Nella notte tra il 7 e l’8 ottobre, mentre il ministero della Difesa russo contava 399 droni ucraini intercettati sopra 18 regioni e la Crimea, a Sasovo qualcosa è passato.
Sasovo è una cittadina della regione di Ryazan, circa 300 chilometri a est di Mosca.
Lì, dentro il perimetro di un vecchio stabilimento di macchine utensili, Yandex gestisce da anni uno dei suoi data center storici.
All’alba i satelliti della NASA hanno registrato un’anomalia termica.
Poco dopo i canali Telegram indipendenti hanno iniziato a diffondere video di testimoni.
In mattinata la conferma è arrivata dalla stessa società: un incendio, nessun ferito, il sito fermo del tutto.
Per la prima volta dall’inizio dell’invasione del 2022, un’infrastruttura dati russa era stata colpita in modo confermato.
Il colpo non è arrivato dal nulla.
Da due settimane i droni russi martellavano i data center di Kyiv, lasciando senza rete centinaia di migliaia di persone.
E sette mesi prima, nel Golfo, l’Iran aveva dimostrato al mondo che un pugno di droni può mettere in ginocchio una regione cloud di Amazon.
Sasovo è l’ultimo anello di una catena.
Questo reportage prova a ricostruirla e a capire cosa significa per chi, in Europa e in Italia, ha il compito di proteggere i dati.
Una “zona” senza corrente
Il primo segnale, per i clienti, non è stato un comunicato.
È stato un avviso tecnico. Sul portale di Yandex Cloud è comparso un messaggio su problemi di alimentazione elettrica in una delle “zone” del servizio, con l’invito a spostare i carichi sulle altre. Nessuna parola su droni o incendi.
Intanto la rete faceva il suo lavoro. Il canale indipendente Astra, analizzando foto e video, ha collocato le fiamme nell’area dello stabilimento Sasta, che ospita il data center.
I canali di monitoraggio ucraini parlavano già di un attacco riuscito.
Il governatore della regione, Pavel Malkov, si è limitato a riferire di due droni abbattuti e del tetto di un’azienda andato a fuoco nel distretto di Sasovo.
Poi è arrivata la conferma. A Reuters Yandex ha spiegato che i droni avevano colpito un importante data center nella regione di Ryazan, provocando un incendio e la sospensione completa delle attività.
Ad AFP un portavoce ha aggiunto che non c’erano vittime, che i soccorsi erano sul posto e che alcuni servizi avrebbero potuto risultare irraggiungibili.
A Kyiv nessuna rivendicazione ufficiale. Ci ha pensato Andriy Kovalenko, già a capo del Centro ucraino per il contrasto alla disinformazione, che su Telegram ha pubblicato un’immagine dell’attacco con un commento lapidario: “Two can play at this game”. In due righe, tutto il senso politico dell’operazione.
Il conto dei danni
La ricerca e i taxi hanno continuato a funzionare, come ha tenuto a sottolineare l’azienda.
A soffrire sono stati i servizi per le imprese. Downdetector ha raccolto oltre 1.300 segnalazioni di malfunzionamenti su Yandex Cloud, Documents e Tables. Alla Borsa di Mosca il titolo ha ceduto più del 3,4% nelle prime ore di contrattazione.
Non è un colpo mortale per il gruppo, che conta su altri siti a Vladimir, Mytishchi e soprattutto sul campus di Kaluga da 63 megawatt, il più grande della società.
Ma la scelta del bersaglio dice molto. Sasovo è fuori dall’ombrello di difesa aerea che protegge la capitale.
È un asset di valore in un’area meno presidiata: la stessa logica che da due anni guida i raid ucraini su raffinerie e depositi.
Restano molte domande senza risposta. Non è chiaro quale parte dell’impianto sia stata colpita: le sale server, i generatori, la sottostazione o il raffreddamento.
Né si sa quali carichi girassero a Sasovo. Yandex sviluppa YandexGPT, uno dei principali modelli di intelligenza artificiale generativa del Paese.
Capire se questo abbia pesato nella scelta del bersaglio significa capire se Sasovo resterà un episodio o diventerà un metodo.
Kyiv, la capitale che si spegne a pezzi
A Kyiv la giornalista freelance Ksenia Savoskina ha raccontato a Reporters sans frontières di aver pensato, in un primo momento, a un guasto o a una bolletta non pagata.
Era il 23 settembre. Solo più tardi ha saputo che i droni russi avevano colpito un data center della città.
Quel giorno i Geran-5, i droni russi a propulsione a getto, hanno centrato il centro “Parkovyi” e un edificio del distretto di Solomianskyi che ospitava server e nodi di dorsale della capitale.
Il ministero ucraino della Trasformazione digitale ha stimato in circa 100.000 le famiglie rimaste senza internet tra Kyiv e la sua regione.
Mosca non ha negato. Al contrario, il ministero della Difesa russo ha rivendicato gli attacchi, sostenendo che quei centri lavorassero per la Difesa e per i servizi di sicurezza ucraini.
Nei due giorni successivi l’elenco si è allungato. UTELS ha comunicato che il data center con il cuore della sua rete era rimasto senza alimentazione.
Pavutyna ha segnalato danni a una delle sue strutture.
MiroHost ha visto distrutto il sito che ospitava la sua infrastruttura e non è riuscita a indicare una data di ripristino.
Il 26 settembre il centro Cosmonova ha chiuso.
Mosca ha detto di aver colpito anche un data center di Vodafone Ukraine, il secondo operatore mobile del Paese.
Alla fine di quella settimana si contavano almeno quattro data center danneggiati e oltre dieci fornitori colpiti.
Secondo The Moscow Times, da fine settembre i grandi centri dati colpiti nella capitale sono almeno otto.
L’effetto domino
Il caso più istruttivo è quello di Crazy Network.
Un missile ha colpito un centro di interscambio a Kyiv e i clienti dell’operatore sono rimasti al buio non solo nella capitale, ma anche a Vinnytsia e nella regione di Khmelnytskyi, a centinaia di chilometri di distanza.
Una rete che sulla carta era regionale dipendeva da un unico edificio.
Le conseguenze hanno raggiunto anche l’informazione. Emittenti come Novyny.Live e Armiia TV hanno dovuto sospendere temporaneamente le trasmissioni.
E il proprietario di UTELS ha già avvertito che gli abbonamenti domestici più economici non sono più sostenibili: qualcuno dovrà pagare ricostruzione e ridondanza.
Un rappresentante dell’internet exchange 1-IX ha parlato con la stampa ucraina dell’inizio di una fase di smantellamento sistematico.
Eppure, finora, il Paese non è caduto. Le interruzioni sono state pesanti ma disperse, senza un blackout nazionale.
La rete ucraina, nata frammentata e decentralizzata, si è rivelata più resistente di quanto Mosca forse sperasse.
Il 25 settembre il presidente Zelensky ha annunciato un rafforzamento della protezione dei data center e delle comunicazioni.
Il giorno in cui è caduto il cloud del Golfo
Per capire come si sia arrivati a Sasovo bisogna tornare al 1° marzo, a Dubai e Abu Dhabi, nelle prime ore della guerra tra Stati Uniti e Iran.
Alle 4.30 del mattino, ora della costa pacifica americana, la pagina di stato di Amazon Web Services ha registrato un evento insolito: nella zona mec1-az2 della regione emiratina “oggetti” avevano colpito il data center, provocando scintille e un incendio.
Il giorno dopo il problema si è spostato in Bahrein, dove un’esplosione nelle vicinanze di una struttura della regione ME-SOUTH-1 ha causato danni fisici agli impianti.
Solo il 2 marzo la società ha usato la parola che tutti temevano: droni.
Due strutture colpite direttamente negli Emirati, una danneggiata in Bahrein.
Per Uptime Institute era il primo attacco militare confermato contro un hyperscaler.
Il racconto dei danni, fatto dalla stessa AWS, è da manuale: crolli strutturali, energia interrotta, incendi.
E poi l’acqua usata per spegnerli, che ha provocato altri danni.
Negli Emirati due zone di disponibilità su tre sono finite fuori servizio, e l’intera regione è andata in sofferenza perché database e funzioni critiche si appoggiavano proprio alla capacità distribuita tra più siti.
Fuori dai server, il contraccolpo è stato immediato.
La piattaforma di trasporti e consegne Careem, le società di pagamento Hubpay e Alaan, Snowflake e grandi banche come Emirates NBD, First Abu Dhabi Bank e Abu Dhabi Commercial Bank hanno segnalato disservizi.
AWS ha consigliato ai clienti di fare copie dei dati e di valutare lo spostamento dei carichi in altre regioni del mondo.
Tra gli architetti cloud circolava da anni una battuta: per abbattere un’intera regione servirebbe un meteorite. A marzo sono bastati pochi droni.
La lista dei diciotto
Il 31 marzo i Pasdaran hanno alzato il tiro.
Un comunicato dell’IRGC ha indicato 18 aziende tecnologiche come obiettivi militari legittimi, accusandole di aiutare a individuare i bersagli degli attacchi contro l’Iran.
Nella lista c’erano Apple, Google, Microsoft, Meta, Nvidia, Amazon, Oracle, IBM, Intel, Cisco, Palantir e l’emiratina G42.
Ai dipendenti veniva chiesto di allontanarsi dai luoghi di lavoro, ai residenti di evacuare un raggio di un chilometro.
Pochi giorni dopo Teheran ha rivendicato un attacco contro un data center Oracle a Dubai.
Le autorità emiratine hanno parlato di “fake news”.
Il 3 aprile è arrivato un video: immagini satellitari del cantiere di Stargate UAE, il grande campus per l’intelligenza artificiale di Abu Dhabi, accompagnate dalla minaccia di distruggerlo se Washington avesse colpito le centrali elettriche iraniane.
Vera o falsa, la rivendicazione ha comunque prodotto il suo effetto.
Le minacce alzano i premi assicurativi, frenano gli investimenti e costringono gli operatori a difendere tutto, ovunque.
Secondo alcune stime di settore, oltre 300 miliardi di dollari di investimenti del Golfo in data center, chip e AI sono finiti sotto revisione.
Ad aprile, a Washington, una sottocommissione della Camera ha discusso se i data center meritino una designazione autonoma come infrastruttura critica.
L’estate dei magazzini in fiamme
Se il Golfo ha mostrato che un data center si può colpire, l’estate russa ha mostrato che un’infrastruttura civile dell’economia digitale si può scegliere come bersaglio.
Il 18 luglio i droni ucraini hanno centrato due enormi magazzini di Wildberries, la più grande piattaforma di e-commerce della Russia, nelle regioni di Tambov e di Mosca.
Il bilancio è stato pesante: almeno sette morti e oltre sessanta feriti.
Nei giorni successivi la sequenza è diventata quasi quotidiana: Domodedovo, Podolsk, Krasnodar, Nevinnomyssk, Simferopoli, Tver.
Il 24 luglio i droni sono arrivati per la prima volta a San Pietroburgo, oltre mille chilometri dal confine, colpendo il polo logistico di Shushary.
Poi Ryazan, Penza, Sarapul in Udmurtia, Perm, Volgograd.
Secondo il conteggio della testata indipendente Verstka, nel solo mese di luglio sono andati distrutti otto magazzini per circa 860.000 metri quadrati, poco più del 15% della superficie della società.
Kyiv non ha nascosto le sue ragioni. Il presidente Zelensky ha descritto quei depositi come snodi da cui passano componenti per droni, apparati di navigazione e materiale per l’esercito russo.
Alcune ricostruzioni inquadrano la campagna in un piano di quaranta giorni approvato a fine giugno, battezzato con una formula eloquente: “sanzioni a lungo raggio”.
Dove le misure finanziarie non arrivano, arrivano i droni.
Il dettaglio che non torna
Un particolare ha colpito molti osservatori. Il 7 luglio, undici giorni prima del primo attacco, Wildberries aveva modificato le condizioni di servizio, inserendo gli attacchi con droni tra i casi di forza maggiore.
In questo modo si è liberata dall’obbligo di risarcire i venditori. Qualcuno, nell’azienda, aveva evidentemente messo in conto l’ipotesi.
Il danno non si è fermato a Wildberries.
Entro il 20 luglio i venditori stimavano perdite superiori al miliardo di dollari. Il concorrente Ozon, che non era stato colpito, ha perso il 12% in Borsa. Il fuoco su un singolo attore si è trasformato in un rischio di settore.
In questa luce, il salto dal magazzino al data center appare quasi naturale.
Il magazzino è il corpo della catena logistica; il data center ne è il sistema nervoso.
In due anni il mirino ucraino è salito lungo la catena del valore: prima l’energia con le raffinerie, poi la logistica con i depositi, ora il digitale.
Già in estate una piattaforma di previsione come Manifold metteva in quota la probabilità di un attacco ai centri logistici di Yandex Market. A ottobre è toccato a un data center del gruppo.
Perché proprio i data center
Messe in fila, le tappe del 2026 raccontano un’escalation in cui ogni passo ha reso accettabile il successivo.
Il filo che unisce questi episodi ha un nome preciso: duplice uso.
Ogni attaccante lo ha invocato. L’IRGC ha detto di aver colpito il Bahrein perché AWS vi ospiterebbe carichi militari americani. Mosca sostiene che i data center di Kyiv servano Difesa e intelligence.
Kyiv presenta Wildberries come un canale di rifornimento per l’esercito russo.
Non sono pretesti del tutto infondati: il cloud commerciale ospita davvero sistemi governativi, e un modello di AI nazionale è un asset strategico.
Ma proprio per questo il confine tra obiettivo civile e militare, cardine del diritto internazionale umanitario, si fa sempre più sottile.
C’è poi una ragione di pura convenienza. Nelle guerre del Novecento i nodi da colpire erano centrali, ponti, raffinerie.
Oggi pagamenti, logistica, media e comunicazioni passano per un numero limitato di edifici ad altissima densità.
Un drone da qualche decina di migliaia di dollari contro un impianto da centinaia di milioni, e contro tutto ciò che da quell’impianto dipende: difficile immaginare un rapporto costi-effetti più favorevole per chi attacca.
Il messaggio di Kyiv
Sasovo è anzitutto un segnale.
La Russia conta oltre 180 data center, più dell’80% dei quali nella parte europea del Paese, a portata dei droni ucraini. Secondo Kommersant, tra l’80 e il 90% della capacità commerciale è concentrata tra Mosca e San Pietroburgo.
Il messaggio è semplice: se colpite la nostra infrastruttura digitale, possiamo colpire la vostra.
È un tentativo di stabilire una soglia di deterrenza. Se funzionerà, o se innescherà una nuova spirale, lo diranno le prossime settimane.
Mosca, del resto, se lo aspettava.
Il 24 agosto Vladimir Putin ha firmato un decreto che consente allo Stato di assumere temporaneamente il controllo delle infrastrutture critiche i cui proprietari non le difendano adeguatamente, anche dai droni.
In Russia i data center non sono formalmente un settore critico, ma, secondo Kommersant, agli operatori è stato fatto sapere che il decreto vale anche per loro.
Società come RUVDS e RTK-TsOD hanno avviato lavori per rafforzare i perimetri.
Sasovo dimostra quanto sia difficile proteggere siti sparsi su un territorio sterminato.
Cosa insegnano Dubai, Kyiv e Sasovo
Per chi si occupa di sicurezza aziendale, questi sette mesi valgono un corso accelerato.
E le lezioni valgono anche lontano dai fronti.
La prima riguarda una certezza che sembrava acquisita: la ridondanza.
Il caso AWS ha mostrato che zone di disponibilità separate da pochi chilometri possono cadere nello stesso evento.
La domanda giusta, oggi, non è quante zone si usano, ma quale territorio, quale rete elettrica e quale spazio aereo condividono. Per i processi davvero critici la distanza va misurata in regioni, e dove le regole sulla sovranità dei dati lo consentono, in Paesi.
La seconda è che il punto debole sta fuori dall’edificio.
Generatori, gruppi frigo, torri di raffreddamento, trasformatori e serbatoi di gasolio sono all’aperto o sui tetti.
Un drone non ha bisogno di sfondare la sala server: gli basta spegnere l’alimentazione o il raffreddamento. Non è un caso che gli operatori russi stiano investendo soprattutto sulla protezione degli impianti esterni, con reti, barriere e schermature.
La terza arriva dagli Emirati, dove l’acqua usata per domare le fiamme ha prodotto altri danni.
Gli impianti antincendio sono pensati per un guasto elettrico, non per un ordigno con carburante. Compartimentazione, sistemi a gas inerte e separazione degli impianti vanno ripensati con questa ipotesi.
Il nemico che legge le mappe
C’è poi un tema che il video dei Pasdaran su Stargate ha reso evidente.
La posizione dei data center è pubblica: directory di settore, permessi edilizi, comunicati sugli investimenti, immagini satellitari commerciali.
Già nel 2025 un tribunale di Mosca aveva ordinato a Yandex di oscurare dalle sue mappe una raffineria più volte colpita dai droni. Oggi la gestione dell’impronta pubblica dei propri siti è un compito della security, non solo della comunicazione.
Altrettanto importante è sapere dove passano davvero i propri dati.
A Vinnytsia i clienti di Crazy Network non immaginavano che il loro servizio dipendesse da un edificio di Kyiv.
Interscambi, punti di peering, fornitori di colocation di secondo e terzo livello: le dipendenze nascoste possono annullare qualsiasi ridondanza sulla carta.
Contratti, polizze e persone
Wildberries ha cambiato le clausole di forza maggiore prima degli attacchi.
AWS ha chiesto ai clienti di spostare da soli i propri carichi.
Chi compra servizi cloud dovrebbe verificare oggi come il proprio contratto tratta gli atti di guerra, quali obblighi di avviso ha il fornitore e quali coperture assicurative restano valide: molte polizze escludono gli eventi bellici.
Infine, le persone. In ogni episodio le prime ore sono state un groviglio di indiscrezioni, smentite e rivendicazioni non verificate. Serve un piano che stabilisca chi decide la migrazione dei carichi, con quali soglie e su quali fonti, comprese quelle aperte come le pagine di stato, i dati sui disservizi e le immagini satellitari.
E serve pensare a chi lavora sul posto: quando un esercito invita a evacuare un raggio di un chilometro intorno agli uffici, la tutela dei dipendenti smette di essere una formalità.
E in Europa? La minaccia viaggia nella zona grigia
Sarebbe comodo pensare che tutto questo riguardi solo i Paesi in guerra.
Ma in Europa il rischio più concreto non è il drone a lungo raggio di un esercito.
È il sabotaggio ibrido: azioni sotto la soglia del conflitto aperto, difficili da attribuire, condotte con mezzi poveri e spesso da intermediari reclutati sul posto.
I segnali del 2026 si accumulano.
In Polonia la procura indaga come atto terroristico l’incendio doloso di una stazione di terra Starlink, che secondo gli inquirenti sarebbe stato ordinato dall’intelligence russa per disturbare le connessioni nell’Europa centro-orientale.
Ad agosto, all’aeroporto di Lipsia, è stato trovato un drone con esplosivo vicino a un aereo cargo ucraino.
In Germania, riferisce la Süddeutsche Zeitung, da inizio anno le forze dell’ordine hanno censito oltre 165 casi che potrebbero essere legati a sabotaggi.
L’intelligence militare olandese ha segnalato operazioni informatiche russe contro infrastrutture critiche, forse preparatorie, e la mappatura sistematica degli impianti nel Mare del Nord.
A metà settembre la presidente della Commissione europea, Ursula von der Leyen, ha proposto un meccanismo comune di risposta a sabotaggi e incursioni di droni.
In questo scenario il data center europeo è un bersaglio quasi perfetto: impatto elevato, perimetro poco protetto, indirizzo noto. Non serve un missile. Possono bastare un piccolo drone commerciale modificato, un incendio appiccato agli impianti esterni o un attacco combinato contro i sistemi che gestiscono l’edificio, sempre più collegati in rete.
Le regole ci sono, la cultura meno
Sulla carta l’Europa è attrezzata.
La direttiva CER sulla resilienza dei soggetti critici include le infrastrutture digitali e chiede di valutare anche le minacce ibride. La direttiva NIS2 considera fornitori di data center e cloud tra i soggetti essenziali.
L’Italia le ha recepite entrambe nel 2024, affidando all’Agenzia per la Cybersicurezza Nazionale un ruolo centrale sul fronte NIS2.
Il problema è culturale. Nelle aziende la sicurezza di un data center viene ancora pensata come sicurezza informatica più controllo degli accessi.
La minaccia dal cielo raramente entra nelle analisi di rischio.
Eppure il mercato italiano, spinto dalla domanda di cloud e intelligenza artificiale, concentra gran parte della capacità nell’area di Milano: un profilo che ricorda, in scala ridotta, la concentrazione russa tra Mosca e San Pietroburgo.
C’è anche un limite pratico. In buona parte d’Europa, Italia compresa, abbattere o disturbare un drone è compito esclusivo delle forze dello Stato.
Un operatore privato può rilevare la minaccia, non neutralizzarla.
Per proteggere davvero i siti critici servirà una collaborazione pubblico-privato che oggi è ancora agli inizi.
Dall’analisi dei casi emergono alcune priorità ricorrenti: inserire lo scenario di attacco fisico, aereo e ibrido nelle valutazioni previste da CER e NIS2; dotarsi di sistemi di rilevamento collegati alle autorità; ridurre l’esposizione pubblica dei siti; rivedere contratti e polizze; simulare almeno una volta l’anno la perdita completa di un sito, spostando davvero i carichi critici.
E, soprattutto, mettere sotto un’unica regia sicurezza fisica, cyber e continuità operativa, perché il drone e il malware finiscono per colpire lo stesso servizio.
Cosa aspettarsi
Nessuno, a Kyiv o a Mosca, ha interesse a dichiarare chiusa la partita.
È probabile che nei prossimi tre mesi l’Ucraina torni a colpire data center russi, preferendo ancora siti lontani dalle difese della capitale.
È molto probabile che la Russia prosegua la sua campagna contro l’infrastruttura digitale ucraina, anche se un blackout nazionale resta, allo stato attuale, improbabile: la rete del Paese si è dimostrata troppo dispersa per spegnersi con un interruttore.
Per l’Europa lo scenario è diverso.
Un attacco militare contro un data center dell’Unione resta poco probabile nei prossimi dodici mesi, anche se non trascurabile. Più probabili sono nuovi sabotaggi ibridi contro cavi, stazioni di terra e impianti esterni.
Quasi certo, invece, l’aumento dei costi: protezioni anti-drone, ridondanze e premi assicurativi finiranno nel prezzo di colocation e cloud, come già prevedono gli operatori russi e quelli ucraini.
Tre segnali andranno osservati con attenzione.
Il primo è un eventuale attacco a siti che ospitano modelli di intelligenza artificiale di interesse nazionale.
Il secondo è la comparsa di minacce contro operatori di Paesi terzi presenti in Russia o in Ucraina.
Il terzo, meno visibile ma decisivo, è l’evoluzione delle esclusioni per atti di guerra nelle polizze del settore.
Le valutazioni sono dell’autore e si basano su fonti aperte disponibili all’8 ottobre 2026.
La fine dell’innocenza del cloud
Il 2026 sarà ricordato come l’anno in cui il data center ha perso la sua neutralità.
Nel Golfo uno Stato ha colpito un colosso del cloud.
A Kyiv una potenza ha cercato di smontare pezzo per pezzo l’infrastruttura digitale di un Paese.
A Sasovo la vittima ha risposto con la stessa moneta. In tutti e tre i casi la giustificazione è stata la stessa.
E in tutti e tre i casi il conto immediato lo hanno pagato soprattutto civili, banche, redazioni e piccole imprese.
Per chi si occupa di sicurezza, la conclusione è netta.
Il profilo di rischio di un data center non può più fermarsi al cyber e alle intrusioni: deve includere il cielo, la zona grigia e i contratti.
La resilienza non si compra con una certificazione o con il numero di zone di disponibilità.
Si costruisce sapendo dove si trovano fisicamente i propri dati, che cosa li tiene accesi e chi potrebbe avere interesse a spegnerli.
La domanda che dovrebbero porsi oggi i comitati di rischio europei non è se un drone colpirà un data center nel continente.
È se, il giorno in cui accadrà, sapranno in quale edificio girano i loro processi critici e quanto tempo serve per portarli altrove.
