Il 21 maggio 2016, a mezzogiorno, davanti all’Islamic Da’wah Center di Houston si sono fronteggiati due gruppi di manifestanti. Il primo rispondeva all’appello della pagina Facebook «Heart of Texas», che invitava a fermare l’islamizzazione del Texas, mentre il secondo era stato convocato, per la stessa ora e nello stesso luogo, dalla pagina «United Muslims of America», a difesa del sapere islamico. Entrambe le pagine, come avrebbe rivelato l’anno successivo la commissione Intelligence del Senato statunitense, erano gestite dall’Internet Research Agency di San Pietroburgo e, secondo il presidente della commissione, Richard Burr, mettere i texani gli uni contro gli altri era costato circa 200 dollari [1]. Tra il 2015 e il 2017, nel complesso, gli operatori russi avevano creato su Facebook 129 eventi, visti da oltre 300 000 utenti e ai quali circa 62 500 persone avevano dichiarato di voler partecipare [2].
L’episodio conserva, a dieci anni di distanza, un valore che va oltre la cronaca, poiché mostra in forma quasi di laboratorio un meccanismo che le piazze europee degli ultimi anni, comprese quelle italiane del 17 e 18 ottobre, hanno reso nuovamente attuale. In un precedente contributo dedicato a quelle giornate si è sostenuto che il vuoto organizzativo di una protesta costituisce il varco attraverso cui un attore ostile può inserirsi; il presente lavoro ne rappresenta il seguito e si propone di scomporre il meccanismo nelle sue fasi, senza attribuirgli eventi per i quali non esistono evidenze pubbliche. La tesi è che la mobilitazione ostile non crei il malcontento, ma lo industrializzi secondo una catena riconoscibile. In tale catena le reti di account automatizzati pesano meno di quanto comunemente si ritenga, mentre il coordinamento e il passaggio dalla rete alla strada costituiscono tanto la forza dell’attaccante quanto il punto in cui il difensore può interromperla.
Un quadro per l’analisi
Gli strumenti per descrivere tali operazioni esistono e sono pubblici. Il Servizio europeo per l’azione esterna (SEAE) inquadra il fenomeno come manipolazione dell’informazione e interferenza da parte di attori stranieri e, per descriverlo in modo uniforme, fa riferimento a quadri standardizzati tra cui il DISARM Red Framework [3]. Si tratta di uno schema aperto, costruito sul modello della matrice ATT&CK in uso nella sicurezza informatica, che articola un’operazione in quattro fasi (pianificazione, preparazione, esecuzione e valutazione) e annovera tra le tattiche dell’esecuzione quella di spostare l’attività dall’ambiente digitale a quello fisico [4]. Ben Nimmo, all’epoca responsabile delle indagini della società Graphika, ha proposto a sua volta una scala in sei categorie per misurarne l’impatto, che va dall’operazione confinata in una sola comunità su una sola piattaforma fino a quella che provoca una risposta politica o contiene un incitamento alla violenza [5]. Le sei fasi descritte di seguito rappresentano un adattamento di tali strumenti, proposto in questa sede per rendere leggibile la sequenza che conduce dalla rete alla piazza.
La catena della mobilitazione
La prima fase consiste nell’individuazione delle fratture già presenti e dei pubblici più ricettivi, poiché un’operazione di influenza raramente introduce temi nuovi e preferisce sfruttare quelli che già dividono una società. La commissione Intelligence del Senato statunitense ha accertato che oltre il 66% dei contenuti pubblicati su Facebook dall’Internet Research Agency conteneva un termine riferito alla razza [6]. I documenti interni della Social Design Agency, la società moscovita ritenuta dalle autorità statunitensi responsabile della campagna nota come Doppelganger, indicavano a loro volta tra gli obiettivi l’alimentazione del malcontento per l’inflazione e la disoccupazione e, secondo l’analisi di Radio Free Europe/Radio Liberty, riservavano a Germania, Francia, Spagna, Italia e Polonia un’attenzione prioritaria [7]. Carovita, rapporto con le forze dell’ordine, immigrazione e periferie costituiscono, in tal senso, il terreno naturale di qualunque operazione rivolta a una democrazia europea.
La seconda fase riguarda la costruzione dell’infrastruttura, ossia di pagine, account e canali che appaiano locali e autentici e che acquisiscano credibilità prima di essere impiegati. La pagina «Heart of Texas» aveva raccolto centinaia di migliaia di seguaci, presentandosi come espressione dell’indipendentismo texano, prima di convocare la manifestazione di Houston [1]. Più di recente, il servizio francese VIGINUM ha descritto, nella campagna denominata Matriochka, account creati poco prima dell’uso, privi di biografia e di seguaci, con fotografie generate dall’intelligenza artificiale e in molti casi acquistati da rivenditori [8]. Nel luglio 2024, inoltre, il Dipartimento della Giustizia statunitense, insieme alle autorità canadesi e olandesi, ha reso nota una rete di 968 account su X gestita attraverso un software denominato Meliorator, in grado di generare in serie profili dotati ciascuno di una propria identità. Il programma, secondo le autorità statunitensi, era stato sviluppato in ambito RT con il supporto di un ufficiale del Servizio federale di sicurezza russo (FSB) [9].
La terza fase è l’innesco, nel quale un contenuto a forte carica emotiva viene rilasciato su scala ridotta, per saggiarne la presa prima della diffusione generale. La scelta del contenuto non è casuale, poiché la ricerca ha misurato con precisione quali caratteristiche ne favoriscano la condivisione. Uno studio su oltre 563 000 messaggi ha rilevato che ogni parola a contenuto morale ed emotivo ne aumenta la diffusione di circa il 20% [10]. Un’analisi di oltre 2,7 milioni di post su Facebook e Twitter ha mostrato, inoltre, che ogni termine riferito al gruppo avversario accresce del 67% la probabilità di condivisione, con un effetto nettamente superiore a quello delle parole negative o morali [11]. Le notizie false, d’altra parte, risultano più nuove e sorprendenti di quelle vere, suscitano più spesso paura e disgusto e hanno il 70% di probabilità in più di essere rilanciate [12]. Ne consegue che il contenuto più efficace è quello che indica un nemico, provoca indignazione e sembra rivelare qualcosa di inedito, e le tecniche di manipolazione individuate da Jon Roozenbeek e colleghi, ossia il linguaggio emotivo, gli argomenti incoerenti, le false alternative, i capri espiatori e gli attacchi alla persona, ne costituiscono la traduzione retorica [13].
La quarta fase, l’amplificazione, mira a far apparire diffuso, spontaneo e condiviso ciò che è stato prodotto da pochi. È in questo stadio che intervengono le reti di account automatizzati, il cui ruolo risulta tuttavia più circoscritto di quanto suggerisca l’espressione «bot factory». Secondo lo studio di Chengcheng Shao e colleghi, infatti, i bot si concentrano nei primi momenti di vita di un contenuto, prima che diventi virale, e indirizzano risposte e menzioni verso gli utenti con più seguaci, affinché siano questi ultimi a rilanciarlo [14]. La medesima logica guida Matriochka, nella quale pochi account «seminatori» pubblicano un contenuto falso e altri, a distanza di 30-45 minuti, lo segnalano a 50-150 testate, giornalisti e verificatori dei fatti, chiedendo loro di controllarlo e, di fatto, di diffonderlo [8]. Il caso romeno del 2024 mostra la forma più matura del fenomeno. I documenti declassificati dal Consiglio supremo di difesa (CSAT) descrivono infatti una rete di circa 25 000 account TikTok e oltre 100 influencer con più di 8 milioni di seguaci, in gran parte inconsapevoli di promuovere un candidato. Gli stessi documenti riportano pagamenti per 381 000 dollari, confermati dalla piattaforma, e un canale Telegram che forniva agli iscritti messaggi preconfezionati e indicazioni per sfruttare l’algoritmo [15]. Due giorni dopo la declassificazione, il 6 dicembre 2024, la Corte costituzionale romena ha annullato il primo turno delle elezioni presidenziali [16], e il 17 dicembre la Commissione europea ha avviato nei confronti di TikTok un procedimento sui rischi derivanti dalla manipolazione coordinata dei sistemi di raccomandazione [17].
La quinta fase è il passaggio dalla rete alla strada, che DISARM classifica come tattica autonoma e che rappresenta il salto qualitativo dell’intera catena [4]. Nella forma più semplice esso coincide con una convocazione dotata di data, ora e luogo, come avvenuto a Houston; il moltiplicatore, tuttavia, non risiede nella convocazione in sé, ma nelle dinamiche che essa attiva tra i partecipanti, in particolare tra i più giovani, che il paragrafo successivo esamina in dettaglio.
La sesta fase, infine, riguarda lo sfruttamento del risultato presso un secondo pubblico, poiché le immagini del disordine servono a dimostrare l’incapacità dello Stato e a spaventare la maggioranza. Il SEAE ha rilevato che nel 2025 manifestazioni e sommosse sono state sfruttate per amplificare la percezione di caos [18], e durante le sommosse francesi del 2023 la rete europea di verifica dei fatti EDMO ha documentato una disinformazione orientata sia ad amplificare il disordine sia a diffondere, a partire dall’origine dei manifestanti, messaggi xenofobi [19]. Il medesimo evento, in altri termini, alimenta contemporaneamente la rabbia di chi scende in piazza e la paura di chi la osserva, mentre la valutazione dei risultati, prevista anch’essa da DISARM, orienta l’operazione successiva.
Perché funziona sui più giovani
Il coinvolgimento dei più giovani avviene attraverso due canali distinti, che la cronaca tende a confondere ma che richiedono risposte diverse. Il primo è collettivo e non richiede alcuna adesione ideologica, poiché si fonda sull’occasione, sull’emulazione e sulla visibilità. A proposito delle sommosse francesi del 2023, Marco Oberti e Maela Guillaume Le Gall osservano che i social hanno rappresentato il supporto per eccellenza della loro messa in scena, alimentando una gara al rialzo nella violenza, e riportano che Snapchat era la piattaforma più citata dagli imputati [20]. La Relazione 2026 dell’intelligence italiana, a proposito della radicalizzazione dei minori, sottolinea a sua volta il peso della fascinazione per la violenza vista sui social e della ricerca di appartenenza, più che dell’adesione a un’ideologia [21]. In questo canale la violenza filmata diventa contenuto e il contenuto diventa riconoscimento, sicché un attore esterno non deve creare nulla, ma soltanto accelerare e ingrandire una dinamica che si alimenta da sé.
Il secondo canale è individuale ed è documentato da fonti ufficiali che lo attribuiscono ai servizi russi. Il 2 settembre 2025 la polizia federale tedesca (BKA), insieme ai servizi di informazione interno, militare ed estero, ha avviato la campagna «Kein Wegwerf-Agent werden!» («Non diventare un agente usa e getta»). Le autorità avvertono che persone prive di qualunque formazione vengono reclutate attraverso i social, talvolta per un compenso modesto e spesso senza conoscere il vero committente, per compiere incendi, danneggiamenti, sorvoli con droni e riprese di infrastrutture critiche, installazioni militari e industria della difesa [22]. Le ricostruzioni giornalistiche descrivono una progressione costante, che parte da compiti apparentemente innocui, come fotografare un edificio o consegnare un pacco, e procede verso incarichi più rischiosi e meglio retribuiti, mentre il servizio di sicurezza estone (KAPO) segnala l’impiego di minori in operazioni di sabotaggio [23]. Si tratta, a ben vedere, dell’applicazione al reclutamento della tecnica del «piede nella porta», descritta dalla psicologia sociale fin dagli anni Sessanta, secondo cui chi ha accettato una richiesta minima diventa più disponibile ad accoglierne una maggiore [24]. Analoghe modalità, peraltro, sono impiegate dalla criminalità organizzata: Europol ha costituito nel 2025 una task force contro la «violenza su commissione», rilevando che i giovani vengono reclutati e istruiti online, attraverso reti sociali e applicazioni cifrate, con incentivi mutuati dai videogiochi [25].
Il peso reale delle reti automatizzate
Alla luce di quanto esposto, il ruolo delle cosiddette bot factory va ridimensionato senza essere negato. L’ampio studio di Soroush Vosoughi, Deb Roy e Sinan Aral, condotto su circa 126 000 catene di diffusione su Twitter tra il 2006 e il 2017, ha mostrato che le conclusioni restavano invariate anche escludendo i bot dall’analisi, sicché la maggiore diffusione delle notizie false risulta opera di persone reali [12]. VIGINUM, dal canto suo, ha giudicato Matriochka in larga parte gestita a mano da operatori umani, in base a errori difficilmente compatibili con l’automazione, e ne ha documentato un impatto spesso modesto, come nel caso di un’operazione che al 2 maggio 2024 contava appena 720 visualizzazioni [8]. Anche i volumi dichiarati dalla Social Design Agency, pari a 39 899 contenuti tra gennaio e aprile 2024 [7], misurano la produzione e non l’effetto e, trattandosi di documenti destinati al committente, potrebbero sovrastimarla. Ne deriva che il valore aggiunto dell’attore ostile risiede nel coordinamento di risorse eterogenee, ossia account automatizzati, operatori umani, influencer pagati e utenti inconsapevoli, più che nell’automazione in sé. Concentrare la difesa sulla sola caccia ai bot significherebbe, di conseguenza, colpire l’anello meno decisivo della catena.
Implicazioni per la Difesa
Il secondo canale riguarda la Difesa in modo diretto, poiché tra i bersagli indicati dalle autorità tedesche figurano installazioni militari e industria della difesa, e poiché i più giovani tra i militari e i loro familiari appartengono alla stessa fascia di popolazione che il reclutamento online prende di mira. Chi scrive ritiene, pertanto, che possano essere prese in considerazione tre linee d’azione:
- l’inserimento, nella formazione di base e nell’addestramento periodico, di brevi moduli di prebunking, ossia di esposizione preventiva alle tecniche di manipolazione, la cui efficacia è stata dimostrata anche al di fuori del laboratorio, con una sperimentazione su oltre 22 000 utenti di YouTube [13];
- una campagna di informazione rivolta al personale e alle famiglie sul modello tedesco, che spieghi in termini semplici come riconoscere un tentativo di reclutamento e a chi segnalarlo;
- un contributo strutturato della Difesa, in raccordo con le amministrazioni competenti, all’analisi delle operazioni che mirano a portare in strada la mobilitazione digitale, che rappresentano il punto della catena in cui la dimensione informativa e quella della sicurezza fisica si saldano.
Tre possibili evoluzioni
Il fenomeno può evolvere secondo tre scenari, non necessariamente alternativi. Nel primo, oggi il più coerente con le evidenze disponibili, gli attori esterni si limitano ad amplificare proteste nate spontaneamente, sfruttandone le immagini senza organizzarle. Nel secondo i due canali descritti convergono, e le tecniche già impiegate per reclutare sabotatori vengono applicate a singoli provocatori da inserire nelle piazze; si tratta di un’ipotesi per la quale, allo stato, non esistono evidenze pubbliche relative all’Italia, ma che il costo modesto del reclutamento rende plausibile. Nel terzo l’intelligenza artificiale abbatte ulteriormente il costo della creazione di identità fittizie e di messaggi personalizzati, aumentando i volumi, mentre l’efficacia continua a dipendere dalla capacità delle piattaforme e delle istituzioni di riconoscere il coordinamento.
Considerazioni conclusive
Il caso di Houston e quello romeno, a otto anni di distanza, mostrano la stessa sequenza: una frattura esistente, un’infrastruttura preparata con pazienza, contenuti costruiti sulle leve emotive che la ricerca ha misurato, un’amplificazione concentrata nelle prime ore e un passaggio alla presenza fisica che trasforma l’attenzione in fatti. Comprendere la catena consente di spostare l’attenzione dal singolo contenuto, che una volta diffuso è difficile da contrastare, alle fasi in cui l’operazione risulta più vulnerabile, ossia la preparazione dell’infrastruttura e la conversione della rabbia digitale in presenza in strada.
Per la Difesa, in particolare, la conseguenza più immediata riguarda il proprio personale, che appartiene in larga parte alla stessa generazione a cui queste operazioni si rivolgono e che può costituire, se adeguatamente preparato, un primo elemento di resilienza anziché un bersaglio.
Note
[1] A Russian Facebook page organized a protest in Texas. A different Russian page launched the counterprotest, in «The Texas Tribune», 1° novembre 2017, https://www.texastribune.org/2017/11/01/russian-facebook-page-organized-protest-texas-different-russian-page-l. Ultima consultazione di tutti i siti citati: 20 ottobre 2026.
[2] Russian trolls created Facebook events seen by more than 300,000 users, WTKR, 26 gennaio 2018, https://wtkr.com/2018/01/26/russian-trolls-created-facebook-events-seen-by-more-than-300000-users, sulla base della dichiarazione scritta di Facebook alla commissione Intelligence del Senato.
[3] EUROPEAN EXTERNAL ACTION SERVICE, 2nd EEAS Report on Foreign Information Manipulation and Interference Threats, Bruxelles gennaio 2024.
[4] DISARM FOUNDATION, DISARM Red Framework – Tactics, https://github.com/DISARMFoundation/DISARMframeworks/blob/main/generated_pages/tactics_index.md (tattiche TA08 e TA10).
[5] NIMMO B., The Breakout Scale: Measuring the impact of influence operations, Brookings Institution, settembre 2020, https://www.brookings.edu/articles/the-breakout-scale-measuring-the-impact-of-influence-operations.
[6] MAK T., Senate Report: Russians Used Social Media Mostly To Target Race In 2016, NPR, 8 ottobre 2019, https://www.kpbs.org/news/2019/10/08/senate-report-russians-used-social-media-mostly.
[7] Leaked Records Detail Vast Russian Influence Campaign Targeting Ukraine, EU, Radio Free Europe/Radio Liberty, 17 settembre 2024, https://www.rferl.org/a/russia-ukraine-disinformation-propaganda-campaign/33123498.html.
[8] VIGINUM, Matriochka: une campagne prorusse ciblant les médias et la communauté des fact-checkers, Parigi giugno 2024, https://www.vie-publique.fr/files/rapport/pdf/294572.pdf.
[9] U.S. Seizes Domains Used by AI-Powered Russian Bot Farm for Disinformation, in «The Hacker News», 12 luglio 2024, https://thehackernews.com/2024/07/us-seizes-domains-used-by-ai-powered.html.
[10] BRADY W.J. – WILLS J.A. – JOST J.T. – TUCKER J.A. – VAN BAVEL J.J., Emotion shapes the diffusion of moralized content in social networks, in «Proceedings of the National Academy of Sciences» 114 (2017), 28, pp. 7313-7318.
[11] RATHJE S. – VAN BAVEL J.J. – VAN DER LINDEN S., Out-group animosity drives engagement on social media, in «Proceedings of the National Academy of Sciences» 118 (2021), 26, e2024292118.
[12] VOSOUGHI S. – ROY D. – ARAL S., The spread of true and false news online, in «Science» 359 (2018), 6380, pp. 1146-1151.
[13] ROOZENBEEK J. – VAN DER LINDEN S. – GOLDBERG B. – RATHJE S. – LEWANDOWSKY S., Psychological inoculation improves resilience against misinformation on social media, in «Science Advances» 8 (2022), 34, eabo6254.
[14] SHAO C. – CIAMPAGLIA G.L. – VAROL O. – YANG K. – FLAMMINI A. – MENCZER F., The spread of low-credibility content by social bots, in «Nature Communications» 9 (2018), 4787.
[15] Declassified documents from CSAT: Romania, target of Russian hybrid actions; Georgescu’s campaign, financed, AGERPRES, 4 dicembre 2024, https://agerpres.ro/2024/12/04/declassified-documents-from-csat-romania—target-of-russian-hybrid-actions-georgescu-s-campaign—f–1398576.
[16] Romania: Constitutional Court annuls presidential election, Centre for Eastern Studies (OSW), 9 dicembre 2024, https://www.osw.waw.pl/en/publikacje/analyses/2024-12-09/romania-constitutional-court-annuls-presidential-election.
[17] COMMISSIONE EUROPEA, Commission opens formal proceedings against TikTok on election risks under the Digital Services Act, 17 dicembre 2024, https://digital-strategy.ec.europa.eu/en/news/commission-opens-formal-proceedings-against-tiktok-election-risks-under-digital-services-act.
[18] EUROPEAN EXTERNAL ACTION SERVICE, 4th EEAS Report on Foreign Information Manipulation and Interference Threats, Bruxelles marzo 2026, pp. 10-11, 28-29, https://www.eeas.europa.eu/sites/default/files/2026/documents/EEAS%204th%20Threat%20Report_web.pdf.
[19] EDMO, Exaggeration, racism and xenophobia characterize disinformation on the demonstrations in France, 6 luglio 2023, https://edmo.eu/publications/exaggeration-racism-and-xenophobia-characterize-disinformation-on-the-demonstrations-in-france/.
[20] OBERTI M. – GUILLAUME LE GALL M., Les territoires des émeutes. La ségrégation urbaine au cœur des violences, in «La Vie des idées», 12 aprile 2024, https://laviedesidees.fr/IMG/pdf/20240412_emeutes.pdf.
[21] Sintesi della Relazione sulla politica dell’informazione per la sicurezza 2026, in «AGI», 4 marzo 2026, https://www.agi.it/cronaca/news/2026-03-04/intelligence-rischio-terrorismo-35933098/.
[22] BUNDESKRIMINALAMT, comunicato congiunto con BfV, BAMAD e BND, Kampagne «Kein Wegwerf-Agent werden!», 2 settembre 2025, https://www.verfassungsschutz.sachsen.de/download/250901_PM_Kampagne_Low-Level-Agenten.pdf.
[23] Russia’s shadow army in Europe: how social media became a recruitment office for saboteurs, Propastop, 13 luglio 2026, https://www.propastop.org/en/2026/07/13/russias-shadow-army-in-europe-how-social-media-became-a-recruitment-office-for-saboteurs/.
[24] FREEDMAN J.L. – FRASER S.C., Compliance without pressure: The foot-in-the-door technique, in «Journal of Personality and Social Psychology» 4 (1966), 2, pp. 195-202.
[25] Europol Tackles Violence-as-a-Service, in «eucrim», 12 maggio 2025, https://eucrim.eu/news/europol-tackles-violence-as-a-service/.
