Vienna accusa l’FSB di cyber-spionaggio

Il 14 luglio il ministero degli Esteri austriaco ha convocato l'ambasciatore russo a Vienna. La protesta non riguardava commercio, energia o Nazioni Unite, ma un'intrusione informatica avvenuta tra la fine del 2019 e l'inizio del 2020 (Kurier/APA). Cinque anni tra l'attacco e l'accusa pubblica: non è lentezza burocratica, ma il tempo che i governi impiegano per verificare le prove, condividerle con gli alleati attraverso canali riservati e decidere insieme che indicare l'autore valga il costo diplomatico.

Un ministero degli Esteri non è una rete d'ufficio qualsiasi. Conserva dispacci delle ambasciate, istruzioni negoziali, valutazioni sulle intenzioni di altri governi, reti di contatti. Un servizio di intelligence che riesca ad accedere in silenzio a quei flussi non scopre soltanto che cosa abbia deciso un governo, ma come ragioni e dove sia diviso. Convocando l'ambasciatore, Vienna ha trasformato un'intrusione nascosta in una contestazione ufficiale da Stato a Stato.

I ladri che copiano le chiavi

L'attacco viene ora attribuito pubblicamente a Turla, un gruppo che ricercatori indipendenti e diversi governi collegano al Centro 16 dell'FSB russo (GovCERT Austria). Turla non agisce come una banda ransomware che blocca i file e chiede Bitcoin. Somiglia piuttosto a una squadra di ladri professionisti al servizio di un apparato di intelligence: non rompe una finestra per portarsi via la cassa, ma copia le chiavi, torna più volte, legge i fascicoli, fotografa i taccuini e lascia meno tracce possibile. Le ricerche di Google Threat Intelligence descrivono Turla come un ecosistema di raccolta informativa costruito proprio per ottenere questo tipo di accesso paziente a obiettivi strategici (Google Threat Intelligence).

L'Austria non si è mossa da sola. La convocazione rientrava in un pacchetto europeo coordinato di attribuzione e sanzioni, con cui l'UE, il Regno Unito e singoli Stati membri hanno indicato pubblicamente gli stessi gruppi cyber legati allo Stato russo (CyberScoop). La Francia è stata insolitamente esplicita: Parigi ha affermato che l'agenzia nazionale per la cybersicurezza, l'ANSSI, i servizi di intelligence e le unità cyber militari avevano indagato insieme sulle intrusioni e ricondotto la campagna di spionaggio al Centro 16 dell'FSB, noto anche come Unità 61240 (French Foreign Ministry). Un simile livello di dettaglio istituzionale è raro, perché equivale a mostrare la catena di competenze su cui poggia il giudizio. Anche la Germania ha convocato l'ambasciatore russo per quelle che Berlino ha definito «campagne cyber destabilizzanti» (Tagesschau). Mosca ha respinto tutte le accuse, giudicandole prive di fondamento.

Impronte che coincidono, non una pistola fumante

Nessun documento pubblico, da solo, prova il caso. Il fascicolo accessibile mostra piuttosto una convergenza: più governi e ricercatori indipendenti che, seguendo percorsi diversi, arrivano allo stesso attore. Il metodo somiglia a un'indagine penale costruita su prove sovrapposte più che su una confessione. I difensori confrontano le «impronte» del malware, cioè schemi di codice ricorrenti e riconducibili a un gruppo, verificano se gli stessi server e domini siano riapparsi in operazioni diverse e osservano gli orari di attività degli aggressori; nel caso di Turla, da tempo coincidono con l'orario d'ufficio di Mosca. Su questa base i governi aggiungono intelligence classificata, per esempio comunicazioni intercettate (Google Threat Intelligence, GovCERT Austria).

La cautela è necessaria: l'Austria non ha pubblicato un rapporto forense, una catena del malware o una mappa dell'infrastruttura. Chi legge dall'esterno non può ricostruire autonomamente le prove. È normale nelle attribuzioni fondate sull'intelligence, ma significa che la fiducia nel giudizio dipende dalla credibilità delle istituzioni più che da una dimostrazione pubblicamente verificabile.

Una pressione che si costruisce lentamente

La risposta giuridica dell'UE è la Decisione (PESC) 2026/1713 del Consiglio, che aggiorna un regime di sanzioni cyber creato nel 2019 (EUR-Lex). In pratica, le persone inserite in lista subiscono divieti di viaggio e congelamento dei beni sotto giurisdizione europea, mentre cittadini e imprese dell'UE non possono mettere fondi a loro disposizione. L'Alta rappresentante Kaja Kallas ha confermato che UE e Regno Unito stavano imponendo sanzioni contro il più ampio ecosistema cyber russo e che anche un rappresentante russo presso l'UE sarebbe stato convocato (EEAS).

Questi strumenti non faranno sparire Turla. Puntano a rendere la partecipazione all'ecosistema più costosa e più visibile. La Commissione europea inquadra l'approccio più ampio come «diplomazia cyber»: un insieme di dialogo diplomatico, misure preventive e restrizioni finanziarie punitive (European Commission).

Il caso olandese mostra perché il problema vada oltre i ministeri. A luglio, l'intelligence dei Paesi Bassi ha avvertito che attori statali russi avevano compromesso telecamere connesse a internet in tutta Europa per scopi militari (AIVD). Una telecamera violata vicino a un itinerario sensibile funziona come un binocolo nascosto lungo una strada di rifornimento. Il caso del ministero degli Esteri austriaco applica la stessa logica alle informazioni diplomatiche: l'aggressore osserva, impara e riutilizza ciò che trova.

A cambiare non è la minaccia, ma la disponibilità europea a indicare pubblicamente l'aggressore, sopportarne il costo diplomatico e costruire attorno a questa scelta un'architettura sanzionatoria. La prova sarà capire se i governi europei sapranno continuare ad attribuire, coordinarsi e sanzionare con una frequenza sufficiente perché gli operatori russi e i loro sponsor paghino un prezzo visibile. Una deterrenza fondata su prove classificate sarà sempre difficile da dimostrare in pubblico. Ma accumulare conseguenze, una convocazione e un congelamento di beni alla volta, è una postura diversa dal silenzio.