Il confronto sulla guerra in Ucraina è ormai anche un confronto sulla tenuta politica della Germania. Friedrich Merz lo ha detto con parole insolitamente nette al Bundestag, trasformando la dichiarazione di governo in vista del Consiglio europeo in un attacco alle forze che, alla destra e alla sinistra dello spettro politico, contestano il sostegno tedesco a Kyiv.

Come riporta Deutsche Welle, il cancelliere ha accusato l’Alternative für Deutschland e Die Linke di alimentare deliberatamente le divisioni interne e di cercare un vantaggio politico nel disordine. L’affondo è arrivato mentre Merz respingeva l’idea che le risorse destinate all’Ucraina venissero sottratte alla spesa sociale tedesca. “Non manca un solo euro” per le politiche sociali e per l’istruzione a causa dell’assistenza a Kyiv, ha sostenuto.

Il passaggio più significativo è quello riguardo la sicurezza. Per Merz la minaccia proveniente dalla Russia non appartiene più alla dimensione astratta della politica estera. Mosca, ha spiegato, sta mostrando una crescente disponibilità all’escalation non soltanto contro l’Ucraina, ma verso i Paesi dell’Europa orientale e la stessa Germania. La sintesi pubblicata dal governo federale conferma il punto: Berlino considera la sicurezza, la capacità di difesa e il sostegno all’Ucraina parti dello stesso problema strategico.

È su questo terreno che il cancelliere ha spostato il confronto dalla politica di bilancio alla vulnerabilità interna delle democrazie europee. Merz ha accusato AfD e Linke di continuare a minimizzare il quadro di sicurezza e di contribuire alla diffusione della disinformazione. L’impressione, ha detto rivolgendosi ai due estremi dell’emiciclo, è quella che alcune forze politiche interne vogliano il caos, perché da quel caos potrebbe derivare un vantaggio politico.

Nella lettura della cancelleria, la pressione esercitata dalla Russia sull’Europa riguarda anche la capacità di sfruttare fratture sociali, costi economici e divergenze politiche per ridurre nel tempo la disponibilità delle società europee a sostenere Kyiv e, più in generale, gli investimenti necessari alla propria sicurezza. Tattica che trova terreno fertile anche a Berlino: la Germania deve aumentare la propria capacità militare, sostenere l’Ucraina, rilanciare un’economia sottoposta a forti pressioni e contemporaneamente preservare il consenso necessario per finanziare questa trasformazione. La questione della sicurezza finisce così inevitabilmente per incrociarsi con quella della giustizia sociale, che Merz ha voluto mettere al centro della sua dichiarazione di governo.

Il cancelliere ha parlato della necessità di colmare contemporaneamente una “Sicherheitslücke”, una lacuna di sicurezza, e una “Gerechtigkeitslücke”, una lacuna di giustizia. Per il governo, dunque, contrapporre difesa e welfare significa impostare il problema in termini sbagliati: senza sicurezza, sostiene Merz, vengono meno anche le condizioni che permettono allo Stato di garantire prosperità, libertà e protezione sociale.

Lo scontro parlamentare rivela però quanto questa sintesi sia politicamente difficile. La linea del governo poggia sull’idea che la Germania debba assumersi costi maggiori per la propria sicurezza proprio mentre cresce una parte dell’elettorato che chiede di ridurre l’esposizione nella guerra e di concentrare le risorse all’interno. La politica russa diventa così una faglia – strumentalizzabile – della politica domestica tedesca. Berlino dovrà trovare una linea su quanto a lungo e con quali strumenti aiutare l’Ucraina, ricercando una strada concretamente percorribile per farlo impedendo che il costo della competizione con Mosca produca, all’interno della Germania, le condizioni politiche per rendere quella strategia insostenibile.

Esercitazione Hovedstad

Il tenente Fredrik Blanck se n’è accorto quasi per caso. Era la metà di settembre e circa cinquemila uomini e donne della Heimevernet, la Guardia nazionale norvegese, erano impegnati nell’esercitazione Hovedstad, «Capitale», che simulava la difesa dell’aeroporto di Oslo-Gardermoen in tempo di guerra. Per la carenza di mezzi di trasporto, le Forze armate avevano preso a noleggio alcune vetture civili, tra cui almeno due elettriche Deepal, marchio del gruppo statale cinese Changan. Scorrendo i menu del sistema di bordo, i militari hanno trovato ciò che nessuno aveva messo in conto: le telecamere perimetrali avevano registrato e conservato i volti dei soldati, i loro spostamenti e perfino le dita che digitavano i codici sui tastierini dei varchi militari.[1]

Le registrazioni sono state cancellate a esercitazione conclusa, e soltanto sulle auto dove era possibile farlo. Nessuno sa, però, se quei file siano rimasti nella memoria delle vetture o abbiano preso la strada di un server lontano. È esattamente questa incertezza, più ancora del fatto in sé, il cuore del problema. C’è poi un dettaglio che rende la vicenda quasi un apologo: la società di noleggio appartiene a Volvo Cars, a sua volta controllata dalla cinese Geely, che ha escluso qualsiasi rischio, ricordando che la condivisione di dati con la casa madre richiede una base giuridica. Formalmente ineccepibile. Ma il punto, come vedremo, non è la buona fede di un’azienda: è la legge cui quell’azienda, in ultima istanza, deve rispondere.

La teoria del mosaico

Si potrebbe archiviare l’episodio come un incidente tattico, rimediato cambiando i codici e rimproverando chi non ci aveva pensato. Sarebbe una lettura comoda e sbagliata. L’intelligence raramente vive di colpi di scena; vive di accumulo. Il volto di un caporale, l’orario in cui un convoglio lascia la caserma, il punto in cui un ufficiale parcheggia ogni mattina sono informazioni che, prese una alla volta, non valgono nulla. Messe insieme, raccontano chi comanda davvero, quali reparti si muovono prima di un’operazione, quali procedure si ripetono e dove si aprono le crepe. È ciò che gli analisti chiamano teoria del mosaico: la tessera isolata è insignificante, il disegno che compongono è un segreto di Stato. Nel 2018 bastò la mappa pubblica delle corse registrate da un’app di fitness per rivelare il perimetro e le abitudini di basi militari in mezzo mondo.[2] Nessuno aveva tradito nulla: avevano solo fatto jogging e scaricato i dati su di un’app che registra gli allenamenti, come fanno tanti sportivi.

Algoritmi, quanti e vantaggio decisionale

Quello che è cambiato, rispetto ad allora, è la scala. Per comporre un mosaico, un tempo servivano reti di informatori, pazienza e intere sale di analisti. Oggi servono sensori sempre accesi e algoritmi capaci di correlare milioni di punti dati eterogenei: la telemetria di un’auto, i metadati di un telefono, una ripresa satellitare, un registro doganale. L’intelligenza artificiale ricostruisce i grafi delle relazioni, individua i nodi di una catena di comando dal modo in cui i veicoli si muovono insieme, stabilisce la «routine» di una base e segnala la minima anomalia che precede un’operazione. Non si limita a descrivere il presente o a stimare il futuro: suggerisce al decisore la mossa migliore. È l’intelligence prescrittiva, quella che trasforma la conoscenza in vantaggio decisionale.

E c’è un orizzonte ulteriore. Le grandi potenze stanno già accumulando enormi volumi di traffico cifrato che oggi non possono leggere, secondo la logica che gli specialisti riassumono con la formula harvest now, decrypt later: raccogli ora, decifra dopo. Quando il calcolo quantistico sarà abbastanza maturo da piegare gli attuali standard di crittografia asimmetrica, quegli archivi diventeranno leggibili all’indietro. Ciò che oggi sembra al sicuro dietro una chiave RSA potrebbe tra qualche anno alimentare, con decenni di storia, i modelli di chi lo ha conservato.

Internet of Things ed i sensori della pubblica amministrazione

A questo punto la domanda torna inevitabilmente a casa nostra. Le auto norvegesi non sono un’eccezione, sono un campione. L’insieme della pubblica amministrazione, in Italia come altrove, acquista ogni giorno dispositivi connessi: videocamere di sorveglianza, inverter fotovoltaici sui tetti degli edifici pubblici, impianti di climatizzazione intelligenti, controlli d’accesso, stampanti di rete, droni per la protezione civile, auto di servizio. Ognuno di questi oggetti è un sensore, e molti dialogano regolarmente con i server del produttore per aggiornamenti e diagnostica. Lo ha scoperto, sempre in Norvegia, l’operatore dei trasporti di Oslo, Ruter, quando i test sui nuovi autobus elettrici di un costruttore cinese hanno mostrato che la casa madre poteva intervenire da remoto sui sistemi di controllo, fino a spegnerli.[3] C’è poi un paradosso che merita di essere detto con chiarezza: la pubblica amministrazione acquista, e paga di tasca propria, i dispositivi che potrebbero servire a spiarla. Per chi intendesse sfruttarli, quei sensori valgono più come fonte di informazioni che come merce. Il venditore può dunque permettersi di presentare in gara il prezzo più basso, perché per accedere a quei dati sarebbe disposto, in fondo, a pagare lui. Semmai, si guarderà bene dall’abbassarlo troppo, per non insospettire le sue potenziali vittime: uno sconto ben calibrato vince la gara, uno sconto eccessivo accende un campanello d’allarme. Se il criterio di aggiudicazione resta il massimo ribasso, l’asta finisce per premiare proprio chi ha interessi che vanno ben oltre la vendita, e la sicurezza diventa una voce che nessuno mette a bilancio.

Il nodo giuridico è noto. L’articolo 7 della legge cinese sull’intelligence nazionale del 2017 impone a organizzazioni e cittadini di sostenere, assistere e collaborare con l’attività informativa dello Stato.[4] Non serve immaginare un complotto per ogni inverter: basta sapere che, se Pechino chiedesse, nessuna azienda soggetta a quella legge potrebbe legalmente rifiutare. I dati apparentemente innocui, dunque, non lo sono affatto. Sono innocui soltanto finché qualcuno non decide di metterli insieme.

Le contromisure

Le contromisure esistono, e non richiedono di rinunciare alla tecnologia. Gli Stati Uniti hanno vietato con una regola del Bureau of Industry and Security l’hardware e il software di connettività provenienti da Paesi avversari nei veicoli connessi;[5] la Polonia ha escluso le auto di fabbricazione cinese dalle installazioni militari protette.[6] Ma oltre ai divieti servono abitudini e architetture: zone di esclusione attorno a basi e infrastrutture critiche; la mappatura di ogni chip e di ogni modulo SIM nelle forniture pubbliche; dispositivi fissi confinati in reti locali isolate, con firewall capaci di intercettare le «telefonate a casa» verso server stranieri; la disattivazione fisica di microfoni e moduli di trasmissione nei mezzi impiegati per scopi istituzionali; codici d’accesso che cambiano spesso e non si digitano davanti a una telecamera. E, nel lungo periodo, norme che obblighino a elaborare a bordo i dati di telecamere e sensori, cancellando quelli grezzi, una filiera europea di semiconduttori e sensoristica, e reparti di cyber-difesa che smontino e mettano alla prova i dispositivi commerciali prima che entrino in servizio.

Una comodità, non una spia

La lezione di Gardermoen è semplice e scomoda. La minaccia più insidiosa non ha l’aspetto di una spia, ma di una comodità: un’auto noleggiata in fretta perché mancavano i mezzi, una telecamera acquistata al ribasso, un pannello solare che si aggiorna da solo. Nell’era dell’Internet delle cose ogni oggetto racconta qualcosa di noi. Il problema non è impedirgli di parlare, ma decidere a chi, e prima che qualcun altro abbia già finito di comporre il mosaico.

[1] La vicenda è stata rivelata dal quotidiano norvegese Dagens Næringsliv e ripresa, tra gli altri, da Defence Blog, «Chinese-owned rental cars recorded Norwegian military drill», 12 ottobre 2026. L’esercitazione Øvelse Hovedstad si è svolta dal 14 al 18 settembre 2026.

[2] Il riferimento è alla «heatmap» globale pubblicata da Strava, che nel gennaio 2018 rese visibili i percorsi di allenamento del personale in basi militari in Siria, Afghanistan e altrove.

[3] Cfr. Fortune, «Tests showing Chinese-made buses can be stopped remotely prompt Norwegian pullback», 6 novembre 2025. Ruter ha annunciato requisiti di sicurezza più stringenti negli acquisti futuri e firewall per garantire il controllo locale dei mezzi.

[4] Legge sull’intelligence nazionale della Repubblica Popolare Cinese, adottata il 27 giugno 2017, art. 7.

[5] U.S. Department of Commerce, Bureau of Industry and Security, regola finale sulla sicurezza della catena di fornitura dei veicoli connessi, gennaio 2025.

[6] Il divieto di accesso dei veicoli di produzione cinese alle installazioni militari protette, adottato dalla Polonia nel febbraio 2026, è stato segnalato dalla Foundation for Defense of Democracies.

Tra l’8 e l’11 ottobre, tre attacchi ucraini condotti attraverso l’utilizzo di droni hanno colpito altrettanti data center di Yandex in territorio russo. Il primo ha raggiunto il polo di Sasovo, nella regione di Ryazan, dove l’impatto ha provocato un incendio e costretto la società a sospendere tutte le operazioni. Il giorno successivo, una nuova incursione – probabilmente con droni d’attacco monodirezionali FP-1 – ha danneggiato il data center di Kaluga, mettendone fuori servizio una parte. L’11 ottobre, infine, un ulteriore altro attacco sempre per mezzo di droni ha danneggiato l’infrastruttura del sito di Vladimir, determinandone la completa chiusura. In quattro giorni, in sostanza, sono stati colpiti tre dei cinque principali data center di una tra le principali e più rilevanti imprese tecnologiche russe.

Il sito di Sasovo, in particolare, ospita decine di migliaia di server e, secondo informazioni rese pubbliche in passato proprio da Yandex, anche due dei tre supercomputer utilizzati dalla società per sviluppare i propri modelli di intelligenza artificiale.

Seppure, almeno allo stato attuale, non sia possibile stabilire se quei sistemi siano stati danneggiati, né se la loro presenza abbia influito sulla scelta del bersaglio, non si può sottrarsi dall’analizzare come, in un arco temporale molto breve, questi attacchi abbiano interessato una parte consistente dell’infrastruttura fisica sulla quale poggiano il cloud di Yandex, numerosi suoi servizi digitali e alcune delle più importanti capacità russe nel campo dell’intelligenza artificiale.

Appare evidente, allora, come la capacità di calcolo di una nazione in guerra sia oggigiorno esposta in modo diretto alla dimensione cinetica di un conflitto armato.

Gli attacchi contro Yandex, peraltro, si inseriscono nella sequenza di azioni e reazioni iniziata a metà settembre scorso con la campagna russa contro le infrastrutture digitali ucraine sempre contro data center e infrastrutture tecnologiche di Kyivstar, Vodafone Ukraine, Datagroup, Cosmonova, Omega Telecom, Ukrtelecom e altri operatori. Il 27 settembre, ad esempio, sono stati danneggiati dieci data center a Kyiv e uno a Dnipro. Cosmonova ha comunicato che il proprio impianto non sarebbe più tornato operativo, mentre Omega Telecom ha riferito la distruzione delle apparecchiature del suo principale nodo tecnico.

Il ministero della Difesa russo ha sostenuto che alcune delle infrastrutture colpite fornissero capacità di comunicazione, elaborazione e conservazione dei dati alle forze armate ucraine, ma gli elementi accessibili al pubblico non permettono di verificare questa affermazione con riferimento ai singoli impianti. Ciò che appare evidente, invece, è come nella grammatica moderna di un conflitto armato sia ormai saldamente presente la volontà di colpire e incidere il più possibile su quei sistemi dai quali dipendono, allo stesso tempo, comunicazioni militari, servizi pubblici, attività economiche, pagamenti e meccanismi di allerta contro missili e droni. Peraltro, quando il presidente Zelensky ha dichiarato che l’Ucraina avrebbe risposto in modo speculare agli attacchi russi e ha ricondotto a questa logica anche l’azione contro Kaluga, ha reso esplicito il significato di quella campagna, ovvero come le infrastrutture digitali private siano ormai entrate nella logica dell’azione e della risposta militare, attraverso attacchi fisici capaci di produrre sulle reti, sui sistemi informativi e sui servizi informatici effetti estesi e tempi di ripristino ben più lunghi di quelli generalmente associati a molte operazioni cibernetiche.

Le imprese tecnologiche tra proiezione di potenza e scelta del bersaglio

Un precedente altrettanto rilevante si è verificato già nel marzo 2026, quando droni iraniani hanno colpito direttamente due strutture di Amazon Web Services negli Emirati Arabi Uniti, mentre un impianto in Bahrein ha subito danni per l’esplosione di un drone nelle vicinanze. UNIDIR ha qualificato quegli episodi come il primo caso documentato di attacco deliberato contro data center commerciali. Teheran, inoltre, ha apertamente incluso AWS, Microsoft, Google, IBM, Oracle e altre imprese tecnologiche tra i possibili obiettivi della propria ritorsione, sebbene non siano emerse pubblicamente prove dell’impiego militare delle aziende colpite.

Anche la scelta iraniana riflette una valutazione politica più ampia e da non sottovalutare nei conflitti armati moderni, secondo la quale le grandi imprese tecnologiche partecipano alla proiezione di potenza del Paese di origine anche quando operano nel territorio di uno Stato terzo.

Gli attacchi contro AWS, la campagna russa in Ucraina e la recente risposta di quest’ultima su Yandex indicano come questa postura tattico-operativa non sia più una mera ipotesi eccezionale. L’Iran ha cercato di esercitare pressione sugli Stati Uniti e sui loro partner tecnologici regionali, la Russia ha tentato di degradare i servizi sui quali poggiano la società e la difesa dell’Ucraina, mentre Kyiv ha rivolto la propria risposta contro l’impresa che concentra in Russia servizi cloud, applicazioni digitali e capacità di sviluppo dell’intelligenza artificiale. Pur nella diversità delle finalità, appare evidente come la scelta del bersaglio risenta – in tutti e tre i casi – della funzione attribuita all’impresa all’interno della potenza nazionale, anche quando la proprietà sia privata e gli utenti siano prevalentemente civili.

Occorre considerare, per di più, come il rapporto tra infrastrutture tecnologiche private e funzioni strategiche possa assumere forme diverse. Negli Stati Uniti, dove il contratto Joint Warfighting Cloud Capability consente al Dipartimento della Difesa di acquistare da Amazon, Google, Microsoft e Oracle servizi cloud destinati a ogni livello di classificazione e utilizzabili anche nel cosiddetto tactical edge, l’integrazione tra capacità tecnologiche commerciali e apparato militare risulta esplicita e formalizzata. Nel conflitto armato tra Russia e Ucraina, invece, la medesima integrazione si manifesta su entrambi i fronti in forme meno trasparenti e più difficili da ricostruire, poiché le infrastrutture private continuano a servire la popolazione civile, le imprese e le amministrazioni pubbliche, ma possono sostenere contemporaneamente comunicazioni, capacità di elaborazione e sistemi di conservazione dei dati rilevanti per lo Stato e per le forze armate. Questa sovrapposizione, infatti, riguarda tanto gli operatori ucraini colpiti dalla Russia quanto i data center di Yandex attaccati dall’Ucraina, che ospitano servizi cloud, applicazioni utilizzate da milioni di persone e risorse avanzate per lo sviluppo dell’intelligenza artificiale, senza che le informazioni pubblicamente disponibili consentano di accertare con sufficiente precisione il contributo concretamente fornito da ciascuna infrastruttura alle operazioni militari della rispettiva parte.

Considerati nel loro insieme, questi esempi mostrano come la proprietà privata e l’impiego prevalentemente civile non impediscano a una determinata infrastruttura di assumere rilevanza strategica o di concorrere, in circostanze specifiche, all’azione militare. Questo assunto, tuttavia, impone al contempo di dover evitare il ragionamento inverso, ovvero quello secondo cui il rapporto contrattuale con la difesa o l’importanza dell’impresa per l’economia nazionale siano elementi da soli sufficienti ad attribuire la medesima funzione a tutti i beni di cui si compone. La natura strategica o militare non può, in sostanza, essere estesa indistintamente all’intera organizzazione, ma deve essere accertata con riferimento alla funzione concretamente svolta da ciascun edificio, server o componente della rete.

La geografia fisica del cloud

È proprio la possibile compresenza di funzioni civili e militari nella medesima infrastruttura a rendere necessario considerare, come ulteriore approfondimento, la dimensione materiale del cloud e dell’intelligenza artificiale, troppo spesso nascosti dietro le semplificazioni giornalistiche e l’immagine di servizi accessibili ovunque. Il cloud, ad esempio, non elimina la dipendenza da luoghi e componenti fisici, ma organizza e distribuisce attraverso la rete risorse che continuano a essere concentrate in edifici identificabili e a dipendere da una catena composta da alimentazione elettrica, sistemi di raffreddamento, collegamenti in fibra, apparati di rete, forniture idriche e personale specializzato. Questa concentrazione è ancora più marcata nel campo dell’intelligenza artificiale, dove l’addestramento e l’esecuzione dei modelli più avanzati richiedono grandi quantità di energia e cluster composti da processori ad alte prestazioni (soprattutto GPU) collegati tra loro, la cui sostituzione o riallocazione non può avvenire rapidamente a causa della scarsità dei componenti, della complessità delle configurazioni e delle capacità infrastrutturali necessarie a sostenerli. La distribuzione logica dei dati e dei carichi di lavoro, quindi, può accrescere la resilienza del sistema, ma non elimina i punti di concentrazione materiale dai quali dipende la continuità delle sue funzioni.

Da questo stato di cose deriva una conseguenza operativa altrettanto rilevante: per ridurre o interrompere la capacità di calcolo dell’avversario non è sempre necessario distruggere in maniera mirata tutti i server e le infrastrutture che la producono. Il punto più vulnerabile può coincidere con il luogo che ospita gli apparati, con la sottostazione elettrica che ne garantisce l’alimentazione, con l’impianto di raffreddamento senza il quale le macchine non possono operare, così come con il collegamento in fibra o lo snodo di rete attraverso cui transita il traffico, sicché il danneggiamento di una singola dipendenza può compromettere un insieme di servizi molto più ampio rispetto all’area materialmente colpita.

La possibilità di produrre conseguenze così estese rende questi “nodi” particolarmente rilevanti per la pianificazione delle operazioni, senza che la loro utilità strategica ne determini automaticamente la qualificazione come obiettivi militari. Ciò spiega, al contempo, perché la protezione della capacità di calcolo di determinate infrastrutture tecnologiche non possa ormai essere più affidata soltanto alle misure di sicurezza informatica e di continuità operativa predisposte dalle imprese, ma richieda necessariamente il coinvolgimento dello Stato nel cui territorio esse sono situate.

Quando un data center diventa un obiettivo militare

Volendo analizzare brevemente i principali aspetti sul piano giuridico, la rilevanza attribuita a un’infrastruttura nella pianificazione delle operazioni militari o la sua importanza complessiva per il sistema tecnologico di una delle parti all’interno del conflitto non bastano da sole a qualificarla come obiettivo militare ai sensi del diritto internazionale umanitario. L’articolo 52, paragrafo 2, del I Protocollo aggiuntivo alle Convenzioni di Ginevra richiede che, affinché un bene possa essere qualificato come obiettivo militare, devono concorrere due condizioni cumulative. Esso, infatti, deve offrire, per natura, ubicazione, destinazione o impiego, un contributo effettivo all’azione militare e la sua distruzione totale o parziale, cattura o neutralizzazione deve procurare, nelle circostanze esistenti in quel momento, un vantaggio militare preciso. La valutazione, quindi, deve riguardare ciascuna infrastruttura nella sua concreta configurazione e nel momento in cui l’attacco viene pianificato, senza poter essere estesa automaticamente all’intera infrastruttura tecnologica, rete o servizio informatico, così come men che meno all’intera impresa che la gestisce. Peraltro, trattandosi di infrastrutture normalmente destinate anche a usi civili, dovrebbe trovare altresì applicazione la presunzione prevista dall’articolo 52, paragrafo 3, secondo la quale, in caso di dubbio circa il loro impiego a sostegno dell’azione militare, esse devono essere considerate come non utilizzate a tale scopo.

Per di più, la reciprocità dell’attacco armato non modifica gli obblighi derivanti dal diritto internazionale umanitario, ove l’articolo 52, paragrafo 1, del I Protocollo aggiuntivo alle Convenzioni di Ginevra vieta espressamente di fare dei beni di carattere civile oggetto di attacchi o rappresaglie, con la conseguenza che, ad esempio, l’eventuale illegittimità degli attacchi russi contro le infrastrutture civili ucraine non renderebbe lecito colpire, a titolo di rappresaglia, un data center civile in Russia.

Infine, anche qualora uno dei siti soddisfacesse i requisiti necessari per essere qualificato come obiettivo militare, ciò non renderebbe automaticamente lecito l’attacco, che dovrebbe rispettare comunque e sempre il principio di proporzionalità e gli obblighi di precauzione. L’articolo 51, paragrafo 5, lettera b), del I Protocollo aggiuntivo alle Convenzioni di Ginevra vieta gli attacchi armati dai quali possano prevedersi perdite incidentali di vite civili, lesioni ai civili o danni a beni di carattere civile eccessivi rispetto al vantaggio militare concreto e diretto atteso, mentre il successivo articolo 57 impone a chi pianifica o decide l’operazione di compiere tutto quanto sia concretamente possibile per verificare la natura militare del bersaglio, scegliere mezzi e metodi capaci di evitare o ridurre il danno incidentale e sospendere l’attacco qualora emerga che l’obiettivo non è militare o che le conseguenze previste sarebbero sproporzionate.

La capacità di calcolo come questione di sicurezza nazionale

Ad avviso di chi scrive, gli attacchi recenti contro i data center in Medio Oriente, Ucraina e Russia dimostrano che la protezione delle infrastrutture strategiche non può più essere organizzata meramente sulla base della loro titolarità pubblica o privata. Ciò, in quanto capacità essenziali per il funzionamento dello Stato, dell’economia e della difesa possono essere concentrate in beni appartenenti a operatori commerciali e, in alcuni casi, possono essere situate anche nel territorio di altri Paesi. Per comprendere quali infrastrutture debbano essere protette con maggiore priorità, lo Stato, quindi, non può più limitarsi a individuare gli operatori formalmente qualificati come critici, ma deve conoscere le funzioni concretamente sostenute da ciascun impianto, le sue dipendenze energetiche e di connettività, i punti nei quali si concentra la capacità di calcolo e le conseguenze che potrebbero derivare dalla perdita simultanea di più componenti. Soltanto una ricostruzione di questo tipo consente di stabilire quali siti debbano beneficiare di sistemi di allerta, sorveglianza fisica o protezione contro i droni, quali carichi di lavoro possano essere trasferiti in caso di attacco e quali comunicazioni debbano essere ripristinate per prime. Le imprese possiedono le informazioni tecniche indispensabili e possono rafforzare la resilienza dei propri sistemi, ma non dispongono degli strumenti militari necessari a proteggerli, né della legittimazione per bilanciare autonomamente la continuità dei servizi civili, le esigenze della difesa e i rapporti con gli Stati nei cui territori si trovano le infrastrutture. Decisioni, queste, che richiedono inevitabilmente una responsabilità pubblica chiaramente definita e meccanismi strutturati di condivisione delle informazioni.

Per l’Europa, gli attacchi contro queste infrastrutture spostano il problema oltre i termini nei quali è stato prevalentemente affrontato il tema della sovranità digitale, finora concentrato sul controllo dei dati e sulla dipendenza tecnologica dagli hyperscaler statunitensi. La questione riguarda ormai anche la protezione fisica della capacità di calcolo (così come di molto altro) e diventa particolarmente complessa quando l’impresa proprietaria, i soggetti che utilizzano i servizi e lo Stato nel cui territorio si trova l’infrastruttura appartengono a ordinamenti differenti.

La direttiva NIS 2, il regolamento DORA per il settore finanziario e la direttiva CER rafforzano, su piani differenti, la gestione dei rischi di cibersicurezza, la resilienza operativa digitale e la resilienza delle entità critiche anche rispetto a minacce ibride o di origine dolosa, ma non sono state concepite per stabilire quali impianti privati debbano beneficiare di protezione militare, come debbano essere assegnate le limitate capacità di difesa aerea e antidrone, oppure quando sia necessario separare i carichi civili da quelli militari per ridurre il rischio trasferito sulla popolazione. Non si tratta di una lacuna regolatoria in senso stretto, ma del punto nel quale la resilienza affidata agli operatori incontra la responsabilità degli Stati per la sicurezza nazionale e la difesa, rendendo necessari meccanismi di coordinamento che coinvolgano anche il Paese nel quale l’infrastruttura è materialmente localizzata.

Il sabotaggio avvenuto lo scorso 23 settembre contro una stazione terrestre Starlink nella Polonia centrale rende concreta questa esigenza, in quanto l’incendio ha colpito il sistema di alimentazione e il generatore di emergenza dell’impianto nel tentativo, secondo le autorità polacche, di interrompere servizi di connettività utilizzati anche dalle forze armate ucraine. Sebbene la responsabilità dell’azione non sia stata pubblicamente attribuita, l’episodio dimostra che la medesima funzione strategica può essere aggredita persino al di fuori del territorio nel quale si svolgono le operazioni militari, colpendo mediante strumenti clandestini non necessariamente l’infrastruttura digitale principale, ma una delle dipendenze fisiche dalle quali deriva il suo funzionamento. Il confine tra protezione delle infrastrutture critiche, contrasto al sabotaggio, risposta alle minacce ibride e difesa militare diventa così sempre meno netto, mentre resta indispensabile evitare che l’incertezza sull’autore o sulla natura dell’operazione conduca ad attribuzioni non sufficientemente dimostrate.

L’odierna vicenda Yandex conferma, in definitiva, che la dimensione fisica del potere digitale è entrata stabilmente nella guerra contemporanea. Server, sistemi di raffreddamento, collegamenti in fibra, stazioni terrestri e processori ad alte prestazioni, come le GPU, utilizzati per addestrare e far funzionare i modelli di intelligenza artificiale non costituiscono soltanto componenti dell’economia tecnologica, ma sostengono ormai servizi essenziali, funzioni pubbliche e capacità operative dalle quali dipende la sicurezza degli Stati. La loro protezione, quindi, non può essere affidata esclusivamente alla cibersicurezza e agli obblighi di resilienza imposti alle imprese, ma deve essere integrata nella pianificazione della difesa attraverso attività di intelligence, sistemi di allerta, protezione fisica, capacità di difesa antidrone e cooperazione con gli Stati che ospitano quelle infrastrutture.

Questa crescente rilevanza strategica non consente, tuttavia, di qualificare automaticamente come obiettivo militare ogni bene appartenente a un fornitore tecnologico, poiché la funzione concretamente svolta dal singolo impianto deve continuare a essere distinta dall’importanza complessiva dell’impresa o dal suo generico contributo alla potenza nazionale. La questione posta ai governi dagli attacchi degli ultimi mesi consiste, pertanto, nel proteggere la capacità di calcolo come risorsa essenziale per la sicurezza nazionale, preservando al tempo stesso una distinzione giuridica e operativa credibile tra le funzioni militari e i servizi civili che condividono le medesime infrastrutture.

Dalla capacità di compiere questa distinzione dipenderanno tanto la continuità dei servizi essenziali quanto la possibilità di sostenere le operazioni militari senza trasferirne in misura ancora maggiore i rischi sulla popolazione civile.

C’è anche l’Italia tra i Paesi che hanno deciso di schierarsi al fianco di Londra nell’attribuzione dell’incidente avvenuto il 27 settembre a RAF Fairford all’Iran. La dichiarazione pubblicata lunedì dal governo britannico porta la firma di 32 ministri degli Esteri, dagli Stati Uniti alla Germania, dalla Francia all’Australia.

L’attribuzione

I firmatari dichiarano infatti di riconoscere formalmente la valutazione del Regno Unito sul coinvolgimento iraniano nell’episodio che ha interessato la base britannica. Secondo Londra, il caso Fairford mostra ancora una volta la disponibilità dei Guardiani della Rivoluzione islamica, l’Irgc, a condurre attività ostili all’estero servendosi di “covert networks and proxy actors”, reti clandestine e intermediari.

È questo il cuore politico della dichiarazione. Non una generica denuncia delle attività iraniane, ma l’adesione di un gruppo ampio di alleati alla lettura fornita dall’intelligence britannica di un episodio avvenuto sul territorio del Regno Unito.

Da Fairford ai Guardiani della Rivoluzione

Il premier britannico Andy Burnham, intervenendo alla Camera dei Comuni, è andato ancora più avanti. Secondo la valutazione del governo, quanto accaduto a Fairford sarebbe stato con “alta probabilità” coordinato in Iran e “quasi certamente” diretto dai Guardiani della Rivoluzione.

Londra ha quindi promesso nuove misure per ridurre la capacità dell’Iran e dell’Irgc di condurre operazioni nel Regno Unito e ha annunciato un giro di vite sull’utilizzo delle reti criminali da parte di Teheran. È da tempo che i servizi occidentali osservano il ricorso iraniano a soggetti esterni agli apparati formali dello Stato: intermediari, gruppi criminali e attori locali che permettono di mantenere una distanza tra il committente e l’azione materiale. Una modalità che complica l’attribuzione, riduce l’esposizione diretta e rende più difficile stabilire dove finisca la criminalità comune e dove inizi un’operazione di Stato.

Nello stesso giorno il Foreign Office ha convocato l’ambasciatore iraniano e sanzionato due cittadini iraniani. Uno è Ruhollah Bazghandi, indicato da Londra come responsabile delle operazioni di controspionaggio dell’Irgc. L’altro è Shahram Ali Reza Tamarzadeh Jakki, descritto dal governo britannico come facilitatore della rete criminale Zindashti e coinvolto in diversi complotti contro dissidenti iraniani.

Il dossier

A giugno, 24 Paesi – compresa l’Italia – avevano firmato una dichiarazione sulle minacce riconducibili agli apparati di sicurezza iraniani. Il documento citava espressamente l’organizzazione di intelligence dei Guardiani della Rivoluzione, la Forza Quds e il ministero dell’Intelligence, accusandoli di aver promosso complotti e altre operazioni contro dissidenti iraniani, giornalisti e comunità ebraiche e israeliane in Europa, Nord America e Australia. Un passaggio sottolineava in particolare i rapporti, definiti di lunga data, tra i servizi iraniani e gruppi criminali locali e internazionali.

C’è poi il capitolo HAYI, Harakat Ashab al-Yamin al-Islamiya, noto nel Regno Unito anche come Islamic Movement of Companions of the Right. Il gruppo ha rivendicato una serie di attacchi in Europa contro obiettivi legati alle comunità ebraiche, ai media iraniani e agli interessi statunitensi. Londra lo ha sanzionato a luglio, ricordando le sette azioni che l’organizzazione aveva pubblicamente rivendicato nel Regno Unito.

La dichiarazione del 12 ottobre inserisce esplicitamente anche questa campagna nel quadro delle attività che i governi occidentali stanno osservando: assassinii, incendi dolosi, sabotaggi, attacchi informatici e altre operazioni ibride. È un modello che gli apparati di sicurezza europei incontrano sempre più spesso. Cambiano gli attori e cambiano gli obiettivi, ma il principio resta quello di operare sotto la soglia di un confronto diretto, sfruttando intermediari che rendano più opaca la catena di comando. E Fairford, nella valutazione britannica oggi condivisa anche dall’Italia, appartiene esattamente a questa zona grigia.

Non più soltanto sabotaggi, cyberattacchi e operazioni di disinformazione. La strategia di guerra ibrida del Cremlino sembra entrare in una fase ancora più aggressiva, nella quale l’eliminazione fisica dei dirigenti delle aziende europee della difesa diventa uno strumento di pressione geopolitica. Le rivelazioni del Financial Times delineano un’evoluzione delle operazioni clandestine russe che punta a colpire non soltanto le capacità produttive occidentali, ma anche la sicurezza personale, la libertà decisionale e la stabilità psicologica di chi sostiene l’apparato militare ucraino.

Dalla guerra ibrida alla neutralizzazione degli obiettivi umani

La guerra tra Russia e Ucraina sta progressivamente modificando anche la natura delle operazioni clandestine condotte sul territorio europeo. Non si tratta più esclusivamente di sabotare infrastrutture critiche, compromettere sistemi informatici, interferire con le catene logistiche o alimentare campagne di disinformazione, ma di condurre parallelamente operazioni di diverso tipo. Secondo quanto riportato dal Financial Times e sulla base delle informazioni raccolte presso cinque servizi di intelligence europei, Mosca starebbe intensificando le attività finalizzate all’eliminazione fisica di dirigenti e figure strategiche dell’industria europea della difesa. Un salto qualitativo che, se confermato nella sua effettiva estensione operativa, rappresenterebbe un’evoluzione significativa della strategia russa di destabilizzazione del continente. Di conseguenza, il bersaglio non è più soltanto l’infrastruttura industriale, ma l’individuo che ne governa il funzionamento, ovvero amministratori delegati, dirigenti, responsabili della produzione, specialisti tecnologici e figure chiave delle aziende impegnate nella realizzazione di sistemi d’arma destinati all’Ucraina. Sarebbero loro i nuovi “ingressi” nel perimetro degli obiettivi individuati dagli apparati clandestini russi. La logica strategica è evidente: colpire il capitale umano per compromettere la capacità industriale e decisionale dell’avversario. L’eliminazione o anche soltanto l’intimidazione di figure apicali può generare conseguenze che vanno ben oltre la singola azienda. Può rallentare programmi industriali, alterare investimenti, determinare la revisione delle politiche di sicurezza e soprattutto introdurre un elemento di paura permanente nelle strutture produttive che sostengono lo sforzo bellico ucraino. Si tratta, quindi, di una forma di coercizione strategica nella quale la minaccia individuale diventa uno strumento di condizionamento collettivo.

Il ruolo del GRU e il ritorno delle operazioni clandestine di eliminazione

Al centro delle preoccupazioni delle agenzie di intelligence europee figura il GRU, ovvero l’intelligence militare russa, storicamente impegnata nelle attività clandestine all’estero, nelle operazioni speciali e nelle azioni di sabotaggio. Secondo le ricostruzioni riportate dal quotidiano britannico, l’apparato starebbe adattando le proprie modalità operative, facendo maggiore ricorso a reti criminali, intermediari e strutture organizzative distribuite su più Paesi. Una particolare evoluzione delle attività di intelligence che presenta implicazioni rilevanti sotto il profilo dello spionaggio e del controspionaggio. L’utilizzo di organizzazioni criminali e soggetti esterni agli apparati istituzionali consente infatti di aumentare la distanza tra il decisore politico e l’esecutore materiale, complicando i processi di attribuzione delle responsabilità. È il principio della “plausible deniability”, cioè la negabilità plausibile, uno degli strumenti tradizionali delle operazioni clandestine. In questa prospettiva, il ricorso a reti criminali transnazionali non rappresenterebbe soltanto una soluzione operativa, ma anche una precisa scelta strategica finalizzata a rendere più difficile la ricostruzione della catena di comando. Particolarmente significativa appare anche la progressiva frammentazione delle attività operative. Secondo le fonti di intelligence citate dal Financial Times, le diverse fasi delle operazioni — ricognizione, logistica, pianificazione ed esecuzione — verrebbero affidate a cellule o individui differenti. Questa compartimentazione rende, di fatto, più complessa l’identificazione dell’intera struttura clandestina e riduce il rischio che l’arresto di un singolo operatore consenta di ricostruire l’organizzazione nel suo complesso. Purtuttavia, va precisato che non siamo necessariamente di fronte a una metodologia del tutto nuova. La separazione delle funzioni operative costituisce da decenni una caratteristica delle attività clandestine. La vera novità risiederebbe invece nella sua applicazione sistematica contro il tessuto industriale europeo, con una crescente integrazione tra intelligence militare e criminalità organizzata.

Il precedente Rheinmetall: quando il dirigente diventa un obiettivo strategico

A tal proposito, uno degli episodi più significativi è quello relativo ad Armin Papperger, amministratore delegato del gruppo tedesco Rheinmetall, tra i principali protagonisti dell’industria europea degli armamenti. Già nel 2024, secondo le informazioni emerse attraverso fonti di intelligence statunitensi e tedesche, sarebbe stato individuato un piano russo finalizzato alla sua eliminazione. Il caso assume un valore che supera la dimensione individuale, poiché Rheinmetall rappresenta proprio uno dei pilastri della capacità produttiva europea nel settore degli armamenti e delle munizioni, oltre a essere un attore industriale rilevante nel sostegno militare all’Ucraina. Colpire il suo amministratore delegato avrebbe significato trasmettere un messaggio inequivocabile all’intero comparto industriale occidentale: il sostegno militare a Kyiv può comportare conseguenze personali anche per i vertici delle aziende coinvolte. Il caso Papperger costituisce quindi un precedente particolarmente importante per comprendere l’evoluzione della minaccia. Secondo il Financial Times, lo stesso dirigente dispone oggi di una protezione continuativa garantita attraverso il coordinamento tra personale di sicurezza privato e forze di polizia. Un elemento che evidenzia come la minaccia non venga più considerata esclusivamente un problema di sicurezza nazionale, ma anche una questione di sicurezza aziendale e protezione delle persone.

La dimensione psicologica: terrorizzare senza necessariamente colpire

Ma l’aspetto più interessante delle rivelazioni del Financial Times riguarda la dimensione psicologica delle operazioni russe. Secondo una delle fonti di intelligence interpellate, l’obiettivo principale di Mosca non sarebbe necessariamente portare a termine ogni attentato pianificato, ma sarebbe sufficiente indurre i dirigenti europei a percepirsi come potenziali bersagli. Questo elemento introduce una componente di “cognitive warfare” particolarmente sofisticata. La minaccia, anche quando non si traduce in un’azione concreta, può produrre effetti operativi e strategici di grande rilevanza. Un dirigente che teme per la propria incolumità o per quella dei familiari potrebbe modificare le proprie abitudini, limitare gli spostamenti, ridurre l’esposizione pubblica o rivalutare il coinvolgimento della propria azienda in determinati programmi industriali. Analogamente, un’impresa potrebbe essere indotta a rinunciare a investimenti, modificare localizzazioni produttive o rallentare progetti ritenuti particolarmente sensibili. In questo contesto, la paura diventa un moltiplicatore degli effetti della minaccia. È una dinamica riconducibile alle “psyops”, nelle quali il risultato perseguito non coincide necessariamente con il danno materiale prodotto, ma con la trasformazione del comportamento del bersaglio. La pressione esercitata sull’individuo può dunque trasformarsi in pressione sull’organizzazione, sul settore industriale e, indirettamente, sulle decisioni politiche degli Stati europei. Si delinea così una forma di guerra psicologica selettiva, indirizzata non verso la popolazione nel suo complesso, ma verso gruppi ristretti di decisori strategici. La dimensione cognitiva diventa, in questo scenario, parte integrante dell’operazione clandestina.
Altro elemento particolarmente significativo riguarda l’estensione della minaccia alle imprese di dimensioni minori. Sempre secondo le informazioni raccolte dal Financial Times, l’attenzione degli apparati russi non sarebbe concentrata esclusivamente sui grandi gruppi industriali della difesa, poiché nel mirino figurerebbero anche aziende specializzate nella produzione di droni, componentistica elettronica e tecnologie utilizzabili nei sistemi militari. Si tratta di un passaggio fondamentale. La guerra in Ucraina ha dimostrato come l’innovazione tecnologica e la capacità di adattamento industriale non dipendano soltanto dai grandi produttori di armamenti, ma anche da piccole e medie imprese, start-up tecnologiche e aziende attive nei settori dell’elettronica, dell’intelligenza artificiale, dei sensori e dei sistemi autonomi, che costituiscono una componente essenziale delle moderne catene di approvvigionamento militare. Queste realtà, tuttavia, non dispongono generalmente delle stesse capacità di protezione dei grandi gruppi industriali. Di conseguenza la sicurezza fisica dei dirigenti, la protezione delle informazioni sensibili, la gestione delle minacce interne e la capacità di individuare attività di sorveglianza ostile possono risultare significativamente inferiori. Ne deriva una vulnerabilità strutturale in grado di produrre conseguenze rilevanti. Colpire una piccola azienda altamente specializzata può produrre effetti sproporzionati rispetto alle sue dimensioni, soprattutto quando essa rappresenta un fornitore difficilmente sostituibile all’interno di una filiera produttiva. È il cosiddetto principio della “vulnerability of critical nodes”. Ovvero la vulnerabilità dei nodi critici, che si concretizza in un concetto molto semplice: non necessariamente gli obiettivi più grandi sono quelli strategicamente più rilevanti.

Sorveglianza delle abitudini e nuove sfide del controspionaggio

Le fonti citate dal Financial Times riferiscono inoltre di attività sospette riconducibili alla ricostruzione delle abitudini quotidiane di potenziali obiettivi, sia nei luoghi di lavoro sia nelle residenze private. Nel linguaggio dell’intelligence, questa attività viene generalmente definita “pattern-of-life analysis” e si basa sull’analisi sistematica delle routine di un individuo, finalizzata a comprenderne comportamenti, spostamenti, relazioni e ricorrenze temporali. Tali informazioni possono essere impiegate per finalità differenti: dalla valutazione delle vulnerabilità personali alla preparazione di attività clandestine. L’aspetto più delicato riguarda oggi l’interazione tra sorveglianza fisica e disponibilità di informazioni digitali. Com’è noto, i social network, le piattaforme professionali, le fotografie pubblicate online, informazioni societarie e dati accessibili attraverso fonti aperte possono contribuire a ricostruire il profilo di un dirigente. L’eventuale impiego di sistemi di intelligenza artificiale potrebbe ulteriormente accelerare i processi di correlazione delle informazioni e di individuazione di regolarità comportamentali. È importante precisare che le rivelazioni del Financial Times non dimostrano uno specifico utilizzo dell’intelligenza artificiale nei piani descritti, ma va sottolineato che l’integrazione tra OSINT, analisi automatizzata dei dati e sorveglianza tradizionale costituisce una possibilità tecnologica che i sistemi di sicurezza devono necessariamente considerare. La protezione dei dirigenti non può quindi limitarsi alla presenza di personale di scorta, ma deve necessariamente comprendere la sicurezza delle informazioni, la riduzione dell’esposizione digitale, la tutela dei familiari e l’identificazione tempestiva di eventuali attività di sorveglianza ostile.

Il rischio per l’Italia e per la filiera nazionale della difesa

Le informazioni diffuse dal Financial Times pongono interrogativi rilevanti anche per l’Italia. Il nostro Paese dispone di un comparto industriale della difesa tecnologicamente avanzato, integrato nelle principali filiere europee e atlantiche. Grandi gruppi come Leonardo e Fincantieri, insieme a numerose piccole e medie imprese specializzate, operano in settori strategici quali l’aerospazio, l’elettronica militare, la cantieristica, la sensoristica e i sistemi di difesa, e la crescente integrazione delle catene produttive europee rende difficile distinguere tra obiettivi nazionali e obiettivi appartenenti al più ampio ecosistema industriale occidentale. Un’impresa italiana che produce componenti destinati a piattaforme militari europee può assumere rilevanza strategica anche senza intrattenere rapporti diretti con l’Ucraina. Naturalmente va precisato che attualmente non esistono, sulla base delle informazioni pubblicate, prove di specifici piani di assassinio contro dirigenti italiani, ma risulta oltremodo evidente che il sistema industriale nazionale non può considerarsi estraneo a una minaccia che viene descritta dai servizi europei come transnazionale. Sulla base di questa prospettiva, appare necessario rafforzare il coordinamento tra intelligence, apparati di sicurezza, autorità competenti e imprese strategiche. In particolare, la protezione dovrebbe estendersi oltre il tradizionale perimetro della cybersecurity, includendo la sicurezza fisica, la prevenzione delle infiltrazioni, la tutela delle figure apicali e l’analisi delle minacce ibride. Un ruolo importante potrebbe essere svolto anche attraverso programmi di sensibilizzazione rivolti alle aziende più piccole, spesso meno attrezzate a riconoscere segnali di interesse ostile da parte di soggetti collegati ad apparati stranieri.

La criminalità organizzata come strumento delle operazioni ibride

Il crescente ricorso a strutture criminali rappresenta un ulteriore elemento di preoccupazione. La possibile convergenza tra apparati di intelligence statali e criminalità organizzata modifica infatti i tradizionali schemi interpretativi della sicurezza europea. In passato, la distinzione tra spionaggio, criminalità organizzata e terrorismo consentiva, almeno sul piano analitico, di individuare categorie relativamente separate di minacce. Le moderne operazioni ibride tendono invece a sovrapporre questi ambiti, e una rete criminale può essere utilizzata per attività logistiche, intimidatorie o di sabotaggio senza che i suoi componenti conoscano necessariamente l’identità del committente finale o la finalità strategica dell’operazione. Per gli apparati di controspionaggio, ciò comporta un ampliamento significativo della superficie di rischio. Diventa necessario individuare non soltanto gli operatori riconducibili direttamente ai servizi stranieri, ma anche eventuali intermediari, facilitatori e soggetti criminali coinvolti nelle attività preparatorie. Questa evoluzione, anche in questo caso, impone una maggiore integrazione tra intelligence esterna, sicurezza interna, investigazioni criminali e cooperazione giudiziaria internazionale. Il problema non riguarda esclusivamente l’identificazione degli esecutori, ma soprattutto la ricostruzione delle relazioni tra mandanti, intermediari e reti operative.

Una nuova frontiera della sicurezza economica europea

Le minacce ai vertici dell’industria della difesa evidenziano infine una trasformazione più ampia del concetto di sicurezza economica. Nelle moderne competizioni geopolitiche, la capacità industriale non dipende soltanto dalla disponibilità di materie prime, tecnologie, capitali e infrastrutture, ma anche dalla continuità delle competenze manageriali e scientifiche che consentono alle organizzazioni di operare. Il capitale umano strategico diventa quindi un asset di sicurezza nazionale e, di conseguenza, proteggere un amministratore delegato, un ricercatore o un responsabile di programma industriale può assumere una rilevanza comparabile, in determinate circostanze, alla protezione di un impianto produttivo o di una rete informatica. È un cambiamento di approccio strategico che dovrebbe trovare adeguato riconoscimento anche nelle politiche europee di resilienza industriale. Le aziende della difesa devono necessariamente sviluppare modelli di sicurezza integrata, capaci di combinare intelligence sulle minacce, protezione fisica, cybersecurity, sicurezza del personale e continuità operative, anche per evitare che l’aumento della percezione del rischio produca un clima di allarme indiscriminato. La stessa intelligence europea, secondo quanto riportato dal Financial Times, ha evidenziato come alcune attività sospette possano rivelarsi prive di effettivi collegamenti con operazioni clandestine. La risposta dovrebbe quindi essere proporzionata, fondata su evidenze verificabili e accompagnata da una capacità analitica in grado di distinguere tra minacce concrete, indicatori preliminari e semplici coincidenze.

La vera posta in gioco: condizionare le decisioni dell’Europa

In conclusione, la questione centrale non riguarda soltanto la possibilità che Mosca organizzi operazioni contro singoli dirigenti europei, ma l’obiettivo politico e strategico che tali operazioni potrebbero perseguire. In un contesto di guerra prolungata, la Russia ha tutto l’interesse a ridurre la capacità occidentale di sostenere militarmente l’Ucraina, aumentando contemporaneamente i costi politici, economici e psicologici di tale sostegno. Di conseguenza, la minaccia contro i vertici industriali si inserirebbe perfettamente in una strategia più ampia di pressione sulle società europee. Non sarebbe necessario compromettere l’intero apparato produttivo occidentale, ma potrebbe risultare sufficiente generare incertezza, aumentare i costi della sicurezza, rallentare alcune decisioni e diffondere la convinzione che il coinvolgimento nella filiera militare ucraina comporti rischi personali difficilmente controllabili. Ed è esattamente in questo scenario che la guerra ibrida si fonde con la guerra cognitiva. L’obiettivo non è soltanto distruggere capacità materiali, ma influenzare percezioni, valutazioni del rischio e comportamenti decisionali.
Lo scenario che si potrebbe prospettare è quello di una possibile evoluzione della competizione clandestina tra Russia e Occidente: dalla pressione sulle infrastrutture alla pressione diretta sugli individui che governano le infrastrutture strategiche. È una trasformazione che imporrebbe di conseguenza, un aggiornamento delle politiche di controspionaggio, dei modelli di sicurezza aziendale e delle strategie europee di protezione industrial, poichè nella guerra ibrida contemporanea il bersaglio non è necessariamente ciò che si vuole distruggere, ma ciò che si vuole costringere a cambiare comportamento. E se i dirigenti dell’industria europea della difesa diventano obiettivi di operazioni clandestine, la posta in gioco non è più soltanto la loro sicurezza personale, ma la capacità dell’Europa di assumere decisioni strategiche senza subire il condizionamento della paura.

Stefan Thumann ha trentanove anni e da dicembre dello scorso anno non dorme mai a lungo nello stesso posto. Il fondatore di Donaustahl, piccola azienda bavarese che fornisce a Kyiv droni d’attacco e da ricognizione, fu avvertito dalle autorità tedesche, sulla base di una segnalazione arrivata da un servizio alleato, che l’intelligence russa stava preparando la sua eliminazione. Davanti alla sua casa di Straßkirchen era stato notato un uomo che filmava l’ingresso e fotografava la targhetta del citofono; poi una donna aveva proseguito la sorveglianza, cercando di risalire ai suoi spostamenti anche attraverso il padre. A marzo sono finiti in manette entrambi, un ucraino e una romena, con l’accusa di attività di spionaggio. Il mandato d’arresto non parla di omicidio, ma un deputato del Bundestag ha evocato apertamente il Novichok. Thumann, che nel frattempo ha scritto il testamento e vive sotto protezione continua, descrive la sua condizione come un duello per la vita con l’intelligence militare russa.[1]

L’allarme dei servizi europei

Quella di Thumann non è più una storia isolata. Il Financial Times ha raccolto le valutazioni di funzionari di cinque servizi di intelligence europei, concordi su un punto: amministratori delegati e dirigenti delle aziende della difesa sono diventati bersagli degli agenti del Cremlino, e l’omicidio di civili sul suolo europeo, a lungo considerato un tabù perfino dai servizi russi, sta entrando stabilmente nel loro repertorio. Non sono nel mirino soltanto i grandi gruppi, ma anche le imprese piccole e medie, in particolare quelle che producono droni e componenti. Diversi manager hanno raccontato al quotidiano di aver rafforzato la propria protezione ravvicinata negli ultimi sei mesi, su indicazione dei servizi governativi.[2]

Il precedente Papperger

Il precedente che ha fatto scuola risale al 2024, quando l’intelligence americana scoprì un piano per uccidere Armin Papperger, l’amministratore delegato di Rheinmetall, e avvertì Berlino in tempo per sventarlo. Allora sembrò un’anomalia; nel gennaio 2025 la NATO confermò ufficialmente che si trattava di uno dei diversi piani rivolti ai vertici dell’industria europea che sostiene l’Ucraina.[3] Oggi quel caso appare per ciò che era: il prototipo di un modello.

La lista di Mosca

Il salto di qualità ha una data. In estate il ministero della Difesa russo ha diffuso un elenco di ventuno aziende europee accusate di produrre o fornire droni all’Ucraina, e funzionari di Mosca le hanno indicate come possibili obiettivi. Il 23 luglio il Bundesamt für Verfassungsschutz ha diramato un avviso di sicurezza alle imprese: il rischio di spionaggio e sabotaggio russo contro il comparto è elevato, e non si possono escludere attacchi mirati contro singoli dipendenti, soprattutto ai livelli dirigenziali.[4] Una lista pubblica di nomi è al tempo stesso una mappa di bersagli per chi esegue e un messaggio intimidatorio per chi la legge.

Il metodo: agenti usa e getta

Il metodo merita attenzione. L’espressione wet work, che la stampa internazionale usa per queste operazioni, traduce il vecchio mokroe delo del gergo sovietico: il lavoro “bagnato”, cioè con spargimento di sangue. Ma la tecnica non è più quella degli ufficiali professionisti spediti a Salisbury nel 2018. Il GRU, e in particolare la sua unità 29155 a cui i servizi occidentali attribuiscono le operazioni più violente dell’ultimo decennio, preferisce oggi agenti “usa e getta”: piccoli criminali, giovani reclutati su Telegram, persone pagate pochi spiccioli in criptovaluta che spesso non sanno neppure per chi lavorano. Il compito viene frammentato: qualcuno pedina, qualcuno procura la logistica, qualcun altro dovrebbe agire. Così si ottiene la negabilità e si resta, deliberatamente, sotto la soglia che renderebbe inevitabile una risposta collettiva dell’Alleanza.

Il vero bersaglio è la decisione

Ma il cuore della strategia sta altrove. «L’obiettivo principale, dal punto di vista russo, resta psicologico», ha spiegato al Financial Times un funzionario d’intelligence: basta che le persone si sentano bersagli perché l’effetto sia raggiunto, e chi pensa di fare affari con l’Ucraina ci ripensi due volte.[5] È guerra cognitiva allo stato puro. Il vero obiettivo non è il corpo del manager, ma la decisione del suo consiglio d’amministrazione, la propensione al rischio dei suoi investitori, la scelta di una giovane start-up se partecipare o meno a una gara per Kyiv. Ogni scorta, ogni auto blindata, ogni trasloco precauzionale è una tassa occulta sul sostegno all’Ucraina, e pesa molto di più su un’impresa di cinquanta dipendenti che su un colosso quotato.

Il fronte polacco

Il fronte più caldo resta quello orientale. In Polonia, snodo logistico decisivo per gli aiuti a Kyiv, l’Agenzia per la sicurezza interna e la polizia hanno sventato ad agosto, all’ultimo momento, il piano per uccidere a Varsavia un cittadino con doppia nazionalità statunitense e ucraina; l’esecutore, un russo reclutato dai servizi di Mosca, era stato arrestato il 7 agosto. Donald Tusk ne ha tratto una conclusione senza giri di parole: bisogna dare per scontato che il regime cercherà di eliminare le persone scomode ovunque si trovino.[6]

L’Italia non è immune

E l’Italia? Le fonti della sicurezza nazionale riferiscono di non aver ricevuto segnalazioni specifiche su piani contro i vertici dell’industria della difesa italiana, e inquadrano il fenomeno nella minaccia ibrida costante che ci accompagna da oltre quattro anni. È una valutazione ragionevole, ma non va scambiata per una garanzia d’immunità. A luglio il Ros ha arrestato a Roma un ex appartenente all’AISI accusato di aver venduto informazioni riservate, compresi i nomi di agenti italiani, a un ufficiale del GRU sotto copertura diplomatica; il governo ha espulso due addetti militari russi e il ministro Crosetto ha parlato di una guerra latente e costante.[7] L’apparato di Mosca, insomma, è presente e attivo anche da noi.

Il punto debole: le piccole imprese

I grandi gruppi come Leonardo e Fincantieri dispongono di strutture di sicurezza solide; il punto debole è la filiera di piccole e medie imprese dei droni, dell’elettronica e dello spazio, i cui fondatori hanno profili pubblici, partecipano alle fiere e non hanno un responsabile della sicurezza. Per loro servirebbe ciò che in Germania già esiste: un canale strutturato con l’intelligence interna, avvisi periodici, formazione minima di sicurezza operativa.

La guerra dei data center

Intanto la guerra aperta si specchia in quella sotterranea. L’8 ottobre droni ucraini hanno colpito a Sasovo, nella regione di Rjazan’, il principale data center di Yandex, dove si trovano due dei tre supercomputer con cui l’azienda addestra i suoi modelli di intelligenza artificiale; il giorno dopo è toccato al centro di Kaluga. È la risposta alla campagna russa contro i data center ucraini delle settimane precedenti, «speculare», nelle parole di Zelensky.[8] La contesa si è spostata dalle trincee all’infrastruttura digitale e cognitiva, e alle persone che la progettano e la producono.

«Sappiamo dove abiti»

Il messaggio di Mosca ai manager europei è antico quanto i servizi segreti: sappiamo dove abiti. La risposta non può essere lasciata ai bilanci delle singole aziende. La sicurezza di chi costruisce gli strumenti della difesa europea è, a tutti gli effetti, sicurezza nazionale. E il modo migliore per disinnescare un’arma psicologica è negarle il risultato: continuare a produrre, firmare e consegnare.

 

[1]Die Zeit, 5 agosto 2026; intervista di S. Thumann a RTL e Stern, 18 agosto 2026; dichiarazioni del deputato Bastian Ernst riportate da n-tv. Il mandato d’arresto della Corte federale di giustizia contesta soltanto l’attività di agente per conto di un servizio straniero.

[2]Financial Times, inchiesta pubblicata l’11 ottobre 2026 sulla base delle valutazioni di funzionari di cinque servizi di intelligence europei.

[3]CNN, 11 luglio 2024; J. Appathurai (NATO), audizione presso la sottocommissione Sicurezza e difesa del Parlamento europeo, 28 gennaio 2025.

[4]Bundesamt für Verfassungsschutz, Sicherheitshinweis für die Wirtschaft, 23 luglio 2026 (dpa-AFX); Milano Finanza, 23 luglio 2026.

[5]Financial Times, 11 ottobre 2026, cit.

[6]Dichiarazioni del Primo ministro Donald Tusk, 13 agosto 2026.

[7]Ros dei Carabinieri – Procura della Repubblica e Procura militare di Roma, 7 luglio 2026; dichiarazioni del ministro Antonio Tajani, 9 luglio 2026, e del ministro Guido Crosetto.

[8]Reuters, 8 e 9 ottobre 2026.

Le autorità polacche hanno arrestato un uomo sospettato di aver pianificato un attacco contro il primo ministro Donald Tusk e il vicepremier e ministro della Difesa Władysław Kosiniak-Kamysz. La vicenda, ricostruita dalla BBC, ha mobilitato nel giro di poche ore polizia, servizi di sicurezza e apparato antiterrorismo polacco.

L’allarme è scattato domenica dopo che il Służba Ochrony Państwa (Sop), il servizio responsabile della protezione delle più alte cariche istituzionali, ha ricevuto informazioni riguardanti un possibile attentato. La segnalazione è stata trasmessa alla polizia, mentre al Centro antiterrorismo dell’Agencja Bezpieczeństwa Wewnętrznego (Abw), l’agenzia di sicurezza interna polacca, è stata convocata una riunione d’emergenza con i rappresentanti dei principali organismi coinvolti.

La valutazione iniziale non era quella di una minaccia generica. Jacek Dobrzyński, portavoce del coordinatore dei servizi speciali, ha spiegato che le autorità consideravano le informazioni ricevute particolarmente serie. Secondo quanto riferito dai media polacchi e ripreso dalla BBC, gli investigatori ritenevano che vi fosse una concreta possibilità che le minacce potessero tradursi in un’azione.

Il sospettato, arrestato, è un cittadino polacco sulla sessantina fermato nella regione della Bassa Slesia, identificato attraverso un’analisi dettagliata dei contenuti pubblicati online.

Riguardo il movente e l’eventuale esistenza di una rete alle spalle dell’uomo, le informazioni restano limitate. Le autorità non hanno fornito elementi sufficienti per stabilire se il sospettato intendesse agire da solo né hanno indicato, allo stato attuale, collegamenti con servizi stranieri o strutture organizzate.

Il contesto, tuttavia, spiega la rapidità della reazione di Varsavia. La Polonia vive da mesi con un livello di allerta elevato, determinato dalla guerra in Ucraina, dal ruolo centrale del Paese nella logistica militare occidentale e dal timore di operazioni ibride contro il fianco orientale della Nato. A settembre lo stesso Tusk aveva dichiarato in Parlamento, citando valutazioni di intelligence, che la Russia potrebbe ricorrere ad azioni con droni o missili contro i Paesi che sostengono Kyiv, presentandole eventualmente come incidenti per mettere alla prova la coesione dell’Alleanza. Mosca ha respinto le accuse occidentali sulle proprie attività ibride.

A rendere più sensibile il quadro europeo è anche quanto riportato dal Financial Times, che ha raccolto le valutazioni di funzionari appartenenti a cinque servizi d’intelligence del continente. Secondo queste fonti, Mosca starebbe ampliando le proprie operazioni ibride fino a contemplare tentativi di colpire direttamente dirigenti dell’industria europea della difesa, compresi manager di aziende più piccole impegnate nella produzione di droni e componentistica destinata all’Ucraina. Diverse società avrebbero rafforzato negli ultimi mesi le misure di protezione personale dei propri vertici su indicazione delle autorità.

 

C’è un dettaglio, nel rapporto che OpenAI ha pubblicato l’8 ottobre, che vale più di molte previsioni sul futuro della guerra cognitiva . Gli operatori russi dell’operazione battezzata “Dark Clark” non usavano ChatGPT soprattutto per fabbricare propaganda, ma per scrivere i rapporti destinati ai propri superiori. E in quei rapporti si attribuivano meriti che non avevano: rivendicavano come frutto del proprio lavoro argomenti che Buenos Aires sostiene da decenni sulle Malvinas, o servizi della stampa brasiliana che si limitavano a citare il video di un prigioniero. Un’operazione d’influenza rivolta, prima ancora che al pubblico latinoamericano, ai propri committenti a Mosca.

L’aneddoto non è folclore burocratico. Racconta con precisione che cosa sia oggi l’intelligenza artificiale (IA) nelle mani degli apparati che conducono la guerra ibrida: non un’arma nuova, ma un acceleratore di processi antichi. Lo scrive la stessa OpenAI: queste operazioni assomigliano in modo impressionante alle campagne complesse dell’era pre-IA, con la differenza che l’IA rende più agevoli alcuni passaggi del lavoro. Chi si aspettava la rivoluzione degli eserciti di bot onniscienti deve prendere atto che la vera innovazione è un’altra, ed è più insidiosa.

Dalla quantità alla credibilità

Il dato strategico più rilevante del rapporto non riguarda la tecnologia, ma la distribuzione. Analizzando le trenta operazioni d’influenza smascherate negli ultimi due anni e mezzo, OpenAI osserva che quelle affidate soltanto ai social network non superano la terza categoria della Breakout Scale, mentre quelle che riescono a collocare i propri contenuti in testate reali raggiungono la quarta e la quinta. «Dark Clark» è la prima operazione di categoria 5 mai interrotta dall’azienda; l’iraniana «Bogus Bylines» si è fermata alla quarta.

È la conferma di un passaggio d’epoca. La stagione di Doppelgänger, con i cloni dei siti di Le Monde e Der Spiegel e le campagne a pagamento per spingerli, puntava sul volume. La nuova stagione punta sulla facciata: un’entità credibile, un nome, una firma, un istituto, che possa bussare alla porta di una redazione o di una scuola e ottenere ciò che nessun bot può comprare, cioè la fiducia di un intermediario umano. È la logica delle «misure attive» sovietiche, aggiornata ai costi marginali quasi nulli della produzione testuale.

Tre architetture della finzione

La prima è il think tank con personale ignaro. Gli operatori russi controllavano il Social Research Center, una piattaforma di ricerca latinoamericana dedicata alla diaspora indiana e ai rapporti tra l’India e la regione, attraverso una persona fittizia, «Mia Clark». I dipendenti sul campo, a quanto risulta, non sapevano per chi lavorassero: intervistavano esperti e redigevano studi in buona fede, oltre sessanta articoli in gran parte originali. Intorno a questa facciata ruotavano i colpi veri. A maggio, una falsa e-mail della Direzione regionale dell’educazione di Lima ha invitato le scuole a celebrare l’Ucraina citando Stepan Bandera; alcune hanno risposto inviando le foto. La vicenda è rimbalzata sulla stampa peruviana e polacca, fino a provocare la proposta di un eurodeputato polacco di dichiarare persona non grata chi manifesta «antipolonismo». In Ecuador, un’altra e-mail falsa ha spinto alcune scuole a un giuramento di fedeltà al presidente Noboa e a Erik Prince, costringendo la ministra dell’Istruzione a una smentita pubblica. In Bolivia, nel pieno delle proteste, un falso audio attribuito a un dipendente dell’azienda idrica annunciava il taglio dell’acqua a La Paz. La filiera rimanda a «Politology», la struttura che diverse inchieste indicano come erede della galassia di Prigozhin, e il modello ricalca PeaceData, il falso giornale che nel 2020 reclutava reporter inconsapevoli.

La seconda architettura è il giornalista inesistente. «Bogus Bylines» ha gestito sette firme di presunti freelance occidentali, che dal luglio 2025 hanno collocato quasi cento articoli su oltre una dozzina di testate di politica internazionale, con un’impennata dopo lo scoppio della guerra tra Stati Uniti e Iran. ChatGPT serviva a confrontare le bozze con i criteri editoriali di ciascuna testata e a scrivere le e-mail di proposta ai direttori. Una delle testate contava quasi due milioni di follower su Facebook. È la versione industriale di Alice Donovan, la finta giornalista dietro cui operava l’intelligence militare russa nel 2016-17. Il dettaglio più istruttivo è che i commenti generati in serie sui social non hanno prodotto quasi nulla, mentre gli articoli firmati sono entrati nel circuito dell’informazione: la credibilità rende, il rumore no.

La terza è il think tank di cartapesta. L’International Burke Institute, smascherato ad agosto , si presentava come comunità di esperti con sede in Israele, esibiva un «indice di sovranità» che collocava la Russia davanti alle democrazie occidentali e annoverava tra i propri autori, a loro insaputa, nomi come Fukuyama e Chomsky. Qui l’IA serviva soprattutto alla promozione, mentre i contenuti erano in larga parte plagiati. Eppure ancora a settembre una testata online trattava quell’indice come uno strumento serio: il riciclaggio informativo funziona anche quando la facciata è fragile.

Che cosa fa davvero l’IA

Se si scompone il lavoro di queste reti, il contributo dell’intelligenza artificiale è riconoscibile e circoscritto. Offre fluidità linguistica, perché un operatore a Mosca può chiedere di tradurre un testo in spagnolo ecuadoriano o di imitare lo stile di un ufficio pubblico peruviano. Offre conformità editoriale, perché un pezzo può essere tagliato su misura per le linee guida di ogni redazione. Offre scala, perché una piccola cellula può mantenere vive più identità contemporaneamente. E offre una burocrazia a basso costo: rendiconti, presentazioni, metriche gonfiate per chi paga.

Il vantaggio è un’asimmetria di costi. Produrre una facciata credibile costa sempre meno, mentre verificarla costa sempre di più a redazioni sottodimensionate, scuole, amministrazioni e piattaforme. Ma il punto vulnerabile non è tecnologico. È istituzionale: la fiducia con cui un preside esegue una circolare, la disponibilità di una piccola testata a pubblicare un collaboratore gratuito, l’assenza di qualsiasi controllo sull’identità di chi propone un articolo. La guerra cognitiva contemporanea non attacca le menti una per una; attacca i protocolli di fiducia attraverso cui le società si informano. E la frontiera successiva è già visibile: la rete «Pravda», inondando il web di contenuti pensati più per i crawler che per i lettori, ha mostrato come il bersaglio del riciclaggio informativo possa diventare la macchina stessa, il chatbot che poi restituisce quei contenuti come fatti .

La lezione per chi difende

La prima lezione è che l’esposizione pubblica funziona. Alice Donovan e PeaceData cessarono le attività dopo essere state smascherate, perché un’operazione fondata sulla copertura non sopravvive alla perdita della copertura. L’attribuzione tempestiva e documentata è un deterrente, a condizione che governi, piattaforme, aziende di IA e ricercatori condividano le informazioni invece di custodirle ciascuno nel proprio silo.

La seconda è che la difesa va spostata sugli intermediari. Servono procedure minime di verifica dell’identità dei collaboratori esterni nelle redazioni, sistemi di autenticazione della posta elettronica nelle amministrazioni e nelle scuole, canali rapidi di smentita istituzionale. Sono misure poco spettacolari, ma colpiscono proprio il punto in cui queste operazioni trasformano una falsità in un fatto pubblico.
La terza riguarda chi analizza. Gli operatori gonfiano il proprio impatto per compiacere i superiori: l’analista che prende per buone quelle rivendicazioni, o che descrive ogni campagna come un successo devastante, completa il lavoro dell’avversario. L’obiettivo di fondo della guerra cognitiva è la sfiducia generalizzata, l’idea che nulla sia credibile. Sopravvalutare il nemico serve quella causa quanto sottovalutarlo.

Resta un paradosso che merita attenzione. Affidando ai modelli linguistici la propria contabilità interna, gli operatori hanno aperto una finestra sul loro back office: il rapporto scritto per il capo è stato letto anche da chi li osservava. L’intelligenza artificiale moltiplica la capacità offensiva, ma lascia tracce. Per i servizi e per le democrazie la sfida dei prossimi anni sarà imparare a leggerle prima che una falsa circolare arrivi in una scuola italiana.

Per approfondire:

Dietro le quinte della guerra cognitiva. Come Mosca istruisce i suoi narratori italiani

Contro la guerra cognitiva russa serve una contro-narrativa. L’analisi di Pagani

L’Ombra del Cremlino. Anatomia della guerra cognitiva russa dall’Italia all’Europa

Se oggi andate in un qualsiasi supermercato potete comprare con pochi euro un vasetto di noce moscata. Nel Seicento, invece, lo stesso vasetto valeva una fortuna dato che quella stessa spezia era uno dei beni più preziosi e ricercati d’Europa. La noce moscata, infatti, era considerata un lusso raro e dalle qualità quasi miracolose, al punto che mercanti, navigatori e avventurieri erano disposti a rischiare la vita pur di procurarsela. Il suo valore crebbe ulteriormente nell’Inghilterra elisabettiana, quando molti medici iniziarono a sostenere che la noce moscata potesse rappresentare una difesa efficace contro la peste, la terribile epidemia che “iniziava con uno starnuto e finiva con la morte”. Convinti delle sue proprietà terapeutiche, i ceti più ricchi la cercavano con frenesia, contribuendo a trasformarla in una delle spezie più costose e ambite dell’epoca. Ma partiamo dalla pianta.

MYRISTICA FRAGRANS

Il nome botanico Myristica fragrans deriva dal greco myron, termine che indicava balsami, oli e unguenti profumati, mentre fragrans proviene dal latino fragrare, cioè “emanare profumo” o “essere odoroso”. Questa fragranza sarebbe dovuta soprattutto al linalolo, una sostanza naturale appartenente agli alcoli terpenici, nota per il suo profumo floreale con leggere note speziate. Quanto al nome comune “noce moscata”, secondo una delle interpretazioni più diffuse deriverebbe dal termine medievale nuces muscatae, cioè dal profumo e aroma muschiato della spezia, simile a quello delle uve moscate. Secondo altri studiosi, invece, il nome deriverebbe da Mascate, capitale dell’Oman, antico centro dei commerci delle spezie: “moscata” significherebbe quindi “proveniente da Mascate”.

LE ISOLE DI BANDA

In realtà la noce moscata è originaria delle Isole di Banda, un gruppo di dieci piccole isole vulcaniche situate nell’omonimo Mar di Banda, facenti parte del grande arcipelago indonesiano delle Molucche, e sono state l’unica fonte di produzione di noce moscata fino alla metà del diciannovesimo secolo.

I PRIMI COMMERCI

Le origini del commercio della noce moscata risalgono a un’epoca remota, quando le Isole Banda, ancora ricoperte da foreste incontaminate, furono raggiunte dai primi navigatori provenienti da Giava. In seguito, mercanti cinesi e arabi integrarono l’arcipelago in una vasta rete commerciale che collegava il Sud-est asiatico ai mercati del Medio Oriente e del Mediterraneo. Furono soprattutto gli arabi a diffondere la preziosa spezia verso occidente, facendola giungere nei grandi centri commerciali del Levante, dell’Egitto e di Costantinopoli, dove veniva acquistata dai mercanti della Repubblica di Venezia. Tuttavia, né i veneziani né molti degli intermediari coinvolti conoscevano con certezza la reale provenienza della spezia. Se qualcuno ne era a conoscenza, preferiva custodire gelosamente il segreto. Si sapeva soltanto che arrivava da terre lontane d’Oriente: forse dalla Cina, forse dal Giappone, o da qualche altro luogo misterioso situato oltre gli orizzonti allora conosciuti.

GUARDAGNO DEL 60.000%

Una cosa, però, la conoscevano bene: la noce moscata era una fonte di guadagni straordinari. Nelle isole Banda, dieci libbre di questo prezioso prodotto si acquistavano per meno di un penny inglese, per poi essere rivendute altrove con margini enormi. A Londra la noce moscata era venduta a più di due sterline e dieci scellini, con un guadagno pari a uno sbalorditivo 60.000 per cento. Un sacchetto bastava a sistemare una persona per il resto della sua vita e a permettergli di acquistare un’abitazione signorile e di giovarsi di un servitore.

IL CONTROLLO DEL COMMERCIO DELLE SPEZIE

Per capire l’entità del mercato delle spezie basta pensare che la Repubblica di Venezia aveva costruito gran parte della propria prosperità sul controllo del commercio di questi prodotti: non era soltanto la noce moscata a giungere in Europa attraverso le complesse reti commerciali che collegavano l’Asia al Mediterraneo, ma anche pepe, cannella, chiodi di garofano, zafferano e zenzero. Dopo aver attraversato il Medio Oriente, queste merci approdavano nei porti veneziani, da cui venivano redistribuite in tutto il continente mediante l’efficiente sistema mercantile ideato dalla Serenissima, generando profitti considerevoli e consolidandone la posizione egemonica nel commercio delle spezie. Non sorprende, pertanto, che tra il XIII e il XV secolo Venezia fosse impegnata in una lunga competizione con la Repubblica di Genova proprio per il controllo delle rotte commerciali del Levante e del Mar Nero, vie strategiche attraverso le quali transitavano le preziose merci provenienti dall’Asia. Una rivalità che contribuì a plasmare gli scambi economici e gli assetti geopolitici del Mediterraneo medievale. Ma questa, come sempre, è un’altra storia.

VACILLA L’EQUILIBRIO

Alla fine del 1511 questo equilibrio però iniziò a vacillare. I mercanti veneziani appresero che una spedizione portoghese aveva raggiunto direttamente le Isole di Banda e acquistato un intero carico di noce moscata alla fonte, aggirando gli intermediari tradizionali. La notizia era tanto più sorprendente perché, fino ad allora, la reale origine della spezia era avvolta nel mistero: pochi conoscevano il luogo da cui proveniva e chi ne possedeva il segreto lo custodiva gelosamente. Ma ancora più destabilizzante fu il mutamento geoeconomico: dopo più di quattro secoli il monopolio veneziano era stato interrotto e da quel momento iniziò la guerra delle spezie che modificò profondamente gli equilibri economici e commerciali.

L’EPOCA DELLE GRANDI SCOPERTE GEOGRAFICHE

Il Portogallo, infatti, spinto dalla ricerca di nuove rotte commerciali verso l’Asia e dal desiderio di aggirare gli intermediari arabi e veneziani che controllavano il commercio delle spezie, aveva avviato nel XV secolo una serie di esplorazioni lungo le coste africane dando inizio all’epoca delle grandi scoperte geografiche. Grazie ai progressi nella navigazione e al sostegno della Corona, in particolare da parte di Enrico il Navigatore, i marinai portoghesi, al grido di «Christos e espiciarias!» «Per Cristo e le spezie!», aprirono nuove vie marittime che avrebbero cambiato per sempre i rapporti tra Europa, Africa e Asia, dando inizio all’espansione europea su scala globale.

LA SVOLTA PORTOGHESE

Poi nel 1512 avvenne la svolta.  Alcune navi portoghesi, guidate da piloti locali, raggiunsero le Isole Banda. Era la prima volta che gli europei arrivavano nel luogo d’origine della noce moscata. Trovarono nel porto anche giunche cinesi, segno che l’arcipelago era già pienamente inserito nelle reti commerciali asiatiche. Gli abitanti locali accolsero i portoghesi senza ostilità e permisero loro di acquistare la spezia.

CHIODI DI GAROFANO

Tuttavia, la spedizione ebbe sviluppi imprevisti: una nave portoghese naufragò e il capitano Francisco Serrão fu salvato da pescatori locali e trasportato sull’isola di Ambon, situata sempre nel Mar di Banda. Da Ambon Serrão giunse poi sull’isola di Ternate, dove il sultano locale, coinvolto in rivalità con la vicina Tidore, vide nei portoghesi potenziali alleati militari e commerciali. Li invitò quindi a stabilirsi sull’isola e consentì loro di costruire un forte. In questo modo, quasi casualmente, i portoghesi misero piede anche nel cuore della regione di produzione dei chiodi di garofano, altra spezia preziosissima, originaria di alcune piccole isole vulcaniche delle Molucche settentrionali. Per decenni i portoghesi concentrarono i propri interessi su Ternate e sul commercio dei chiodi di garofano, inviandoli a Goa e poi a Lisbona.

Il FALLIMENTO DEL MONOPOLIO

Quando nel 1529 i portoghesi tentarono di insediarsi stabilmente nelle Isole Banda, la situazione cambiò. I portoghesi provarono a costruire un forte a Banda Neira, l’isola dotata del porto migliore, convinti di poter controllare da lì l’intero arcipelago. Gli abitanti, però, pur disponibili al commercio, rifiutarono la presenza militare permanente di una potenza straniera. Durante i lavori di fortificazione, le truppe lusitane furono attaccate e costrette a ritirarsi. Da quel momento tornarono solo sporadicamente nelle Banda, preferendo acquistare la noce moscata attraverso intermediari di Ternate e Ambon. Il loro tentativo di imporre un monopolio diretto fallì.

L’ETA’ D’ORO DEL PORTOGALLO

Nonostante questo insuccesso, il XVI secolo rimase l’età d’oro del Portogallo nelle rotte tra Europa e Asia. Le caracche portoghesi collegavano Lisbona, Goa e Malacca trasportando pepe, chiodi di garofano, noce moscata, cannella, cotone, seta e porcellane. Il controllo portoghese sulla rotta del Capo di Buona Speranza, legittimato anche dal papato con il Trattato di Tordesillas del 1494, garantiva a Lisbona un vantaggio considerevole. Tuttavia, altre potenze marittime europee iniziarono presto a cercare vie alternative verso l’Oriente.

LA ROTTA ARTICA INGLESE

Gli inglesi tentarono inizialmente la rotta artica del passaggio a nord-est. Nel 1553 tre navi al comando di Sir Hugh Willoughby, partirono verso il Mare del Nord e il Mare di Norvegia, nella speranza di raggiungere i ricchi mercati di spezie dell’Asia evitando l’Africa e le rotte controllate dai portoghesi. La spedizione si concluse tragicamente: due navi furono ritrovate sulla penisola di Kola con gli equipaggi morti di fame, freddo o intossicazione. La terza nave raggiunse invece il Mar Bianco e, attraverso Mosca, stabilì contatti commerciali con la Russia di Ivan il Terribile. Da quel fallimento nacque la Muscovy Company, prima grande compagnia commerciale inglese. Ma questa, come sempre, è un’altra storia.

L’OLANDA SCENDE IN MARE

Nel frattempo, il quadro politico europeo mutava profondamente. Dal 1568 le Province Unite dei Paesi Bassi si ribellarono alla monarchia spagnola, dando inizio alla lunga guerra d’indipendenza olandese. Nel 1580 il Portogallo passò sotto la corona spagnola per unione dinastica, diventando così nemico anche degli olandesi. Questa situazione spinse i mercanti e navigatori olandesi a cercare un accesso autonomo alle ricchezze dell’Asia.

JAN HUYGEN VAN LINSCHOTEN

In tal senso un ruolo decisivo fu svolto da Jan Huygen van Linschoten. Dopo aver lavorato per anni nei territori portoghesi, in particolare a Goa, van Linschoten aveva raccolto una grande quantità di informazioni sulle rotte marittime, sui porti e sul commercio delle spezie. La sua opera, L’Itinerario, pubblicata alla fine del XVI secolo, rivelò agli europei settentrionali le vie segrete dei portoghesi e mostrò che il loro monopolio non era così solido come appariva. Van Linschoten indicò anche rotte alternative, tra cui quella attraverso lo stretto della Sonda, evitando Malacca. Altri suoi documenti e resoconti contribuirono direttamente all’espansione olandese nell’Oceano Indiano.

IL PRIMO VIAGGIO OLANDESE

Fu così che, seguendo le indicazioni di van Linschoten, le prime navi olandesi giunsero a Giava nel 1595. L’esito della spedizione fu difficoltoso e violento: gli olandesi ebbero contrasti con la popolazione locale di Bantam, arrivando a bombardare la città e a compiere massacri. Nonostante la scarsità del carico e le pesanti perdite umane, i profitti furono comunque elevati, grazie all’enorme valore delle spezie in Europa. Negli anni successivi partirono numerose spedizioni olandesi, al punto che i mercanti dei Paesi Bassi iniziarono a farsi concorrenza tra loro, facendo salire i prezzi nei porti asiatici.

LA COMPAGNIA OLANDESE DELLE INDIE ORIENTALI

Per mettere ordine in questo sistema nacque nel 1602 la Vereenigde Oostindische Compagnie, la Compagnia Olandese delle Indie Orientali, nota come VOC. Fu una delle prime grandi società per azioni della storia e disponeva di poteri quasi sovrani: poteva stipulare trattati, costruire fortezze, mantenere eserciti, condurre guerre e amministrare territori. La VOC rappresentò una forma precoce di multinazionale coloniale, sostenuta da capitali enormi e da un mandato politico-militare esplicito: colpire gli interessi portoghesi e spagnoli e conquistare il controllo delle rotte commerciali orientali.

OBIETTIVO ISOLE DI BANDA

E proprio le Isole Banda divennero rapidamente uno degli obiettivi principali della Compagnia. Le prime navi olandesi arrivarono nell’arcipelago nel 1599. Inizialmente si limitarono ad acquistare la noce moscata dagli abitanti locali, ma l’obiettivo della VOC era molto più ambizioso: imporre un monopolio globale sulla produzione e sulla vendita della spezia. Nel 1609 una grande flotta olandese, con circa mille soldati, giunse davanti a Banda. Il comandante Pieter Verhoef rimproverò i capi locali per aver commerciato con altri stranieri e annunciò la costruzione di un forte a Banda Neira. Gli abitanti delle Banda, contrari alla presenza militare olandese, attirarono Verhoef e altri ufficiali in un’imboscata e li uccisero. A differenza dei portoghesi, però, gli olandesi non si ritirarono. Completarono la costruzione del forte, poi si vendicarono con estrema brutalità, incendiando villaggi e massacrando uomini, donne e bambini. Dopo poche settimane, gli abitanti furono costretti ad arrendersi. Banda Neira divenne così il primo possedimento stabile olandese in Asia. Il controllo della VOC, tuttavia, non era ancora totale. Alcune isole, in particolare Run e Ai, restavano fuori dalla piena autorità olandese e continuavano a commerciare con altri mercanti, soprattutto inglesi.

LA COMPAGNIA INGLESE DELLE INDIE ORIENTALI

Infatti, anche l’Inghilterra era entrata nella competizione asiatica. Dopo il fallimento della rotta artica di Sir Hugh Willoughby, ma soprattutto dopo le epiche imprese corsare di Francis Drake e la sconfitta dell’Armada spagnola nel 1588, la flotta inglese acquisì nuovo slancio. Nel 1600 la regina Elisabetta I autorizzò la fondazione della East India Company, la Compagnia inglese delle Indie Orientali, a cui conferì il monopolio completo del commercio nell’Oceano Indiano.

GLI INGLESI NELL’ARCIPELAGO DI BANDA 

Nel 1603 gli inglesi, con un pizzico di fortuna, erano approdati a Run, l’isola più remota dell’arcipelago, e, accolti favorevolmente dagli abitanti, avevano avviato un commercio diretto di Myristica fragrans. Ma chiaramente la concorrenza inglese irritò profondamente gli olandesi. Così nel 1615 la VOC rivolse quindi le proprie forze contro la vicina isola di Ai, distante solo 7 chilometri dall’isola, ma gli abitanti, sostenuti dagli inglesi, riuscirono temporaneamente a resistere. L’anno seguente, nel 1616, gli olandesi tornarono all’attacco e conquistarono definitivamente Ai.

PRIMO POSSEDIMENTO INGLESE

Il 23 dicembre 1616 due navi inglesi al comando di Nathaniel Courthope giunsero a Run. Gli abitanti, affamati dal blocco olandese, accolsero gli inglesi come alleati. I capi locali giurarono fedeltà a re Giacomo I e dichiararono formalmente che Run apparteneva al sovrano inglese. L’Inghilterra ottenne così il suo primo possedimento orientale. L’isola, però, era difficile da sostenere: aveva scarse risorse alimentari, poca acqua potabile e dipendeva dal commercio con le isole vicine. Dopo anni di assedio, fame e diserzioni, Courthope fu ucciso nel 1620 e gli inglesi abbandonarono l’isola.

LA CONQUISTA OLANDESE

Nel 1621 la VOC, guidata da Jan Pieterszoon Coen, portò a compimento la conquista delle ultime due isole. Convinto che il monopolio della noce moscata richiedesse la distruzione della popolazione locale e il ripopolamento controllato dell’arcipelago, Coen ordinò una campagna di sterminio. Con l’aiuto anche di mercenari giapponesi, gli olandesi massacrarono gran parte degli abitanti originari. Su una popolazione stimata in circa quindicimila persone, alla fine dell’anno ne sopravvissero forse un migliaio. Molti furono uccisi, altri ridotti in schiavitù; alcuni riuscirono a fuggire verso le isole Kai. L’obiettivo era stato raggiunto: la VOC aveva conquistato il monopolio mondiale della noce moscata.

MILITARIZZAZIONE DELL’ISOLA

Gli olandesi trasformarono le isole di Banda in un sistema di piantagioni controllato direttamente dalla VOC. Le terre vennero affidate a coloni e amministratori europei, mentre la manodopera fu assicurata da schiavi importati da Giava e da altre regioni dell’Asia sud-orientale. L’emblema della VOC compare ancora oggi inciso sulle facciate di edifici, chiese e antiche abitazioni, testimonianza di una presenza coloniale che non si limitò al controllo delle rotte commerciali e delle produzioni locali, ma fu anche un simbolo visibile dell’autorità, della potenza economica e della vasta proiezione marittima olandese in Asia.

FORT BELGICA

Per difendere Banda Neira, l’isola più importante per la produzione della noce moscata, gli olandesi costruirono, sulle fondamenta del precedente avamposto portoghese, la prima fortezza olandese in Asia chiamata Fort Belgica, che, con la sua pianta pentagonale e le torri angolari, dominava l’isola e sorvegliava le piantagioni di noce moscata.

L’ISOLA DI NEW YORK PER RUN

Ma gli inglesi non abbandonarono affatto la partita nelle isole Banda.  La lunga contesa tra inglesi e olandesi per la piccola ma strategica isola di Run quindi si concluse soltanto nel 1667 con il Trattato di Breda: l’Inghilterra rinunciò alle proprie pretese sull’isola e sul suo prezioso commercio di noce moscata, mentre gli olandesi cedettero agli inglesi un lontano avamposto commerciale situato sull’isola nordamericana di Manhattan chiamato New Amsterdam, ribattezzato poi dagli inglesi New York. Nessuno poteva allora immaginare quanto il peso della storia avrebbe rovesciato il valore di quei territori: la piccola isola delle spezie sarebbe progressivamente scivolata ai margini delle grandi rotte commerciali, mentre Manhattan sarebbe diventata il cuore di una delle più importanti metropoli del mondo.

FURTO DI PIANTINE

Ma la storia della noce moscata non finisce qui. La VOC continuò a mantenere il monopolio della noce moscata anche negli anni successivi, perché gli alberi di Myristica fragrans crescevano quasi esclusivamente nelle Isole Banda e gli olandesi proteggevano questo monopolio con misure estreme: controllavano rigidamente l’arcipelago e cercavano di impedire l’esportazione di semi e piantine fertili. Ma tra il 1769 e il 1770 il botanico francese Pierre Poivre organizzò una serie di operazioni di spionaggio industriale nelle Isole di Banda e riuscì a procurarsi illegalmente semi e giovani piante di noce moscata e di chiodi di garofano, trasferendole nelle colonie francesi di Mauritius e Réunion.

LE SOTTRAZIONI INGLESI

Ma anche gli inglesi rubarono le piantine di noce moscata. Un primo tentativo ebbe luogo alla fine del XVIII secolo, quando il botanico britannico Christopher Smith raccolse nelle Molucche e nelle Isole Banda numerose piante di varie spezie, tra cui piantine di noce moscata, destinate a essere trasferite verso i possedimenti britannici e, in particolare, a favorire lo sviluppo di nuove coltivazioni nell’isola malese di Penang, all’epoca possedimento britannico. Ma la vera operazione di spionaggio industriale avvenne nel 1810 quando, nel quadro delle guerre napoleoniche, le forze comandate dal capitano Christopher Cole conquistarono l’isola di Banda. Durante la successiva occupazione delle Isole delle Spezie, la East India Company sfruttò il controllo dell’arcipelago per un sistematico e massivo prelievo di piantine che favorirono successivamente la diffusione della noce moscata in altri territori dell’Impero britannico come Sri Lanka, Singapore, Zanzibar e Grenada.

OPERAZIONI DI INTELLIGENCE ECONOMICA

Le operazioni francesi e inglesi furono a tutti gli effetti delle operazioni di intelligence economica che ebbero conseguenze decisive, poiché infransero definitivamente il monopolio olandese sulla noce moscata e ne consentirono la coltivazione al di fuori delle Isole Banda. Queste operazioni, poi, contribuirono alla progressiva riduzione dei prezzi sui mercati internazionali e trasformarono la noce moscata, per il cui controllo nel Seicento erano state combattute guerre, in una coltura tropicale progressivamente diffusa su scala globale, distruggendo definitivamente il vantaggio competitivo dell’Olanda.

CONSIGLI DI LETTURA

Per chi volesse approfondire la storia della noce moscata consiglio la lettura, L’isola della noce moscata. La corsa alle spezie di esploratori, mercanti, pirati che ha deciso la storia del mondo, di Milton Giles, edito da Nutrimenti Mare nel 2024 e di La via del Mare. Sulle rotte perdute dell’impero del Portogallo, scritto da Erika Fatland, edito da Marsilio nel 2025, entrambi ampiamente consultati per la preparazione di questo articolo.

Scoperti una macchina abbandonata nei pressi del perimetro, una piccola apertura nella recinzione e, alcune ore dopo, trovati due uomini all’interno di una delle installazioni più sensibili dell’architettura di intelligence occidentale nel Regno Unito. È successo nella base RAF Molesworth, nel Cambridgeshire, dove due cittadini lettoni di 36 e 32 anni, entrambi residenti nel Regno Unito, sono stati arrestati nella notte tra il 7 e l’8 ottobre.

A ricostruire la vicenda è la BBC, sulla base delle informazioni diffuse dalle autorità britanniche. Le ricostruzioni iniziano dall’allarme, scattato intorno alle 22 di mercoledì, quando una pattuglia della polizia ha individuato un veicolo abbandonato nelle vicinanze della base. Le ricerche, condotte insieme alla Cambridgeshire Constabulary, hanno successivamente portato alla scoperta di una breccia di dimensioni ridotte nella recinzione perimetrale. Intorno alle due del mattino i due uomini sono stati localizzati e arrestati all’interno dell’installazione.

In un primo momento sono stati fermati con l’accusa di ingresso non autorizzato in un sito proibito e danneggiamento. Successivamente è scattato un secondo arresto sulla base della sezione quarta del National Security Act del 2023, che riguarda l’ingresso in un luogo proibito per uno scopo potenzialmente pregiudizievole per il Regno Unito.

Perché Molesworth

RAF Molesworth costituisce un nodo dell’apparato di intelligence americano e alleato in Europa. La struttura ospita attività di analisi e comando degli Stati Uniti e un centro di intelligence della Nato. Qui opera anche il Joint Intelligence Operations Center Europe Analytic Center, legato allo United States European Command.

Dagli arresti di RAF Fairford, nel Regno Unito, è cresciuta l’attenzione sulla protezione delle installazioni militari. Motivo per il quale un ulteriore episodio che coinvolge una base della British Air Force solleva interrogativi e connessioni sulle quali indagare, ricostruire gli eventi e attribuire la responsabilità dei mandanti. Anche se, al momento, non ci sono dichiarazioni ufficiali che colleghino l’intrusione di Molesworth agli eventi di Fairford

I fatti di Molesworth evidenziano il perché la sicurezza delle basi militari europee sia al centro dell’attenzione. Negli ultimi anni, soprattutto dopo l’invasione russa dell’Ucraina, attorno a installazioni sensibili sono infatti aumentate le segnalazioni di droni, accessi sospetti, attività di osservazione e altri episodi difficili da interpretare nell’immediato.

Resta dunque da capire se l’intrusione sia stata il risultato di un’iniziativa estemporanea o se dietro vi fosse un obiettivo più preciso. È su questo che si concentreranno ora gli investigatori britannici. Fino a quando non emergeranno elementi ulteriori, ogni lettura più ampia resta prematura. Ma l’episodio conferma un dato ormai acquisito: attorno alle infrastrutture militari e di intelligence europee il margine per considerare certe anomalie come semplici incidenti si è progressivamente ristretto.

 

“Il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno”. Per Antonio Teti, esperto di intelligence, cybersecurity e intelligenza artificiale, è questa la lezione più importante del caso August Hanning, l’ex direttore del Bnd coinvolto in un’inchiesta che ipotizza un prolungato flusso di informazioni riservate dall’intelligence tedesca. Una vicenda che, al di là dell’esito giudiziario, apre interrogativi sulla sicurezza interna dei servizi, sulla tutela delle informazioni condivise tra alleati e sulla capacità delle agenzie europee di individuare in tempo le minacce provenienti dall’interno.

Professor Teti, perché il caso August Hanning sta provocando tanta preoccupazione in Germania?

Perché non stiamo parlando di un funzionario qualsiasi. August Hanning è stato presidente del Bundesnachrichtendienst, il Bnd, dal 1998 al 2005 e successivamente ha ricoperto importanti incarichi istituzionali. Parliamo quindi di una persona che ha conosciuto dall’interno la struttura, le procedure, gli uomini, le relazioni internazionali e soprattutto i meccanismi decisionali dell’intelligence tedesca. Secondo la ricostruzione della Procura federale, l’ipotesi investigativa riguarda un flusso di informazioni che si sarebbe protratto per molti anni. Se l’impianto accusatorio venisse confermato, ci troveremmo davanti a qualcosa di molto più complesso di una semplice sottrazione di documenti classificati. Avremmo un possibile canale informativo parallelo capace di trasferire all’esterno informazioni provenienti dal cuore dell’apparato intelligence tedesco. Naturalmente dobbiamo ricordare che siamo nella fase delle indagini e che le responsabilità dovranno essere accertate nelle sedi giudiziarie competenti.

Secondo gli investigatori sarebbero coinvolti quasi duemila documenti. È il numero a impressionarla maggiormente?

Non necessariamente. Il numero è certamente significativo, ma nell’intelligence la quantità non coincide automaticamente con il valore. Potrebbero esistere dieci documenti molto più importanti di mille altri. Quello che bisogna comprendere è la natura delle informazioni, il loro livello di classificazione, la loro provenienza, il periodo temporale al quale si riferiscono e soprattutto chi ne sia entrato eventualmente in possesso. C’è poi un elemento ancora più importante. Se si dispone per anni di un flusso costante di documenti provenienti da un servizio di intelligence, non si acquisiscono soltanto informazioni. Si può progressivamente ricostruire il modo nel quale quell’organizzazione pensa. Si comprendono le priorità informative, le aree geografiche di interesse, le minacce considerate più rilevanti, le capacità di raccolta, le lacune informative e persino il processo attraverso il quale l’intelligence viene trasferita al decisore politico. È quello che definirei una sorta di “reverse engineering” dell’intelligence.

Può spiegare meglio questo concetto?

Un servizio straniero non vuole semplicemente sapere cosa conosce il proprio avversario, ma vuole capire come arriva a conoscerlo. È una differenza fondamentale. Se riesco a ricostruire nel tempo quali informazioni raggiungono il vertice politico, posso comprendere quali siano le priorità dell’apparato, posso individuare eventuali lacune, posso intuire quali fonti siano particolarmente produttive e quali strumenti di raccolta vengano utilizzati. Soprattutto posso tentare di capire cosa il servizio “non sa”. Nell’intelligence, conoscere le lacune informative dell’avversario può essere persino più importante che conoscere ciò che sa. Ecco perché un archivio di quasi duemila documenti, se effettivamente fosse strutturato e distribuito lungo molti anni, potrebbe assumere un valore enormemente superiore alla somma dei singoli documenti.

Quindi il danno potrebbe andare oltre le informazioni contenute nei documenti?

Assolutamente sì e si stende su più livelli. Il primo livello riguarda il contenuto. Il secondo riguarda le fonti. Il terzo riguarda i metodi. Il quarto riguarda le relazioni. Il quinto, probabilmente il più importante, riguarda la capacità di ricostruire il sistema. Quando analizziamo una “intelligence compromise” dobbiamo evitare di ragionare come se stessimo analizzando esclusivamente un data breach informatico. Se vengono sottratti dei file da un’azienda, posso teoricamente quantificare il numero dei record compromessi. Nell’intelligence è molto più difficile. Un documento può contenere riferimenti indiretti a una fonte umana, a una capacità SIGINT, a una cooperazione internazionale o a un’operazione in corso. Combinando più documenti attraverso tecniche di analisi correlativa è possibile ottenere informazioni che nessuno dei singoli documenti conteneva esplicitamente. È il cosiddetto principio del “mosaico informativo”.

Uno degli aspetti più delicati riguarda i possibili destinatari stranieri. Quanto è importante stabilire chi abbia ricevuto le informazioni?

È probabilmente la domanda principale dell’intera indagine. Nel contrasto al riciclaggio si utilizza spesso l’espressione “follow the money”. Nel controspionaggio potremmo utilizzare l’espressione “follow the information”. Bisogna ricostruire l’intero percorso dell’informazione. Chi l’ha prodotta? Chi poteva accedervi? Chi l’ha estratta? Come è stata trasferita? Chi l’ha ricevuta? È stata trasformata in un rapporto? Quel rapporto è stato venduto? Chi lo ha acquistato? Il destinatario apparente coincideva con quello reale? E soprattutto bisogna verificare se le informazioni siano state ulteriormente trasferite. Perché un documento consegnato a una singola persona può successivamente entrare nell’ecosistema informativo di un apparato intelligence straniero e diventare accessibile a numerosi analisti. Da quel momento il controllo sull’informazione è definitivamente perduto. È stato fatto anche il nome dell’Azerbaigian. Su questo occorre essere estremamente prudenti. La Procura federale tedesca, nelle informazioni pubblicamente disponibili, non ha identificato ufficialmente i servizi stranieri ai quali sarebbero state destinate le informazioni. Sono emerse ricostruzioni giornalistiche che hanno indicato possibili collegamenti con l’Azerbaigian, ma Baku ha respinto tali ricostruzioni. Finché non emergeranno elementi investigativi più precisi, attribuire con certezza l’operazione a un determinato Paese sarebbe metodologicamente scorretto. Nell’intelligence l’attribuzione è una delle operazioni più complesse, e quando si parla di spionaggio, distinguere tra fatti, indizi, valutazioni analitiche e ipotesi è fondamentale.

Il caso potrebbe coinvolgere indirettamente anche altri servizi occidentali?

Potenzialmente sì, ed è uno degli aspetti che considero più delicati. Nessun grande servizio di intelligence occidentale opera isolatamente. Esistono scambi continui di informazioni tra servizi alleati. Germania, Stati Uniti, Regno Unito, Francia, Italia e gli altri Paesi NATO condividono informazioni, analisi, indicatori di minaccia e prodotti intelligence. Quindi bisognerà comprendere se tra i documenti eventualmente compromessi fossero presenti anche informazioni provenienti da servizi partner. Se così fosse, il problema non sarebbe più soltanto tedesco.

Quale potrebbe essere la reazione degli altri servizi?

Nel mondo dell’intelligence la fiducia è una valuta strategica. Quando un servizio consegna un’informazione particolarmente sensibile a un partner, deve essere ragionevolmente certo che quella informazione venga protetta. Se questa certezza diminuisce, anche temporaneamente, può cambiare il livello della cooperazione. Non significa necessariamente interrompere i rapporti. Sarebbe irrealistico, soprattutto tra alleati strategici, ma potrebbe cambiare la qualità delle informazioni condivise. Un servizio potrebbe decidere di compartimentare maggiormente alcuni prodotti, limitare temporaneamente la distribuzione di determinate informazioni o aumentare i livelli di controllo.

Il danno reputazionale, nel mondo dell’intelligence, può durare più a lungo del danno operativo. È questo, secondo lei, il vero rischio per il Bnd?

Uno dei principali. Il Bnd dovrà certamente ricostruire l’eventuale danno informativo, ma dovrà contemporaneamente proteggere la fiducia dei partner, e ciò rappresenta un lavoro estremamente complesso. Occorrerà probabilmente effettuare un vero e proprio “damage assessment”, ovvero identificare i documenti, classificarli per sensibilità, ricostruirne la distribuzione, verificare la presenza di informazioni provenienti da servizi alleati, identificare eventuali fonti compromesse e stabilire quali operazioni possano essere state indirettamente esposte. È un processo che potrebbe richiedere molto tempo.

Il caso Hanning può essere considerato un esempio di insider threat? 

Se le accuse fossero confermate, sarebbe un caso estremamente significativo di insider threat, proprio perché coinvolgerebbe livelli elevatissimi dell’organizzazione. Siamo abituati a immaginare la minaccia interna come il dipendente infedele che copia documenti o utilizza impropriamente le proprie credenziali. Ma esiste un insider threat molto più sofisticato. Un alto dirigente possiede qualcosa che nessun hacker può sottrarre facilmente: la conoscenza profonda dell’organizzazione. Conosce le persone, le procedure, i meccanismi informali, la cultura interna, il significato reale delle classificazioni, e soprattutto sa attribuire valore alle informazioni. Un documento apparentemente ordinario può assumere un’importanza enorme agli occhi di chi conosce il sistema nel quale quel documento è stato prodotto.

Ma Hanning aveva lasciato il Bnd molti anni prima.

Ed è precisamente questo uno degli aspetti più interessanti della vicenda. Quando un dirigente lascia un servizio di intelligence perde le proprie funzioni, ma non perde automaticamente il proprio capitale relazionale. Decenni trascorsi ai vertici dello Stato producono una rete di rapporti con funzionari, diplomatici, militari, uomini politici, imprenditori, dirigenti pubblici e rappresentanti di servizi stranieri. Questo patrimonio relazionale è perfettamente legittimo, ma dal punto di vista della sicurezza deve essere considerato. Per questo ritengo che il caso Hanning riaprirà inevitabilmente il dibattito sulla cosiddetta “post-employment security”, cioè sulla gestione del rischio collegato agli ex dirigenti delle strutture più sensibili dello Stato.

Bisognerebbe quindi controllare gli ex direttori dei servizi?

Non parlerei genericamente di controllo sulle persone, sarebbe una semplificazione pericolosa. Bisogna invece costruire regole chiare. Ad esempio, valutare eventuali conflitti di interesse, regolamentare determinati incarichi di consulenza, definire obblighi di comunicazione per alcune attività professionali e mantenere programmi periodici di sensibilizzazione sulla protezione delle informazioni classificate. Bisogna trovare un equilibrio tra libertà individuale e sicurezza nazionale, ma è evidente che un ex vertice dell’intelligence rappresenta, per tutta la vita, un patrimonio straordinario di conoscenze sensibili.

C’è anche un problema legato al mercato privato dell’intelligence?

Certamente. Negli ultimi vent’anni abbiamo assistito alla crescita di un enorme mercato della “private intelligence”. Ex funzionari dei servizi, militari, diplomatici e specialisti della sicurezza entrano nel settore privato mettendo legittimamente a disposizione competenze maturate nel settore pubblico. È un fenomeno globale, ma il problema nasce quando diventa difficile distinguere tra il patrimonio professionale dell’individuo e l’utilizzo di informazioni che appartengono allo Stato. È una linea che deve essere assolutamente netta. La consulenza privata può utilizzare esperienza, competenza, metodologia e capacità analitica, ma non può utilizzare informazioni classificate ottenute attraverso canali impropri.

C’è un aspetto del caso che la colpisce particolarmente?

Sì. La durata del presunto flusso informativo. Se venisse confermato che documenti classificati sono stati trasferiti per un periodo così lungo, la domanda non sarebbe soltanto: “Chi li ha trasferiti?”. La domanda diventerebbe: “Perché il sistema non se ne è accorto?” E questa è una domanda molto più difficile. Un comportamento illecito individuale riguarda una persona, ma un comportamento che riesce eventualmente a proseguire per anni può indicare anche una vulnerabilità organizzativa. Bisognerà capire quali controlli sugli accessi esistessero, quali log venissero conservati, quali sistemi di auditing fossero attivi e se vi siano stati segnali deboli che non sono stati identificati o correttamente interpretati.

La tecnologia e l’intelligenza artificiale possono aiutare a prevenire casi simili?

Moltissimo. I sistemi di “User and Entity Behavior Analytics” consentono già oggi di costruire profili comportamentali degli utenti e individuare anomalie. L’intelligenza artificiale permette di andare oltre. Può correlare accessi, download, interrogazioni dei database, spostamenti di file, orari di lavoro e altre variabili per identificare comportamenti anomali che, considerati singolarmente, potrebbero sembrare irrilevanti. Immaginiamo un funzionario che consulta cento documenti. Il numero in sé potrebbe essere perfettamente normale. Ma se quei documenti appartengono a settori non coerenti con il suo incarico, vengono consultati in determinati momenti e successivamente trasferiti o stampati, la correlazione degli eventi può generare un indicatore di rischio.

L’IA può quindi diventare uno strumento straordinariamente importante per il controspionaggio interno. Non c’è però il rischio di trasformare un servizio in una struttura di sorveglianza permanente dei propri dipendenti?

Certamente, ed è qui che entra in gioco la governance. La tecnologia non deve diventare un alibi per eliminare qualsiasi forma di proporzionalità. Servono regole, controlli, audit e una chiara definizione delle finalità. Ma dobbiamo anche essere realistici: chi lavora con informazioni dalle quali può dipendere la sicurezza nazionale opera inevitabilmente all’interno di un regime di sicurezza più rigoroso rispetto a quello applicabile a un normale ambiente lavorativo. Il principio dovrebbe essere quello dello Zero Trust, opportunamente adattato al mondo intelligence. Non significa non fidarsi di nessuno. Significa che la fiducia non può sostituire il controllo.

Nemmeno quando si parla dei vertici?

Soprattutto quando si parla dei vertici. Ed è questo il grande paradosso dell’intelligence. Più una persona sale nella gerarchia, maggiore è la fiducia che deve necessariamente ricevere. Ma contemporaneamente aumenta il danno che quella persona potrebbe provocare se quella fiducia venisse tradita. Per questo ritengo che una delle lezioni più importanti sia racchiusa nel principio “trust, but continuously verify”. Fidarsi, ma verificare continuamente. Il controllo non deve dipendere dalla posizione gerarchica. C’è un altro elemento singolare: l’inchiesta sarebbe emersa nell’ambito di un procedimento diverso. È un aspetto che merita molta attenzione. Secondo la ricostruzione della Procura federale, parte del materiale sarebbe stata individuata durante una perquisizione effettuata nel settembre 2025 nell’ambito di un altro procedimento e successivamente trasmessa alla Procura federale. Se questa dinamica venisse pienamente confermata, emergerebbe una domanda inevitabile: il presunto circuito sarebbe stato scoperto senza quell’indagine? È una domanda che qualsiasi organizzazione intelligence dovrebbe porsi. Non soltanto il Bnd.

Quindi il caso Hanning contiene una lezione anche per gli altri servizi europei?

Assolutamente sì. Sarebbe un errore considerarlo esclusivamente un problema tedesco. Ogni grande incidente intelligence deve essere studiato dagli altri servizi come un caso di scuola. Bisogna chiedersi: potrebbe accadere anche a noi? I nostri sistemi sarebbero in grado di rilevarlo? Quanto tempo impiegheremmo? Quali informazioni potrebbero essere compromesse? Come reagiremmo? È questo il valore dell’analisi comparativa nel controspionaggio.

Il contesto geopolitico rende la vicenda ancora più grave?

Senza dubbio. L’Europa si trova in una fase di competizione intelligence estremamente intensa. La guerra in Ucraina, il confronto con la Russia, la crescente assertività cinese, l’Iran, il terrorismo, le minacce ibride, la competizione tecnologica e le operazioni di influenza hanno aumentato enormemente l’importanza dell’intelligence. Contemporaneamente è aumentata la cooperazione tra i servizi occidentali. Questo significa che circola una quantità maggiore di informazioni, e più informazioni circolano, maggiore diventa la necessità di proteggerle.

Qual è allora la vera lezione del caso Hanning?

Che la sicurezza di un servizio segreto non può essere misurata soltanto dalla sua capacità di raccogliere informazioni. Deve essere misurata anche dalla capacità di proteggerle. Possiamo disporre dei migliori sistemi SIGINT, dei satelliti più sofisticati, dell’intelligenza artificiale più avanzata e delle migliori capacità cyber, ma alla fine rimane sempre l’elemento umano. La risorsa più importante dell’intelligence continua a essere la fiducia, ovvero fiducia tra funzionari, fiducia tra il servizio e il governo, fiducia tra apparati alleati. Se questa fiducia viene compromessa, soprattutto ai livelli più elevati, il danno può essere molto più profondo della perdita di un singolo documento classificato.

Quindi la domanda centrale non è soltanto quali segreti siano eventualmente usciti dal Bnd?

Esatto, bisogna certamente capire cosa sia eventualmente uscito, ma bisogna soprattutto capire dove sia arrivato, chi lo abbia utilizzato, quali decisioni possa aver influenzato, quali fonti possa aver compromesso, quali servizi alleati possano essere stati indirettamente coinvolti. E soprattutto se qualcuno, attraverso anni di informazioni, sia riuscito a comprendere meglio il funzionamento interno dell’intelligence tedesca, perché nel controspionaggio il problema più grave non è sempre il segreto che l’avversario riesce a rubare dall’esterno. A volte è quello che qualcuno riesce a portare fuori dall’interno. Ed è proprio per questo che, indipendentemente dall’esito giudiziario, il caso Hanning rappresenta già oggi un importante caso di studio per l’intera comunità dell’intelligence europea.

La pressione ibrida esercitata dalla Russia potrebbe contribuire a restringere le distanze tra gli alleati sulla natura della minaccia e, soprattutto, sulla risposta da dare a Mosca. È la lettura offerta dal ministro degli Esteri della Lituania, Kęstutis Budrys, in un’intervista concessa al Washington Times.

Secondo il vertice della diplomazia di Vilnius, le operazioni ibride e di sabotaggio riconducibili alla Russia stanno avvicinando le posizioni dei Paesi dell’Alleanza. Per rendere credibile la deterrenza, ha spiegato, occorre rispondere con fermezza e dimostrare che esistono linee rosse che gli alleati sono disposti a difendere.

La soglia è politica

La questione per la Nato è stabilire come reagire, in modo collettivo, a una campagna che, proprio perché condotta attraverso strumenti differenti – sabotaggio, operazioni cibernetiche, interferenze, violazioni dello spazio aereo, azioni contro infrastrutture critiche – tende a restare al di sotto della soglia inequivocabile di un attacco militare convenzionale.

Le operazioni sotto soglia consentono di imporre costi all’avversario, mettere sotto pressione i suoi apparati di sicurezza e testarne le reazioni senza arrivare necessariamente a una situazione che imponga il ricorso alla difesa collettiva prevista dall’articolo 5 del Trattato Atlantico.

La valutazione di Vilnius è che questi episodi non vadano letti nel loro insieme, analizzando come la Russia stia sistematicamente testando la vigilanza della Nato e la sua capacità di risposta. Da qui la richiesta di accelerare sulle capacità anti-drone, sulla protezione delle infrastrutture critiche e sulla condivisione dell’intelligence, ma anche di rendere più rapido il processo di attribuzione delle operazioni ostili e di concordare risposte capaci di imporre un costo concreto all’autore dell’attacco.

Nelle operazioni ibride, il tempo che intercorre tra un incidente, la sua attribuzione e una risposta politica rappresenta esso stesso uno spazio di manovra. E ridurlo significa restringere il margine nel quale una potenza avversaria può operare contando (e sfruttando) sull’incertezza degli alleati.

Dalla Lituania un messaggio alla Nato

Vilnius insiste da tempo su questo punto. All’inizio di settembre Budrys aveva sostenuto che alcune azioni russe non potessero più essere liquidate semplicemente come minacce “ibride”, osservando come il ricorso a mezzi potenzialmente distruttivi renda sempre meno netta la separazione tra attività clandestina e azione cinetica.

La risposta proposta dalla Lituania risiede nel tentativo di rendere più prevedibile la deterrenza. Come? Più chiaro è il costo associato a determinate condotte, minore è lo spazio per testare ripetutamente la coesione dell’Alleanza senza conseguenze.

Budrys ha indicato, tra gli strumenti, nuove sanzioni, una politica più restrittiva nei confronti degli operatori russi che agiscono sotto copertura diplomatica, maggiori iniziative contro la cosiddetta flotta ombra e un rafforzamento delle difese sul fianco orientale. Il ministro ha inoltre sostenuto che l’operazione Nato Baltic Sentry, avviata per aumentare la sorveglianza nel Baltico, abbia già mostrato come una presenza alleata più visibile possa contribuire a ridurre le attività ostili contro le infrastrutture critiche.

Le operazioni ibride sono messe in atto per sfruttare l’ambiguità, produrre incertezza sull’attribuzione e creare divergenze sulla risposta. Ma più queste operazioni diventano frequenti e riconoscibili, più rischiano di produrre l’effetto opposto.

Le valutazioni europee continuano a distinguere, infatti, tra l’intensificazione delle attività ibride russe e la prospettiva di un attacco convenzionale diretto contro la Nato, considerato al momento meno probabile anche per l’impiego delle forze russe in Ucraina. Il problema immediato è piuttosto impedire che sabotaggi, incursioni e operazioni clandestine, ormai componenti ordinarie del confronto tra Russia e Occidente, vedano un’impennata di casi senza però registrare un indurimento delle reazioni occidentali ed un aumento dei costi per chi perpetra queste condotte.