Nel giugno 2017 un aggiornamento software apparentemente innocuo di un programma di contabilità ucraino, M.E.Doc, ha innescato una delle catastrofi cibernetiche più costose della storia. In poche ore il malware (abbreviazione di malicious software, ovvero “software malevolo”) NotPetya – in realtà un wiper (programma distruttivo che cancella irreversibilmente i dati) mascherato da ransomware (programma che blocca l’accesso ai dati/dispositivi dell’utente) – si è propagato a livello globale sfruttando vulnerabilità come EternalBlue (un exploit noto del protocollo di condivisione dei file di Windows SMB). Aziende come Maersk, Merck e FedEx, ospedali, porti e infrastrutture critiche in oltre 60 Paesi hanno visto paralizzati i propri sistemi. Il danno economico stimato ha superato i 10 miliardi di dollari. L’attacco, partito da obiettivi ucraini ma rapidamente sfuggito di mano, non era un semplice crimine informatico: era un’operazione di sabotaggio strategico attribuita al gruppo hacker russo noto come Sandworm (anche come APT44 secondo la sussidiaria di Google Mandiant). Questo episodio non rappresenta un’eccezione, bensì l’apice di una campagna decennale condotta da un’unità di élite dell’intelligence militare russa. Sandworm incarna la dottrina russa della “confronto informativo” (information confrontation), in cui le operazioni cibernetiche non sono più un supporto tattico ma uno strumento di guerra ibrida integrato con azioni cinetiche, di influenza e di spionaggio. Il presente articolo analizza le origini del gruppo, le sue operazioni più rilevanti e le risposte adottate dall’Occidente.
Origini storiche e legame istituzionale con la Russia
Sandworm opera sotto l’egida dell’Unità 74455 del GRU (Glavnoe Razvedyvatel’noe Upravlenie, Direzione principale dell’intelligence militare delle Forze armate russe), nota anche come Main Centre for Special Technologies (GTsST). La sede del gruppo si trova a Khimki, nei sobborghi di Mosca, in un complesso noto come “la Torre”. Le prime attività attribuibili risalgono al periodo 2004-2007, con una visibilità crescente dal 2009-2014, quando ricercatori di iSIGHT Partners (oggi Mandiant) hanno identificato riferimenti al romanzo “Dune” di Frank Herbert all’interno di un codice malware (da qui il nome “Sandworm”, “verme della sabbia”). Il GRU non è un servizio di intelligence civile come l’FSB o l’SVR: è un’organismo militare direttamente subordinato allo Stato Maggiore delle Forze armate russe. Nel dettaglio, l’Unità 74455 è specializzata in cyberwarfare, con compiti che spaziano dallo spionaggio (raccolta di Intelligence per operazioni militari) al sabotaggio distruttivo e alle operazioni di influenza. Non esiste un riconoscimento ufficiale da parte di Mosca, che nega sistematicamente ogni coinvolgimento statale in attività cibernetiche ostili. Tuttavia, l’attribuzione è tra le più solide nel panorama della threat intelligence: governi occidentali (Stati Uniti, Regno Unito, Unione Europea), aziende private (Mandiant, ESET, Microsoft, CrowdStrike) e organismi multilaterali concordano sull’affiliazione del gruppo al GRU. Nel 2024 Mandiant ha formalmente elevato Sandworm a “APT44” (Advanced Persistent Threat, categoria di attori cibernetici estremamente pericolosi), sottolineando la sua capacità di condurre operazioni su tutto lo spettro (espionage, attack, influence) a supporto degli obiettivi geopolitici russi.
Il legame istituzionale è ulteriormente confermato da documenti giudiziari e Intelligence declassificati. Il gruppo non agisce quindi come entità indipendente, ma come strumento della strategia di “guerra ibrida” del Cremlino, in particolare contro l’Ucraina e, più in generale, contro attori percepiti come ostili (NATO, UE, istituzioni internazionali).
Operazioni di rilievo
Sandworm si distingue per la capacità di passare da attacchi mirati a campagne distruttive su larga scala, spesso integrate con operazioni militari convenzionali.
La prima dimostrazione di forza risale al 23 dicembre 2015: un’operazione coordinata contro tre compagnie energetiche ucraine ha causato il primo blackout elettrico confermato causato da un cyber attacco nella storia. Utilizzando il malware BlackEnergy3 (una variante di un tool commerciale adattato) e KillDisk (wiper), gli attaccanti hanno preso il controllo remoto dei sistemi SCADA (Supervisory Control and Data Acquisition, sistemi di controllo industriale) e hanno aperto manualmente gli interruttori, lasciando circa 230.000 persone senza elettricità per 6 ore. Nel dicembre 2016 un attacco analogo su Kiev ha utilizzato Industroyer (o CrashOverride), il primo malware progettato specificamente per attaccare relè di protezione nelle sottostazioni elettriche. Il culmine è stato raggiunto con l’impiego di NotPetya (giugno 2017). Inserito nella supply chain attraverso un aggiornamento compromesso di M.E.Doc, il wiper si è propagato autonomamente sfruttando EternalBlue e tecniche di credential dumping (estrazione di credenziali). Pur mascherato da ransomware, il suo obiettivo era la cancellazione irreversibile dei dati. L’impatto è stato globale: oltre alla paralisi dell’economia ucraina, ha colpito catene di fornitura internazionali, dimostrando come un’operazione “locale” possa diventare un’arma strategica con effetti collaterali planetari. Nel febbraio 2018, durante la cerimonia di apertura delle Olimpiadi invernali di Pyeongchang (Corea del Sud), Sandworm ha lanciato Olympic Destroyer. Il malware ha disabilitato Wi-Fi, sistemi di ticketing, schermi televisivi e l’app ufficiale dell’evento. L’attacco includeva false flag (tracce lasciate intenzionalmente per far ricadere la colpa su altri attori, come la Corea del Nord o la Cina) e rappresentava una rappresaglia per il bando della Federazione Russa dai Giochi a causa del doping di Stato.Con l’invasione su larga scala dell’Ucraina nel 2022, le operazioni di Sandworm si sono intensificate. Il gruppo ha impiegato wiper multipli (CaddyWiper, SwiftSlicer, HermeticWiper) contro Governo, energia, telecomunicazioni e settori agricoli. Nel 2022 è stato riutilizzato Industroyer2 contro la rete elettrica ucraina. Nel 2023 gli è stato attribuito l’uso di Infamous Chisel, un malware per dispositivi Android militari ucraini che esfiltrava dati sensibili (chat, app finanziarie, credenziali VPN).
Attività di contrasto da parte dell’Occidente
La risposta occidentale alla minaccia costituita da Sandworm si è sviluppata su più livelli: attribuzione pubblica, misure giudiziarie, sanzioni e rafforzamento della resilienza delle infrastrutture digitali. Il punto di svolta è stato l’incriminazione del Dipartimento di Giustizia statunitense del 19 ottobre 2020. Sei ufficiali dell’Unità 74455 – Yuriy Sergeyevich Andrienko, Sergey Vladimirovich Detistov, Pavel Valeryevich Frolov, Anatoliy Sergeyevich Kovalev, Artem Valeryevich Ochichenko e Petr Nikolayevich Pliskin – sono stati accusati di cospirazione, frode informatica, danneggiamento di computer protetti e furto di identità aggravato per gli attacchi alla rete energetica ucraina, NotPetya, Olympic Destroyer, interferenze elettorali e attacchi alla Georgia. Allo stesso tempo, le sanzioni sono state estese: Stati Uniti, Unione Europea e Regno Unito hanno inserito l’Unità 74455 e singoli ufficiali in liste di sanzioni finanziarie e di viaggio. Il Dipartimento di Stato americano ha offerto ricompense fino a 10 milioni di dollari per informazioni utili alla cattura dei sei incriminati, inserendoli nell’FBI Most Wanted list. Nel 2025 il Regno Unito ha sanzionato ulteriori 18 ufficiali del GRU, inclusi membri dell’Unità 74455, per attività di spionaggio e sabotaggio in Europa.
Sul piano tecnico-operativo, agenzie come CISA (USA), NCSC (UK) e CERT (Computer Emergency Response Team) nazionali hanno emesso alert dettagliati su tool e TTP (Tactics, Techniques, Procedures) riconducibili a Sandworm. Aziende di threat intelligence (Mandiant, ESET, Microsoft) condividono regole di ingaggio e indicatori di compromissione (IoC). Gli Stati membri della NATO e dell’UE hanno investito in segmentazione delle reti IT, monitoraggio di sistemi ICS/SCADA e programmi volti a rafforzare la resilienza delle infrastrutture digitali. Nonostante questi sforzi, Sandworm continua a operare con elevata capacità e tolleranza al rischio. La sua evoluzione, dal puro sabotaggio a una più sofisticata integrazione di spionaggio e operazioni coordinate con forze convenzionali, indica che la minaccia persiste e richiede un approccio multilaterale continuo.
In conclusione, Sandworm non è solo un gruppo hacker, in quanto rappresenta l’espressione cibernetica della strategia di potenza russa. Comprendere le sue tattiche e le risposte occidentali è essenziale per rafforzare la deterrenza e la resilienza delle infrastrutture critiche europee e atlantiche in un contesto di conflitto ibrido prolungato.