La linea che separa il crimine informatico puro, mosso da un interesse economico privato, dagli attacchi di matrice geopolitica si è fatta sempre più sottile.
Come in un romanzo di Tom Clancy – celebre creatore del personaggio Jack Ryan – racconti di spionaggio, intelligence e tecnologie all’avanguardia diventano fatti di cronaca:
- il 9 luglio, il Ministro degli Esteri del Governo italiano ha comunicato la decisione di espellere due addetti militari dell’Ambasciata della Federazione Russa per illecite attività di spionaggio;
- il 13 luglio, il Consiglio d’Europa ha deciso di imporre misure restrittive nei confronti di nove persone e quattro società dell’ecosistema cyber russo coinvolte in cyber-attacchi contro l’Unione Europea, i suoi Stati Membri e i partner internazionali.
Non si tratta di episodi isolati.
Per un’impresa che subisce un attacco informatico capire “chi” e soprattutto “perché” ha colpito non è un mero esercizio di curiosità tecnica, ma è un passaggio che condiziona le strategie e le attività di risposta.
Indice degli argomenti
La possibile sovrapposizione nell’infrastruttura tecnica
Il punto principale di contatto tra cybercrime e geopolitica è l’infrastruttura tecnica.
Nell’ultimo Operational Summary dell’Agenzia Nazionale per la Cybersicurezza (“ACN”) viene riportato un caso emblematico.
Con l’“Operazione Saffron”, le autorità francesi e olandesi – insieme a Europol ed Eurojust (agenzie dell’Unione Europea per la cooperazione giudiziaria penale) – hanno smantellato il servizio “First VPN”, utilizzato in ambienti cybercriminali per occultare identità e pagamenti e collegato a indagini su ransomware e frodi.
I rapporti delle autorità evidenziano proprio il ruolo di infrastrutture “riusabili” come VPN, proxy, hosting opachi, marketplace di credenziali che vengono condivise indistintamente da attori puramente criminali e da attori con finalità statuali, rendendo l’attribuzione degli attacchi sempre più complessa.
Un dato editoriale, ma non meno rilevante: la stessa Agenzia per la Cybersicurezza Nazionale riconosce che le previsioni sull’andamento degli incidenti informatici “non possono essere accurate” perché il manifestarsi degli attacchi dipende anche da fattori di natura geopolitica. È una conferma istituzionale della centralità ormai acquisita dalla variabile geopolitica nell’analisi del rischio cyber.
Come può orientarsi un’impresa
In caso di attacco informatico, un’impresa dovrebbe sempre qualificare la minaccia.
Ad esempio, un attacco ransomware con richiesta di riscatto standard segnala normalmente una matrice cybercriminale; un’esfiltrazione di dati, un sabotaggio o la distruzione di backup senza movente estorsivo sono indicatori di attacchi a matrice statuale.
Al contrario, se un attacco deriva da una vulnerabilità di un fornitore software è probabile che questo colpisca contemporaneamente moltissime organizzazioni eterogenee: la sola scala dell’impatto può far pensare a una regia statuale, quando in realtà si tratta spesso di criminalità organizzata orientata al profitto.
Al fine di qualificare la minaccia, un’impresa dovrebbe quindi valutare se il proprio settore rientri tra quelli più colpiti o se operi in business critici, abbia rapporti con Paesi o soggetti coinvolti in crisi geopolitiche in corso, o sia parte di una filiera che serve infrastrutture critiche.
Gli attacchi al settore dei trasporti pubblici in Europa e Stati Uniti
Negli ultimi 12 mesi, il settore dei trasporti pubblici è stato tra i più colpiti dai cyberattacchi in tutto il mondo.
Negli Stati Uniti, ad esempio, tra marzo e aprile del 2026, un’agenzia governativa responsabile dei trasporti pubblici in California è stata vittima di un attacco su larga scala con sottrazione di dati, ma senza effetti dichiarati sulla continuità del servizio di trasporto. In base alle indagini forensi, l’attacco è stato ricondotto ad attori filo-iraniani come parte del conflitto in Medio Oriente.
Casi analoghi o scenari diversi?
In Europa, era stata precedentemente presa di mira uno dei principali vettori aerei francese. Analogamente al caso americano, l’attacco in Francia ha comportato un’esfiltrazione di dati, senza effetti dichiarati sulla continuità del servizio di trasporto. Tuttavia, nel caso francese, gli hacker avevano sfruttato una vulnerabilità di software di tipo CRM (Customer Relationship Manager) molto diffuso. Le indagini e le analisi di più fonti di cybersecurity avevano permesso di collegare questo attacco a una campagna più ampia contro diverse aziende in tutto il mondo, facendo propendere per una natura di origine cybercriminale – e non geopolitica – dell’attacco.
Recentemente, in Italia, è divenuto noto un cyber attacco subito da una delle principali compagnie di trasporto ferroviario. Anche in questo caso con sottrazione di dati e senza impatti dichiarati sulla continuità del servizio.
Come dimostra il caso francese, le analogie di settore e di modalità di attacco non sono sufficienti, di per sé, a ricondurre l’attacco alla società di trasporto italiana a una matrice geopolitica. Solo una dettagliata analisi forense e legale potrebbe confermarlo. Meglio se in coordinamento con le competenti autorità.
La notifica degli incidenti informatici come strumento di difesa
In Italia sono diverse le norme che impongono alle imprese la notifica degli incidenti di sicurezza.
La notifica al Garante per la Protezione dei Dati Personali è, ad esempio, prevista dal Regolamento Europeo sulla Protezione dei Dati Personali (“GDPR”) per tutte le imprese quando l’incidente di sicurezza coinvolga dati personali e rischi per le persone fisiche.
Le imprese che rientrano in settori maggiormente critici sotto il profilo della cybersicurezza – disciplinati da specifici atti normativi come, ad esempio, i soggetti “NIS2” (d.lgs. 138/2024), “DORA” (Regolamento UE n. 2022/2554) o “PSNC” (D.L. 105/2019) – hanno obblighi di notifica degli incidenti informatici con un impatto significativo sui propri sistemi e servizi nei confronti delle autorità di settore competenti.
Gli incidenti più “gravi” devono inoltre essere comunicati dalle imprese anche ai clienti dei servizi impattati dall’incidente e/o alle persone fisiche i cui dati personali sono stati coinvolti (ad esempio, i dipendenti dell’impresa).
A ben vedere, la notifica dell’incidente all’autorità e alle persone fisiche non dovrebbe essere considerato un mero adempimento normativo, ma un vero e proprio strumento di difesa dagli attacchi informatici.
Uno scambio di comunicazione con il CSIRT Italia istituito presso l’ACN permette, ad esempio, di confrontare gli indicatori di compromissione con una grande quantità di dati relativi agli attacchi e di verificare se le tecniche riscontrate coincidono con campagne già note e attribuite a cybercriminali.
Informazioni tempestive e dettagliate sulla tipologia di incidente permettono alle persone fisiche coinvolte di alzare il livello di attenzione contro potenziali successivi attacchi (e-mail, sms, messaggi social sospetti) e di prendere adeguate contromisure come la modifica delle proprie credenziali di accesso ai sistemi e applicazioni maggiormente sensibili.
Il fattore tempo è dunque determinante: comunicare un incidente a distanza di mesi ne vanifica il valore difensivo, privando l’intero ecosistema – autorità, imprese e persone fisiche coinvolte – della possibilità di reagire tempestivamente ed efficacemente alla minaccia.
Partecipa alla community