Il 13 agosto un incendio seguito da una violentissima esplosione ha colpito lo stabilimento KNDS Ammo Italy di Colleferro, l'ex Simmel Difesa. Il boato è stato avvertito a decine di chilometri di distanza. L'incidente è partito dal reparto pressatura polveri e, secondo le ricostruzioni delle agenzie di stampa, l'allarme antincendio ha permesso di portare in salvo i ventiquattro dipendenti presenti prima della deflagrazione. Non ci sono stati feriti. La Procura di Velletri ha aperto un fascicolo per disastro colposo a carico di ignoti. L'azienda, dal canto suo, continua a ripetere che causa e sequenza esatta degli eventi sono ancora oggetto di accertamento.
Lo stabilimento non è un impianto qualsiasi. Produce munizioni di medio e grosso calibro per la difesa terrestre e navale, oltre a propellenti solidi per il settore aerospaziale, e rifornisce anche l'Ucraina. Tre giorni prima, il 10 agosto, era esploso in Bulgaria un deposito della EMCO, un'altra azienda che fornisce munizioni a Kiev. Da qui è nata la domanda che in questi giorni ha occupato il dibattito pubblico: incidente industriale o sabotaggio russo? Il tema è arrivato fino alla politica, con Carlo Calenda e Filippo Sensi che hanno chiesto chiarimenti al governo. Il ministro della Difesa Guido Crosetto ha smorzato le accuse: allo stato delle informazioni disponibili non risulterebbe nulla di diverso da un problema interno allo stabilimento. La Procura, però, non chiude la porta e valuta anche il quadro internazionale.
In questi giorni ho provato a spostare la domanda su un terreno più specifico e meno battuto: esistono elementi che facciano pensare non a un sabotaggio fisico, ma a un attacco informatico? Ho cercato tra fonti cyber, rivendicazioni indicizzate e canali Telegram, anche nei giorni precedenti all'esplosione. La risposta, oggi, è netta: non c'è alcuna prova pubblica che l'esplosione di Colleferro sia stata provocata da un cyberattacco.
Il dato più significativo è quello che non ho trovato. Nei gruppi filorussi più noti non emerge nessuna rivendicazione contro KNDS Ammo Italy precedente al 13 agosto. Anche nei post pubblicati dopo l'esplosione, i canali di propaganda si limitano a descrivere l'incendio e la successiva deflagrazione nel reparto polveri, parlando genericamente di causa sconosciuta. Nessun accenno a un'operazione informatica, nessuna intestazione dell'attacco. Ed è un dettaglio che pesa, perché questi ambienti tendono semmai a rivendicare più di quanto abbiano davvero fatto.
Esiste però un precedente che tocca indirettamente quel mondo industriale. Nell'ottobre 2024 un collettivo di hacktivisti rivendicò un attacco contro AIAD, la federazione italiana delle imprese aerospazio e difesa, di cui KNDS Ammo Italy è associata. È un segnale che l'ecosistema è già stato preso di mira, ma non dimostra assolutamente nulla sulle reti aziendali dell'azienda e ancora meno su quelle industriali dello stabilimento. C'è poi un elemento che arriva dalla stessa KNDS: nel rapporto finanziario 2025 il gruppo riconosce di essere un bersaglio privilegiato di spionaggio informatico, ransomware e manipolazione dei dati, anche da parte di attori collegati a Stati, e cita in modo generico incidenti cyber già avvenuti. Non parla però mai di Colleferro.
Resta la domanda tecnica: sarebbe possibile provocare un disastro del genere stando a migliaia di chilometri di distanza? In astratto sì, e qui la pista cyber smette di essere fantascienza. Uno stabilimento industriale moderno non è governato solo dai normali computer d'ufficio. Esiste una seconda infrastruttura, quella che gli addetti ai lavori chiamano OT o ICS, che controlla macchinari, sensori, allarmi e dispositivi di sicurezza. Sono sistemi che decidono quando una macchina si ferma, quando una temperatura è troppo alta, quando far scattare un blocco automatico. Una documentazione pubblica sulla sicurezza dello stabilimento di Colleferro, risalente al 2016, indicava la presenza di controllori programmabili e sistemi di interblocco automatico in alcune aree di produzione delle polveri. Si tratta però di documentazione datata, non dice quale sia l'architettura di oggi, né se esista qualche collegamento raggiungibile dall'esterno.
Un attacco cyber-fisico, descritto solo a livello concettuale, seguirebbe una catena di questo tipo: dall'esterno si entra nella rete informatica aziendale, si sfrutta un eventuale collegamento autorizzato o di manutenzione verso la rete industriale, si arriva ai sistemi di controllo e si altera il processo o le protezioni. Il punto critico, l'unico che conta davvero, è il passaggio dalla rete d'ufficio a quella che governa fisicamente la produzione. Proprio per impedirlo, negli impianti critici le due reti dovrebbero essere rigidamente separate.
Che questa categoria di operazioni esista non è una teoria. Nel caso noto come Triton, secondo il Dipartimento di Giustizia statunitense e l'agenzia americana per la cybersicurezza, persone collegate a un istituto del governo russo penetrarono nei sistemi industriali di una raffineria e provarono a manipolare proprio i dispositivi che servivano a mantenerla in sicurezza. L'obiettivo attribuito era creare le condizioni per danni fisici potenzialmente catastrofici. Fortunatamente andò diversamente: il malware provocò un'anomalia e i sistemi di sicurezza spensero l'impianto. La capacità, insomma, è reale e documentata, e le agenzie americane ricordano da anni che gruppi statali russi hanno preso di mira reti industriali e aziende della base industriale della difesa.
Applicando tutto questo a Colleferro, però, restano due elementi che invitano alla prudenza. Il primo è la dinamica: prima l'incendio, poi l'allarme, poi l'evacuazione dei lavoratori, infine l'esplosione. È una sequenza compatibile con un incidente industriale e suggerisce che almeno una parte dei sistemi di sicurezza abbia funzionato come doveva. In uno scenario di manomissione delle protezioni ci si aspetterebbe, semmai, il contrario. Il secondo è l'assenza totale di indicatori tipici di un attacco informatico: nessuna notizia di postazioni industriali compromesse, nessuna anomalia nei controllori, nessun accesso remoto sospetto, nessun malware, nessun log alterato, nessuna rivendicazione.
La sintesi onesta è quindi questa. Un cyberattacco capace di provocare un danno fisico è tecnicamente possibile. La Russia ha un precedente documentato in questo campo. Sistemi automatici in quello stabilimento risultano storicamente presenti. Ma non esiste, oggi, alcuna prova che quei sistemi siano stati violati il 13 agosto. L'elemento più anomalo emerso finora non è una traccia tecnica, bensì l'attività informativa e il risalto dato all'esplosione da canali e profili legati alla propaganda russa. Che è una cosa diversa, e va detto con chiarezza, l'amplificazione di un evento non è la prova di averlo causato.