lunedì 9 novembre 2026
Per individuare i contatti di un diplomatico o gli spostamenti di un ufficiale non occorre necessariamente attaccare una rete protetta. Può bastare che la persona interessata consulti con il proprio smartphone un sito apparentemente affidabile. È la logica di una campagna individuata dalla società francese Sekoia e attribuita, con confidenza medio-alta, ad Apt29, noto anche come Cozy Bear o Midnight Blizzard e associato all’intelligence estera russa (Svr). L’operazione ha preso di mira dispositivi Apple e Android, sfruttando siti compromessi, pagine contraffatte e componenti software utilizzati da numerosi portali. Non è l’ennesimo episodio di pirateria informatica: mostra come lo spionaggio possa raggiungere obiettivi sensibili attraverso gli strumenti della vita quotidiana. La scelta dei bersagli è significativa: un’impresa ucraina del gas, un’associazione dell’industria chimica statunitense e una formazione politica europea. Gli operatori hanno inoltre predisposto imitazioni di siti legittimi, compreso quello dell’iniziativa America250, legata alle celebrazioni del 250° anniversario dell’indipendenza degli Stati Uniti, e quello del Raffles London at The Owo, albergo di lusso ricavato nello storico Old War Office di Londra. La scelta di un albergo frequentato da delegazioni internazionali è indicativa: colpire un telefono può essere più semplice che violare la rete dell’organizzazione cui appartiene il proprietario. La logica è chiara: raggiungere persone d’interesse attraverso siti che hanno motivo di consultare. Tra agosto e settembre 2026 gli aggressori hanno compromesso Plerdy, un servizio di analisi del traffico usato da migliaia di siti, soprattutto ucraini.
Alterando uno script distribuito dal servizio, hanno potuto esporre al rischio i visitatori di numerosi portali, compresi quelli collegati alle forze armate ucraine e ad aziende impegnate nella produzione di droni e materiali militari. È un attacco alla catena di fornitura digitale: invece di violare ogni sito, si colpisce un componente comune, sfruttando la fiducia nel fornitore. Così un portale può essere gestito con attenzione e trasformarsi ugualmente in un punto di accesso per un’operazione ostile. La superficie da proteggere non coincide più soltanto con i server di un’amministrazione, ma comprende l’intera rete di servizi alla quale essa si affida. La vulnerabilità di un fornitore diventa così quella di centinaia di organizzazioni. Le tecniche variavano secondo il dispositivo. Su alcuni iPhone, l’obiettivo era sottrarre i cookie di autenticazione, dati che consentono ai servizi online di riconoscere gli utenti già autenticati e che, se utilizzati dagli aggressori, possono permettere di accedere ai loro account senza conoscere le password e, in alcuni casi, aggirando anche l’autenticazione a due fattori. Altri strumenti, tra cui il kit di exploit DarkSword, erano destinati a raccogliere messaggi, email, contatti, immagini, dati di localizzazione e credenziali; sui dispositivi Android la raccolta poteva comprendere anche informazioni conservate nel browser e password delle reti Wi-Fi. Non serviva mantenere a lungo il controllo del telefono: un’estrazione rapida riduce il rischio di scoperta e può fornire dati preziosi. La rubrica di un funzionario permette di ricostruire relazioni; gli spostamenti suggeriscono incontri e abitudini; i messaggi rivelano attività e interlocutori. Dati banali che, se incrociati, diventano informazioni preziose. È qui che l’episodio assume una dimensione strategica. Apt29 è da tempo associato allo spionaggio contro governi e organizzazioni occidentali.
La presenza di obiettivi legati alla difesa ucraina, all’industria statunitense e alla politica europea appare coerente con gli interessi di Mosca, senza provare la finalità di ogni singola compromissione. Nella guerra contro l’Ucraina, conoscere i fornitori di componenti militari, le reti professionali dei tecnici e i contatti dei responsabili della produzione aiuta a ricostruire le capacità dell’avversario. Sul piano politico e diplomatico, accedere alle comunicazioni private può contribuire ad anticipare decisioni, individuare vulnerabilità e preparare ulteriori operazioni di penetrazione o influenza. Lo spionaggio non punta sempre ai documenti classificati: talvolta cerca il modo di arrivare alle persone che li conoscono, li producono o ne condizionano il contenuto. Le vulnerabilità sfruttate nella campagna erano già note ed erano state corrette con aggiornamenti di sicurezza. Una struttura dotata di capacità tecniche elevate può quindi ottenere risultati facendo leva su ritardi nell’installazione delle patch, dispositivi non aggiornati e procedure poco rigorose. Non conta solo la capacità dell’intelligence avversaria, ma anche la responsabilità di chi deve garantire la sicurezza. Nelle amministrazioni e nelle aziende strategiche il confine tra privato e professionale è labile: lo stesso smartphone viene utilizzato per rapporti privati, scambi di lavoro, accessi a piattaforme e consultazione di documenti.
Pensare che basti proteggere le reti istituzionali, mentre si trascurano i dispositivi delle persone che vi operano, significa lasciare aperta una porta laterale proprio dove l’avversario ha interesse a cercarla. Servono regole sull’uso dei telefoni di servizio, aggiornamenti tempestivi e verifiche dei componenti esterni incorporati nei siti istituzionali. La prevenzione non può essere affidata al singolo. È una debolezza organizzativa prima ancora che tecnologica. L’indagine non permette di stabilire quanti dispositivi siano stati effettivamente compromessi, né quali informazioni siano finite nelle mani degli aggressori. Distinguere le capacità documentate dai risultati accertati è essenziale nell’analisi di intelligence. Ma non ridimensiona la minaccia. L’Europa, che si trova già a fronteggiare sabotaggi, campagne di disinformazione, minacce alle infrastrutture critiche e altre manifestazioni della guerra ibrida, deve prendere atto che la sicurezza nazionale non può più essere circoscritta alla protezione delle installazioni militari e dei sistemi informatici governativi. La minaccia, del resto, non appartiene a uno scenario ipotetico. La recente diffusione sul dark web dei dati personali del ministro degli Esteri Antonio Tajani e dei suoi familiari, insieme alle attività di raccolta di informazioni che hanno preso di mira il procuratore di Roma Francesco Lo Voi, il direttore della Polizia postale Ivano Gabrielli e altre figure istituzionali, dimostra quanto il confine tra sicurezza pubblica e sfera privata sia diventato vulnerabile. Non occorre necessariamente violare i sistemi informatici di un ministero per colpire chi vi opera. A volte può bastare indurre qualcuno ad aprire una pagina web sul proprio smartphone. La prossima operazione di spionaggio potrebbe non cominciare con un attacco a un ministero, ma con l’apertura di una pagina web sul telefono di qualcuno che vi lavora. Sottovalutarlo significa rischiare di accorgersene quando le informazioni sono già state sottratte.
(*) Docente universitario di Diritto internazionale e normative per la sicurezza
di Renato Caputo (*)