Sabotaggi Starlink in Europa: tre attacchi collegati e l’accusa di terrorismo a Vilnius

Sabotaggi Starlink in tre Paesi dell’Unione europea: tre incendi dolosi in meno di un mese contro stazioni di terra della rete satellitare, il 23 settembre in Polonia, il 9 ottobre in Bulgaria, il 18 ottobre in Lituania. Il 29 ottobre la polizia criminale lituana ha dichiarato che i tre episodi sono collegati, e la procura di Vilnius ha iscritto due giovani residenti in Germania per reati di terrorismo, tra cui la partecipazione a un gruppo terroristico, punita con la reclusione da 5 a 15 anni. Arresti sono già stati eseguiti in Germania su mandato polacco e bulgaro. Per i governi di Varsavia e Vilnius si tratta di sabotaggi della guerra ibrida russa; Mosca respinge le accuse e i mandanti, per ora, non sono stati accertati da nessuna autorità giudiziaria.

Il caso interessa chi protegge infrastrutture critiche per due ragioni. La prima riguarda il bersaglio: impianti tecnici piccoli, spesso isolati e poco presidiati, da cui dipendono però servizi di comunicazione con effetti ben oltre il sito. La seconda riguarda il modello: esecutori giovani, ingaggiati per un singolo lavoro, che attraversano più confini in poche ore. La notizia ricostruisce i fatti confermati, separa quello che resta da chiarire, spiega il quadro normativo europeo e italiano sulla protezione fisica delle infrastrutture spaziali a terra e indica cosa verificare nei propri siti.

Tre incendi in tre Paesi: cosa è successo

La ricostruzione si basa su dichiarazioni di procure, polizie e governi riportate dalla stampa dei Paesi coinvolti; alcuni dettagli divergono tra le fonti.

Data	Luogo	Cosa è stato colpito	Esito	Indagini
23 settembre, sera	Wola Krobowska (Masovia, circa 50 km a sud di Varsavia)	stazione di terra: impianti di alimentazione, stazione trasformatrice e generatore	intervento dei vigili del fuoco per oltre sei ore	procura nazionale polacca e Agenzia per la sicurezza interna (ABW): sabotaggio e reato di carattere terroristico a favore di un servizio di intelligence straniero
9 ottobre, 22:25 circa	teleporto di Plana, vicino a Sofia	otto antenne: tre distrutte, due danneggiate in parte, tre con danni minori	rischio che le fiamme raggiungessero l’edificio amministrativo	procura bulgara: incendio doloso, pena da 3 a 12 anni
18 ottobre, 2:30 circa	Vilnius, area recintata di un’azienda	antenna e relativa unità di controllo	fuoco spento da una guardia prima dell’arrivo dei vigili del fuoco, servizio non interrotto	procura di Vilnius e polizia criminale: terrorismo

In Polonia, secondo quanto ricostruito da Euronews Polska, l’impianto è gestito tra gli altri dalla società statale Exatel e ha un ruolo nel traffico dati usato anche dalle forze armate ucraine. Il 7 ottobre l’ABW ha comunicato la formulazione delle accuse e l’emissione di mandati d’arresto europei; il 12 ottobre la polizia tedesca ha arrestato a Nürtingen, vicino a Stoccarda, due cittadini turchi di 38 e 34 anni, e sull’estradizione dovrà pronunciarsi il tribunale regionale superiore di Stoccarda. Altre persone sono state fermate per un presunto ruolo logistico. Per i reati contestati in Polonia la pena prevista va da 10 anni all’ergastolo. Il presidente del Consiglio Donald Tusk ha parlato di “un nuovo atto di guerra ibrida”, e il coordinatore dei servizi speciali Tomasz Siemoniak ha attribuito il sabotaggio ai servizi russi.

In Bulgaria, secondo la procura citata dalla televisione pubblica BNT, gli autori erano due giovani nati nel 2007 in Germania, entrati come turisti dal valico di Kalotina, al confine con la Serbia, e ripartiti dopo poche ore. L’auto, con targa tedesca e intestata a un terzo, è stata ripresa dalle telecamere mentre si allontanava. Il 23 ottobre due diciannovenni tedeschi sono stati arrestati a Duisburg: secondo l’agenzia dpa, il tribunale regionale superiore di Düsseldorf ne ha disposto la detenzione ai fini dell’estradizione sulla base dei mandati bulgari, mentre la difesa intende contestarli.

In Lituania l’emittente pubblica LRT riferisce che il tentativo di incendio è stato fermato da un addetto alla sicurezza, che ha spento le fiamme prima dei vigili del fuoco: l’attività dell’azienda non si è interrotta. Secondo la polizia i due sospettati, di circa vent’anni, cittadini con doppia nazionalità turco-tedesca e serbo-tedesca, erano arrivati nel Paese il giorno prima e sono ripartiti subito dopo.

Le accuse di terrorismo a Vilnius e il collegamento tra i casi

Il 27 ottobre la procura di Vilnius ha iscritto i due giovani per quattro ipotesi di reato del codice penale lituano: creazione e partecipazione a un gruppo terroristico (articolo 249-1, parte 3), complicità (articolo 25, parte 3), spostamento in un Paese per fini terroristici (articolo 250-6, parte 1) e atto terroristico che avrebbe potuto causare gravi conseguenze (articolo 250, parte 2). Il procuratore Nėrijus Puškorius ha definito i reati gravi e molto gravi e ha confermato la collaborazione con Germania, Bulgaria e Polonia. LRT ha precisato in una correzione del 29 ottobre che i due risultano indagati e non ancora imputati: la consegna alla Lituania sarà chiesta in una fase successiva.

Il vicedirettore della polizia criminale lituana, Saulius Briginas, ha collegato i tre episodi: gli stessi due giovani avrebbero agito in Lituania e in Bulgaria, mentre in Polonia avrebbero operato altre persone, comunque collegate. Briginas ha parlato di “reati ibridi” volti a disturbare il funzionamento di Starlink in Europa, con effetti anche sulle comunicazioni in Ucraina. Il presidente del Consiglio lituano Mindaugas Sinkevičius ha ricondotto l’episodio a un’attività di sabotaggio della guerra ibrida russa.

Due elementi invitano alla cautela. Il tribunale di Düsseldorf, secondo la dpa, ha precisato che il mandato bulgaro riguarda solo il fatto avvenuto in Bulgaria e che non c’è ancora conferma che gli arrestati di Duisburg siano gli stessi indicati dalla Lituania. Le autorità lituane, inoltre, hanno detto di non aver ancora stabilito il movente preciso né chi abbia commissionato gli attacchi: il legame con la Russia, per la procura, è un sospetto non ancora provato.

La pista della criminalità su commissione

Il filo che unisce i casi, secondo le indagini giornalistiche, passa per la criminalità organizzata. Der Spiegel, citato da Euronews Polska, ha indicato un gruppo criminale turco noto come “Daltons” come possibile tramite tra i servizi russi e gli esecutori; il 27 ottobre, secondo l’agenzia turca Anadolu, la polizia turca ha fermato 85 presunti membri del gruppo in 30 province, 35 dei quali minorenni. Nessuna autorità giudiziaria ha finora confermato in un atto pubblico la catena di comando.

Il modello descritto dalla stampa corrisponde a quello che Europol documenta da tempo. Nel rapporto sulla criminalità organizzata EU-SOCTA 2025, presentato il 18 marzo 2025, l’agenzia scrive che le reti criminali operano sempre più spesso come proxy al servizio di attori di minaccia ibrida, in una cooperazione che si rafforza a vicenda, e che lo sfruttamento di giovani esecutori è uno dei modi in cui il crimine destabilizza le società europee. Il comunicato di Europol sull’EU-SOCTA 2025 colloca questa tendenza tra le tre caratteristiche che definiscono il crimine organizzato di oggi. Anche il rapporto TE-SAT 2026 di Europol segnala attori ibridi che si servono di intermediari, a volte inconsapevoli, per azioni di destabilizzazione persistente.

Europol descrive lo stesso schema per la cosiddetta violenza su commissione (violence-as-a-service). Nella scheda sui quattro ruoli della catena l’agenzia distingue l’istigatore, che ordina e finanzia e spesso si trova all’estero; il reclutatore, che contatta i potenziali esecutori via app di messaggistica cifrata o piattaforme di gioco; il facilitatore, che fornisce logistica e mezzi; l’esecutore, che in molti casi è un minore senza precedenti, scelto proprio perché meno visibile alle forze dell’ordine. La task force operativa GRIMM, nata nel 2025 contro questo fenomeno, ha contato in un anno 280 arresti in 11 Paesi e oltre 14.000 account individuati. Europol non ha collegato pubblicamente i sabotaggi Starlink alle indagini GRIMM: il punto è che lo schema, nato per omicidi e intimidazioni tra bande, si presta allo stesso modo ad attacchi contro impianti.

Per chi fa security il dato rilevante è la distanza tra chi decide e chi agisce: un esecutore ingaggiato per poche ore non è addestrato e non conosce il sito, quindi deterrenza e rilevazione in loco pesano molto.

Perché le stazioni di terra sono infrastrutture critiche

Una costellazione satellitare dipende da impianti a terra: antenne che collegano i satelliti alla rete, unità di controllo, alimentazione. Sono siti recintati, spesso isolati e con poco personale, da cui dipendono molti utenti a distanza. I tre casi mostrano anche dove si colpisce: in Polonia gli impianti di alimentazione, cioè trasformatore e generatore di riserva, senza i quali le antenne si fermano anche se intatte.

Il diritto europeo considera questi impianti in modo esplicito. La direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, nota come direttiva CER, elenca tra gli undici settori dell’allegato lo spazio, con un’unica categoria di soggetti: gli operatori di infrastrutture terrestri, possedute, gestite e operate dagli Stati membri o da privati, che sostengono la fornitura di servizi spaziali, esclusi i fornitori di reti pubbliche di comunicazione elettronica. In Italia il recepimento è il decreto legislativo 4 settembre 2024, n. 134, che nell’allegato A riprende i settori della direttiva e ne aggiunge uno, per un totale di dodici.

Se un operatore viene individuato come soggetto critico, l’articolo 13 della direttiva gli chiede misure tecniche, di sicurezza e organizzative proporzionate al rischio. Tra queste la direttiva cita in modo espresso la protezione fisica dei siti, con recinzioni, barriere, controllo del perimetro, impianti di rilevamento e controllo degli accessi (lettera b); la gestione delle crisi e i protocolli di allerta (lettera c); la continuità operativa e il ripristino del servizio (lettera d); la sicurezza del personale, compresi i controlli dei precedenti per chi svolge funzioni critiche (lettera e); la formazione e le esercitazioni (lettera f).

Resta un limite di trasparenza. In Italia l’elenco dei soggetti critici è escluso per legge dall’accesso, e il decreto del Presidente del Consiglio con le soglie per individuarli risultava ancora allo stato di schema nel dossier della Camera del 25 settembre 2026 (Atto del Governo 438). Non è quindi possibile dire dall’esterno quali stazioni di terra presenti sul territorio nazionale siano già soggette agli obblighi. Il quadro dei rischi fisici per questi impianti è lo stesso descritto per altre infrastrutture nell’articolo sulla protezione delle infrastrutture critiche, e si somma alla minaccia dei droni sopra i siti sensibili trattata nell’analisi su chi può fermare i droni sopra le infrastrutture critiche.

Cosa insegnano i sabotaggi Starlink

Le indagini potranno correggere i fatti noti, ma tre lezioni sembrano già solide.

La presenza umana ha fatto la differenza. A Vilnius un addetto alla sicurezza ha spento l’incendio prima dei vigili del fuoco e il servizio non si è fermato. Negli altri due casi i danni sono stati maggiori. Sugli impianti isolati la tentazione è affidarsi a recinzione e telecamere senza presidio o con tempi d’intervento lunghi: contro un esecutore poco esperto, il tempo tra rilevazione e reazione decide l’entità del danno.

Le telecamere servono anche dopo. In Bulgaria l’auto usata è stata ripresa mentre si allontanava, e in Polonia, secondo Euronews Polska, ABW e polizia hanno raccolto registrazioni di videosorveglianza insieme a tracce di DNA e impronte digitali. La videosorveglianza dei siti e delle vie d’accesso, con registrazioni conservate e consegnabili in tempi rapidi, ha contribuito ad arresti arrivati in due-tre settimane in un altro Paese.

Il punto debole è spesso accanto al bene principale. Alimentazione, quadri elettrici, generatori e cavidotti sono meno protetti delle antenne o dei server, ma fermano il servizio allo stesso modo. La valutazione del rischio di un sito tecnico deve considerare l’intera catena da cui dipende il funzionamento, come già avviene per la sicurezza perimetrale degli impianti.

Infine, un attacco in un Paese vicino è un segnale per tutti: secondo la ricostruzione lituana, gli stessi esecutori sarebbero passati dalla Bulgaria alla Lituania in nove giorni.

I punti ancora aperti

• I mandanti. Nessun atto giudiziario ha finora indicato chi abbia ordinato e finanziato gli attacchi. Le attribuzioni alla Russia vengono dai governi polacco e lituano; la procura di Vilnius le considera un sospetto da provare.
• L’identità degli esecutori. Non è confermato che i due arrestati a Duisburg su mandato bulgaro siano le stesse persone indagate a Vilnius.
• La giurisdizione. Bulgaria e Lituania potrebbero chiedere la consegna delle stesse persone: la decisione spetta ai tribunali tedeschi.
• Il numero dei coinvolti. Le cifre sui fermati variano tra le fonti, e il legame dei fermati in Turchia con gli incendi non è stato precisato.

Cosa seguire nelle prossime settimane

Le decisioni dei tribunali di Düsseldorf e Stoccarda sull’estradizione, gli eventuali atti d’accusa in Polonia e Lituania e le comunicazioni di Europol diranno se il collegamento tra i tre casi regge e fino a che punto è documentata la regia esterna. In Italia il passaggio da seguire resta l’adozione definitiva del decreto sulle soglie, che avvia l’individuazione dei soggetti critici anche nel settore spazio.

Le verifiche per chi protegge siti tecnici isolati

1. Mappare le dipendenze del sito: alimentazione, generatori, quadri, connessioni e unità di controllo, con il loro livello di protezione rispetto al bene principale.
2. Misurare i tempi reali di intervento tra un allarme notturno e l’arrivo di una persona sul posto, e confrontarli con il tempo necessario a causare un danno grave.
3. Controllare la videosorveglianza sul perimetro e sulle vie d’accesso: copertura notturna, conservazione delle registrazioni, procedura per consegnarle rapidamente alle forze dell’ordine.
4. Verificare la rilevazione incendi e i mezzi di primo intervento anche presso le apparecchiature esterne, oltre che negli edifici.
5. Aggiornare la valutazione del rischio con lo scenario di esecutori occasionali reclutati online, distinto da quello dell’intruso professionale.
6. Stabilire i canali di segnalazione con le autorità competenti e con gli altri operatori del settore, per alzare il livello di attenzione quando episodi simili avvengono altrove.

Domande frequenti

Cosa è successo alle stazioni Starlink in Europa?

Tre stazioni di terra sono state colpite da incendi dolosi: in Polonia il 23 settembre, in Bulgaria il 9 ottobre e in Lituania il 18 ottobre. A Vilnius il fuoco è stato spento da una guardia e il servizio non si è interrotto.

Di quali reati sono accusati i sospettati in Lituania?

Il 27 ottobre la procura di Vilnius ha iscritto due giovani per partecipazione a un gruppo terroristico, complicità, spostamento per fini terroristici e atto terroristico. Per il gruppo terroristico la pena va da 5 a 15 anni.

Chi c'è dietro i sabotaggi Starlink?

Non è ancora accertato. I governi di Polonia e Lituania parlano di guerra ibrida russa, Mosca respinge le accuse e la procura di Vilnius considera il legame con la Russia un sospetto non ancora provato.

Che cos'è la violenza su commissione descritta da Europol?

È un modello in cui un istigatore ordina e finanzia, un reclutatore contatta gli esecutori via app cifrate, un facilitatore fornisce i mezzi e un esecutore, spesso un minore senza precedenti, agisce sul posto.

Le stazioni di terra satellitari rientrano nella direttiva CER?

Sì. L'allegato della direttiva (UE) 2022/2557 include il settore spazio, con gli operatori di infrastrutture terrestri che sostengono servizi spaziali, esclusi i fornitori di reti pubbliche di comunicazione elettronica.