Cybersicurezza e Geopolitica: la sovranità digitale si gioca alla periferia delle reti
Quando parliamo di cybersicurezza e geopolitica, tendiamo ancora troppo spesso a concentrare l’attenzione sui data center centralizzati, sui server aziendali o sulle dorsali di rete principali.
Nella mia esperienza sul campo e nell’osservazione quotidiana dell’evoluzione delle minacce, mi appare però sempre più evidente che lo scontro per la sovranità digitale si stia consumando alla periferia delle reti.
L’Internet delle Cose non è più una costellazione di gadget o sensori isolati: è il sistema nervoso capillare della nostra società. Dalle reti LPWAN per lo smart metering ai router edge aziendali, dalle connessioni 5G per la mobilità autonoma ai gateway satellitari LEO e ai nodi delle smart city, viviamo in un tessuto di iper-connettività.
Questa immensa superficie di contatto è anche, a mio avviso, un bersaglio primario per la guerra ibrida e per lo spionaggio su scala globale.
La geopolitica dell’invisibile: pre-positioning e guerra asimmetrica
I documenti pubblici di CISA, NSA, FBI ed ENISA mostrano una mutazione nella dottrina d’attacco di alcuni attori statali.
Il caso emblematico è Volt Typhoon.
Volt Typhoon e Salt Typhoon: dai router compromessi al Living off the Land
Nell’avviso del febbraio 2024, le agenzie di cinque Paesi hanno valutato con alta confidenza che il gruppo, legato alla Cina, si stesse pre-posizionando nelle reti di infrastrutture critiche (comunicazioni, energia, trasporti, acqua) per poterne disturbare le funzioni operative in caso di crisi o conflitto maggiore.
Un comportamento che, secondo le agenzie, non è coerente con il classico spionaggio.
L’accesso avveniva spesso da apparati di rete esposti, come router, VPN e firewall, ed è stato mantenuto in alcuni casi per almeno cinque anni.
Il ricorso al Living off the Land, cioè a strumenti legittimi di sistema al posto di malware identificabili, rende la presenza dormiente più difficile da individuare.
Va tenuto distinto il caso, spesso citato insieme, di Salt Typhoon.
L’avviso CISA dell’agosto 2025, associato dalla stampa specializzata a quella campagna, descrive attori statali cinesi che colpiscono reti globali di telecomunicazioni, governo, trasporti, alloggi e infrastrutture militari, modificando i router per mantenere accessi persistenti.
È una campagna di spionaggio, non un pre-posizionamento a fini di disturbo, ma condivide il terreno: i dispositivi di rete.
Anche l’Europa è esposta.
Gli scenari di rischio: sabotaggio, botnet e catena di fornitura
Il Threat Landscape 2025 dell’ENISA attribuisce alle minacce sulla tecnologia operativa il 18,2% delle categorie di minaccia analizzate, e lo collega alla crescente connessione di sistemi industriali e critici. Mandiant segnala da tempo uno spostamento dello spionaggio cinese e russo verso i dispositivi edge.
In caso di escalation geopolitica, a mio avviso una rete capillare di accessi compromessi potrebbe trasformarsi in una leva di coercizione. Tre scenari, da leggere come ipotesi e non come previsioni:
- Sabotaggio di servizi essenziali. Le agenzie indicano la possibilità di disturbare le funzioni operative in settori come energia e acqua.
- Weaponizzazione di botnet. Il reclutamento di dispositivi IoT vulnerabili per attacchi DDoS è un precedente noto. Oggi gli avvisi descrivono reti coperte di router e dispositivi IoT compromessi, usate come infrastruttura di attacco.
- Rischi di catena di fornitura. Il World Economic Forum indica l’interdipendenza delle filiere tra i fattori che aumentano la complessità del rischio cyber. Negli Stati Uniti ha già prodotto misure di politica industriale: il 23 marzo 2026 i router prodotti all’estero sono entrati nella Covered List della FCC. Che esistano backdoor hardware inserite alla fonte è un’ipotesi da valutare caso per caso: gli avvisi citati attribuiscono le compromissioni soprattutto a dispositivi vulnerabili e fuori supporto.
Il quadro normativo europeo e internazionale: NIS2, CRA e standard NIST
Per questo la Direttiva NIS2 e il Cyber Resilience Act non sono meri adempimenti burocratici, ma una risposta difensiva che fissa responsabilità legali in capo a produttori e operatori.
La NIS2 impone obblighi ai soggetti essenziali e importanti; il CRA ai produttori di prodotti con elementi digitali, che dall’11 settembre 2026 devono notificare vulnerabilità sfruttate e incidenti gravi, con allerta entro 24 ore, notifica entro 72 e relazione finale entro 14 giorni dalla disponibilità di una correzione.
I requisiti principali del CRA si applicano dall’11 dicembre 2027.
Il riferimento tecnico per i produttori resta la serie NIST IR 8259, aggiornata nell’aprile 2026, mentre la SP 800-213 guida le agenzie federali statunitensi.
Rumore e segnale: l’analista davanti alla periferia
Il quadro visibile è dominato dal rumore.
Secondo l’ENISA l’hacktivismo vale quasi l’80% degli incidenti registrati, per lo più DDoS di basso livello con impatto molto contenuto.
Ha però una grammatica politica: nel dicembre 2024 i portali di Malpensa e Linate sono stati brevemente irraggiungibili per attacchi rivendicati da NoName057(16), probabilmente legati al decreto italiano sul trasferimento di materiali all’Ucraina.
Gli attacchi visibili misurano le tensioni, non la capacità.
Il problema è il tempo.
L’ENISA ricorda che DDoS e ransomware sono visibili e spesso rivendicati, mentre lo spionaggio viene documentato con ritardi da sei mesi a oltre quattro anni.
E i confini tra hacktivismo, cybercrime e attori statali si sfumano: l’agenzia descrive il «faketivism», cioè attori statali dietro identità hacktivista.
Per l’analista ogni segnale va scomposto in tre domande: quale intento dichiarato, quale capacità dimostrata, quale impatto verificato.
L’assenza di evidenze non è evidenza di assenza, soprattutto quando le agenzie parlano di «estinzione degli indicatori di compromissione», che scompaiono tanto in fretta quanto vengono scoperti.
Come le agenzie devono investigare l’ecosistema IoT
A mio avviso l’indagine sulle reti IoT richiede un cambio di paradigma nelle strutture di sicurezza e intelligence (NSA, GCHQ, DGSE, i servizi italiani AISE e AISI, e l’autorità nazionale di cybersicurezza ACN).
Trattare un dispositivo IoT come un comune server aziendale è un errore metodologico.
Le quattro direttrici strategiche: TECHINT, SIGINT, CYBINT e impatto cinetico
Indico quattro direttrici. Sono mie proposte, non pratiche documentate in fonti pubbliche, e vanno calate nei vincoli giuridici e tecnici di ciascun Paese.
- Technical Intelligence (TECHINT) e reverse engineering. Non basta l’analisi del traffico logico. Serve un approccio sul silicio: analisi del firmware per scovare credenziali hardcoded e, per i prodotti ad altissima criticità, analisi fisica dei circuiti stampati con microscopia e tomografia a raggi X, per individuare eventuali impianti hardware malevoli introdotti nella catena di montaggio.
- Signals Intelligence (SIGINT) e telemetria edge. L’analisi passiva dei protocolli nativi dell’IoT (MQTT, CoAP, Modbus, M2M) permette un fingerprinting dinamico dei dispositivi. Gli scostamenti nei volumi di trasmissione o nelle frequenze di ping possono indicare che un nodo è stato «risvegliato» da un server di Comando e Controllo. La logica è coerente con il declino degli indicatori statici. Il limite è che molto traffico viaggia in reti private o cifrate e la raccolta ha vincoli giuridici.
- CYBINT, OSINT e honeypot ad alta fedeltà. Ritengo strategico il dispiegamento di trappole digitali che simulino reti intelligenti (smart grid, sensori di traffico, gateway 5G), per registrare in ambiente controllato le tattiche, tecniche e procedure dei gruppi ostili prima che siano usate contro infrastrutture reali.
- Valutazione dell’impatto cinetico. Nell’IT tradizionale il danno si misura in perdita di dati; nell’IoT l’intelligence deve valutare l’effetto fisico. L’alterazione di una singola istruzione a una rete di attuatori può causare danni materiali, incendi o blocchi strutturali. Non a caso l’avviso del 2024 parla di capacità di disturbare le funzioni delle tecnologie operative.
La svolta proattiva: telemetria IoT e Cyber Threat Intelligence
Come proteggere una rete tanto estesa?
La risposta sta, a mio avviso, nell’integrazione nativa tra la telemetria prodotta dai dispositivi IoT e i flussi di Cyber Threat Intelligence.
La CTI non deve essere un feed esterno di indirizzi IP malevoli. Integrata con l’analisi comportamentale dei nodi edge, permette di:
- Contestualizzare l’anomalia: capire se il volume anomalo di un router di campo sia un guasto o l’inizio di una ricognizione da parte di un gruppo APT.
- Applicare lo Zero Trust alla periferia: isolare in modo preventivo e automatico nodi o segmenti LPWAN/5G che si discostano dalla baseline operativa.
- Prioritizzare le patch sul rischio reale: in una rete con centinaia di migliaia di sensori non si può aggiornare tutto. Incrociando la mappa degli asset con il catalogo delle vulnerabilità note e sfruttate (KEV) si concentrano le risorse dove il rischio è imminente. Gli Stati Uniti hanno imposto alle agenzie federali civili, con la direttiva BOD 26-02 del 5 febbraio 2026, di inventariare e rimuovere i dispositivi edge non più supportati [10].
Il CRA potrebbe aggiungere un flusso di dati sullo sfruttamento reale dei prodotti connessi.
Oggi esistono obblighi e infrastruttura: la notifica va al CSIRT competente e all’ENISA e viene condivisa con gli altri CSIRT, e la piattaforma unica di segnalazione è operativa dall’11 settembre 2026 nella sua capacità iniziale.
Non esistono ancora evidenze sull’uso operativo di questi dati, ed è su questo punto che si misurerà il suo valore per la CTI.
Considerazioni finali
Sono convinto che la sfida della cybersicurezza nei prossimi anni non si giocherà sulla capacità di erigere perimetri difensivi statici, concetto ormai superato dalla realtà dei fatti, ma sulla capacità di rendere le reti IoT intelligenti, visibili e capaci di reazione coordinata.
L’Internet delle Cose è il tessuto connettivo della nostra democrazia e della nostra economia.
Difenderlo non è più solo manutenzione IT: è un pilastro della sicurezza nazionale e della resilienza strategica dell’intero Paese.
