Cyber warfare e guerre ibride: il conflitto che comincia prima del primo colpo
di Lorenzo Bruno
Questa distinzione è fondamentale. Un ransomware può essere opera della criminalità organizzata, un attacco DDoS una forma di protesta digitale, un’intrusione può mirare allo spionaggio. Queste azioni diventano parte di una campagna ibrida solo se coordinate o sfruttate per un effetto strategico: paralizzare i servizi, influenzare le decisioni, dividere la società, preparare un conflitto o aumentare i costi della risposta politica.
I numeri non vanno letti senza contesto
ENISA ha analizzato 4.875 incidenti nell’Unione europea tra luglio 2024 e giugno 2025. I DDoS hanno rappresentato circa il 76,7% dei casi, spesso legati all’hacktivismo; la pubblica amministrazione è stata il settore più colpito, con circa il 38% degli incidenti. Questi dati sono rilevanti, ma non corrispondono a 4.875 operazioni distruttive. Molti attacchi DDoS causano solo indisponibilità temporanea e visibilità propagandistica; al contrario, un’intrusione silenziosa in una rete industriale, pur meno frequente, può essere molto più pericolosa.
Il numero totale di attacchi non è la metrica più significativa. Sono invece rilevanti la durata, la persistenza, i dati sottratti, i servizi interrotti, la capacità di movimento laterale, l’accesso ai sistemi industriali e i tempi di ripristino. Un paese che comunica solo il numero di offensive bloccate rischia di enfatizzare il rumore e trascurare le compromissioni strategiche.
Dall’IT all’OT quando il digitale produce effetti fisici
La vulnerabilità principale riguarda l’intersezione tra information technology e operationaltechnology. Le reti IT gestiscono dati, posta, identità e applicazioni, mentre i sistemi OT controllano processi fisici, impianti, turbine, valvole, trasporti e produzione. La crescente interconnessione migliora l’efficienza e la manutenzione, ma amplia la superficie d’attacco.
Non tutte le compromissioni OT causano danni fisici. Per alterare un processo servono la conoscenza dell’impianto, l’accesso persistente, la comprensione dei protocolli e la capacità di eludere i sistemi di sicurezza. Per questo le campagne di pre-posizionamento sono particolarmente preoccupanti: le autorità statunitensi e i partner internazionali hanno descritto Volt Typhoon come un’attività attribuita alla Repubblica Popolare Cinese, volta a mantenere l’accesso alle infrastrutture critiche, potenzialmente sfruttabili in una crisi futura. Il rischio principale non è il malware evidente, ma la presenza invisibile ottenuta tramite strumenti legittimi e apparati esposti.
L’attribuzione deve essere rigorosa. Un indirizzo IP, una lingua nel codice o una somiglianza tecnica non bastano a dimostrare il coinvolgimento statale. Sono necessari l’intelligence tecnica, le informazioni umane, i dati di rete, l’analisi delle infrastrutture, dei comportamenti e delle motivazioni, e la valutazione politica. Confondere sospetti e prove trasforma la cybersicurezza in propaganda.
Il dark web non è il campo di battaglia principale
Il deep web e il dark web sono spesso confusi. Il deep web include contenuti non indicizzati, anche legittimi; il dark web si riferisce a reti accessibili tramite software specifici, progettate per garantire anonimato e resistenza alla censura. Questa infrastruttura è utile anche a giornalisti, dissidenti e informatori, ma viene sfruttata da mercati criminali, broker di accessi, gruppi ransomware e venditori di dati.
Nel contesto cyber, il dark web è principalmente un mercato e un canale di monetizzazione: vi si acquistano credenziali, vulnerabilità, accessi iniziali e database; vi si pubblicano dati rubati per fare pressione e vi si negoziano riscatti. Tuttavia, non è il fulcro esclusivo delle attività ostili. Molte campagne sfruttano servizi cloud, piattaforme di messaggistica, repository di codice, domini comuni e strumenti amministrativi legittimi, perché si integrano meglio nel traffico ordinario.
Anche l’insider threat va trattato senza mitologia. Il dipendente reclutato da uno Stato ostile esiste, ma più spesso l’accesso deriva da credenziali rubate, errori, privilegi eccessivi o da fornitori compromessi. La difesa deve quindi unire controlli sul personale, separazione delle funzioni, verifica continua delle identità e monitoraggio proporzionato, nel rispetto della legge.
L’intelligenza artificiale abbassa il costo della manipolazione
L’AI generativa consente di creare rapidamente testi, immagini, audio e video in molte lingue. Può rendere il phishing più economico, automatizzare la personalizzazione dei messaggi e alimentare reti di account. Tuttavia, la mera disponibilità di contenuti falsi non garantisce un impatto politico. Per influire davvero servono distribuzione, credibilità, accesso a comunità reali, conoscenza delle fratture sociali e sincronizzazione con eventi che amplificano la narrazione.
La minaccia principale non è solo il deepfake perfetto, ma la saturazione informativa: migliaia di versioni contraddittorie che rendono difficile la verifica, rallentano la risposta e portano il pubblico a credere che nulla sia conoscibile. La difesa non consiste nel censurare opinioni sgradite, ma nell’attribuire le campagne coordinate, nel proteggere l’integrità dei processi elettorali, nel rendere disponibili dati verificabili e nel comunicare l’incertezza in modo trasparente.
Chi fa cosa in Italia
La cybersicurezza nazionale non si limita all’intelligence. L’Agenzia per la cybersicurezza nazionale è l’autorità competente e si occupa di prevenzione, resilienza, risposta e coordinamento tecnico. DIS, AISE e AISI intervengono sulle minacce alla sicurezza nazionale secondo le rispettive competenze; le forze di polizia e la magistratura perseguono i reati; la Difesa protegge le reti e le operazioni militari. L’efficacia del sistema dipende dal coordinamento. Questa architettura deve includere anche il settore privato, responsabile della maggior parte delle infrastrutture e dei servizi essenziali. Un operatore energetico o finanziario necessita di indicatori concreti, canali protetti, procedure di escalation e regole chiare per la condivisione, non solo di allarmi generici. Lo Stato, a sua volta, ha bisogno di segnalazioni tempestive e dati tecnici completi per valutare se un incidente isolato faccia parte di una campagna più ampia.
La difesa è una funzione di governo, non un prodotto
Le misure fondamentali sono note ma complesse da implementare: inventario degli asset, autenticazione forte, segmentazione tra IT e OT, gestione delle vulnerabilità, backup offline verificati, registrazione degli eventi, controllo degli accessi privilegiati, sicurezza dei fornitori ed esercitazioni con la dirigenza. La resilienza richiede anche procedure manuali o modalità degradate per garantire la continuità del servizio in assenza di rete.
Il consiglio di amministrazione deve conoscere quattro elementi: quali funzioni sono essenziali, la durata massima tollerabile dell’interruzione, le dipendenze esterne insostituibili e chi prende le decisioni in caso di crisi. Delegare tutto al responsabile IT è un errore di governance. Un attacco grave comporta conseguenze legali, finanziarie, operative, reputazionali e diplomatiche; la risposta va pianificata in anticipo.
La tesi da scartare
Non viviamo in una guerra digitale permanente in cui ogni incidente sia orchestrato da Mosca, Pechino, Teheran o Pyongyang. Tuttavia, non si tratta solo di criminalità informatica. Stati e gruppi non statali condividono strumenti, infrastrutture e talvolta interessi; la distanza tra spionaggio, preparazione operativa e sabotaggio può ridursi rapidamente in caso di crisi.
La guerra ibrida si contrasta rendendo inefficace la coercizione: servizi che restano operativi, istituzioni che agiscono con rigore, società in grado di distinguere il dissenso dalla manipolazione coordinata e alleanze che integrano intelligence, diplomazia, sanzioni, polizia e difesa. Il firewall è indispensabile, ma la vera arma strategica è la resilienza dello Stato.
Fonti primarie e istituzionali
1. Agenzia per la cybersicurezza nazionale — Relazione annuale 2025 — Attività, minacce, resilienza e quadro nazionale della cybersicurezza.
2. ACN — OperationalSummary, secondo semestre 2025 — Andamento degli eventi e degli incidenti cyber osservati in Italia.
3. ENISA — Threat Landscape 2025 — Analisi di 4.875 incidenti tra luglio 2024 e giugno 2025; DDoS, intrusioni, supply chain e settori bersaglio.
4. NATO — Counteringhybridthreats — Definizione pubblica delle minacce ibride, responsabilità nazionale e possibile rilievo per la difesa collettiva.
5. NATO — Cyber defence — Mandato difensivo, resilienza e cyberspazio come dominio operativo.
6. CISA e partner — Volt Typhoonadvisory AA24-038A — Accesso persistente e living-off-the-land nelle infrastrutture critiche attribuiti ad attori PRC state-sponsored.
7. CISA — Identifying and Mitigating Living-Off-the-Land Techniques — Indicazioni difensive sulle tecniche che sfruttano strumenti legittimi.
8. NATO — Secretary General Annual Report 2025 — Quadro pubblico delle azioni ibride, cyber, di interferenza e di sabotaggio contro gli Alleati.
| LIMITI E CAUTELE ANALITICHE La qualificazione “state-sponsored” è utilizzata soltanto quando presente in attribuzioni ufficiali. Il testo non descrive procedure di intrusione, persistenza o sabotaggio oltre quanto necessario alla comprensione giornalistica e difensiva. |
