Cosenza, piazza Crispi, 10 marzo 2016. Transenne, scorte, telecamere. Il presidente del Consiglio, Matteo Renzi, entra nel palazzo storico delle Poste Vecchie, appena restaurato, per visitare il Distretto tecnologico di cyber security nato dalla collaborazione tra Poste Italiane e NTT Data, con l'Università della Calabria come serbatoio di know how e talenti. Si parla di oltre duecento ricercatori, di master, di startup. Da Cosenza il premier ricorda lo stanziamento pluriennale da 150 milioni per la sicurezza informatica nazionale. La città, si dice quel giorno, può essere un pezzo della sfida dei prossimi vent'anni.

Ne sono passati quasi dieci. E vale la pena chiedersi cosa sia rimasto: non nei comunicati, ma nella sicurezza concreta di chi vive qui. Cosa questo maxi progetto presentato in pompa magna abbia prodotto di reale.

Un'eccellenza che non diventa scudo

Le premesse, sulla carta, ci sarebbero tutte. L'Unical è da anni uno dei poli italiani più riconosciuti in tema di intelligenza artificiale: il suo rettore, Gianluigi Greco, presiede l'Associazione italiana per l'intelligenza artificiale e guida la commissione per le strategie digitali della Conferenza dei rettori. NTT Data ha scelto Cosenza come uno dei suoi centri di ricerca e sviluppo, accanto a Tokyo e alla Silicon Valley. Nell'area urbana operano o reclutano grandi gruppi della consulenza e dell'informatica, molti dei quali legati da convenzioni all'ateneo. I nostri studenti si fanno notare nelle competizioni nazionali di cybersecurity.

Eppure, davanti alla minaccia informatica che sta via via montando, io non mi sento al sicuro. E non vedo una regione sicura.

Il distretto di piazza Crispi è un buon esempio del problema. Fu un progetto industriale da circa trenta milioni di euro, due terzi dei quali messi dal ministero della Ricerca, pensato per proteggere i pagamenti elettronici e i servizi online. Legittimo, e probabilmente utile ai suoi promotori. Ma chi oggi cerca un bilancio pubblico di ciò che quel presidio ha restituito al territorio, ai comuni, agli ospedali, alle piccole imprese, fatica a trovarlo. È la cifra di una regione in cui la competenza esiste, ma resta chiusa nei laboratori universitari e nei contratti delle multinazionali. Non diventa protezione diffusa. Non arriva al server dell'Asp, al gestionale del municipio di un piccolo paese, al router del lido sul lungomare.

Le ultime quattro settimane

Mettiamo in fila i fatti, perché presi uno per uno sembrano notizie di cronaca, che pochi hanno percepito, ma messi insieme raccontano altro.

L'11 ottobre, in Francia, qualcuno prende il controllo dei sistemi di refrigerazione di centinaia di supermercati e porta banchi frigo e congelatori in sbrinamento. Merce da buttare, danni ingenti. Nella notte tra l'1 e il 2 novembre l'ondata arriva in Italia: punti vendita Coop tra Catania, Palermo e Ragusa, poi segnalazioni da aziende della filiera alimentare in altre regioni, e casi in altri sette Paesi europei. A Palazzo Chigi si riunisce un vertice d'emergenza. In Francia, intanto, risultano attaccati anche gli impianti che conservano sangue e derivati per gli ospedali.

Lo stesso 2 novembre cominciano i falsi allarmi bomba sui voli. Eurocontrol ne conta sette il 3 novembre e quattordici il 5; su Fiumicino si alzano i caccia dell'Aeronautica. Nessun ordigno, nessuna vittima. Ma aerei deviati, passeggeri bloccati, forze di sicurezza mobilitate. Negli stessi giorni oltre duecento scuole italiane ricevono minacce via mail da sigle fantomatiche (e poco credibili).

Il giorno prima, il primo novembre, l'app ufficiale di allerta aerea ucraina viene violata: in pochi minuti telefoni e altoparlanti in tutto il Paese diffondono falsi avvisi di minacce nucleari e chimiche, combattimenti in strada, il lancio di un missile ipersonico russo. Poche ore dopo tocca a Mosca, che denuncia un attacco massiccio contro la propria app di emergenza. È, a quanto risulta, la prima volta che succede a entrambi.

E sullo sfondo continua a girare la macchina nordcoreana che rastrella fondi in giro per il mondo. Il 29 ottobre, Binance, la più grande piattaforma di scambio di criptovalute al mondo, subisce il furto più grande della storia: 6,34 miliardi di dollari in asset digitali, con la prima ondata di trasferimenti concentrata in una ventina di minuti. L'FBI lo attribuisce a TraderTraitor, un'unità di hacker nordcoreani. Nessuna cassaforte digitale forzata: gli aggressori sono entrati dalla porta di servizio. Un falso programma di installazione, un finto colloquio di lavoro con un test di programmazione infetto, l’abuso di uno strumento interno di intelligenza artificiale, le credenziali rubate a un collega. Mesi di lavoro paziente, poi venti minuti per far sparire il bottino. Binance dichiara di aver reintegrato con fondi propri il 98 per cento delle riserve colpite. Ma è la piattaforma che ricostituisce le proprie casse, non il bottino che torna indietro. E non è un caso isolato: nel febbraio 2025 era toccato a Bybit, quasi un miliardo e mezzo di dollari; ad aprile di quest'anno altri 577 milioni in due soli colpi. Oltre 8 miliardi di dollari in venti mesi, contando solo i tre furti più grandi, raccolti hackerando portafogli di crypto. Soldi che, secondo un panel delle Nazioni Unite, alimentano il programma nucleare di Pyongyang.

Nessuno di questi episodi ha fatto un morto. Forse li avete letti di sfuggita, uno alla volta. Ed è esattamente questo il punto. Stiamo ignorando attacchi che causano non milioni, ma miliardi di dollari di danni in giro per il mondo.

Una guerra che non ha bisogno di missili

Questa guerra non punta a distruggere città e terrorizzarci. Punta a logorare. A farci buttare il cibo, a farci dubitare dell'aereo che prendiamo, a farci ignorare la sirena il giorno in cui suonerà davvero. Il timore degli investigatori, riportato dalla stampa in questi giorni, è proprio questo: che il ripetersi dei falsi allarmi consumi risorse e abitui i sistemi di sicurezza alla minaccia, rendendoli meno pronti quando l'allarme sarà vero. È una strategia di erosione della fiducia. E funziona.

Il professor Fabrizio Marozzo, docente di Ingegneria informatica all'Unical, lo ha spiegato con chiarezza in una recente intervista a LaC News24. Molte delle falle sfruttate sono banali: password di fabbrica mai cambiate, impianti raggiungibili da internet senza protezione, software non aggiornati da anni. Il salto di qualità lo fa l'intelligenza artificiale: agenti capaci di esplorare un'infrastruttura, provare strategie diverse, dividersi i compiti come uno sciame e lavorare giorno e notte senza stancarsi. Chi attacca può permettersi mille tentativi falliti; chi difende deve riconoscere la minaccia senza fermare l'ospedale o l'impianto industriale. In un esperimento citato da Marozzo, gli agenti AI hanno avuto successo nell'85 per cento delle prove d'attacco e hanno individuato appena il 19 per cento degli attacchi quando erano chiamati a difendere. È un singolo test, non una legge. Ma indica una direzione chiara e rischiosa.

C'è un dettaglio che rende tutto più inquietante. Nel caso dei frigoriferi, gli esperti che hanno analizzato gli attacchi non hanno trovato, finora, tracce evidenti dell’uso di intelligenza artificiale. Sono bastate interfacce esposte e credenziali deboli. Se con così poco si mette in crisi la filiera del freddo di otto Paesi, cosa succederà quando piccoli gruppi, non eserciti, non Stati, potranno affidare la ricerca delle falle a squadre di agenti automatici che non dormono mai?

Il Covid digitale è già qui

Abbiamo già visto questo film. Prima i casi isolati, lontani. Poi i primi allarmi, liquidati come esagerazioni. Poi l'emergenza che ci ha sommersi tutti, nello stesso momento. La minaccia informatica si sta diffondendo con la stessa dinamica, e il covid digitale è già in circolazione. Con una differenza: questa volta non è affatto detto che arrivi un vaccino, né che qualcuno sappia costruire un muro abbastanza alto da arginarlo.

Continuiamo a discutere, giustamente, di caro vita, di sanità, di scuola. Ma ognuno di questi problemi poggia ormai su sistemi connessi che diamo per scontati. Il pagamento con la carta al supermercato. La ricetta elettronica. Il registro di classe. Il semaforo all'incrocio. Marozzo pone una domanda che dovrebbe togliere il sonno a più di un direttore generale, assessore o ministro: se domani un ospedale perdesse la connessione, quali servizi continuerebbero a funzionare, e per quanto tempo? Non sulla carta: nella realtà.

Non è fantascienza immaginare il prossimo passo. Decine di elettrodomestici smart, asciugatrici, forni, caldaie, costretti a distanza oltre i loro limiti di sicurezza per causare incendi. I semafori di intere città spenti nello stesso istante. Un sovraccarico provocato della rete elettrica, il blackout delle reti 5G su cui ormai viaggia tutto. Non serve che accada ovunque: basta che accada una volta, in un posto, per cambiare per sempre il modo in cui guardiamo alla tecnologia che oggi ci sembra banalmente scontata. L'Unione europea chiede ai cittadini di essere autosufficienti per almeno 72 ore in caso di emergenza, e diversi Paesi raccomandano già di tenere in casa contanti e una radio a batterie. Quella vecchia radio, che in tante case calabresi giace ancora in qualche cassetto, potrebbe tornare a essere l'unica finestra sul mondo.

Chiamiamola con il suo nome

Per questo non possiamo restare in silenzio, e bisogna pronunciare parole dure. Smettiamo di chiamarla guerra ibrida. L'aggettivo è un anestetico, un palliativo: ci fa pensare a qualcosa di sfumato, di tecnico, di lontano, roba da analisti. È una guerra. Qualcuno, e il fatto che sia così difficile capire chi è parte integrante della strategia, l'ha portata dentro le nostre case, nei nostri supermercati, nei nostri cieli. E nessuno potrà dirsi davvero al riparo dal prossimo attacco.

La Calabria, con i suoi giovani ricercatori e studenti, ha le competenze per non subirla passivamente. Ha un'università che il mondo riconosce come eccellenza, aziende che hanno scelto questo territorio per fare ricerca, giovani che competono con i migliori a livello globale. Quello che manca è la volontà di trasformare tutto questo in un presidio pubblico, condiviso e coscientizzante. Un censimento serio di ciò che nella regione è esposto su internet: impianti, ospedali, acquedotti, uffici comunali. Piani di emergenza testati davvero con la partecipazione dei cittadini e di chi amministra, non archiviati. Una rete di supporto per i piccoli comuni e le piccole imprese che da soli non possono difendersi davanti a queste prospettive. E un'informazione onesta ai cittadini, che li tratti da adulti responsabili.

La prima difesa, dice Marozzo, è «non lasciare porte aperte». Ma prima ancora bisogna ammettere che qualcuno sta bussando alla nostra porta, prima di sfondarla. Noi, finora, abbiamo scelto di far finta di non sentire.

*analista e consulente di comunicazione politica