Ogni volta che un’azienda subisce un attacco informatico, prima o poi arriva la stessa domanda: perché non possiamo colpire i criminali con le loro stesse armi? È una reazione comprensibile, soprattutto quando gli aggressori riescono a violare i sistemi, rubare dati e poi sparire senza conseguenze immediate. Il problema è che, nella maggior parte dei Paesi, reagire direttamente contro l’infrastruttura degli attaccanti può costituire un reato.
Il Governo Usa ha però appena stabilito un’eccezione significativa.
Attenzione, il memorandum firmato da Donald Trump il 12 agosto, intitolato “Expanding Capabilities to Combat Transnational Cyber-Enabled Crime”, non è via libera totale al contro attacco. Però introduce un approccio particolare negli Stati Uniti, soprattutto per quanto riguarda il ruolo delle autorità pubbliche nella risposta alle attività di cybercrime transnazionale. Ed è proprio questo aspetto che merita di essere analizzato.
Indice degli argomenti
Hack back USA: il programma federale per le aziende private
La Casa Bianca ha creato un programma federale che consente ad aziende private statunitensi, selezionate e sottoposte a rigorosi vincoli, di condurre determinate operazioni cyber contro organizzazioni criminali transnazionali all’estero. Pensare a un “liberi tutti” dell’hack back sarebbe però un errore.
Il memorandum amplia i poteri delle autorità statunitensi nella lotta alla criminalità informatica e introduce la possibilità di coinvolgere soggetti privati nelle attività di contrasto. Le imprese, definite “Participating Companies”, operano sotto contratto e sotto il controllo diretto del governo federale.
Sorveglianza e operazioni offensive
Il programma distingue due categorie di operazioni. Le “Cyber Surveillance Operations” consentono l’accesso occulto a sistemi informativi stranieri per raccogliere informazioni, anche oltre quanto autorizzato dal titolare del sistema. Le “Cyber Effects Operations” hanno invece una natura offensiva e possono comportare la manipolazione, l’interruzione, la degradazione o la distruzione di sistemi, reti, infrastrutture e dati controllati dai criminali.
I limiti restano stringenti: niente operazioni che possano causare morte o gravi lesioni, né attività assimilabili all’uso della forza o a un attacco armato secondo il diritto internazionale. Sono inoltre esclusi sistemi e soggetti statunitensi. Le aziende devono superare un processo di vetting, firmare contratti con DoJ o DHS e versare una cauzione di almeno un milione di dollari. Soprattutto, non nasce alcun diritto generale all’hack back: ogni operazione richiede un’autorizzazione scritta e specifica del governo.
Hack back USA: perché è un’eccezione nel mondo occidentale
In pratica, il memorandum formalizza una modalità di collaborazione tra apparati statali e soggetti privati che negli Stati Uniti non rappresenta una novità assoluta, anche se finora si è sviluppata in forme meno esplicite. La novità è che questa volta viene definito un quadro specifico, con un linguaggio che parla apertamente di “cyber effects” e attribuisce al settore privato un ruolo nelle operazioni offensive.
La collaborazione tra apparati statali e aziende tecnologiche o di sicurezza è da tempo parte dell’ecosistema cyber americano. Questo modello porta però il rapporto su un terreno diverso, più vicino a una sorta di “cyber privateering” autorizzato dallo Stato.
È un’impostazione che, almeno oggi, rappresenta un’eccezione nel mondo occidentale. Gli altri Paesi possono disporre di capacità cyber offensive, ma queste restano normalmente nelle mani delle Forze armate, dei servizi di intelligence o di strutture governative specializzate. Non vengono affidate, attraverso un programma di questo tipo, a imprese private chiamate a proporre e condurre operazioni contro infrastrutture straniere.
È proprio questo il punto più delicato del modello americano: non tanto l’impiego di aziende private, già ampiamente utilizzato in ambito cyber, quanto la possibilità di inserirle formalmente nella catena operativa di azioni offensive autorizzate dallo Stato. Per gli alleati occidentali sarà quindi un precedente da seguire con attenzione, perché potrebbe riaprire il dibattito sui limiti del cyber privateering, sull’attribuzione delle responsabilità e sul confine tra attività di sicurezza e operazioni offensive.
Hack back USA e modello europeo: pubblico e privato
Il punto di rottura riguarda il rapporto tra Stato, potere cyber e settore privato. Negli Stati Uniti il memorandum considera esplicitamente il privato una risorsa offensiva, valorizzandone le enormi capacità tecnologiche e operative. Le capacità del settore privato americano possono garantire a Washington un vantaggio strategico. L’idea è semplice: se una parte significativa del talento e delle risorse tecnologiche si trova nel privato, occorre riportarla nel perimetro governativo, alle condizioni fissate da Washington.
In Europa il paradigma è quasi opposto. Con NIS2 e le normative nazionali di recepimento chiediamo alle imprese critiche di prevenire, resistere, notificare gli incidenti e ripristinare i servizi, non di “rispondere al fuoco”. La cybersecurity aziendale resta quindi legata alla difesa e alla resilienza, mentre le capacità offensive rimangono nella sfera pubblica. Il privato collabora sul piano informativo e tecnologico, non come braccio operativo dello Stato.
Cosa succede in Italia
L’Italia è un caso emblematico. Il nostro ordinamento penale lascia poco spazio all’interpretazione: l’hacking offensivo condotto da privati può configurare, a seconda dei casi, accesso abusivo a sistema informatico (art. 615-ter c.p.), danneggiamento di dati o sistemi (art. 635-bis e seguenti c.p.), oltre alle responsabilità previste per gli enti dal D.Lgs. 231/2001.
Il fatto che il bersaglio sia un gruppo criminale non trasforma automaticamente l’azione in legittima difesa: un reato non diventa lecito perché colpisce un criminale.
I rischi dell’hacking back autorizzato
Il primo rischio è giuridico e internazionale. Un’operazione che manipola, degrada o distrugge sistemi collocati in un altro Paese può sollevare questioni di sovranità, attribuzione e responsabilità internazionale, anche quando l’infrastruttura viene utilizzata da criminali. Le reti, inoltre, non sono mai perfettamente segregate: un server utilizzato da un gruppo criminale può coesistere nello stesso data center con servizi critici di terzi, anche governativi. Un errore di targeting, un pivot non previsto o una dipendenza condivisa possono trasformare un’operazione di contrasto in un incidente diplomatico.
Infrastrutture condivise e rischio operativo
Il secondo rischio è operativo. Attribuzione, infrastrutture condivise, proxy e supply chain rendono facile colpire il nodo sbagliato o interferire con apparati che non erano nel mirino. Il memorandum cerca di attenuare il problema limitando formalmente il raggio d’azione alle organizzazioni criminali transnazionali, ma sul campo la distinzione non è sempre così netta. E se un’operazione tocca asset di un Paese ostile o di un alleato, sarà poco consolatorio spiegare che l’obiettivo “formale” era una Cyber-Enabled Transnational Criminal Organization (CE-TCO).
Strumenti offensivi e rischio sistemico
C’è poi un rischio sistemico. Più soggetti sono abilitati a utilizzare strumenti offensivi, più diventa difficile controllarli, evitare fughe di tool, abusi e conflitti di interesse. Il bond da un milione di dollari previsto dal programma rappresenta un deterrente economico, non una garanzia etica o operativa. E il fatto che molte regole operative siano contenute in allegati classificati rende ancora più difficile valutare dall’esterno fino a che punto i limiti saranno realmente rispettati.
Secondo emendamento e rapporto tra potere e sicurezza
Il memorandum permette anche di aprire una riflessione sulla concezione del rapporto tra potere pubblico, sicurezza e capacità operative dei privati negli Stati Uniti e, inevitabile, è il richiamo al Secondo emendamento e alla circolazione delle armi in Usa. Sul fronte delle armi, la Casa Bianca ha fatto della tutela estensiva del Secondo emendamento una priorità: il Dipartimento di Giustizia ha creato una specifica Second Amendment Section e nel 2026 ha promosso azioni legali contro Stati e amministrazioni locali, tra cui Virginia e California, accusati di limitare illegittimamente il possesso di armi semiautomatiche.
Trump ha più volte presentato il diritto di possedere e portare armi come una libertà costituzionale fondamentale. In un messaggio ufficiale della Casa Bianca del 4 agosto 2025, dedicato al National Shooting Sports Month, ha sottolineato che finché sarà presidente “il Governo federale rispetterà il principio secondo cui il diritto, concesso da Dio, di possedere e portare armi non deve essere violato“.
Il nuovo memorandum sulla criminalità informatica ha adottato una logica in parte analoga: mobilitare capacità finora prevalentemente private, in questo caso tecnologiche, per rafforzare la sicurezza nazionale.
Verso uno sparatutto digitale?
Va però precisato che il memorandum non riconosce ai cittadini un equivalente digitale del diritto di portare armi né autorizza imprese o hacker privati ad agire autonomamente: le operazioni devono essere approvate, coordinate e sottoposte alla supervisione del governo.
Più che una “Second Amendment doctrine” applicata al cyberspazio, emerge quindi una filosofia comune: sfruttare la capacità individuale e privata come moltiplicatore della forza americana, riducendo la distanza tradizionale tra risorse civili e strumenti della sicurezza nazionale.
Hack back in Italia: difesa, resilienza e limiti per le imprese
Nel modello europeo, la risposta alla crescita del cybercrime è stata rafforzare gli obblighi difensivi e le capacità di coordinamento, non spostare il confine di ciò che i privati possono fare. NIS2 allarga il perimetro dei soggetti essenziali e importanti e impone requisiti minimi di sicurezza, reporting e gestione del rischio. Gli Stati discutono di corpi militari specializzati in cyber difesa, come nel caso italiano del cosiddetto Piano Crosetto, ma sempre con l’idea che l’uso legittimo della forza, anche nel dominio digitale, resti nella sfera pubblica e non diventi una capacità da appaltare di volta in volta a soggetti privati.
Alle aziende italiane, in concreto, è chiesto altro: investire in resilienza, fare vulnerability assessment e penetration test sul proprio perimetro, cooperare con ACN, CSIRT e Polizia Postale, notificare gli incidenti, rafforzare backup e procedure di continuità. Se un’impresa decidesse di reagire con una “ritorsione digitale” contro chi l’ha attaccata, rischierebbe di trovarsi imputata insieme ai suoi aggressori. Dal punto di vista del diritto interno, l’hacking back aziendale non è una risposta creativa: è un errore strategico e processuale.
Alla fine, la differenza non riguarda soltanto una nuova policy di contrasto al cybercrime. Riguarda una diversa concezione del rapporto tra Stato, potere cyber e settore privato. Gli USA scelgono di formalizzare un ruolo offensivo per alcune imprese, all’interno di un quadro che prova a coniugare utilità operativa e controllo centrale. L’Europa continua invece a mantenere quella capacità oltre il limite di ciò che il privato può fare e concentra gli sforzi nel rendere più robuste le difese e più rapida la cooperazione istituzionale.
Chi gestisce reti e sistemi nel settore privato farebbe bene a tenere a mente questa distinzione. Frustrazione e desiderio di “farla pagare” agli attaccanti sono umani, ma non si traducono automaticamente in una base giuridica per colpire. Per ora, al di qua dell’Atlantico, l’unico hack back che non rischia il tribunale è quello metaforico: alzare il livello delle difese e ridurre lo spazio di manovra dei criminali, non competere con loro sullo stesso terreno.
Partecipa alla community