Nel febbraio 2022, poche ore prima che i carri armati russi attraversassero il confine ucraino, la guerra era già iniziata: non con un missile, ma con una riga di codice. Un attacco cyber, poi attribuito ai servizi russi, disabilitava migliaia di terminali nel network del satellite KA-SAT di Viasat, interrompendo così le comunicazioni militari ucraine e causando un blackout di Internet in una parte importante dell’Europa centrale. La guerra cyber non è un dominio separato dalla guerra fisica: è la sua anticamera. Eppure, rimane il dominio meno compreso, più mitizzato e più difficile da analizzare tra tutti quelli in cui si combatte oggi.
Il 17 giugno 2010 Sergey Ulasen era nel suo ufficio a Minsk quando un’email di un cliente iraniano attirò la sua attenzione. Un computer in Iran era bloccato in un loop di riavvio continuo – si spegneva e si riaccendeva, nonostante tutti i tentativi degli operatori di fermarlo. Ulasen lavorava per VirusBlokAda, una piccola azienda di sicurezza informatica bielorussa di cui praticamente nessuno aveva sentito parlare al di fuori del settore. Non era il tipo di incarico che finisce sui giornali. Quando Ulasen e il suo collega Oleg Kupreev cominciarono ad analizzare il codice che infettava quella macchina, capirono subito che qualcosa non tornava. Il malware era enorme rispetto ai virus tradizionali. Sfruttava quattro vulnerabilità zero-day simultaneamente – falle sconosciute nel software Microsoft per cui non esisteva ancora nessuna patch – una caratteristica straordinariamente rara. E usava certificati digitali rubati da aziende taiwanesi legittime – passaporti digitali che permettono di muoversi tra gli spazi di Internet – per apparire un software autentico. Ulasen contattò Microsoft, pubblicò un avviso tecnico, e il caso iniziò a circolare nella comunità della cybersecurity. Symantec e Kaspersky Lab – due titani del settore – presero il codice e lo smontarono pezzo per pezzo per mesi. Solo a novembre 2010 un programmatore olandese, Ron Hulsebos, scoprì la funzione nascosta nel payload: il worm era progettato per sabotare specifici modelli di convertitori di frequenza – dispositivi che controllano le centrifughe per l’arricchimento dell’uranio – prodotti da aziende che rifornivano esclusivamente l’impianto nucleare iraniano di Natanz. Stuxnet, come fu chiamato, era la prima cyberarma nella storia progettata per produrre effetti fisici nel mondo reale. Si stima che abbia danneggiato o distrutto circa un quinto delle centrifughe di Natanz, rallentando il programma nucleare iraniano di anni. Era stata costruita da Usa e Israele nell’ambito dell’Operazione Olympic Games, un programma classificato che nessuno dei due governi ha mai ufficialmente confermato. Ed era stata scoperta quasi per caso da un ricercatore bielorusso che ricevette una telefonata su un computer che non smetteva di riavviarsi.
Prima di capire la guerra cyber, bisogna distinguerla dalla cybersecurity — una confusione che pervade il dibattito pubblico e politico. La cybersecurity riguarda la protezione di sistemi informatici da accessi non autorizzati, furti di dati, frodi e interruzioni di servizio. È difensiva per natura, riguarda prevalentemente attori privati e criminali, e si misura in termini di danni economici e violazioni della privacy. La guerra cyber – o cyberwarfare – riguarda l’uso di capacità informatiche offensive da parte di Stati per raggiungere obiettivi politici e militari: sabotare infrastrutture avversarie, rubare segreti militari e industriali, manipolare sistemi di comando e controllo, prepararsi a conflitti futuri. La distinzione non è solo semantica o accademica: confonderle produce politiche sbagliate e aspettative irrealistiche. Le armi cyber hanno proprietà uniche che le distinguono da qualsiasi altro strumento militare, e che spiegano perché il loro uso è molto più limitato e costoso di quanto il dibattito pubblico suggerirebbe. Costano enormemente in termini di tempo e risorse. Come sostiene il ricercatore Max Smeets, costruire una capacità cyber offensiva richiede anni di investimento in ricerca, personale altamente specializzato, infrastrutture di test e intelligence sulle vulnerabilità del bersaglio. Smeets demolisce il mito che la guerra cyber sia un’arma dei deboli contro i forti, economica e accessibile: al contrario, le operazioni cyber sofisticate richiedono risorse organizzative e finanziarie che solo pochi Paesi possono permettersi.
Oltre quaranta Stati hanno oggi un cyber command militare, ma pochissimi hanno condotto operazioni offensive reali con effetti significativi. Si usano una volta sola. Questa è la proprietà più controintuitiva delle armi cyber. Un exploit – una vulnerabilità sfruttata per penetrare un sistema – funziona finché la vittima non lo scopre e lo chiude. Stuxnet fu devastante perché rimase nascosto per anni; una volta scoperto, non poteva più essere usato contro lo stesso bersaglio, e le sue caratteristiche tecniche furono studiate da chiunque volesse imparare a difendersi. Come spiega Jon Lindsay, la guerra cyber è fondamentalmente un gioco di inganno e intelligence: chi attacca deve sapere esattamente cosa colpire e come, chi si difende deve scoprire cosa non sa di non sapere. Questa asimmetria informativa strutturale rende le armi cyber più simili a operazioni di intelligence che a munizioni tradizionali. Producono effetti incerti e difficilmente controllabili. Queste caratteristiche aiutano a capire perché le armi cyber portano ad una zona grigia tra pace e guerra in cui vengono prodotti danni significativi senza raggiungere la soglia del conflitto armato convenzionale. Pertanto, secondo l’accademico Lucas Kello, il cyberspace ha creato una nuova categoria di conflitto per cui il diritto internazionale e la teoria strategica esistenti non offrono risposte adeguate: le operazioni cyber possono danneggiare gravemente un Paese senza che questo costituisca un atto di guerra nel senso tradizionale, rendendo la deterrenza e la risposta straordinariamente difficili.
Il punto di partenza è strategico. Per l’accademico Ben Buchanan le operazioni cyber degli Stati sono raramente atti di pura distruzione: sono segnali strategici – messaggi che comunicano capacità e intenzioni senza attraversare la soglia del conflitto aperto. Hackerare un sistema avversario è anche un modo per dirgli: “Siamo già dentro. Tienilo presente.” L’esperta Fiona Cunningham ha aggiunto una considerazione interessante relativa alla Cina: Pechino ha scelto deliberatamente le armi informatiche – insieme alle capacità contro-spaziali e ai missili convenzionali di precisione – come sostituti delle minacce nucleari senza però perdere capacità di deterrenza o di coercizione. È una “sostituzione strategica”: invece di minacciare l’annientamento nucleare, Pechino minaccia di disabilitare le infrastrutture critiche nemiche, distruggere i satelliti che guidano le armi americane, e tagliare le comunicazioni di comando e controllo. Il cyber non è quindi solo un’arma tattica – è parte di una strategia di deterrenza per le grandi potenze. La guerra in Ucraina ha fornito il primo grande test reale di questa logica – e i risultati sono stati sorprendenti in entrambe le direzioni. Il cyberattacco russo pre-invasione su Viasat fu devastante nei primi giorni. Ma la resilienza ucraina, supportata da trasferimenti rapidi di sistemi cloud occidentali e dall’intervento di Starlink, ha limitato i danni a lungo termine. La cyberguerra russa non ha prodotto il blackout digitale che molti analisti temevano. Questo non significa che le armi cyber siano sopravvalutate – significa che la difesa è più difficile da degradare permanentemente di quanto gli attaccanti sperassero, e che la guerra cyber tende a essere più efficace come strumento di intelligence e preparazione che come arma di distruzione di massa digitale. Il futuro del dominio cyber si intreccia pertanto con tre tendenze convergenti.
L’intelligenza artificiale sta trasformando sia l’attacco che la difesa: sistemi AI possono identificare vulnerabilità e generare exploit a velocità umana impossibile, ma possono anche rilevare anomalie e rispondere ad attacchi in tempo reale.
Lo spazio, come abbiamo discusso nella newsletter precedente, è sempre più integrato con il cyber: i satelliti sono bersagli privilegiati di operazioni cyber, e la guerra cyber nello spazio non richiede armi cinetiche per degradare capacità avversarie.
La proliferazione dei ransomware ha sfumato la distinzione tra guerra statale e criminalità organizzata, con gruppi criminali russi che operano con tacita tolleranza statale contro bersagli occidentali.
Jon R. Lindsay, Age of Deception: Cybersecurity as Secret Statecraft (Ithaca, NY: Cornell University Press, 2025);
Lucas Kello, The Virtual Weapon and International Order (New Haven, CT: Yale University Press, 2017);
Max Smeets, No Shortcuts: Why States Struggle to Develop a Military Cyber-Force (Oxford: Oxford University Press, 2022);
Fiona Cunningham, Under the Nuclear Shadow: China’s Information-Age Weapons in International Security (Princeton, NJ: Princeton University Press, 2025);
Ben Buchanan, The Hacker and the State: Cyber Attacks and the New Normal of Geopolitics (Cambridge, MA: Harvard University Press, 2020).
La guerra cyber è già in corso – la questione è dove andrà.
Scenario di deterrenza cyber stabilizzata: le grandi potenze sviluppano norme implicite di comportamento nel cyberspazio – linee rosse non sancite in trattati ma rispettate – simili a quelle che hanno governato l’uso delle armi nucleari tattiche durante la Guerra Fredda. L’AI accelera sia l’attacco che la difesa, ma il vantaggio offensivo non diventa così schiacciante da rendere impossibile la difesa. La guerra cyber rimane confinata alla zona grigia che Kello chiama “unpeace” – danni continui ma sotto la soglia del conflitto aperto, anche perché i Paesi investono massicciamente in resilienza delle infrastrutture critiche, riducendo l’efficacia degli attacchi più devastanti.
Scenario di proliferazione caotica: l’AI abbatte drasticamente le barriere di ingresso alla guerra cyber. Ciò che prima richiedeva anni di lavoro da parte di team altamente specializzati – identificare vulnerabilità, costruire exploit, testare payload – diventa accessibile a Paesi con capacità limitate, gruppi criminali organizzati e attori non statali. Il risultato non è un conflitto tra grandi potenze, ma una proliferazione caotica di attacchi di media intensità in ogni parte del mondo: infrastrutture energetiche, sistemi ospedalieri, reti finanziarie, catene logistiche. L’attribuzione diventa ancora più difficile perché il codice generato da AI non porta le “firme” stilistiche che i ricercatori usano per identificare i gruppi dietro gli attacchi. La comunità internazionale si trova di fronte a una versione cyber del problema della proliferazione nucleare — ma senza il Trattato di non proliferazione, senza i regimi di controllo delle esportazioni, e con tecnologia che si diffonde a velocità incomparabilmente maggiore.
Scenario di dipendenza totale e collasso a cascata: il cyber smette di essere un dominio separato e diventa l’infrastruttura che tiene insieme tutti gli altri. In un futuro in cui i Paesi raccolgono dati tramite satelliti che vengono poi diffusi a centri di fusione dati dove algoritmi avanzati estrapolano possibili obiettivi che poi vengono autonomamente trasformati in piani di guerra condivisi tramite sistemi cloud accessibili a tutta la catena di comando, le armi cyber vanno a modificare il software dei sensori, le connessioni dati, i dati su cui gli algoritmi vengono addestrati o che vengono loro forniti, l’accesso al cloud o le informazioni al suo interno. L’obiettivo non è solo sabotare l’avversario, ma anche generare attacchi fratricidi e paralisi sistemiche dell’intera forza avversaria. Senza integrazione digitale, le forze armate del futuro non possono funzionare. Ma con le armi cyber del futuro, le forze armate digitali non riescono a funzionare.
Nessun post
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.