Il 27 ottobre 2023 la polizia di Parigi ha fermato nel 10° arrondissement una coppia di cittadini moldavi sorpresa a disegnare stelle di David sui muri, che ha dichiarato di aver agito su ordine di una terza persona e dietro compenso [1]. Nei giorni successivi il servizio francese di vigilanza sulle ingerenze digitali straniere, VIGINUM, ha ricostruito il percorso delle immagini in rete [2]. Un insieme di 1.095 account automatizzati su X, riconducibili alla rete di propaganda russa nota come RRN o Doppelgänger, aveva iniziato a pubblicare le foto delle stelle il 28 ottobre alle 19.24, mentre la prima foto diffusa da un utente reale risale al 30 ottobre alle 19.37. Chi ha messo in rete il fatto con circa quarantotto ore di anticipo rispetto a qualunque utente reale, in altri termini, ne conosceva l’esistenza, sicché il gesto appare costruito per essere diffuso prima ancora che per essere visto.
Nei due contributi precedenti si sono descritte l’occasione offerta dalle piazze prive di organizzazione e la catena attraverso cui un attore ostile può sfruttarla; ma è possibile, viene da chiedersi, prevedere un’operazione di questo tipo? Il caso parigino è utile proprio perché chiarisce che cosa debba intendersi per indicatore: un fatto osservabile prima che l’evento diventi di dominio pubblico, o mentre accade, che funge da campanello d’allarme ed è difficilmente compatibile con la spontaneità o con la casualità. La tesi del presente contributo è che la distinzione richieda di rispondere a due domande in sequenza: se la protesta sia spontanea o organizzata e, nel secondo caso, se l’organizzazione sia interna o provenga dall’esterno. Alla prima rispondono gli indicatori di preparazione, documentati in diversi casi europei; alla seconda gli elementi che rimandano all’esterno, la cui convergenza consente di giudicare probabile un’operazione di destabilizzazione, e quasi mai di indicarne con certezza il mandante.
Ciò che non distingue
Molti dei tratti che il dibattito pubblico indica come sospetti, quali l’età giovanissima dei partecipanti, l’assenza di leader, la presenza di account creati da poco o la somiglianza delle grafiche con quelle di proteste estere, sono comuni anche alle mobilitazioni spontanee, nelle quali l’emulazione e la condivisione personale dei contenuti producono i medesimi effetti [3]. Si tratta pertanto di elementi che descrivono il contesto, ma che non consentono di distinguere un’ipotesi dall’altra.
Un lavoro di analisi, non un metodo scientifico
Non esiste un metodo che separi meccanicamente le sommosse spontanee da quelle prodotte, poiché ogni caso richiede un lavoro di analisi che incroci informazioni raccolte attraverso discipline diverse, come l’intelligence da fonti aperte (OSINT), quella da fonti umane (HUMINT) e quella cibernetica (CYBINT), con l’analisi dei flussi finanziari (FININT) e con l’attività investigativa. Tale lavoro parte dalle domande cui occorre rispondere, dalle quali si ricavano in anticipo gli indicatori da ricercare, sicché la raccolta è orientata verso ciò che vale la pena osservare anziché affidata al caso. Come ogni prodotto di intelligence, esso è per sua natura predittivo, ma non offre mai certezze, e il suo esito è un giudizio di probabilità, che si rafforza quando informazioni indipendenti convergono sulla stessa conclusione e si indebolisce quando poggia su una sola fonte.
Il governo britannico, ad esempio, rende pubblica la scala con cui i propri analisti esprimono tali giudizi, che va dalla «remote chance», intorno al 5%, all’«almost certain», oltre il 95%, e distingue la probabilità di un’affermazione dal livello di fiducia nella base informativa su cui essa poggia [4]. Nelle pagine che seguono si adotta la medesima logica: gli indicatori sono ricavati da casi documentati, e il loro peso è misurato su ciò che, in quei casi, è stato accertato in seguito.
Dai casi agli indicatori
La tavola che segue riporta otto casi europei e distingue, per ciascuno, ciò che si poteva osservare prima o mentre il fatto accadeva, ossia l’indicatore, che non prova nulla ma segnala che qualcosa merita di essere verificato, da ciò che è stato accertato in seguito, ossia l’elemento di conferma, insieme alla deduzione che il loro incrocio consente.
Tabella 1: Casi, indicatori, conferme e deduzioni
| Caso | Indicatore: che cosa si poteva osservare subito | Conferma: che cosa si è accertato dopo | Deduzione |
| Parigi, ottobre 2023: stelle di David disegnate sui muri | 1.095 account automatizzati su X, riconducibili alla rete russa RRN, pubblicano le foto circa 48 ore prima del primo utente reale [2] | Fermata una coppia moldava che dichiara di aver agito su ordine di terzi e dietro compenso [1] | Chi diffonde il fatto prima degli utenti reali lo conosceva in anticipo |
| Parigi, maggio 2024: mani rosse sul Memoriale della Shoah | Rilancio su X da parte di attori legati alla Russia, in assenza di qualunque rivendicazione locale [5] | Esecutori giunti dall’estero, condannati nell’ottobre 2025; per il tribunale l’ingerenza straniera è «indiscutibile» [5] | Gesto senza autore locale, ripreso da reti note: possibile evento costruito |
| Parigi, giugno 2024: cinque bare con la scritta «soldati francesi dell’Ucraina» alla Torre Eiffel | Messaggio senza rivendicazione, comparso dopo che Macron non aveva escluso l’invio di truppe in Ucraina, ipotesi criticata da Mosca [6] | Esecutori stranieri che dichiarano 400 euro ciascuno, arrivati il giorno prima e fermati in attesa di un autobus per Berlino; per una nota della DGSE citata da Le Monde, coordinamento dell’FSB [6] | Messaggio senza autore nel Paese e allineato all’agenda di uno Stato estero |
| Parigi e regione, 2023-2025: nove episodi sospetti secondo la procura | Bersagli alternati: luoghi ebraici, poi teste di maiale davanti alle moschee [7] | Undici arresti in Serbia di persone addestrate da un connazionale che agiva per un servizio straniero [7] | Chi colpisce entrambe le parti di una frattura vuole allargarla |
| Germania, dicembre 2024 – gennaio 2025: auto con i tubi di scarico riempiti di schiuma e adesivi con l’immagine di Habeck | Firma che rimandava ad attivisti climatici, mentre secondo le autorità di sicurezza l’obiettivo era alimentare l’ostilità verso i Verdi in campagna elettorale [8] | Esecutori privi di attività politica, 100 euro promessi per ogni auto; per il tribunale di Ulm «strumenti a basso costo», mandante non identificato [9] | Se l’azione danneggia chi sembra firmarla, la firma è probabilmente falsa |
| Moldavia, settembre 2022: manifestazione del partito Shor a Chișinău | Partecipanti condotti in blocco da altre città con autobus organizzati e posti assegnati sulla base di liste [10] | Giornalisti infiltrati pagati 400 lei; reclutatori con quote di partecipanti; per i fatti del 2023 accusa della procura, processo in corso [10] [11] | Piazza importata e organizzata per liste: almeno in parte retribuita |
| Germania, gennaio 2016: manifestazioni di russo-tedeschi dopo la denuncia di un presunto rapimento | Le televisioni di Stato russe rilanciano la notizia e il Ministro degli Esteri Lavrov accusa le autorità tedesche di coprire il caso, nonostante la smentita della polizia [12] | Notizia falsa, smentita dai dati del cellulare della ragazza [12] | Partecipanti sinceri, innesco esterno |
| Regno Unito, estate 2024: disordini dopo l’accoltellamento di Southport | Amplificazione da parte di account automatizzati [13] | Messaggi in prevalenza di origine interna; nessuna attribuzione a soggetti esteri da parte della commissione parlamentare [13] | Un indicatore non è una prova |
Dai casi, e da alcune deduzioni dichiarate come tali, si ricavano due famiglie di indicatori di preparazione: quelli d’allarme, che precedono la manifestazione e segnalano che un’azione è in preparazione, e quelli tattici, che emergono mentre si svolge e indicano che l’azione è imminente.
Indicatori d’allarme: prima della manifestazione
1. Circolano obiettivi, istruzioni e offerte di compenso. Nei canali in rete compaiono elenchi di luoghi da colpire, indicazioni operative o annunci che offrono denaro per compiere azioni (Regno Unito, 2024; Romania, 2024; Germania, 2025) [15] [16].
2. Si registra una compravendita anomala di materiali. Acquisti o scambi insoliti di artifizi pirotecnici, di strumenti atti a offendere e di materiali per il travisamento, come passamontagna e abiti uniformi. Il ricorso ai social per procurarsi mortai pirotecnici è documentato nelle sommosse francesi del 2023 [17]; il valore preventivo dell’acquisto anomalo è una deduzione.
3. Più gruppi agiscono in modo sincronizzato. Gli stessi appelli compaiono negli stessi momenti su account e canali diversi; la sincronia è una traccia del coordinamento più affidabile delle caratteristiche dei singoli account, anche in assenza di bot [14].
4. Uno Stato estero contraddice le autorità locali. Fonti ufficiali straniere rilanciano un fatto già smentito dalle autorità del Paese, alimentando la mobilitazione (Germania, 2016) [12].
5. Le provocazioni investono entrambe le parti. Quando una frattura sociale oppone due o più parti, episodi in successione colpiscono ciascuna di esse (Parigi e regione, 2023-2025) [7].
6. La logistica è organizzata. Trasporti collettivi da altre città, liste di partecipanti e posti assegnati prima dell’evento (Moldavia, 2022) [10].
Indicatori tattici: durante la manifestazione
1. Si formano raggruppamenti distinti. Un gruppo di persone, o più gruppi tra loro diversi, si raccoglie in modo compatto dentro o ai margini della manifestazione; in Moldavia, secondo l’accusa, persone addestrate all’estero a provocare disordini sono state fermate durante le proteste [11].
2. Una parte si stacca dal corteo. Un nucleo abbandona il percorso e si dirige verso obiettivi diversi da quelli della manifestazione.
3. Compaiono travisamenti e concentrazioni di materiali. Alcuni partecipanti si travisano o cambiano abito, mentre i materiali vengono raccolti in un punto specifico prima dell’azione.
Spontanea, organizzata o eterodiretta
Gli indicatori elencati rispondono alla prima domanda, ma non alla seconda. La logistica, i materiali, il travisamento e il distacco dal corteo rivelano infatti che un’azione è preparata, non chi l’abbia preparata, e sono compatibili anche con un gruppo interno, ad esempio di matrice anarchica, che intenda provocare disordini senza che alcuno Stato estero lo abbia ispirato o finanziato; gli ultimi due indicatori tattici, inoltre, discendono dalla logica dell’azione più che da un caso documentato, e vanno quindi intesi come deduzioni. A distinguere l’organizzazione interna dall’operazione di destabilizzazione sono invece gli elementi che rimandano all’esterno, ricavabili dagli stessi casi.
1. La firma manca o è falsa. Un gruppo interno agisce per la propria causa e tende, per deduzione, a rivendicarla; l’operazione non rivendica, come per le bare alla Torre Eiffel, o firma a nome di altri, come nel caso delle auto tedesche [6] [8].
2. Gli esecutori sono estranei alla causa. Sono retribuiti, privi di attività politica o giunti dall’estero, come a Parigi, a Ulm e in Moldavia [1] [9] [10].
3. La diffusione è anticipata o passa da reti già attribuite. Le immagini circolano prima che qualunque utente reale le veda, rilanciate da infrastrutture note, come per le stelle di David [2].
4. Il messaggio è allineato all’agenda di uno Stato estero. Il gesto riprende una posizione di un governo straniero o è rilanciato dalle sue fonti ufficiali contro le autorità locali, come per le bare e nel caso Lisa [6] [12].
5. Gli episodi colpiscono entrambe le parti di una frattura. L’obiettivo è la frattura stessa, non una causa (Parigi e regione, 2023-2025) [7].
Gli ultimi due elementi compaiono già tra gli indicatori d’allarme, ai quali conferiscono per questo un peso maggiore, mentre la natura degli esecutori emerge di norma soltanto dopo i fermi. Il caso di Southport mostra la distinzione all’opera: prima dei disordini circolavano nei canali di coordinamento elenchi di obiettivi e istruzioni [16], sicché la risposta alla prima domanda era «organizzata»; l’amplificazione da parte di account automatizzati era presente, ma la prevalenza di messaggi di origine interna ha condotto la commissione parlamentare a non attribuire i disordini ad attori stranieri [13]. In sintesi, una protesta spontanea non lascia tracce di preparazione; una sommossa organizzata da un gruppo interno le lascia, ma affida l’azione ai propri militanti e ne rivendica la causa; un’operazione di destabilizzazione lascia le stesse tracce e, in più, quelle della propria esternità.
Il peso degli indicatori
Gli elementi raccolti si dispongono su quattro livelli di peso crescente. I tratti comuni non distinguono nulla; gli indicatori, di preparazione e di esternità, rendono probabile rispettivamente un’azione organizzata e un’operazione di destabilizzazione; gli elementi di conferma, come il reclutamento e i pagamenti, emergono dalle indagini e trasformano l’ipotesi in fatto accertato.
L’attribuzione del mandante resta il livello più difficile, perché la guerra ibrida interpone tra committente ed esecutore uno o più intermediari, come l’imprenditore che ha reclutato la coppia di Parigi o il cittadino serbo residente in Russia che impartiva istruzioni agli esecutori tedeschi, sicché a Ulm gli esecutori sono stati condannati senza che il committente fosse identificato [1] [8] [9]. La solidità della valutazione, in ogni caso, dipende meno dal numero degli indizi che dalla loro indipendenza: nel caso delle stelle di David convergono l’analisi della rete, il fermo degli esecutori e il riconoscimento tecnico di un’infrastruttura già nota.
Figura 1 · i quattro livelli degli elementi di valutazione
Dall’indizio alla valutazione
La valutazione richiede, tuttavia, dati che chi osserva dall’esterno non possiede. Alcuni indicatori, come la sincronia dei messaggi, il rilancio da parte di reti già attribuite e la diffusione anticipata, si misurano con precisione soltanto disponendo dei dati delle piattaforme, ai quali il regolamento europeo sui servizi digitali consente l’accesso dei ricercatori abilitati [18], mentre gli elementi di conferma restano nelle mani di inquirenti e servizi.
Chi scrive ritiene che il passaggio dall’indizio alla valutazione richieda tre condizioni: l’accesso effettivo dei ricercatori ai dati previsto dalla normativa europea, la condivisione strutturata delle informazioni tra le istituzioni che ne detengono parti diverse e la pubblicazione di valutazioni che dichiarino, come avviene in Francia e nel Regno Unito, il grado di probabilità e il livello di fiducia su cui si fondano [2] [4].
Considerazioni conclusive
La domanda da cui il contributo è partito, ossia quali indicatori consentano di distinguere una protesta spontanea da un’operazione di destabilizzazione, non ammette, nella maggior parte dei casi, una risposta immediata e certa, ma ammette una risposta ragionata, che procede per due passaggi. Gli indicatori di preparazione separano la piazza spontanea da quella organizzata; gli elementi di esternità separano l’organizzazione interna da quella eterodiretta, poiché un’operazione di destabilizzazione, per quanto costruita per apparire spontanea, deve procurarsi esecutori estranei alla causa, nascondere o falsificare la propria firma e diffondere il risultato attraverso reti già esistenti, e ciascuna di queste necessità lascia tracce osservabili.
Nessuna traccia, presa da sola, basta a concludere; la loro convergenza, verificata attraverso fonti e discipline diverse, consente invece di formulare un giudizio di probabilità, che resta aperto alla revisione quando emergono nuovi elementi.
Per un Paese le cui piazze sono divenute terreno di competizione, disporre di tale capacità di valutazione, e della disciplina di dichiararne i limiti, costituisce una componente della resilienza non meno rilevante della capacità di risposta.
Leggi anche: “Sabato nero. Anatomia delle piazze del 17 ottobre“
Leggi anche: “Come funziona la mobilitazione su rete“
Note
[1] CIURCA A., Moldovan Police Say Stars Of David Graffiti On Paris Buildings Ordered By Fugitive Magnate, Radio Free Europe/Radio Liberty, 29 novembre 2023, https://www.rferl.org/a/moldova-star-david-paris-shor-antii-semitism/32706719.html. Ultima consultazione di tutti i siti citati: 22 ottobre 2026.
[2] MINISTÈRE DE L’EUROPE ET DES AFFAIRES ÉTRANGÈRES, Russie – Nouvelle ingérence numérique russe contre la France, Parigi 9 novembre 2023, https://www.diplomatie.gouv.fr/fr/presse-et-ressources/decouvrir-et-informer/actualites/russie-nouvelle-ingerence-numerique-russe-contre-la-france.
[3] BENNETT W.L. – SEGERBERG A., The Logic of Connective Action, in «Information, Communication & Society» 15 (2012), 5, pp. 739-768.
[4] UK GOVERNMENT, Explaining uncertainty in UK intelligence assessment, Londra 24 marzo 2025, https://www.gov.uk/government/publications/explaining-uncertainty-in-uk-intelligence-assessment/explaining-uncertainty-in-uk-intelligence-assessment.
[5] French court jails Bulgarians for up to four years for Holocaust memorial defacement, in «The Local» (AFP), 1° novembre 2025, https://www.thelocal.fr/20251101/french-court-jails-bulgarians-for-up-to-four-years-for-holocaust-memorial-defacement.
[6] Arrests and suspected Russian link over coffins left by Eiffel Tower, in «The Connexion», 4 giugno 2024, https://connexionfrance.com/news/arrests-and-suspected-russian-link-over-coffins-left-by-eiffel-tower/661764. La nota della DGSE è riportata come citata da Le Monde, il cui articolo non è stato consultato direttamente.
[7] Têtes de cochon devant des mosquées en région parisienne: 11 arrestations en Serbie, in «Brut», 17 novembre 2025, https://www.brut.media/fr/articles/international/actualite-europeenne/tetes-de-cochon-devant-des-mosquees-en-region-parisienne-11-arrestations-en-serbie; per il conteggio dei nove episodi, French court jails Bulgarians…, op. cit.
[8] Hunderte deutsche Autos beschädigt – im Auftrag Russlands?, in «ZDFheute», 5 febbraio 2025, https://www.zdfheute.de/politik/ausland/russland-sabotage-auto-spiegel-100.html.
[9] Mutmaßliche Wegwerf-Agenten verurteilt, in «Volksstimme», 5 ottobre 2026, https://www.volksstimme.de/panorama/mutmassliche-wegwerf-agenten-verurteilt-4333462.
[10] Protesters to rent. ZdG undercover investigation: We infiltrated Shor’s protesters…, in «Ziarul de Gardă», 3 ottobre 2022, https://www.zdg.md/en/protesters-to-rent-zdg-undercover-investigation-we-infiltrated-shors-protesters-and-now-show-you-from-the-inside-how-people-brought-to-chisinau-are-paid-and-how-the-protest-machine-works/.
[11] MIJA V., «Shor’s mercenaries» on trial: who are the seven men accused of organizing mass disturbances?, Centrul de Investigații Jurnalistice, 2023, https://anticoruptie.md/en/cases-of-corruption/sors-mercenaries-on-trial-who-are-the-seven-men-accused-of-organizing-mass-disturbances.
[12] VAN HERPEN M.H., Propaganda und Desinformation. Ein Element „hybrider“ Kriegführung am Beispiel Russland, in «Aus Politik und Zeitgeschichte», 26 agosto 2016, https://www.bpb.de/apuz/232964/propaganda-und-desinformation.
[13] HOUSE OF COMMONS – HOME AFFAIRS COMMITTEE, Police response to the 2024 summer disorder, HC 381, Londra 14 aprile 2025; Southport misinformation «turbo charged» by foreign bots online, PA Media, 20 novembre 2024.
[14] KELLER F.B. – SCHOCH D. – STIER S. – YANG J., Political Astroturfing on Twitter: How to Coordinate a Disinformation Campaign, in «Political Communication» 37 (2020), 2, pp. 256-280.
[15] Declassified documents from CSAT: Romania, target of Russian hybrid actions, AGERPRES, 4 dicembre 2024, https://agerpres.ro/2024/12/04/declassified-documents-from-csat-romania—target-of-russian-hybrid-actions-geor-gescu-s-campaign—f–1398576; BUNDESKRIMINALAMT, comunicato congiunto con BfV, BAMAD e BND, Kampagne «Kein Wegwerf-Agent werden!», 2 settembre 2025.
[16] INSTITUTE FOR STRATEGIC DIALOGUE, «Total system collapse»: Far-right Telegram network incites hate & violence after Southport stabbings, 7 agosto 2024, https://www.isdglobal.org/digital-dispatch/total-system-collapse-far-right-telegram-network-incites-hate-violence-after-southport-stabbings/.
[17] OBERTI M. – GUILLAUME LE GALL M., Les territoires des émeutes. La ségrégation urbaine au cœur des violences, in «La Vie des idées», 12 aprile 2024, https://laviedesidees.fr/IMG/pdf/20240412_emeutes.pdf.
[18] Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio, del 19 ottobre 2022, relativo a un mercato unico dei servizi digitali, art. 40.
