Hacker agli Uffizi: quando i dati rubati diventano le chiavi del museo

Chi ha visto Una notte al museo (2006) sa che l’idea di qualcuno che si aggira indisturbato tra le sale di notte, con accesso a ogni angolo dell’edificio, è un classico della fantascienza comica. Quello che è successo alle Gallerie degli Uffizi tra la fine del 2025 e l’inizio del 2026 non ha nulla di comico, ma la struttura della storia è sorprendentemente simile: qualcuno si è mosso per mesi nei corridoi digitali del museo, in silenzio, senza che nessuno se ne accorgesse.

Come è entrato

Quello che è successo alle Gallerie degli Uffizi di Firenze rientra in una categoria di attacchi informatici che funziona sempre nello stesso modo: si entra da un punto debole, si rimane nascosti il più a lungo possibile, si raccoglie ciò che serve, e solo alla fine si alza la mano. Il gruppo responsabile, secondo le prime ricostruzioni investigative, sarebbe Medusa, un’organizzazione criminale attiva da anni in operazioni di estorsione contro enti pubblici e aziende in tutto il mondo. I sistemi sarebbero stati infiltrati con mesi di anticipo: gli aggressori si sarebbero mossi nella rete con pazienza, estraendo dati goccia a goccia, per settimane prima di essere rilevati.

Il punto di ingresso identificato sarebbe un software che gestisce le immagini in bassa risoluzione per il sito istituzionale del museo, uno dei pochissimi programmi dell’intera infrastruttura non ancora aggiornati al momento dell’attacco. Come già emerge dall’analisi dei sistemi di autenticazione e dei loro punti deboli, la sicurezza complessiva di una rete tende a dipendere non dai componenti più sofisticati, ma da quelli lasciati in secondo piano: una singola vulnerabilità non corretta può essere sufficiente per aprire una porta sull’intera infrastruttura.

I sistemi colpiti erano quelli amministrativi. Il servizio di vigilanza, la biglietteria e l’accoglienza dei visitatori hanno continuato a funzionare normalmente per tutta la durata dell’incidente. Al termine dell’operazione una richiesta di riscatto è arrivata direttamente sul telefono personale del direttore del museo, Simone Verde. I sistemi amministrativi sono rimasti paralizzati per oltre due settimane, il tempo necessario al ripristino completo dei backup.

I dati come chiavi fisiche

La parte più discussa dell’intera vicenda riguarda la natura di quello che sarebbe stato sottratto. Secondo la ricostruzione pubblicata dal Corriere della Sera, gli aggressori avrebbero ottenuto accesso ai sistemi dell’ufficio tecnico del museo, acquisendo codici di accesso, planimetrie degli ambienti interni, posizioni dei sistemi di allarme e delle telecamere di sorveglianza, oltre all’archivio fotografico digitale dell’intera collezione.

Le Gallerie degli Uffizi hanno risposto con una nota ufficiale che contesta questa ricostruzione nei dettagli. Il museo ha precisato che le telecamere erano di tipo analogico e già in fase di sostituzione da oltre un anno, che i sistemi di sicurezza operano a circuito chiuso separato dalla rete amministrativa, e che non esistono prove che gli aggressori abbiano ottenuto mappe relative alla sicurezza interna. Il trasferimento temporaneo di alcune opere preziose in una sede protetta è stato ricondotto a lavori di ristrutturazione già pianificati in precedenza, non a misure di emergenza conseguenti all’attacco.

Al di là del dibattito sui dettagli specifici di questo caso, la vicenda porta alla luce una trasformazione strutturale che riguarda qualsiasi istituzione pubblica moderna. I sistemi di controllo degli accessi, la gestione degli allarmi e la sorveglianza interna sono progressivamente informatizzati e connessi alle reti degli edifici. I dati tecnici relativi a questi sistemi, se sottratti, forniscono informazioni equivalenti a una conoscenza fisica approfondita degli spazi: dove si trovano i sensori, come sono distribuiti i percorsi di sorveglianza, quali sistemi governano le aperture. La distinzione tra un incidente informatico e la preparazione di un’azione nel mondo fisico diventa, in questo contesto, molto meno netta di quanto si supponga abitualmente.

Pagare o non pagare: il dilemma della PA

Ogni organizzazione colpita da un ransomware si trova di fronte alla stessa domanda: cedere alla richiesta di riscatto oppure no? Per un ente pubblico la risposta non è mai soltanto operativa, ha implicazioni legali e strategiche che vanno oltre il caso singolo.

L’argomento a favore del pagamento è immediato: recuperare il controllo dei propri sistemi nel modo più rapido possibile, limitare il periodo di paralisi e ridurre i danni operativi. Per una struttura con decine di milioni di euro di fatturato annuo ogni settimana di blocco ha un costo misurabile. Il pagamento non garantisce però la restituzione dei dati né la cancellazione di quelli già copiati: i gruppi criminali non hanno alcun obbligo nei confronti delle loro vittime, e in molti casi documentati la vittima ha pagato senza ottenere il ripristino. Ogni transazione, inoltre, finanzia le operazioni successive e conferma che il modello economico del ransomware funziona, rendendo altri attacchi futuri più probabili.

Sul piano normativo il quadro italiano è in rapida evoluzione. La Legge 90 del 2024, che recepisce la Direttiva europea NIS2, ha già introdotto nuovi obblighi di sicurezza e di notifica per gli enti pubblici e i soggetti operanti in settori critici. Il Disegno di Legge 1441, presentato al Senato nell’aprile 2025, va oltre: propone il divieto esplicito di pagare il riscatto per tutti i soggetti inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, vale a dire le amministrazioni pubbliche e gli operatori da cui dipendono funzioni o servizi essenziali per lo Stato. Il testo prevede anche un obbligo di notifica al CSIRT nazionale entro sei ore dalla scoperta dell’attacco, sanzioni amministrative per chi trasgredisce il divieto di pagamento, e l’istituzione di un Fondo nazionale per il ristoro parziale delle perdite economiche subite, accessibile solo a chi abbia notificato correttamente l’incidente e cooperato con le autorità. La stessa direzione normativa è stata intrapresa da altri Paesi europei: il Regno Unito ha proposto misure analoghe per il settore pubblico, la Francia ha rinunciato alla copertura assicurativa pubblica per le perdite da attacchi ransomware. Come già emerso analizzando altri ambiti del diritto digitale, le istituzioni pubbliche si trovano spesso a operare in una fase di transizione in cui le norme si stanno formando mentre i rischi sono già concreti.

L’attacco alle Gallerie degli Uffizi, indipendentemente dal dibattito ancora aperto tra la versione ufficiale del museo e le ricostruzioni giornalistiche, è diventato un caso di riferimento perché mette insieme elementi che di solito rimangono separati: una vulnerabilità tecnica ordinaria usata come porta d’ingresso, una fase di infiltrazione lunga e silenziosa, e il dilemma strategico e normativo che ne consegue. La risposta a quel dilemma si costruisce prima che l’attacco arrivi: con aggiornamenti regolari di tutti i componenti della rete, con backup verificati e isolati dalla rete principale, e con procedure di risposta che non si improvvisano nel momento della crisi.