Il sostegno iraniano agli Houthi avrebbe assunto una dimensione sempre più direttamente operativa, andando più a fondo dei trasferimenti di sistemi d’arma, componenti e know-how, ma anche di informazioni di intelligence e di assistenza nell’individuazione degli obiettivi da colpire con missili e droni. È quanto ricostruisce il Wall Street Journal, che sottolinea come l’assistenza iraniana comprenderebbe addestramento, intelligence, indicazioni tattiche e supporto al targeting. Insomma, un insieme di capacità che avrebbe contribuito a rendere più sofisticata l’attuale campagna militare degli Houthi, sia all’interno dello Yemen sia contro obiettivi sauditi. Il gruppo ha colpito negli ultimi giorni aeroporti, infrastrutture energetiche e altri obiettivi nel Regno, mentre la pressione militare si è accompagnata a nuove avanzate sul terreno.

È quest’ultimo elemento a rendere particolarmente significativa la ricostruzione del Journal. Il rapporto tra Teheran e gli Houthi è da tempo uno degli assi della proiezione iraniana nella Penisola arabica, ma la disponibilità di informazioni necessarie a selezionare e ingaggiare gli obiettivi rappresenta un livello di cooperazione diverso rispetto alla sola fornitura di armamenti. Se il quadro delineato dalle intelligence saudita e yemenita fosse confermato nella sua interezza, l’Iran emergerebbe non soltanto come abilitatore materiale delle capacità Houthi, ma come moltiplicatore della loro efficacia operativa.

Ciò non significa, tuttavia, ridurre gli Houthi a una semplice estensione gerarchica di Teheran. Il movimento yemenita conserva una propria agenda politica, territoriale e militare e negli anni ha sviluppato capacità autonome. È proprio la combinazione tra autonomia locale e sostegno esterno a rendere il rapporto con l’Iran particolarmente efficace: Teheran può amplificare le capacità di un attore radicato sul territorio senza assumersi necessariamente la responsabilità politica e militare diretta delle sue operazioni. Una configurazione che resta coerente con la logica più ampia attraverso cui l’Iran ha costruito la propria rete regionale di partner armati.

Il terreno sul quale questa cooperazione assume oggi maggiore rilevanza è il Bab el-Mandeb. Il Wall Street Journal sottolinea come le recenti avanzate abbiano portato gli Houthi a controllare la costa yemenita affacciata sullo stretto, passaggio essenziale tra il Mar Rosso e il Golfo di Aden e uno dei principali chokepoint del commercio mondiale. Reuters aveva già riferito all’inizio di ottobre dei preparativi sauditi per un’offensiva volta proprio a ridimensionare il controllo Houthi lungo questo corridoio, con forze yemenite sostenute da raid e intelligence di Riad.

Gli Houthi hanno dimostrato di poter trasferire la competizione direttamente sul territorio saudita, colpendo infrastrutture la cui rilevanza è insieme economica e politica. Gli attacchi contro gli aeroporti sauditi e quello contro una struttura di Saudi Aramco a Dhahran hanno nuovamente mostrato quanto sia difficile proteggere simultaneamente una rete di obiettivi distribuita su un territorio vastissimo da minacce relativamente economiche e impiegabili in numero elevato.

Per Riad la sfida è dunque duplice. Sul piano militare, occorre impedire agli Houthi di consolidare una capacità di interdizione permanente sul Mar Rosso e di mantenere una pressione missilistica e attraverso droni contro il territorio saudita. Sul piano strategico, invece, la questione riguarda direttamente la sicurezza delle infrastrutture energetiche, dei collegamenti internazionali e, più in generale, l’immagine di stabilità sulla quale Mohammed bin Salman ha costruito una parte consistente della trasformazione economica del Regno.

La ricostruzione del Wall Street Journal aggiunge a questo quadro una variabile decisiva. Il valore dell’assistenza iraniana non risiederebbe soltanto nella quantità di armi trasferite agli Houthi, ma nella capacità di aumentarne precisione, consapevolezza situazionale e selezione degli obiettivi.

Sul monitor poteva apparire la pubblicità di un telefono, di un paio di auricolari o di un altro prodotto qualsiasi. Dietro quell’annuncio, però, poteva funzionare un secondo sistema, invisibile all’utente, capace di verificare chi stesse visualizzando la pagina, associarlo a identificativi pubblicitari e decidere se quel dispositivo fosse di interesse.

È il meccanismo ricostruito da Citizen Lab, centro di ricerca dell’Università di Toronto specializzato nella sorveglianza digitale, e dalla società di sicurezza pubblicitaria Confiant. Al centro dell’indagine c’è Discover-Tech, società israeliana attiva nel settore della pubblicità digitale che, secondo i ricercatori, avrebbe utilizzato l’ecosistema dell’ad tech per attività di sorveglianza su vasta scala. In alcuni casi, la stessa infrastruttura sarebbe stata impiegata per facilitare l’installazione dello spyware prodotto da Candiru.

Citizen Lab definisce il metodo AdFection e sostiene di aver documentato per la prima volta pubblicamente la consegna di spyware mercenario zero-click attraverso pubblicità mirate: l’utente non doveva necessariamente interagire con l’annuncio perché iniziasse la catena tecnica.

Come funzionava

Il sistema sfruttava meccanismi che appartengono al normale funzionamento della pubblicità digitale. Quando un annuncio veniva caricato, uno script poteva stabilire una connessione con un server controllato da Discover-Tech. Al server venivano trasmessi alcuni elementi utili a riconoscere l’utente o il dispositivo, tra cui l’indirizzo Ip e identificativi pubblicitari come cookie o mobile advertising ID.

A quel punto il server decideva cosa restituire. Per la grande maggioranza degli utenti poteva non accadere nulla di visibile. Se invece il dispositivo corrispondeva ai criteri di selezione, il sistema era in grado di restituire codice JavaScript specifico. È questa architettura ad aver permesso, secondo Citizen Lab e Confiant, di tenere separata la normale distribuzione dell’annuncio dalla fase più sensibile dell’operazione.

Un tradizionale tentativo di phishing richiede di trovare l’indirizzo o il numero del bersaglio, costruire un messaggio credibile e convincerlo a compiere un’azione. La pubblicità programmatica permette invece di sfruttare un sistema già progettato per trovare utenti molto specifici in mezzo a una platea enorme.

Non tutta l’attività attribuita a Discover-Tech avrebbe avuto come obiettivo l’installazione di spyware. Una parte importante riguardava, secondo i ricercatori, la capacità di identificare e seguire dispositivi attraverso l’ecosistema pubblicitario. È proprio questa distinzione a rendere il caso più interessante: l’infrastruttura può funzionare prima come strumento di raccolta e selezione e solo successivamente, contro un gruppo molto ristretto, come vettore per un’operazione offensiva.

Centoventimila siti e 75 mila applicazioni

Le dimensioni potenziali sono considerevoli. Citizen Lab sostiene che gli annunci riconducibili a Discover-Tech siano comparsi su oltre 120 mila siti web e 75 mila applicazioni. Confiant stima che la società distribuisse almeno dieci milioni di annunci al giorno e ritiene probabile che centinaia di milioni di persone siano entrate, in un modo o nell’altro, nel raggio dell’infrastruttura.

Questo non significa che centinaia di milioni di persone siano state infettate da spyware. È una distinzione necessaria. La diffusione degli annunci misura la superficie raggiunta dal sistema, non il numero delle compromissioni. Gli stessi ricercatori spiegano che gli annunci collegati direttamente a Candiru rappresentavano una parte molto ridotta del volume complessivo.

I casi accertati sono però significativi. Citizen Lab afferma di avere confermato la compromissione di 45 dispositivi Windows di Al Jazeera tra il 2024 e il 2025 attraverso spyware Candiru distribuito tramite questa tecnica. La verifica è stata possibile analizzando i log di rete messi a disposizione dall’emittente qatariota.

Da Al Jazeera alle reti istituzionali

Confiant afferma di averli individuati all’interno di centinaia di reti appartenenti a categorie sensibili, comprese quelle del Pentagono, dell’Agenzia internazionale per l’energia atomica e della Corte penale internazionale. Citizen Lab riferisce inoltre di avere elementi analoghi relativi a reti delle Nazioni Unite, della Nato, della Commissione europea e di oltre una dozzina di governi nazionali.

Anche in questo caso la presenza di un annuncio su una rete non dimostra automaticamente che l’organizzazione fosse l’obiettivo di un’operazione di spionaggio, né tantomeno che i suoi sistemi siano stati compromessi. Mostra però quanto facilmente un’infrastruttura nata per il marketing possa raggiungere ambienti che un servizio di intelligence tradizionale considererebbe obiettivi di particolare valore.

La vulnerabilità è nell’ecosistema

Discover-Tech poteva acquistare e distribuire pubblicità attraverso alcune delle più grandi infrastrutture del settore. Citizen Lab ricostruisce rapporti con piattaforme riconducibili, tra gli altri, a Google, Yandex, Comcast e Liftoff. Per anni la società era inoltre comparsa negli elenchi di fornitori approvati o certificati dell’industria pubblicitaria.

Dopo l’indagine, Google ha escluso Discover-Tech dalle proprie piattaforme per violazione delle policy. IAB Europe l’ha sospesa dai propri registri, mentre Beeswax, controllata da Comcast, l’ha rimossa dalla piattaforma e altri operatori hanno adottato misure analoghe. Discover-Tech e Candiru non hanno risposto alle richieste di commento inviate da Reuters prima della pubblicazione dell’inchiesta.

La questione posta dall’indagine è quindi più larga della singola società. Il real-time bidding, il sistema attraverso il quale uno spazio pubblicitario viene assegnato in frazioni di secondo, necessita per funzionare di una circolazione continua di informazioni sui dispositivi e sugli utenti. Dati concepiti per decidere quale pubblicità mostrare possono diventare, nelle mani di un operatore interessato alla sorveglianza, uno strumento per sapere dove si trova un determinato dispositivo, quando è online e attraverso quali applicazioni o siti può essere raggiunto.

Una nuova superficie per il controspionaggio

Per governi, aziende della difesa e infrastrutture critiche la conseguenza è meno banale di quanto possa sembrare.

Per anni la sicurezza dei dispositivi sensibili si è concentrata soprattutto sulle vulnerabilità software, sulle comunicazioni, sugli allegati e sui link sospetti. Il caso Discover-Tech suggerisce che anche l’infrastruttura commerciale che circonda la normale navigazione di un utente può diventare parte della catena di intelligence.

È la stessa ragione per cui il Pentagono, come ricordato da Reuters, ha già ricevuto segnalazioni sull’impiego di dati di localizzazione raccolti attraverso società pubblicitarie e data broker contro personale statunitense dispiegato in aree operative, spingendo alcune componenti delle forze armate a disabilitare il tracciamento pubblicitario su determinati dispositivi.

La pubblicità digitale non nasce per fare intelligence. Ma contiene due elementi che per l’intelligence hanno sempre avuto valore: la capacità di identificare un individuo e quella di raggiungerlo.

Il primo contatto arrivava su LinkedIn e aveva l’aspetto di una normale proposta professionale. I profili si presentavano come consulenti, ricercatori o intermediari legati a società e think tank, offrivano incarichi retribuiti e chiedevano inizialmente analisi su temi di politica, commercio o rapporti con la Cina. Solo in un secondo momento, una volta stabilito il rapporto e verificato il profilo dell’interlocutore, le richieste potevano diventare più mirate. È con questo sistema che una presunta rete riconducibile all’intelligence cinese avrebbe cercato di avvicinare funzionari pubblici, appartenenti alle forze dell’ordine ed esperti australiani.

ABC Investigations, che ha analizzato i dati acquisiti dall’Australian Federal Police (Afp) durante l’indagine su Alexander Csergo, l’uomo d’affari australiano condannato nel marzo scorso per reckless foreign interference. Secondo l’emittente pubblica australiana, due account LinkedIn attribuiti a presunti operatori dell’intelligence cinese avrebbero accumulato migliaia di collegamenti nel mondo e intercettato, tra il 2016 e il 2025, più di cento persone con legami professionali con l’Australia.

Dai think tank alle consulenze

Lo schema ricostruito dagli investigatori non prevedeva, almeno inizialmente, richieste esplicite di informazioni riservate. I profili si presentavano come rappresentanti di think tank o società di consulenza interessati ad acquistare analisi su commercio, politica internazionale e rapporti con la Cina.

Tra le persone finite nella rete dei contatti figuravano dipendenti o ex dipendenti del Department of Foreign Affairs and Trade, di Austrade, di Investment NSW, di Invest Victoria e di Tourism Australia. ABC ha inoltre individuato tra i profili un comandante dell’Australian Federal Police e l’ex premier del Queensland Steven Miles, oggi leader dell’opposizione nello Stato. Nel caso di Miles, tuttavia, l’emittente precisa di non aver individuato messaggi che dimostrino un rapporto con il profilo sospetto né elementi che indichino una sua risposta.

È una distinzione importante. Essere presenti nella rete di collegamenti di un account non significa essere stati reclutati, né tantomeno aver fornito informazioni. L’interesse del caso è piuttosto nella scala e nella sistematicità con cui sarebbero stati individuati profili professionali potenzialmente utili.

L’Afp sostiene che dietro l’operazione vi fosse il Ministry of State Security (Mss), il principale servizio di intelligence civile cinese. Secondo gli investigatori, identità fittizie sarebbero state impiegate per stabilire un primo rapporto, proporre incarichi remunerati e verificare progressivamente l’accesso della persona a informazioni o contatti di interesse. L’ambasciata cinese a Canberra ha respinto le accuse, definendole “entirely groundless” e contestando quella che considera una rappresentazione ingiustificata delle attività cinesi.

Il precedente Csergo

Il punto di contatto dell’indagine è Alexander Csergo. Nel novembre 2021, mentre viveva a Shanghai, Csergo era stato avvicinato su LinkedIn da un account intestato a “Vera Su”, che sosteneva di lavorare per una società chiamata Nesa Consulting e gli proponeva un incarico part-time sui rapporti commerciali tra Cina e Australia.

Da quel contatto sarebbe successivamente nato un rapporto con due persone conosciute come “Ken” ed “Evelyn”, per le quali Csergo preparò rapporti ricevendo pagamenti in contanti. Nel marzo 2026 è diventato la prima persona condannata in Australia per il reato di reckless foreign interference, la fattispecie introdotta nell’ordinamento australianonel 2018  che punisce chi, agendo in modo occulto o ingannevole in relazione a un soggetto straniero, accetta consapevolmente il rischio che la propria condotta possa sostenere attività di intelligence straniere o danneggiare la sicurezza nazionale.

Per un servizio di intelligence, infatti, il valore di una fonte non coincide necessariamente con il possesso immediato di documenti classificati. Informazioni apparentemente marginali possono acquistare rilevanza quando vengono aggregate, confrontate con altre fonti o utilizzate per comprendere reti decisionali, procedure interne e orientamenti di governo.

È lo stesso principio richiamato dall’Australian Security Intelligence Organisation (Asio) nelle proprie indicazioni sulle attività ostili di intelligence: anche informazioni considerate innocue isolatamente possono essere combinate per colmare lacune informative o individuare persone da sottoporre successivamente a un’attività di targeting.

L’allarme dei Five Eyes

Il 3 giugno scorso, Asio, Fbi, MI5, Csis canadese e intelligence neozelandese hanno pubblicato congiuntamente il bollettino “Safeguarding Our Secrets”, dedicato proprio all’impiego delle piattaforme professionali e dei portali di lavoro da parte dei servizi di intelligence militare cinesi.

Secondo l’avviso, gli operatori si presentano come dipendenti di società di consulenza, think tank o agenzie di recruiting, pubblicano offerte apparentemente legittime e selezionano persone che, per esperienza professionale o posizione, potrebbero avere accesso diretto o indiretto a informazioni utili. Tra i potenziali obiettivi non figurano soltanto militari e funzionari governativi, ma anche ricercatori, giornalisti, analisti e dipendenti di imprese attive nei settori della difesa, della sicurezza e dell’economia.

Il reclutamento, in questa prospettiva, diventa progressivo. Una prima analisi può riguardare materiale aperto; successivamente possono arrivare richieste di informazioni non pubbliche, domande sui contatti professionali o l’invito a trasferire la conversazione su altri canali. Il rapporto economico serve anche a normalizzare lo scambio e a creare nel tempo una relazione più strutturata sfruttando piattaforme come LinkedIn che offrono un catalogo continuamente aggiornato di competenze, incarichi, precedenti esperienze lavorative e reti relazionali, consentendo di individuare con costi minimi non soltanto chi possiede direttamente informazioni sensibili, ma chi si trova a uno o due passaggi da un determinato ambiente decisionale.

Il confronto sulla guerra in Ucraina è ormai anche un confronto sulla tenuta politica della Germania. Friedrich Merz lo ha detto con parole insolitamente nette al Bundestag, trasformando la dichiarazione di governo in vista del Consiglio europeo in un attacco alle forze che, alla destra e alla sinistra dello spettro politico, contestano il sostegno tedesco a Kyiv.

Come riporta Deutsche Welle, il cancelliere ha accusato l’Alternative für Deutschland e Die Linke di alimentare deliberatamente le divisioni interne e di cercare un vantaggio politico nel disordine. L’affondo è arrivato mentre Merz respingeva l’idea che le risorse destinate all’Ucraina venissero sottratte alla spesa sociale tedesca. “Non manca un solo euro” per le politiche sociali e per l’istruzione a causa dell’assistenza a Kyiv, ha sostenuto.

Il passaggio più significativo è quello riguardo la sicurezza. Per Merz la minaccia proveniente dalla Russia non appartiene più alla dimensione astratta della politica estera. Mosca, ha spiegato, sta mostrando una crescente disponibilità all’escalation non soltanto contro l’Ucraina, ma verso i Paesi dell’Europa orientale e la stessa Germania. La sintesi pubblicata dal governo federale conferma il punto: Berlino considera la sicurezza, la capacità di difesa e il sostegno all’Ucraina parti dello stesso problema strategico.

È su questo terreno che il cancelliere ha spostato il confronto dalla politica di bilancio alla vulnerabilità interna delle democrazie europee. Merz ha accusato AfD e Linke di continuare a minimizzare il quadro di sicurezza e di contribuire alla diffusione della disinformazione. L’impressione, ha detto rivolgendosi ai due estremi dell’emiciclo, è quella che alcune forze politiche interne vogliano il caos, perché da quel caos potrebbe derivare un vantaggio politico.

Nella lettura della cancelleria, la pressione esercitata dalla Russia sull’Europa riguarda anche la capacità di sfruttare fratture sociali, costi economici e divergenze politiche per ridurre nel tempo la disponibilità delle società europee a sostenere Kyiv e, più in generale, gli investimenti necessari alla propria sicurezza. Tattica che trova terreno fertile anche a Berlino: la Germania deve aumentare la propria capacità militare, sostenere l’Ucraina, rilanciare un’economia sottoposta a forti pressioni e contemporaneamente preservare il consenso necessario per finanziare questa trasformazione. La questione della sicurezza finisce così inevitabilmente per incrociarsi con quella della giustizia sociale, che Merz ha voluto mettere al centro della sua dichiarazione di governo.

Il cancelliere ha parlato della necessità di colmare contemporaneamente una “Sicherheitslücke”, una lacuna di sicurezza, e una “Gerechtigkeitslücke”, una lacuna di giustizia. Per il governo, dunque, contrapporre difesa e welfare significa impostare il problema in termini sbagliati: senza sicurezza, sostiene Merz, vengono meno anche le condizioni che permettono allo Stato di garantire prosperità, libertà e protezione sociale.

Lo scontro parlamentare rivela però quanto questa sintesi sia politicamente difficile. La linea del governo poggia sull’idea che la Germania debba assumersi costi maggiori per la propria sicurezza proprio mentre cresce una parte dell’elettorato che chiede di ridurre l’esposizione nella guerra e di concentrare le risorse all’interno. La politica russa diventa così una faglia – strumentalizzabile – della politica domestica tedesca. Berlino dovrà trovare una linea su quanto a lungo e con quali strumenti aiutare l’Ucraina, ricercando una strada concretamente percorribile per farlo impedendo che il costo della competizione con Mosca produca, all’interno della Germania, le condizioni politiche per rendere quella strategia insostenibile.