scenari

Cyberwar Iran-Israele: minacce globali oltre il Medio Oriente

Il conflitto cibernetico Iran-Israele rappresenta una nuova dimensione della guerra, dove operazioni digitali e attacchi informatici si affiancano agli scontri convenzionali. Questa escalation tecnologica ha ripercussioni che vanno ben oltre la regione mediorientale

Pubblicato il 27 giu 2025

Gabriele Iuvinale

Senior China Fellows at Extrema Ratio

Nicola Iuvinale

Senior China Fellows at Extrema Ratio

Il confronto geopolitico tra Iran e Israele, radicato in decenni di rivalità regionale, ha raggiunto un livello di tensione senza precedenti, estendendosi prepotentemente anche al dominio cibernetico.

Guerra in Iran, ecco la minaccia cyber sulle nostre aziende

Indice degli argomenti

Escalation geopolitica e cyberspazio come nuovo fronte

L’intensificarsi della competizione in campo militare, nucleare e diplomatico ha scatenato una serie di eventi che hanno riacceso i timori di un conflitto più ampio, con ripercussioni significative sul panorama della sicurezza informatica globale. In questo contesto volatile, il 13 giugno 2025, l’IDF (Forze di Difesa Israeliane, ovvero l’esercito di Israele) ha lanciato un’operazione militare su larga scala contro l’Iran, mirata a impianti nucleari e siti militari. A complicare ulteriormente il quadro, si sono verificati anche bombardamenti da parte degli Stati Uniti su alcuni siti iraniani, aggiungendo un’ulteriore dimensione di escalation. A queste azioni militari convenzionale è seguita una risposta cibernetica da parte di hacker filo-Teheran che hanno preso di mira banche statunitensi, appaltatori della difesa e aziende petrolifere, sebbene finora senza causare danni diffusi alle infrastrutture critiche o all’economia. Di fronte a queste dinamiche, il conflitto tra Iran e Israele si è rapidamente esteso al cyberspazio, con una guerra informatica segreta che si sta silenziosamente delineando, preoccupando gli esperti di sicurezza informatica per la sua potenziale capacità di raggiungere luoghi in cui le armi convenzionali non arriverebbero mai.

Rischi globali derivanti dal conflitto cibernetico

Il recente conflitto che ha coinvolto l’Iran, in particolare i suoi impegni militari con Israele e Stati Uniti, aumenta significativamente il rischio di ricadute informatiche, estendendo i tradizionali campi di battaglia al mondo digitale. Sebbene non abbiamo ancora assistito a un drammatico aumento degli attacchi informatici distruttivi diretti dall’Iran, ulteriori escalation potrebbero manifestarsi con un’impennata delle operazioni informatiche da parte sia di gruppi sponsorizzati dallo Stato che di hacktivisti indipendenti. Il loro obiettivo sarebbe quello di ostacolare, raccogliere informazioni o influenzare i presunti avversari. I gruppi di minaccia iraniani hanno una storia di attacchi a infrastrutture critiche e settori sensibili in aziende pubbliche e private a livello globale, e questi attacchi possono avere conseguenze di vasta portata.

Tattiche iraniane tra disinformazione e cyber-intelligence

Nonostante l’escalation delle tensioni fisiche, con scambi di attacchi diretti e tramite proxy, gli esperti di sicurezza informatica hanno finora osservato un’attività cibernetica iraniana meno dirompente del previsto rispetto alle sue potenziali capacità. Questa relativa “quiete” suggerisce che Teheran sia attualmente più concentrata sul conflitto convenzionale e regionale che su una massiccia campagna digitale di vasta scala. Shalev Hulio, co-fondatore e amministratore delegato della startup di sicurezza informatica Dream con sede a Tel Aviv, ha dichiarato: “Stiamo assistendo a un aumento dei tentativi, ma non a un aumento dei successi.” Questa osservazione suggerisce che, sebbene vi sia un incremento degli sforzi per sondare le difese israeliane e occidentali, le capacità difensive di questi ultimi si sono dimostrate resilienti. Una portavoce del colosso israeliano della sicurezza informatica Check Point Software Technologies ha ulteriormente specificato che l’attività iraniana osservata è “più legata a operazioni di disinformazione che a attacchi informatici distruttivi.” Questo indica che l’Iran sta forse privilegiando la manipolazione dell’informazione e la guerra psicologica online per influenzare le percezioni e seminare discordia, piuttosto che impegnarsi in azioni cibernetiche con effetti fisici o infrastrutturali diretti e dirompenti. Questa strategia è meno rischiosa in termini di ritorsioni dirette e permette di testare le acque senza scatenare una risposta cibernetica proporzionale.

Attacchi strategici e cyber-rappresaglie mirate

Le recenti azioni nel cyberspazio, sia da parte iraniana che di gruppi che si ritiene collegati a Israele, offrono indicazioni cruciali sulle capacità e le tattiche impiegate in questo conflitto invisibile.

Secondo il laboratorio NSFOCUS Fuying, dall’inizio del 2025, gruppi di hacker hanno lanciato attacchi informatici contro Iran e Israele ininterrottamente. In particolare, il 10 giugno 2025, tre giorni prima che le Forze di Difesa Israeliane lanciassero un attacco su larga scala contro decine di impianti nucleari, basi militari e infrastrutture chiave in Iran, prendendo di mira diversi comandanti di alto rango, si è registrato un picco negli attacchi informatici contro l’Iran. Questi attacchi hanno interessato settori chiave come i servizi finanziari, la produzione mediatica, e i settori di Internet e delle telecomunicazioni. La tempistica di questi attacchi indica una forte predisposizione alla ricognizione e alla preparazione pre-attacco, prima di operazioni militari convenzionali su vasta scala, suggerendo una coordinazione tra il fronte fisico e quello cibernetico.

In risposta, il gruppo di hacker filo-israeliano Predatory Sparrow (noto in persiano come Gonjeshke Darande, e che si ritiene collegato all’intelligence militare israeliana) ha rivendicato la responsabilità di significativi attacchi informatici contro obiettivi iraniani. Martedì 17 giugno, un attacco ha interrotto le operazioni presso la Bank Sepah, una banca di proprietà statale collegata alla Guardia Rivoluzionaria Islamica dell’Iran. I cittadini iraniani hanno segnalato problemi nel prelevare denaro dagli sportelli bancomat, e si è temuto che l’interruzione potesse estendersi anche alle stazioni di servizio che utilizzano la banca per elaborare i pagamenti. Gli hacker di Predatory Sparrow hanno rivendicato la responsabilità, affermando di aver “distrutto i dati” della banca e giustificando l’azione con la tesi che la “Banca Sepah” aggirasse le sanzioni internazionali e finanziasse “terroristi del regime, il suo programma missilistico balistico e il suo programma nucleare militare.” Rob Joyce, ex direttore della sicurezza informatica della National Security Agency degli Stati Uniti, ha commentato su X che “interrompere la disponibilità dei fondi di questa banca o innescare un più ampio crollo della fiducia nelle banche iraniane potrebbe avere gravi ripercussioni lì,” facendo eco ai precedenti attacchi del gruppo contro acciaierie e stazioni di servizio in Iran.

La dimensione politica degli attacchi hacker

Inoltre, Predatory Sparrow ha dichiarato di essere responsabile di un attacco informatico ai danni dell’exchange iraniano di criptovalute Nobitex. Questo attacco ha portato al furto di 90 milioni di dollari in criptovalute dai wallet, trasferiti agli indirizzi degli hacker, e il sito web di Nobitex è risultato inaccessibile. Tuttavia, l’analisi di Elliptic, una società di analisi blockchain, ha rivelato un aspetto insolito: la maggior parte degli indirizzi violati erano “indirizzi vanity” generati con metodi “brute force” computazionalmente impossibili da controllare per gli hacker. Questo indica che Predatory Sparrow non possiede le chiavi private degli indirizzi a cui ha inviato i fondi di Nobitex, e ha di fatto “bruciato” il denaro per inviare un forte messaggio politico all’Iran. In un altro post su X, Predatory Sparrow ha accusato Nobitex di non rispettare le sanzioni e di istruire pubblicamente gli utenti su come aggirarle, sottolineando che “la dipendenza del regime iraniano da Nobitex è evidente dal fatto che lavorare presso Nobitex è considerato un valido servizio militare.”

Le offensive iraniane e l’intensificazione degli attacchi

D’altro canto, le entità israeliane non sono le uniche a fronteggiare una guerra informatica. Gli attacchi del gruppo di hacker filo-iraniano contro Israele hanno raggiunto il picco il 16 giugno, il giorno dopo il “massiccio attacco” dell’esercito israeliano contro diversi siti di produzione di armi iraniane, tra cui siti di produzione di missili terra-terra, basi radar di rilevamento e lanciatori di missili terra-aria a Teheran. Gli obiettivi dell’attacco erano concentrati principalmente nel governo e nel settore pubblico israeliani, nella difesa nazionale, nel settore aerospaziale, nell’istruzione e in altri settori. Questa serie di attacchi implica fortemente il “contrattacco informatico” dell’Iran contro Israele. L’azienda di sicurezza informatica Radware ha dichiarato un aumento del 700% degli attacchi informatici contro le infrastrutture israeliane rispetto al giorno prima dell’inizio dei raid aerei israeliani, il 13 giugno. Ron Meyran, vicepresidente dell’intelligence sulle minacce informatiche presso Radware con sede a Tel Aviv, ha affermato che questo “aumento del 700% delle attività dannose in soli due giorni deriva da operazioni di ritorsione informatica da parte di attori statali iraniani e gruppi di hacker filo-iraniani.” Questi attacchi includono una gamma di tattiche come DDoS (distributed denial-of-service), tentativi di infiltrazione contro infrastrutture critiche, furto di dati e campagne di distribuzione di malware.

Precedenti cyberattacchi e obiettivi strategici iraniani

Le azioni iraniane prima e durante il conflitto nella Striscia di Gaza forniscono ulteriori indicazioni sulle capacità del regime. Un rapporto pubblicato nel febbraio 2024 dal Threat Intelligence Group di Google affermava che gruppi legati all’Iran si sono concentrati su attacchi distruttivi con malware e ransomware all’interno di Israele, come l’attacco all’Israel Institute of Technology nel febbraio 2023. Google ha anche identificato operazioni di hack-and-leak, in cui i dati vengono rubati da organizzazioni governative e aziende per poi essere resi pubblici, spesso con fughe di notizie esagerate o fuorvianti. Secondo lo stesso rapporto, l’80% di tutti i tentativi di phishing contro Israele sostenuti dal governo iraniano, nel periodo che ha preceduto l’attacco armato del 7 ottobre 2023 da parte del gruppo islamista palestinese Hamas, sono stati compiuti da hacker associati al governo iraniano. Anche le infrastrutture critiche statunitensi sono state prese di mira da hacker sostenuti dall’Iran, ha affermato Google, incluso l’attacco di Aliquippa, in cui gli hacker hanno avuto accesso ai sistemi industriali di un impianto idrico e hanno visualizzato messaggi anti-israeliani. Negli ultimi anni, gli hacker sostenuti dall’Iran hanno preso di mira agenzie governative, aziende tecnologiche, infrastrutture energetiche, ospedali e comuni, ha affermato Google.

Statistiche e gruppi attivi nel cyberspazio

Secondo NSFOCUS Fuying Lab, i gruppi di hacker che prendono di mira Israele e Iran sono attivi dal 2025. Ad oggi, circa 170 gruppi di hacker hanno attaccato Israele, con circa 1.345 attacchi informatici complessivi contro Israele, inclusi circa 447 attacchi informatici lanciati dopo lo scoppio del conflitto. Il numero di gruppi di hacker che hanno attaccato l’Iran ha raggiunto circa 55, e il numero di attacchi informatici contro l’Iran ha raggiunto circa 155, di cui circa 20 lanciati contro l’Iran dopo lo scoppio del conflitto. In questo conflitto Iran-Israele, i gruppi di hacker che sostengono l’Iran sono relativamente numerosi e i loro attacchi informatici contro Israele sono relativamente attivi. Tuttavia, rispetto all’efficacia degli attacchi informatici contro l’Iran da parte di gruppi di hacker israeliani rappresentativi (come Predatory Sparrow), i gruppi di hacker filo-iraniani hanno avuto finora scarso impatto. I loro attacchi informatici sono stati di vasta portata, ma di debole efficacia, concentrandosi principalmente su attacchi DDoS da parte di gruppi attivi come “Mr. Hamza”, “TEAM FEARLESS” e “Arabian Ghosts”. Due gruppi di hacker filo-palestinesi, tra cui Mysterious Team, hanno affermato di aver preso di mira più di una dozzina di aziende aeronautiche, banche e compagnie petrolifere in seguito agli attacchi americani del fine settimana. Questi attacchi erano principalmente di tipo denial-of-service, e gli hacker hanno invitato altri a seguire il loro esempio, dichiarando “Da oggi aumenteremo gli attacchi.”

Reazione internazionale alla cyberwar Iran-Israele e allerta sulle infrastrutture critiche

Le autorità federali statunitensi, in allerta per ulteriori tentativi di penetrazione nelle reti, hanno reagito prontamente. Il Dipartimento per la Sicurezza Interna ha pubblicato domenica un bollettino pubblico in cui avvertiva dell’aumento delle minacce informatiche iraniane. L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) ha rilasciato una dichiarazione martedì, esortando le organizzazioni che gestiscono infrastrutture critiche come reti idriche, oleodotti o centrali elettriche a rimanere vigili.

Le valutazioni strategiche sul potenziale offensivo iraniano

Nonostante la relativa quiete sul fronte degli attacchi distruttivi diretti nell’attuale fase del conflitto, la comunità di intelligence e difesa globale, in particolare il Pentagono e le agenzie di intelligence statunitensi, valuta l’Iran come una potenza cibernetica significativa e in crescita, capace di condurre attacchi sofisticati e potenzialmente molto dannosi. Le analisi del Pentagono indicano che l’Iran ha continuato a investire massicciamente nelle sue capacità cibernetiche offensive e difensive, considerandole uno strumento asimmetrico cruciale per compensare le carenze in altri settori militari.

Le agenzie di intelligence statunitensi hanno ripetutamente avvertito che l’Iran possiede “capacità informatiche sempre più sofisticate” e la “volontà di utilizzarle”. Il Dipartimento della Difesa degli Stati Uniti, nel suo rapporto annuale sulle capacità militari dell’Iran, evidenzia come Teheran utilizzi il suo programma cibernetico per una serie di scopi, tra cui:

Spionaggio e raccolta di intelligence. L’Iran è attivo nello spionaggio cibernetico per raccogliere informazioni sensibili da governi, aziende e istituzioni accademiche, sia per scopi strategici che economici. Sebbene non abbia le capacità tecniche di Cina o Russia, l’Iran è da tempo noto come un “agente del caos” quando si tratta di utilizzare attacchi informatici per rubare segreti, ottenere punti politici o spaventare gli oppositori. Ha ripetutamente cercato di usare le sue operazioni più modeste per spiare i leader stranieri, un’azione che gli esperti di sicurezza nazionale prevedono che Teheran tenterà quasi certamente di nuovo nel tentativo di scoprire le prossime mosse del presidente Donald Trump. L’anno scorso, le autorità federali hanno accusato tre agenti iraniani di aver tentato di hackerare la campagna presidenziale di Trump, e sarebbe sbagliato presumere che l’Iran abbia rinunciato a tali sforzi. Come affermato da Jake Williams, ex esperto di sicurezza informatica della National Security Agency e ora vicepresidente della ricerca e sviluppo di Hunter Strategy, “È abbastanza certo che queste risorse limitate vengano utilizzate per raccogliere informazioni di intelligence allo scopo di capire cosa Israele o gli Stati Uniti potrebbero pianificare in futuro, piuttosto che per lanciare attacchi distruttivi contro le organizzazioni commerciali statunitensi.”
Sabotaggio e interruzione. I gruppi di attacco iraniani hanno dimostrato la capacità di compromettere e interrompere operazioni di infrastrutture critiche, anche se spesso con un focus su obiettivi specifici.
Disinformazione e influenza. Come evidenziato dall’attuale fase del conflitto, l’Iran è un attore significativo nelle operazioni di influenza online, utilizzando account falsi, bot e piattaforme social per diffondere propaganda e disinformazione.
Deterrenza asimmetrica. Le capacità cibernetiche sono percepite dall’Iran come un mezzo per proiettare potenza e deterrenza contro avversari tecnologicamente superiori, offrendo un modo per colpire obiettivi a distanza senza ricorrere a mezzi militari convenzionali. Secondo Arnie Bellini, imprenditore e investitore nel settore tecnologico, le operazioni di hacking sono molto più economiche di proiettili, aerei o armi nucleari – quella che gli analisti della difesa chiamano guerra cinetica.

Il Pentagono sottolinea che la minaccia iraniana è dinamica, con gruppi come l’IRGC (Corpi delle Guardie della Rivoluzione Islamica) che continuano a reclutare e addestrare nuovi talenti informatici. L’Iran ha dimostrato una crescente competenza nell’ingegneria sociale, nella violazione delle catene di approvvigionamento e nello sviluppo di malware personalizzati. Si dice che l’Iran utilizzerà le sue armi cibernetiche distruttive solo se il cessate il fuoco tra Iran e Israele dovesse reggere e Teheran cercasse di evitare un altro scontro con gli Stati Uniti. Tuttavia, la situazione potrebbe cambiare se il cessate il fuoco dovesse crollare o se gruppi di hacker indipendenti che sostengono l’Iran mantenessero le promesse di scatenare un proprio conflitto digitale contro gli Stati Uniti. Dato che le capacità di contrattacco militare dell’Iran sono state indebolite dall’attacco israeliano, che ha causato la morte di diversi comandanti di alto rango e danni alle basi, la possibilità di una ritorsione iraniana nel campo degli attacchi informatici è maggiore che mai, ed è molto probabile che questa strategia venga utilizzata come alternativa alla guerra asimmetrica.

Tattiche avanzate e uso politico della guerra cibernetica

Negli ultimi due anni, l’Unità 42 (il team di intelligence sulle minacce di Palo Alto Networks) ha osservato gruppi sostenuti dall’Iran e hacktivisti espandere le loro operazioni informatiche globali. Queste attività si aggiungono a quelle per cui questi gruppi sono storicamente noti e possono intensificarsi ulteriormente nel contesto dei recenti eventi che hanno coinvolto Israele e gli Stati Uniti. Tali attività includono:

Attacchi distruttivi mirati a causare danni irreparabili ai sistemi.
Deturpazioni del sito web, cioè alterazioni visive dei siti web per veicolare messaggi politici o di propaganda.
Attacchi DDoS (Distributed Denial of Service) volti a rendere inaccessibili i servizi online attraverso un sovraccarico di traffico.
Attacchi di esfiltrazione e cancellazione dei dati che ricordano quelli osservati in precedenza da gruppi iraniani che prendono di mira i settori dell’istruzione e della tecnologia israeliani.

Questi gruppi impiegano una varietà di tattiche, tecniche e procedure (TTP), tra cui campagne mirate di spear-phishing e lo sfruttamento di vulnerabilità note. Le osservazioni specifiche dell’Unità 42 includono:

Infrastrutture segrete per lo spionaggio. Un caso recente ha rivelato la presenza di una presunta infrastruttura iraniana segreta che si spacciava per un’agenzia di modelle tedesca per condurre attività di cyberspionaggio, utilizzando siti web falsi per raccogliere numerosi dati sui visitatori.
Ingegneria sociale potenziata dall’intelligenza artificiale. Un gruppo di minacce iraniano (Agent Serpens, noto anche come CharmingKitten) ha utilizzato l’intelligenza artificiale generativa (GenAI) in un PDF dannoso, mascherandolo come un documento di una nota organizzazione di ricerca statunitense (RAND), distribuendolo insieme a un malware mirato.
Operazioni distruttive persistenti. Il gruppo APT Agonizing Serpens, sostenuto dall’Iran, ha preso di mira i settori dell’istruzione e della tecnologia israeliani da gennaio a ottobre 2023, con l’obiettivo di rubare dati sensibili (come informazioni di identificazione personale – PII e proprietà intellettuale) e utilizzando wiper per distruggere i sistemi e ostacolare le analisi forensi.

Nel contesto dell’attuale situazione geopolitica con l’Iran, sono state individuate quattro aree chiave di potenziale attività di minaccia informatica:

Attori della minaccia degli Stati nazionali iraniani. E’ probabile che, nel breve termine, questi hacker sfruttino attacchi mirati, dalle e-mail di spear phishing rivolte ai diplomatici ai malware wiper distruttivi che prendono di mira le organizzazioni legate agli interessi degli Stati Uniti.
Hacktivisti. E’ probabile che gli hacktivisti che sostengono l’Iran continuino a condurre attacchi destabilizzanti e a influenzare operazioni che prendono di mira interessi statunitensi, sia in patria che all’estero, inclusi attacchi DDoS per interrompere l’accesso a internet e operazioni sulle piattaforme dei social media.
Gruppi di criminali informatici. Questi gruppi potrebbero sfruttare opportunisticamente l’incertezza globale per lanciare campagne di phishing, utilizzando gli eventi mondiali come tema per e-mail e allegati dannosi.
Altri attori statali. Esiste il potenziale per altri attori di minacce statali di utilizzare gli eventi per promuovere i propri interessi. Questi attacchi potrebbero includere operazioni sotto falsa bandiera, in cui attori provenienti da paesi diversi dall’Iran mascherano i loro attacchi per farli apparire come se provenissero dall’Iran. Ciò è stato osservato quando la Russia ha dirottato l’infrastruttura informatica iraniana nel 2019 per infiltrarsi in reti già compromesse da attori iraniani.

L’Unità 42 monitora vari attori sponsorizzati dallo stato iraniano sotto il nome di costellazione Serpens. Questi gruppi potrebbero aumentare o intensificare le loro attività nelle prossime settimane.

Le capacità informatiche iraniane sponsorizzate dallo Stato vengono spesso utilizzate per proiettare e amplificare messaggi politici (spesso con tattiche distruttive e psicologiche). È probabile che questi sforzi si concentrino su obiettivi regionali (ad esempio, Israele) così come su quelli che vengono considerati obiettivi di alto valore (ad esempio, politici, decisori chiave e altre entità direttamente coinvolte). Le campagne sponsorizzate dallo Stato potrebbero prendere di mira le catene di fornitura, le infrastrutture critiche, i venditori o i provider delle vittime.

Obiettivi colpiti e metodi distruttivi nella cyberwar Iran-Israele

La maggior parte degli attacchi informatici già segnalati relativi a questo evento sono attacchi denial-of-service (DoS) intenzionalmente distruttivi. Aggressori terzi come hacktivisti e attori proxy in genere supportano una delle due fazioni, con l’obiettivo di influenzare e impattare negativamente la fazione avversaria. Al 22 giugno 2025, 120 gruppi di hacktivisti sarebbero attivi in risposta a questi eventi. Altri rapporti pubblici indicano che sono attivi anche gruppi di criminali informatici e gruppi di delinquenza finanziati dallo Stato. Questi hacker possono infliggere danni economici e psicologici significativi. Ad esempio, dopo l’attacco di Hamas a Israele del 7 ottobre 2023, alcuni hacker sono riusciti a penetrare in un’app di allerta di emergenza utilizzata da alcuni israeliani, indirizzandola a informare gli utenti dell’arrivo di un missile nucleare. Ziv Mador, vicepresidente della ricerca sulla sicurezza presso SpiderLabs di Trustwave, che monitora le minacce informatiche, ha affermato: “Provoca un impatto psicologico immediato”. Disgregazione economica, confusione e paura sono gli obiettivi di queste operazioni, ha affermato Mador, che vive in Israele, osservando che “Abbiamo visto la stessa cosa in Russia e Ucraina.”

Gli attacchi DDoS sembrano essere il metodo di attacco più segnalato, seguito dagli attacchi distruttivi. I ricercatori hanno osservato esempi di malware distruttivi, come i data wiper, correlati a questi eventi. Tra gli attacchi distruttivi rientra anche la distruzione di 90 milioni di dollari di fondi in una violazione di un exchange di criptovalute nel giugno 2025. Altre violazioni dei dati e le relative fughe di dati mirano a danneggiare entrambe le parti. I report indicano anche che la tecnologia operativa (OT) è stata presa di mira. Questi due eventi sono talvolta correlati, poiché sono state segnalate anche violazioni dei dati di aziende energetiche e di altri servizi pubblici in relazione diretta a questi eventi.

Gruppi di minaccia iraniani monitorati dall’Unità 42

Agente Serpens (noto anche come APT42). Un gruppo di spionaggio e sorveglianza concentrato su Israele e gli Stati Uniti, che prende di mira dissidenti, attivisti, giornalisti e altri gruppi considerati a rischio o che protestano contro il governo iraniano.
- Accesso iniziale, principalmente spear phishing, inclusa la raccolta di credenziali con pagine di accesso false, nonché attacchi watering hole.
Serpenti agonizzanti (noto anche come Tempesta di sabbia rosa). Questo gruppo è impegnato in attacchi di spionaggio, ransomware e malware distruttivi contro obiettivi in Medio Oriente, con particolare attenzione agli attacchi contro Israele.
- Accesso iniziale. Attacchi alle password (ad esempio, forza bruta, password spray) e sfruttamento di vulnerabilità note (seguito dall’implementazione di web shell).
Serpenti paludosi (anche noti come Acqua Fangosa). Un gruppo di cyberspionaggio che fornisce dati rubati e accesso al governo iraniano e ad altri attori della minaccia.
- Accesso iniziale. Spear phishing e sfruttamento di vulnerabilità note.
Curious Serpens (noto anche come Peach Sandstorm). Gruppo di spionaggio attivo dal 2013, che prende di mira i settori aerospaziale, della difesa e dell’energia negli Stati Uniti, in Medio Oriente e in Europa. Il gruppo ha sfruttato infrastrutture cloud, tra cui Azure per C2.
- Accesso iniziale. Attacchi password spray ad ampio raggio o campagne di ingegneria sociale basate sul reclutamento di personale per distribuire malware personalizzati, tra cui le backdoor Falsefont o Tickler. Una volta all’interno, il gruppo è noto per condurre attività di discovery con strumenti come AzureHound e Roadtools per raccogliere e scaricare dati da Microsoft Entra ID.
Serpenti subdoli (alias Gattino Imperiale). Un gruppo di spionaggio noto per aver preso di mira i fornitori IT in Medio Oriente nell’ambito di campagne sulla catena di fornitura.
- Accesso iniziale. Ingegneria sociale attraverso i social media, spear phishing delle credenziali e attacchi watering-hole, distribuzione di web shell.
Evasive Serpens (noto anche come APT34): Un prolifico gruppo di spionaggio noto per la sua ampia capacità di colpire obiettivi in linea con gli interessi degli stati nazionali.
- Accesso iniziale. Si basa principalmente sullo spear phishing, sebbene sia stato associato anche ad altri attacchi più complessi come campagne di raccolta di credenziali e dirottamento DNS.
Serpenti industriali (noti anche come Chrono Kitten). Un gruppo di proxy iraniani associato ad attacchi dirompenti (ad esempio ransomware, malware wiper, attacchi hack-and-leak) che si allineano con gli interessi dello Stato.
- Accesso iniziale. Ingegneria sociale per distribuire spyware Android ospitato su siti Web falsificati, attacchi alle password (ad esempio forza bruta, password spray) e sfruttamento di vulnerabilità note.

Impatti globali e urgenza di una governance cibernetica

Mentre il conflitto tra Iran e Israele continua a evolvere sui fronti convenzionali e regionali, il cyberspazio rimane un campo di battaglia critico e in costante mutamento. La difficoltà nell’attribuzione degli attacchi e la proliferazione di gruppi hacktivisti e “proxy” rendono il panorama delle minacce estremamente complesso, permettendo una certa negabilità da parte degli attori statali e rendendo complicate le risposte.

Il rischio più pressante rimane la ricaduta (spillover) degli attacchi su infrastrutture e organizzazioni al di fuori del conflitto diretto. A causa della crescente interconnessione delle infrastrutture critiche globali e delle catene di approvvigionamento, un attacco mirato in Medio Oriente potrebbe causare disservizi significativi in Europa, negli Stati Uniti o in altre regioni, generando perdite economiche e disagi diffusi ben oltre i confini geografici del conflitto. L’America, con la sua profonda dipendenza dalla tecnologia digitale, rappresenta una significativa vulnerabilità in questo scenario. Come ha affermato Arnie Bellini, “Siamo completamente aperti al digitale. Siamo come il formaggio svizzero.”

La situazione attuale, caratterizzata da una costante attività di spionaggio, tentativi di interruzione e campagne di disinformazione, sebbene non ancora sfociata in una “guerra cibernetica totale” con effetti fisici diffusi, mantiene un livello di allerta estremamente alto. La resilienza delle difese informatiche è cruciale, ma la natura asimmetrica e imprevedibile degli attacchi cibernetici richiede una vigilanza continua. Il conflitto tra Israele e Iran dimostra il valore degli investimenti nella sicurezza informatica e nella lotta contro i reati informatici. Ad esempio, gli attacchi israeliani contro l’Iran, che includevano attacchi contro scienziati nucleari, hanno richiesto un sofisticato sistema di cyberspionaggio che ha permesso a Israele di tracciare i suoi obiettivi. Tuttavia, le richieste di rafforzare la difesa digitale degli Stati Uniti giungono in un momento in cui l’amministrazione Trump ha deciso di tagliare alcuni programmi di sicurezza informatica. La CISA ha messo in congedo personale addetto alla sicurezza elettorale e ha tagliato milioni di dollari nei finanziamenti per i programmi di sicurezza informatica per le elezioni locali e statali. Anche la CIA, la NSA e altre agenzie di intelligence hanno subito tagli di personale. Trump ha licenziato bruscamente il generale Timothy Haugh, che supervisionava la NSA e il Cyber Command del Pentagono.

In questo scenario, la necessità di una governance internazionale del cyberspazio e di meccanismi di de-escalation diventa sempre più evidente. Tuttavia, la profonda polarizzazione geopolitica rende difficili progressi significativi in tal senso. Per ampliare le difese informatiche degli Stati Uniti saranno necessari investimenti nell’istruzione e soluzioni tecniche per garantire che i dispositivi o le reti connesse non siano vulnerabili, ha affermato Bellini, che di recente ha donato 40 milioni di dollari per un nuovo centro di sicurezza informatica presso l’Università della Florida del Sud. Secondo Bellini, quando si parla di guerra informatica è in atto una nuova corsa agli armamenti, ed è una sfida che l’America non può permettersi di perdere. “È Wile E. Coyote contro Beep Beep,” ha detto Bellini. “Andrà avanti e indietro, e non finirà mai.” Pertanto, la preparazione, la cooperazione tra settori pubblico e privato e l’aggiornamento costante delle difese rimangono gli strumenti più efficaci per affrontare le minacce di questa guerra silenziosa e in continua evoluzione.

@RIPRODUZIONE RISERVATA