chi sono i gruppi di hacker russi sanzionati dall’Ue e chi c’è dietro
Da anni il Cremlino assolda hacktivisti, universitari, aziende e criminali informatici per attività di spionaggio mediante attacchi informatici. Ecco chi c’è dietro e i soggetti sanzionati da Ue e Regno Unito
Roberto Cosentino
Così come un esercito possiede il proprio reparto, anche gli hacker agli ordini del Cremlino sono distinti in gruppi che dirigono le loro operazioni contro determinati obiettivi. A fare un po’ di luce sulle divisioni dei cybercriminali russi in passato ci hanno pensato le varie aziende di sicurezza informatica.
Più di recente, 13 luglio 2026, l’Unione Europea ha invece denunciato le operazioni di alcune divisioni degli hacker al servizio del Cremlino, che hanno colpito infrastrutture e Paesi europei (anche hackerando videocitofoni per tenere sotto controllo le basi Nato). «Per anni, l’Fsb ha condotto un’ampia gamma di attività informatiche dannose, di gravità crescente, che hanno colpito l’Ue, i suoi Stati membri e i partner internazionali, in particolare l’Ucraina. Queste attività hanno incluso l’infiltrazione in reti governative e il sabotaggio di infrastrutture critiche. Tra gli altri, Francia, Germania, Polonia, Cipro, Paesi Bassi» ha affermato il Consiglio europeo.
Benché la denuncia sia di queste ultime ore, in realtà le operazioni proseguono da almeno 16 anni; ora arrivano le prime restrizioni a «nove individui e quattro entità» non meglio precisate, ma che prevedono anche sanzioni ad ufficiali dell’intelligence russa Gru (Glavnoe razvedyvatel’noe upravlenie – Direzione generale per le informazioni militari), criminali informatici, hacktivisti e aziende private.
Le divisioni
Il dito dell’UE è puntato contro quello che viene definito il 16° Centro del Servizio di Sicurezza Federale russo (Fsb), il quale controlla diversi gruppi, tra cui Turla. Questo gruppo in particolare ha compiuto attività di spionaggio contro Francia e Germania, e ha condotto operazioni di sabotaggio delle infrastrutture critiche in Polonia. Tra i membri dei diversi gruppi russi, ci sono hacktivisti, ma anche aziende russe e soggetti che operano sotto le istruzioni della Piazza Rossa. Non necessariamente sono tutti operanti sul territorio russo; alcune di queste organizzazioni operano anche in diverse aree geografiche, come ad esempio l’Afghanistan, il più delle volte anche inconsapevolmente.
Secondo Microsoft Threat Intelligence, la divisione è da considerarsi come gruppo o cluster, ad ogni modo collegato all’Fsb. Più nel dettaglio, Secret Blizzard sarebbe sovrapposto a Turla e altri “reparti” che operano singolarmente, ma con un obiettivo comune: gli interessi della Russia.
Turla, noto anche come Secret Blizzard, ha condotto diverse operazioni su larga scala. Google nel 2022 ha documentato una campagna del collettivo che consisteva nella distribuzione di app Android dal nome CyberAzov, le quali venivano presentate come strumenti per attaccare strutture russe. Non erano pubblicate nel Play Store, ma venivano fatte scaricare da piattaforme di terze parti. Tra gli strumenti più noti ad essere utilizzati dalle varie divisioni di hacker russi ci sono «Snake», uno dei malware più importanti e «Uroburos», la piattaforma malware utilizzata dai vari cluster.
A proposito di Snake, secondo il Dipartimento della Giustizia statunitense, già nel 2023 il malware aveva colpito un centinaio di sistemi informatici di almeno 50 Paesi. Stando alle informazioni diffuse in seguito all’Operazione Medusa, che ha contrastato proprio le attività del gruppo Turla, Snake sarebbe stato utilizzato da almeno 20 anni. «Snake offre agli operatori di Turla la possibilità di distribuire da remoto strumenti malware selezionati per estendere le funzionalità di Snake, consentendo loro di identificare e rubare informazioni e documenti sensibili archiviati su una determinata macchina».
Gli attacchi
Secondo Microsoft una delle particolarità che contraddistingue le operazioni di matrice russa, è quella di sfruttare le infrastrutture di altri attori malevoli, almeno negli ultimi 7 anni, dai quali hanno anche sottratto dati già rubati al fine di arricchire informazioni per i programmi di spionaggio del Cremlino, anche ai danni dell’Ucraina. Tra queste dinamiche troviamo lo sfruttamento di Secret Blizzard dell’infrastruttura degli attori malevoli pakistani, che Microsoft individua sotto il nome di Storm-0156, nome di un altro macro insieme che raccoglie al suo interno altre divisioni terze rispetto ai gruppi di matrice russa. Ma ad essere sfruttati anche gli apparati iraniani (2017) e kazaki (2022). Una tattica che da una parte potrebbe portare a risultati con minimi sforzi, ma che allo stesso tempo potrebbe “annacquare” i propri obiettivi, perché sono limitati agli obiettivi e alle infrastrutture degli hacker sfruttati.
Gli obiettivi di Secret Blizzard sono trasversali, ma in particolar modo le vittime dei propri attacchi sono i ministeri degli esteri, le ambasciate, gli uffici governativi e i dipartimenti della difesa, oltre alle aziende che vi operano in tutto il mondo. Le modalità di attacco prevedono l’ottenimento di un accesso a lungo termine ai sistemi al fine di raccogliere informazioni, attraverso l’impiego di backdoor. Ad essere presi di mira Pdf e contenuti di posta elettronica, così da sottrarre informazioni di valenza politica o di ricerca avanzata che potrebbe avere molta importanza sulle questioni politiche globali.
Obiettivo Francia
Una delle vittime preferite dalle divisioni russe, in particolare quella battezzata come l’Unità 61240, è la Francia. Dal 2017 il gruppo opera un’attività di monitoraggio sulla nazione transalpina e tra gli obiettivi colpiti troviamo gli account di posta elettronica del ministero delle Forze armate, la rete dell’ambasciata francese a Mosca, un server appartenente a un ente del settore giudiziario e un istituto che studia tecnologie sensibili per l’industria francese della difesa, dal quale sarebbe stato sottratto un volume significativo di dati. «Le attività informatiche dannose della Russia sono inaccettabili e indegne di un membro permanente del Consiglio di Sicurezza delle Nazioni Unite. Esse contravvengono inoltre ai principi del quadro normativo delle Nazioni Unite per la condotta responsabile degli Stati nel cyberspazio, al quale la Russia ha aderito», ha affermato il ministero degli esteri francese.
Sanzioni anche dal Regno Unito
Anche il Regno Unito ha adottato insieme a Bruxelles delle sanzioni, che coinvolgono 24 persone ed entità, alcuni dei quali sono stati forniti anche nomi e cognomi, tra cui tre dirigenti del Gru, Vyacheslav Stafeyev, Ivan Kasyanenko e Ivan Senin, oltre a Evgeniy Bashev e alla società Impuls, la quale è accusata di sostenere l’Unità 29155 del GRU e di reclutare competenze cyber nelle università russe. «Queste sanzioni colpiscono al cuore le reti di criminalità informatica che sostengono l’aggressione dello Stato russo, e il Regno Unito e l’Ue stanno inviando un messaggio chiaro: la Russia non può nascondersi dietro l’utilizzo di questi gruppi per procura» ha dichiarato invece la ministra degli Esteri, Yvette Cooper.