Undici antenne segnalate come incendiate vicino a Sofia. Un precedente giudiziariamente documentato in Polonia. Quanto sappiamo davvero di attacchi, responsabilità e impatto su Kyiv?
Abstract
L’incendio delle antenne collegate al sistema Starlink nell’area di Plana, vicino a Sofia, apre un nuovo fronte di valutazione della sicurezza delle infrastrutture satellitari a uso civile e militare. L’esistenza di un’indagine bulgara è confermata dalle autorità; il numero di apparati distrutti, l’identità dei sospettati e l’eventuale regia esterna derivano invece, in misura diversa, da dichiarazioni politiche e fonti giornalistiche. Il caso si colloca poche settimane dopo un incendio doloso alla stazione Starlink di Wola Krobowska, in Polonia, per il quale le autorità polacche hanno raccolto prove forensi, identificato sospettati e avanzato un’ipotesi di coinvolgimento dei servizi russi. Il rapporto operativo fra i due episodi non risulta dimostrato. Il dossier distingue attribuzione, impatto tecnico e ricadute geopolitiche, collocando gli episodi nel quadro della guerra in Ucraina e della crescente dipendenza europea da infrastrutture commerciali dual-use.
Nota metodologica
L’analisi è aggiornata al 17 ottobre 2026. La gerarchia delle evidenze privilegia comunicazioni istituzionali, atti pubblici e documenti tecnici; considera successivamente testimonianze di stampa con attribuzione identificabile; tratta come ipotesi le informazioni provenienti esclusivamente da fonti anonime o da analogie fra casi. Le affermazioni di attribuzione statale sono distinte dagli accertamenti di polizia e dalle imputazioni, e queste ultime non sono assimilate a sentenze. I riferimenti [S01]–[S17] rimandano a fonti consultabili integralmente nella sezione finale; le fotografie reali sono descritte nel rispettivo apparato OSINT, indicando espressamente ciò che possono e non possono provare. Non sono state localizzate né ricostruite le coordinate esatte degli impianti e non si desumono dettagli tecnici riservati dal materiale pubblico.
Introduzione
La doppia dimensione: infrastrutture satellitari e sicurezza europea
La notizia dell’incendio nell’area di Plana è importante non perché certifichi di per sé un’interruzione delle comunicazioni ucraine, ma perché indica un possibile tentativo di colpire fisicamente un segmento terrestre di una rete globale. Starlink è costruita per operare attraverso una pluralità di satelliti, collegamenti laser, terminali e gateway; il sistema, pur possedendo ridondanze, conserva asset materiali sottoposti a rischi di incendio, danneggiamento, interruzione dell’alimentazione e accesso non autorizzato. Un episodio presso un’infrastruttura commerciale può pertanto assumere rilievo di sicurezza nazionale senza trasformare automaticamente il sito in una base NATO. [S10] [S11] [S16]
In questo quadro, Bulgaria e Polonia sono due membri dell’Unione europea e dell’Alleanza atlantica, ma presentano posizioni geopolitiche, dimensioni economiche e priorità nazionali differenti. Varsavia svolge un ruolo particolarmente visibile nel sostegno logistico e politico a Kyiv; Sofia è collocata sul versante balcanico e del Mar Nero e rappresenta un punto di osservazione utile per la sicurezza dei collegamenti continentali. È un errore trasformare queste differenze in una spiegazione automatica degli incendi: il valore dell’analisi risiede nell’esaminare vulnerabilità comuni in contesti nazionali differenti.
Il rapporto fra le due economie: scambi reali e differenze strutturali
La Bulgaria ha adottato l’euro il 1° gennaio 2026, divenendo il ventunesimo membro dell’area euro, mentre la Polonia continua a utilizzare lo zloty. L’economia polacca ha una base produttiva e un mercato interno più ampi; quella bulgara è maggiormente esposta, in termini relativi, alle dinamiche dei corridoi balcanici, dell’integrazione monetaria e della modernizzazione istituzionale. La convergenza europea facilita commercio e investimenti, ma non elimina vulnerabilità alle interruzioni delle reti tecnologiche. [S13] [S14] [S15]
Le relazioni economiche bilaterali sono concrete: secondo la nota ufficiale del ministero polacco dello Sviluppo e della Tecnologia basata sui dati GUS, nel 2025 gli scambi di merci Polonia–Bulgaria sono stati pari a 4.145,4 milioni di euro, contro 4.978,3 milioni nel 2024. Le esportazioni polacche verso la Bulgaria hanno raggiunto 2.386,5 milioni (+8,2%), mentre le importazioni polacche dalla Bulgaria sono state 1.758,9 milioni (circa −36,6%). Il saldo commerciale è tornato favorevole a Varsavia. Queste cifre segnalano l’interdipendenza materiale dei due mercati, senza autorizzare a dedurre un nesso causale con il sabotaggio. [S12]
Per entrambi i Paesi, il danno potenziale a una rete satellitare strategica si manifesta soprattutto sotto forma di costi di resilienza, continuità dei servizi, investimenti in sicurezza fisica e coordinamento di intelligence. Non è stata pubblicata una quantificazione credibile delle perdite economiche causate dall’episodio bulgaro, né una perizia in grado di attribuire a esso una perturbazione delle attività commerciali polacco-bulgare.
Corpus
Il caso bulgaro: cosa è confermato e cosa è soltanto riferito
Il 12 ottobre il deputato bulgaro Ivaylo Mirchev, esponente dell’area democratica, ha denunciato il presunto incendio doloso di undici antenne collegate a Starlink presso un sito nell’area di Sofia. Nella sua ricostruzione gli apparati interessati erano undici su diciassette e gli autori erano due persone mascherate. Il giorno 14, in sede parlamentare, il primo ministro Rumen Radev ha confermato che un’indagine era in corso e ha chiesto di non diffondere dettagli operativi prematuri. Il ministro dell’Interno Ivan Demerdzhiev ha dichiarato che erano state disposte misure di sicurezza supplementari per strutture simili, mentre il responsabile dell’Agenzia statale per la sicurezza nazionale Plamen Tonchev ha riferito di lavori di ampliamento e di una temporanea modifica della recinzione perimetrale. Il 15 ottobre Lyubomir Nikolov, vertice facente funzioni del ministero dell’Interno, ha confermato l’esistenza di sospettati senza pubblicarne le identità. [S01] [S02]
Il quotidiano Faktor.bg, citando fonti anonime nell’accusa, ha sostenuto che due giovani di 20 e 21 anni con passaporti tedeschi fossero stati arrestati il 12 ottobre dopo essere entrati legalmente nel Paese dal valico di Kulata. La stessa ricostruzione colloca l’attacco nella notte tra il 9 e il 10 ottobre, nell’area di Plana, e parla di diciotto apparati totali, sette dei quali integri dopo il rogo. Vi è dunque una discrepanza aritmetica e documentale fra undici su diciassette e undici su diciotto. L’età e i passaporti dei fermati non sono stati confermati nominativamente nella comunicazione pubblica ufficiale esaminata; tantomeno la loro cittadinanza autorizza inferenze sulle motivazioni o sugli eventuali mandanti. [S03]
Le dichiarazioni delle autorità sostengono l’esistenza dell’indagine e di una vulnerabilità del perimetro. Non offrono, invece, una perizia pubblica sull’esatto numero di antenne operative perdute, sul proprietario di ciascun apparato, sul tempo di recupero né sulla quota di traffico effettivamente veicolata dal sito. Parlare di “sessanta per cento della rete ucraina distrutto” sarebbe pertanto un errore metodologico. Il rapporto numerico fra antenne presumibilmente colpite e apparati censiti nel sito non coincide con la perdita di capacità di una costellazione satellitare multi-gateway.
La localizzazione OSINT e il problema dell’identificazione del sito
L’indicazione giornalistica «area di Plana» è geograficamente coerente con la presenza storica di infrastrutture di teleporto nelle colline a sud-est di Sofia. Le fotografie archivistiche del teleporto commerciale Vivacom Plana confermano visivamente la presenza di grandi parabole e strutture satellitari nell’area. Tuttavia non costituiscono una geolocalizzazione verificata delle antenne Starlink incendiate: operatori, tipologie radio e siti possono essere diversi anche quando i toponimi coincidono. In mancanza di immagini georeferenziate, planimetrie pubbliche o documenti d’impianto, il dossier non attribuisce arbitrariamente la fotografia di una stazione commerciale al luogo dell’attacco. [S01] [S02]
Il precedente polacco: documentazione investigativa sostanzialmente più estesa
Il 23 settembre 2026 un incendio ha interessato apparati di alimentazione e controllo presso una stazione terrestre Starlink a Wola Krobowska, nella regione polacca della Masovia. L’ABW ha comunicato che gli accertamenti di polizia, intelligence e Procura hanno stabilito il carattere intenzionale del rogo. La ricostruzione pubblicata il 16 ottobre comprende immagini di sorveglianza, rilievi di tracce biologiche e dattiloscopiche, spostamenti dei sospettati e collaborazione con le autorità tedesche. Secondo l’agenzia polacca, i responsabili materiali sarebbero penetrati attraverso il perimetro, avrebbero utilizzato un liquido infiammabile e abbandonato il sito dopo pochi minuti; i fatti sono ancora oggetto di procedimento giudiziario. [S04]
Due cittadini turchi residenti in Germania, identificati nei documenti polacchi come Ümit E. e Müslüm T., sono stati accusati il 7 ottobre di attività in favore di un’intelligence straniera e di sabotaggio. I mandati d’arresto europei hanno consentito il fermo dei due uomini in Germania il 12 ottobre e successivamente il loro arresto provvisorio disposto dall’autorità giudiziaria tedesca. L’ABW ha inoltre descritto l’arresto di una terza persona sospettata di aver effettuato ricognizioni preliminari e di aver trasmesso materiale via Telegram. Queste informazioni derivano da un rapporto ufficiale e sono qualitativamente diverse dalle notizie anonime sul caso bulgaro; non equivalgono comunque a una pronuncia penale definitiva. [S04] [S05]
Le autorità polacche hanno attribuito pubblicamente l’operazione al quadro di attività di guerra ibrida russe. Si tratta di un’attribuzione statale ufficiale che merita peso analitico, ma il materiale consultabile pubblicamente non consente a un osservatore esterno di ricostruire da solo l’intera catena decisionale del presunto committente. Da parte russa, accuse analoghe di sabotaggi europei sono state contestate. Il dossier conserva dunque separati: incendio doloso accertato nell’indagine, accuse formulate ai sospettati, ipotesi di operazione per un servizio straniero e possibile attribuzione ai servizi di Mosca. [S04] [S06]
La cronologia dei due casi, senza forzare una regia comune
La sequenza conosciuta comprende l’incendio polacco del 23 settembre, l’apertura dell’indagine polacca il 25 settembre, le contestazioni e le richieste di mandati a inizio ottobre, il presunto episodio di Plana tra il 9 e il 10 ottobre, gli arresti in Germania del 12 ottobre per il caso polacco e, secondo Faktor.bg, i fermi avvenuti lo stesso giorno in Bulgaria. Il 14 e 15 ottobre sono arrivate conferme parziali da Sofia; il 16 ottobre l’ABW ha pubblicato un resoconto organico. La prossimità di alcune date giustifica un confronto, ma non costituisce un collegamento operativo. Nel caso polacco sono stati riferiti anche ulteriori sviluppi sul numero complessivo dei fermi: il loro perimetro processuale non va confuso con gli arresti iniziali né con il procedimento bulgaro. [S01] [S02] [S03] [S04] [S07]
La rete Starlink: resilienza strutturale e vulnerabilità terrestri
Una rete satellitare in orbita bassa comprende terminali utente, satelliti che instradano i dati, collegamenti intersatellitari ottici, gateway terrestri e punti di interconnessione con altre reti. I componenti terrestri richiedono energia, controllo operativo, accesso fisico protetto e servizi di trasporto dati. La presenza di numerosi satelliti e la possibilità di instradare traffico attraverso differenti gateway aumenta la resilienza, ma non cancella la dipendenza da infrastrutture terrestri. Il rapporto tecnico Starlink 2025 descrive esplicitamente molteplici gateway e punti di presenza, oltre a collegamenti laser intersatellitari pensati per ridurre l’impatto di indisponibilità locali. [S10] [S11]
Per valutare il danno di Plana sarebbero necessari dati di carico e instradamento non pubblici, la natura delle antenne, le capacità alternative disponibili e gli eventuali tempi di ridistribuzione del traffico. Il numero di apparati bruciati non basta a determinare la percentuale di disponibilità persa. Analogamente, un’interruzione a un singolo nodo potrebbe risultare minima su scala globale ma significativa per una specifica area o per traffici particolari. In assenza di misure indipendenti, la valutazione deve restare condizionale.
Starlink, Starshield e l’Ucraina: due questioni che non vanno confuse
Starlink commerciale e Starshield, il sistema orientato a esigenze governative e di sicurezza, fanno parte dello stesso ecosistema tecnologico ma presentano finalità, regole di utilizzo e assetti decisionali differenti. Nell’ottobre 2026 l’Ucraina ha segnalato restrizioni temporanee a specifici impieghi di connettività satellitare militare, in particolare su piattaforme mobili e droni; Reuters e Associated Press hanno riferito di ripercussioni operative e di discussioni sui poteri di controllo del servizio. Tale vicenda illustra una vulnerabilità di governance e disponibilità, distinta dal rischio di incendio a una stazione terrestre. Non risultano evidenze pubbliche che dimostrino che le limitazioni di Starshield siano state causate dal rogo bulgaro. [S08] [S09] [S17]
La distinzione è decisiva anche sul piano strategico. Un’interruzione per scelta commerciale, politica o contrattuale può produrre conseguenze simili a una perdita temporanea di un collegamento fisico, pur derivando da una causa radicalmente diversa. Sommare eventi tecnicamente differenti in un’unica campagna di sabotaggio non è corretto senza indicatori di correlazione temporale, tecnica e investigativa.
La responsabilità della sicurezza: Stato ospitante, operatore privato e NATO
La denuncia di una penetrazione in un sito sorvegliato impone domande legittime sull’adeguatezza delle misure fisiche. L’informazione ufficiale sui lavori in corso e sulle modifiche della recinzione rende credibile la presenza di una finestra di vulnerabilità, ma non chiarisce se siano mancati specifici obblighi contrattuali o amministrativi. Il ministero dell’Interno bulgaro ha ricordato che la protezione ordinaria di simili strutture è in capo ai rispettivi proprietari, pur annunciando un rafforzamento delle misure di protezione pubblica. [S01]
L’appartenenza della Bulgaria alla NATO non comporta una sorveglianza militare permanente di ogni impianto civile, né un’automatica invocazione dell’Articolo 5 in caso di incendio doloso. La rilevanza per la sicurezza alleata deve essere valutata in concreto in base a impatto, gravità, attribuzione e decisioni politiche; l’Articolo 4 prevede consultazioni in caso di minaccia percepita alla sicurezza. Una valutazione rigorosa può quindi riconoscere un possibile problema di protezione di infrastruttura strategica senza definire già provato un collasso della sicurezza NATO. [S16]
Dal dato alla prova: quali riscontri mancano
Nel caso bulgaro servirebbero una relazione tecnica sull’impianto e sugli apparati, le risultanze del sopralluogo dei vigili del fuoco, gli atti giudiziari pubblicamente accessibili, una ricostruzione indipendente della dinamica e informazioni verificabili sulla continuità del servizio. I filmati di sorveglianza, citati dai media, non sono stati messi a disposizione in forma tale da consentire autenticazione forense indipendente. Anche un’eventuale identità comune di intermediari fra i due Stati richiederebbe verifiche su comunicazioni, flussi finanziari e incarichi impartiti; non può essere dedotta dalla coincidenza della tipologia del bersaglio.
Ipotesi speculativa
Scenario di sabotaggio commissionato dall’estero
Un servizio straniero ostile al sostegno europeo all’Ucraina potrebbe considerare i nodi commerciali dual-use bersagli attrattivi per la combinazione di danni potenziali, costo relativo contenuto dell’azione e difficoltà di attribuzione. Il precedente polacco rende operativamente credibile il ricorso a esecutori indiretti, possibili ricognizioni preliminari e commissioni transnazionali. Non è tuttavia metodologicamente lecito trasferire l’attribuzione polacca a Sofia senza elementi specifici: per il caso bulgaro la probabilità dell’ipotesi resta non quantificabile con il materiale aperto disponibile. [S04] [S06]
Scenario di attori autonomi, moventi locali o committenti privati
La natura intenzionale segnalata dell’episodio è compatibile anche con iniziative individuali, gruppi non statali o committenti non identificati. Un obiettivo tecnologico di alto profilo può essere selezionato per ragioni politiche, economiche, simboliche o opportunistiche. Non sono emersi dati pubblici sufficienti a scegliere tra queste opzioni. L’analisi super partes deve lasciare aperta questa famiglia di spiegazioni anche se meno spettacolare di un’operazione di intelligence internazionale.
Scenario di campagna coordinata fra Paesi diversi
L’ipotesi di una campagna contro i gateway satellitari europei avrebbe maggiore consistenza se successive indagini mostrassero strutture comuni di reclutamento, corrispondenze di comunicazioni, pagamenti o supervisori. Al momento, la somiglianza generale fra due attacchi incendiari non individua né il soggetto organizzatore né un coordinamento. L’approccio appropriato è sottoporre l’ipotesi a verifica, evitando di presentarla come conclusione.
So What
Ipotesi e impatti per la sicurezza europea
Se i casi risultassero isolati, l’effetto principale sarebbe una revisione delle misure di sicurezza fisica e dei piani di continuità di servizio, senza prova di una campagna coordinata. Se invece fossero identificati ulteriori attacchi e relazioni investigativamente solide, la gestione del rischio si sposterebbe da una dimensione di ordine pubblico a una di contrasto al sabotaggio transnazionale. In entrambi gli scenari, per l’Europa emerge il problema della protezione di infrastrutture private da cui dipendono funzioni strategiche pubbliche.
Impatto su Bulgaria e Polonia
Per Sofia le questioni prioritarie sono ricostruire la catena dell’evento, chiarire chi aveva l’obbligo di proteggere il perimetro e certificare la continuità del servizio. Un’insufficiente comunicazione ufficiale può lasciare spazio a voci ingigantite, ma la riservatezza investigativa può essere legittima per non compromettere le indagini. Per Varsavia, il caso di Wola Krobowska rafforza l’attenzione alle reti criminali o ai soggetti reclutati per operazioni clandestine e offre un test della cooperazione giudiziaria fra Polonia e Germania. L’interscambio commerciale fra i due Paesi mostra che il tema della resilienza non riguarda soltanto l’ambito militare, bensì anche l’affidabilità delle infrastrutture di un mercato europeo integrato.
Impatto su Kyiv e sull’ecosistema commerciale di SpaceX
Il pericolo per l’Ucraina non può essere misurato contando parabole bruciate. Deve essere analizzato considerando ridondanza, disponibilità effettiva, categorie di traffico, disciplina contrattuale e opzioni sostitutive. Una rete satellitare può resistere bene alla perdita di un impianto ma restare vulnerabile alle decisioni del soggetto che controlla l’accesso a servizi di impiego militare. Per SpaceX e per gli Stati clienti la sfida consiste nel separare la protezione materiale, l’affidabilità tecnica e la prevedibilità dei rapporti di servizio, elementi tra loro collegati ma non equivalenti.
Strategie di resilienza e mitigazione
Una risposta proporzionata è adottare valutazioni di rischio basate sulle effettive funzioni dei nodi e non soltanto sulla notorietà del marchio Starlink. Occorrono verifiche delle responsabilità fra proprietario, gestore e Stato ospitante, gestione rigorosa della sicurezza durante i lavori infrastrutturali, capacità di ripristino e alternative di instradamento sottoposte a esercitazioni realistiche. La condivisione controllata di informazioni fra forze dell’ordine, intelligence e operatori privati deve accompagnarsi a comunicazioni pubbliche calibrate, per non anticipare accuse né occultare vulnerabilità accertate. Per gli utilizzatori militari, contratti e piani di continuità dovrebbero tenere conto tanto dei guasti tecnici quanto delle restrizioni di disponibilità del servizio.
Best case, scenario di stabilità e worst case
Best case. Le autorità chiariscono la dinamica bulgara, recuperano gli impianti e dimostrano che l’impatto sulla rete è stato limitato o nullo; emergono procedure di protezione meglio definite senza ulteriore escalation politica. Scenario di stabilità. Si osservano nuovi tentativi occasionali contro infrastrutture di comunicazione, ma gli operatori assorbono gli shock mediante ridondanza e riparazioni; i governi rafforzano la cooperazione e mantengono distinte indagini e attribuzioni. Worst case. Prove convergenti individuano un coordinamento transnazionale di attacchi in più Paesi e rivelano carenze nei piani di continuità, con sospensioni locali e forte escalation diplomatica; tale scenario non è oggi dimostrato, ma definisce un rischio da preparare.
Conclusioni
Valutazione a breve, medio e lungo termine
Nel breve termine, la notizia che merita maggiore peso è la conferma ufficiale dell’indagine bulgara, non la certezza di una regia esterna. Nel caso polacco, al contrario, la ricostruzione investigativa permette di affermare con maggiore solidità la natura dolosa del rogo e l’esistenza di specifiche accuse a sospettati individuati. Nel medio termine, le indagini potranno chiarire se si tratti di episodi indipendenti o di una possibile campagna più ampia. Nel lungo termine, la proliferazione di servizi satellitari dual-use spingerà istituzioni e operatori a rivedere il concetto stesso di infrastruttura critica, integrando reti commerciali, sicurezza fisica, cyber-resilienza e affidabilità delle politiche d’accesso.
La conclusione centrale è prudente ma rilevante: due episodi geograficamente distinti possono segnalare vulnerabilità convergenti senza essere stati ordinati dagli stessi soggetti. L’interesse strategico dell’attacco a una rete dual-use è plausibile; la sua attribuzione richiede prove. La combinazione di indagini giudiziarie, documentazione tecnica e confronto OSINT è il solo metodo per distinguere un indizio da una spiegazione verificata.
Variabili da monitorare
La pubblicazione di atti della Procura bulgara e l’eventuale conferma nominativa degli arresti; la perizia ufficiale sul numero e sulla tipologia degli apparati danneggiati; la documentazione di eventuali disservizi verificabili; gli sviluppi processuali nei procedimenti polacco e tedesco; nuovi elementi che colleghino comunicazioni o finanziamenti fra i sospettati dei due Paesi; una risposta coordinata dei regolatori, degli operatori di telecomunicazioni e delle autorità di sicurezza; la continuità e la governance dell’accesso Starlink/Starshield per l’Ucraina. Ciascun elemento potrebbe cambiare l’interpretazione del caso senza autorizzare attribuzioni preventive.
