e responsabilità iraniane
La discussione sulla mancanza di esperti italiani si inserisce in un contesto internazionale particolarmente teso, dove la Francia ha ufficialmente accusato l’Iran di aver compiuto gli attacchi informatici che a inizio ottobre avevano messo fuori uso i frigoriferi e i congelatori di circa 700 supermercati francesi. Il ministro degli Esteri francese Jean-Noël Barrot ha attribuito la responsabilità ai Guardiani della Rivoluzione, il più potente corpo militare, politico ed economico del regime iraniano, descrivendo l’episodio come il primo attacco informatico su larga scala a fini di sabotaggio sul territorio nazionale francese e annunciando che il governo chiederà sanzioni europee. La procura di Parigi ha aperto un’inchiesta sul gruppo Shahid Kaveh, descritto come un’unità affiliata ai Guardiani della Rivoluzione, chiedendo mandati di arresto internazionali contro il capo e i due vice capi del gruppo.
L’attacco francese, avvenuto nella notte tra l’11 e il 12 ottobre, aveva riguardato un software sviluppato dalla società danese Danfoss, usato da molti marchi della grande distribuzione francese per gestire a distanza i sistemi di refrigerazione: gli hacker, sfruttando falle in vecchie versioni del software, avevano preso il controllo dei frigoriferi e impostato la temperatura a valori molto alti, costringendo centinaia di supermercati a buttare grandi quantità di prodotti freschi e surgelati. Un rapporto tecnico ufficiale del C4, il centro di coordinamento francese per la sicurezza informatica, ha indicato che in quei giorni sarebbero stati colpiti anche alcuni piccoli impianti idroelettrici francesi, senza però danni gravi, mentre attacchi simili si sono poi verificati in decine di supermercati di altri paesi europei, Italia compresa.
Mercoledì, due gruppi hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato gli attacchi, sostenendo di aver sfruttato sistemi di controllo accessibili da Internet senza ricorrere a programmi particolarmente sofisticati. Anche il ministro degli Esteri italiano Antonio Tajani ha sostenuto che gli attacchi contro l’Italia siano stati «certamente» opera di hacker filorussi, ma la semplice rivendicazione non dimostra che i responsabili fossero davvero loro, né che siano stati gli stessi in tutta Europa. Gli investigatori francesi sospettano dell’Iran per via di diversi indizi tecnici: il modo in cui gli hacker sono arrivati a controllare i sistemi e disattivare gli allarmi risulta molto simile alle tecniche già associate a Shahid Kaveh, e durante le indagini sono stati trovati materiali in lingua farsi e indirizzi Internet collegati a server situati in Iran.
Allarmi bomba, disinformazione e guerra ibrida
Parallelamente agli attacchi informatici, tra lunedì e venerdì l’Europa, Italia compresa, è stata investita da una serie di allarmi bomba relativi a oltre trenta voli. Nessuna delle segnalazioni si è poi rivelata fondata, ma le conseguenze sono state comunque concrete: diversi aerei hanno dovuto deviare verso altri aeroporti per sottoporsi ai controlli previsti, con costi rilevanti per le compagnie aeree. In alcuni casi sono stati fatti decollare anche caccia militari italiani per scortare gli apparecchi, una procedura straordinaria le cui spese ricadono sullo Stato.
Alcune delle segnalazioni, tra cui quelle riferite a voli con destinazione l’aeroporto di Fiumicino, erano state inviate tramite email firmate dai “combattenti dello Stato Maschile”, un’organizzazione di estrema destra russa nota per la propaganda di odio contro le donne e le persone omosessuali. Fin dall’inizio, però, erano emersi dubbi sull’autenticità della firma: i messaggi resi pubblici risultavano infatti molto generici e dal tono complottista. Anche un account Telegram collegato all’organizzazione e al suo fondatore, Vladislav Pozdnyakov, ha dichiarato alla BBC che lo Stato Maschile non sarebbe responsabile degli allarmi, alimentando ulteriormente l’incertezza su chi abbia effettivamente inviato le minacce.
A questi episodi si è aggiunta, sabato, la notizia di un attacco informatico compiuto a ottobre contro la società che sta realizzando il “tunnel di base” del Brennero, la galleria ferroviaria più lunga del mondo, destinata a collegare Italia e Austria. Lo stesso giorno è emerso che dati personali del ministro degli Esteri Antonio Tajani sarebbero stati pubblicati sul dark web. Tajani ha collegato l’accaduto al sostegno del governo italiano all’Ucraina, affermando su X che gli hacker sarebbero disposti a pagare per ottenere ulteriori informazioni su di lui e sulla sua famiglia.
Finora, tuttavia, nessuna autorità ha stabilito un legame accertato tra tutti questi episodi, né ha dimostrato che facciano parte di un’unica operazione coordinata. Il sospetto è che si tratti di una forma di “guerra ibrida”: azioni che non arrivano al livello di un conflitto dichiarato, ma che producono danni economici, disorientamento e pressione politica. Queste operazioni vengono spesso attribuite alla Russia, anche se, nel caso specifico, le responsabilità restano da accertare.
Anche il ministro della Difesa Guido Crosetto, intervistato dal Corriere della Sera, ha fatto riferimento in termini generali a Russia, Cina e Iran. Secondo Crosetto, «le influenze ci sono già tutti i giorni, russe, iraniane e cinesi, e continueranno», paragonando la situazione a «svuotare il mare col cucchiaio». Al tempo stesso, però, ha riconosciuto la fragilità di molti sistemi di sicurezza, che possono essere penetrati anche da hacker senza grandi competenze tecniche: «Il problema di queste nuove guerre e forme di terrorismo è che per fare male a un’azienda, a una comunità, a una nazione, basta un ragazzo che vive a migliaia di chilometri».
Le proposte per uscire dalla crisi
Diversi esperti di sicurezza informatica hanno espresso dubbi sul fatto che dietro agli attacchi ai frigoriferi ci siano davvero hacker filorussi, evidenziando diverse incongruenze: la tipologia degli attacchi non corrisponde a quella prediletta da NoName057(16), mancano dettagli utili per confermare l’autenticità delle rivendicazioni, i tempi delle rivendicazioni sono dilatati rispetto agli attacchi avvenuti in Francia a metà ottobre, e il modo stesso in cui sono state rivendicate le azioni solleva perplessità. Questa incertezza attributiva, che è una caratteristica tipica della guerra ibrida, rende ancora più difficile per i governi capire chi difendere e come, e rafforza l’argomento di chi sostiene che l’Italia debba investire non solo in personale ma anche in capacità di analisi e attribuzione degli attacchi.
La soluzione proposta da Paganini e Zanero converge su alcuni punti chiave: creare un percorso professionale dedicato alla cybersecurity all’interno della pubblica amministrazione, con selezioni più rapide e meritocratiche basate sulle capacità reali e non solo sui titoli di studio o sull’anzianità; permettere una carriera tecnica verticale che non costringa i migliori a passare a ruoli amministrativi per avanzare; rivedere i meccanismi dei bandi pubblici per evitare che la logica del prezzo più basso sacrifichi la qualità; e infine ripensare l’organizzazione interna per formare gruppi di lavoro multidisciplinari e incentivare la collaborazione con il settore privato. «Il rischio, altrimenti, è assumere persone molto preparate e inserirle in strutture che non consentono loro di esprimere il proprio potenziale», ha concluso Paganini, «la cybersecurity non può essere gestita con modelli organizzativi pensati per un’amministrazione tradizionale».
La questione, in definitiva, non è se l’Italia possa permettersi di pagare hacker milionari, cosa che peraltro non esiste nemmeno nel mercato privato, ma se possa permettersi di non avere un sistema di difesa informatica adeguato in un momento in cui gli attacchi ibridi stanno diventando una componente normale delle tensioni geopolitiche internazionali. La risposta, secondo gli esperti, è che il costo dell’inazione, in termini di danni economici, perdita di fiducia dei cittadini e vulnerabilità strategica, è molto più alto di qualsiasi investimento necessario per costruire un sistema pubblico di cybersecurity moderno, competitivo e capace di trattenere i talenti che il Paese forma ma poi spesso perde
