Per tre giorni, tra il 24 e il 27 agosto 2026, un gruppo di hacker filorussi ha messo in ginocchio l’infrastruttura digitale dello stato norvegese. Il bersaglio non era una centrale elettrica né un ospedale, ma qualcosa di più sottile e in un certo senso più pericoloso: il sistema di identità digitale che milioni di cittadini norvegesi usano ogni giorno per accedere a servizi pubblici, firmare documenti e comunicare con lo stato. L’attacco, rivendicato dal collettivo “Server Killers”, ha colpito circa dieci piattaforme gestite da Digdir, l’Agenzia norvegese per la digitalizzazione, tra cui ID-porten, MinID e il portale Altinn.
Non si è trattato di una violazione di dati né di un attacco distruttivo alle infrastrutture critiche, come quello che nel dicembre 2025 aveva danneggiato in modo permanente la rete elettrica polacca. È stato un attacco di disponibilità, un DDoS (Distributed Denial of Service) su scala mai vista prima per Digdir. Ma il momento scelto, tre giorni dopo che Oslo aveva rinnovato il proprio impegno di sicurezza con l’Ucraina, racconta molto sulla direzione che sta prendendo la guerra ibrida in Europa nell’estate del 2026.
Cosa è successo: la cronologia dell’attacco a Digdir
Secondo la ricostruzione pubblicata da BleepingComputer, l’attacco è partito alle 3:38 CEST di lunedì 25 agosto 2026, colpendo l’infrastruttura condivisa gestita da Digdir e dal suo fornitore operativo Vivicta. Nelle prime ore la portata del traffico anomalo ha reso instabili o parzialmente inaccessibili una decina di servizi digitali usati quotidianamente da cittadini, imprese e pubblica amministrazione.
Il picco dell’attacco, secondo le stime riportate da The Record, è durato circa 30 ore a intensità variabile, ma le ripercussioni si sono protratte per tre giorni consecutivi. Mercoledì 26 agosto, mentre Digdir lavorava ancora per stabilizzare i sistemi, un gruppo che si definisce “Server Killers” ha rivendicato la responsabilità dell’attacco con un messaggio su Telegram, dichiarando quella che ha chiamato “guerra cibernetica” contro la Norvegia.
Il portavoce di Digdir, Are Kvistad, ha confermato all’agenzia Associated Press che l’attacco era in corso “da lunedì” e aveva colpito “molteplici servizi digitali governativi norvegesi negli ultimi tre giorni”. Le sue parole, riportate da ABC News, non lasciano dubbi sulla portata dell’evento: “È il più grande attacco contro le soluzioni di Digdir che abbiamo mai vissuto”.
I servizi colpiti: quando l’identità digitale va offline
L’elenco dei sistemi coinvolti spiega perché l’attacco ha fatto notizia ben oltre i confini scandinavi. ID-porten è il gateway di autenticazione unico della Norvegia, l’equivalente locale dello SPID italiano: un solo login che dà accesso a decine di servizi pubblici. MinID è la soluzione di identità elettronica più diffusa tra i cittadini meno esperti di tecnologia. Altinn è il portale su cui imprese e professionisti presentano dichiarazioni, moduli e comunicazioni verso lo stato. A questi si aggiungono la posta digitale sicura tra amministrazione e cittadini e il servizio di firma elettronica eSignering.
Digdir ha precisato che l’obiettivo di un attacco DDoS è colpire la disponibilità dei servizi, non violarne la sicurezza. In una nota ufficiale citata da Infosecurity Magazine, l’agenzia ha spiegato: “Lo scopo di questo tipo di attacco è colpire la disponibilità, non violare le soluzioni. Non ci sono indicazioni che l’attacco abbia portato a una violazione della sicurezza o che dati personali siano stati compromessi”.
Nella stessa nota, l’agenzia ha descritto con precisione l’esperienza degli utenti durante i tre giorni di crisi: “I servizi colpiti sono stati completamente non disponibili per brevi periodi. Per la maggior parte del tempo sono stati parzialmente disponibili, ma hanno subito interruzioni operative, ad esempio con tempi di accesso più lunghi del normale”.
La tabella dei servizi e il livello di impatto
Ecco un riepilogo dei principali servizi digitali norvegesi coinvolti nell’attacco e del livello di disservizio registrato tra il 25 e il 27 agosto 2026, secondo i dati diffusi da Digdir e ripresi dalla stampa specializzata.
| Servizio | Funzione | Impatto registrato | Stato al 27 agosto |
|---|---|---|---|
| ID-porten | Login unico per servizi pubblici | Interruzioni intermittenti, accessi rallentati | Parzialmente instabile |
| MinID | Identità elettronica per cittadini | Rallentamenti nei login | Stabilizzato |
| Altinn | Portale per imprese e dichiarazioni | Interruzioni brevi ma ripetute | Stabilizzato |
| Posta digitale | Comunicazioni sicure PA-cittadino | Ritardi nella consegna | Stabilizzato |
| eSignering | Firma elettronica per la PA | Accessi intermittenti | Parzialmente instabile |
Chi sono i Server Killers
Il collettivo che ha rivendicato l’attacco si presenta come un gruppo hacktivista filorusso attivo dal 2023. Secondo la ricostruzione pubblicata da ua.news, i Server Killers hanno collegato esplicitamente l’attacco al rinnovo, avvenuto il 23 agosto 2026, dell’accordo di cooperazione in materia di sicurezza tra Norvegia e Ucraina, che include il proseguimento del sostegno finanziario di Oslo a Kyiv fino al 2027.
Non è la prima volta che gruppi filorussi prendono di mira la Norvegia proprio nei giorni successivi ad annunci politici di sostegno all’Ucraina. Un episodio simile era avvenuto già nel 2022, quando un attacco aveva temporaneamente reso irraggiungibili siti pubblici e privati norvegesi, in coincidenza con dichiarazioni dell’allora primo ministro Jonas Gahr Støre sulla cooperazione con Kyiv. La differenza, nel 2026, è la scala: quello di agosto viene descritto da Digdir come il peggior attacco mai registrato contro le sue infrastrutture.
Le autorità norvegesi, va detto, non hanno confermato in modo indipendente l’attribuzione ai Server Killers: si tratta per ora di una rivendicazione non verificata, un elemento che rende la vicenda ancora aperta sul piano investigativo. La polizia criminale norvegese, Kripos, ha aperto un’indagine formale sull’incidente.
Le parole ufficiali di Digdir sulla gestione della crisi
Il direttore di Digdir, Frode Danielsen, ha fornito un aggiornamento pubblico il 25 agosto, nel pieno della crisi. Le sue parole, tradotte dall’originale riportato da lb.ua, descrivono bene la strategia di risposta adottata: “La situazione è la seguente: l’attacco è ancora in corso, ma abbiamo adottato misure che fanno sì che i nostri servizi restino disponibili in modo quasi continuo. Tuttavia, di tanto in tanto possono verificarsi alcune interruzioni della stabilità”.
Sul sito ufficiale di Digdir, l’agenzia ha confermato che le soluzioni erano tornate stabili e che il lavoro per limitare le conseguenze dell’attacco proseguiva senza sosta. Nella dichiarazione pubblicata il 25 agosto 2026 e disponibile sul sito di Digdir, l’agenzia ha scritto: “Løsningene er per nå stabile, og Digdir jobber kontinuerlig med å begrense konsekvensene av angrepet” (le soluzioni sono per ora stabili, e Digdir lavora in modo continuo per limitare le conseguenze dell’attacco).
Il messaggio che emerge dalle comunicazioni ufficiali è coerente: nessuna violazione dei dati, nessun accesso non autorizzato ai sistemi, ma un disagio operativo reale per cittadini e imprese che per tre giorni hanno trovato servizi essenziali lenti o temporaneamente irraggiungibili.
Non è un caso isolato: il contesto delle minacce in Norvegia
L’attacco di agosto si inserisce in una sequenza di eventi che ha già messo sotto pressione le difese digitali norvegesi nel corso del 2026. Secondo un’analisi tecnica ripresa da fonti di settore, quello di agosto sarebbe il terzo incidente DDoS a colpire i servizi Digdir dall’inizio di giugno 2026, un dato che segnala un innalzamento costante della pressione ostile sull’infrastruttura digitale del paese.
A febbraio 2026, il servizio di sicurezza interna norvegese PST aveva pubblicato il proprio rapporto annuale sulle minacce. In quell’occasione la direttrice Beate Gangås aveva confermato che la campagna di spionaggio cinese nota come Salt Typhoon, la stessa che nello stesso periodo ha colpito sistemi IBM in Italia legati a INPS e INAIL, aveva compromesso dispositivi di rete in organizzazioni norvegesi, la prima conferma ufficiale scandinava di una presenza della campagna nel nord Europa.
Il quadro complessivo, quindi, non è quello di un attacco isolato ma di una pressione multipla e continua: hacktivismo filorusso con attacchi DDoS ripetuti, spionaggio di stato attribuito ad attori cinesi, e minacce più ampie all’infrastruttura di acqua ed energia in almeno sei paesi UE, come segnalato a febbraio 2026 quando i paesi scandinavi sono stati messi in allerta per rischi alla rete elettrica regionale.
Il confronto con Sandworm e l’attacco alla rete elettrica polacca
Per capire la reale gravità dell’attacco a Digdir bisogna confrontarlo con un altro episodio che ha già scosso l’Europa nel 2025-2026: il sabotaggio della rete elettrica polacca. A dicembre 2025 un attacco informatico ha danneggiato in modo permanente sistemi di controllo energetico in Polonia, un evento definito da analisti il primo caso confermato di attacco distruttivo a infrastrutture OT (Operational Technology) nell’Unione Europea.
A gennaio 2026 la società di sicurezza ESET ha attribuito quell’attacco, con confidenza media, al gruppo Sandworm, unità legata al GRU russo, sulla base dell’uso di malware wiper e delle tecniche impiegate contro i sistemi SCADA. A luglio 2026 Regno Unito e Unione Europea hanno formalmente attribuito l’attacco alla rete elettrica polacca ai servizi di sicurezza federale russi (FSB), come riportato da The Register, chiedendo interventi urgenti da parte delle organizzazioni di infrastrutture critiche in tutta Europa.
Nello stesso periodo, un pacchetto di sanzioni congiunto UE-Regno Unito ha preso di mira la Russia per una campagna cibernetica su scala continentale che avrebbe colpito, secondo Euronews, almeno nove stati membri dell’Unione: Francia, Germania, Polonia, Cipro, Paesi Bassi, Austria, Slovacchia, Romania e Finlandia. L’attacco a Digdir, pur essendo tecnicamente meno sofisticato e privo dell’impatto distruttivo del caso polacco, si colloca sulla stessa linea temporale e nello stesso clima geopolitico: una pressione cibernetica ostile costante contro le infrastrutture digitali europee, con la Norvegia che si aggiunge come bersaglio più recente pur non essendo membro dell’Unione Europea ma facendo parte della NATO.
Analisi comparativa: attacchi cyber russi in Europa 2025-2026
La tabella seguente mette a confronto i principali episodi legati ad attori russi o filorussi che hanno colpito infrastrutture pubbliche europee negli ultimi dodici mesi, per aiutare a inquadrare la reale gravità dell’incidente norvegese rispetto agli altri.
| Incidente | Periodo | Metodo | Attribuzione | Impatto |
|---|---|---|---|---|
| Rete elettrica polacca | Dicembre 2025 | Malware wiper su sistemi SCADA | Sandworm/GRU, poi FSB (UE-UK, luglio 2026) | Danno permanente ai sistemi di controllo |
| Campagna multi-paese UE | 2025-2026 (rivelata luglio 2026) | Intrusioni, phishing, sfruttamento vulnerabilità | Attori legati allo stato russo | 9 stati membri UE colpiti |
| Digdir Norvegia | 24-27 agosto 2026 | DDoS volumetrico | Server Killers (rivendicazione non confermata) | 10 servizi digitali degradati, nessuna violazione dati |
| Impianto di riscaldamento svedese | 2025 | Tentativo di attacco a infrastruttura OT | Gruppo filorusso legato all’intelligence russa | Attacco fallito, nessun danno |
| Salt Typhoon in Norvegia | Confermato febbraio 2026 | Compromissione di dispositivi di rete | Salt Typhoon (attore legato alla Cina) | Spionaggio, non distruttivo |
Il quadro che emerge è quello di un’Europa esposta su più fronti contemporaneamente: da un lato il sabotaggio fisico delle infrastrutture energetiche, dall’altro l’hacktivismo dimostrativo contro i servizi digitali dei governi, e infine lo spionaggio silenzioso contro reti aziendali e istituzionali. Sono minacce diverse per intensità tecnica ma convergenti nell’obiettivo di indebolire la fiducia nelle infrastrutture digitali dei paesi che sostengono l’Ucraina.
Perché un attacco DDoS non è “solo” un fastidio
C’è la tentazione, tra chi non lavora quotidianamente con la sicurezza informatica, di liquidare un attacco DDoS come un disagio temporaneo, molto meno grave di una violazione di dati o di un ransomware che cifra interi sistemi. Ma quando il bersaglio è l’infrastruttura di identità digitale di un intero paese, la distinzione tra disponibilità e riservatezza perde parte del suo significato pratico.
ID-porten, come SPID in Italia, non è un servizio accessorio: è il punto di accesso obbligato per dichiarazioni fiscali, prestazioni sociali, comunicazioni sanitarie e decine di altri procedimenti amministrativi. Quando smette di funzionare, anche solo in modo intermittente per tre giorni, l’effetto a catena tocca cittadini, imprese e uffici pubblici che dipendono da quel login unico per operare. È esattamente questo l’obiettivo dichiarato di un attacco hacktivista: non rubare, non distruggere, ma dimostrare che lo stato può essere paralizzato con un solo comando.
Gli esperti di sicurezza che seguono da anni gruppi come Killnet e NoName057(16), altri collettivi filorussi attivi in Europa dal 2022, sottolineano da tempo che l’obiettivo di queste campagne è più propagandistico che tecnico: generare titoli di giornale, alimentare canali Telegram con migliaia di iscritti, e proiettare l’immagine di una Russia capace di colpire in profondità i paesi che sostengono Kyiv, anche quando l’impatto reale sui sistemi è limitato e temporaneo.
L’impatto sul mercato della sicurezza informatica
Episodi come quello norvegese hanno un effetto diretto e misurabile sulla domanda di soluzioni di protezione dagli attacchi DDoS e sui budget di cybersecurity delle agenzie governative europee. Le agenzie pubbliche di digitalizzazione, dalla Norvegia alla Germania, gestiscono infrastrutture condivise che diventano bersagli ad alto valore proprio perché un singolo punto di ingresso, come un gateway di autenticazione centralizzato, può mettere fuori uso decine di servizi collegati con un solo attacco riuscito.
Il modello di identità digitale centralizzata, che l’Italia sta seguendo con SPID, passkey e la Carta d’Identità Elettronica e che l’Unione Europea sta estendendo con il portafoglio digitale europeo EUDI Wallet, porta con sé un beneficio evidente in termini di comodità ma anche una superficie di attacco concentrata. Gli operatori di infrastrutture critiche digitali in tutta Europa stanno rivedendo, alla luce di episodi come questo, i propri piani di continuità operativa e di mitigazione DDoS, spesso accelerando investimenti già previsti dai requisiti della direttiva NIS2, entrata in vigore anche in Italia con obblighi di notifica degli incidenti entro tempistiche strette per gli operatori essenziali.
Va anche detto che la risposta di Digdir, secondo le sue stesse dichiarazioni, è stata efficace nel mantenere i servizi “praticamente sempre” disponibili nonostante la scala dell’attacco, un segnale che gli investimenti in mitigazione DDoS fatti dall’agenzia negli ultimi anni hanno in parte funzionato, anche se non hanno impedito disagi diffusi per tre giorni consecutivi.
La reazione politica ed europea
Sul piano politico, la risposta pubblica a questo specifico incidente si è finora concentrata a livello nazionale norvegese, con Kripos che indaga e Digdir che gestisce la crisi tecnica, senza una dichiarazione ufficiale NATO o UE dedicata specificamente all’attacco DDoS di agosto. Va ricordato che la Norvegia non è membro dell’Unione Europea, pur partecipando allo Spazio Economico Europeo e a numerosi programmi di cooperazione in materia di sicurezza informatica, ed è membro NATO dalla fondazione dell’alleanza.
Questo episodio, tuttavia, si aggiunge a un quadro più ampio in cui l’Unione Europea ha già dimostrato, con le sanzioni di luglio 2026 legate all’attacco alla rete elettrica polacca e alla campagna contro nove stati membri, una crescente volontà di attribuire pubblicamente responsabilità ad attori legati alla Russia, invece di limitarsi a comunicati generici su “attori sconosciuti”. Ci si può ragionevolmente attendere che, se l’attribuzione ai Server Killers verrà confermata con maggiore certezza dalle autorità norvegesi, la vicenda venga citata nei prossimi rapporti ENISA e nei dossier di cooperazione NATO-UE sulla resilienza cibernetica.
Cosa significa per l’Italia e per il resto d’Europa
Per un lettore italiano, l’episodio norvegese è utile soprattutto come caso di studio. L’Italia ha già vissuto negli ultimi anni ondate di attacchi DDoS rivendicati da gruppi filorussi contro siti istituzionali, banche e infrastrutture di trasporto, in coincidenza con annunci politici legati al sostegno a Kyiv. Il pattern è lo stesso osservato in Norvegia: un evento politico (un accordo, una dichiarazione, un invio di aiuti) seguito a distanza di ore o giorni da un attacco dimostrativo rivendicato su Telegram.
Con l’Italia che sta progressivamente centralizzando l’accesso ai servizi pubblici attraverso SPID, CIE e PagoPA, e con l’obbligo NIS2 che dal 2026 impone a un numero crescente di aziende e enti pubblici piani di gestione degli incidenti e notifiche entro tempi stretti alle autorità competenti, l’episodio di Digdir offre un promemoria concreto: la resilienza contro il DDoS non è più un dettaglio tecnico da lasciare ai soli reparti IT, ma una priorità che riguarda la continuità dei servizi essenziali dello stato, tanto quanto il monitoraggio costante delle vulnerabilità note tramite il catalogo CISA KEV delle falle attivamente sfruttate.
Previsioni: cosa aspettarsi nei prossimi mesi
Sulla base del pattern osservato negli ultimi anni e degli sviluppi più recenti, è possibile delineare alcuni scenari plausibili per l’autunno 2026.
- È probabile che altri paesi nordici e baltici, storicamente bersaglio di gruppi come Killnet e NoName057(16), subiscano attacchi DDoS simili nelle settimane successive a nuovi annunci di sostegno militare o finanziario all’Ucraina.
- Le agenzie di digitalizzazione europee, sul modello di Digdir, aumenteranno probabilmente gli investimenti in capacità di mitigazione DDoS e in ridondanza dei sistemi di autenticazione centralizzata, anche per rispettare le nuove scadenze NIS2.
- È plausibile un’evoluzione delle indagini di Kripos verso un’attribuzione più solida, che potrebbe portare a sanzioni mirate da parte norvegese o europea contro individui o entità legate ai Server Killers, sul modello di quanto già fatto per Sandworm.
- La distinzione tra hacktivismo dimostrativo (DDoS) e sabotaggio distruttivo (wiper su sistemi OT) resterà una linea di faglia importante nelle risposte politiche europee: attendersi retorica più dura e coordinata contro gli attacchi OT, risposte più contenute contro i DDoS dimostrativi.
- Cresceranno le pressioni, anche in sede di Cybersecurity Act 2.0 dell’Unione Europea, per includere le agenzie di identità digitale nazionale tra gli operatori essenziali soggetti a requisiti di resilienza rafforzati, sulla scia di quanto già discusso per il settore energetico e finanziario.
Il nodo dell’attribuzione: perché conta più di quanto sembri
Uno degli aspetti più delicati di questa vicenda è che, al momento della pubblicazione, l’attribuzione ai Server Killers resta una rivendicazione autonoma del gruppo, non una conclusione investigativa confermata dalle autorità norvegesi. Questo distinguo tecnico ha conseguenze pratiche: le rivendicazioni pubblicate su Telegram da collettivi hacktivisti sono spesso usate come strumento propagandistico, e non è raro che gruppi diversi rivendichino lo stesso attacco, o che un gruppo si attribuisca meriti per un incidente causato da cause tecniche indipendenti.
Digdir stessa, nelle sue comunicazioni ufficiali, si è concentrata sulla descrizione tecnica dell’impatto piuttosto che sull’attribuzione, un approccio prudente che riflette la difficoltà oggettiva di collegare con certezza tecnica un attacco DDoS a un attore specifico, a differenza di quanto avvenuto con il caso Sandworm-Polonia, dove l’analisi forense del malware wiper ha permesso un’attribuzione più solida nel tempo. È lo stesso tipo di incertezza che caratterizza molti degli incidenti di sicurezza informatica analizzati ogni settimana dai team di threat intelligence europei.
Domande frequenti
Cosa sono i Server Killers?
Sono un gruppo hacktivista filorusso che si descrive attivo dal 2023. Hanno rivendicato l’attacco DDoS contro l’infrastruttura digitale del governo norvegese il 26 agosto 2026, collegandolo esplicitamente al sostegno norvegese all’Ucraina. L’attribuzione non è stata confermata in modo indipendente dalle autorità.
Sono stati rubati dati personali dei cittadini norvegesi?
No. Digdir ha dichiarato pubblicamente che non ci sono indicazioni di una violazione della sicurezza o di compromissione di dati personali. L’attacco ha colpito la disponibilità dei servizi, non la loro riservatezza o integrità.
Quanto è durato l’attacco a Digdir?
L’attacco principale è iniziato alle 3:38 CEST di lunedì 25 agosto 2026 ed è durato circa 30 ore ad intensità variabile, ma gli effetti sui servizi si sono protratti per circa tre giorni, fino al 27 agosto 2026.
Quali servizi digitali norvegesi sono stati colpiti?
Tra i servizi coinvolti figurano ID-porten (login unico per i servizi pubblici), MinID (identità elettronica), Altinn (portale per imprese e dichiarazioni), la posta digitale sicura tra pubblica amministrazione e cittadini, e il servizio di firma elettronica eSignering.
Che differenza c’è tra questo attacco e quello alla rete elettrica polacca?
L’attacco a Digdir è un DDoS, cioè un attacco alla disponibilità dei servizi tramite traffico massivo, senza compromissione dei sistemi. L’attacco alla rete elettrica polacca del dicembre 2025, attribuito a Sandworm e poi formalmente alla Russia da UE e Regno Unito, ha invece usato malware wiper per danneggiare in modo permanente sistemi di controllo industriale, un evento molto più grave sul piano tecnico e distruttivo.
La Norvegia aveva già subito attacchi simili in passato?
Sì. Un attacco dimostrativo simile aveva colpito siti pubblici e privati norvegesi già nel 2022, in coincidenza con dichiarazioni di sostegno all’Ucraina. Secondo alcune ricostruzioni tecniche, quello di agosto 2026 sarebbe il terzo incidente DDoS contro i servizi Digdir dall’inizio di giugno dello stesso anno.
Cosa può imparare l’Italia da questo episodio?
L’Italia sta centralizzando sempre più l’accesso ai servizi pubblici attraverso SPID, CIE e PagoPA, un modello simile a quello norvegese di ID-porten. L’episodio dimostra l’importanza di investire in capacità di mitigazione DDoS e ridondanza dei sistemi di autenticazione, anche alla luce degli obblighi di notifica e resilienza previsti dalla direttiva NIS2.
Chi sta indagando sull’attacco?
La polizia criminale norvegese Kripos ha aperto un’indagine formale sull’incidente, mentre Digdir continua a lavorare sulla stabilizzazione tecnica dei sistemi e sulla revisione delle misure di protezione contro futuri attacchi.
