Orari di lavoro
Lunedi - Venerdi: 7.30 - 19.30
Sabato: 8 - 16
Z Side · Reality Glitch
A cura di Zoom Out Lab
Il 2 marzo 2026 un ransomware ha colpito Vivaticket, la piattaforma italiana che gestisce la biglietteria di oltre 3.500 musei e siti culturali in Europa. Nel giro di poche ore i sistemi di prenotazione online del Louvre, del Musée d’Orsay, della Torre Eiffel, di Notre-Dame, dell’Arc de Triomphe e di decine di altri siti tra i più visitati al mondo sono andati offline. Pochi giorni prima, a Firenze, gli Uffizi avevano scoperto che qualcuno aveva sottratto silenziosamente mappe dei sistemi di allarme, codici di accesso e archivi fotografici interni. Benvenuti nel cyberattacco musei Louvre Uffizi, ovvero nella storia di come il patrimonio culturale più antico del mondo è diventato uno dei bersagli digitali più vulnerabili del 2026.
Il cyberattacco musei Louvre Uffizi non è un titolo giornalistico scelto per l’effetto scenografico. È la descrizione precisa di due eventi distinti, avvenuti a poche settimane di distanza l’uno dall’altro, che insieme raccontano qualcosa di più largo su come le istituzioni culturali abbiano digitalizzato la propria operatività senza digitalizzare la propria sicurezza.
Il 2 marzo 2026 il gruppo ransomware RansomHouse ha violato Vivaticket attraverso Irec SAS, una sussidiaria francese della società italiana, sottraendo nomi completi, indirizzi email, cronologia degli acquisti, dettagli delle prenotazioni, codice postale, metadati degli account e timestamp di accesso di milioni di utenti. Cybernews ha documentato la portata dell’attacco: 3.500 musei e monumenti europei colpiti simultaneamente, con la Direzione Nazionale francese per la Cybersicurezza ANSSI subito coinvolta nella valutazione del danno. Tra gennaio e febbraio, qualcosa di diverso ma altrettanto rivelatore era già accaduto in Italia, dove un attacco ai sistemi amministrativi del Polo Museale Fiorentino aveva costretto gli Uffizi a murare alcune porte di Palazzo Pitti, a chiudere una sezione del museo per “manutenzione straordinaria” e a trasferire d’urgenza i gioielli del Tesoro dei Granduchi nel caveau della Banca d’Italia.
Due attacchi diversi, due logiche diverse, una sola lezione sistemica che nessuno dei comunicati ufficiali ha voluto nominare con chiarezza.
Come funziona Vivaticket, e perché nessuno la conosceva prima del 2 marzo
Vivaticket è una società italiana fondata nel 2001, con sede a Mestre. Il suo nome non compare sulle locandine dei musei, non appare sui biglietti stampati, non è nella testa di nessun visitatore mentre fa la fila davanti al Louvre. Eppure, secondo i dati di TechRadar, gestisce circa 850 milioni di biglietti all’anno in 50 paesi, ed è uno dei principali fornitori di infrastruttura di biglietteria per istituzioni culturali in Europa.
Questo è il primo livello del problema, il più banale e il più trascurato: milioni di persone interagiscono ogni anno con sistemi digitali di cui non conoscono il fornitore, non conoscono il livello di sicurezza, non sanno dove vengono conservati i loro dati. Quando prenoti un biglietto per il Louvre, non pensi di stare dando i tuoi dati a Vivaticket. Pensi di stare interagendo con il Louvre. La fiducia che riponi nell’istituzione si trasferisce automaticamente all’intera catena di fornitori che quell’istituzione ha scelto, senza che tu ne sia informato, senza che tu possa valutarla.
Questo stesso meccanismo, della fiducia implicita che si estende lungo tutta la catena senza che l’utente lo sappia, è quello che abbiamo già analizzato nel caso del codice nascosto che scansiona il tuo browser. La scala è diversa, la natura dell’attore è diversa, ma la struttura è identica: un fornitore terzo, invisibile all’utente finale, che gestisce dati sensibili in modo che l’utente non conosce e non ha mai scelto consapevolmente.
Il meccanismo dell’attacco: la sussidiaria come porta sul retro
Secondo CPO Magazine, RansomHouse non ha attaccato direttamente Vivaticket. Ha attaccato Irec SAS, la sua sussidiaria francese, che condivideva accesso alla rete del gruppo. È un pattern ricorrente negli attacchi supply chain moderni: invece di tentare di violare un’infrastruttura centrale ben difesa, si cercano i punti deboli nella periferia, nelle aziende collegate che spesso hanno standard di sicurezza inferiori ma accesso agli stessi sistemi.
RansomHouse opera con un modello di doppia estorsione, come documentato da Gblock nella sua analisi dell’attacco: prima cifra i sistemi della vittima per bloccare le operazioni, poi minaccia di pubblicare i dati rubati se non viene pagato il riscatto. In questo modo, anche le organizzazioni che riescono a ripristinare i propri sistemi dai backup si trovano comunque sotto ricatto per la questione dei dati. Il messaggio pubblicato sul sito dark web del gruppo recitava: “Raccomandiamo vivamente di contattarci per evitare che i vostri dati riservati e documenti di progetto vengano divulgati.” Non era una proposta. Era un ultimatum.
Sul sito pubblico di Vivaticket non è apparsa nessuna comunicazione sull’incidente. Il sito della sua sezione news era offline. Irec SAS, secondo le accuse di RansomHouse, avrebbe cercato di insabbiare l’episodio. Il Ministero della Cultura francese ha confermato che l’impatto finanziario era “in corso di valutazione da parte di ciascuna istituzione” e che “non era ancora noto.” Una risposta che, tradotta, significa che nessuno aveva ancora capito quanto fosse grave.
La scala del danno: non solo il Louvre
I nomi che compaiono nei titoli sono quelli dei grandi musei parigini, perché sono i più riconoscibili, ma la portata dell’evento è molto più estesa. Tra i siti colpiti dal blocco delle prenotazioni online figurano il Musée d’Orsay, il Musée du Quai Branly, Notre-Dame de Paris, l’Arc de Triomphe, il Louvre-Lens, il Parc Astérix, il Musée Guimet e la Torre Eiffel. In totale, 3.500 musei e monumenti in Europa si sono trovati senza sistema di prenotazione online funzionante, costretti a tornare alle biglietterie fisiche con tutto quello che questo comporta in termini di file, capacità limitata, perdita di prenotazioni anticipate e danni all’esperienza dei visitatori.
Vivaticket gestisce 850 milioni di biglietti all’anno. Il database sottratto da RansomHouse è quindi potenzialmente uno dei più ricchi profili comportamentali disponibili sul mercato criminale: non dati finanziari diretti, che secondo Vivaticket non sarebbero stati accessibili, ma qualcosa di diverso e per certi versi più preoccupante. Nomi, indirizzi email, cronologia delle visite culturali, abitudini di viaggio, preferenze, paesi di residenza. Dati che, come osserva la stessa analisi tecnica di Gblock, permettono di costruire campagne di phishing estremamente mirate, in cui il messaggio fraudolento fa riferimento esplicito a una visita reale che la vittima ha effettivamente compiuto, rendendolo quasi impossibile da riconoscere come truffa.
Gli Uffizi: quando il rischio digitale diventa rischio fisico
Il caso degli Uffizi aggiunge una dimensione che l’attacco Vivaticket non aveva: la trasformazione di una vulnerabilità digitale in un rischio fisico reale per il patrimonio artistico.
Tra la fine di gennaio e i primi di febbraio 2026, secondo quanto ricostruito da RSI e dal Corriere della Sera, un attacco protrattosi forse per mesi aveva penetrato i sistemi amministrativi del Polo Museale Fiorentino. Tra i dati sottratti figuravano, secondo le ricostruzioni giornalistiche parzialmente contestate dalla direzione, archivi fotografici, credenziali di accesso, mappe degli impianti di sicurezza, codici di attivazione dei sistemi di allarme e schemi della videosorveglianza. La richiesta di riscatto ammontava a 300.000 euro in criptovalute.
La risposta del museo è stata immediata e concreta nella sua fisicità: una sezione di Palazzo Pitti è stata chiusa al pubblico, alcune porte di sicurezza sono state murate, i gioielli del Tesoro dei Granduchi sono stati trasferiti nel caveau della Banca d’Italia. Il direttore Simone Verde ha smentito parzialmente le ricostruzioni più gravi, ma la risposta operativa del museo ha detto qualcosa che le parole ufficiali non dicevano: quando i dati digitali di un museo comprendono le mappe fisiche dei sistemi di allarme, una violazione informatica diventa automaticamente una minaccia al patrimonio materiale che quelle strutture contengono.
Il vero glitch: le istituzioni più antiche del mondo con le difese più fragili
Il cyberattacco musei Louvre Uffizi ha una caratteristica che lo rende particolarmente rivelatore rispetto ad altri attacchi ransomware di analoga portata: le vittime sono alcune delle istituzioni più antiche, più finanziate e più visibili al mondo, eppure la loro vulnerabilità era sistemica e, per certi versi, prevedibile.
I musei e i siti culturali hanno digitalizzato la propria operatività negli ultimi quindici anni per necessità competitive e di servizio: prenotazioni online, ticketing integrato, archivi digitali, sistemi di sicurezza connessi. Ma questa digitalizzazione è avvenuta quasi sempre attraverso esternalizzazione a fornitori terzi, senza che le istituzioni acquisissero internamente le competenze per valutare i rischi di quella scelta. Il risultato è una struttura in cui la sicurezza del Louvre dipende dalla sicurezza di Irec SAS, una sussidiaria che la maggior parte dei dirigenti culturali probabilmente non avrebbe saputo nominare prima del 2 marzo.
Questo è lo stesso meccanismo che rende fragile qualsiasi infrastruttura digitale complessa, dalla rete di data center AI nel Golfo Persico ai servizi cloud su cui si appoggiano istituzioni di ogni tipo: la concentrazione della dipendenza su un singolo fornitore crea un punto di vulnerabilità unico che può portare giù decine o migliaia di organizzazioni con un singolo attacco ben calibrato.
Il paradosso culturale è preciso. Le istituzioni che esistono per conservare il patrimonio umano contro l’entropia del tempo, che sopravvivono da secoli alle guerre, alle rivoluzioni e alle catastrofi naturali, si sono rivelate vulnerabili a un gruppo di criminali informatici di lingua russa che ha attaccato una società di biglietteria con sede a Mestre. Non perché siano incapaci. Ma perché hanno esternalizzato la propria infrastruttura digitale a fornitori che nessuno controllava abbastanza, in un settore che ancora non ha capito che la sicurezza digitale non è un costo IT ma una condizione di sopravvivenza operativa.
La Torre Eiffel ha resistito a due guerre mondiali. Un ransomware l’ha messa offline in una mattina di marzo.
