Nel 2020 il gruppo di hacker russi oggi associato a Midnight Blizzard colpì istituzioni pubbliche degli Stati Uniti attraverso il software SolarWinds. L’operazione, attribuita a una struttura legata ai servizi di intelligence russi, rappresenta il precedente di una capacità offensiva rivolta a infrastrutture digitali di ampia portata e a obiettivi istituzionali.
Nel 2023 una nuova intrusione contro Outlook
Nel 2023 gli stessi responsabili organizzarono inoltre l’attacco al client di posta elettronica Outlook. Il gruppo Midnight Blizzard, collegato al Servizio di intelligence esterna russo, lo Svr, si è così affermato come una delle strutture d’élite dell’hacking russo, specializzata in operazioni di cyberspionaggio e in attacchi tecnici contro enti pubblici e organizzazioni internazionali.
All’interno di questa struttura Microsoft identifica cluster temporanei o tracciabili con la sigla Storm seguita da un numero di quattro cifre, fino alla loro piena identificazione e associazione a un gruppo noto. Storm-2945 è indicato come una sottogruppo specializzato di Midnight Blizzard, con un’attività diversa da quella di Storm-1516, la rete legata all’intelligence militare russa che produce contenuti falsi, video di propaganda e operazioni di interferenza elettorale.
5 agosto 2026: individuata la campagna contro i Wi-Fi pubblici
Il 5 agosto 2026 i media hanno riferito che Microsoft aveva individuato una campagna su larga scala condotta da hacker russi contro le infrastrutture delle reti Wi-Fi pubbliche in hotel, centri congressi e altri luoghi aperti al pubblico in diversi Paesi. L’azienda ha attribuito l’operazione a Storm-2945, collegato a Midnight Blizzard e quindi all’intelligence esterna russa.
La campagna ha riguardato strutture che utilizzano i captive portal, le pagine di autorizzazione che si aprono quando un utente si collega a una rete Wi-Fi pubblica. Secondo Microsoft, gli hacker potrebbero aver ottenuto accesso a servizi condivisi utilizzati contemporaneamente da più operatori di queste reti. Un singolo punto compromesso può quindi diventare una porta d’ingresso verso numerosi hotel e luoghi pubblici in Paesi diversi, con un’estensione potenziale molto più ampia rispetto a un attacco limitato a una singola struttura.
La ricostruzione della campagna è stata riportata anche da Meduza. Gli aggressori reindirizzavano gli utenti senza attirare l’attenzione verso un’infrastruttura di phishing sotto il loro controllo e distribuivano software dannosi presentandoli come aggiornamenti del browser o del sistema operativo.
Dopo il collegamento, il falso aggiornamento
Il messaggio che proponeva l’aggiornamento compariva in risposta ai controlli automatici della connessione internet eseguiti dai browser subito dopo il collegamento a una nuova rete. Il meccanismo sfruttava quindi un comportamento ordinario del dispositivo e trasformava una procedura di accesso apparentemente normale in un’occasione per installare malware.
Il rischio più grave riguarda i dispositivi di servizio utilizzati durante le trasferte. Una volta infettati, possono diventare un punto d’ingresso verso le reti informatiche aziendali o statali, consentendo agli operatori russi di aggirare le difese perimetrali e di sfruttare i dispositivi considerati affidabili dei dipendenti per penetrare nelle reti interne.
La scelta delle reti pubbliche negli hotel e nei centri congressi sposta il baricentro della raccolta informativa fuori dalle infrastrutture statali direttamente protette. Diplomatici, funzionari, militari, giornalisti e dirigenti d’azienda utilizzano abitualmente questi collegamenti durante trasferte, conferenze internazionali, incontri d’affari e negoziati. Il controllo della rete o dei servizi condivisi permette di puntare ai loro dispositivi e, attraverso di essi, alle informazioni riservate che transitano al di fuori delle reti governative protette.
L’operazione consente inoltre di combinare l’accesso tecnico con l’analisi degli spostamenti, dei contatti professionali e della corrispondenza di lavoro. L’obiettivo non è quindi soltanto sottrarre singoli documenti, ma seguire in modo sistematico le attività di esponenti occidentali e costruire un canale duraturo per il cyberspionaggio russo.
La sicurezza dei luoghi pubblici entra nella difesa digitale
Il caso di Storm-2945 amplia la nozione di infrastruttura da proteggere. Hotel, aeroporti, centri congressi e altri luoghi frequentati regolarmente da funzionari e rappresentanti di imprese devono essere considerati parte dell’infrastruttura critica digitale, con standard comuni di sicurezza e monitoraggio continuo.
Per governi europei, organizzazioni internazionali e aziende, la conseguenza operativa riguarda soprattutto le regole per i dipendenti in viaggio. Evitare le reti Wi-Fi pubbliche non protette, disattivare il collegamento automatico alle reti aperte e installare aggiornamenti esclusivamente da fonti ufficiali diventano elementi obbligatori dell’igiene digitale per chi tratta informazioni sensibili.
La posizione attuale è dunque questa: la campagna attribuita a Storm-2945 ha portato il cyberspionaggio russo a colpire la rete quotidiana dei collegamenti pubblici, con la possibilità di raggiungere utenti e dispositivi di numerose strutture europee attraverso servizi condivisi.
