Tra Hacktivisti e black hat, le cinque grandi strategie del mondo cyber. E le loro minacce

Cinque grandi “famiglie”, con cinque filosofie di hacking e strategie di intervento molto diverse, ma confini porosi fra un gruppo e l’altro. Almeno trentacinque attori di massima pericolosità conosciuti, in una galassia mobile che quasi ogni giorno vede nascere nuove sigle e alleanze, in grado di firmare azioni o incursioni più o meno dannose. Anche perché l’Ai, fra traduttori che permettono di realizzare perfette email di phishing, deepfake che possono trarre in inganno anche operatori esperti e soprattutto la possibilità di sfruttarne le capacità non solo per scrivere codici efficaci, ma anche per moltiplicarne gli effetti, ha moltiplicato a dismisura le potenziali minacce cyber.

Più fenomeno strutturale che emergenza, le scorribande informatiche di gruppi più o meno molesti sono quotidianità che le società di threat intelligence registrano stoicamente giorno dopo giorno. Solo alcune, quelle probabilmente pensate per fare rumore, diventano note al grande pubblico, ma le più pericolose spesso rimangono confinate nel recinto delle aziende, che i panni sporchi preferiscono lavarli in famiglia e non fare troppa pubblicità ai buchi di sistema.

Le cinque “famiglie“ dell’hacking

Per capire cosa succeda nella grande galassia cyber e soprattutto chi ci sia dietro bisogna fare in primo luogo un po’ di ordine. In base al tipo di “attacco” si possono distinguere cinque grandi famiglie di hacker: i collettivi di hacktivisti e disturbo geopolitico, che motivano politicamente le proprie incursioni, i sindacati criminali ransomware as a service (Raas), che bucano i sistemi, li criptano e chiedono un riscatto per renderli nuovamente operativi, gli specialisti in doxxing, dossieraggi avanzati, e swatting, i falsi allarmi a valanga, spesso composti da ragazzini ma ugualmente pericolosi, i gruppi Apt statali, le unità cyber delle intelligence di un Paese, e poi l’indotto dell’hacking, iab, infostealer e gestori di “servizi” dalle vpn “a prova di polizia”, forum, servizi di riciclaggio. I confini fra i vari gruppi non sono rigidi, i collettivi più longevi si dedicano a più attività, anche di filiera.

Gli hacktivisti

Sono fra i più noti anche perché la “firma” è parte essenziale che portano a termine. In generale si distinguono dai “black hat”, che si muovono per profitto, perché ad animarli è l’ideologia. È la sezione del mondo hacker che più si è modificata in tempi recenti: le azioni goliardiche o di denuncia degli inizi – storico il defacement al sito della Cia ribattezzato Central Stupidity Agency o la campagna di Anonymus contro Scientology, le cui sedi sono state anche inondate di pizze a domicilio – sono state progressivamente sostituite da operazioni di disturbo geopolitico a alta visibilità. La maggior parte degli attacchi sono di tipo Ddos, defacement (modifica home page con slogan) e data leak (pubblicazione dati).

NoName057(16)

Nati in area russa, sono i più noti e i più attivi contro l’Italia. Nel 2025, almeno il 48% delle attività di hacktivism nella penisola era riferibile a loro. La tecnica d'elezione è il Distributed Denial of Service (DDoS): i server dei siti spesso istituzionali vengono saturati di richieste fino a ridurli alla paralisi. Per ogni “campagna” vengono reclutati migliaia di volontari che scaricando il client Doosia, diventano “nodi” della rete. In alcuni casi ne sono stati reclutati fino a 4mila. I più attivi ricevono premi in cripto. È uno dei gruppi storici e più strutturati, spesso lavora con Carr e Z-pentest, fondato da uno dei suoi amministratori, o in coordinamento con altri gruppi come Alixsec, Dark Storm Team, Keymous+ e DieNet. È fra i fondatori della cosiddetta Holy League, annunciata nel 2024, che tiene insieme oltre 70 gruppi. Nonostante sia stato colpito da diverse operazioni di polizia che hanno portato all’individuazione di molteplici nodi di inoltro del traffico della botnet DDoSia e di alcuni presunti collaboratori in Italia e Spagna, come alla disattivazione di alcuni canali di pagamento crypto, il gruppo continua a essere attivo. Tra il marzo 2023 e il febbraio 2025 hanno portato a termine diverse operazioni contro i siti di ministeri e altri enti e istituzioni italiane. Di recente hanno preso di mira il ministro Tajani, obiettivo insieme al procuratore di Roma Lo Voi di una presunta campagna di doxxing.

Cyber Army Russia Reborn (Carr)

Gruppo russo, comparso nel febbraio-marzo 2022. Secondo alcuni analisti, sarebbe stato supportato e almeno fino al 2024 finanziato da Sandworn, l'unità 74455 del GRU (intelligence militare russa). Non si limitano a attacchi Ddos, ma sono in grado di mettere a segno vere e proprie infiltrazioni. Le azioni più note riguardano l’intrusione e la manipolazione dei dati in due allevamenti negli Usa e degli impianti idrici in Texas. Sia gli Usa, sia l’Ue hanno emesso sanzioni dirette contro la leader e portavoce del gruppo, Yuliya Vladimirovna Pankratova, e il principale hacker, Denis Olegovich Degtyarenko.

Z-Pentest

Strettamente legato a NoName057(16) e Carr, raramente lo si vede intervenire in operazioni Ddos. Sono noti per le incursioni all’interno di sistemi per acquisire dati, sabotare o anche solo per operazioni di defacement, sostituzione dell’interfaccia grafica di un sito, spesso istituzionale, coperta con messaggi politici, loghi del gruppo o schermate di avviso. Frequenti sono anche le azioni di hack-and-leak, che permettono di “bucare” un sistema, acquisire parametri o schermate, poi rese pubbliche su Telegram o nei forum sul dark web.

SiegedSec

Fondato dagli hacker "Vio" (autodefiniti "gay furry hackers"), ex membri GhostSec e Anonymous Sudan, noti per intrusioni e leak (estrazione di informazioni poi rese pubbliche) contro NATO e Heritage Foundation per protestare contro leggi anti-aborto o discriminatorie. Sin dall'inizio il gruppo adotta un'estetica ironica legata alla sottocultura furry e queer, accompagnando le rivendicazioni con meme, emoticon e linguaggio provocatorio per distinguersi nel panorama cyber. Disciolto nel luglio 2024.

IT Army of Ukraine

Nati il 26 febbraio 2022, su appello dell’ex ministro ucraino Mykhailo Fedorov, il “re dei droni”, oggi advisor della Difesa italiana, sono una struttura semi-governativa di volontari coordinata via Telegram. Opera in parallelo con le unità cyber dell'intelligence militare ucraina (HUR). All’attivo ha attacchi Ddos continuativi contro banche, servizi pubblici e provider russi dal 2022.

Distributed Denial of Secrets (DDoS-secrets)

Fondato nel dicembre 2018, collettivo di trasparenza radicale e whistleblowing che ha pubblicato oltre 12 Terabyte di dati e mail riservate di enti e ministeri russi dal 2022 in poi.

Silent Crow e Cyber Partisans

Cyber Partisans nasce in Bielorussia nel 2020, dopo le proteste contro la rielezione di Lukashenko, Silent Crow è ucraino, attivo almeno dal 2025. Lavorano insieme e in collaborazione con il reggimento Kastuś Kalinoŭski. Tra le azioni più eclatanti, l’attacco alle Ferrovie bielorusse del 2022 per rallentare le truppe russe, la sottrazione dei fascicoli di oltre 8.600 agenti dei servizi bielorussi nel 2024 e il sabotaggio di Aeroflot del 28 luglio 2025, con centinaia di voli cancellati, danni per decine di milioni di dollari. Di recente hanno messo a segno l’esfiltrazione di dati, poi ceduti a Bloomberg, che ha permesso di svelare le oltre 400mila perdite russe dall’inizio della guerra.

Specialisti in Doxxing, Swatting e Doxware Estorsivo

Non puntano al blocco delle infrastrutture, ma a manipolazione informativa, estrazione di dati e violenza psicologica. Il doxxing consiste nella raccolta aggressiva e pubblicazione online di dati personali, numeri privati, abitazioni e documenti d'identità dei bersagli. Lo swatting, come nel caso dell’ultima campagna che ha portato il caos nei cieli europei, consiste nell'invio di finti allarmi alla polizia via VoIP spoofing o e-mail anonime che avvertono su allarmi bomba, sparatorie e sequestri per provocare l'intervento delle forze di polizia. Il doxware consiste nel rubare informazioni sensibili, documenti personali, foto, conversazioni o dati finanziari a vittime in seguito minacciate di pubblicazione sul web. Nella maggior parte dei casi si tratta di collettivi di giovanissimi, anche adolescenti. È probabilmente la parte della galassia hacker più mobile e meno definita.

The Comms/764

Più che un gruppo classico è un ecosistema criminale o una rete di cyber terrore, formata per lo più da adolescenti anglofoni che comunicano tramite Discord, Telegram, piattaforme di gaming o forum dedicati. All’interno ci sono almeno tre sottogruppi con diversa specializzazione: Hacker Com (ex Cyber Com) specializzato in swatting, anche su commissione, doxxing e doxware, Sextortion Com, ramo dedito al reclutamento di nuovi membri tramite estorsioni a sfondo sessuale (sextortion), raccolta di dati personali e doxxing, Offline Com (o IRL Com), che segna il passaggio dal mondo cyber a quello reale con violenza su commissione, atti vandalici, incendi dolosi, aggressioni e intimidazioni. Sono classificati dall'FBI come minaccia prioritaria.

Fra i sottogruppi più pericolosi, il 764, fondato negli Stati Uniti da Bradley Cadenhead e ispirato all'ideologia nichilista e misantropica dell'Ordine dei Nove Angoli. I membri individuano minori vulnerabili (spesso tra gli 8 e i 17 anni) su piattaforme di gioco e chat popolari come Discord, Telegram, Roblox e Minecraft, li prendono di mira con campagne di doxing e una volta ottenuto materiale compromettente li costringono a a produrre materiale pedo-pornografico, compiere atti di autolesionismo, torturare animali o commettere atti violenti in diretta streaming.

LAPSUS$, Shiny Hunters, Scattered Spider

Emersi nel 2021, sono per lo più adolescenti con base nel Regno Unito e in Brasile. Si sono specializzati nei furti di codice sorgente, seguiti da doxxing aggressivo nei confronti di dirigenti e sviluppatori. Hanno colpito Nvidia , Samsung, Microsoft , Uber e Rockstar Games e tentato di aggredire Vodafone Italia. Il più noto leader del gruppo, Arion Kurtaj, 17 anni, è stato arrestato nel settembre 2022. Mentre si trovava in custodia cautelare in un hotel privo di PC, ha violato i server aziendali di Rockstar Games utilizzando unicamente una Fire TV Stick, una TV da stanza e uno smartphone, diffondendo su Telegram 90 video inediti di un popolare videogame. In seguito è stato condannato al ricovero a tempo indeterminato in una struttura psichiatrica a alta sicurezza. Nonostante gli arresti il gruppo rimane operativo. Ha fatto cartello con ShinyHunters (Francia e Nord Africa) e Scattered Spider (Gran Bretagna, Usa, Canada), entrambi specializzati in furto di dati e estorsione. Nel maggio 2022, gli Scattered Spider in dieci minuti sono riusciti a diventare admin della rete di casinò Mgm Resorts, costringendo l’azienda spegnere slot machine, sistemi di pagamento e chiavi digitali delle camere in oltre 10 resort a Las Vegas e in Europa. Gli ShinyHunters, oltre che per le operazioni di doxxing e doxware, sono noti come amministratori dei principali forum clandestini del dark web.

KillSec

Fondato a fine 2021-inizio 2022 come collettivo di hacktivisti da KillMilk, secondo i media hacker russo di circa 30 anni, è sparito alla fine del 2023 ed è ricomparso a fine maggio 2025, come gruppo mercenario hack-for-hire. Risulta collegato a circa 1.000 attacchi informatici a livello globale, di cui circa 500 andati a buon fine. Ufficialmente è stato smantellato il 30 settembre 2026 nell'ambito dell'operazione internazionale Operation KillSwitch, coordinata da Europol ed Eurojust che ha permesso di individuare il presunto amministratore, un sedicenne spagnolo, arrestato ad Alicante, e uno sviluppatore, un diciottenne ancora latitante.

Sindacati criminali ransomware

Sono i black hat per eccellenza e i più pericolosi, quanto meno per aziende e amministrazioni che ci inciampano e sono in grado di fare danni per milioni. Gli attacchi sono frequentissimi ma poco conosciuti, perché le aziende tendono a non dichiarare gli incidenti. Secondo il rapporto Tim 2026, sono 166 gli attacchi ransomware rivendicati in Italia nel 2025, in aumento del +14% rispetto all’anno scorso. Il Ransomware Report 2026 di Zscaler ThreatLabz colloca l'Italia al quinto posto al mondo per numero di organizzazioni colpite. E il 2026 segue il medesimo trend: nel primo semestre sono 148 le aziende e enti italiani raggiunti.

La tipologia di attacco

Semplificando, si può dire che l’attacco standard permette al gruppo di individuare un accesso, o “compralo” da un Iab, controllare progressivamente i sistemi, rubare dati, quindi inoculare un malware che cifra tutti i sistemi rendendoli inaccessibili per il reale proprietario. Sui dispositivi colpiti appare un messaggio con le istruzioni per pagare il riscatto in cambio della chiave di decrittazione. Se la vittima rifiuta, i criminali pubblicano e vendono i dati rubati sui propri siti nel dark web (leak site) o minacciano di contattare direttamente clienti e partner.

Cartelli criminali

Funzionano come franchising: un gruppo sviluppa e aggiorna i codici malevoli di cifratura e gestisce il sito di leak nel Dark Web, delegando l'intrusione fisica nelle reti aziendali a una fitta rete di affiliati ed esecutori terzi. I gruppi più importanti sono organizzati in cartelli. Lavorano per profitto, raramente le loro azioni hanno fini politici. Si contano per decine, questi i più attivi in Italia.

Lockbit

Emerso nel settembre 2019 (inizialmente noto nei forum come ABCD Ransomware, poi evoluto nelle versioni LockBit 1.0, 2.0, 3.0/Black e LockBit 5.0), ha radici nell’area dell’Europa dell’Est e in Russia. Secondo quanto emerso dalla maxi inchiesta Cronos di Fbi e Europol, che ha portato al sequestro del sito di leak, il capo sarebbe Dmitry Khoroshev. Sebbene colpito, il gruppo rimane operativo. Al centro ci sarebbe un core team di 10–20 sviluppatori coordinati dallo pseudonimo LockBitSupp, connesso a una rete globale di oltre 100 affiliati ed esecutori IAB. Spesso lavorano in cartello con Qilin e DragonForce. Attivissimi in Italia, l’Acn li ritiene responsabili dell’operazione dell’8 dicembre 2023 contro la Pa digitale, che ha portato disservizi per 540 comuni e oltre 700 enti. Hanno rivendicato attacchi contro Sogei, Agenzia delle Entrate, ASL Napoli 3 , Azienda Ospedaliera Universitaria Integrata di Verona, Acquedotto Pugliese e Comune di Ferrara.

Vice Society (poi integrato nel cartello Rhysida)

Radici in Est Europa, attivi dal maggio 2021, nascono grazie a ex appartenenti alle sigle HelloKitty e PrintNightmare, fra i pionieri del settore. Tra il 2023 e il 2024 il nucleo operativo è confluito nel cartello Rhysida. Si stima che del nucleo centrale facciano parte non più di 5-10 membri. Specialisti in incursioni in aziende e enti del settore pubblico, sanitario e dell'istruzione. In Italia sono noti per aver cifrato l'infrastruttura informatica del Comune di Palermo, mettendo offline i servizi anagrafici, la polizia municipale, i portali turistici e la gestione della ZTL per oltre tre settimane. A fronte del rifiuto di pagare il riscatto, il 14 giugno 2022 il gruppo ha pubblicato sul dark web un archivio di circa 30 GB contenente verbali, atti amministrativi riservati, note interne di polizia e carte d'identità dei cittadini.

Qilin (Agenda)

Russofoni, appaiono nel luglio 2022 con il nome "Agenda". Lavorano in cartello con LockBit e DragonForce. È uno dei gruppi più attivi. Clamorose le azioni contro Synnovis (laboratori del servizio sanitario di Londra), con migliaia di interventi rinviati e Asahi Group (Giappone). In Italia hanno rivendicato 21 vittime solo nel primo semestre 2026, fra cui, secondo la società di threat intelligence Soc Radar, Retelit (telecomunicazioni e cloud) e Coop Italia.

The Gentlemen

Nato nel luglio 2025 da un fuoriuscito di Qilin in seguito a una disputa per commissioni non pagate, che si cela dietro gli alias "hastalamuerte" e "zeta88", conta su un nucleo di circa 9 operatori. È il primo gruppo al mondo per numero di vittime, 300 vittime in tre mesi. Secondo Intel 471, in Italia sarebbe responsabile del 40% degli attacchi messi a segno tra gennaio e settembre 2026.

Everest

Fra i più longevi. Di origine russofona, combina ransomware, furto di dati e vendita di accessi (opera anche come IAB). Nel luglio 2026, ha colpito la Stadler Rail in Svizzera, a cui ha presentato una richiesta di riscatto di 10 milioni di franchi. In Italia ha rivendicato gli attacchi contro Siae (ottobre 2021), ma soprattutto contro la Galleria del Brennero, con il furto di circa 812 gigabyte di dati e circa 460.000 file.

L’indotto del cybercrime

Dietro gli attacchi visibili esiste una vera e propria filiera: Iab, sviluppatori di infostealer, gestori di forum, Vpn (reti private) "a prova di polizia" e servizi di riciclaggio. Tra luglio 2025 e giugno 2026 le polizie hanno chiuso i due forum russofoni più importanti (XSS e RAMP) e una Vpn usata da oltre 25 gruppi ransomware.

I mercenari Iab

Non sono gruppi, ma singoli individui che individuano vulnerabilità e vendono i punti di accesso a reti aziendali. Secondo diversi rapporti di threat intelligence il prezzo base medio dichiarato 113.275 dollari, per vittime con fatturato medio dichiarato di 3,2 miliardi, per le PMI si scende a poche centinaia di dollari. Gli Stati Uniti sono il primo target per numero di annuncia, con il 30,9%. L’Italia, con il 7% si attesta al secondo posto. A Roma è stato arrestato, estradato negli Usa e lì condannato nel marzo 2026 a 81 mesi il broker russo Aleksei Volkov.

Infostealer a noleggio (Malware-as-a-Service)

Gli infostealer sono malware, software malevoli, che rubano password, cookie e portafogli crypto dai computer. Gli sviluppatori creano e aggiornano il codice del malware, gli acquirenti pagano un canone mensile o settimanale per ottenere accesso a un pannello di controllo e al file eseguibile personalizzato da distribuire. In Italia i malware più utilizzati sono Vidar, AgentTesla, FormBook

I gruppi APT (Advanced Persistent Threat) statali

Unità militari ed agenzie di intelligence sovrane dedicate al cyber-spionaggio strategico a lungo termine, al preposizionamento invisibile nelle infrastrutture critiche e al sabotaggio industriale distruttivo.

Fancy Bear ( anche noto come APT28 / Forest Blizzard)

Legato all'intelligence militare russa (GRU), è celebre per operazioni di spionaggio politico e militare. Ha colpito governi europei, la Nato e organizzazioni politiche statunitensi tramite campagne di phishing estremamente mirate. Sono ritenuti responsabili dell’attacco al Bundestag tedesco del 30 aprile 2015, quando gli hacker sono riusciti a bucare le difese, sottrarre 16 gigabyte di dati riservati e della corrispondenza dell'ufficio della cancelliera Angela Merkel. Il Parlamento federale è stato costretto a spegnere e ricostruire da zero l'intera rete IT. A loro sono attribuite anche l'intrusione al Dnc Usa nel 2016 e tentativi di penetrazione ai danni del Ministero della Difesa, ambasciate estere a Roma, organi Nato e della filiera industriale aerospaziale della difesa (Leonardo).

Sandworm (APT44)

Sempre legato al GRU russo (Unità 74455) è specializzato in sabotaggio informatico distruttivo e malware per sistemi di controllo industriale (ICS/OT). Le azioni note più clamorose sono i blackout elettrici in Ucraina nel 2015 e 2016, provocati paralizzando le centrali con i malware BlackEnergy e Industroyer, l’inoculazione del malware NotPety. Partito come un attacco mirato all'Ucraina tramite un software di contabilità, si è diffuso a livello globale, paralizzando multinazionali come Maersk, Merck e FedEx causando danni economici stimati in oltre 10 miliardi di dollari e l’attacco alle Olimpiadi invernali in Corea del Sud. Dall’inizio della guerra in Ucraina si sono specializzati in sabotaggio di reti governative, telecomunicazioni e aziende energetiche ucraine ed esfiltrazione di dati dai telefoni dei militari ucraini.

APT29 (conosciuto anche come Cozy Bear e Midnight Blizzard)

Associato ai servizi di intelligence estera russi (SVR), è noto per la sua estrema discrezione. I suoi obiettivi di elezione sono entità diplomatiche governative, organizzazioni non profit e i fornitori di servizi principalmente negli Stati Uniti e in Europa. Gli hacker del gruppo utilizzano diversi metodi di accesso iniziale, dal furto di credenziali agli attacchi alle catene di approvvigionamento, sfruttando gli ambienti locali per accedere a quelli in cloud. È il gruppo responsabile dell'attacco SolarWinds del 2020, durante il quale ha compromesso un aggiornamento software legittimo per infiltrarsi in decine di agenzie governative e grandi aziende.

Volt Typhoon (Vanguard Panda, Bronze Silhouette, Redfly e Storm-0391)

Rilevato dalla metà del 2021, secondo le autorità statunitensi è sponsorizzato dallo Stato e collegato alla Repubblica Popolare Cinese (RPC), ma Pechino ha smentito seccamente. Specializzato in operazioni di lungo respiro, il gruppo si infiltra all’interno di infrastrutture critiche civili (telecomunicazioni, energia, trasporti) mantenendo aperti gli accessi e raccogliendo informazioni. L’operazione KV-Botnet dell’Fbi ha fatto emergere l’infiltrazione pluriennale nelle reti idriche, energetiche e di trasporto a Guam e negli hub logistici europei per garantire opzioni di sabotaggio in caso di crisi militare nell'Indo-Pacifico. Il gruppo ha compromesso importanti operatori telefonici e infrastrutture di rete (come Singtel) per intercettare comunicazioni e sottrarre credenziali

Lazarus Group (APT38 / BlueNoroff / Andariel)

È la principale organizzazione di guerra informatica della Corea del Nord, secondo le autorità statunitensi operante sotto il controllo dell'intelligence militare di Pyongyang. Più che un singolo team, Lazarus è un "gruppo ombrello" che coordina diverse unità specializzate: BlueNoroff (noto anche come APT38), la divisione finanziaria d'élite, specializzata in rapine bancarie internazionali e furti su larga scala di criptovalute, Andariel, che si occupa di spionaggio militare e governativo e attacchi ransomware. E BeagleBoyz, unità dedicata principalmente alle frodi bancomat internazionali (campagne FASTCash) e al furto di fondi dagli istituti bancari. Negli ultimi anni Lazarus ha spostato il proprio baricentro quasi totalmente sul settore Web3 e crypto, arrivando a sottrarre oltre 6,75 miliardi di dollari. Secondo l’Fbi sarebbero loro i responsabili del maxifurto a Binance, con oltre 6,3 miliardi di dollari fatti sparire in appena 20 minuti. Pyongyang ha negato ogni coinvolgimento.

Charming Kitten (APT35 / Mint Sandstorm)

È considerato uno dei pilastri delle operazioni di spionaggio informatico legate ai Pasdaran iraniani. Utilizza campagne di spearphishing altamente personalizzate e ingegneria sociale complessa, arrivando a costruire false identità online per mesi prima di inviare un link malevolo generalmente destinato a funzionari governativi, militari, giornalisti, accademici e dissidenti politici, sia in Medio Oriente che in Occidente. È specializzato nell’individuare vulnerabilità nei sistemi per estrarre dati da mail e cloud.

CyberAv3ngers

Associato dall’Fbi ai Pasdaran, a differenza dei gruppi legati allo spionaggio, il gruppo rappresenta una minaccia diretta per i sistemi fisici e industriali e infrastrutture critiche come impianti idrici, reti elettriche e sistemi manifatturieri negli Stati Uniti, in Europa e in Israele. Non usano tecniche di intrusione complesse, ma cercano dispositivi esposti in rete con configurazioni predefinite o password deboli, ma riescono a fare danni enormi. Colpiscono sistemi di controllo industriale (ICS/OT) e ai controllori logici programmabili (PLC), con l'obiettivo di interrompere i processi fisici o mostrare messaggi propagandistici sugli schermi degli operatori. Dopo l'ottobre 2023, il gruppo ha utilizzato il malware Iocontrol per sabotare i dispositivi utilizzati negli impianti idrici e industriali in Israele, nel 2026 è stato il principale sospettato degli attacchi hacker che hanno mandato in tilt almeno 30 impianti idrici in Minnesota. Su sei persone, individuate dall’intelligence statunitense come i principali hacker, dal 2024 pende una taglia di 10 milioni di dollari.

OilRig (APT34 / Helix Kitten)

Considerato legato al Ministero dell'Intelligence iraniano (MOIS), si concentra sui settori strategici ad altissimo impatto economico, soprattutto nell’area del Golfo Persico: infrastrutture critiche, compagnie energetiche, istituti finanziari, telecomunicazioni e agenzie governative. Si infiltra sviluppando malware e backdoor su misura e utilizza protocolli di rete legittimi per mascherare l’esfiltrazione dei dati e rimanere nascosto nei sistemi violati per lunghissimi periodi.

Predatory Sparrow

Sofisticato gruppo di cyber-guerra attivo almeno dal 2021, per gli analisti di cybersecurity collegato all'intelligence militare israeliana. Pur presentandosi sui social media e su Telegram come un collettivo di "hacktivisti" anti-regime, viene considerato un attore statale per la complessità tecnica delle sue operazioni e la capacità di causare danni fisici alle infrastrutture critiche iraniane. In concomitanza con l'inizio dell’offensiva contro l’Iran, nel giro di 24 ore il gruppo ha distrutto i dati e bloccato i servizi della statale Bank Sepah, e colpito Nobitex, il più grande exchange di criptovalute iraniano, sottraendo circa 90 milioni di dollari e rendendoli inutilizzabili.