Hacktivism in Italia: quali sono le tecniche di attacco

Le tecniche di attacco usate degli Hacktivist

Gli hacktivisti impiegano una vasta gamma di tecniche per perseguire i propri obiettivi. Tra queste, le tattiche più comuni includono:

• Blog in forma anonima. Gli attivisti, whistleblower e giornalisti spesso utilizzano blog anonimi per proteggere la propria identità mentre espongono problemi sociali e politici.
• Attacchi Dos e DDos. Questi attacchi mirano a sovraccaricare i server di un servizio, una rete o un sito web con un’elevata quantità di richieste, rendendoli inaccessibili agli utenti legittimi.
  In Italia, gli attacchi DDoS sono passati dal 4% al 36%, evidenziando un aumento significativo delle campagne di hacktivism nel paese. Lo scopo degli hacktivist è di creare consapevolezza e richiamare attenzione sulla loro causa e la violazione di un sito web, tramite attacco DDoS, può essere un mezzo efficace per rendere evidente al pubblico il proprio messaggio di denuncia o protesta.
• Doxing. Questo tipo di attacco comporta la raccolta e la divulgazione di informazioni sensibili su individui o organizzazioni, spesso ottenute tramite social engineering, con l’obiettivo di esporre o ricattare i soggetti coinvolti.
• Geobombing. Normalmente, questa tecnica consente agli utenti di Internet di aggiungere un geotag ai video di YouTube per visualizzare la posizione del video su Google Earth e Google Maps. Gli hacktivisti utilizzano questa tecnica per aggiungere geotag ai video pubblicati online, mostrando la posizione dei prigionieri politici o degli attivisti per i diritti umani.
• RECAP. Si tratta di un software che consente agli utenti di accedere gratuitamente a documenti legali altrimenti a pagamento presso il Tribunale Federale degli Stati Uniti, rimuovendo una barriera per l’accesso alle informazioni, che ritengono non dovrebbe esistere in primo luogo.
• Defacement. Il defacement è una tattica utilizzata dagli hacktivisti per alterare l’aspetto di un sito web ed è comunemente utilizzata per diffondere le agende attiviste sui siti web governativi.
• Mirroring. Gli hacktivisti replicano il contenuto di un sito web legittimo su un URL leggermente diverso, spesso per aggirare la censura o rendere il contenuto accessibile nonostante i blocchi.
• Di recente, anche i ransomware hanno guadagnato popolarità come strumento per alcuni gruppi hacktivisti per aumentare significativamente la capacità di attacco e il costo delle loro intrusioni.
• Data leak mirati e account hijacking. Pubblicazione selettiva di email, documenti o database sottratti per danneggiare l’immagine di istituzioni e aziende, spesso mescolando whistleblowing e propaganda; a questo si affianca la compromissione di account social istituzionali o di figure pubbliche per diffondere messaggi e disinformazione.

Nuovi vettori AI-assisted: come l’intelligenza artificiale cambia l’hacktivism

Il Rapporto Clusit 2026 dedica un intero capitolo alla “rivoluzione AI” in cybersecurity, mostrando come l’AI generativa venga usata per creare email di phishing più realistiche, automatizzare la scoperta di vulnerabilità e sviluppare malware più sofisticato. Si stima inoltre che nel 2025 gli attacchi potenziati dall’AI siano cresciuti del 47%, che il 24% delle aziende italiane dichiari di aver subìto almeno un attacco AI-assisted e che l’AI risulti coinvolta nel 42% degli attacchi andati a buon fine in alcuni campioni analizzati.

Per l’hacktivism, in particolare, i vettori AI-assisted più osservati nel contesto italiano sono:

• Phishing avanzato e social engineering generativo. Clusit segnala una crescita del 75% della categoria phishing/social engineering nel 2025, legata esplicitamente all’uso di AI generativa per produrre contenuti più credibili e personalizzati. LLM utilizzati per produrre email in italiano fluente, con riferimenti a normative locali come GDPR e NIS2, riducono i segnali tipici della truffa, ad esempio errori grammaticali o incoerenze e rendono più efficaci le campagne mirate verso amministratori, responsabili IT, giornalisti e funzionari pubblici.
• DDoS e carpet bombing orchestrati con AI. Sistemi che generano traffico DDoS variando parametri e intensità per eludere le mitigazioni basate su soglie statiche, modelli che selezionano i bersagli in base a esposizione e impatto mediatico, orchestrazione di botnet distribuite che includono dispositivi IoT consumer vulnerabili.
• Sfruttamento automatizzato di vulnerabilità e attacchi alle API. Clusit registra una crescita del 65% degli incidenti che sfruttano vulnerabilità a livello globale. L’uso di modelli AI per analizzare codice, infrastrutture esposte e configurazioni note accelera la scoperta di falle, mentre gli LLM vengono impiegati per generare o adattare exploit e payload in funzione delle risposte del sistema bersaglio, abbassando la soglia di competenza tecnica richiesta.
• Extortion-as-a-service generata da AI. Il caso più rappresentativo del 2025 è segnalato da Tinexta Cyber: il sistema modula tono e contenuti dei messaggi in base alle risposte della vittima, pianifica i tempi delle richieste e sceglie quali minacce enfatizzare (pubblicazione dati, DDoS, leak mediatico). Per l’hacktivism, una logica simile può essere usata non per monetizzare, ma per ottenere concessioni, scuse pubbliche o ammissioni da parte di istituzioni e aziende (Fonte, link esterno).
• Manipolazione di contenuti, disinformazione e propaganda digitale. Generazione in grandi volumi di comunicati, post social, articoli pseudo-giornalistici e infografiche; profili social simulati per amplificare rivendicazioni; traduzione e adattamento al contesto italiano di propaganda prodotta da gruppi esteri, con riferimenti a politica interna e figure pubbliche.
• Abuso di LLM e assistenti conversazionali per reconnaissance e scripting. Raccolta e sintesi automatizzata di informazioni pubbliche su infrastrutture e stack tecnologici delle organizzazioni bersaglio, generazione di script o pseudo-codice per exploit e automazione delle campagne, suggerimenti su pretesti e sequenze di contatto per il social engineering.

> Leggi anche: Attacchi di Prompt Injection: sicurezza per LLM e AI generativa

Gruppi, comunità, attacchi e valori dell’Hacktivism

Da quando esiste, Internet è stato utilizzato per promuovere, arricchire e discutere valori e ideologie. Gli hacktivisti hanno abbracciato e amplificato i valori socio-politici e culturali già radicati nella comunità hacker, ponendo l’accento sulla resistenza e sull’abbattimento dei confini sociali attraverso un approccio trasgressivo e spesso sovversivo. In questo modo, hanno creato un senso di empowerment che utilizza la tecnologia per non solo modificare, ma sovvertire lo status quo.

Ci sono evidenze del coinvolgimento degli hacker in azioni guidate da valori e ideologie. Ad esempio, gli hacker patriottici sono stati coinvolti in molte operazioni, spesso in contesti di tensioni geopolitiche tra vari paesi come India e Pakistan, Cina e Taiwan, e Russia e Cecenia e più recentemente durante la guerra russo-ucraina. Alcune azioni hanno avuto luogo anche all’interno delle nazioni, come durante la Primavera Araba, quando gli hacker hanno protestato contro governi corrotti. Altri hanno supportato i propri governi quando sentivano minacciato lo status quo interno, come nel caso del Syrian Electronic Army in Siria o della Honker Union in Cina.

Tuttavia, nessun gruppo è stato coinvolto in un numero così ampio di situazioni come Anonymous. Anonymous è un vasto collettivo di hacktivisti attivi negli ultimi due decenni, impegnati in una serie di azioni politiche online e offline. Conosciuto per la sua spesso menzionata posizione anti-leader e anti-celebrità, Anonymous abbraccia diverse cause per diversi motivi. L’eterogeneità di questo collettivo è evidente nelle molteplici operazioni, dalle proteste contro Israele a sostegno dei palestinesi, agli attacchi contro l’ISIS, fino ai più recenti interventi in aiuto all’Ucraina.

Gli hacktivist si muovono secondo ideologie e valori, ma soprattutto agiscono in gruppi. Rari sono gli hacktivisti individuali, anche se una menzione è d’obbligo per le attività di Phineas Fisher, pseudonimo utilizzato tra il 2014 e il 2019, che ha causato diversi casi di diffamazione nei confronti di grandi aziende, governi e individui.

L’associazione in gruppi offre maggiori risorse, opportunità di collaborazione e amplificazione del messaggio. Questi vantaggi spesso motivano gli aspiranti hacktivisti ad affiliarsi almeno informalmente con gruppi consolidati. I gruppi hacktivisti tendono a evitare gerarchie rigide o processi operativi standardizzati, e non sono soggetti agli stessi requisiti di sicurezza economica e operativa dei gruppi di cybercriminali organizzati. Le entità hacktiviste sono tipicamente formate da individui che si uniscono e agiscono insieme in base a una o più convinzioni condivise, offrendo un elevato grado di flessibilità che permette loro di collaborare, aggregarsi, sciogliersi e riformarsi con relativa facilità rispetto ad altri threat actors.

L’impatto e l’efficacia futura degli attacchi di tipo “hacktivism” dipende da una serie di fattori. Con il continuo sviluppo della tecnologia e l’evolversi delle dinamiche sociali e politiche, è probabile che gli hacktivist adattino le loro tattiche e strategie per affrontare le sfide emergenti e capitalizzare sulle opportunità presentate dal panorama digitale in evoluzione. Questo potrebbe includere un maggior ricorso a tecniche avanzate di social engineering e manipolazione delle informazioni, nonché una maggiore attenzione alla sicurezza informatica e alla privacy dei dati per proteggere i propri interessi e mantenere l’anonimato.