Dopo l'attacco del 28 febbraio, diversi servizi di sicurezza occidentali, tra cui Europol, avevano segnalato un aumento del rischio terroristico in Europa, in particolare contro siti ebraici e israeliani, e il timore di ritorsioni sotto forma di terrorismo sponsorizzato dallo Stato iraniano. Secondo l'Icct, questi timori stanno trovando riscontro. Il primo episodio risale alla notte del 9 marzo, quando un ordigno artigianale è esploso davanti a una sinagoga a Liegi, in Belgio, senza causare vittime e con danni limitati. Nelle settimane successive sono seguiti altri attacchi nei Paesi Bassi e, ieri, a Londra, dove quattro mezzi di un servizio volontario di ambulanza ebraica sono state incendiati.
Le rivendicazioni sono state attribuite a un gruppo fino ad allora sconosciuto, Harakat Ashab al-Yamin al-Islamia, sigla abbreviata in Hayi, traducibile come "Movimento islamico della compagnia dei giusti". Il nome è comparso per la prima volta dopo l'attacco di Liegi in un video diffuso su Telegram e su X attraverso canali vicini ai gruppi dell'"asse della resistenza", in particolare milizie sciite irachene filoiraniane, oltre a organi di informazione apertamente schierati con Teheran.
Nei giorni seguenti Hayi ha rivendicato altri attacchi: contro una sinagoga a Rotterdam il 13 marzo, contro una scuola ebraica ad Amsterdam il 14 marzo, contro un centro commerciale sempre ad Amsterdam il 16 marzo e infine l'episodio di ieri nel Regno Unito. La sigla si è inoltre attribuita attacchi in Grecia, Francia e nei Paesi Bassi per i quali, osserva l'Icct, non emergono però riscontri pubblici e che potrebbero costituire disinformazione.
Lo studio sottolinea soprattutto la cosiddetta impronta digitale delle rivendicazioni. Prima del 9 marzo non risultano tracce note di Hayi né online né offline. La prima menzione compare in un canale Telegram apparentemente legato alla milizia sciita irachena Liwa Zulfiqar, che annunciava l'avvio di "operazioni militari contro interessi Usa e israeliani nel mondo". Due giorni dopo è la prima rivendicazione dell'attacco di Liegi pubblicata, secondo l'Icct, da un canale affiliato ad Asaib Ahl al-Haq, gruppo iracheno ritenuto vicino alla Forza Quds dei Guardiani della rivoluzione iraniani. Da quel momento si è ripetuto uno schema costante: quattro canali Telegram in lingua araba, ciascuno con centinaia di migliaia di follower, anticipano o diffondono quasi in tempo reale la notizia degli attacchi e i relativi video di rivendicazione.
Due di questi canali risultano collegati a milizie sciite filoiraniane, mentre gli altri due si presentano come testate informative ma funzionano soprattutto come amplificatori di contenuti pro-Iran e mostrano legami anche con reti filorusse già sanzionate. In genere uno dei canali segnala l'accaduto con un breve messaggio e, pochi minuti dopo, lo stesso o un altro dei quattro pubblica il video firmato Hayi. Il materiale viene quindi rilanciato su X e poi da una rete più ampia di influencer filoiraniani, fino a raggiungere anche canali vicini agli Houthi yemeniti e a Hezbollah.
Per l'Icct, la rapidità con cui questi canali hanno avuto accesso a filmati e informazioni, in alcuni casi nel pieno della notte e a ridosso dell'azione, suggerisce che siano stati informati quasi in tempo reale dagli esecutori o da intermediari. Nel caso dell'attacco alla sinagoga di Rotterdam, avvenuto intorno alle 3:40, la prima segnalazione online è apparsa alle 3:57 e la rivendicazione video intorno alle 4:19. Per l'attacco contro la scuola ebraica di Amsterdam, la vicinanza temporale tra fatto e prime menzioni è risultata ancora più stretta.
Restano però dubbi sull'autenticità di Hayi come organizzazione terroristica autonoma. I canali Telegram che si presentano come suoi organi ufficiali sono poco seguiti, comparsi solo in coincidenza con gli ultimi episodi e presentano incongruenze, compresi errori linguistici in arabo e persino nella denominazione del gruppo. Anche alcuni video di rivendicazione appaiono poco sofisticati. Inoltre, una presunta azione in Grecia rivendicata dalla sigla, secondo la geolocalizzazione condotta dai ricercatori, mostrerebbe in realtà un'esplosione avvenuta a Rotterdam il 3 marzo. Per questo l'Icct ritiene plausibile che Hayi sia più una sigla di copertura che un soggetto strutturato.
L'analisi inserisce questi episodi nel quadro più ampio delle operazioni esterne iraniane in Europa. Dal 1979 sono state censite 218 operazioni iraniane all'estero, tra omicidi, rapimenti, intimidazioni e sorveglianza, di cui 102 sul continente europeo. Più della metà di queste si sarebbe verificata dal 2021 in poi. Secondo l'MI5 britannico, nel solo 2025 sono stati sventati oltre 20 complotti legati all'Iran nel Regno Unito. Casi recenti sono stati segnalati anche in Germania, Paesi Bassi e Svezia.
Un altro elemento ritenuto significativo è il profilo dei possibili autori materiali. Nel solo caso in cui siano stati individuati dei sospetti, l'attacco alla sinagoga di Rotterdam, si tratterebbe di cinque giovani di Tilburg tra i 17 e i 19 anni. Secondo l'Icct, questo ricalca un modello già visto nelle operazioni ibride russe: il reclutamento di soggetti locali, spesso giovani e senza apparente legame ideologico, impiegati come "agenti usa e getta" dietro compensi modesti.
Un meccanismo che si presta anche a un intreccio crescente tra terrorismo, intelligence e criminalità comune, favorito in Belgio e nei Paesi Bassi dalla presenza di reti criminali radicate e dall'uso diffuso di ordigni artigianali. Per l'Icct la serie di attacchi in Belgio, Paesi Bassi e Regno Unito sembra destinata soprattutto a produrre intimidazione, confusione e impatto psicologico nelle comunità ebraiche europee, più che a causare stragi. Ma proprio questa combinazione di bassa intensità operativa, propaganda, ambiguità e reclutamento locale rappresenta, secondo i ricercatori, una delle forme più insidiose della minaccia ibrida contemporanea.