Uffizi, attacco hacker del 1° febbraio: smentite su mappe e password

L’attacco informatico alle Gallerie degli Uffizi è reale e la data che conta è il 1° febbraio 2026. La ricostruzione più solida disponibile al 3 aprile dice però una cosa precisa: l’intrusione ha colpito l’infrastruttura amministrativa del polo museale e ha prodotto una richiesta di riscatto indirizzata al direttore Simone Verde, ma la direzione esclude perdite di informazioni, furti di opere, password sottratte e prove sul possesso di mappe di sicurezza da parte degli aggressori. Il caso esiste e la sua portata concreta va definita con rigore.

Il punto decisivo sta nella distinzione fra un attacco ai sistemi di lavoro e una compromissione accertata del perimetro fisico di sicurezza. Si tratta di due piani diversi. Nel primo si misurano continuità operativa, backup, archivi, email e capacità di risposta. Nel secondo si parlerebbe di allarmi, sensori, percorsi di servizio e protezione immediata delle opere. Allo stato dei riscontri pubblicamente verificabili il primo piano è documentato, il secondo resta contestato.

La sequenza dei fatti che regge ai riscontri

La finestra temporale dell’intrusione si colloca tra la notte del 31 gennaio e il 1° febbraio. Già nelle prime ore successive il quadro emerso era quello di un colpo ai software amministrativi, con museo aperto, accoglienza al pubblico regolare, biglietteria operativa e vigilanza non interrotta. Questo passaggio è fondamentale perché delimita subito il bersaglio dell’attacco, che emerge con chiarezza nella macchina gestionale interna del polo museale.

Dentro questa cornice si colloca il capitolo più serio, cioè il tentativo di pressione economica. La richiesta di riscatto viene confermata nella sostanza dalla direzione, che nello stesso tempo sostiene di avere recuperato integralmente il materiale del server fotografico grazie al backup completo. Il fatto documentato riguarda quindi l’accesso a un segmento delicato dell’infrastruttura e il successivo tentativo di estorsione ai danni di un’istituzione culturale di livello strategico.

Il nodo dei dati di sicurezza

Lo scontro pubblico si è aperto dopo l’articolo del Corriere della Sera, che attribuisce agli aggressori la disponibilità di codici d’accesso, password, mappe interne, percorsi di servizio e posizione di telecamere e sensori. La replica del museo è di segno opposto: nessuna password dei sistemi di sicurezza sarebbe stata sottratta perché quei sistemi funzionano su circuito chiuso interno, non esisterebbero prove sul possesso di mappe della sicurezza, i telefoni dei dipendenti non sarebbero stati infiltrati e la collocazione delle telecamere, osserva la direzione, è per definizione visibile a chi percorre gli spazi museali. È qui che passa la linea di demarcazione tra fatto verificato e scenario non provato.

La nostra lettura, sulla base degli elementi messi a disposizione, è netta. Se la separazione descritta dagli Uffizi fra rete amministrativa e apparati di sicurezza è corretta, l’intrusione resta grave ma cambia natura operativa. Un archivio fotografico o un gestionale compromesso possono provocare blocchi, ricatti e costi reputazionali molto alti. L’eventuale disponibilità di dati amministrativi non coincide automaticamente con la possibilità di disattivare allarmi o di costruire un percorso indisturbato verso le opere. È una differenza tecnica che decide il peso reale del caso.

Il Tesoro dei Granduchi non nasce con il cyberattacco

Il passaggio meno compreso riguarda Palazzo Pitti e il Tesoro dei Granduchi. La direzione sostiene che lo sgombero dei pezzi era già previsto nel quadro del rifacimento del museo, con gara avviata a settembre e primi contatti con la Banca d’Italia collocati in autunno. Sul sito ufficiale delle Gallerie compare inoltre l’avviso che dispone la chiusura del Tesoro dal 3 febbraio 2026 per manutenzione straordinaria. La cronologia conta più di qualsiasi enfasi. Se il percorso logistico nasce mesi prima dell’attacco, il trasferimento dei beni non può essere letto come una misura improvvisata dettata dall’allarme del giorno.

Questo non alleggerisce la vicenda. La definisce meglio. Gli Uffizi si sono trovati a gestire nello stesso momento un’intrusione digitale, un cantiere museale già impostato e l’effetto amplificante di una narrazione pubblica che tende a saldare ogni elemento in un’unica scena di emergenza. Il risultato è che lavori programmati e risposta al rischio cyber finiscono per sovrapporsi nella percezione esterna, anche quando le scansioni temporali raccontano altro.

Telecamere analogiche, porte tamponate e contesto reale

Anche sul fronte delle telecamere conviene attenersi alla meccanica dei fatti. La direzione spiega che il passaggio da sistemi analogici a sistemi digitali era in corso da un anno dopo una segnalazione della polizia nel 2024 e che l’accelerazione è stata poi favorita dal nuovo contesto di rischio maturato nel sistema museale europeo. Tradotto: la presenza di telecamere obsolete può segnalare un ritardo di aggiornamento tecnologico. Da sola però non dimostra assenza di sorveglianza e non prova una falla sfruttata dagli aggressori.

Lo stesso vale per le porte murate. Una parte delle chiusure viene collegata dal museo a presidi richiesti dal piano antincendio, con SCIA depositata ai vigili del fuoco, mentre altre vengono spiegate come interventi aggiuntivi per ridurre la permeabilità di spazi storici nati in un altro secolo e oggi sottoposti a standard di sicurezza molto diversi. Le immagini delle tamponature, lette fuori dal contesto tecnico, suggeriscono un assedio. Letto dentro il contesto giusto, il dato descrive invece il lavoro permanente di adattamento di un complesso del Cinquecento a esigenze contemporanee di tutela e controllo.

Che cosa cambia adesso

L’insegnamento più concreto di questo caso riguarda tutto il patrimonio culturale italiano. L’area più esposta spesso coincide con l’infrastruttura laterale che gestisce immagini, pratiche, gare, email, repository e flussi interni. È lì che un attacco produce la combinazione più insidiosa: blocca lavoro, apre un varco all’estorsione e costringe l’ente a difendere in poche ore sia i sistemi sia la propria credibilità pubblica.

La domanda utile riguarda la segmentazione delle reti, la qualità dei backup, la velocità di ripristino, la protezione degli archivi di lavoro e la capacità di comunicare una crisi senza consegnare al panico elementi che restano contestati. Nei musei di prima fascia la sicurezza fisica e la sicurezza informatica non coincidono, ma non possono più essere amministrate come reparti separati.

La ricostruzione che proponiamo coincide, nei suoi punti essenziali, con la nota della direzione ripresa da ANSA e Reuters. Il punto fermo, al 3 aprile 2026, è questo: gli Uffizi hanno subito un attacco con richiesta di riscatto e tempi di ripristino tecnici, ma non esiste una prova pubblica verificabile che i criminali abbiano assunto il controllo dei dispositivi di sicurezza o sottratto dati tali da trasformare l’intrusione digitale in una falla fisica già dimostrata. È su questa distinzione che va misurata la gravità reale del caso e anche la qualità della risposta istituzionale.