[molongui_byline]
Nel maggio 2026, un’operazione di cyber spionaggio ha compromesso i sistemi di Sistemi Informativi S.p.A., la sussidiaria IBM che gestisce l’infrastruttura IT della Pubblica Amministrazione italiana, con ministeri, agenzie statali ed enti pubblici potenzialmente esposti. L’attribuzione al gruppo cinese Salt Typhoon, unità legata al Ministero della Sicurezza di Stato di Pechino, è rimasta priva di conferma ufficiale: l’IBM ha dichiarato i sistemi stabili senza fornire dettagli sulla portata della violazione, mentre l’antiterrorismo di Roma ha aperto un’indagine. A febbraio dello stesso anno, circa 120 attacchi informatici di origine russa avevano preso di mira ambasciate italiane in quattro continenti, siti olimpici a Cortina e portali del Ministero degli Esteri, campagna rivendicata dal gruppo filo-Cremlino NoName057(16).
Questi episodi non costituiscono eccezioni: l’Italia si colloca al quarto posto mondiale e primo in Europa per numero di attacchi subiti, con un incremento del 27,4% nella frequenza degli incidenti nell’ultimo anno rilevato. Eppure, a fronte di questa pressione esterna, una serie di fatti documentati evidenzia come risorse e capacità di intelligence digitale vengano sistematicamente impiegate in direzioni alternative: verso i propri cittadini, verso i propri alleati, verso i partner europei.
Alleati come bersagli: il precedente BND e il caso Paragon
Il caso più rilevante sul piano strutturale rimane lo scandalo che ha coinvolto il Bundesnachrichtendienst (BND), il servizio segreto estero tedesco. Tra il 2012 e il 2015, il BND ha fornito assistenza tecnica alla NSA americana per condurre operazioni di sorveglianza su alti funzionari del Ministero degli Esteri francese, dell’Eliseo e della Commissione europea, con un perimetro che si estendeva ai ministeri degli Interni di Polonia, Austria, Danimarca e Croazia, nonché alle ambasciate presenti a Berlino di Francia, Gran Bretagna, Svezia, Italia, Spagna, Portogallo, Grecia e Svizzera, incluso il Vaticano.
In Italia, tra il 2023 e il 2024, i servizi di intelligence AISI e AISE hanno impiegato lo spyware Graphite della società israeliana Paragon Solutions per infettare i dispositivi di giornalisti e attivisti per i “diritti degli immigrati”. I procuratori di Roma e Napoli hanno accertato che i dispositivi del direttore di Fanpage Francesco Cancellato e degli attivisti di Mediterranea Luca Casarini e Beppe Caccia mostravano tracce di infezione nella notte del 14 dicembre 2024, tre attacchi consecutivi probabilmente parte della stessa campagna. Il COPASIR ha giustificato l’utilizzo dello spyware con finalità di contrasto all’immigrazione irregolare. Paragon ha rescisso il contratto con il governo italiano dopo che quest’ultimo ha rifiutato un audit tecnico indipendente: per la prima volta nella storia, un’azienda di spyware commerciale ha pubblicamente abbandonato un cliente governativo citando preoccupazioni di abuso.
Il caso italiano non è isolato nel contesto europeo. L’uso di spyware commerciali da parte di governi di Paesi UE, tra cui Ungheria, Spagna e Polonia, contro oppositori politici, giornalisti e, in alcuni casi, capi di Stato alleati è stato ampiamente documentato. Si tratta di un utilizzo sistematico di strumenti cyber offensivi che, indipendentemente dalla legalità formale delle singole operazioni, produce un effetto diretto di erosione della fiducia intra-europea e distoglie risorse dall’individuazione delle minacce esterne.
La pressione esterna: dimensioni e dinamiche della minaccia nel 2026
Il panorama di minaccia europeo fornisce il quadro di riferimento necessario per valutare la gravità dello squilibrio descritto. Gli attacchi ransomware contro organizzazioni europee sono cresciuti del 23% nell’ultimo anno, mentre gli attacchi alla supply chain digitale, tecnica privilegiata per accedere indirettamente alle PA, sono aumentati del 42%. Il tempo medio di rilevamento di una violazione in Europa si attesta tuttora a 18 giorni: quasi tre settimane durante le quali un avversario può operare indisturbato nelle reti di un’amministrazione.
La campagna Salt Typhoon costituisce l’esempio più emblematico della minaccia cinese. Il gruppo ha compromesso reti di telecomunicazioni in oltre 80 Paesi, colpendo più di 200 organizzazioni, tra cui nove operatori telefonici statunitensi e, più recentemente, provider europei. Un attacco mirato a una grande azienda europea di telecomunicazioni ha riprodotto le stesse tecniche impiegate contro AT&T e Verizon: sfruttamento di vulnerabilità nei sistemi Citrix per ottenere accesso remoto persistente alle reti, con l’obiettivo di intercettare traffico governativo e militare.
Sul fronte russo, NoName057(16) ha operato in modo continuativo contro i Paesi NATO, con una progressione di attacchi verso l’Italia che ha incluso, oltre agli episodi olimpici di febbraio 2026, i siti di Mediobanca, Nexi, Benelli Armi, Fiocchi Munizioni, nonché i portali di ministeri, Carabinieri e Guardia di Finanza. Ogni campagna è stata esplicitamente correlata a dichiarazioni pubbliche di autorità italiane sull’Ucraina, delineando un modello di deterrenza ibrida reattiva. In parallelo, la guerra in Iran scoppiata il 28 febbraio 2026 ha accelerato le operazioni informatiche iraniane contro infrastrutture energetiche e portuali europee, sfruttando la distrazione geopolitica dell’Occidente per ampliare il perimetro d’azione.
Tre proposte per un cambio di paradigma
La diagnosi del paradosso descritto, capacità offensive rivolte verso l’interno a fronte di difese collettive inadeguate, rimanda a tre aree di intervento strutturale, la cui realizzazione è tecnicamente praticabile nel quadro istituzionale attuale.
La prima riguarda il completamento di un’architettura di difesa cyber europea operativa. Il pacchetto cybersicurezza della Commissione europea del 20 gennaio 2026, che prevede il Cybersecurity Act 2 e emendamenti mirati alla NIS2, va nella direzione corretta, ma la sua adozione non è attesa prima della fine del 2026 o inizio 2027. Nel frattempo, solo 16 dei 27 Paesi membri avevano recepito la NIS2 a inizio anno, con la Commissione costretta ad avviare procedure di infrazione contro 23 Stati. La convergenza normativa è condizione necessaria ma non sufficiente: occorre un centro operativo con mandato di risposta in tempo reale, non subordinato al consenso unanime dei governi nazionali.
La seconda area di intervento concerne la tutela del diritto fondamentale alla riservatezza digitale e la regolamentazione europea degli spyware commerciali che ne consegue. Il diritto alla riservatezza delle comunicazioni personali è sancito su due livelli normativi distinti e convergenti: l’articolo 7 della Carta dei diritti fondamentali dell’Unione europea ne fissa il fondamento giuridico principale, mentre il Regolamento UE 2016/679 (GDPR) ne traduce i principi in obblighi operativi vincolanti per tutti i soggetti che trattano dati personali di cittadini europei, incluse le autorità pubbliche. Entrambi i riferimenti convergono su un medesimo imperativo: nessuno strumento di sorveglianza invasiva può considerarsi compatibile con l’ordinamento europeo in assenza di una base giuridica esplicita, proporzionata e soggetta a controllo indipendente. Eppure nessuno dei due strumenti ha finora prodotto una soglia procedurale uniforme e vincolante sull’uso degli spyware: nessuno strumento di sorveglianza invasiva dovrebbe poter essere impiantato su un dispositivo elettronico senza previa autorizzazione della magistratura nazionale e sotto il controllo di un organo parlamentare indipendente, anch’esso di livello nazionale. Il controllo parlamentare nazionale, e non sovranazionale, è qui la garanzia appropriata: spetta agli ordinamenti dei singoli Stati membri assicurare che le proprie autorità operino entro i limiti della legge, con meccanismi di verifica democratica radicati nel diritto interno.
Questa soglia procedurale produce un corollario analitico di rilievo strategico. Una volta stabilito che qualsiasi installazione di spyware non autorizzata dalla magistratura di uno Stato membro costituisce una violazione del diritto fondamentale alla riservatezza, ne discende che ogni spyware rinvenuto su un dispositivo al di fuori di tale procedura è necessariamente di provenienza esterna e ostile. L’adozione del terzo punto, un accordo vincolante di non spionaggio tra stati membri dell’unione europea, consentirebbe inoltre di escludere gli altri Stati UE dall’insieme dei possibili autori: un dispositivo compromesso senza ordine giudiziario, in un contesto in cui gli alleati europei abbiano rinunciato contrattualmente a operazioni di sorveglianza reciproca, porta per esclusione a una sorgente extracontinentale. La regolamentazione degli spyware non è dunque soltanto una misura di tutela dei diritti individuali, ma uno strumento di attribuzione e deterrenza geopolitica, che trasforma una garanzia giuridica in una capacità di intelligence difensiva.
La terza proposta riguarda appunto, un accordo vincolante di non spionaggio intra-europeo. La discussione avviata dopo lo scandalo BND-NSA del 2015 si è esaurita senza produrre risultati. Nel 2026, con la guerra in Ucraina che richiede coesione di intelligence, la crisi iraniana che mette sotto pressione le reti energetiche continentali e la Cina che penetra sistematicamente le telecomunicazioni europee, continuare a orientare risorse di intelligence verso gli alleati rappresenta un costo strategico insostenibile. Un trattato no-spy con meccanismi di verifica credibili libererebbe capacità da riorientare verso i veri avversari e ripristinerebbe la fiducia operativa tra i servizi nazionali, una condizione preliminare per qualsiasi forma di difesa cyber collettiva efficace. Finché questa riforma non avanzerà, Salt Typhoon e i suoi successori continueranno a trovare un continente tecnicamente normato ma strategicamente disunito: il bersaglio più comodo possibile.
