Il 24 marzo 2026 la Commissione Europea ha scoperto un attacco informatico contro l’infrastruttura cloud che ospita Europa.eu, il portale pubblico delle istituzioni dell’Unione. Tre giorni dopo Bruxelles ha confermato la violazione, mentre il gruppo criminale ShinyHunters rivendicava il furto di circa 350 GB di dati. Per la seconda volta in pochi mesi, l’esecutivo comunitario \u00e8 finito nel mirino. L’episodio non \u00e8 solo un incidente di sicurezza: \u00e8 la prova, plateale, di quanto la macchina amministrativa europea dipenda da infrastrutture cloud statunitensi e di quanto resti esposta proprio mentre Bruxelles predica sovranit\u00e0 digitale.<\/p>\n\n\n\n
Questo attacco alla Commissione Europea<\/strong> arriva in un anno record per il cybercrimine nel continente. Il Rapporto Clusit 2026 ha contato 5.265 attacchi gravi nel mondo nel 2025, l’anno peggiore di sempre. L’Italia, con 507 incidenti gravi e una crescita del 42%, assorbe quasi un attacco su dieci a livello globale. In questo quadro, la violazione di Europa.eu diventa il caso simbolo di una stagione in cui nessuna istituzione, per quanto grande, pu\u00f2 dirsi al sicuro.<\/p>\n\n\n\n La Commissione ha individuato attivit\u00e0 sospette il 24 marzo 2026 all’interno dell’infrastruttura cloud pubblica che alimenta la presenza web dell’istituzione sul dominio Europa.eu. Il 26 marzo l’esecutivo ha pubblicato un comunicato ufficiale (riferimento IP\/26\/748) confermando di aver risposto all’incidente. Il 27 marzo, dopo che gli aggressori avevano gi\u00e0 rivendicato il furto di dati, la conferma \u00e8 diventata pubblica anche attraverso la stampa internazionale.<\/p>\n\n\n\n Secondo la ricostruzione fornita da Bruxelles, l’attacco ha colpito infrastrutture cloud ospitate esternamente, non i sistemi interni della Commissione. La distinzione \u00e8 cruciale dal punto di vista tecnico e politico: le reti amministrative interne, dove transitano comunicazioni riservate e dossier negoziali, sarebbero rimaste isolate. I dati sottratti riguarderebbero invece i siti pubblici e i servizi accessori ospitati sul cloud commerciale. Resta il fatto che gli investigatori hanno confermato l’esfiltrazione di informazioni dalle propriet\u00e0 web colpite.<\/p>\n\n\n\n Thomas Regnier, portavoce della Commissione Europea, ha dichiarato il 27 marzo che l’istituzione aveva “contenuto l’attacco” e attivato “misure di mitigazione del rischio”, aggiungendo che le reti interne restavano sicure. \u00c8 la formula classica della comunicazione di crisi: rassicurare sul perimetro critico senza minimizzare l’accaduto. Una formula che, per\u00f2, lascia aperte molte domande sul volume reale dei dati persi e sulla catena di responsabilit\u00e0 tra Commissione e fornitore cloud.<\/p>\n\n\n\n La rivendicazione porta la firma di ShinyHunters, uno dei collettivi di estorsione pi\u00f9 prolifici degli ultimi anni, gi\u00e0 associato a numerose violazioni di grandi aziende e piattaforme cloud. Il gruppo ha sostenuto di aver compromesso circa 350 GB di dati, tra cui contenuti di mail server, database, documenti riservati e contratti riconducibili alla Commissione. Le prime analisi indipendenti hanno parlato di possibili directory di utenti SSO (Single Sign-On) tra i dati esposti, un dettaglio che, se confermato, amplierebbe la superficie di rischio ben oltre i singoli siti pubblici.<\/p>\n\n\n\n Va detto con chiarezza: 350 GB \u00e8 la cifra rivendicata dagli aggressori, non un dato verificato in via ufficiale dalla Commissione. Nel cybercrimine le rivendicazioni servono a costruire pressione negoziale e tendono a gonfiare i numeri. Le indagini interne, nelle settimane successive, hanno lavorato per delimitare il volume effettivamente esfiltrato, che resta inferiore e pi\u00f9 incerto rispetto al totale annunciato. La cautela \u00e8 d’obbligo, ma anche una frazione di 350 GB di documenti e contratti istituzionali rappresenta un patrimonio informativo di valore strategico.<\/p>\n\n\n\n Il modus operandi \u00e8 coerente con la nuova economia dell’estorsione dati. Non sempre c’\u00e8 cifratura ransomware: spesso basta rubare archivi sensibili e minacciarne la pubblicazione. \u00c8 lo stesso schema che ha colpito decine di organizzazioni nel 2025, lo stesso che ritroviamo in altre violazioni di dati<\/a> di grande scala. Il bersaglio non \u00e8 pi\u00f9 solo l’azienda privata: le istituzioni pubbliche, con i loro archivi e la loro esposizione mediatica, sono diventate prede di prima fascia.<\/p>\n\n\n\n L’aspetto pi\u00f9 scomodo per Bruxelles \u00e8 che l’attacco di marzo \u00e8 il secondo incidente di sicurezza confermato dalla Commissione nello stesso anno. A gennaio 2026 era stata colpita la piattaforma di gestione dei dispositivi mobili (MDM, Mobile Device Management) dell’istituzione, un sistema che governa smartphone e tablet del personale. Due violazioni in tre mesi, su componenti diverse, raccontano un problema sistemico pi\u00f9 che un evento isolato.<\/p>\n\n\n\n La ripetizione cambia la lettura politica del caso. Un singolo attacco si pu\u00f2 derubricare a fatalit\u00e0; due in pochi mesi spostano l’attenzione sulla postura difensiva complessiva. La Commissione gestisce un ecosistema digitale enorme, frammentato tra direzioni generali, agenzie e fornitori esterni. Ogni nodo di questa rete \u00e8 una potenziale porta d’ingresso. Quando il perimetro \u00e8 cos\u00ec esteso e dato in outsourcing, la probabilit\u00e0 di un anello debole cresce in modo non lineare.<\/p>\n\n\n\n Il tema della catena di fornitura \u00e8 centrale. Le prime analisi sull’incidente di marzo hanno ipotizzato un vettore legato a componenti software e accessi fidati lungo la supply chain, un meccanismo che permette di aggirare i controlli sfruttando relazioni di fiducia preesistenti. \u00c8 lo stesso schema che ha reso devastanti episodi come l’attacco Ivanti<\/a>, dove una vulnerabilit\u00e0 in un prodotto diffuso ha aperto le porte a centinaia di organizzazioni a valle.<\/p>\n\n\n\n Il punto che ha trasformato un incidente tecnico in un caso politico \u00e8 la natura dell’infrastruttura colpita. I siti pubblici di Europa.eu poggiano su cloud commerciale gestito da hyperscaler statunitensi. La Commissione ha precisato che i servizi del fornitore non sarebbero stati compromessi alla radice, ma il messaggio che \u00e8 arrivato all’opinione pubblica \u00e8 un altro: il portale ufficiale dell’Unione Europea dipende da infrastrutture extra-europee, e quando qualcosa va storto Bruxelles \u00e8 esposta come qualsiasi altro cliente.<\/p>\n\n\n\n Il paradosso \u00e8 evidente. Da anni l’Unione finanzia programmi per la sovranit\u00e0 digitale, dal progetto Gaia-X agli incentivi per cloud europei, proprio per ridurre la dipendenza da Amazon Web Services, Microsoft Azure e Google Cloud. Eppure la maggior parte dei carichi di lavoro critici, in Europa, gira ancora su queste tre piattaforme americane. La violazione di marzo ha reso tangibile un rischio finora discusso solo nei convegni: la concentrazione del cloud \u00e8 anche concentrazione del rischio.<\/p>\n\n\n\n La questione non \u00e8 la sicurezza tecnica degli hyperscaler, che investono in protezione cifre superiori a quelle di interi Stati. Il problema \u00e8 giurisdizionale e strategico. Dati istituzionali europei ospitati su infrastrutture soggette a legislazioni extra-UE pongono interrogativi su accesso, confisca e continuit\u00e0 del servizio in scenari di tensione geopolitica. L’attacco a Europa.eu ha dato a questi interrogativi un volto concreto e una data precisa.<\/p>\n\n\n\n La reazione politica era gi\u00e0 in moto prima di marzo. A gennaio 2026 la Commissione, attraverso Henna Virkkunen, commissaria europea con delega alla sicurezza informatica, aveva proposto un nuovo Cybersecurity Act per rafforzare la resilienza dell’Unione. La proposta punta a potenziare il ruolo dell’ENISA, l’agenzia europea per la cybersicurezza, e a costruire un quadro di certificazione unificato per i prodotti e i servizi ICT venduti nel mercato comune.<\/p>\n\n\n\n Juhan Lepassaar, direttore esecutivo dell’ENISA, ha collegato esplicitamente l’incidente di marzo alla necessit\u00e0 del nuovo schema di certificazione. La sua posizione, espressa nelle settimane successive all’attacco, \u00e8 che le vulnerabilit\u00e0 lungo la catena di fornitura restano il tallone d’Achille della difesa europea e che senza standard comuni e verificabili ogni fornitore diventa un punto cieco. \u00c8 un’analisi che sposta il baricentro dalla difesa del singolo perimetro alla governance dell’intero ecosistema.<\/p>\n\n\n\n Il pacchetto normativo europeo non si esaurisce qui. Il Cyber Solidarity Act, pensato per creare un sistema di allerta rapida e meccanismi di mutua assistenza tra Stati membri, e la direttiva NIS2 completano l’impianto. In Italia la NIS2 \u00e8 stata recepita con il Decreto Legislativo 138\/2024, che amplia drasticamente la platea dei soggetti obbligati a misure di sicurezza e notifica degli incidenti. Chi vuole capire gli obblighi concreti per le imprese italiane trova un quadro dettagliato nella nostra analisi sulla direttiva NIS2 in Italia<\/a>.<\/p>\n\n\n\n L’attacco a Europa.eu non \u00e8 un’anomalia, ma la punta di un iceberg ben misurato. Nel primo trimestre del 2026 gli attacchi di cybercrimine lanciati dall’Europa hanno superato i 50 milioni, circa il doppio del volume proveniente dagli Stati Uniti nello stesso periodo. Il continente \u00e8 diventato contemporaneamente bersaglio e piattaforma di lancio di attivit\u00e0 offensive su scala industriale.<\/p>\n\n\n\n Il Rapporto Clusit 2026 fotografa la dimensione del fenomeno. Nel 2025 sono stati censiti 5.265 attacchi gravi a livello globale, con una crescita a doppia cifra rispetto al 2024. L’Italia ne ha assorbiti 507, in aumento del 42%, pari al 9,6% del totale mondiale. Nel quinquennio 2021-2025 il Paese ha registrato 1.432 attacchi gravi, di cui oltre un terzo concentrati nel solo 2025. \u00c8 la prova che la curva non sta rallentando, anzi accelera.<\/p>\n\n\n\n La tabella seguente riassume le metriche chiave del panorama europeo e italiano emerse dalle principali fonti del 2025-2026.<\/p>\n\n\n\nCosa \u00e8 successo: la cronologia dell’attacco a Europa.eu<\/h2>\n\n\n\n
ShinyHunters e i 350 GB rivendicati<\/h2>\n\n\n\n
Non \u00e8 la prima volta nel 2026: la seconda violazione dell’anno<\/h2>\n\n\n\n
La dipendenza dal cloud USA: il nodo della sovranit\u00e0 digitale<\/h2>\n\n\n\n
La risposta di Bruxelles: il nuovo Cybersecurity Act<\/h2>\n\n\n\n
I numeri del cybercrimine europeo nel 2025-2026<\/h2>\n\n\n\n