La sicurezza digitale in Africa deve essere ormai letta attraverso una prospettiva sempre più cyber-sociale, multidimensionale e sistemica, capace quindi di integrare, tra l’altro, dimensioni economiche, istituzionali e regionali, in un quadro di crescente convergenza di frodi, sfruttamento delle identità sintetiche, ransomware, disinformazione, vulnerabilità sociali e competizione geopolitica.
Secondo l’Interpol African Cyberthreat Assessment Report 2026, basato sulle risposte di 36 Paesi africani su 49 interpellati, nel 55% dei casi di cybercrime osservati nel 2025 è stato rilevato un impiego dell’AI: nel 47% dei casi in modo occasionale e nell’8% con frequenza. Le risposte istituzionali, integrate con intelligence operativa e telemetrie fornite da partner privati (Fortinet, TrendAI, Shadowserver Foundation, Mastercard e S2W) evidenziano un mutamento strutturale, l’AI non è più soltanto un elemento accessorio del cybercrime, ma una componente sempre più organica del suo ciclo operativo.
Le minacce cyber nel continente devono essere considerate come fenomeni multidimensionali che incidono al contempo su stabilità politica e sociale, crescita economica, diritti fondamentali, fiducia nelle istituzioni, quindi sicurezza nazionale.
Indice degli argomenti
La filiera cyber criminale in Africa
La criminalità informatica africana viene descritta da Interpol come un ecosistema sempre più industrializzato e transnazionale. Online scam, Business Email Compromise (BEC), furto d’identità, sextortion e data breach appaiono sempre meno come fenomeni isolati e sempre più come fasi di una medesima filiera criminale.
Prima fase: 2021-2022
Nel 2021–2022, la rapida estensione della connettività, del mobile banking e dei servizi finanziari digitali ha ampliato la superficie attaccabile e favorito la convergenza tra modalità criminali tradizionali e cybercrime.
Phishing, malware, compromissione di account, online scam, digital extortion, BEC, ransomware e botnet hanno iniziato progressivamente ad essere integrati all’interno di filiere comuni di acquisizione, sfruttamento e monetizzazione. La dimensione online non è più soltanto un luogo nel quale commettere il reato, ma diviene anche l’infrastruttura cyber-sociale attraverso cui attività criminali, relazioni sociali e transazioni economico-finanziarie vengono organizzate e interconnesse.
Seconda fase: 2022-2023
Tra il 2022 e il 2023 si consolida una seconda fase, caratterizzata dalla commodificazione delle capacità offensive. Crime-as-a-Service (CaaS), Ransomware-as-a-Service (RaaS), servizi di phishing, botnet e infrastrutture DDoS acquistabili e/o noleggiabili trasformano competenze tecniche prima concentrate in pochi attori in servizi modulari di un mercato criminale in estensione tra online e offline.
La divisione del lavoro, la specializzazione delle funzioni e la possibilità di assemblare servizi differenti riducono le barriere d’ingresso e segnano il passaggio da campagne prevalentemente artigianali a una forma più industrializzata e transnazionale di cybercrime.
Terza fase: 2024-2025
Nel 2024 interviene un ulteriore salto qualitativo, alla disponibilità di servizi criminali si sovrappone la progressiva platformizzazione delle operazioni, alimentata dall’integrazione tra piattaforme socio-mediali, synthetic media, tecniche avanzate di social engineering e Generative AI (GenAI). Qui la funzione dell’AI è soprattutto augmentative, accrescendo rapidità, correttezza linguistica, personalizzazione, credibilità e scalabilità di modi operandi già noti. Nel BEC, per esempio, i Large Language Model (LLM) possono adattare tono, lessico e contesto comunicativo al profilo della vittima target, mentre deepfake e deepaudio ampliano la capacità di impersonare dirigenti, familiari o altri soggetti ritenuti affidabili.
Il risultato è che tra il 2024 e il 2025 le perdite denunciate sono passate da 192 a 484 milioni di dollari, mentre le vittime identificate sono aumentate da 35000 a 87000. Le stime aggregate richiamate da INTERPOL indicano inoltre almeno 5 miliardi di dollari di danni economici diretti nel 2025, tenendo tuttavia presenti i limiti derivanti sia da un consistente numero oscuro, prevalentemente dovuto alle mancate denunce, che dalle disomogeneità metodologiche di rilevazione tra i diversi Stati.
MUAI: dall’uso strumentale dell’AI all’infrastruttura operativa del cybercrime
La trasformazione evidenziata dal report in questione consente di individuare il progressivo sviluppo di un vero e proprio ecosistema di Malicious Use of AI (MUAI), attraverso l’impiego intenzionale di modelli, agenti e contenuti sintetici, al fine di:
a) ridurre i costi dell’agire criminale;
b) aumentare la scala delle operazioni;
c) creare modalità di inganno del target sempre più calibrate sul profilo dello stesso;
d) eludere con maggiore efficacia i controlli;
e) rendere accessibili capacità cyber avanzate ad attori malevoli con competenze tecniche spesso limitate.
Non si tratta, quindi, del mero utilizzo di chatbot che generano e-mail ingannevoli, ma di un’architettura modulare nella quale sistemi differenti possono selezionare target, creare messaggi-esca, modificare i contenuti e analizzare le risposte, sino all’integrazione agentica strutturata, come rappresentato da TrendAI che distingue quattro livelli:
x) system layer;
y)data layer;
z)orchestration layer;
α)agent layer.
Sul piano funzionale, tali livelli comprendono infrastrutture cloud compromesse e/o criminali, data warehouse di informazioni esfiltrate e database di profilazione, motori di orchestrazione dell’attacco e agenti specializzati in ricognizione, phishing, frode e distribuzione dei payload malevoli.
Il salto qualitativo dell’AI nel cybercrime
Il passaggio 2025–2026 può essere interpretato, quindi, non come un semplice aumento quantitativo dell’uso dell’AI, ma come un mutamento della sua posizione all’interno dell’architettura criminale, da strumento accessorio a capacità trasversale integrabile lungo più fasi dell’attacco.
In termini analitici, la traiettoria può essere descritta come transizione da un cybercrime fondato prevalentemente sulla disponibilità di strumenti tecnici a un cybercrime commodificato, quindi platformizzato e AI-augmented, sino a forme progressivamente MUAI-driven. Il salto qualitativo consiste, pertanto, nella possibilità di automatizzare e combinare ricognizione, costruzione del pretesto, generazione sintetica, personalizzazione, interazione con la vittima ed elusione, riducendo la dipendenza tanto da contenuti autentici quanto da operatori altamente specializzati.
La dimensione linguistica del MUAI in Africa
Il MUAI presenta, inoltre, una dimensione linguistica spesso trascurata. La maggioranza dei modelli, dei dataset di sicurezza e degli strumenti automatici di moderazione continua a privilegiare lingue ad alta disponibilità di risorse digitali, high-resource languages.
L’Africa ospita oltre 2000 lingue, molte delle quali dispongono di risorse digitali assai limitate e di corpora testuali/vocali insufficienti per lo sviluppo e la valutazione di sistemi NLP robusti. Modelli addestrati prevalentemente su dati e benchmark non rappresentativi dei contesti linguistici/socioculturali africani possono incorporare bias e assunzioni implicite scarsamente aderenti ai contesti locali producendo errori sistematici. Tale asimmetria riguarda anche la difesa: phishing, scam e propaganda in lingue poco rappresentate possono essere individuati con maggiore difficoltà dai sistemi automatici, mentre i criminali possono utilizzare modelli generalisti, traduzioni automatiche e operatori locali per adattare rapidamente i messaggi.
Ricordando, tra l’altro, che sul piano operativo-criminale, il contenuto sintetico non deve essere impeccabile, ma sufficientemente credibile, economico e adattabile da poter essere prodotto in migliaia di varianti. La disponibilità di corpora linguistici africani diventa pertanto una componente importante, non soltanto dell’inclusione digitale, ma della sicurezza.
Dall’identità digitale all’identità sintetica
Uno dei principali terreni di applicazione MUAI è l’identità. I data breach forniscono documenti, credenziali, PIN delle SIM, dati bancari, fotografie e informazioni personali. Tali elementi possono essere combinati con immagini, voci e dati generati artificialmente, creando identità sintetiche efficaci per aprire conti, richiedere prestiti, registrare SIM e superare procedure Know Your Customer (KYC) in generale.
In merito, risulta interessante quanto emerge dagli ultimi Digital Identity Fraud in Africa Report di Smile ID, secondo cui le frodi relative all’identità digitale stanno evolvendo da frodi documentali relativamente statiche verso operazioni AI-driven che interessano biometria, autenticazione, dispositivi, nonché l’intero ciclo di vita dell’account. Nel caso dell’identity farming, dati personali reali — talvolta acquisiti sfruttando soggetti vulnerabili e/o contesti caratterizzati da bassa alfabetizzazione digitale/finanziaria — vengono utilizzati per creare account fraudolenti destinati, tra l’altro, a schemi di riciclaggio stratificato.
Secondo dati S2W richiamati da INTERPOL, nel 2025 i contenuti di origine africana rilevati nel dark web sono aumentati del 62% su base annua. Inoltre, la limitata interoperabilità tra sistemi nazionali può consentire che un’identità sottratta in un Paese venga utilizzata per aprire un conto in un secondo quindi riciclare i proventi illeciti attraverso un terzo.
Il caso Telecom Namibia
Qui, la vulnerabilità non dipende soltanto dagli algoritmi biometrici, ma soprattutto dalla frammentazione istituzionale e dalla limitata interoperabilità tra banche, operatori mobili, magistratura e forze di polizia.
In tal senso, risulta emblematico il caso Telecom Namibia; dopo l’attacco attribuito a Hunters International, dati personali e finanziari riferibili anche a ministeri e alti funzionari sarebbero stati pubblicati nel dark web. Ciò poiché la compromissione di un operatore di telecomunicazioni, non espone soltanto i clienti, ma può facilitare la produzione di materiale riutilizzabile per nuove frodi, attività di intelligence, coercizione e social engineering mirato.
Ransomware, servizi essenziali e resilienza istituzionale
Il ransomware africano mostra una crescente evoluzione dall’estorsione opportunistica verso forme di interruzione strategica. Meteorologia, energia, dogane, sanità, trasporti e telecomunicazioni diventano target significativi perché la compromissione di un servizio essenziale consente ai criminali di aumentare il proprio potere negoziale. Tra i casi richiamati figurano gli incidenti ai danni del South African Weather Service, dei sistemi doganali nigeriani, della rete elettrica ugandese e di operatori di telecomunicazioni namibiani.
Secondo i dati TrendAI il Sudafrica concentra il 92% delle rilevazioni ransomware considerate nel continente nel 2025; un dato che riflette insieme l’elevata esposizione, la maggiore densità/osservabilità dell’ecosistema cyber-sociale sudafricano. Secondo l’African Perspectives on Cyber Security Report 2025 di Check Point, le organizzazioni africane hanno registrato in media più di tremila attacchi settimanali per organizzazione, contro quasi duemila a livello globale.
Il rapporto evidenzia, inoltre, una minore centralità della sola cifratura e un maggiore ricorso all’esfiltrazione dei dati, alla minaccia di pubblicazione e alla compromissione delle identità. In tal senso, L’email rimane un importante vettore di file malevoli, mentre configurazioni errate, API esposte, dispositivi edge e identità compromesse producono percorsi di accesso tra cloud, sistemi legacy e infrastrutture operative.
Sicurezza cyber-sociale: proteggere sistemi, persone e fiducia
La convergenza osservata impone ormai la necessità di integrare la cybersecurity, non solo africana, con la prospettiva di sicurezza cyber-sociale, intesa come protezione integrata dei sistemi digitali e delle dinamiche socio-cognitive, relazionali, informative che si determinano nell’ecosistema cyber-sociale, ove sistemi, identità, relazioni sociali, processi decisionali, reputazione e “fiducia connettiva” appartengono alla medesima superficie di rischio.
Sextortion e BEC in Africa
Ne sono un esempio le circa 600.000 rilevazioni di sextortion in Africa nel 2025, riportate da INTERPOL, attraverso l’utilizzo di fotografie pubblicate online, al fine di generare immagini fotorealistiche sessualmente esplicite. In questo modello la compromissione non riguarda necessariamente un dispositivo, ma l’identità sociale della vittima, ansia, vergogna, paura, isolamento e minaccia reputazionale diventano strumenti dell’attacco.
In merito, basta osservare quanto anche il BEC in ambito aziendale agisca sempre più efficacemente sulla struttura sociale dell’organizzazione; qui l’AI può riprodurre il tono di un dirigente, il gergo interno, lo stile di firma e il contesto di una conversazione precedente. L’attacco, quindi, non richiede necessariamente la compromissione tecnica del sistema di pagamento, ma può manipolare le relazioni di autorità, urgenza e fiducia che governano il processo autorizzativo, come nel caso emerso nell’ambito dell’Operation Sentinel, ossia il tentativo di BEC contro una società petrolifera in Senegal, finalizzato a dirottare un bonifico da 7,9 milioni di dollari, sventato mediante il tempestivo congelamento dei conti di destinazione da parte delle autorità senegalesi, ancora una volta la natura transnazionale della filiera criminale.
Il gap significativo tra consapevolezza percepita e capacità di azione costituisce un acceleratore dell’efficacia criminale, come rilevato nell’Africa Human Risk Management Report 2025 di KnowBe4, in cui su 124 decisori di cybersecurity in 30 Paesi africani, soltanto il 10% si dichiara pienamente fiducioso che i dipendenti segnalerebbero un’email o una minaccia sospetta, il 41% indica la misurazione dell’efficacia della formazione come principale difficoltà, e il 46% riferisce la criticità di policy AI ancora in sviluppo.
L’impatto di BYOD e Shadow AI
Ciò in un contesto in cui policy di Bring Your Own Device (BYOD) e Shadow AI non fanno altro che ampliare la superficie e il rischio di attacchi. Occorre precisare che il tema non è considerare l’utente, l’umano, un fattore intrinsecamente debole del sistema. L’individuo diventa vulnerabile quando mancano procedure comprensibili, canali di segnalazione, verifica fuori banda, formazione contestuale e, non ultimo, supporto alle vittime. La sicurezza cyber-sociale richiede quindi che competenze tecniche, psicologia dell’inganno, protezione dell’identità e cultura oranizzativa siano trattate come pilastri della medesima architettura di sicurezza.
Secondo tale prospettiva, l’evoluzione 2021–2026 segnala anche uno spostamento del baricentro della minaccia, dalla sola compromissione del sistema tecnico alla compromissione del contesto socio-relazionale e del processo decisionale. Ciò non implica la sostituzione di malware, ransomware e/o intrusioni, ma una loro possibile ricomposizione all’interno di campagne nelle quali l’accesso tecnico diviene una componente di operazioni che mirano anche a produrre autenticità, urgenza, fiducia o paura sufficienti a orientare il comportamento della vittima target.
Disinformazione e MUAI: integrità informativa, processi elettorali e fiducia pubblica
La superficie di attacco non termina all’interno delle reti aziendali. Infatti, già nel 2024 l’Africa Center for Strategic Studies censisce 189 campagne di disinformazione nel continente, quasi quattro volte quelle rilevate nel 2022, distribuite in almeno 39 Paesi, quasi il 60% delle operazioni documentate viene ricondotto ad attori statali esterni. L’Africa occidentale risulta l’area maggiormente colpita, mentre conflitti, colpi di Stato e competizioni elettorali costituiscono importanti acceleratori disinformativi.
Anche qui la sottorappresentazione linguistica, già citata, aggrava il rischio informativo, e le traduzioni automatiche non risolvono interamente il problema, poiché possono perdere semantica contestuale, importanti riferimenti culturali e significati politico-sociali locali. Ne consegue, tra l’altro, che fact-checking automatizzato, moderazione, sistemi di allerta elettorale e strumenti di verifica dei deepfake possono risultare meno affidabili proprio nei contesti linguistici più vulnerabili.
Il caso delle elezioni in Ghana
Il Ghana offre, tuttavia, un modello di risposta significativo. In occasione delle elezioni del 2024, la Ghana Fact-Checking Coalition ha riunito organizzazioni di fact-checking, giornalisti e oltre cento emittenti/testate, diffondendo contenuti verificati anche attraverso radio e WhatsApp.
Parallelamente, nell’ambito del progetto AHEAD Africa, Penplusbytes ha sviluppato una Disinformation Detection Platform basata sull’AI per supportare il monitoraggio e l’identificazione dei contenuti disinformativi. L’AI difensiva può quindi accelerare il triage, ma classificazione e risposta dovrebbero rimanere human-in-the-loop, coinvolgendo fact-checker, soprattutto nei contesti maggiormente esposti a disinformazione e Foreign Information Manipulation and Interference (FIMI).
Minacce ibride e competizione nello spazio informativo africano
La disinformazione può diventare una componente di minaccia ibrida quando viene combinata con leve economiche, infrastrutturali, diplomatiche, tecnologiche e di sicurezza, come avviene in alcune operazioni sponsorizzate da Stati, nelle attività di spionaggio difficili da attribuire o in campagne che sincronizzano intrusioni informatiche, iniziative mediatiche e diplomatiche.
In tal senso, l’ecosistema cyber-sociale consente forme di pressione politica, raccolta informativa e destabilizzazione che non richiedono necessariamente l’impiego diretto della forza, ma possono incidere su elezioni, istituzioni pubbliche, libertà civili e fiducia nello Stato. Riguardo alla competizione tra potenze esterne, le fonti considerate attribuiscono un ruolo particolarmente rilevante alla Russia nelle campagne di disinformazione documentate, soprattutto nel Sahel, altri attori esterni includono la Cina e alcuni Paesi del Golfo.
Reti sociali, media statali, influencer locali e organizzazioni apparentemente panafricane possono essere impiegati per delegittimare istituzioni democratiche, missioni delle Nazioni Unite e attori occidentali. In alcuni contesti, tali attività si sono sovrapposte al sostegno, a vario titolo, per giunte militari e/o attori armati.
In merito occorre ricordare che la minaccia ibrida non coincide con la disinformazione e/o con singoli contenuti falsi, ma con la capacità di sincronizzare cyberattacchi, manipolazione informativa, pressione economica, controllo delle infrastrutture e sfruttamento delle fratture politico-sociali.
Il caso dell’Ufficio nazionale di statistica nigeriano
La compromissione del sito dell’Ufficio nazionale di statistica nigeriano, citata nel report INTERPOL, mostra il valore strategico dei dati pubblici, poiché colpire l’infrastruttura che produce statistiche può interrompere servizi, alterare la disponibilità delle informazioni, quindi alimentare campagne di sfiducia che serializzate nel tempo possono impattare in modo sostanziale sul DNA della cittadinanza.
Sovranità digitale e rischio di dipendenza tecnologica
Il Fondo Monetario Internazionale stima che, a seconda del grado di adozione e delle condizioni abilitanti, l’AI possa accrescere la produttività dell’Africa subsahariana tra lo 0,2% e il 2,1% nel prossimo decennio e, nello scenario più favorevole, aggiungere quasi mezzo punto percentuale alla crescita annua. Il principale rischio non è necessariamente la sostituzione immediata del lavoro, ma la possibilità che i Paesi africani non riescano ad adottare, adattare e scalare l’AI abbastanza rapidamente, ampliando il divario con le economie più avanzate. Elettricità, connettività, accesso a dispositivi, capacità di calcolo, competenze e qualità delle istituzioni diventano quindi componenti strutturali della sicurezza nazionale.
La dipendenza da cloud, modelli e dataset esteri non produce soltanto un costo economico, ma condiziona la possibilità di verificare i sistemi, garantirne la continuità, proteggere dati strategici e mantenere quindi esistenziali margini di autonomia decisionale.
Le strategie di Marocco e Angola
In tale contesto, le strategie nazionali di Marocco e Angola mostrano come alcuni Stati africani stiano già traducendo questa consapevolezza in dottrina istituzionale. La Stratégie nationale de cybersécurité 2030 del Marocco prevede il rafforzamento della governance e del quadro giuridico-istituzionale, della protezione dei sistemi informativi sensibili e delle infrastrutture d’importanza vitale, del capitale umano, dei meccanismi di audit e della cooperazione internazionale.
Il Marocco, che persegue un posizionamento regionale nel settore digitale e della cybersecurity, attribuisce inoltre centralità alla formazione universitaria e professionale, alla sensibilizzazione, alla cooperazione tra Autorità Giudiziarie, cyber intelligence e soggetti privati e alla collaborazione internazionale. La strategia angolana collega espressamente la cybersecurity alla sovranità digitale, alla difesa nazionale e al funzionamento dello Stato, proponendo strutture specializzate, capacità di risposta agli incidenti e protezione dei dati personali come strumenti per tutelare interessi nazionali, continuità istituzionale e diritti individuali. Qui la cybersecurityviene inoltre presentata come condizione favorevole alla fiducia degli investitori, alla diversificazione economica e soprattutto al posizionamento internazionale del Paese.
Infrastrutture digitali e presenza cinese in Africa
La presenza cinese rende particolarmente concreta la relazione tra sviluppo infrastrutturale e dipendenza. I documenti ufficiali relativi alla cooperazione Belt and Road tra Cina e Africa prevedono la partecipazione di imprese cinesi alla realizzazione di dorsali in fibra, connessioni transfrontaliere, cavi sottomarini, reti mobili di nuova generazione e data center, insieme a forme di cooperazione su standard tecnici e regole infrastrutturali.
La cooperazione si estende a IT, fintech, economia digitale, cloud, Big Data e cybersecurity e comprende la Digital Silk Road (DSR), con iniziative su 5G, smart city, AI, laboratori congiunti, telerilevamento satellitare ed ecommerce. Il Forum on China-Africa Cooperation (FOCAC) Beijing Action Plan (2025–2027) definisce il quadro politico generale della cooperazione sino-africana nel triennio.
Più specificamente sulla dimensione online, il Plan of Actions on Jointly Building a China-Africa Community with a Shared Future in Cyberspace (2025–2026) prevede collegamenti tra il National Computer Network Emergency Response Technical Team/Coordination Center of China (CNCERT) e i CERT africani, cooperazione nella risposta agli incidenti transfrontalieri, dialogo sulla sicurezza e sulla circolazione internazionale dei dati, formazione su economia digitale e cybersecurity e coordinamento multilaterale sulla governance dell’AI.
L’equilibrio tra riduzione del gap tecnologico e dipendenza
Il piano include inoltre una componente di cooperazione tra media digitali e piattaforme, comprendente scambi, produzione congiunta di contenuti e promozione delle relazioni sino-africane. L’infrastruttura cyber viene pertanto associata a standard, formazione, regole sui dati, diplomazia tecnologica e produzione informativa. Occorre precisare che tali iniziative non devono essere rappresentate automaticamente come minacce poiché possono concretamente colmare a livello nazionale deficit reali di infrastrutture, competenze e connettività.
La criticità strategica consiste nella capacità degli Stati africani di negoziare interoperabilità, trasparenza, portabilità, sicurezza delle supply chain e controllo sui dati, evitando che l’assistenza tecnica si trasformi di fatto in una dipendenza difficilmente reversibile. Il sistema delle connessioni geopolitiche sub-regionali, regionali e continentali, la frenetica tecnoevoluzione globale degli ultimi anni, l’accelerazione impressa dall’AI, fa sì che la sovranità tecnologica africana non possa coincidere con l’autarchia, ma realisticamente con una sorta di interdipendenza governata, attraverso infrastrutture regionali condivise, regole comuni, portabilità dei dati, capacità di audit, ricerca pubblica, ricerca indipendente, modelli linguistici locali e partnership che costruiscano capacità anziché dipendenza.
Dalla cybersecurity nazionale alla resilienza regionale in Africa
In tema di minacce cyber nel continente africano, il problema operativamente più evidente è la distanza tra la velocità degli attaccanti e quella delle istituzioni, rappresentando che nel 2025 diciassette Paesi hanno adottato e/o modificato il proprio frame giuridico relativo al cybercrime. Secondo il report INTERPOL, soltanto l’8% degli analisti di intelligence possiede competenze avanzate sull’AI, il 94% delle agenzie segnala strumenti di digital forensics insufficienti, il 78% lamenta carenze di budget, infrastrutture e personale, Il 72% rileva lentezza nello scambio di dati, e l’89% identifica la cooperazione transfrontaliera come un ostacolo centrale.
L’asimmetria è quindi temporale prima ancora che tecnologica, in un contesto in cui un deepfake può essere prodotto in pochi minuti, fondi e cripto-attività possono attraversare diversi sistemi giuridici in tempi molto brevi, e i log files possono essere cancellati molto rapidamente. Le richieste di assistenza giudiziaria, gli ordini di conservazione e gli accessi ai dati delle piattaforme possono invece richiedere settimane, se non mesi. Tale asimmetria temporale tra capacità d’attacco e risposta istituzionale rappresenta oggi uno dei principali moltiplicatori del rischio.
Qui, la cooperazione internazionale può contribuire a compensare le criticità riportate, come evidenziato dalle operazioni coordinate da INTERPOL tra cui Serengeti 2.0, Contender 3.0, Sentinel e Red Card 2.0, che hanno portato a più di 1500 arresti, oltre al sequestro di dispositivi e allo smantellamento di infrastrutture cyber. La risposta regionale richiede ormai la strutturazione di una rete 24/7 per la prova elettronica, procedure urgenti per ransomware e BEC, interoperabilità tra forze di polizia e CERT, condivisione tempestiva delle informazioni con banche e operatori di telecomunicazioni, formazione estesa a tutti gli attori delLaw Enforcement,nonché la creazione di laboratori forensi condivisi per i Paesi con minori risorse in tale ambito, ma sempre più spesso direttamente o indirettamente coinvolti nell’ecosistema MUAI.
Una semantica giuridica univoca, curricula investigativi, dataset linguistici, procedure di incident response, strumenti AI attraverso formati interoperabili e multilingue, sostenuti da glossari condivisi tra le principali lingue di lavoro e le lingue locali rilevanti a livello locale, potrebbe ridurre i costi che oggi ostacolano cooperazione, formazione e scambio della prova digitale.
Ecosistemi digitali in Africa: profili regionali, interdipendenze e scenari
Il quadro ricostruito non consente di parlare dell’Africa come di uno spazio cyber-sociale unitario e omogeneo, ma di riconoscere una comune trasformazione continentale — accelerazione della digitalizzazione, espansione dell’AI, crescita del cybercrime e insufficiente velocità delle risposte istituzionali — che assume forme differenti a seconda delle infrastrutture, dei sistemi finanziari, delle capacità statali, delle lingue, dei rapporti geopolitici e dei modelli di innovazione presenti nelle diverse aree.
Il rapporto INTERPOL afferma esplicitamente che il panorama africano delle minacce non è monolitico, individuando quattro ecosistemi principali:
- l’Africa australe, caratterizzata da elevata connettività e incidenti ad alto impatto;
- l’Africa occidentale, nella quale prevalgono frodi, scam e BEC;
- l’Africa orientale, caratterizzata dalla centralità del mobile money;
- l’Africa centrale, dove social engineering, botnet e compromissioni persistenti convivono con una rilevante sottodenuncia.
A tale quadripartizione proposta da INTERPOL, risulta utile affiancare, in chiave analitica, due aree di particolare rilievo, da un lato il Maghreb, come area regolatoria, infrastrutturale e geopolitica di connessione tra Africa, Mediterraneo e mondo arabo; e dall’altro il Sahel, quale fascia nella quale cybercrime, disinformazione, instabilità istituzionale, criminalità organizzata – soprattutto High Risk Criminal Networks (HRCNs), terrorismo, e competizione internazionale tendono a sovrapporsi e/o spesso ibridarsi. A tali divisioni territoriali si aggiungono spazi non coincidenti con i confini statali, tra cui le comunità linguistiche – francofone, anglofone, lusofone e arabofone -, i corridoi delle telecomunicazioni, le reti del mobile money, infrastrutture cloud, approdi dei cavi sottomarini, ecosistemi tecnologici costruiti intorno a fornitori e/o partner esterni.
Il periodo 2021–2026 non deve tuttavia essere letto come una successione uniforme e sincrona di “stadi” attraversati da tutti i Paesi. Cybercrime tradizionale, mercati CaaS/RaaS, frode platformizzata, campagne AI-augmented e forme MUAI possono coesistere nello stesso momento e assumere pesi differenti in funzione della maturità cyber-sociale, della capacità di enforcement, dell’accesso ai servizi finanziari, delle lingue e delle infrastrutture locali.
La sicurezza digitale africana deve, quindi, essere compresa come un sistema di geografie spazio-temporali sovrapposte, nel quale territorio, lingua, tecnologia, finanza e influenza politica determinano differenti forme di esposizione, vulnerabilità, e opportunità criminale.
Africa australe: densità infrastrutturale e rischio sistemico
L’Africa australe rappresenta l’esempio più evidente del rapporto ambivalente tra maturità cyber-sociale e vulnerabilità. Sudafrica, Namibia, Angola, Mauritius e altri poli regionali concentrano data center, servizi finanziari, telecomunicazioni, infrastrutture pubbliche digitalizzate e collegamenti internazionali. Questa densità tecnologica aumenta la capacità economica e amministrativa, ma rende la regione un obiettivo privilegiato per ransomware, DDoS, compromissioni della supply chain e attacchi contro servizi essenziali. Gli incidenti che hanno interessato meteorologia, trasporti, energia e telecomunicazioni mostrano che il danno non si esaurisce nella perdita di dati e/o nel pagamento di un riscatto, ma può propagarsi alla navigazione, alla logistica, alle attività economiche e alla capacità dello Stato di gestire servizi pubblici, emergenze e crisi.
Il principale rischio futuro non deriva quindi dall’assenza di infrastrutture, ma dalla loro concentrazione, dal sistema di interdipendenze, spesso invisibili, e dalla coesistenza tra sistemi avanzati, apparati/applicazioni di sicurezza implementate con livelli non omogenei di maturità.
Africa occidentale: frode industrializzata ed economie della persuasione
L’Africa occidentale è caratterizzata da una diversa configurazione poiché qui la minaccia assume soprattutto la forma di un’economia criminale transnazionale fondata su frode, manipolazione della fiducia e monetizzazione delle identità. Nigeria, Ghana, Costa d’Avorio, Senegal, Mali e Capo Verde occupano posizioni diverse all’interno di filiere che comprendono phishing, BEC, romance baiting, criptovalute, sextortion, frodi sul mobile money, scam center e reti di money mule.
In questo spazio il MUAI agisce soprattutto aumentando la produttività della persuasione criminale, permettendo di generare messaggi personalizzati, riprodurre il linguaggio di soggetti con ruoli apicali, creare falsi testimonial nelle lingue locali e/o gestire numerosi target in parallelo. Gli impatti non sono soltanto finanziari. L’industrializzazione delle truffe può intrecciarsi con il traffico di esseri umani (THB), con lo sfruttamento di giovani reclutati attraverso false offerte di lavoro, e con l’erosione della fiducia nei servizi fintech, producendo danni reputazionali per l’intero ecosistema nazionale.
Africa orientale: mobile money e sicurezza dell’identità mobile
L’Africa orientale è il luogo nel quale innovazione e vulnerabilità convergono intorno alla telefonia mobile. In Kenya, Tanzania, Uganda, Rwanda e negli altri mercati della regione, lo smartphone è contemporaneamente strumento di comunicazione, canale di autenticazione, portafoglio finanziario e punto di accesso ai servizi pubblici. Il successo del mobile money ha prodotto inclusione finanziaria e innovazione, ma ha anche concentrato più funzioni critiche sulla stessa identità telefonica.
Un SIM swap non compromette soltanto una linea, ma può consentire il recupero di password, l’accesso ai portafogli digitali, l’apertura di prestiti, l’impersonificazione della vittima e la sottrazione di fondi. La crescita delle frodi sulle SIM e gli attacchi contro operatori di telecomunicazioni, sistemi governativi ed energia mostrano che la regione rischia di vedere compromesso proprio uno dei suoi maggiori vantaggi competitivi. Il futuro della sicurezza dell’Africa orientale dipenderà quindi dalla possibilità di sviluppare una cybersecurity realmente mobile-first, nella quale operatori telefonici, banche, fintech, autorità responsabili dei sistemi di identità digitale e forze di polizia possano condividere meccanismi di allerta precoce e segnali deboli per intervenire in tempo reale.
Africa centrale: sottorilevazione e persistenza delle compromissioni
Nell’Africa centrale la minaccia è spesso meno visibile. Camerun, Ciad, Gabon, Repubblica del Congo e altri Paesi della subregione mostrano livelli più bassi di segnalazione, limitata capacità forense, coordinamento insufficiente tra agenzie e una presenza diseguale dei CERT. Ciò non significa che il rischio sia minore. Le rilevazioni di botnet, la diffusione di phishing francofono, frodi creditizie, identità sintetiche e malware orientati all’accesso persistente suggeriscono un ecosistema nel quale dispositivi e reti compromessi possono essere utilizzati come infrastruttura per attacchi condotti altrove.
Il rischio è che la scarsa visibilità venga scambiata per sicurezza e che la regione diventi uno spazio di transito, raccolta di credenziali e permanenza silenziosa degli attori malevoli. L’urgenza non consiste soltanto nell’acquistare nuovi strumenti, ma nel costruire capacità condivise, campagne linguisticamente accessibili, meccanismi di segnalazione e centri forensi regionali sostenibili anche per Stati con risorse limitate.
Maghreb: regolazione, supply chain e sovranità digitale
Il Maghreb introduce un’ulteriore configurazione. La Strategia marocchina di cybersecurity 2030 mostra un modello nel quale protezione delle infrastrutture vitali, sicurezza dei fornitori, formazione e cooperazione internazionale vengono inserite in una politica di sovranità e posizionamento regionale. Il Nord Africa è esposto contemporaneamente ai sistemi normativi europei, alle dinamiche del mondo arabo, alla cooperazione africana e alla competizione tra fornitori globali.
Per questo i suoi rischi riguardano non soltanto criminalità finanziaria e ransomware, ma anche cyber-spionaggio, protezione delle infrastrutture transmediterranee, dipendenza dalla supply chain, uso politico delle tecnologie di sorveglianza e minacce ibride. Il possibile sviluppo del Maghreb come polo africano di certificazione, formazione e regolazione potrebbe rafforzare il continente; potrebbe tuttavia anche produrre un’architettura più separata da quella subsahariana, accrescendo le asimmetrie istituzionali in un’area strategica di collegamento e transito.
Sahel: convergenza delle minacce ibride
Il Sahel non emerge come hub tecnologico, ma come spazio di convergenza delle minacce ibride. In Mali, Burkina Faso, Niger, Ciad e nelle aree limitrofe, fragilità istituzionale, crisi delle organizzazioni regionali, presenza di gruppi armati e competizione tra attori esterni creano condizioni nelle quali cyberattacchi, propaganda, pressione diplomatica e operazioni d’influenza possono combinarsi.
Una compromissione digitale può essere amplificata da una campagna informativa, attribuita strumentalmente a un avversario, impiegata per delegittimare le istituzioni e/o giustificare nuove misure di controllo. L’obiettivo non è più soltanto il sistema informatico, ma anche la capacità collettiva di distinguere fatti, interpretazioni e manipolazioni e la fiducia nella legittimità dello Stato. Il Sahel può quindi diventare uno dei principali teatri africani di convergenza tra criminalità, influenza straniera, terrorismo e coercizione politica, in cui sono tra l’altro già in atto da anni dinamiche di ibridazione criminale.
I possibili scenari
Le carenze operative già richiamate — in particolare in materia di digital forensics, competenze AI e cooperazione transfrontaliera — attraversano, con intensità differenti, tutti i profili regionali. Nei diversi ecosistemi regionali, l’asimmetria temporale già definita può amplificarsi ulteriormente con il passaggio verso forme più agentiche di MUAI, nelle quali le attività ripetitive di ricognizione, personalizzazione e adattamento vengono progressivamente automatizzate.
Il futuro può, pertanto, svilupparsi lungo traiettorie differenti. Uno scenario di accelerazione frammentata vedrebbe gli Stati adottare nuove leggi, piattaforme e unità cyber senza raggiungere una reale interoperabilità. I Paesi più forti proteggerebbero alcuni nodi strategici, mentre quelli meno dotati potrebbero diventare spazi di transito o infrastrutture inconsapevolmente utilizzate da operazioni criminali. La distanza tra regioni crescerebbe e le differenze normative continuerebbero a essere sfruttate per trasferire dati, account e fondi un sistema giuridico all’altro.
Uno scenario più favorevole sarebbe quello di una resilienza regionalizzata: non una struttura continentale completamente centralizzata, difficilmente compatibile con le profonde differenze esistenti, ma un’architettura multilivello. L’Unione Africana e AFRIPOL potrebbero definire principi, standard minimi e meccanismi comuni di cooperazione; SADC, ECOWAS, EAPCCO e le altre organizzazioni subregionali potrebbero sviluppare capacità operative coerenti con i rispettivi profili di rischio.
Qui, gli Stati manterrebbero la responsabilità dell’attuazione nazionale, le comunità linguistiche potrebbero sostenere formazione, terminologia giuridica, dataset e procedure condivise. Rimane il rischio di una sovranità digitale dipendente, investimenti esterni in data center, cloud, piattaforme, laboratori, formazione e sistemi di sorveglianza possono colmare deficit reali, ma, se non accompagnati da portabilità, trasparenza, sicurezza della supply chain, capacità di audit e controllo sui dati, possono produrre una sicurezza formalmente più avanzata ma strutturalmente dipendente. Il nodo rimane quindi quello dell’interdipendenza governata già richiamata, attraverso la cooperazione con fornitori e partner esterni preservando auditabilità, portabilità e controllo sui dati.
Lo scenario più critico sarebbe infine quello della piena convergenza delle minacce ibride. In tale prospettiva, ransomware, deepfake, frodi, cyber-spionaggio, disinformazione e pressione economica non costituirebbero più fenomeni separati. Un attacco contro una banca dati pubblica potrebbe essere utilizzato per compromettere servizi, sottrarre identità, diffondere informazioni false e minare la fiducia nelle istituzioni. Una campagna contro un’infrastruttura energetica potrebbe produrre contemporaneamente danno economico, pressione politica e delegittimazione dello Stato.
Pertanto, la sicurezza non riguarderebbe più soltanto la riservatezza, l’integrità e la disponibilità dei sistemi, ma la possibilità stessa delle istituzioni di produrre dati affidabili, comunicare durante le crisi, garantire servizi e conservare autonomia decisionale.
Attori malevoli e domini: lo sfruttamento delle vulnerabilità sistemiche
Il sistema africano qui descritto offre opportunità di sfruttamento a una pluralità di attori capaci di trarre vantaggio, con finalità differenti, dalla crescita della connettività, dalla frammentazione normativa, dalle disuguaglianze regionali e soprattutto dalla diffusione dell’AI. Le vulnerabilità non si distribuiscono uniformemente e non appartengono a un unico dominio, ma sono sfruttate secondo principi di opportunità strategica.
In tale ottica, l’inadempienza nella registrazione delle SIM può trasformarsi in frode finanziaria, la violazione di dati può alimentare attività di spionaggio, il ransomware contro un servizio pubblico può essere sfruttato in una campagna di delegittimazione su base integrata interna/FIMI, e la dipendenza tecnologica può tradursi in capacità di influenza politica. Il vantaggio degli attori ostili deriva soprattutto dalla possibilità di attraversare i confini tra criminalità, sicurezza nazionale, informazione, finanza e geopolitica più rapidamente di quanto riescano a fare le istituzioni incaricate di proteggere i molteplici domini oggi costantemente vulnerabilizzati.
Reti ransomware, operatori BEC, scam center, broker di accesso iniziale, gestori di botnet, produttori di malware e organizzazioni specializzate nel riciclaggio possono sfruttare la differente maturità dei sistemi africani distribuendo le proprie attività in Paesi diversi. Un’entità criminale non deve necessariamente concentrare infrastrutture, vittime, conti bancari e operatori nello stesso Paese, può acquisire credenziali attraverso dispositivi compromessi nell’Africa centrale, selezionare target aziendali in Sudafrica, produrre messaggi fraudolenti nell’Africa occidentale, utilizzare SIM registrate irregolarmente nell’Africa orientale e trasferire i proventi attraverso criypto asset, mobile money e/o reti di money mule collocate in ulteriori Paesi, tutti caratterizzati da framework normativi spesso molto diversi tra di loro.
La frammentazione per tali attori – sempre più interconnessi e/o integrati nelle HRCNs – costituisce una risorsa, perché aumenta i tempi per i riscontri investigativi, rende più complessa l’attribuzione e consente di spostare rapidamente infrastrutture e fondi quando un singolo nodo criminale viene individuato.
L’esempio degli scam center
Gli scam center rappresentano una delle espressioni più evidenti di questa industrializzazione. Possono trarre vantaggio dalla combinazione tra disoccupazione giovanile, mobilità transfrontaliera, false offerte di lavoro, scarsa tutela delle vittime di THB, e disponibilità di piattaforme globali. La frode viene organizzata come un processo produttivo, alcuni soggetti raccolgono dati, altri costruiscono profili e relazioni, altri ancora gestiscono pagamenti e/o riciclano i proventi illeciti. L’AI può rendere più efficiente ciascuna fase, dalla generazione dei messaggi alla traduzione, dalla creazione di fotografie sintetiche alla gestione simultanea di più identità. Appare evidente, quindi, come il fatto che il 72% dei Paesi partecipanti all’indagine INTERPOL segnali la presenza di scam center, indichi che il fenomeno non può più essere considerato marginale.
Quando gli attori sono gli Stati
Un secondo insieme di attori è costituito dagli Stati e dagli apparati ad essi collegati. Agenzie di intelligence, unità militari, gruppi APT, società di sicurezza, gruppi paramilitari, organizzazioni di influenza e intermediari privati possono utilizzare la frammentazione africana per attività di cyber-spionaggio, preposizionamento nelle infrastrutture, raccolta di dati e pressione politica. Il loro obiettivo non è necessariamente causare un danno immediato, ma ad esempio acquisire accessi persistenti a reti governative, telecomunicazioni, energia, trasporti, banche dati della popolazione o sistemi statistici, mantenendoli disponibili per una crisi futura. Una capacità di questo tipo produce valore strategico anche quando non viene attivata, consentendo di monitorare processi decisionali, anticipare scelte diplomatiche, conoscere vulnerabilità economiche e/o disporre di leve coercitive.
La diversa capacità di monitoraggio tra le regioni può favorire tali attività, poiché in contesti con strumenti forensi insufficienti, limitata conservazione dei log e/o scarsa cooperazione tra agenzie, una compromissione può rimanere invisibile per periodi prolungati. L’Africa centrale può offrire condizioni più favorevoli al transito e alla permanenza silenziosa, mentre l’Africa australe presenta una maggiore densità di obiettivi di alto valore, il Maghreb assume rilievo per la sua posizione di collegamento tra Africa, Europa e mondo arabo, attraverso l’unicità dello spazio mediterraneo. Gli attori statali possono quindi selezionare i target non soltanto in funzione della debolezza tecnica, ma anche del valore geopolitico, informativo ed economico dei sistemi presenti.
Gli attori privati
Accanto agli apparati statali operano attori formalmente privati e/o di difficile attribuizione, come società militari, imprese di sorveglianza, operatori di spyware, agenzie di comunicazione, società di relazioni pubbliche e reti di influencer. Questi soggetti possono fornire capacità che consentono agli Stati di mantenere una distanza formale dalle operazioni.
Una campagna di influenza può essere affidata a un intermediario commerciale, un’intrusione può essere compiuta da un’entità criminale tollerata e/o indirettamente sostenuta, strumenti di sorveglianza possono essere acquistati come normali prodotti tecnologici e impiegati contro oppositori, giornalisti o organizzazioni civiche. In un contesto fragilizzato e/o compromesso, come quello rappresentato, la zona grigia tra pubblico e privato rende l’attribuzione più difficile e permette di interconnettere obiettivi politici con incentivi economici.
Nel dominio informativo, la novità rilevante per l’analisi degli attori è la possibilità di combinare materiali autentici, contenuti sintetici e intermediari locali per sfruttare fratture politiche e sociali già esistenti, riducendo il costo della differenziazione dei messaggi tra comunità linguistiche. Qui, il vantaggio non deriva soltanto dalla possibilità di far credere un falso, ma anche dalla capacità di rendere incerta l’autenticità di qualsiasi informazione. Il cosiddetto liar’s dividend consente, per esempio, a un attore politico di respingere come deepfake un contenuto autentico, mentre la circolazione di numerosi contenuti manipolati può indurre il pubblico a rinunciare alla distinzione tra vero e falso, o a perderne la capacità in un pericoloso collasso epistemico.
In sistemi caratterizzati da sfiducia, polarizzazione e debolezza dei media, questa ambiguità può essere più efficace di una propaganda perfettamente persuasiva. L’obiettivo diventa la degradazione dell’ambiente informativo, attraverso la riduzione della capacità dei cittadini di formare giudizi condivisi e quella delle istituzioni di comunicare strategicamente durante una crisi.
Gli attori politici interni
Anche attori politici interni possono trarre vantaggio da questo scenario. Governi, partiti, candidati, élite, gruppi di pressione possono impiegare sorveglianza digitale, campagne coordinate, deepfake o accuse di disinformazione per indebolire avversari e società civile. La minaccia non proviene quindi soltanto dall’esterno. Un governo può utilizzare il rischio cyber come giustificazione per estendere il controllo sulle piattaforme; un partito può sfruttare account coordinati per intimidire giornalisti, un candidato può diffondere audio sintetici contro un rivale. Nei contesti autoritari o di transizione militare, la sovrapposizione tra sicurezza nazionale e sicurezza del regime diventa cruciale, così come il ricorso a tali mezzi.
Entità terroristiche e gruppi insurrezionalisti
Anche entità terroristiche e gruppi insurrezionalisti possono beneficiare di alcune di queste dinamiche. Il vantaggio più immediato riguarda propaganda, reclutamento, intimidazione, raccolta di informazioni e, in alcuni casi, finanziamento illecito e riciclaggio. Strumenti generativi possono produrre contenuti in più lingue, adattare messaggi a comunità specifiche e moltiplicare la presenza cyber-sociale del gruppo, dati sottratti a istituzioni e imprese possono contribuire all’individuazione di funzionari, forze di sicurezza, fornitori o soggetti vulnerabili.
Gli accessi iniziali alle infrastrutture critiche presentano una particolare fungibilità, possono essere monetizzati mediante ransomware, utilizzati per attività di intelligence oppure mantenuti per finalità coercitive e/o di sabotaggio, una delle minacce future più rilevanti. Non sempre è possibile stabilire in anticipo quale uso verrà fatto di una vulnerabilità. Credenziali sottratte per una frode possono diventare utili per lo spionaggio, una botnet costruita per spamming può essere impiegata in un DDoS politico, un accesso a una rete governativa può essere venduto nel mercato criminale e acquisito da attori altri, con finalità strategiche.
La separazione tradizionale tra cybercrime e sicurezza nazionale diventa quindi meno efficace, perché le stesse infrastrutture clandestine possono servire mercati e obiettivi diversi. Inoltre, anche gli attori interni alle organizzazioni possono sfruttare tale scenario. Dipendenti corrotti, amministratori negligenti, collaboratori sottopagati, operatori di telecomunicazioni, intermediari KYC e personale con accessi privilegiati possono facilitare registrazioni fraudolente, vendita di credenziali, disattivazione delle procedure di controllo o fuga di informazioni, in un quadro in cui la carenza di competenze e la debolezza dei processi di supervisione rendono difficile distinguere l’errore dall’azione intenzionale, come nel caso degli insider.
Fornitori e intermediari
Dal punto di vista degli attori, occorre precisare che anche un fornitore o un intermediario tecnologico è in grado di esercitare un potere rilevante anche in assenza di intenzioni malevole, quando concentrazione, opacità e limitata portabilità riducono la capacità dello Stato e/o dell’organizzazione richiedente di verificare, sostituire o migrare un dato servizio.
La dimensione linguistica, già richiamata, costituisce infine un fattore trasversale di esposizione e resilienza, poiché condiziona sia l’efficacia delle campagne ostili sia quella degli strumenti di detection, moderazione e fact-checking.
Gli obiettivi
Nel loro insieme, questi attori non operano necessariamente secondo un piano comune. Il pericolo deriva piuttosto dalla possibilità che azioni indipendenti si rafforzino reciprocamente. Pertanto, un gruppo criminale sottrae dati, un operatore di influenza li seleziona/pubblica, un attore politico li utilizza per delegittimare l’avversario, una botnet li amplifica, una piattaforma di detection reagisce lentamente e/o con scarsa efficacia perché la lingua non è supportata, di conseguenza il governo introduce misure emergenziali che riducono lo spazio civico.In questo caso, nessun attore controlla l’intero processo, ma l’effetto complessivo può trasformare un incidente tecnico in una crisi politica.
Il vantaggio fondamentale che gli attori ostili possono ricavare dalle vulnerabilità del sistema africano consiste dunque nella loro componibilità. Le differenze regionali permettono di collocare singole fasi dell’operazione dove risultano più semplici e/o redditizie, la frammentazione istituzionale rallenta la risposta, il MUAI riduce alcuni costi di coordinamento, le piattaforme globali, sia mainstream che fringe, offrono distribuzione ad audience differenziate, i sistemi finanziari digitali consentono una monetizzazione rapida nonché una capacità di riciglaggio sempre più rilevante — non solo con l’obiettivo di monetizzare, ma sempre più spesso di investire in evoluzione tecnologica così da implementare il business criminale —,, le tensioni politiche forniscono narrazioni già disponibili.
La minaccia più significativa non è quindi il singolo malware, un unico gruppo o una specifica potenza esterna, ma la formazione di ecosistemi nei quali capacità criminali, economiche, informative e strategiche possono essere sfruttate, scambiate e ricombinate.
Da tale prospettiva deriva una conseguenza per le politiche di sicurezza. Le istituzioni non possono organizzare la risposta esclusivamente sulla base dell’identità presunta dell’attore, perché tale identità può essere incerta, mutevole e/o deliberatamente occultata. Pertanto, si devono proteggere i domini nei quali questi attori convergono, tra cui in particolare identità, dati, finanza, telecomunicazioni, infrastrutture critiche, salute, processi elettorali, supply chain ed ecosistema informativo. In tale contesto, diviene vitale per lo Stato, l’osservazione dei passaggi tra domini, perché è proprio nelle transizioni che un incidente cambia natura e aumenta il proprio impatto, divenendo sempre più sistemico.
Cinque priorità strategiche per la cyber resilienza africana
In tale scenario, emergono cinque priorità strategiche per rafforzare la resilienza cyber africana:
- proteggere l’identità come infrastruttura critica, attraverso KYC, SIM, mobile money, autenticazione e registri pubblici, che devono essere governati lungo l’intero ciclo di vita, con controlli interoperabili e meccanismi di ricorso;
- investire in AI-literacy. Investigatori, magistrati, dipendenti, giornalisti e cittadini in generale devono comprendere il funzionamento e riconoscimento di deepfake, identità sintetiche, agenti e manipolazioni multimodali;
- integrare cybersecurity e sicurezza cyber-sociale, poiché un ransomware contro un ministero, un deepfake elettorale e un attacco FIMI possono perseguire risultati convergenti tra cui erodere fiducia, ridurre la capacità decisionale e compromettere la continuità istituzionale.
- costruire capacità africane. Dispositivi e capacità di calcolo, dati linguistici, ricerca, startup, formazione e infrastrutture regionali devono ridurre la dipendenza senza interrompere la cooperazione internazionale;
- passare dalla risposta alla resilienza, sviluppando capacità di identificazione, contenimento, preservazione delle prove, assistenza alle vittime e rapido ripristino dei servizi.
La questione decisiva non sarà stabilire quale regione disponga del maggior numero di tecnologie o delle norme più avanzate, ma se l’insieme degli attori africani riuscirà a collegare infrastrutture, competenze, diritto, lingue, istituzioni e fiducia a una velocità comparabile con quella delle reti criminali. Nell’epoca del MUAI, il confine decisivo separa gli ecosistemi capaci di collegare rapidamente dati, segnali di rischio, competenze e autorità da quelli nei quali le informazioni restano frammentate. Ridurre la distanza tra regioni, istituzioni e domini significa trasformare interoperabilità, cooperazione linguistica, condivisione tempestiva delle informazioni e protezione della fiducia in componenti centrali della sicurezza nazionale e continentale.
La resilienza non coincide con l’assenza di incidenti, ma con la capacità di riconoscerli tempestivamente, contenerne la propagazione, proteggere le persone, conservare le prove, ripristinare i servizi e impedire che un attacco tecnico si trasformi rapidamente in una crisi economica, sociale, politica e regionale. È su tale capacità sistemica, multilivello e differenziata che si giocherà una parte significativa della sovranità e dello sviluppo cyber-sociale dell’Africa nei prossimi anni.
Bibliografia
INTERPOL. (2026). African Cyberthreat Assessment Report 2026. https://www.interpol.int/Media/Documents/Publications/Cybercrime/African-Cyberthreat-Assessment-Report-2026
INTERPOL. (2025). Africa Cyberthreat Assessment Report 2025. URL: https://www.interpol.int/News-and-Events/News/2025/New-INTERPOL-report-warns-of-sharp-rise-in-cybercrime-in-Africa
INTERPOL. (2024). African Cyberthreat Assessment Report 2024. https://www.interpol.int/Crimes/Cybercrime/Projects/AFJOC-African-Joint-Operation-against-Cybercrime
Africa Center for Strategic Studies. (2024). Mapping a Surge of Disinformation in Africa. https://africacenter.org/spotlight/mapping-a-surge-of-disinformation-in-africa/
African Union. (2024). Continental Artificial Intelligence Strategy. URL: https://au.int/en/documents/20240809/continental-artificial-intelligence-strategy
KnowBe4. (2025). Africa Human Risk Management Report 2025: The Human Element in African Cybersecurity. https://www.knowbe4.com/hubfs/African%20Human%20Risk%20Management%20Report.pdf
Smile ID. (2025). Digital Identity Fraud in Africa Report 2025.
https://cms.media.usesmileid.com/Smile-ID-2025-Fraud-Report.pdf
International Monetary Fund. (2026). Unlocking the Potential: AI in Sub-Saharan Africa. https://www.imf.org/en/publications/departmental-papers-policy-papers/issues/2026/07/13/unlocking-the-potential-ai-in-sub-saharan-africa-576489
DGSSI, Royaume du Maroc. Stratégie nationale de cybersécurité 2030. https://www.dgssi.gov.ma/fr/publications/strategie-nationale-de-cybersecurite
Forum on China-Africa Cooperation. (2024). Beijing Action Plan (2025–2027).
https://ir.china-embassy.gov.cn/eng/zyxw/202409/t20240905_11485719.htm
Cyberspace Administration of China. (2025). Plan of Actions on Jointly Building a China-Africa Community with a Shared Future in Cyberspace (2025–2026).
https://www.cac.gov.cn/2025-09/26/c_1760606713090408.htm
Check Point Research. (2025). African Perspectives on Cyber Security Report 2025. https://www.checkpoint.com/resources/items/report-african-perspectives-on-cyber-security-2025
Penplusbytes. (2025). AHEAD AFRICA – Ghana Elections 2024 Report. URL: https://penplusbytes.org/publications/ahead-africa-ghana-elections-2024-report/
Antinori, A. (2025). Malicious use of Artificial Intelligence (MUAI): l’uso malevolo dell’intelligenza artificiale nell’ecosistema cyber-sociale. URL: https://siss.terni.unipg.it/ojs/index.php/siss/article/view/151
Partecipa alla community