I bot russi spenti dai droni? Non proprio

«All’improvviso è diventato un po’ più facile respirare su molte piattaforme social.» Lo ha detto Volodymyr Zelensky il 12 ottobre 2026, in collegamento con il Warsaw Security Forum. Pochi giorni prima i droni ucraini avevano colpito tre data center di Yandex, il colosso tecnologico russo. E secondo il presidente ucraino, sui social si era visto subito: «meno odio, meno divisioni e meno provocazioni, perché c’erano meno bot».

Nel giro di un weekend la storia ha fatto il giro d’Europa e degli Stati Uniti. Un grafico che crolla. Un eurodeputato che nota il silenzio intorno all’AfD tedesca. Utenti che giurano di non vedere più i soliti account sotto i post. Su X c’era chi chiedeva se fosse vero che l’engagement dell’estrema destra era crollato del 90 per cento. Bastava un drone, e la fabbrica del consenso si spegneva.

È una storia bellissima. Ha un eroe, un cattivo, un colpo di scena e una morale. Ha solo un difetto: i dati che la dovevano dimostrare raccontano un’altra cosa.

Cosa è successo davvero ai data center di Yandex

Gli attacchi ci sono stati, e hanno fatto danni veri. L’8 ottobre i droni ucraini hanno colpito il data center di Sasovo, nella regione di Ryazan, circa 315 chilometri a sudest di Mosca. Il giorno dopo quello nella regione di Kaluga, a sudovest della capitale: un attacco che la stessa Yandex ha attribuito ai droni ucraini. L’11 ottobre è toccato al centro della regione di Vladimir, 180 chilometri a est di Mosca, dove l’azienda tiene uno dei supercomputer che usa per sviluppare il suo modello di intelligenza artificiale.

Secondo Il Post, sono tre dei sei principali data center dell’azienda. Yandex ha confermato su Telegram che a Vladimir l’infrastruttura era danneggiata, le operazioni completamente sospese e la piattaforma fuori servizio. Secondo Cybernews, Sasovo e Vladimir si sono fermati del tutto, e a Kaluga una parte delle macchine non è più utilizzabile.

Yandex non è un’azienda qualsiasi. Viene chiamata «la Google russa», ma fa molto più di un motore di ricerca: taxi, consegne di cibo, cloud, pagamenti. Dopo gli attacchi sono rimasti a lungo irraggiungibili i servizi cloud e soprattutto Yandex Pay, con problemi seri per chi teneva lì i propri soldi. Yandex Go, l’app di taxi e consegne, ha avuto disservizi fino a lunedì anche in Armenia, Bielorussia, Kazakistan, Kirghizistan e Uzbekistan.

Il contesto, poi, conta. Zelensky ha presentato gli attacchi come una risposta: «Sapete tutti che hanno colpito e continuano a colpire i nostri data center. Stiamo rispondendo». È la guerra che si sposta sull’infrastruttura digitale. E questo, sì, è un fatto.

Il problema comincia dopo. Quando un grafico tecnico diventa la prova di un’altra storia.

Il grafico che ha fatto il giro del mondo

Il grafico viene da Cloudflare Radar, il servizio pubblico con cui Cloudflare, una delle grandi aziende che gestiscono il traffico di internet, mostra cosa passa sulla sua rete. Una delle sue pagine misura le richieste automatiche che arrivano ai siti protetti da Cloudflare da una certa rete. La rete in questione è AS13238, cioè il «sistema autonomo» di Yandex: il blocco di indirizzi internet che l’azienda gestisce come un’unica rete.

Dopo gli attacchi, quella linea è precipitata. Quanto, dipende dal riferimento scelto, ed è il primo dettaglio che dovrebbe farti alzare un sopracciglio.

Ed è qui che la storia si incrina. Cloudflare Radar non guarda dentro X, Facebook o TikTok. Misura le richieste automatiche ai siti web che usano Cloudflare, di qualunque tipo. Lo ha spiegato antibot4navalny, un gruppo che da anni traccia le campagne di account russi sui social: «Il grafico di Cloudflare non ha niente a che fare con i social media».

E cosa fa, il traffico automatico di un motore di ricerca? Legge il web. Un motore di ricerca funziona così: manda in giro dei programmi, i crawler o spider, che passano da un sito all’altro, leggono le pagine e aggiornano l’indice. Lo fa Google con Googlebot, lo fa Yandex con i suoi. Se spegni i server di un motore di ricerca, la prima cosa che si ferma è proprio quella lettura. Ed è questa, secondo le fonti, la spiegazione più probabile del crollo: le richieste stimate come automatiche dalla rete di Yandex sono in larghissima parte quelle dei crawler. Il resto è un’altra storia, da dimostrare.

Ci sono altri due dettagli che chi ha condiviso il grafico ha saltato. Il primo: guardando il totale della Russia, sempre su Cloudflare Radar, il traffico automatico di quella settimana era sostanzialmente uguale a quello delle altre settimane, scrive Cybernews. Il secondo: il traffico di Yandex ha cominciato a riprendersi già domenica. Anche questa ripresa, però, riguarda il traffico automatico verso i siti: non dice niente, in un senso o nell’altro, su eventuali attività di propaganda.

Bot e «bot»: due cose diverse con lo stesso nome

La confusione nasce da una parola. «Bot» vuol dire due cose, e in questa storia sono state sovrapposte.

Il primo bot è un programma che fa richieste a un sito senza un essere umano davanti. Il crawler di un motore di ricerca. Lo strumento che controlla ogni minuto se un sito è online. Il programma che confronta i prezzi. Sono tutti esempi di traffico automatico, e in buona parte legittimo. Cloudflare dà a ogni richiesta un punteggio: da 1 a 29 probabilmente automatica, da 30 in su probabilmente umana. Quel punteggio stima quanto è probabile che una richiesta l’abbia fatta una macchina. Non dice niente del contenuto, né di chi paga.

Il secondo «bot» è quello di cui parliamo quando litighiamo online: un account sui social che finge di essere una persona, rilancia propaganda, risponde con rabbia sotto i post, gonfia un hashtag. A volte è un software. A volte è una persona vera, pagata, che gestisce più profili. Chiamarlo bot è una scorciatoia, e a volte un insulto.

Il primo bot legge. Il secondo parla. Il grafico misurava richieste automatiche verso i siti, che le fonti attribuiscono soprattutto al primo. La storia raccontava il secondo.

Gizmodo l’ha messa giù con una certa ironia: accusare chi non la pensa come te di essere un bot è una delle poche tattiche online davvero bipartisan. Non c’è discussione su Reddit senza qualcuno che scrive «oggi i bot sono scatenati». Il che vuol dire che la parola era già carica prima del grafico. Il grafico le ha solo dato un numero.

Il caso AfD e il grafico che, secondo Cybernews, era fatto con l’AI

Il salto dalla Russia all’estrema destra europea lo ha fatto, fra gli altri, l’eurodeputato ceco Tomáš Zdechovský. L’11 ottobre ha scritto su X: «Se confermato, è significativo: i data center russi vengono colpiti e l’attività online intorno ad AfD improvvisamente crolla». Con un grafico allegato.

Quel «se confermato» è la parte più onesta del post, ed è quella che rischia di perdersi nelle condivisioni. Il grafico, di provenienza dubbia, è stato contestato da esperti come Ilya Lozovsky, dell’Organized Crime and Corruption Reporting Project, che ne ha segnalato le anomalie. Secondo Cybernews, era stato generato con l’intelligenza artificiale. Il Post aggiunge che i grafici circolati sul calo intorno ad AfD, Reform UK e al mondo MAGA non avevano fonti chiare, e che in uno i dati proseguivano fino al 15 ottobre: cioè oltre i giorni in cui stava circolando.

Poi è arrivato tutto il resto. Lo storico Timothy Snyder ha scritto che, «a una prima occhiata», sembrava proprio che molto del lavoro dei bot pro-Trump e pro-AfD dipendesse dai data center russi. Polymarket, la piattaforma di scommesse sugli eventi, ha pubblicato che l’attività di diversi subreddit politici americani era crollata, senza mostrare prove. Nel Regno Unito qualcuno ha notato meno interazioni sotto i post delle figure di Reform UK. Negli Stati Uniti utenti di X hanno detto di vedere meno risposte automatiche filo-conservatrici. Euronews riassume così: affermazioni, nessun dato verificato in modo indipendente.

E qui vale la pena fermarsi su come si costruisce una prova che non esiste. Un dato vero ma su un’altra cosa: il traffico automatico di un motore di ricerca. Un’autorità che rilancia con prudenza, e la prudenza che rischia di perdersi a ogni condivisione. Un grafico senza dati verificabili che sembra vero. Tante testimonianze personali, ognuna innocua, che sommate sembrano una prova. Il pezzo più forte, il dato di Cloudflare, è autentico. È il montaggio a inventare.

«Se vuoi difendere la democrazia, devi essere disposto a rifiutare la disinformazione anche quando racconta una storia che vuoi sentirti raccontare.»

— Caroline Orr Bueno, scienziata comportamentale esperta di disinformazione, citata da Cybernews

Come lavorano davvero le troll farm

Le operazioni russe di influenza esistono, e ne ho scritto più volte. Ma questo grafico non ne misura l’attività, e c’è un motivo per cui difficilmente si collegherebbero ai social passando dai server di Yandex: sarebbe il modo più facile per farsi riconoscere.

Dal 2022, dall’invasione dell’Ucraina, piattaforme come Reddit e Facebook di solito bloccano il traffico che arriva direttamente dai data center russi più noti, spiega Cybernews. Secondo Cybernews, le operazioni coperte si appoggiano quindi ad altro: reti di proxy residenziali, cioè connessioni domestiche usate come passaggio; dispositivi connessi compromessi, come le TV box di cui ho scritto parlando delle botnet di dispositivi IoT; VPN commerciali; servizi cloud occidentali. Il traffico deve sembrare locale. Un account che finge di essere un elettore di Dresda non ha nessun interesse a presentarsi con un indirizzo di Mosca. Questo non esclude, però, che qualche strumento usato dietro le quinte stesse sul cloud di Yandex: ci torno fra poco.

E poi c’è il lato umano, che i grafici non vedono. La storica Internet Research Agency, la fabbrica di troll di San Pietroburgo, lavorava da un palazzo di uffici, non da un data center. Open ricorda Lakhta, la struttura legata al gruppo Wagner di Prigozhin: un team di 400 persone che usava servizi per aggirare il blocco degli indirizzi. Gizmodo descrive queste operazioni più come fabbriche di contenuti a basso costo che come centrali tecnologiche: manodopera economica più un po’ di automazione.

Gizmodo cita anche un esempio fresco, e non russo: un’operazione lettone che paga collaboratori in paesi poveri di mezzo mondo per tagliare video a sostegno del mondo MAGA. È la storia che ho raccontato in «Il consenso a 300 dollari al milione», partendo dall’inchiesta di The Atlantic: un server Discord, una cartella Google Drive, dei clipper pagati a visualizzazioni. Per capire come si può fabbricare un consenso nel 2026, è un modello che dice più di una sala macchine piena di bot.

Yandex, per la cronaca, ha detto a Cybernews che usare il suo cloud per manipolazioni di massa sui social viola le sue regole e porta al blocco degli account. Dirlo è facile, verificarlo da fuori no. Resta il punto: il traffico che il grafico ha visto crollare è quello di un motore di ricerca, e per sapere se insieme a lui si è fermato anche altro servono altri dati.

Quello che potrebbe essersi rotto davvero

Detto tutto questo, sarebbe sbagliato fare il ribaltamento opposto e concludere che gli attacchi non abbiano toccato niente. Non lo sappiamo. Ed è diverso.

Kevin Limonier, studioso del cyberspazio russofono citato da Le Grand Continent, avanza un’ipotesi più fine. I bot di oggi sono catene di strumenti: c’è chi scrive i testi, chi li traduce, chi decide quando pubblicarli. Se uno di quei pezzi era ospitato da Yandex, per esempio un modello linguistico sul suo cloud o un sistema che automatizza le azioni, potrebbe essersi fermato quel pezzo, senza che si fermassero i bot nel loro insieme.

Ha senso, perché due dei tre data center colpiti ospitano alcuni dei supercomputer più potenti della Russia. Quello di Vladimir, secondo Le Grand Continent, è fra i 150 più potenti al mondo nella classifica TOP500. Se l’interfaccia di YandexGPT, il modello di Yandex, smette di funzionare, chi lo usava per generare o tradurre contenuti deve trovare un’alternativa. Open lo dice in modo netto: non si può escludere che con i server di Yandex si sia fermata anche qualche attività di propaganda appoggiata al suo cloud. Ma per dimostrarlo servirebbero i dati delle piattaforme o di chi tiene d’occhio gli account sospetti. E le fonti che ho esaminato, per ora, non li presentano.

Un ultimo dettaglio dice quanto sia pesante il colpo. Secondo Le Grand Continent, Yandex non sa se l’infrastruttura di Sasovo verrà ripristinata e stima che sostituire le macchine distrutte potrebbe richiedere mesi, se non anni: fra sanzioni e carenza mondiale di memorie e componenti, le aziende russe faticano a comprare l’hardware per i grandi data center. E secondo il conteggio di Data Center Map citato dalla stessa testata, la Russia ha circa un quattordicesimo dei data center dell’Unione europea e un venticinquesimo di quelli degli Stati Uniti. Poche strutture, difficili da rimpiazzare: questo rende gli attacchi rilevanti. Per l’economia digitale russa, sicuramente. Per la propaganda, forse.

«Forse» è una parola scomoda da twittare. Ma è la parola giusta.

Perché ci abbiamo creduto

La mia ipotesi è che fosse la storia che molti volevano sentirsi raccontare. Il nome tecnico è bias di conferma: tendiamo a cercare, notare e accettare le informazioni che confermano quello che pensiamo già, e a passare in fretta su quelle che lo smentiscono. Riguarda chiunque, compresi gli intelligenti, compreso chi scrive.

Questa storia, per come la leggo io, confermava tre cose in un colpo solo.

La prima, per chi sostiene l’Ucraina: i droni colpiscono il nemico dove fa male, anche online. La seconda, per chi detesta l’estrema destra: il suo consenso è in parte finto, gonfiato da fuori. La terza, per molti: l’odio sui social non viene da noi. Lo ha detto Zelensky in modo esplicito: se i bot sono spariti quando è caduta Yandex, «l’Europa non è la fonte dei problemi».

Ed è la terza la più seducente. Perché è assolutoria. Se la rabbia nei commenti è una macchina russa, allora non è il tuo vicino di casa, non è tuo cugino, non sei tu. Se il partito che detesti cresce perché lo spingono i bot, allora non devi chiederti perché lo votano le persone vere. Basta un drone, e il problema evapora.

Il rovescio è pericoloso. Chi vota AfD o Reform UK esiste, in carne e ossa, e non sparisce se si spegne un server a Vladimir. Raccontarsi che sia tutto un’illusione digitale è il modo più comodo per smettere di capire perché lo votano. E capirlo è la prima cosa che serve, se lo si vuole battere.

C’è anche un’ironia che fa male. Una notizia nata per denunciare la disinformazione si è diffusa con i meccanismi della disinformazione: un grafico decontestualizzato, uno che secondo Cybernews era generato con l’AI, testimonianze personali spacciate per dati. Caroline Orr Bueno se l’è presa proprio con gli account filoucraini che la condividevano perché raccontava una storia favorevole all’Ucraina. Il punto vale per tutti: anche la disinformazione che ti dà ragione può sfuggire al tuo controllo critico.

Come si legge un grafico prima di condividerlo

Con quattro domande, nell’ordine. Questa storia è un ottimo esercizio, perché ognuna l’avrebbe fermata.

La prima: cosa misura esattamente? Non il titolo del post, l’etichetta dell’asse. Qui: richieste automatiche ai siti web da una rete. Non messaggi sui social. Se la cosa misurata e la cosa raccontata sono diverse, ti stanno vendendo un ponte.

La seconda: rispetto a cosa? Un calo del 94% rispetto a quando? Una settimana prima, la media di settembre, il picco delle ultime due settimane? Lo stesso fenomeno può sembrare più o meno drammatico a seconda del confronto. Se il confronto non c’è, il numero è solo un’emozione.

La terza: da dove viene? Una fonte che puoi aprire, come la pagina di Cloudflare Radar, o un’immagine senza firma? Un grafico senza fonte, nel 2026, può essere stato fatto in trenta secondi da un generatore di immagini. Uno dei grafici di questa storia aveva dati fino al 15 ottobre, pubblicati prima del 15 ottobre.

La quarta: cosa servirebbe per dimostrarlo, e c’è? Per dire che i bot pro-AfD si sono fermati servirebbero osservazioni sugli account sospetti, prima e dopo gli attacchi, dalle piattaforme o da chi li traccia. Quei dati potrebbero arrivare più avanti, oppure mai. Finché mancano, il collegamento resta un’ipotesi, e va condiviso come tale.

Ne ho parlato anche a proposito della disinformazione con i finti giornalisti: il falso convince prima con la forma, poi con il contenuto. Un grafico dà subito un’impressione di autorevolezza. Sembra matematica. Per questo va guardato due volte.

Come puoi applicarlo al tuo brand

Tolta la guerra, un errore simile può capitare in una riunione di marketing di un lunedì mattina. Un numero si muove, e qualcuno ha già pronta la spiegazione che preferisce.

Le visite al sito crollano? Colpa dell’aggiornamento di Google. Le interazioni salgono? Merito della nuova grafica. A volte è vero. Spesso è il nostro grafico di Cloudflare: un dato reale, che misura qualcos’altro, letto con la storia che avevamo già in testa. Il traffico che sale può essere traffico automatico. Le interazioni che scendono possono dipendere da un cambio dell’algoritmo o da una festività, e quelle registrate possono calare per un problema di tracciamento anche se il pubblico reale non è cambiato.

Prima di decidere qualcosa su un numero, fagli le stesse quattro domande. Cosa misura davvero lo strumento. Rispetto a quale periodo. Da quale fonte, e con quale filtro. E cosa dovresti vedere anche altrove, se la tua spiegazione fosse giusta: se sospetti un cambiamento di Google, confronta il traffico dalla ricerca con quello degli altri canali, e controlla che non ci siano altre cause nello stesso periodo.

E poi c’è la lezione più scomoda, quella sul pubblico. Quando un concorrente cresce, la tentazione è dire che ha comprato follower, che è tutto gonfiato. A volte succede, e l’ho raccontato. Ma se ti fermi lì non impari niente da quello che sta facendo bene. Una spiegazione che ti assolve, presa senza verificarla, è un ottimo modo per prendere la decisione sbagliata.

Gli attacchi e i disservizi sono documentati. L’effetto sulla propaganda, per ora, no. Fra queste due frasi c’è lo spazio esatto in cui un’intera rete si è raccontata la storia che voleva. Ed è lì, nella parte che aggiungiamo noi, che si nasconde l’errore più costoso.

Domande frequenti

È vero che gli attacchi ucraini a Yandex hanno spento i bot russi?

Non ci sono prove. Gli attacchi hanno danneggiato tre data center di Yandex, con interruzioni parziali o totali, e fatto crollare il traffico automatico della sua rete, che le fonti attribuiscono soprattutto ai crawler del motore di ricerca. Le fonti esaminate non presentano dati verificati su un calo dei bot di propaganda sui social.

Cosa mostrava il grafico di Cloudflare Radar?

Le richieste stimate come automatiche verso i siti web protetti da Cloudflare, provenienti dalla rete di Yandex (AS13238). Dopo gli attacchi sono scese quasi a zero; le fonti riportano misure diverse, calcolate su riferimenti diversi. Non misura l’attività degli account social.

Che differenza c’è fra un crawler e un bot dei social?

Il crawler è un programma che legge le pagine web per aggiornare l’indice di un motore di ricerca. Il «bot» di propaganda sui social è un account che finge di essere una persona per diffondere messaggi, automatizzato oppure gestito da persone pagate. Hanno lo stesso nome ma fanno cose diverse.

È calato davvero l’engagement dell’AfD e dell’estrema destra?

Non è stato dimostrato. Le affermazioni sul calo intorno ad AfD, Reform UK e al mondo MAGA si basano su grafici senza fonti chiare, fra cui quello condiviso dall’eurodeputato Zdechovský, che secondo Cybernews era generato con l’AI, e su impressioni personali. Euronews parla di affermazioni senza dati verificati in modo indipendente.

Gli attacchi possono aver danneggiato comunque la propaganda russa?

È possibile, ma non dimostrato. Alcuni esperti ipotizzano che si sia fermato qualche strumento ospitato da Yandex, come un modello di intelligenza artificiale sul suo cloud. Per verificarlo servirebbero dati delle piattaforme che finora non sono emersi.

Da dove passano davvero i bot di propaganda?

Secondo Cybernews, di solito non dai data center russi più noti, che molte piattaforme bloccano dal 2022. Le operazioni coperte possono usare proxy residenziali, dispositivi compromessi, VPN commerciali e servizi cloud occidentali, per sembrare utenti locali.

Come capisco se un grafico che vedo sui social è affidabile?

Chiediti cosa misura esattamente, rispetto a quale periodo, da quale fonte viene e se ci sono altri dati che dovrebbero confermarlo. Un grafico senza una fonte che puoi aprire e controllare va preso con molta cautela, e condiviso, se proprio, come un’ipotesi.