La guerra tra Russia e Ucraina va avanti sui più disparati fronti e un racconto raccolto dalla Bbc offre uno sguardo su uno dei suoi versanti più inosservati, quello delle reti clandestine che operano all’interno della Federazione Russa per conto dell’intelligence di Kyiv.

Nel documentario Shadowmen: Russians working with Ukraine, due cittadini russi – indicati con gli pseudonimi di “Ivan” e “Foma” – descrivono le attività che sostengono di svolgere a favore del Gur, il servizio d’intelligence militare ucraino, il quale ha confermato alla Bbc che entrambi lavorano per l’agenzia.

Ricognizione prima dei droni

Ivan sostiene di aver partecipato alla preparazione di operazioni contro infrastrutture militari russe, effettuando ricognizioni, individuando siti e predisponendo luoghi nei quali nascondere componenti destinati ai droni e altro materiale.

Secondo il suo racconto, queste attività avrebbero contribuito alla capacità ucraina di portare la minaccia direttamente in profondità sul territorio russo, contro bombardieri strategici, installazioni militari e strutture della produzione bellica. In un’occasione, racconta, sarebbe stato fermato per un controllo mentre trasportava esplosivi artigianali senza essere scoperto. La struttura operativa descritta è deliberatamente frammentata: pochi contatti, nessuna organizzazione visibile e conoscenza limitata degli altri partecipanti. Più che una tradizionale rete gerarchica, emerge infatti un sistema costruito secondo criteri di compartimentazione, nel quale la perdita di un singolo operatore dovrebbe compromettere il minor numero possibile di nodi. Una configurazione particolarmente adatta a un territorio nel quale gli apparati di sicurezza russi dispongono di capacità estese di sorveglianza e controspionaggio.

La Bbc sottolinea inoltre un elemento che conferisce interesse alla testimonianza di Ivan, senza tuttavia provarne tutte le affermazioni. Più di un anno prima del grande attacco ucraino condotto con oltre cento droni contro aeroporti che ospitavano bombardieri strategici russi, l’uomo aveva anticipato al giornalista l’esistenza di un’operazione di grandi dimensioni contro quella componente delle forze russe, senza indicarne né il luogo né la data.

Gli uomini sotto osservazione

Diverso è il ruolo attribuito a Foma. Russo, residente in esilio in Polonia, sostiene di gestire a distanza una rete di collaboratori incaricati soprattutto di attività di sorveglianza con l’obietttivo di raccogliere informazioni su ufficiali e personalità militari russe che possono risultare di interesse per il Gur.

Foma afferma che i suoi collaboratori non partecipano materialmente agli attacchi e che il loro compito termina con la raccolta e la trasmissione delle informazioni. Dopo l’eliminazione a Mosca del tenente generale Fanil Sarvarov, nel dicembre 2025, ha però riconosciuto di avere fornito informazioni sull’ufficiale agli ucraini, raccontando le difficoltà incontrate nel seguirne spostamenti e abitudini. Anche in questo caso, la Bbc chiarisce che Foma non aveva comunicato preventivamente ai giornalisti l’esistenza di un piano per colpire il generale.

Una rete difficile da misurare

Più difficile è stabilire la dimensione reale di questa infrastruttura umana. Foma parla di 300-500 cittadini russi coinvolti, a vario titolo, in attività a favore dell’Ucraina. Più rilevante del numero esatto è la logica operativa che emerge dalle testimonianze: reti ridotte, comunicazioni limitate, ricorso a operatori ideologicamente motivati ma anche, in altri casi, a persone pagate o persino inconsapevoli del ruolo svolto. Un autotrasportatore, per esempio, può contribuire a un’operazione senza sapere che il proprio carico è stato manipolato.

È il modello di una guerra nella quale la distanza tra fronte e retrovia è diventata progressivamente meno netta. Droni a lungo raggio e capacità clandestine non rappresentano due strumenti distinti, ma possono essere parti dello stesso ciclo operativo: intelligence sul terreno, preparazione logistica, selezione dell’obiettivo e attacco. Elementi che permettono a Kyiv di trasformare la profondità strategica russa in uno spazio contendibile, combinando tecnologia, intelligence e piccoli nuclei difficili da individuare.

Il sostegno iraniano agli Houthi avrebbe assunto una dimensione sempre più direttamente operativa, andando più a fondo dei trasferimenti di sistemi d’arma, componenti e know-how, ma anche di informazioni di intelligence e di assistenza nell’individuazione degli obiettivi da colpire con missili e droni. È quanto ricostruisce il Wall Street Journal, che sottolinea come l’assistenza iraniana comprenderebbe addestramento, intelligence, indicazioni tattiche e supporto al targeting. Insomma, un insieme di capacità che avrebbe contribuito a rendere più sofisticata l’attuale campagna militare degli Houthi, sia all’interno dello Yemen sia contro obiettivi sauditi. Il gruppo ha colpito negli ultimi giorni aeroporti, infrastrutture energetiche e altri obiettivi nel Regno, mentre la pressione militare si è accompagnata a nuove avanzate sul terreno.

È quest’ultimo elemento a rendere particolarmente significativa la ricostruzione del Journal. Il rapporto tra Teheran e gli Houthi è da tempo uno degli assi della proiezione iraniana nella Penisola arabica, ma la disponibilità di informazioni necessarie a selezionare e ingaggiare gli obiettivi rappresenta un livello di cooperazione diverso rispetto alla sola fornitura di armamenti. Se il quadro delineato dalle intelligence saudita e yemenita fosse confermato nella sua interezza, l’Iran emergerebbe non soltanto come abilitatore materiale delle capacità Houthi, ma come moltiplicatore della loro efficacia operativa.

Ciò non significa, tuttavia, ridurre gli Houthi a una semplice estensione gerarchica di Teheran. Il movimento yemenita conserva una propria agenda politica, territoriale e militare e negli anni ha sviluppato capacità autonome. È proprio la combinazione tra autonomia locale e sostegno esterno a rendere il rapporto con l’Iran particolarmente efficace: Teheran può amplificare le capacità di un attore radicato sul territorio senza assumersi necessariamente la responsabilità politica e militare diretta delle sue operazioni. Una configurazione che resta coerente con la logica più ampia attraverso cui l’Iran ha costruito la propria rete regionale di partner armati.

Il terreno sul quale questa cooperazione assume oggi maggiore rilevanza è il Bab el-Mandeb. Il Wall Street Journal sottolinea come le recenti avanzate abbiano portato gli Houthi a controllare la costa yemenita affacciata sullo stretto, passaggio essenziale tra il Mar Rosso e il Golfo di Aden e uno dei principali chokepoint del commercio mondiale. Reuters aveva già riferito all’inizio di ottobre dei preparativi sauditi per un’offensiva volta proprio a ridimensionare il controllo Houthi lungo questo corridoio, con forze yemenite sostenute da raid e intelligence di Riad.

Gli Houthi hanno dimostrato di poter trasferire la competizione direttamente sul territorio saudita, colpendo infrastrutture la cui rilevanza è insieme economica e politica. Gli attacchi contro gli aeroporti sauditi e quello contro una struttura di Saudi Aramco a Dhahran hanno nuovamente mostrato quanto sia difficile proteggere simultaneamente una rete di obiettivi distribuita su un territorio vastissimo da minacce relativamente economiche e impiegabili in numero elevato.

Per Riad la sfida è dunque duplice. Sul piano militare, occorre impedire agli Houthi di consolidare una capacità di interdizione permanente sul Mar Rosso e di mantenere una pressione missilistica e attraverso droni contro il territorio saudita. Sul piano strategico, invece, la questione riguarda direttamente la sicurezza delle infrastrutture energetiche, dei collegamenti internazionali e, più in generale, l’immagine di stabilità sulla quale Mohammed bin Salman ha costruito una parte consistente della trasformazione economica del Regno.

La ricostruzione del Wall Street Journal aggiunge a questo quadro una variabile decisiva. Il valore dell’assistenza iraniana non risiederebbe soltanto nella quantità di armi trasferite agli Houthi, ma nella capacità di aumentarne precisione, consapevolezza situazionale e selezione degli obiettivi.

Sul monitor poteva apparire la pubblicità di un telefono, di un paio di auricolari o di un altro prodotto qualsiasi. Dietro quell’annuncio, però, poteva funzionare un secondo sistema, invisibile all’utente, capace di verificare chi stesse visualizzando la pagina, associarlo a identificativi pubblicitari e decidere se quel dispositivo fosse di interesse.

È il meccanismo ricostruito da Citizen Lab, centro di ricerca dell’Università di Toronto specializzato nella sorveglianza digitale, e dalla società di sicurezza pubblicitaria Confiant. Al centro dell’indagine c’è Discover-Tech, società israeliana attiva nel settore della pubblicità digitale che, secondo i ricercatori, avrebbe utilizzato l’ecosistema dell’ad tech per attività di sorveglianza su vasta scala. In alcuni casi, la stessa infrastruttura sarebbe stata impiegata per facilitare l’installazione dello spyware prodotto da Candiru.

Citizen Lab definisce il metodo AdFection e sostiene di aver documentato per la prima volta pubblicamente la consegna di spyware mercenario zero-click attraverso pubblicità mirate: l’utente non doveva necessariamente interagire con l’annuncio perché iniziasse la catena tecnica.

Come funzionava

Il sistema sfruttava meccanismi che appartengono al normale funzionamento della pubblicità digitale. Quando un annuncio veniva caricato, uno script poteva stabilire una connessione con un server controllato da Discover-Tech. Al server venivano trasmessi alcuni elementi utili a riconoscere l’utente o il dispositivo, tra cui l’indirizzo Ip e identificativi pubblicitari come cookie o mobile advertising ID.

A quel punto il server decideva cosa restituire. Per la grande maggioranza degli utenti poteva non accadere nulla di visibile. Se invece il dispositivo corrispondeva ai criteri di selezione, il sistema era in grado di restituire codice JavaScript specifico. È questa architettura ad aver permesso, secondo Citizen Lab e Confiant, di tenere separata la normale distribuzione dell’annuncio dalla fase più sensibile dell’operazione.

Un tradizionale tentativo di phishing richiede di trovare l’indirizzo o il numero del bersaglio, costruire un messaggio credibile e convincerlo a compiere un’azione. La pubblicità programmatica permette invece di sfruttare un sistema già progettato per trovare utenti molto specifici in mezzo a una platea enorme.

Non tutta l’attività attribuita a Discover-Tech avrebbe avuto come obiettivo l’installazione di spyware. Una parte importante riguardava, secondo i ricercatori, la capacità di identificare e seguire dispositivi attraverso l’ecosistema pubblicitario. È proprio questa distinzione a rendere il caso più interessante: l’infrastruttura può funzionare prima come strumento di raccolta e selezione e solo successivamente, contro un gruppo molto ristretto, come vettore per un’operazione offensiva.

Centoventimila siti e 75 mila applicazioni

Le dimensioni potenziali sono considerevoli. Citizen Lab sostiene che gli annunci riconducibili a Discover-Tech siano comparsi su oltre 120 mila siti web e 75 mila applicazioni. Confiant stima che la società distribuisse almeno dieci milioni di annunci al giorno e ritiene probabile che centinaia di milioni di persone siano entrate, in un modo o nell’altro, nel raggio dell’infrastruttura.

Questo non significa che centinaia di milioni di persone siano state infettate da spyware. È una distinzione necessaria. La diffusione degli annunci misura la superficie raggiunta dal sistema, non il numero delle compromissioni. Gli stessi ricercatori spiegano che gli annunci collegati direttamente a Candiru rappresentavano una parte molto ridotta del volume complessivo.

I casi accertati sono però significativi. Citizen Lab afferma di avere confermato la compromissione di 45 dispositivi Windows di Al Jazeera tra il 2024 e il 2025 attraverso spyware Candiru distribuito tramite questa tecnica. La verifica è stata possibile analizzando i log di rete messi a disposizione dall’emittente qatariota.

Da Al Jazeera alle reti istituzionali

Confiant afferma di averli individuati all’interno di centinaia di reti appartenenti a categorie sensibili, comprese quelle del Pentagono, dell’Agenzia internazionale per l’energia atomica e della Corte penale internazionale. Citizen Lab riferisce inoltre di avere elementi analoghi relativi a reti delle Nazioni Unite, della Nato, della Commissione europea e di oltre una dozzina di governi nazionali.

Anche in questo caso la presenza di un annuncio su una rete non dimostra automaticamente che l’organizzazione fosse l’obiettivo di un’operazione di spionaggio, né tantomeno che i suoi sistemi siano stati compromessi. Mostra però quanto facilmente un’infrastruttura nata per il marketing possa raggiungere ambienti che un servizio di intelligence tradizionale considererebbe obiettivi di particolare valore.

La vulnerabilità è nell’ecosistema

Discover-Tech poteva acquistare e distribuire pubblicità attraverso alcune delle più grandi infrastrutture del settore. Citizen Lab ricostruisce rapporti con piattaforme riconducibili, tra gli altri, a Google, Yandex, Comcast e Liftoff. Per anni la società era inoltre comparsa negli elenchi di fornitori approvati o certificati dell’industria pubblicitaria.

Dopo l’indagine, Google ha escluso Discover-Tech dalle proprie piattaforme per violazione delle policy. IAB Europe l’ha sospesa dai propri registri, mentre Beeswax, controllata da Comcast, l’ha rimossa dalla piattaforma e altri operatori hanno adottato misure analoghe. Discover-Tech e Candiru non hanno risposto alle richieste di commento inviate da Reuters prima della pubblicazione dell’inchiesta.

La questione posta dall’indagine è quindi più larga della singola società. Il real-time bidding, il sistema attraverso il quale uno spazio pubblicitario viene assegnato in frazioni di secondo, necessita per funzionare di una circolazione continua di informazioni sui dispositivi e sugli utenti. Dati concepiti per decidere quale pubblicità mostrare possono diventare, nelle mani di un operatore interessato alla sorveglianza, uno strumento per sapere dove si trova un determinato dispositivo, quando è online e attraverso quali applicazioni o siti può essere raggiunto.

Una nuova superficie per il controspionaggio

Per governi, aziende della difesa e infrastrutture critiche la conseguenza è meno banale di quanto possa sembrare.

Per anni la sicurezza dei dispositivi sensibili si è concentrata soprattutto sulle vulnerabilità software, sulle comunicazioni, sugli allegati e sui link sospetti. Il caso Discover-Tech suggerisce che anche l’infrastruttura commerciale che circonda la normale navigazione di un utente può diventare parte della catena di intelligence.

È la stessa ragione per cui il Pentagono, come ricordato da Reuters, ha già ricevuto segnalazioni sull’impiego di dati di localizzazione raccolti attraverso società pubblicitarie e data broker contro personale statunitense dispiegato in aree operative, spingendo alcune componenti delle forze armate a disabilitare il tracciamento pubblicitario su determinati dispositivi.

La pubblicità digitale non nasce per fare intelligence. Ma contiene due elementi che per l’intelligence hanno sempre avuto valore: la capacità di identificare un individuo e quella di raggiungerlo.

Il primo contatto arrivava su LinkedIn e aveva l’aspetto di una normale proposta professionale. I profili si presentavano come consulenti, ricercatori o intermediari legati a società e think tank, offrivano incarichi retribuiti e chiedevano inizialmente analisi su temi di politica, commercio o rapporti con la Cina. Solo in un secondo momento, una volta stabilito il rapporto e verificato il profilo dell’interlocutore, le richieste potevano diventare più mirate. È con questo sistema che una presunta rete riconducibile all’intelligence cinese avrebbe cercato di avvicinare funzionari pubblici, appartenenti alle forze dell’ordine ed esperti australiani.

ABC Investigations, che ha analizzato i dati acquisiti dall’Australian Federal Police (Afp) durante l’indagine su Alexander Csergo, l’uomo d’affari australiano condannato nel marzo scorso per reckless foreign interference. Secondo l’emittente pubblica australiana, due account LinkedIn attribuiti a presunti operatori dell’intelligence cinese avrebbero accumulato migliaia di collegamenti nel mondo e intercettato, tra il 2016 e il 2025, più di cento persone con legami professionali con l’Australia.

Dai think tank alle consulenze

Lo schema ricostruito dagli investigatori non prevedeva, almeno inizialmente, richieste esplicite di informazioni riservate. I profili si presentavano come rappresentanti di think tank o società di consulenza interessati ad acquistare analisi su commercio, politica internazionale e rapporti con la Cina.

Tra le persone finite nella rete dei contatti figuravano dipendenti o ex dipendenti del Department of Foreign Affairs and Trade, di Austrade, di Investment NSW, di Invest Victoria e di Tourism Australia. ABC ha inoltre individuato tra i profili un comandante dell’Australian Federal Police e l’ex premier del Queensland Steven Miles, oggi leader dell’opposizione nello Stato. Nel caso di Miles, tuttavia, l’emittente precisa di non aver individuato messaggi che dimostrino un rapporto con il profilo sospetto né elementi che indichino una sua risposta.

È una distinzione importante. Essere presenti nella rete di collegamenti di un account non significa essere stati reclutati, né tantomeno aver fornito informazioni. L’interesse del caso è piuttosto nella scala e nella sistematicità con cui sarebbero stati individuati profili professionali potenzialmente utili.

L’Afp sostiene che dietro l’operazione vi fosse il Ministry of State Security (Mss), il principale servizio di intelligence civile cinese. Secondo gli investigatori, identità fittizie sarebbero state impiegate per stabilire un primo rapporto, proporre incarichi remunerati e verificare progressivamente l’accesso della persona a informazioni o contatti di interesse. L’ambasciata cinese a Canberra ha respinto le accuse, definendole “entirely groundless” e contestando quella che considera una rappresentazione ingiustificata delle attività cinesi.

Il precedente Csergo

Il punto di contatto dell’indagine è Alexander Csergo. Nel novembre 2021, mentre viveva a Shanghai, Csergo era stato avvicinato su LinkedIn da un account intestato a “Vera Su”, che sosteneva di lavorare per una società chiamata Nesa Consulting e gli proponeva un incarico part-time sui rapporti commerciali tra Cina e Australia.

Da quel contatto sarebbe successivamente nato un rapporto con due persone conosciute come “Ken” ed “Evelyn”, per le quali Csergo preparò rapporti ricevendo pagamenti in contanti. Nel marzo 2026 è diventato la prima persona condannata in Australia per il reato di reckless foreign interference, la fattispecie introdotta nell’ordinamento australianonel 2018  che punisce chi, agendo in modo occulto o ingannevole in relazione a un soggetto straniero, accetta consapevolmente il rischio che la propria condotta possa sostenere attività di intelligence straniere o danneggiare la sicurezza nazionale.

Per un servizio di intelligence, infatti, il valore di una fonte non coincide necessariamente con il possesso immediato di documenti classificati. Informazioni apparentemente marginali possono acquistare rilevanza quando vengono aggregate, confrontate con altre fonti o utilizzate per comprendere reti decisionali, procedure interne e orientamenti di governo.

È lo stesso principio richiamato dall’Australian Security Intelligence Organisation (Asio) nelle proprie indicazioni sulle attività ostili di intelligence: anche informazioni considerate innocue isolatamente possono essere combinate per colmare lacune informative o individuare persone da sottoporre successivamente a un’attività di targeting.

L’allarme dei Five Eyes

Il 3 giugno scorso, Asio, Fbi, MI5, Csis canadese e intelligence neozelandese hanno pubblicato congiuntamente il bollettino “Safeguarding Our Secrets”, dedicato proprio all’impiego delle piattaforme professionali e dei portali di lavoro da parte dei servizi di intelligence militare cinesi.

Secondo l’avviso, gli operatori si presentano come dipendenti di società di consulenza, think tank o agenzie di recruiting, pubblicano offerte apparentemente legittime e selezionano persone che, per esperienza professionale o posizione, potrebbero avere accesso diretto o indiretto a informazioni utili. Tra i potenziali obiettivi non figurano soltanto militari e funzionari governativi, ma anche ricercatori, giornalisti, analisti e dipendenti di imprese attive nei settori della difesa, della sicurezza e dell’economia.

Il reclutamento, in questa prospettiva, diventa progressivo. Una prima analisi può riguardare materiale aperto; successivamente possono arrivare richieste di informazioni non pubbliche, domande sui contatti professionali o l’invito a trasferire la conversazione su altri canali. Il rapporto economico serve anche a normalizzare lo scambio e a creare nel tempo una relazione più strutturata sfruttando piattaforme come LinkedIn che offrono un catalogo continuamente aggiornato di competenze, incarichi, precedenti esperienze lavorative e reti relazionali, consentendo di individuare con costi minimi non soltanto chi possiede direttamente informazioni sensibili, ma chi si trova a uno o due passaggi da un determinato ambiente decisionale.

 

Il confronto sulla guerra in Ucraina è ormai anche un confronto sulla tenuta politica della Germania. Friedrich Merz lo ha detto con parole insolitamente nette al Bundestag, trasformando la dichiarazione di governo in vista del Consiglio europeo in un attacco alle forze che, alla destra e alla sinistra dello spettro politico, contestano il sostegno tedesco a Kyiv.

Come riporta Deutsche Welle, il cancelliere ha accusato l’Alternative für Deutschland e Die Linke di alimentare deliberatamente le divisioni interne e di cercare un vantaggio politico nel disordine. L’affondo è arrivato mentre Merz respingeva l’idea che le risorse destinate all’Ucraina venissero sottratte alla spesa sociale tedesca. “Non manca un solo euro” per le politiche sociali e per l’istruzione a causa dell’assistenza a Kyiv, ha sostenuto.

Il passaggio più significativo è quello riguardo la sicurezza. Per Merz la minaccia proveniente dalla Russia non appartiene più alla dimensione astratta della politica estera. Mosca, ha spiegato, sta mostrando una crescente disponibilità all’escalation non soltanto contro l’Ucraina, ma verso i Paesi dell’Europa orientale e la stessa Germania. La sintesi pubblicata dal governo federale conferma il punto: Berlino considera la sicurezza, la capacità di difesa e il sostegno all’Ucraina parti dello stesso problema strategico.

È su questo terreno che il cancelliere ha spostato il confronto dalla politica di bilancio alla vulnerabilità interna delle democrazie europee. Merz ha accusato AfD e Linke di continuare a minimizzare il quadro di sicurezza e di contribuire alla diffusione della disinformazione. L’impressione, ha detto rivolgendosi ai due estremi dell’emiciclo, è quella che alcune forze politiche interne vogliano il caos, perché da quel caos potrebbe derivare un vantaggio politico.

Nella lettura della cancelleria, la pressione esercitata dalla Russia sull’Europa riguarda anche la capacità di sfruttare fratture sociali, costi economici e divergenze politiche per ridurre nel tempo la disponibilità delle società europee a sostenere Kyiv e, più in generale, gli investimenti necessari alla propria sicurezza. Tattica che trova terreno fertile anche a Berlino: la Germania deve aumentare la propria capacità militare, sostenere l’Ucraina, rilanciare un’economia sottoposta a forti pressioni e contemporaneamente preservare il consenso necessario per finanziare questa trasformazione. La questione della sicurezza finisce così inevitabilmente per incrociarsi con quella della giustizia sociale, che Merz ha voluto mettere al centro della sua dichiarazione di governo.

Il cancelliere ha parlato della necessità di colmare contemporaneamente una “Sicherheitslücke”, una lacuna di sicurezza, e una “Gerechtigkeitslücke”, una lacuna di giustizia. Per il governo, dunque, contrapporre difesa e welfare significa impostare il problema in termini sbagliati: senza sicurezza, sostiene Merz, vengono meno anche le condizioni che permettono allo Stato di garantire prosperità, libertà e protezione sociale.

Lo scontro parlamentare rivela però quanto questa sintesi sia politicamente difficile. La linea del governo poggia sull’idea che la Germania debba assumersi costi maggiori per la propria sicurezza proprio mentre cresce una parte dell’elettorato che chiede di ridurre l’esposizione nella guerra e di concentrare le risorse all’interno. La politica russa diventa così una faglia – strumentalizzabile – della politica domestica tedesca. Berlino dovrà trovare una linea su quanto a lungo e con quali strumenti aiutare l’Ucraina, ricercando una strada concretamente percorribile per farlo impedendo che il costo della competizione con Mosca produca, all’interno della Germania, le condizioni politiche per rendere quella strategia insostenibile.

Le autorità polacche hanno arrestato un uomo sospettato di aver pianificato un attacco contro il primo ministro Donald Tusk e il vicepremier e ministro della Difesa Władysław Kosiniak-Kamysz. La vicenda, ricostruita dalla BBC, ha mobilitato nel giro di poche ore polizia, servizi di sicurezza e apparato antiterrorismo polacco.

L’allarme è scattato domenica dopo che il Służba Ochrony Państwa (Sop), il servizio responsabile della protezione delle più alte cariche istituzionali, ha ricevuto informazioni riguardanti un possibile attentato. La segnalazione è stata trasmessa alla polizia, mentre al Centro antiterrorismo dell’Agencja Bezpieczeństwa Wewnętrznego (Abw), l’agenzia di sicurezza interna polacca, è stata convocata una riunione d’emergenza con i rappresentanti dei principali organismi coinvolti.

La valutazione iniziale non era quella di una minaccia generica. Jacek Dobrzyński, portavoce del coordinatore dei servizi speciali, ha spiegato che le autorità consideravano le informazioni ricevute particolarmente serie. Secondo quanto riferito dai media polacchi e ripreso dalla BBC, gli investigatori ritenevano che vi fosse una concreta possibilità che le minacce potessero tradursi in un’azione.

Il sospettato, arrestato, è un cittadino polacco sulla sessantina fermato nella regione della Bassa Slesia, identificato attraverso un’analisi dettagliata dei contenuti pubblicati online.

Riguardo il movente e l’eventuale esistenza di una rete alle spalle dell’uomo, le informazioni restano limitate. Le autorità non hanno fornito elementi sufficienti per stabilire se il sospettato intendesse agire da solo né hanno indicato, allo stato attuale, collegamenti con servizi stranieri o strutture organizzate.

Il contesto, tuttavia, spiega la rapidità della reazione di Varsavia. La Polonia vive da mesi con un livello di allerta elevato, determinato dalla guerra in Ucraina, dal ruolo centrale del Paese nella logistica militare occidentale e dal timore di operazioni ibride contro il fianco orientale della Nato. A settembre lo stesso Tusk aveva dichiarato in Parlamento, citando valutazioni di intelligence, che la Russia potrebbe ricorrere ad azioni con droni o missili contro i Paesi che sostengono Kyiv, presentandole eventualmente come incidenti per mettere alla prova la coesione dell’Alleanza. Mosca ha respinto le accuse occidentali sulle proprie attività ibride.

A rendere più sensibile il quadro europeo è anche quanto riportato dal Financial Times, che ha raccolto le valutazioni di funzionari appartenenti a cinque servizi d’intelligence del continente. Secondo queste fonti, Mosca starebbe ampliando le proprie operazioni ibride fino a contemplare tentativi di colpire direttamente dirigenti dell’industria europea della difesa, compresi manager di aziende più piccole impegnate nella produzione di droni e componentistica destinata all’Ucraina. Diverse società avrebbero rafforzato negli ultimi mesi le misure di protezione personale dei propri vertici su indicazione delle autorità.

 

Scoperti una macchina abbandonata nei pressi del perimetro, una piccola apertura nella recinzione e, alcune ore dopo, trovati due uomini all’interno di una delle installazioni più sensibili dell’architettura di intelligence occidentale nel Regno Unito. È successo nella base RAF Molesworth, nel Cambridgeshire, dove due cittadini lettoni di 36 e 32 anni, entrambi residenti nel Regno Unito, sono stati arrestati nella notte tra il 7 e l’8 ottobre.

A ricostruire la vicenda è la BBC, sulla base delle informazioni diffuse dalle autorità britanniche. Le ricostruzioni iniziano dall’allarme, scattato intorno alle 22 di mercoledì, quando una pattuglia della polizia ha individuato un veicolo abbandonato nelle vicinanze della base. Le ricerche, condotte insieme alla Cambridgeshire Constabulary, hanno successivamente portato alla scoperta di una breccia di dimensioni ridotte nella recinzione perimetrale. Intorno alle due del mattino i due uomini sono stati localizzati e arrestati all’interno dell’installazione.

In un primo momento sono stati fermati con l’accusa di ingresso non autorizzato in un sito proibito e danneggiamento. Successivamente è scattato un secondo arresto sulla base della sezione quarta del National Security Act del 2023, che riguarda l’ingresso in un luogo proibito per uno scopo potenzialmente pregiudizievole per il Regno Unito.

Perché Molesworth

RAF Molesworth costituisce un nodo dell’apparato di intelligence americano e alleato in Europa. La struttura ospita attività di analisi e comando degli Stati Uniti e un centro di intelligence della Nato. Qui opera anche il Joint Intelligence Operations Center Europe Analytic Center, legato allo United States European Command.

Dagli arresti di RAF Fairford, nel Regno Unito, è cresciuta l’attenzione sulla protezione delle installazioni militari. Motivo per il quale un ulteriore episodio che coinvolge una base della British Air Force solleva interrogativi e connessioni sulle quali indagare, ricostruire gli eventi e attribuire la responsabilità dei mandanti. Anche se, al momento, non ci sono dichiarazioni ufficiali che colleghino l’intrusione di Molesworth agli eventi di Fairford

I fatti di Molesworth evidenziano il perché la sicurezza delle basi militari europee sia al centro dell’attenzione. Negli ultimi anni, soprattutto dopo l’invasione russa dell’Ucraina, attorno a installazioni sensibili sono infatti aumentate le segnalazioni di droni, accessi sospetti, attività di osservazione e altri episodi difficili da interpretare nell’immediato.

Resta dunque da capire se l’intrusione sia stata il risultato di un’iniziativa estemporanea o se dietro vi fosse un obiettivo più preciso. È su questo che si concentreranno ora gli investigatori britannici. Fino a quando non emergeranno elementi ulteriori, ogni lettura più ampia resta prematura. Ma l’episodio conferma un dato ormai acquisito: attorno alle infrastrutture militari e di intelligence europee il margine per considerare certe anomalie come semplici incidenti si è progressivamente ristretto.

 

“Il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno”. Per Antonio Teti, esperto di intelligence, cybersecurity e intelligenza artificiale, è questa la lezione più importante del caso August Hanning, l’ex direttore del Bnd coinvolto in un’inchiesta che ipotizza un prolungato flusso di informazioni riservate dall’intelligence tedesca. Una vicenda che, al di là dell’esito giudiziario, apre interrogativi sulla sicurezza interna dei servizi, sulla tutela delle informazioni condivise tra alleati e sulla capacità delle agenzie europee di individuare in tempo le minacce provenienti dall’interno.

Professor Teti, perché il caso August Hanning sta provocando tanta preoccupazione in Germania?

Perché non stiamo parlando di un funzionario qualsiasi. August Hanning è stato presidente del Bundesnachrichtendienst, il Bnd, dal 1998 al 2005 e successivamente ha ricoperto importanti incarichi istituzionali. Parliamo quindi di una persona che ha conosciuto dall’interno la struttura, le procedure, gli uomini, le relazioni internazionali e soprattutto i meccanismi decisionali dell’intelligence tedesca. Secondo la ricostruzione della Procura federale, l’ipotesi investigativa riguarda un flusso di informazioni che si sarebbe protratto per molti anni. Se l’impianto accusatorio venisse confermato, ci troveremmo davanti a qualcosa di molto più complesso di una semplice sottrazione di documenti classificati. Avremmo un possibile canale informativo parallelo capace di trasferire all’esterno informazioni provenienti dal cuore dell’apparato intelligence tedesco. Naturalmente dobbiamo ricordare che siamo nella fase delle indagini e che le responsabilità dovranno essere accertate nelle sedi giudiziarie competenti.

Secondo gli investigatori sarebbero coinvolti quasi duemila documenti. È il numero a impressionarla maggiormente?

Non necessariamente. Il numero è certamente significativo, ma nell’intelligence la quantità non coincide automaticamente con il valore. Potrebbero esistere dieci documenti molto più importanti di mille altri. Quello che bisogna comprendere è la natura delle informazioni, il loro livello di classificazione, la loro provenienza, il periodo temporale al quale si riferiscono e soprattutto chi ne sia entrato eventualmente in possesso. C’è poi un elemento ancora più importante. Se si dispone per anni di un flusso costante di documenti provenienti da un servizio di intelligence, non si acquisiscono soltanto informazioni. Si può progressivamente ricostruire il modo nel quale quell’organizzazione pensa. Si comprendono le priorità informative, le aree geografiche di interesse, le minacce considerate più rilevanti, le capacità di raccolta, le lacune informative e persino il processo attraverso il quale l’intelligence viene trasferita al decisore politico. È quello che definirei una sorta di “reverse engineering” dell’intelligence.

Può spiegare meglio questo concetto?

Un servizio straniero non vuole semplicemente sapere cosa conosce il proprio avversario, ma vuole capire come arriva a conoscerlo. È una differenza fondamentale. Se riesco a ricostruire nel tempo quali informazioni raggiungono il vertice politico, posso comprendere quali siano le priorità dell’apparato, posso individuare eventuali lacune, posso intuire quali fonti siano particolarmente produttive e quali strumenti di raccolta vengano utilizzati. Soprattutto posso tentare di capire cosa il servizio “non sa”. Nell’intelligence, conoscere le lacune informative dell’avversario può essere persino più importante che conoscere ciò che sa. Ecco perché un archivio di quasi duemila documenti, se effettivamente fosse strutturato e distribuito lungo molti anni, potrebbe assumere un valore enormemente superiore alla somma dei singoli documenti.

Quindi il danno potrebbe andare oltre le informazioni contenute nei documenti?

Assolutamente sì e si stende su più livelli. Il primo livello riguarda il contenuto. Il secondo riguarda le fonti. Il terzo riguarda i metodi. Il quarto riguarda le relazioni. Il quinto, probabilmente il più importante, riguarda la capacità di ricostruire il sistema. Quando analizziamo una “intelligence compromise” dobbiamo evitare di ragionare come se stessimo analizzando esclusivamente un data breach informatico. Se vengono sottratti dei file da un’azienda, posso teoricamente quantificare il numero dei record compromessi. Nell’intelligence è molto più difficile. Un documento può contenere riferimenti indiretti a una fonte umana, a una capacità SIGINT, a una cooperazione internazionale o a un’operazione in corso. Combinando più documenti attraverso tecniche di analisi correlativa è possibile ottenere informazioni che nessuno dei singoli documenti conteneva esplicitamente. È il cosiddetto principio del “mosaico informativo”.

Uno degli aspetti più delicati riguarda i possibili destinatari stranieri. Quanto è importante stabilire chi abbia ricevuto le informazioni?

È probabilmente la domanda principale dell’intera indagine. Nel contrasto al riciclaggio si utilizza spesso l’espressione “follow the money”. Nel controspionaggio potremmo utilizzare l’espressione “follow the information”. Bisogna ricostruire l’intero percorso dell’informazione. Chi l’ha prodotta? Chi poteva accedervi? Chi l’ha estratta? Come è stata trasferita? Chi l’ha ricevuta? È stata trasformata in un rapporto? Quel rapporto è stato venduto? Chi lo ha acquistato? Il destinatario apparente coincideva con quello reale? E soprattutto bisogna verificare se le informazioni siano state ulteriormente trasferite. Perché un documento consegnato a una singola persona può successivamente entrare nell’ecosistema informativo di un apparato intelligence straniero e diventare accessibile a numerosi analisti. Da quel momento il controllo sull’informazione è definitivamente perduto. È stato fatto anche il nome dell’Azerbaigian. Su questo occorre essere estremamente prudenti. La Procura federale tedesca, nelle informazioni pubblicamente disponibili, non ha identificato ufficialmente i servizi stranieri ai quali sarebbero state destinate le informazioni. Sono emerse ricostruzioni giornalistiche che hanno indicato possibili collegamenti con l’Azerbaigian, ma Baku ha respinto tali ricostruzioni. Finché non emergeranno elementi investigativi più precisi, attribuire con certezza l’operazione a un determinato Paese sarebbe metodologicamente scorretto. Nell’intelligence l’attribuzione è una delle operazioni più complesse, e quando si parla di spionaggio, distinguere tra fatti, indizi, valutazioni analitiche e ipotesi è fondamentale.

Il caso potrebbe coinvolgere indirettamente anche altri servizi occidentali?

Potenzialmente sì, ed è uno degli aspetti che considero più delicati. Nessun grande servizio di intelligence occidentale opera isolatamente. Esistono scambi continui di informazioni tra servizi alleati. Germania, Stati Uniti, Regno Unito, Francia, Italia e gli altri Paesi NATO condividono informazioni, analisi, indicatori di minaccia e prodotti intelligence. Quindi bisognerà comprendere se tra i documenti eventualmente compromessi fossero presenti anche informazioni provenienti da servizi partner. Se così fosse, il problema non sarebbe più soltanto tedesco.

Quale potrebbe essere la reazione degli altri servizi?

Nel mondo dell’intelligence la fiducia è una valuta strategica. Quando un servizio consegna un’informazione particolarmente sensibile a un partner, deve essere ragionevolmente certo che quella informazione venga protetta. Se questa certezza diminuisce, anche temporaneamente, può cambiare il livello della cooperazione. Non significa necessariamente interrompere i rapporti. Sarebbe irrealistico, soprattutto tra alleati strategici, ma potrebbe cambiare la qualità delle informazioni condivise. Un servizio potrebbe decidere di compartimentare maggiormente alcuni prodotti, limitare temporaneamente la distribuzione di determinate informazioni o aumentare i livelli di controllo.

Il danno reputazionale, nel mondo dell’intelligence, può durare più a lungo del danno operativo. È questo, secondo lei, il vero rischio per il Bnd?

Uno dei principali. Il Bnd dovrà certamente ricostruire l’eventuale danno informativo, ma dovrà contemporaneamente proteggere la fiducia dei partner, e ciò rappresenta un lavoro estremamente complesso. Occorrerà probabilmente effettuare un vero e proprio “damage assessment”, ovvero identificare i documenti, classificarli per sensibilità, ricostruirne la distribuzione, verificare la presenza di informazioni provenienti da servizi alleati, identificare eventuali fonti compromesse e stabilire quali operazioni possano essere state indirettamente esposte. È un processo che potrebbe richiedere molto tempo.

Il caso Hanning può essere considerato un esempio di insider threat? 

Se le accuse fossero confermate, sarebbe un caso estremamente significativo di insider threat, proprio perché coinvolgerebbe livelli elevatissimi dell’organizzazione. Siamo abituati a immaginare la minaccia interna come il dipendente infedele che copia documenti o utilizza impropriamente le proprie credenziali. Ma esiste un insider threat molto più sofisticato. Un alto dirigente possiede qualcosa che nessun hacker può sottrarre facilmente: la conoscenza profonda dell’organizzazione. Conosce le persone, le procedure, i meccanismi informali, la cultura interna, il significato reale delle classificazioni, e soprattutto sa attribuire valore alle informazioni. Un documento apparentemente ordinario può assumere un’importanza enorme agli occhi di chi conosce il sistema nel quale quel documento è stato prodotto.

Ma Hanning aveva lasciato il Bnd molti anni prima.

Ed è precisamente questo uno degli aspetti più interessanti della vicenda. Quando un dirigente lascia un servizio di intelligence perde le proprie funzioni, ma non perde automaticamente il proprio capitale relazionale. Decenni trascorsi ai vertici dello Stato producono una rete di rapporti con funzionari, diplomatici, militari, uomini politici, imprenditori, dirigenti pubblici e rappresentanti di servizi stranieri. Questo patrimonio relazionale è perfettamente legittimo, ma dal punto di vista della sicurezza deve essere considerato. Per questo ritengo che il caso Hanning riaprirà inevitabilmente il dibattito sulla cosiddetta “post-employment security”, cioè sulla gestione del rischio collegato agli ex dirigenti delle strutture più sensibili dello Stato.

Bisognerebbe quindi controllare gli ex direttori dei servizi?

Non parlerei genericamente di controllo sulle persone, sarebbe una semplificazione pericolosa. Bisogna invece costruire regole chiare. Ad esempio, valutare eventuali conflitti di interesse, regolamentare determinati incarichi di consulenza, definire obblighi di comunicazione per alcune attività professionali e mantenere programmi periodici di sensibilizzazione sulla protezione delle informazioni classificate. Bisogna trovare un equilibrio tra libertà individuale e sicurezza nazionale, ma è evidente che un ex vertice dell’intelligence rappresenta, per tutta la vita, un patrimonio straordinario di conoscenze sensibili.

C’è anche un problema legato al mercato privato dell’intelligence?

Certamente. Negli ultimi vent’anni abbiamo assistito alla crescita di un enorme mercato della “private intelligence”. Ex funzionari dei servizi, militari, diplomatici e specialisti della sicurezza entrano nel settore privato mettendo legittimamente a disposizione competenze maturate nel settore pubblico. È un fenomeno globale, ma il problema nasce quando diventa difficile distinguere tra il patrimonio professionale dell’individuo e l’utilizzo di informazioni che appartengono allo Stato. È una linea che deve essere assolutamente netta. La consulenza privata può utilizzare esperienza, competenza, metodologia e capacità analitica, ma non può utilizzare informazioni classificate ottenute attraverso canali impropri.

C’è un aspetto del caso che la colpisce particolarmente?

Sì. La durata del presunto flusso informativo. Se venisse confermato che documenti classificati sono stati trasferiti per un periodo così lungo, la domanda non sarebbe soltanto: “Chi li ha trasferiti?”. La domanda diventerebbe: “Perché il sistema non se ne è accorto?” E questa è una domanda molto più difficile. Un comportamento illecito individuale riguarda una persona, ma un comportamento che riesce eventualmente a proseguire per anni può indicare anche una vulnerabilità organizzativa. Bisognerà capire quali controlli sugli accessi esistessero, quali log venissero conservati, quali sistemi di auditing fossero attivi e se vi siano stati segnali deboli che non sono stati identificati o correttamente interpretati.

La tecnologia e l’intelligenza artificiale possono aiutare a prevenire casi simili?

Moltissimo. I sistemi di “User and Entity Behavior Analytics” consentono già oggi di costruire profili comportamentali degli utenti e individuare anomalie. L’intelligenza artificiale permette di andare oltre. Può correlare accessi, download, interrogazioni dei database, spostamenti di file, orari di lavoro e altre variabili per identificare comportamenti anomali che, considerati singolarmente, potrebbero sembrare irrilevanti. Immaginiamo un funzionario che consulta cento documenti. Il numero in sé potrebbe essere perfettamente normale. Ma se quei documenti appartengono a settori non coerenti con il suo incarico, vengono consultati in determinati momenti e successivamente trasferiti o stampati, la correlazione degli eventi può generare un indicatore di rischio.

L’IA può quindi diventare uno strumento straordinariamente importante per il controspionaggio interno. Non c’è però il rischio di trasformare un servizio in una struttura di sorveglianza permanente dei propri dipendenti?

Certamente, ed è qui che entra in gioco la governance. La tecnologia non deve diventare un alibi per eliminare qualsiasi forma di proporzionalità. Servono regole, controlli, audit e una chiara definizione delle finalità. Ma dobbiamo anche essere realistici: chi lavora con informazioni dalle quali può dipendere la sicurezza nazionale opera inevitabilmente all’interno di un regime di sicurezza più rigoroso rispetto a quello applicabile a un normale ambiente lavorativo. Il principio dovrebbe essere quello dello Zero Trust, opportunamente adattato al mondo intelligence. Non significa non fidarsi di nessuno. Significa che la fiducia non può sostituire il controllo.

Nemmeno quando si parla dei vertici?

Soprattutto quando si parla dei vertici. Ed è questo il grande paradosso dell’intelligence. Più una persona sale nella gerarchia, maggiore è la fiducia che deve necessariamente ricevere. Ma contemporaneamente aumenta il danno che quella persona potrebbe provocare se quella fiducia venisse tradita. Per questo ritengo che una delle lezioni più importanti sia racchiusa nel principio “trust, but continuously verify”. Fidarsi, ma verificare continuamente. Il controllo non deve dipendere dalla posizione gerarchica. C’è un altro elemento singolare: l’inchiesta sarebbe emersa nell’ambito di un procedimento diverso. È un aspetto che merita molta attenzione. Secondo la ricostruzione della Procura federale, parte del materiale sarebbe stata individuata durante una perquisizione effettuata nel settembre 2025 nell’ambito di un altro procedimento e successivamente trasmessa alla Procura federale. Se questa dinamica venisse pienamente confermata, emergerebbe una domanda inevitabile: il presunto circuito sarebbe stato scoperto senza quell’indagine? È una domanda che qualsiasi organizzazione intelligence dovrebbe porsi. Non soltanto il Bnd.

Quindi il caso Hanning contiene una lezione anche per gli altri servizi europei?

Assolutamente sì. Sarebbe un errore considerarlo esclusivamente un problema tedesco. Ogni grande incidente intelligence deve essere studiato dagli altri servizi come un caso di scuola. Bisogna chiedersi: potrebbe accadere anche a noi? I nostri sistemi sarebbero in grado di rilevarlo? Quanto tempo impiegheremmo? Quali informazioni potrebbero essere compromesse? Come reagiremmo? È questo il valore dell’analisi comparativa nel controspionaggio.

Il contesto geopolitico rende la vicenda ancora più grave?

Senza dubbio. L’Europa si trova in una fase di competizione intelligence estremamente intensa. La guerra in Ucraina, il confronto con la Russia, la crescente assertività cinese, l’Iran, il terrorismo, le minacce ibride, la competizione tecnologica e le operazioni di influenza hanno aumentato enormemente l’importanza dell’intelligence. Contemporaneamente è aumentata la cooperazione tra i servizi occidentali. Questo significa che circola una quantità maggiore di informazioni, e più informazioni circolano, maggiore diventa la necessità di proteggerle.

Qual è allora la vera lezione del caso Hanning?

Che la sicurezza di un servizio segreto non può essere misurata soltanto dalla sua capacità di raccogliere informazioni. Deve essere misurata anche dalla capacità di proteggerle. Possiamo disporre dei migliori sistemi SIGINT, dei satelliti più sofisticati, dell’intelligenza artificiale più avanzata e delle migliori capacità cyber, ma alla fine rimane sempre l’elemento umano. La risorsa più importante dell’intelligence continua a essere la fiducia, ovvero fiducia tra funzionari, fiducia tra il servizio e il governo, fiducia tra apparati alleati. Se questa fiducia viene compromessa, soprattutto ai livelli più elevati, il danno può essere molto più profondo della perdita di un singolo documento classificato.

Quindi la domanda centrale non è soltanto quali segreti siano eventualmente usciti dal Bnd?

Esatto, bisogna certamente capire cosa sia eventualmente uscito, ma bisogna soprattutto capire dove sia arrivato, chi lo abbia utilizzato, quali decisioni possa aver influenzato, quali fonti possa aver compromesso, quali servizi alleati possano essere stati indirettamente coinvolti. E soprattutto se qualcuno, attraverso anni di informazioni, sia riuscito a comprendere meglio il funzionamento interno dell’intelligence tedesca, perché nel controspionaggio il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno. Ed è proprio per questo che, indipendentemente dall’esito giudiziario, il caso Hanning rappresenta già oggi un importante caso di studio per l’intera comunità dell’intelligence europea.