Reti sotto assedio: l’arte silenziosa della guerra cibernetica cinese

L’allarme è risuonato forte dal Canadian Centre for Cyber Security (Cyber Centre) e dall’FBI riguardo a Salt Typhoon, un gruppo di hacker sponsorizzato dalla Repubblica Popolare Cinese (RPC).

Questo gruppo ha recentemente compromesso le reti di telecomunicazioni canadesi, un’azione che, lungi dall’essere isolata, si inserisce in una più ampia e preoccupante strategia di spionaggio e pre-posizionamento offensivo.

La minaccia cibernetica cinese contro le telecomunicazioni

A metà febbraio 2025, un’importante compagnia di telecomunicazioni canadese ha subito una significativa compromissione attribuita al gruppo Salt Typhoon, legato alla Cina. Gli aggressori hanno sfruttato una vulnerabilità critica di Cisco IOS XE (CVE-2023-20198) per ottenere accesso non autorizzato a tre dispositivi di rete dell’operatore. Una volta ottenuto l’accesso, gli attori della minaccia hanno recuperato e modificato i file di configurazione da almeno uno di questi dispositivi, specificamente per configurare un tunnel Generic Routing Encapsulation (GRE), consentendo la raccolta segreta di traffico dalla rete compromessa.

Il Canadian Centre for Cyber Security (Cyber Centre) e il Federal Bureau of Investigation (FBI) degli Stati Uniti hanno emesso un avviso congiunto, esortando le organizzazioni canadesi a rafforzare la loro sicurezza di rete. Le agenzie prevedono che le intrusioni di Salt Typhoon continueranno nei prossimi due anni, con una probabile diversificazione degli obiettivi oltre il solo settore delle telecomunicazioni.

L’analisi tecnica di questa intrusione, focalizzata sull’ottenimento di file di configurazione e la creazione di un tunnel GRE per la raccolta di traffico, rivela un obiettivo che va oltre la semplice sottrazione di dati immediata. Se l’intento primario fosse stato una disruzione palese e immediata, gli aggressori avrebbero potuto optare per il dispiegamento di ransomware o malware distruttivi. Invece, la scelta di stabilire un meccanismo di accesso persistente e nascosto suggerisce una strategia a lungo termine di raccolta di intelligence e di “pre-posizionamento”.

Questo approccio mira a mantenere una testa di ponte per future operazioni, che potrebbero includere il sabotaggio, piuttosto che un attacco ad alto impatto nell’immediato. Tale comportamento si allinea perfettamente con le tattiche della zona grigia, che puntano a un indebolimento silenzioso del bersaglio. Ciò implica un avversario sofisticato e paziente, la cui intenzione si estende oltre il furto di dati contingente, mirato a stabilire capacità latenti che possono essere attivate in un momento strategicamente opportuno, sfumando così i confini tra spionaggio e preparazione al conflitto.

La costante attenzione a “dispositivi di rete” e “dispositivi di rete perimetrali” come punto di compromissione è particolarmente significativa. I dispositivi edge (come router, firewall e VPN) sono spesso meno protetti rispetto all’infrastruttura di rete centrale, eppure fungono da gateway critici verso le reti interne. Gli attori sponsorizzati dallo stato cinese sono esplicitamente noti per prendere di mira questi dispositivi al fine di ottenere e mantenere un accesso persistente ai fornitori di servizi di telecomunicazione. Questo mette in luce una vulnerabilità sistemica che va oltre il singolo incidente. Le organizzazioni devono quindi riorientare la loro attenzione sulla sicurezza, includendo un rafforzamento completo e un monitoraggio continuo dei dispositivi edge, riconoscendoli come obiettivi prioritari per attori statali sofisticati che cercano l’accesso iniziale e una presenza persistente.

Attribuzione e ambiguità nella minaccia cibernetica cinese

Salt Typhoon è stato inequivocabilmente identificato come un attore di minaccia cibernetica sponsorizzato dalla Repubblica Popolare Cinese (RPC). Il gruppo è impegnato in una “vasta e significativa campagna di spionaggio cibernetico” che mira ai principali fornitori di servizi di telecomunicazione (TSP) a livello globale. I loro obiettivi includono l’esfiltrazione di grandi volumi di dati dei clienti e la raccolta di informazioni su obiettivi di alto valore, come funzionari governativi, comprendendo dati di geolocalizzazione, monitoraggio delle chiamate e intercettazione di messaggi SMS. Nonostante gli avvisi pubblici e i rapporti sulle loro attività, si valuta che gli attori di Salt Typhoon “continueranno quasi certamente a operare”, sfruttando persistentemente le vulnerabilità nei dispositivi di rete per ottenere e mantenere l’accesso ai TSP.

L’attribuzione costante di Salt Typhoon alla RPC, contrapposta all’ambiguità intrinseca delle tattiche della “zona grigia”, rivela una sfida critica. Anche quando l’attribuzione è resa pubblica, la natura di queste operazioni – progettate per rimanere al di sotto della soglia di un conflitto convenzionale e consentire una negazione plausibile – complica una risposta proporzionata. La persistenza delle attività di Salt Typhoon nonostante l’esposizione pubblica sottolinea ulteriormente un’elevata tolleranza al rischio e un impegno strategico a lungo termine da parte della RPC, suggerendo che la semplice denuncia pubblica non è sufficiente per la deterrenza. Le contromisure efficaci devono quindi andare oltre la mera difesa tecnica, includendo risposte diplomatiche, economiche e, potenzialmente, segrete, che aumentino i costi per l’aggressore, anche in scenari in cui un’attribuzione pubblica completa è difficile o indesiderabile.

La strategia della minaccia cibernetica cinese verso i fornitori fidati

L’incidente canadese non è isolato. Salt Typhoon ha una storia di compromissione di importanti fornitori di servizi di telecomunicazione (TSP) a livello globale, inclusi operatori wireless statunitensi nel 2024. Queste operazioni miravano a rubare dati dei registri delle chiamate e comunicazioni private di individui principalmente coinvolti in attività governative o politiche. Indagini condotte dal Cyber Centre indicano che l’obiettivo di Salt Typhoon è “più ampio del solo settore delle telecomunicazioni”, suggerendo una campagna di spionaggio più vasta volta a raccogliere informazioni dalle reti interne o a consentire la compromissione di ulteriori vittime. La richiesta pubblica di informazioni da parte dell’FBI sulle attività di Salt Typhoon ha anche evidenziato la compromissione di diverse compagnie di telecomunicazioni statunitensi. Gli attori di minaccia cibernetica della RPC tentano frequentemente di compromettere fornitori di servizi fidati – inclusi TSP, fornitori di servizi gestiti (MSP) e fornitori di servizi cloud – per ottenere accesso indiretto a informazioni o reti dei clienti.

Il targeting ripetuto di “fornitori di servizi fidati” (TSP, MSP, fornitori di servizi cloud) per ottenere “accesso indiretto a informazioni o reti dei clienti” costituisce una scelta strategica significativa. Invece di attaccare direttamente numerosi obiettivi di alto valore, la compromissione di un singolo fornitore di fiducia garantisce l’accesso a una moltitudine di clienti a valle. Questo approccio sfrutta l’interconnessione e la fiducia intrinseche nelle moderne catene di approvvigionamento digitali, trasformando una singola violazione riuscita in un moltiplicatore di forza per la raccolta di intelligence. Ciò implica che anche le organizzazioni con una solida sicurezza interna possono essere compromesse attraverso un anello debole nella loro catena di approvvigionamento. Ciò rende indispensabile un cambiamento fondamentale verso una cibersicurezza completa della catena di approvvigionamento, che includa una rigorosa gestione del rischio dei fornitori, la condivisione di intelligence sulle minacce tra i settori e, potenzialmente, framework normativi che rendano i fornitori di servizi responsabili della sicurezza dei dati dei loro clienti.

Tabella 1: Dettagli chiave degli attacchi di Salt Typhoon e precedenti

La zona grigia cibernetica globale: posizionamento strategico nelle infrastrutture critiche

La minaccia di Salt Typhoon si inserisce in un quadro più ampio di tattiche della “zona grigia” impiegate dalla Cina. Questo capitolo esplora l’importanza strategica delle infrastrutture critiche, come il 5G, e le pervasive strategie di pre-posizionamento.

Definire la zona grigia nel cyberspazio

Le tattiche della “zona grigia” della Cina sono caratterizzate da operazioni progettate per rimanere al di sotto della soglia di un conflitto armato convenzionale, consentendo a Pechino di mantenere una negazione plausibile ed evitare una diretta responsabilità. Questa ambiguità complica la risposta internazionale e gli sforzi di attribuzione. Tali operazioni mirano a un “indebolimento silenzioso” delle capacità e della resilienza del paese bersaglio nel tempo, piuttosto che a una distruzione immediata e palese. Sfruttano aree legali e operative ambigue, rendendole difficili da contrastare attraverso i meccanismi di difesa tradizionali. Un aspetto chiave di questa strategia è il “pre-posizionamento”, che implica la raccolta persistente di informazioni e la creazione di punti di accesso (“testate di ponte” o “backdoor”) all’interno delle infrastrutture critiche. Questi punti di accesso possono essere attivati per future operazioni, potenzialmente più distruttive, inclusi spionaggio intensificato o vero e proprio sabotaggio.

La descrizione delle tattiche della zona grigia come “indebolimento silenzioso” e l’analogia con l’approccio a “fette di salame” (menzionato nel contesto marittimo, ma applicabile al cyber) evidenziano una strategia critica a lungo termine. Incidenti cibernetici individuali, pur non superando la soglia di un “atto di guerra”, erodono cumulativamente la sicurezza, la stabilità economica e la resilienza di una nazione. Questa pressione graduale e persistente è progettata per sopraffare i meccanismi di rilevamento e risposta tradizionali e per evitare di innescare una contro-risposta decisiva.

La difficoltà nell’attribuire questi attacchi facilita ulteriormente questa erosione cumulativa, rendendo difficile l’assegnazione delle responsabilità e la formulazione di una risposta proporzionata. Ciò impone un cambiamento nei paradigmi di sicurezza nazionale, passando da una difesa reattiva a una competizione strategica proattiva e a lungo termine. Richiede ai governi di sviluppare framework per aggregare incidenti apparentemente minori in una comprensione coerente di una campagna sostenuta, consentendo una risposta più robusta e multi-sfaccettata che affronti l’impatto cumulativo.

Il 5G come obiettivo strategico della minaccia cibernetica cinese

La “quinta generazione” (5G) dei sistemi di telecomunicazione rappresenta un nuovo standard globale che promette connettività universale superveloce e a bassa latenza. È destinata a rivoluzionare l’Internet delle Cose (IoT), con una previsione di circa 50 miliardi di dispositivi connessi entro il 2030 e un’esplosione nel consumo mondiale di dati. Il 5G è essenziale per un’ampia gamma di applicazioni innovative che possono trasformare settori come l’automotive, la sanità, i trasporti e l’energia, con vantaggi stimati per l’Europa fino a 113 miliardi di euro all’anno e la creazione di milioni di posti di lavoro entro il 2030.

Considerando il suo ruolo fondamentale, il 5G è classificato come “infrastruttura critica”. La sua compromissione avrebbe un impatto devastante sulla sicurezza e l’economia di un paese, a livello fisico (strade, energia), virtuale (informatica), sistemico (finanziario) o in rete (telecomunicazioni). La dipendenza del 5G dal software amplia la superficie di attacco rispetto ai sistemi 3G o 4G, introducendo nuove sfide di sicurezza come le vulnerabilità della virtualizzazione, le dipendenze dal software e le complessità della catena di approvvigionamento. Scenari di attacco ipotetici includono la distorsione dei segnali per auto a guida autonoma, la manipolazione di semafori intelligenti, l’interruzione delle comunicazioni per compagnie aeree o ferroviarie, il furto di segreti commerciali, la diffusione di notizie false o l’invio di spyware in infrastrutture di sicurezza o sistemi finanziari.

Gli immensi benefici economici e sociali del 5G sono direttamente collegati ai suoi progressi tecnici: latenza ultra-bassa, velocità di trasmissione dati elevate e connettività massiva dei dispositivi. Tuttavia, questi stessi progressi creano simultaneamente una superficie di attacco ampliata e più complessa. La maggiore dipendenza dal software e la virtualizzazione introducono nuove vulnerabilità meno diffuse nelle reti più vecchie, centrate sull’hardware. Ciò crea un paradosso: più il 5G diventa trasformativo, più critica e potenzialmente catastrofica potrebbe essere la sua compromissione. La velocità e la scala del 5G significano anche che gli attacchi cibernetici possono propagarsi a velocità senza precedenti, amplificando il loro potenziale impatto. Le nazioni si trovano di fronte all’imperativo strategico di investire nella sicurezza del 5G in egual misura rispetto al suo dispiegamento. I benefici economici e di sicurezza nazionale a lungo termine del 5G sono indissolubilmente legati alla sua resilienza contro sofisticate minacce cibernetiche, richiedendo una strategia di cibersicurezza proattiva e integrata dalla concezione all’operatività.

Tattiche di stealth e persistenza nella minaccia cibernetica cinese

L’incidente che ha coinvolto la compromissione delle reti canadesi da parte di Salt Typhoon rientra perfettamente nelle tattiche della “zona grigia” impiegate da Pechino, in particolare nei suoi sforzi di “posizionamento” (pre-posizionamento). La manipolazione dei dispositivi di rete non è solo per lo spionaggio attuale, ma crea anche “backdoor” e vulnerabilità che potrebbero essere attivate per scopi più distruttivi in futuro. Un altro esempio prominente è il gruppo cinese Volt Typhoon, che è stato osservato pre-posizionare malware nelle reti IT di infrastrutture critiche negli Stati Uniti, inclusi i settori dell’energia, dell’acqua e dei trasporti. Il loro obiettivo dichiarato è “disturbare o distruggere” i servizi essenziali in caso di conflitto.

Volt Typhoon impiega frequentemente tecniche “living off the land” (LOTL), utilizzando strumenti legittimi già presenti nella rete della vittima (ad esempio, PowerShell, Bash) piuttosto che dispiegare malware personalizzato. Questo rende la loro presenza significativamente più difficile da rilevare e consente loro di mimetizzarsi con l’attività di sistema normale. Le agenzie di sicurezza nazionale statunitensi hanno avvertito che gli attori sponsorizzati dallo stato cinese stanno “attivamente preparando ambienti IT per consentire effetti di interruzione o distruzione quando più conta”, descrivendo questo come una “modellazione strategica” del campo di battaglia.

Il concetto di “pre-posizionamento” unito all’uso di tecniche “living off the land” (LOTL) indica che gli APT cinesi stanno impiantando “cellule dormienti cibernetiche” all’interno delle infrastrutture critiche. Queste non sono attacchi attivi, ma testate di ponte segrete e persistenti che possono essere attivate in un momento di crisi geopolitica (ad esempio, un conflitto su Taiwan).

L’approccio LOTL rende il rilevamento estremamente difficile, implicando che molte di queste compromissioni potrebbero già esistere inosservate, rappresentando una significativa minaccia latente che potrebbe essere militarizzata. Ciò sposta la sfida difensiva dalla prevenzione delle violazioni iniziali alla caccia proattiva e alla neutralizzazione di queste minacce nascoste. Ciò richiede una mentalità proattiva di “assumere la violazione” nella cibersicurezza, enfatizzando la caccia continua alle minacce, l’analisi comportamentale avanzata e solide capacità di risposta agli incidenti per identificare e neutralizzare queste minacce nascoste prima che possano essere attivate per scopi distruttivi.

L’impatto sistemico della minaccia cibernetica cinese sulla catena di fiducia

I fornitori di servizi di telecomunicazioni (TSP) e le loro reti a livello globale sono considerati obiettivi prioritari di spionaggio per gli attori statali a causa dei vasti volumi di traffico e dati dei clienti che gestiscono, incluse comunicazioni, dati di localizzazione e informazioni sui dispositivi. Gli attori statali hanno costantemente compromesso i TSP in tutto il mondo, spesso nell’ambito di programmi di intelligence a lungo termine per esfiltrare dati di massa dei clienti e raccogliere informazioni su obiettivi di alto valore, come funzionari governativi.

Gli attori cibernetici cinesi tentano frequentemente di compromettere fornitori di servizi fidati – inclusi TSP, fornitori di servizi gestiti (MSP) e fornitori di servizi cloud – per ottenere accesso indiretto a informazioni o reti dei clienti.

L’infrastruttura digitale moderna è costruita su una complessa “rete di fiducia” in cui le organizzazioni dipendono fortemente da fornitori di servizi di terze parti (TSP, MSP, fornitori di servizi cloud). Il fatto che gli attori cinesi “tentino frequentemente di compromettere fornitori di servizi fidati… per accedere indirettamente alle informazioni o alle reti dei clienti” rivela uno sfruttamento strategico di questo modello di fiducia intrinseco.

Una compromissione riuscita di un fornitore può portare a un accesso transitivo a numerose reti client, comprese le infrastrutture critiche, moltiplicando efficacemente l’impatto di una singola violazione. Ciò implica che anche le organizzazioni con una solida sicurezza interna possono essere compromesse attraverso un anello debole nella loro catena di approvvigionamento. Ciò rende indispensabile un cambiamento fondamentale verso una cibersicurezza completa della catena di approvvigionamento, che includa una rigorosa gestione del rischio dei fornitori, la condivisione di intelligence sulle minacce tra i settori e, potenzialmente, framework normativi che rendano i fornitori di servizi responsabili della sicurezza dei dati dei loro clienti.

La minaccia cibernetica cinese contro il settore sanitario

Sebbene le informazioni fornite non colleghino direttamente Salt Typhoon ad attacchi contro gli ospedali, rapporti globali indicano che attacchi cibernetici legati alla Cina hanno colpito il settore sanitario. Gli ospedali, con i loro dati sensibili dei pazienti, le preziose tecnologie mediche e i sistemi interconnessi, sono obiettivi attraenti sia per lo spionaggio (ad esempio, informazioni sui leader, ricerca e sviluppo medico) sia per il potenziale sabotaggio.

Un nuovo gruppo di minaccia con sede in Cina, Silver Fox (alias Void Arachne), è stato identificato a giugno 2024, impegnato in attacchi silenziosi alle reti sanitarie, inclusi installer armati per visualizzatori DICOM per distribuire trojan di accesso remoto. Un altro gruppo APT legato alla Cina ha sfruttato CVE-2025-31324 per prendere di mira sistemi di infrastrutture critiche, inclusi produttori di dispositivi medici negli Stati Uniti. Attaccare gli ospedali è considerato un atto di estrema gravità, che va oltre lo spionaggio tradizionale e si avvicina a un’azione di guerra cibernetica a causa del suo impatto diretto sulla vita umana e sui servizi pubblici vitali.

Il targeting del settore sanitario, in particolare degli ospedali, indica un’escalation profonda e allarmante nella guerra cibernetica. A differenza dello spionaggio tradizionale o del sabotaggio economico, gli attacchi alle infrastrutture sanitarie minacciano direttamente vite umane e il benessere pubblico, sfumando i confini etici e legali del conflitto. Il testo evidenzia esplicitamente che ciò “va ben oltre lo spionaggio tradizionale e si avvicina a un’azione di guerra cibernetica con impatti diretti sulla vita delle persone”.

Ciò suggerisce un deliberato disprezzo per le norme internazionali stabilite riguardo all’immunità dei non combattenti e alla protezione delle infrastrutture civili in tempi di conflitto. Questo richiede un dialogo internazionale urgente e l’istituzione di norme e linee rosse chiare e applicabili nel cyberspazio, in particolare per quanto riguarda gli attacchi a servizi civili critici come la sanità. Richiede inoltre di dare priorità agli investimenti in cibersicurezza nel settore sanitario come questione di sicurezza nazionale, salute pubblica e preoccupazione umanitaria.

Tabella 2: Confronto delle tattiche cinesi APT nella zona grigia (Salt Typhoon vs. Volt Typhoon)

Risposte geopolitiche e dipendenze: una prospettiva occidentale

Di fronte alle crescenti minacce cibernetiche dalla Cina, Stati Uniti, Italia ed Europa stanno sviluppando risposte diversificate. Questo capitolo analizza i loro approcci e le dipendenze intrinseche che influenzano le loro strategie.

Gli Stati Uniti: un obiettivo primario e una risposta robusta

Gli Stati Uniti sono costantemente identificati come un obiettivo primario per lo spionaggio cibernetico cinese, come dimostrano gli attacchi agli operatori wireless statunitensi per il furto di dati e la compromissione delle comunicazioni private di funzionari governativi e politici. L’ampia dipendenza degli Stati Uniti da infrastrutture digitali interconnesse rende il paese particolarmente vulnerabile a strategie di sabotaggio volte a interrompere i servizi critici.

In risposta, gli Stati Uniti hanno adottato misure e sanzioni rigorose contro le aziende tecnologiche cinesi, in particolare Huawei. Questa repressione è iniziata già nel 2008 ed è drasticamente aumentata a partire dal 2018, culminando nell’inclusione di Huawei nella Entity List (maggio 2019) e nell’espansione delle restrizioni sulla fornitura di chip (2020). Lo United States Innovation and Competition Act (USICA) del 2021 ha ulteriormente rafforzato queste restrizioni.

Per affrontare la presenza di apparecchiature cinesi nelle reti nazionali, il governo degli Stati Uniti ha istituito il programma “Rip and Replace”. Inizialmente, il presidente Donald Trump ha firmato una legge che forniva 1 miliardo di dollari per aiutare i piccoli fornitori di telecomunicazioni a sostituire le apparecchiature di Huawei e ZTE. Successivamente, il Congresso ha autorizzato ulteriori 3,08 miliardi di dollari per il programma “Rip and Replace” della Federal Communications Commission (FCC), portando il finanziamento totale a 4,98 miliardi di dollari. Questa somma è stata destinata a coprire un deficit di oltre 3 miliardi di dollari che impediva a molti operatori, in particolare quelli rurali, di completare la rimozione e la sostituzione delle apparecchiature considerate a rischio per la sicurezza nazionale. La FCC ha ora ricevuto l’intera somma autorizzata, consentendo ai destinatari di procedere rapidamente con i lavori.

Seguendo l’esempio degli Stati Uniti, numerosi paesi, tra cui Australia, Vietnam, Nuova Zelanda, Regno Unito e Giappone, hanno vietato o di fatto proibito Huawei dalle loro reti 5G. Il Canada ha imposto la rimozione delle apparecchiature 5G entro giugno 2024 e di quelle 4G entro dicembre 2027.

La posizione politica precoce e aggressiva degli Stati Uniti contro Huawei e la sua costante attribuzione pubblica delle attività cibernetiche cinesi ha agito da catalizzatore significativo per altre nazioni occidentali. L’adozione successiva di divieti o restrizioni simili da parte di un numero crescente di alleati suggerisce un allineamento strategico, sebbene con gradi variabili di impegno e velocità. Ciò indica che le preoccupazioni di sicurezza nazionale degli Stati Uniti, in particolare per quanto riguarda la dipendenza tecnologica dalla Cina, stanno sempre più plasmando un più ampio consenso occidentale sulla sicurezza digitale. Questa tendenza indica l’emergere di una postura di sicurezza collettiva, sebbene complessa, nel dominio digitale tra gli alleati occidentali. Tuttavia, evidenzia anche le pressioni economiche e diplomatiche coinvolte in un tale processo di “disaccoppiamento” o “de-risking”, e il potenziale di attrito con i paesi che privilegiano i legami economici.

Italia ed Europa: bilanciare legami economici e rischi per la sicurezza

Per l’Italia e l’Europa, la situazione è complessa e delicata a causa di una significativa dipendenza economica e tecnologica dalla Cina. Le catene di approvvigionamento globali sono spesso intrecciate con la produzione cinese, e la diffusione di tecnologie come il 5G ha visto una notevole presenza di fornitori cinesi. Le vulnerabilità che hanno permesso gli attacchi in Canada sono spesso condivise a livello globale. Le reti di telecomunicazioni e le infrastrutture critiche europee utilizzano tecnologie simili e affrontano sfide di sicurezza analoghe. Gli incidenti che colpiscono paesi alleati servono da campanello d’allarme, mostrando tattiche che potrebbero essere replicate contro l’Italia o altri stati membri dell’UE.

Il toolbox UE per la cibersicurezza 5G

Nel gennaio 2020, il gruppo europeo di cooperazione NIS ha adottato il “pacchetto di strumenti sulla cibersicurezza del 5G” (EU 5G Cybersecurity Toolbox), un framework strategico che delinea misure per rafforzare la sicurezza delle reti 5G, valutare i fornitori e applicare restrizioni a quelli considerati ad alto rischio per gli “asset chiave definiti critici”.

Nonostante questo framework e l’impegno di tutti i 27 Stati membri dell’UE a implementarlo pienamente (rapporto di giugno 2023), l’attuazione effettiva rimane eterogenea e lenta. A metà 2023, il 34% degli apparati di accesso alla rete mobile nell’UE era ancora di Huawei e ZTE. In alcuni paesi come Germania, Austria, Paesi Bassi, Grecia e Ungheria, l’incidenza delle apparecchiature Huawei e ZTE è rimasta stabile o addirittura aumentata.

Solo dieci Stati membri dell’UE avevano completamente vietato o limitato significativamente i fornitori di telecomunicazioni “ad alto rischio” per la loro infrastruttura 5G entro il 2024, nonostante quasi tutti avessero un framework normativo in atto. La riluttanza a implementare divieti immediati è spesso attribuita all’impraticabilità tecnologica, agli alti costi di sostituzione e alla disponibilità limitata di alternative nazionali, specialmente per i paesi con economie più deboli. La stessa Commissione Europea ha adottato misure per evitare l’esposizione alle reti mobili che utilizzano Huawei e ZTE per le sue comunicazioni aziendali e sollecita gli Stati membri ad “accelerare i loro sforzi” per ridurre la presenza delle compagnie cinesi.

La significativa quota di mercato di Huawei e ZTE nelle reti 4G e 5G europee (ad esempio, il 64% della popolazione dell’UE-27 su 4G cinese nel 2019, il 34% delle apparecchiature di accesso da Huawei/ZTE a metà 2023) sottolinea un profondo intreccio economico. L’implementazione lenta ed eterogenea del Toolbox UE per la Cibersicurezza 5G, in particolare la riluttanza a vietare i fornitori “ad alto rischio” a causa di “impraticabilità tecnologica e costi elevati” e “alternativelimitata”, rivela un profondo dilemma di “costo-beneficio”.

Per molti Stati membri, l’immediata interruzione economica e l’onere finanziario di un divieto completo superano i benefici di sicurezza a lungo termine percepiti, portando a una postura di sicurezza frammentata in tutta l’Unione. Le azioni della Commissione stessa per evitare i fornitori cinesi, mentre gli Stati membri sono in ritardo, evidenziano questa divisione interna. Questa frammentazione crea vulnerabilità sfruttabili in tutta l’infrastruttura critica dell’UE, minando la sicurezza collettiva. Il raggiungimento di una vera sovranità digitale dell’UE richiederà non solo volontà politica, ma anche investimenti finanziari sostanziali e una politica industriale coordinata per sviluppare alternative europee valide e mitigare i disincentivi economici per la diversificazione dei fornitori guidata dalla sicurezza.

Il regime del Golden Power in Italia

Dal 2019, l’Italia ha utilizzato la sua legislazione sul “Golden Power” per salvaguardare gli interessi nazionali in settori strategici, comprese le comunicazioni 5G. Questo meccanismo concede al governo poteri speciali per esaminare e imporre condizioni sulle acquisizioni e sui contratti esteri che coinvolgono asset strategici. L’ambito del Golden Power è ampio, coprendo difesa, sicurezza nazionale, comunicazioni 5G e settori civili critici come dati, energia, trasporti, sanità e agroalimentare. Il regime è stato particolarmente attivo nella cibersicurezza e nel 5G, con il 3% delle notifiche Golden Power nel 2022 che riguardavano specificamente la tecnologia 5G. È stato applicato con particolare attenzione agli investitori non UE provenienti da paesi in cui i governi locali esercitano una forte influenza sulle aziende.

Il “Golden Power” italiano funge da esempio concreto di una nazione che privilegia gli interessi di sicurezza nazionale rispetto alla pura liberalizzazione del mercato. La capacità del governo di “bloccare o imporre restrizioni” sugli investimenti esteri in settori strategici, in particolare il 5G, scavalca direttamente gli incentivi economici tradizionali e dimostra un chiaro riconoscimento dei rischi geopolitici insiti nelle dipendenze tecnologiche. L’applicazione crescente di questo potere, specialmente nei confronti di entità non UE provenienti da economie influenzate dallo stato, riflette un crescente imperativo di controllare le infrastrutture critiche e le tecnologie sensibili. Questa tendenza indica un più ampio spostamento globale in cui le preoccupazioni di sicurezza nazionale stanno diventando sempre più un fattore determinante primario della politica economica, portando a una rivalutazione della globalizzazione e a un movimento verso un maggiore controllo o supervisione statale nelle industrie strategicamente vitali.

Sovranità digitale e sicurezza contro la minaccia cibernetica cinese

La sovranità digitale è definita come la capacità degli stati, delle organizzazioni e degli individui di controllare il proprio destino digitale, comprendendo il processo decisionale indipendente su dati, infrastrutture IT e risorse tecnologiche. I suoi obiettivi includono la riduzione della dipendenza dai principali fornitori di tecnologia, la garanzia della sicurezza dei dati e la promozione della resilienza contro le tensioni geopolitiche. L’UE sta attivamente perseguendo la sovranità digitale attraverso varie iniziative, tra cui l’EU Cybersecurity Act (2019), che rafforza l’Agenzia dell’Unione Europea per la Cibersicurezza (ENISA) e stabilisce un framework di certificazione armonizzato per prodotti e servizi ICT. Il programma Digital Europe (DEP), con un budget superiore a 8,1 miliardi di euro, è progettato per accelerare la trasformazione digitale dell’UE, concentrandosi su supercomputing, intelligenza artificiale, cibersicurezza e competenze digitali avanzate, con l’obiettivo di colmare il divario tra ricerca e diffusione sul mercato.

Nonostante questi sforzi, persistono significative divisioni all’interno dell’UE, con alcuni Stati membri che sostengono la continuazione degli investimenti tecnologici cinesi, mentre altri spingono per misure più severe per garantire la “sovranità digitale dell’UE”. Leggi extraterritoriali, come il CLOUD Act statunitense, che consente alle autorità statunitensi di accedere ai dati archiviati da aziende europee di proprietà statunitense indipendentemente dalla loro posizione fisica, rappresentano una sfida alla sovranità dei dati dell’UE e generano preoccupazioni per la supervisione straniera. L’Europa sta attivamente formando alleanze strategiche con partner come gli Stati Uniti e il Giappone per migliorare la cibersicurezza e ridurre la dipendenza dalla tecnologia digitale cinese, come delineato nella “Strategia europea per la sicurezza economica” (giugno 2024).

La ricerca dell’UE della “sovranità digitale” non è solo un obiettivo tecnico o economico, ma un imperativo geopolitico fondamentale in un’era di competizione tra grandi potenze. Le sfide poste sia dal dominio tecnologico cinese sia dalle leggi extraterritoriali statunitensi come il CLOUD Act evidenziano che il controllo sui dati e sulla tecnologia è un campo di battaglia centrale per l’influenza e l’autonomia. Le divisioni interne all’UE complicano ulteriormente una risposta unificata, dimostrando che i diversi interessi economici nazionali possono ostacolare la sicurezza collettiva e la realizzazione di uno spazio digitale veramente sovrano. La sovranità digitale sta diventando una caratteristica distintiva del potere nazionale nel XXI secolo. Il suo raggiungimento richiede un complesso equilibrio tra la promozione dell’innovazione interna, la diversificazione strategica delle catene di approvvigionamento, la navigazione delle complessità legali internazionali e la creazione di solide alleanze, il tutto gestendo le divergenze politiche ed economiche interne.

Tabella 3: Stato di attuazione e sfide del toolbox UE per la cibersicurezza 5G

Rafforzare la resilienza: un imperativo strategico multidimensionale

Questo segmento delinea un approccio completo per costruire la resilienza nazionale e collettiva contro sofisticate minacce cibernetiche, andando oltre la difesa tradizionale verso misure proattive e strategiche.

Diversificazione dei fornitori

Una strategia fondamentale per mitigare i rischi, come backdoor intenzionali o vulnerabilità, è ridurre la dipendenza da un singolo fornitore di tecnologia, specialmente per i componenti delle infrastrutture critiche. Ciò implica incoraggiare attivamente lo sviluppo di fornitori occidentali affidabili e promuovere la diversificazione lungo l’intera catena di approvvigionamento per rafforzare la sicurezza nazionale e la resilienza economica.

Sebbene la “diversificazione dei fornitori” sia presentata come una “strategia fondamentale”, l’analisi precedente ha evidenziato gli “alti costi” e le “alternative nazionali limitate” che ne ostacolano la rapida implementazione in Europa. Ciò implica che le forze di mercato da sole non sono sufficienti per raggiungere il livello necessario di diversificazione guidata dalla sicurezza. Pertanto, il raggiungimento di una vera resilienza della catena di approvvigionamento richiede un intervento statale strategico attraverso politiche industriali, inclusi investimenti mirati, sussidi e incentivi per favorire le capacità tecnologiche nazionali o alleate. Questo trasforma la sicurezza da un mero centro di costo a un investimento economico strategico. Ciò indica un futuro in cui le considerazioni di sicurezza nazionale guideranno sempre più la politica industriale, dando priorità alla resilienza e all’autosufficienza nei settori tecnologici critici rispetto alla pura efficienza dei costi, portando potenzialmente a un re-shoring o friend-shoring degli elementi chiave della catena di approvvigionamento.

Collaborazione pubblico-privato rafforzata

Il contrasto ad attori cibernetici statali sofisticati richiede una stretta e continua collaborazione tra enti governativi, agenzie di intelligence e il settore privato. Questa collaborazione deve includere una tempestiva e sicura condivisione di informazioni su minacce emergenti, vulnerabilità e metodologie di attacco dal settore privato al governo, e un reciproco supporto governativo per gli sforzi di protezione e ripristino.

L’appello a una “collaborazione pubblico-privato rafforzata” è una necessità ampiamente riconosciuta, ma la sua efficace attuazione spesso si scontra con un “gap di fiducia”. Le aziende private sono spesso riluttanti a condividere informazioni sensibili a causa di preoccupazioni relative a dati proprietari, responsabilità legali e reputazione di mercato, mentre le agenzie governative possono incontrare difficoltà nella diffusione sicura e tempestiva di intelligence classificata sulle minacce. Costruire questa fiducia richiede quadri giuridici chiari, canali di comunicazione sicuri e una comprensione condivisa dei benefici reciproci della difesa collettiva. Il successo delle strategie di cibersicurezza nazionale contro le minacce sponsorizzate dallo stato dipende dalla capacità di colmare efficacemente questo divario di fiducia. Senza un flusso di informazioni continuo e un’azione coordinata, l’approccio di “tutta la società” alla difesa rimane un’aspirazione, lasciando esposte vulnerabilità critiche.

Standard di sicurezza robusti e certificazioni

L’implementazione e l’applicazione rigorosa di standard di cibersicurezza robusti, uniti a certificazioni indipendenti e audit frequenti, sono essenziali per elevare il livello complessivo di protezione delle infrastrutture nazionali. L’EU Cybersecurity Act (2019) fornisce un framework per certificazioni di cibersicurezza volontarie, ma altamente raccomandate, per prodotti, servizi e processi ICT, mirando al riconoscimento reciproco tra gli Stati membri e al rafforzamento della fiducia.

Mentre l’adesione a “standard di sicurezza robusti e certificazioni” può essere percepita come un onere di conformità, nel contesto delle persistenti minacce della zona grigia, si trasforma in un fattore abilitante strategico. Elevando la postura di sicurezza di base in un intero settore o infrastruttura nazionale, i requisiti standardizzati rendono significativamente più difficile per gli avversari sfruttare le vulnerabilità comuni su vasta scala. Ciò favorisce anche la fiducia all’interno della catena di approvvigionamento e fornisce un linguaggio comune per valutare e comunicare la postura di sicurezza, facilitando la cooperazione transfrontaliera. L’efficacia della standardizzazione e dei framework di certificazione non sono semplici esercizi normativi, ma componenti critici di una strategia di cibersicurezza nazionale e alleata proattiva, trasformando la sicurezza da un centro di costo reattivo a un investimento strategico fondamentale che rafforza la resilienza collettiva.

Investimenti in talenti e ricerca & sviluppo

È cruciale investire significativamente nella formazione e nello sviluppo di esperti di cibersicurezza in ambito accademico, nelle forze dell’ordine e nel settore privato. La ricerca e lo sviluppo (R&S) continui di nuove tecnologie difensive sono imperativi per tenere il passo con la rapida evoluzione e sofisticazione delle minacce cibernetiche. Il programma Digital Europe (DEP) dell’UE destina esplicitamente finanziamenti sostanziosi (oltre 8,1 miliardi di euro) al rafforzamento della cibersicurezza, dell’intelligenza artificiale e delle competenze digitali avanzate, inclusa la creazione di centri di competenza cibernetica negli Stati membri.

La natura crescente delle minacce cibernetiche sponsorizzate dallo stato implica una continua “corsa agli armamenti cibernetici”, in cui le capacità difensive devono evolvere con la stessa rapidità di quelle offensive. La richiesta di “innovazione costante nelle contromisure” e di “investimenti in talenti e ricerca” affronta direttamente questa dinamica. L’esistenza di programmi come il DEP che si concentrano sulle competenze digitali riconosce implicitamente un “gap di talenti” critico che, se non affrontato, minerà gravemente la capacità di una nazione di difendere la propria infrastruttura digitale, indipendentemente dai progressi tecnologici. La sicurezza nazionale nell’era digitale dipende sempre più dal capitale umano e dalla capacità intellettuale di una nazione nel campo della cibersicurezza. Ciò richiede una pianificazione strategica a lungo termine e investimenti sostenuti nell’istruzione, nella formazione e negli ecosistemi di innovazione per coltivare e mantenere una forza lavoro competitiva nella cibersicurezza.

Deterrenza strategica

Oltre alle misure puramente difensive, le nazioni occidentali stanno sviluppando strategie di deterrenza che comprendono azioni diplomatiche, sanzioni economiche mirate e, ove appropriato, lo sviluppo di capacità cibernetiche offensive. L’obiettivo primario di queste strategie è aumentare i costi e i rischi percepiti per gli aggressori, dissuadendoli così dall’iniziare o continuare attacchi cibernetici. Ciò implica sia la “deterrenza per negazione” (rafforzare le difese per rendere gli attacchi più difficili) sia la “deterrenza per punizione” (dimostrare la capacità e la volontà di ritorsione).

Mentre la deterrenza tradizionale si basa su linee rosse chiare e minacce credibili di ritorsione, la deterrenza cibernetica è complicata dall’ambiguità intrinseca delle operazioni della zona grigia e dalle persistenti sfide nell’attribuzione. È difficile dissuadere un avversario che può negare il coinvolgimento o operare al di sotto di una chiara soglia di guerra. L’efficacia della “deterrenza per punizione” è intrinsecamente limitata se il bersaglio non può identificare definitivamente l’aggressore o se una risposta proporzionata rischia un’escalation involontaria. Ciò crea un “paradosso dell’ambiguità” in cui la natura stessa delle tattiche della zona grigia mina i modelli di deterrenza tradizionali. Questo suggerisce che la deterrenza cibernetica non può essere una strategia a sé stante, ma deve essere profondamente integrata in un framework di sicurezza nazionale più ampio e multi-sfaccettato che combini una difesa robusta, la definizione di norme internazionali e risposte calibrate, riconoscendo le complessità uniche e le ambiguità intrinseche del dominio cibernetico.

Resilienza operativa e continuità operativa

Riconoscendo che è quasi impossibile prevenire ogni attacco cibernetico, è imperativo un cambiamento fondamentale di attenzione verso la resilienza operativa. Ciò significa sviluppare la capacità di rilevare rapidamente un’intrusione, contenerne la diffusione, ripristinare i servizi essenziali e imparare dall’incidente per migliorare le difese future. I componenti chiave includono piani robusti di continuità aziendale, esercitazioni e simulazioni regolari per testare le capacità di risposta e framework di gestione proattiva del rischio che anticipino e mitighino i potenziali impatti.

L’enfasi sulla “resilienza operativa” e il riconoscimento che “è quasi impossibile prevenire ogni attacco” indicano un’evoluzione matura e pragmatica nel pensiero della cibersicurezza. Ciò sposta il paradigma da un ideale di prevenzione assoluta a un’attenzione alla “sopravvivenza” – la capacità di resistere, recuperare e adattarsi a violazioni inevitabili. Ciò richiede non solo controlli tecnici, ma anche una forte cultura organizzativa, processi ben definiti e personale formato in grado di rispondere e recuperare rapidamente. Questo ridefinisce il successo della cibersicurezza non come l’assenza di incidenti, ma come la velocità, l’efficienza e l’efficacia del recupero, garantendo la continuità dei servizi critici anche sotto attacchi cibernetici sostenuti e sofisticati. Sottolinea l’importanza di investire nelle capacità di recupero tanto quanto, se non più, nella prevenzione.

La politica industriale come inevitabile imperativo strategico

L’osservazione del premio Nobel Michael Spence secondo cui la politica industriale è “inevitabile” in un’era di crescenti tensioni geopolitiche e frammentazione della catena di approvvigionamento rappresenta un cambiamento fondamentale nel pensiero economico globale. Spence definisce una “buona politica industriale” come quella che fa progredire lo stato dell’arte investendo nella scienza e nella tecnologia di base e che consente la transizione verso una crescita sostenibile, anche se ciò richiede di scavalcare le forze di mercato per la sicurezza nazionale o altri obiettivi strategici. Lo U.S. Chips and Science Act funge da esempio primario di una tale politica industriale multi-obiettivo, mirante a far progredire la tecnologia, a riportare la produzione di semiconduttori negli Stati Uniti e a negare strategicamente l’accesso agli avversari.

L’affermazione di Spence secondo cui la politica industriale è “inevitabile” segnala un allontanamento dalla globalizzazione puramente orientata all’efficienza. Il riconoscimento esplicito che le “considerazioni di sicurezza nazionale” stanno sempre più “scavalcando i normali incentivi e scelte economiche” indica una fondamentale riemersione della competizione geo-economica. Gli Stati non sono più partecipanti passivi al mercato, ma attori attivi nella definizione delle industrie strategiche, in particolare nel settore tecnologico, per raggiungere obiettivi di sicurezza nazionale e resilienza. Questo è una conseguenza diretta delle minacce della zona grigia e del riconoscimento che la dipendenza tecnologica è una vulnerabilità critica. Questo cambio di paradigma significa che la futura politica economica globale sarà profondamente intrecciata con la sicurezza nazionale, portando potenzialmente a una catena di approvvigionamento globale più frammentata, a una maggiore attenzione alla produzione nazionale o alleata in settori critici (ad esempio, semiconduttori, 5G) e a una ridefinizione del “libero scambio” per incorporare considerazioni strategiche di sicurezza.

Il delicato equilibrio: compromessi e scelte strategiche

L’attuazione di solide politiche industriali in questo nuovo panorama geopolitico richiede di trovare un delicato compromesso tra i benefici del commercio globale, gli interessi delle imprese private, l’imperativo della sicurezza nazionale e la salvaguardia dell’integrità politica. Ciò implica la navigazione delle complessità del “de-risking” dalle dipendenze avversarie senza ricorrere a un “disaccoppiamento” completo economicamente dannoso, che è spesso impraticabile e costoso.

La sfida di trovare un “compromesso tra commercio, interessi privati, sicurezza nazionale e integrità politica” racchiude il dilemma centrale affrontato dalle nazioni occidentali. L’adozione da parte dell’UE del “de-risking” come politica invece di un netto “disaccoppiamento” dalla Cina riflette l’immensa impraticabilità economica e il potenziale auto-danno derivanti dal taglio di tutti i legami. Ciò implica un approccio sfumato e mirato in cui le vulnerabilità vengono strategicamente ridotte in aree critiche senza abbandonare del tutto l’impegno economico vantaggioso. È un continuo equilibrio che richiede costante rivalutazione e adattabilità. Ciò suggerisce che le future relazioni internazionali saranno caratterizzate da un impegno selettivo e da un protezionismo mirato, piuttosto che da un ritorno a un’economia globale completamente integrata o completamente frammentata. Il successo dipenderà dalla capacità delle nazioni di identificare e proteggere strategicamente le dipendenze critiche mantenendo una più ampia cooperazione economica.

La sovranità digitale: la pietra angolare della sicurezza futura

In ultima analisi, la lotta in corso contro minacce sofisticate come Salt Typhoon è fondamentalmente una battaglia per la sovranità digitale. Ciò comprende la capacità di una nazione di controllare la propria infrastruttura digitale, i dati e il destino tecnologico. La questione cruciale per le nazioni e i blocchi di alleati è la loro preparazione a proteggere efficacemente i loro asset digitali più vitali e a scoraggiare in modo credibile future aggressioni nell’ambigua “zona grigia” del cyberspazio.

L’affermazione conclusiva che la lotta contro Salt Typhoon è una “battaglia per la sovranità digitale” eleva tutti i temi del rapporto a una questione fondamentale di autodeterminazione nazionale nell’era digitale. La sovranità digitale, definita come il controllo sui propri dati e sulla propria tecnologia, non è più un concetto astratto ma la base su cui si costruiscono la prosperità economica, la sicurezza nazionale e i valori democratici. La “preparazione” delle nazioni non riguarda solo le difese tecniche, ma la volontà politica, l’investimento economico sostenuto nelle capacità nazionali e la cooperazione internazionale unificata per raggiungere questa autodeterminazione digitale. Il futuro panorama geopolitico sarà sempre più plasmato dalla capacità delle nazioni di affermare e proteggere la propria sovranità digitale. Ciò la rende un pilastro centrale della politica estera, della strategia di difesa e della pianificazione economica a lungo termine, richiedendo un approccio completo, di tutto il governo e alleato per garantire il futuro digitale.