Mosca spia le armi NATO

Una telecamera di sicurezza da poche decine di euro, fissata al muro di un magazzino europeo e ancora protetta dalla password impostata in fabbrica, è finita in silenzio nelle mani degli hacker di Stato russi, entrando in una rete di sorveglianza usata per seguire le spedizioni di armi verso l'Ucraina. Il proprietario potrebbe non accorgersene mai. A rivelare l'operazione sono stati, all'inizio del mese, i servizi di intelligence olandesi, che hanno descritto la compromissione di telecamere IP in diversi Paesi della NATO lungo le rotte logistiche militari (AIVD, DW). L'immagine dice molto di ciò che i governi europei ormai ammettono apertamente: le operazioni cyber russe contro infrastrutture civili non sono episodi isolati, ma una pressione continua.

Le autorità finlandesi la chiamano «arkipäivää», vita quotidiana, una condizione permanente di fondo (Yle). Anche la NATO, nel condannare il 13 luglio le «persistenti attività cyber malevole» della Russia, ha usato un linguaggio che va nella stessa direzione (NATO). Non si tratta di una singola intrusione da indagare e archiviare, ma di un'operazione stabile con cui l'Europa deve convivere.

Copiare tutte le chiavi del palazzo

La vecchia immagine dell'attacco informatico è quella del furto: qualcuno entra, prende qualcosa e se ne va. Quello che diverse agenzie europee descrivono oggi assomiglia piuttosto a qualcuno che copia tutte le chiavi di un edificio, studia i turni delle guardie, mappa le consegne e ogni tanto fa scattare un allarme antincendio per misurare i tempi di reazione.

Il punto d'ingresso è spesso banale: un vecchio router, una password debole, un dispositivo che nessuno aggiorna da anni. Secondo Supo, il servizio di intelligence finlandese, il 16º Centro dell'FSB russo sfrutta proprio queste falle per spiare aziende dell'energia e della difesa (Supo). Non servono strumenti esotici.

La gravità strategica nasce da ciò che accade dopo l'accesso iniziale. Gli aggressori rubano credenziali di login, cioè copiano le chiavi, e poi le usano per passare da un sistema all'altro: dall'atrio al magazzino, poi alla sala di controllo. Sorvegliano le comunicazioni interne, ricostruiscono il funzionamento dell'organizzazione e mantengono l'accesso per mesi o anni. Lo spionaggio serve a mappare il terreno; le ondate di traffico spazzatura che mandano in tilt i siti web producono rumore; il malware distruttivo resta dormiente, pronto qualora si voglia alzare il livello dello scontro (ENISA).

Paesi diversi, stessa campagna

Ogni Paese vede la minaccia attraverso la propria vulnerabilità. Per la Finlandia è una questione di margine della rete: le aziende dell'energia e dei settori critici diventano bersagli di spionaggio di lungo periodo. La ministra degli Esteri Valtonen ha condannato l'attività e convocato l'ambasciatore russo (MTV Uutiset). Per la Polonia è una questione di corridoio logistico: essendo una delle principali vie di transito del sostegno all'Ucraina, deve fronteggiare operazioni informatiche insieme ad atti di sabotaggio fisico. Il ministro degli Esteri Sikorski ha parlato di informazioni credibili su nuove azioni pianificate dalla Russia, citando nello stesso elenco incendi dolosi, attacchi ferroviari, ricognizioni sulle infrastrutture e intrusioni digitali (RMF24, Rzeczpospolita).

Non sono letture in contraddizione tra loro, ma superfici diverse della stessa campagna: rubare accessi, osservare le reti, mappare le dipendenze, colpire in modo selettivo e imporre costi agli Stati che sostengono l'Ucraina.

C'è una cautela da tenere presente: alcune accuse si fondano su intelligence classificata che i governi non possono rendere pubblica. L'attribuzione è una valutazione ufficiale, non una prova da aula di tribunale. Il ministero degli Esteri polacco ha richiamato una posizione dell'UE che collega operazioni distruttive al 16º Centro dell'FSB (WP). È una lettura plausibile e sostenuta dalle istituzioni, ma non pienamente verificabile dall'esterno.

Le leggi sono pronte, i router no

La risposta giuridica europea si è mossa rapidamente. L'idea alla base dei due strumenti principali, la direttiva NIS2 e il Cyber Resilience Act, è spostare la responsabilità verso l'alto: non più soltanto sull'ufficio IT, spesso sommerso, ma sui consigli di amministrazione e sui produttori di dispositivi (NIS2 Directive). La NIS2 rende i vertici aziendali legalmente responsabili della sicurezza informatica e irrigidisce gli obblighi di notifica degli incidenti in un numero più ampio di settori. Il Cyber Resilience Act interviene direttamente all'origine del problema di telecamere e router, imponendo ai produttori di mettere sul mercato prodotti con impostazioni di sicurezza adeguate, invece delle password di fabbrica (EUR-Lex CRA).

Il divario riguarda l'attuazione. Una direttiva non aggiorna all'istante ogni vecchio router né sostituisce ogni password predefinita. Il recepimento della NIS2 resta disomogeneo tra gli Stati membri. L'architettura è corretta; l'impianto, per restare alla metafora, non è ancora cablato fino in fondo.

Per i cittadini europei, il cambiamento è concettuale prima ancora che tecnico. La cybersicurezza non è più la pulizia d'emergenza dopo una violazione spettacolare, ma manutenzione dell'infrastruttura: rilevamento continuo, aggiornamenti, controllo dei fornitori, risposta agli incidenti. Meno appariscente di un singolo attacco da prima pagina, ma molto più difficile da sostenere nel tempo. La prossima prova non sarà capire se l'Europa abbia scritto le norme giuste, ma se vecchie telecamere, router non aggiornati e consigli di amministrazione impreparati siano davvero cambiati prima che la Russia decida di usare gli accessi che ha già costruito.