La minaccia ibrida: la nuova geometria del conflitto che mette alla prova le difese europee. Come leggere lo schema Attore-Strumento-Dominio-Obiettivo e perché la “zona grigia” è diventata il principale campo di battaglia tra Stati

Autore: Francesco Borgese - membro del Comitato Scientifico ed Accademico

Abstract

Nell'ultimo decennio il concetto di guerra ha smesso di coincidere con quello di conflitto armato dichiarato. Attacchi informatici che paralizzano ospedali, campagne di disinformazione capaci di orientare un'elezione, tagli mirati alle forniture di gas, sabotaggi di cavi sottomarini, milizie private che operano per procura in Africa: sono tutte manifestazioni di uno stesso fenomeno, che gli analisti e le organizzazioni internazionali chiamano minaccia ibrida. Non si tratta di episodi isolati, ma di un metodo: combinare strumenti diversi — militari e non militari, leciti e illeciti, statali e delegati a terzi — per colpire un avversario restando deliberatamente sotto la soglia che farebbe scattare una risposta militare convenzionale.
Il grafico realizzato dall'EPRS (European Parliamentary Research Service), basato sui dati del Joint Research Centre della Commissione Europea e dell'Hybrid CoE (il Centro europeo di eccellenza per contrastare le minacce ibride, con sede a Helsinki), offre una mappa concettuale preziosa per orientarsi in questo scenario. Lo riproduciamo di seguito e lo useremo come filo conduttore per spiegare, passo dopo passo, la logica delle minacce ibride: chi le mette in atto, con quali strumenti, su quali terreni e con quali obiettivi finali.

Fig. 1 — “Hybrid threat landscape: Complex and multidimensional risks testing the EU's defences”. Fonte: EPRS, giugno 2026, su dati JRC e Hybrid CoE, 2021.

Che cos'è una minaccia ibrida: la definizione NATO ed EU

La NATO definisce le attività ibride come azioni coordinate e sincronizzate che colpiscono deliberatamente le vulnerabilità sistemiche di uno Stato o di un'istituzione democratica, utilizzando strumenti militari e non militari in modo combinato, restando al di sotto della soglia che giustificherebbe una risposta collettiva ai sensi dell'Articolo 5 del Trattato Atlantico. L'Unione Europea, nel suo Joint Framework on countering hybrid threats (2016) e nei documenti successivi dell'Hybrid CoE, ne condivide l'impostazione, insistendo su tre elementi chiave che ritroviamo esattamente nello schema:

• Ambiguità deliberata: l'attore che promuove la minaccia cerca di rendere difficile, o quantomeno lento, il processo di attribuzione, così da impedire una risposta rapida e proporzionata.
• Sfruttamento delle soglie legali e normative: le azioni sono calibrate per restare, formalmente, entro i confini della legalità internazionale o comunque in una zona grigia dove la risposta giuridica è incerta (il cosiddetto lawfare).
• Multidimensionalità e sincronizzazione: gli strumenti — cyber, economici, informativi, militari — non agiscono isolatamente ma vengono attivati in combinazione, moltiplicando l'effetto complessivo (il cosiddetto effetto a cascata).

In altre parole, la minaccia ibrida non è un'arma, ma una strategia che orchestra più armi — alcune convenzionali, altre del tutto nuove — per ottenere effetti strategici senza dover dichiarare guerra.

Fig. 2 — Lo spettro del conflitto: le minacce ibride occupano deliberatamente la “zona grigia” tra competizione strategica e crisi aperta, restando sotto la soglia del conflitto armato e dell'attribuzione certa.

Come si legge lo schema: dall'attore all'obiettivo finale

Lo schema dell'EPRS è costruito come un diagramma di flusso che collega quattro livelli di analisi, da sinistra a destra: l'attore che promuove la minaccia, lo strumento utilizzato, il dominio in cui l'azione produce i suoi effetti e, infine, l'obiettivo strategico che l'attore persegue. Seguire una linea da sinistra a destra significa ricostruire la catena logica di un'operazione ibrida: chi la fa, come la fa, dove colpisce, perché lo fa.

Gli attori: Stato e non-Stato

Lo schema distingue due macro-categorie di attori. Gli attori statali sono governi o apparati di sicurezza e intelligence che agiscono direttamente o attraverso strutture ufficiali. Gli attori non statali comprendono invece organizzazioni criminali, gruppi paramilitari, milizie private (come il gruppo Wagner, oggi in gran parte confluito nell Africa Corps russo), reti di hacktivisti, ma anche attori economici o società che agiscono, spesso, come proxy per conto di uno Stato che vuole mantenere una plausible deniability, cioè la possibilità di negare in modo credibile il proprio coinvolgimento. Non a caso, nello schema, i due colori (blu per lo Stato, marrone per il non-Stato) si intrecciano continuamente sugli stessi strumenti: la delega a terzi è essa stessa una tecnica di ambiguità.

Gli strumenti: la cassetta degli attrezzi ibrida

Il cuore dello schema è la lista degli strumenti, ciascuno dei quali corrisponde a una famiglia di tecniche già osservate nella prassi internazionale.

• Disinformazione e manipolazione dell'informazione: creazione e amplificazione di narrative false o fuorvianti attraverso media, social network e siti clone, per orientare l'opinione pubblica o delegittimare istituzioni.
• Cyber operations: attacchi informatici contro infrastrutture critiche, sistemi finanziari, ospedali o reti governative, con finalità di spionaggio, sabotaggio o pressione.
• Coercizione economica e pressione finanziaria: sanzioni informali, restrizioni all'export, boicottaggi mirati o manipolazione di catene di approvvigionamento strategiche.
• Manipolazione energetica e delle risorse: uso di forniture di energia, acqua o materie prime come leva di pressione politica.
• Influenza e ingerenza politica: finanziamenti occulti a partiti o movimenti, corruzione di funzionari, pressioni su processi elettorali.
• Postura militare e operazioni coperte: esercitazioni militari minacciose, sconfinamenti aerei o navali, sabotaggi non rivendicati.
• Lawfare e sfruttamento delle soglie legali: uso strumentale del diritto e dei tribunali per intimidire, paralizzare o delegittimare avversari, ONG o giornalisti.
• Intelligence e spionaggio: raccolta di informazioni sensibili, infiltrazione, operazioni coperte di eliminazione o intimidazione di oppositori.
• Operazioni di influenza sociale e culturale: sfruttamento di fratture identitarie, religiose o comunitarie per polarizzare la società bersaglio.

I domini colpiti

Ogni strumento può produrre effetti su più domini contemporaneamente: informazione, sfera sociale, politica, pubblica amministrazione, diplomazia, cyber, cultura, militare/difesa, infrastrutture, intelligence, spazio, economia e ambito legale. È proprio questa sovrapposizione — visibile nello schema attraverso il fitto intreccio di linee rosa al centro del diagramma — a rendere le minacce ibride così difficili da contrastare: un singolo attacco informatico, ad esempio, può colpire simultaneamente il dominio cyber, quello economico e quello dell'informazione pubblica.

Gli obiettivi strategici

Lo schema individua cinque obiettivi finali che accomunano la maggior parte delle operazioni ibride osservate:

• Manipolare il processo decisionale: compromettere i processi democratici stabiliti per ridurre la capacità di manovra dello Stato bersaglio.
• Massimizzare l'impatto a cascata: sincronizzare più strumenti su più domini per innescare una disgregazione sistemica che va oltre la somma dei singoli attacchi.
• Minare l'integrità del sistema: indebolire il funzionamento delle istituzioni democratiche e la fiducia dei cittadini in esse.
• Sfruttare l'ambiguità dell'attribuzione: operare deliberatamente sotto la soglia del conflitto armato per evitare un'attribuzione certa e, con essa, una risposta.
• Polarizzare il tessuto sociale: sfruttare vulnerabilità e rancori esistenti per erodere la coesione e la resilienza sociale di una comunità.

Dalla teoria alla pratica: casi reali

Per rendere concreto lo schema è utile ancorarlo a episodi realmente documentati da fonti aperte negli ultimi anni. La mappatura che segue non pretende di essere esaustiva, ma mostra come la logica Attore-Strumento-Dominio-Obiettivo si ritrovi, quasi identica, in contesti geografici e temporali molto diversi.

Fig. 3 — Mappatura di casi reali documentati sullo schema Attore → Strumento → Dominio → Obiettivo (fonti aperte, 2017-2024).

Alcuni di questi casi meritano un approfondimento perché sono diventati veri e propri case study di riferimento per gli analisti del settore:

• NotPetya (2017): un malware distruttivo, mascherato da ransomware, si diffuse attraverso un software di contabilità ucraino ampiamente utilizzato, per poi propagarsi a livello globale colpendo multinazionali logistiche, farmaceutiche ed energetiche. I danni complessivi furono stimati in diversi miliardi di dollari: un esempio da manuale di “effetto a cascata”, poiché un attacco mirato a un singolo Paese ha finito per destabilizzare catene di fornitura globali.
• La crisi energetica europea del 2022: la riduzione delle forniture di gas russo verso l'Europa e il sabotaggio dei gasdotti Nord Stream hanno mostrato come la manipolazione energetica possa essere usata per esercitare pressione politica su un'intera area regionale, colpendo simultaneamente i domini dell'economia e delle infrastrutture.
• La campagna “Doppelgänger”: un'operazione di disinformazione su larga scala, documentata da diverse agenzie di sicurezza europee, basata sulla creazione di siti web che imitano testate giornalistiche autentiche per diffondere contenuti falsi o distorti, con l'obiettivo di polarizzare il dibattito pubblico su temi sensibili.
• Il caso Skripal (2018, Regno Unito): l'avvelenamento con un agente nervino di un ex agente russo e di sua figlia a Salisbury è un esempio emblematico di operazione di intelligence condotta restando in una zona di ambiguità sull'attribuzione, nonostante le successive conclusioni investigative britanniche.

• Le attività del gruppo Wagner (poi Africa Corps) in Sahel: la presenza di contractor militari privati a supporto di regimi locali in Mali, Repubblica Centrafricana e altri Paesi africani mostra come un attore non statale possa perseguire, per conto o in coordinamento con uno Stato, obiettivi di proiezione di influenza politica e militare mantenendo una plausible deniability.
• Le restrizioni cinesi sull'export di terre rare: l'uso di leve commerciali e doganali in risposta a controversie diplomatiche o commerciali è un caso tipico di coercizione economica calibrata per restare entro i margini della legalità internazionale.

Perché questo schema conta per la sicurezza europea

La rappresentazione a flusso proposta dall'EPRS non è solo un esercizio di visualizzazione dei dati: è uno strumento analitico che aiuta i decisori pubblici, i professionisti della sicurezza e anche il cittadino non specialista a comprendere che la sicurezza nazionale ed europea oggi si gioca su un terreno molto più ampio del solo confine militare. Un attacco informatico a un ospedale, una campagna di disinformazione sui social media, un ritardo nell'approvvigionamento di gas o una causa legale intentata contro una ONG possono essere, singolarmente, episodi apparentemente scollegati; ma se letti attraverso la lente Attore-Strumento-Dominio-Obiettivo rivelano spesso un disegno strategico coerente, orchestrato da uno stesso attore o da una rete di attori coordinati.

Questo è anche il motivo per cui, negli ultimi anni, sia la NATO sia l'Unione Europea hanno rafforzato i propri strumenti di risposta. La NATO ha istituito, già dal 2014, dei Counter Hybrid Support Teams che possono essere schierati su richiesta di uno Stato membro colpito da un'ondata di attività ibride. L'Unione Europea, dal canto suo, ha sviluppato l' EU Hybrid Toolbox, un insieme coordinato di misure diplomatiche, economiche e cyber da attivare in risposta a operazioni ibride contro gli Stati membri, e ha rafforzato il ruolo dell'Hybrid CoE di Helsinki come piattaforma di analisi condivisa tra più di trenta Paesi partecipanti.

Conclusioni: una minaccia che richiede una difesa altrettanto multidimensionale

Il messaggio più importante che si può trarre dallo schema dell'EPRS è che la minaccia ibrida non ha un unico volto: cambia strumento, dominio e attore a seconda del contesto, ma persegue in modo costante lo stesso obiettivo di fondo, ovvero indebolire la capacità di risposta e la coesione interna di una società aperta senza mai attraversare la soglia che giustificherebbe una reazione militare formale. Per questo la risposta non può essere affidata a un solo strumento — né solo militare, né solo cyber, né solo diplomatico — ma deve essere altrettanto multidimensionale, coordinata tra Stati e capace di agire rapidamente sull'intera catena Attore-Strumento-Dominio-Obiettivo prima che le singole azioni si sommino in un effetto a cascata sistemico.

Comprendere questa architettura — accessibile tanto agli addetti ai lavori quanto a un pubblico più ampio — è il primo passo per costruire una resilienza collettiva: solo riconoscendo per tempo i segnali di un'operazione ibrida in corso è possibile attivare le contromisure necessarie a proteggere le istituzioni democratiche, le infrastrutture critiche e la coesione sociale dell'Europa.

Fonti principali: EPRS - European Parliamentary Research Service (giugno 2026); European Commission Joint Research Centre e Hybrid CoE (2021); NATO, “Countering hybrid threats”; Commissione Europea, “Joint Framework on countering hybrid threats” (2016); rapporti aperti su NotPetya, Nord Stream, campagna Doppelgänger, caso Skripal e attività del gruppo Wagner/Africa Corps in Sahel.