L’FSB dirotta i router finlandesi

Il bersaglio davvero utile per lo spionaggio russo raramente è il frigorifero smart o l'assistente vocale. È più spesso il router che nessuno aggiorna da quando è stato installato, chiuso in un armadio server, mentre inoltra in silenzio ogni byte del traffico aziendale. Lo hanno detto questo mese i servizi di intelligence finlandesi e olandesi, in avvertimenti che meritano una lettura più attenta di quella suggerita dai titoli.

Perché un router è la spia ideale

Un router è insieme il cancello d'ingresso e l'ufficio postale di ogni rete. Quasi tutto il traffico passa da lì. Se un attaccante controlla quel dispositivo, un router aziendale compromesso può far apparire il traffico dell'intelligence russa come se provenisse da una normale società di Helsinki, non da un server controllato dallo Stato. Già questo ha un valore enorme: nasconde l'origine dello spionaggio dietro la connessione internet di qualcun altro (NSA).

Ma mascherare l'attribuzione è solo l'inizio. Un router compromesso può anche raccogliere le credenziali di accesso che lo attraversano e reindirizzare il traffico verso server ostili senza che nessuno, dentro la rete, se ne accorga.

La polizia di sicurezza finlandese Supo e l'intelligence militare hanno avvertito le imprese del rischio di cyber-spionaggio russo legato al 16th Center dell'FSB, un'unità specifica del Servizio federale di sicurezza russo (Supo, Finnish Defence Forces). I bersagli sono quelli che gli specialisti chiamano "edge devices", cioè gli apparati collocati al confine tra una rete privata e internet. In pratica, router aziendali e gateway di rete. Un avviso congiunto pubblicato nel luglio 2026 dalla NSA e da agenzie partner ha indicato nel dettaglio le tattiche usate dall'FSB e le misure di mitigazione che le aziende possono adottare (NSA, Supo).

Le vie d'ingresso sono banali. Password di fabbrica mai cambiate. Firmware vecchi di anni. Pannelli di amministrazione lasciati accessibili da internet. Secondo la valutazione di Supo, l'avvertimento potrebbe riguardare almeno migliaia di imprese finlandesi (MTV Uutiset).

Una telecamera di magazzino diventa un sensore militare

Il caso olandese mostra come la stessa incuria possa produrre una minaccia diversa. I servizi di intelligence dei Paesi Bassi, AIVD e MIVD, hanno confermato che attori statali russi hanno compromesso telecamere IP lungo rotte logistiche militari olandesi per monitorare le spedizioni di armi dirette in Ucraina (Rijksoverheid, AIVD). Una telecamera installata per la normale sicurezza di un edificio diventa uno strumento di intelligence militare nel momento in cui inquadra la banchina di carico sbagliata.

I servizi olandesi hanno descritto un'operazione internazionale "su larga scala" contro Stati membri della NATO, anche se nei Paesi Bassi si è confermata la compromissione solo di un numero limitato di telecamere (Rijksoverheid). L'emittente estone ERR ha ripreso le stesse conclusioni come un avvertimento per ogni Paese lungo la catena di approvvigionamento dell'Ucraina (ERR).

La legge corregge i dispositivi di domani, non quelli di ieri

L'Europa ha una risposta regolatoria. Il Cyber Resilience Act dell'UE impone che i prodotti connessi venduti nel mercato europeo nascano sicuri per progettazione e prevede una gestione obbligatoria delle vulnerabilità per tutta la durata del periodo di supporto (EUR-Lex). Questo dovrebbe migliorare la prossima generazione di router e telecamere che arriverà sul mercato.

Il vuoto pratico, però, è evidente: milioni di dispositivi sono già in funzione. Router negli armadi server, telecamere sui muri dei magazzini, citofoni agli ingressi degli edifici, spesso con software obsoleto e credenziali di fabbrica. La regolazione orienta ciò che si venderà domani. Non può aggiornare ciò che qualcuno ha fissato a una parete cinque anni fa (European Commission).

Il consiglio delle agenzie finlandesi e olandesi si riduce a trattare questi apparati per quello che sono: piccoli computer. Bisogna cambiare le password predefinite, aggiornare il firmware, disattivare l'accesso remoto quando non serve e smettere di lasciare i pannelli di amministrazione aperti su internet (Supo, AIVD).

I casi finlandese e olandese condividono una lezione sulla geografia del rischio. La stessa password debole sullo stesso dispositivo sempre acceso può significare spionaggio aziendale a Helsinki, sorveglianza militare a Rotterdam ed esposizione della logistica NATO a Tallinn. Alla Russia non serve compromettere ogni dispositivo connesso. Le basta trovare abbastanza apparati trascurati nei luoghi giusti. Sulla base delle prove pubbliche disponibili finora, router e telecamere IP stanno offrendo proprio questo: il vasto strato di infrastruttura dimenticata d'Europa, silenziosamente considerato affidabile e raramente mantenuto.