Allarmi “fantasma” in atterraggio a Washington, i dati che fanno pensare a un possibile cyberattacco al sistema anticollisione. Indagine genovese

4 Febbraio 20264 Febbraio 2026

Dieci aerei di linea, tre ore di avvisi anomali in fase di atterraggio: un gruppo di ricercatori di Università di Genova e CASD – Scuola Superiore Universitaria ha analizzato dati pubblici legati all’episodio del 1° marzo 2025 al Ronald Reagan di Washington e sostiene che il comportamento registrato sia compatibile con un attacco informatico in volo al sistema anticollisione, in una variante finora non documentata, proponendo anche un metodo di monitoraggio che potrebbe aiutare a individuare la possibile sorgente senza modifiche alle apparecchiature di bordo

Per tre ore, nella mattinata del 1° marzo 2025, dieci aeromobili in fase di avvicinamento e atterraggio sulla pista 19 del Ronald Reagan Washington National Airport hanno registrato una sequenza insolita di allarmi del sistema anticollisione. In cabina, quando scatta un avviso operativo di questo tipo, non si tratta di una semplice “spia”: può tradursi in indicazioni immediate e obbligatorie che incidono sulle manovre, con un impatto potenzialmente delicato proprio perché avviene nella fase più critica del volo, quella dell’avvicinamento. È anche per questo che l’episodio, inizialmente ricondotto nel dibattito pubblico a possibili interferenze o malfunzionamenti, è diventato oggi il cuore di un’analisi tecnica che apre scenari molto più inquietanti.

Lo studio è firmato da Giacomo Longo, Giacomo Ratto e Alessio Merlo per il Centro alti studi per la difesa – Scuola superiore universitaria (CASD) e da Enrico Russo per l’Università di Genova, con il supporto del partenariato SERICS – Security and Rights in Cyber Space del Piano nazionale di ripresa e resilienza. Il punto centrale, formulato con prudenza ma senza ambiguità, è che il comportamento osservato negli allarmi registrati a Washington risulta compatibile con un cyberattacco in volo al Traffic alert and Collision Avoidance System, cioè il sistema anticollisione noto come TCAS, e per di più in una variante non descritta in precedenza nella letteratura pubblica.

Per capire la portata della tesi bisogna partire dal ruolo del TCAS. È l’ultima barriera di sicurezza per evitare collisioni in volo e lavora in autonomia rispetto al controllo del traffico aereo: attraverso comunicazioni radio rileva la presenza di altri velivoli nelle vicinanze e, se individua un rischio, emette istruzioni operative che impongono manovre evasive coordinate. Proprio perché nasce come strato “finale” di sicurezza, è stato progettato per essere affidabile e rapido, ma molti dei suoi protocolli radio derivano da un’epoca in cui la sicurezza informatica non era una priorità di progetto: l’assenza di meccanismi robusti di autenticazione e protezione del canale è il terreno su cui si innestano, secondo i ricercatori, possibili inganni del sistema.

Il lavoro non nasce dal nulla. Nel 2024 lo stesso gruppo aveva già mostrato in laboratorio che, sfruttando debolezze dei protocolli radio, è possibile indurre falsi allarmi di collisione e persino interferire con funzioni critiche, utilizzando apparecchiature certificate analoghe a quelle installate sugli aerei civili. Nel gennaio 2025, l’agenzia statunitense Cybersecurity and Infrastructure Security Agency (CISA) aveva riconosciuto l’esistenza di vulnerabilità, sottolineando però che le dimostrazioni erano state effettuate in un contesto controllato. È qui che l’episodio del Ronald Reagan diventa, per i ricercatori, una soglia: se una dinamica reale presenta somiglianze forti con ciò che era stato ottenuto in laboratorio, allora l’ipotesi “solo teorica” acquista un peso diverso.

La nuova analisi, basata su dati pubblici, segnala analogie tra le dinamiche di Washington e quelle osservate durante le prove sperimentali. In termini divulgativi, l’idea dell’attacco è far “vedere” al sistema un traffico inesistente, un “aereo fantasma”, abbastanza vicino da far scattare gli avvisi. La variante che gli autori ritengono compatibile con Washington, e che definiscono non documentata in precedenza, si appoggerebbe a comportamenti legacy legati a funzioni storiche dei protocolli, sfruttando il modo in cui il sistema ricava informazioni come la distanza attraverso tempi di risposta radio. In questa lettura, manipolando quei tempi, un trasmettitore ostile potrebbe alterare la distanza “percepita” dal TCAS e portare il sistema a reagire come se un velivolo fosse pericolosamente vicino anche quando non lo è.

Il passaggio più immediatamente pratico della ricerca, però, non è solo la diagnosi. Poiché l’ecosistema del TCAS è basato su componenti certificati e complessi da aggiornare o sostituire rapidamente, lo studio propone una contromisura che punta a essere applicabile senza modifiche hardware: un sistema di monitoraggio che sfrutta dati operativi già disponibili per individuare segnali anomali e provare a localizzare la sorgente delle trasmissioni sospette. L’obiettivo, spiegano gli autori, è dare agli operatori uno strumento capace di rilevare, caratterizzare e restringere in tempi rapidi l’area di possibile origine, trasformando un’anomalia “misteriosa” in un evento più leggibile e gestibile, proprio mentre è in corso.

Resta, inevitabilmente, il tema delle spiegazioni alternative e dell’assenza di una versione conclusiva ufficiale sull’origine degli allarmi: si è parlato in generale di malfunzionamenti o interferenze, e il quadro pubblico ha visto anche ipotesi legate a attività tecniche in grado di disturbare lo spettro radio. I ricercatori, però, non impostano il discorso come un verdetto, bensì come una compatibilità tecnica: i dati, secondo loro, non escludono un attacco e mostrano segnali che lo rendono plausibile in un perimetro finora poco considerato, con implicazioni dirette perché in gioco c’è l’ultimo strato di sicurezza dell’aviazione civile.

I risultati completi saranno presentati alla Network and Distributed System Security Symposium, in programma a San Diego nel febbraio 2026, portando il caso di Washington dentro un confronto internazionale che, inevitabilmente, sposterà il tema dalla curiosità al rischio operativo: non tanto perché ogni anomalia debba essere letta come un attacco, ma perché il solo fatto che un attacco “compatibile coi dati” sia tecnicamente discutibile costringe a ripensare come si monitora, si segnala e si difende ciò che, per definizione, dovrebbe funzionare anche quando tutto il resto fallisce.

Se non volete perdere le notizie seguite il nostro sito GenovaQuotidiana il nostro canale Bluesky, la nostra pagina X e la nostra pagina Facebook (ma tenete conto che Facebook sta cancellando in modo arbitrario molti dei nostri post quindi lì non trovate tutto). E iscrivetevi al canale Whatsapp dove vengono postate solo le notizie principali