Holy League fra alleanze cyber e mobilitazione pro-palestinese

La forza di una coalizione e il peso del suo nome

Nell’analizzare Holy League, partirei dai bersagli e dai messaggi attorno ai quali attori diversi potrebbero raccordarsi, poiché una coalizione può acquisire peso anche quando la sua capacità di presentarsi come un fronte unitario supera quanto sappiamo della cooperazione fra i componenti. Per chi produce intelligence, questa distanza merita attenzione proprio perché il nome collettivo può indurre a leggere come parti di un’unica operazione episodi che richiedono ancora verifiche separate.

Nel rapporto del 16 dicembre 2024, Radware ricostruisce la nascita di Holy League nel luglio precedente dall’unione di High Society e 7 October Union, descrivendo una coalizione cyber filorussa e filopalestinese la cui composizione dichiarata richiede verifica. [1] Seguirne le relazioni effettive significa quindi accertare quali soggetti cooperino e su quali attività, evitando che l’appartenenza rivendicata basti ad assegnare a ciascuno capacità, condotte o legami attribuiti agli altri.

Il passaggio italiano che modifica la valutazione

La questione assume rilievo nel passaggio italiano, per il quale il Corriere della Sera del 25 ottobre ha riferito l’ipotesi investigativa di un coordinamento fra il Movimento 17 Ottobre e attività cyber riconducibili a NoName057(16), in relazione alle mobilitazioni previste per il 24. [2] Ai messaggi di sostegno che, secondo il successivo resoconto di Quotidiano Nazionale, NoName e Dark Storm avevano diffuso il 23 ottobre per le proteste italiane e francesi occorre tuttavia assegnare il valore di ciò che documentano, senza considerarli da soli una conferma di quella relazione. [3]

La valutazione cambia con le notizie del 26 ottobre, quando Il Giorno e Repubblica riferiscono che nel provvedimento di fermo e nella richiesta di convalida e custodia cautelare non figuravano elementi sui presunti contatti fra Youssef Siher e NoName, mentre Il Giorno richiama ambienti giudiziari secondo i quali, in quel momento, non erano emerse evidenze del legame. [4] [5] Poiché questa assenza è riferita dalla stampa a documenti determinati e a quella fase delle indagini, essa impedisce di presentare il rapporto operativo come accertato senza precludere approfondimenti successivi, dei quali andranno valutati gli eventuali esiti.

Tenere visibile la cronologia delle verifiche è dunque essenziale quanto ricostruire gli eventi, perché un’ipotesi investigativa conserva la propria natura anche quando viene ripresa da più testate e diventa familiare al pubblico, mentre l’aggiornamento del quadro documentale modifica il modo in cui la notizia può essere utilizzata nell’analisi.

La relazione reciproca che una solidarietà pubblica non prova

Un collettivo può sostenere unilateralmente una protesta per ottenere visibilità, appropriarsi del suo significato o inserirla nella propria narrazione, sicché l’accostamento fra un messaggio e una piazza non basta a ricostruire un rapporto reciproco. L’ipotesi di coordinamento acquisterebbe maggiore solidità qualora emergessero comunicazioni reciproche autenticate, accordi su tempi e obiettivi o trasferimenti di risorse riconducibili ai soggetti coinvolti, fermo restando che anche una coincidenza temporale andrebbe confrontata con iniziative autonome e spiegazioni alternative.

La medesima disciplina riguarda i legami statali, per i quali gli atti d’accusa annunciati dal Dipartimento di Giustizia statunitense il 9 dicembre 2025 descrivono NoName come un progetto autorizzato dallo Stato russo e amministrato in parte attraverso CISM, riconducendo CyberArmyofRussia_Reborn al GRU. [6] Trattandosi di contestazioni dell’accusa rivolte a soggetti determinati, il loro rilievo nella valutazione della minaccia non dimostra un controllo russo dell’intera Holy League né un rapporto con tutte le organizzazioni civili che sostengono la causa palestinese, così come la somiglianza fra i nomi 7 October Union e Movimento 17 Ottobre non costituisce un collegamento organizzativo.

Il danno osservato e quello suggerito dalla rivendicazione

Un riferimento utile viene da ENISA Threat Landscape 2026, che nell’analisi dell’attività di NoName057(16) e del progetto DDoSia fra luglio e novembre 2025 rileva come il 23,8 per cento delle rivendicazioni esaminate trovasse conferma attraverso verifiche indipendenti della disponibilità dei servizi. Riferito a quel campione e a quel metodo, il risultato non misura gli eventi italiani dell’ottobre 2026 e non dimostra che ogni altra rivendicazione fosse falsa. [7]

La valutazione operativa deve perciò ricostruire il rapporto fra obiettivo annunciato, servizio effettivamente interessato e attività che ne dipendono, dal momento che una schermata di un portale irraggiungibile non chiarisce, da sola, causa, durata e ampiezza dell’interruzione. La precisione dell’impatto orienta le risorse da impiegare e le informazioni da comunicare, perché a una rapida riapertura possono sopravvivere richieste arretrate o difficoltà per gli utenti, mentre descrivere come controllo dell’intera infrastruttura un guasto circoscritto a una pagina pubblica attribuirebbe all’attaccante una capacità non dimostrata.

La decisione che resta possibile durante l’accertamento

Mentre l’attribuzione rimane aperta, un ente esposto può rafforzare la protezione dei servizi e predisporre canali alternativi, stabilendo le priorità in funzione del ruolo dei servizi, del loro utilizzo durante la mobilitazione e dei tempi necessari ad attivare i fornitori di mitigazione. Affinché la risposta non distrugga gli elementi utili a chiarire l’accaduto, occorre conservare registrazioni con orari coerenti e provenienza ricostruibile, sulle quali sia poi possibile confrontare minacce, anomalie e comunicazioni pubbliche.

Considero la separazione fra protezione operativa e attribuzione pubblica una condizione di efficacia dell’intelligence, perché consente di intervenire mentre si accerta una responsabilità, lasciando che la valutazione del coordinamento cambi qualora emergano contatti reciproci verificati e una corrispondenza documentabile fra accordi e azioni. Fino a quel momento, una comunicazione istituzionale capace di distinguere ciò che è accaduto ai servizi da ciò che resta in esame preserva la credibilità delle responsabilità eventualmente accertate, senza privare l’ente della possibilità di proteggersi.