Un livello così alto di interferenze e operatività sul territorio europeo da parte della Russia non era mai stato registrato. È questa, in a nutshell, l’analisi che emerge da chi segue le misure attive di Mosca nel continente (dossier che Formiche.net e Decode39 seguono da oltre un decennio). Un dossier che si trova anche sul tavolo di Palazzo Chigi e dei ministeri italiani, alimentato dal lavoro dell’intelligence per tenere traccia di quella che ormai viene apertamente definita “guerra ibrida”, diventata più intensa e smaccata dopo l’inizio dell’invasione su larga scala dell’Ucraina ordinata da Vladimir Putin, soprattutto adesso che il momento di difficoltà russa si abbina alle incertezze occidentali sul sostegno a Kyiv – frutto anche di campagne di propaganda che spingono la narrazione strategica del Cremlino tra i partiti europei e dunque nell’opinione pubblica.

Il punto è tanto la quantità degli episodi, quanto la loro natura. Droni e violazioni dello spazio aereo, operazioni di intelligence e sabotaggio, pressioni contro infrastrutture critiche e interessi economici, cyberattacchi e disinformazione. Azioni diverse, con livelli di attribuzione e gravità differenti, che hanno però un elemento comune: esercitare pressione sull’Europa restando, per quanto possibile, al di sotto della soglia che imporrebbe una risposta militare convenzionale. Tutto mentre diversi paesi dell’Unione – tra questi l’Italia – si apprestano ad affrontare un complicato anno elettorale.

Basta guardare a quanto accaduto in quest’ultima “crazy” (aggettivo rubato a una fonte europea) settimana. In Romania, il servizio di intelligence SRI ha annunciato di aver sventato un’operazione di sabotaggio coordinata dalla Russia. Un cittadino russo residente nel Paese avrebbe raccolto immagini di installazioni militari, centri di comunicazione, infrastrutture critiche e velivoli cargo ucraini Antonov. L’SRI ha ricondotto l’operazione a un modello già osservato altrove in Europa, basato anche sull’impiego di soggetti vulnerabili reclutati per attività di sorveglianza e sabotaggio.

Pochi giorni dopo, un drone proveniente dalla Moldova è penetrato per decine di chilometri nello spazio aereo romeno, facendo decollare due F-18 spagnoli impegnati nella missione NATO di Enhanced Air Policing. Nella stessa fascia orientale del continente, droni russi hanno colpito il valico di Starokozache, sul confine tra Ucraina e Moldova, uccidendo due persone. Secondo le guardie di frontiera ucraine, nelle settimane precedenti Mosca aveva colpito cinque valichi: quattro verso la Moldova e uno verso la Romania.

Più a nord, la pressione ha raggiunto direttamente il territorio dell’Alleanza. In Lituania, un caccia NATO (con fin-flash italiana) ha abbattuto un drone entrato nello spazio aereo del Paese dalla direzione della Bielorussia; nello stesso arco temporale, una nave militare russa ha lanciato due flare nelle vicinanze di un elicottero militare danese impegnato nel Baltico.

Sul confine polacco, un drone russo ha invece colpito un treno passeggeri in territorio ucraino, a circa due chilometri dalla frontiera. Poco prima sulla stessa linea ferroviaria aveva viaggiato una delegazione di personalità europee, tra cui Boris Johnson, Carl Bildt, Sanna Marin e Aleksander Kwaśniewski – a bordo c’era anche il consigliere diplomatico di Palazzo Chigi, Fabrizio Saggio, che avrebbe raccontato al suo staff: “Sapevano chi viaggiava e dove. Il messaggio è: possiamo colpirvi“. Non ci sono elementi pubblici sufficienti per stabilire che quella delegazione fosse l’obiettivo dell’attacco; l’operatore ferroviario ucraino ha tuttavia ritenuto possibile che il drone fosse diretto contro il treno diplomatico. Varsavia ha successivamente rafforzato la protezione dei valichi con l’Ucraina.

Alla pressione operativa si accompagna quella politica. Nikolai Patrushev, consigliere di Putin ed ex segretario del Consiglio di sicurezza russo, ha dichiarato che, in caso di un intervento militare polacco contro la Russia, lo Stato polacco cesserebbe di esistere “in due o tre giorni”. Una minaccia formulata in termini condizionali, ma arrivata nel mezzo di una sequenza di incidenti che ha ulteriormente irrigidito il confronto fra Mosca e Varsavia.

E la geografia continua ad allargarsi. Nei Paesi Bassi, il gestore della rete ferroviaria ProRail ha denunciato un possibile sabotaggio dopo il ritrovamento di materiali deliberatamente collocati sui binari in una trentina di punti, provocando gravi interruzioni del traffico. Al momento, però, le autorità olandesi non hanno identificato né responsabili né movente: un dettaglio importante, perché non ogni episodio sospetto registrato in Europa può essere automaticamente attribuito alla Russia.

È proprio questa zona di incertezza a costituire una delle caratteristiche della guerra ibrida. L’attribuzione richiede tempo, mentre l’effetto politico e psicologico è immediato. Mosca nega sistematicamente il proprio coinvolgimento nelle operazioni di sabotaggio attribuitele dai governi europei. Ma negli ultimi mesi l’atteggiamento delle capitali è cambiato: Berlino ha formalmente attribuito alla Russia il tentato attacco con drone all’aeroporto di Lipsia, mentre i servizi danesi hanno avvertito di operazioni russe volte a reclutare cittadini comuni per raccogliere informazioni utili ad azioni di sabotaggio.

La Germania considera ormai queste attività una questione di sicurezza nazionale. E Bruxelles sta cercando di trasformare una serie di risposte nazionali in una postura europea più strutturata. Nel suo discorso sullo Stato dell’Unione, Ursula von der Leyen ha proposto un “counter-hybrid playbook”, un protocollo comune per reagire a sabotaggi, incursioni di droni e altre azioni sotto la soglia militare, insieme all’idea di un Consiglio di sicurezza europeo aperto anche a partner come Regno Unito e Norvegia.

Quello che non si vede

Il quadro italiano aggiunge un elemento particolarmente delicato. Marco Galluzzo ha raccontato in un articolo informato sul Corriere della Sera che a Palazzo Chigi viene tenuto un conteggio quotidiano degli atti ostili, di ritorsione e di spionaggio riconducibili a soggetti russi, sottolineando un dettaglio essenziale: “Non tutti quelli che vengono bloccati vengono pubblicizzati”. La dimensione pubblica del fenomeno, in altre parole, non coincide necessariamente con quella reale.

Anche la dimensione dell’intelligenza sta diventando più visibile. Un’indagine di Massimiliano Coccia pubblicata dal Riformista identifica diversi diplomatici russi a Roma come presumibilmente legati al GRU, all’FSB e alla SVR. Due addetti militari nominati nell’indagine, Ivan Petrovich Gorbaciov e Mikhail Vasilyevich Astakhov, sono stati espulsi dall’Italia a luglio dopo che l’AISI ha scoperto quelle che il ministero degli Esteri ha descritto come attività illegali sul territorio italiano.

Il caso Dkc offre un’altra declinazione. Alla fine di agosto Putin ha disposto il trasferimento temporaneo della gestione delle attività russe del gruppo italiano, attivo nella produzione di sistemi per infrastrutture elettriche e industriali, a una società russa. A Roma la vicenda viene letta come un’altra forma di pressione capace di raggiungere direttamente gli interessi economici italiani.

La domanda dell’Articolo 5

È su questo sfondo che il dossier assume una dimensione ancora più sensibile. Negli ambienti NATO viene studiato da almeno diversi mesi anche uno scenario molto più grave: un’azione russa circoscritta contro interessi o obiettivi vitali dell’Alleanza, potenzialmente in uno dei Paesi ritenuti più vulnerabili. Tra le ipotesi analizzate figura la Romania, anche attraverso la direttrice del Mar Nero e della Transnistria.

Lo scenario non equivale a un’indicazione che un attacco sia imminente: non vi sono segnali di un’azione prossima contro un membro NATO, ma il punto della pianificazione è prepararsi alla possibilità che Mosca cerchi, a un certo momento, di spostare ulteriormente la soglia.

Nei report arrivati anche a Roma, l’ipotesi viene collocata potenzialmente nei primi mesi del 2027. La logica sarebbe quella di un test politico prima ancora che militare: verificare se un’azione limitata, sufficientemente circoscritta da rendere più difficile la risposta occidentale, produrrebbe realmente l’attivazione del meccanismo di difesa collettiva dell’Articolo 5. Ossia, puntare a verificare la credibilità dell’alleanza stessa – che nella difesa collettiva un pilastro cruciale.

La differenza, oggi, è il contesto nel quale quella possibilità viene discussa. Non nel vuoto, ma mentre l’Europa registra una frequenza crescente di incidenti, incursioni, sabotaggi e operazioni clandestine. In Romania, per esempio, i dati del ministero della Difesa indicano che nel 2026 le incursioni di droni sono triplicate rispetto all’anno precedente.

La risposta italiana passa anche da Oslo

È anche per questo che il viaggio della presidente del Consiglio Giorgia Meloni in Norvegia assume una dimensione di sicurezza che va oltre il tradizionale rapporto bilaterale. La presidente del Consiglio incontra oggi a Oslo il primo ministro socialdemocratico Jonas Gahr Støre, e sul tavolo, oltre a energia, cooperazione industriale e difesa – ci sono anche le attività ibride russe e le incursioni di droni che stanno interessando l’area NATO.

Roma si muove dunque all’interno di una risposta che sta prendendo forma contemporaneamente su più livelli: intelligence e controspionaggio, protezione delle infrastrutture e delle imprese strategiche, capacità anti-drone, cooperazione industriale e coordinamento con gli alleati.

Ed è forse qui che si trova il cambiamento più significativo. La caratteristica delle operazioni ibride è sempre stata quella di restare abbastanza ambigue da evitare una risposta convenzionale. Ma quando droni, sabotaggi, spionaggio, coercizione economica e intimidazione politica diventano fenomeni persistenti e simultanei, la questione per l’Europa è capire quando la somma delle azioni sotto la soglia finisce per modificare la soglia stessa. E agire di conseguenza aumentando il legame all’interno dell’Unione – e all’esterno, dal Canada alla Norvegia.