Tra l’8 e l’11 ottobre, tre attacchi ucraini condotti attraverso l’utilizzo di droni hanno colpito altrettanti data center di Yandex in territorio russo. Il primo ha raggiunto il polo di Sasovo, nella regione di Ryazan, dove l’impatto ha provocato un incendio e costretto la società a sospendere tutte le operazioni. Il giorno successivo, una nuova incursione – probabilmente con droni d’attacco monodirezionali FP-1 – ha danneggiato il data center di Kaluga, mettendone fuori servizio una parte. L’11 ottobre, infine, un ulteriore altro attacco sempre per mezzo di droni ha danneggiato l’infrastruttura del sito di Vladimir, determinandone la completa chiusura. In quattro giorni, in sostanza, sono stati colpiti tre dei cinque principali data center di una tra le principali e più rilevanti imprese tecnologiche russe.
Il sito di Sasovo, in particolare, ospita decine di migliaia di server e, secondo informazioni rese pubbliche in passato proprio da Yandex, anche due dei tre supercomputer utilizzati dalla società per sviluppare i propri modelli di intelligenza artificiale.
Seppure, almeno allo stato attuale, non sia possibile stabilire se quei sistemi siano stati danneggiati, né se la loro presenza abbia influito sulla scelta del bersaglio, non si può sottrarsi dall’analizzare come, in un arco temporale molto breve, questi attacchi abbiano interessato una parte consistente dell’infrastruttura fisica sulla quale poggiano il cloud di Yandex, numerosi suoi servizi digitali e alcune delle più importanti capacità russe nel campo dell’intelligenza artificiale.
Appare evidente, allora, come la capacità di calcolo di una nazione in guerra sia oggigiorno esposta in modo diretto alla dimensione cinetica di un conflitto armato.
Gli attacchi contro Yandex, peraltro, si inseriscono nella sequenza di azioni e reazioni iniziata a metà settembre scorso con la campagna russa contro le infrastrutture digitali ucraine sempre contro data center e infrastrutture tecnologiche di Kyivstar, Vodafone Ukraine, Datagroup, Cosmonova, Omega Telecom, Ukrtelecom e altri operatori. Il 27 settembre, ad esempio, sono stati danneggiati dieci data center a Kyiv e uno a Dnipro. Cosmonova ha comunicato che il proprio impianto non sarebbe più tornato operativo, mentre Omega Telecom ha riferito la distruzione delle apparecchiature del suo principale nodo tecnico.
Il ministero della Difesa russo ha sostenuto che alcune delle infrastrutture colpite fornissero capacità di comunicazione, elaborazione e conservazione dei dati alle forze armate ucraine, ma gli elementi accessibili al pubblico non permettono di verificare questa affermazione con riferimento ai singoli impianti. Ciò che appare evidente, invece, è come nella grammatica moderna di un conflitto armato sia ormai saldamente presente la volontà di colpire e incidere il più possibile su quei sistemi dai quali dipendono, allo stesso tempo, comunicazioni militari, servizi pubblici, attività economiche, pagamenti e meccanismi di allerta contro missili e droni. Peraltro, quando il presidente Zelensky ha dichiarato che l’Ucraina avrebbe risposto in modo speculare agli attacchi russi e ha ricondotto a questa logica anche l’azione contro Kaluga, ha reso esplicito il significato di quella campagna, ovvero come le infrastrutture digitali private siano ormai entrate nella logica dell’azione e della risposta militare, attraverso attacchi fisici capaci di produrre sulle reti, sui sistemi informativi e sui servizi informatici effetti estesi e tempi di ripristino ben più lunghi di quelli generalmente associati a molte operazioni cibernetiche.
Le imprese tecnologiche tra proiezione di potenza e scelta del bersaglio
Un precedente altrettanto rilevante si è verificato già nel marzo 2026, quando droni iraniani hanno colpito direttamente due strutture di Amazon Web Services negli Emirati Arabi Uniti, mentre un impianto in Bahrein ha subito danni per l’esplosione di un drone nelle vicinanze. UNIDIR ha qualificato quegli episodi come il primo caso documentato di attacco deliberato contro data center commerciali. Teheran, inoltre, ha apertamente incluso AWS, Microsoft, Google, IBM, Oracle e altre imprese tecnologiche tra i possibili obiettivi della propria ritorsione, sebbene non siano emerse pubblicamente prove dell’impiego militare delle aziende colpite.
Anche la scelta iraniana riflette una valutazione politica più ampia e da non sottovalutare nei conflitti armati moderni, secondo la quale le grandi imprese tecnologiche partecipano alla proiezione di potenza del Paese di origine anche quando operano nel territorio di uno Stato terzo.
Gli attacchi contro AWS, la campagna russa in Ucraina e la recente risposta di quest’ultima su Yandex indicano come questa postura tattico-operativa non sia più una mera ipotesi eccezionale. L’Iran ha cercato di esercitare pressione sugli Stati Uniti e sui loro partner tecnologici regionali, la Russia ha tentato di degradare i servizi sui quali poggiano la società e la difesa dell’Ucraina, mentre Kyiv ha rivolto la propria risposta contro l’impresa che concentra in Russia servizi cloud, applicazioni digitali e capacità di sviluppo dell’intelligenza artificiale. Pur nella diversità delle finalità, appare evidente come la scelta del bersaglio risenta – in tutti e tre i casi – della funzione attribuita all’impresa all’interno della potenza nazionale, anche quando la proprietà sia privata e gli utenti siano prevalentemente civili.
Occorre considerare, per di più, come il rapporto tra infrastrutture tecnologiche private e funzioni strategiche possa assumere forme diverse. Negli Stati Uniti, dove il contratto Joint Warfighting Cloud Capability consente al Dipartimento della Difesa di acquistare da Amazon, Google, Microsoft e Oracle servizi cloud destinati a ogni livello di classificazione e utilizzabili anche nel cosiddetto tactical edge, l’integrazione tra capacità tecnologiche commerciali e apparato militare risulta esplicita e formalizzata. Nel conflitto armato tra Russia e Ucraina, invece, la medesima integrazione si manifesta su entrambi i fronti in forme meno trasparenti e più difficili da ricostruire, poiché le infrastrutture private continuano a servire la popolazione civile, le imprese e le amministrazioni pubbliche, ma possono sostenere contemporaneamente comunicazioni, capacità di elaborazione e sistemi di conservazione dei dati rilevanti per lo Stato e per le forze armate. Questa sovrapposizione, infatti, riguarda tanto gli operatori ucraini colpiti dalla Russia quanto i data center di Yandex attaccati dall’Ucraina, che ospitano servizi cloud, applicazioni utilizzate da milioni di persone e risorse avanzate per lo sviluppo dell’intelligenza artificiale, senza che le informazioni pubblicamente disponibili consentano di accertare con sufficiente precisione il contributo concretamente fornito da ciascuna infrastruttura alle operazioni militari della rispettiva parte.
Considerati nel loro insieme, questi esempi mostrano come la proprietà privata e l’impiego prevalentemente civile non impediscano a una determinata infrastruttura di assumere rilevanza strategica o di concorrere, in circostanze specifiche, all’azione militare. Questo assunto, tuttavia, impone al contempo di dover evitare il ragionamento inverso, ovvero quello secondo cui il rapporto contrattuale con la difesa o l’importanza dell’impresa per l’economia nazionale siano elementi da soli sufficienti ad attribuire la medesima funzione a tutti i beni di cui si compone. La natura strategica o militare non può, in sostanza, essere estesa indistintamente all’intera organizzazione, ma deve essere accertata con riferimento alla funzione concretamente svolta da ciascun edificio, server o componente della rete.
La geografia fisica del cloud
È proprio la possibile compresenza di funzioni civili e militari nella medesima infrastruttura a rendere necessario considerare, come ulteriore approfondimento, la dimensione materiale del cloud e dell’intelligenza artificiale, troppo spesso nascosti dietro le semplificazioni giornalistiche e l’immagine di servizi accessibili ovunque. Il cloud, ad esempio, non elimina la dipendenza da luoghi e componenti fisici, ma organizza e distribuisce attraverso la rete risorse che continuano a essere concentrate in edifici identificabili e a dipendere da una catena composta da alimentazione elettrica, sistemi di raffreddamento, collegamenti in fibra, apparati di rete, forniture idriche e personale specializzato. Questa concentrazione è ancora più marcata nel campo dell’intelligenza artificiale, dove l’addestramento e l’esecuzione dei modelli più avanzati richiedono grandi quantità di energia e cluster composti da processori ad alte prestazioni (soprattutto GPU) collegati tra loro, la cui sostituzione o riallocazione non può avvenire rapidamente a causa della scarsità dei componenti, della complessità delle configurazioni e delle capacità infrastrutturali necessarie a sostenerli. La distribuzione logica dei dati e dei carichi di lavoro, quindi, può accrescere la resilienza del sistema, ma non elimina i punti di concentrazione materiale dai quali dipende la continuità delle sue funzioni.
Da questo stato di cose deriva una conseguenza operativa altrettanto rilevante: per ridurre o interrompere la capacità di calcolo dell’avversario non è sempre necessario distruggere in maniera mirata tutti i server e le infrastrutture che la producono. Il punto più vulnerabile può coincidere con il luogo che ospita gli apparati, con la sottostazione elettrica che ne garantisce l’alimentazione, con l’impianto di raffreddamento senza il quale le macchine non possono operare, così come con il collegamento in fibra o lo snodo di rete attraverso cui transita il traffico, sicché il danneggiamento di una singola dipendenza può compromettere un insieme di servizi molto più ampio rispetto all’area materialmente colpita.
La possibilità di produrre conseguenze così estese rende questi “nodi” particolarmente rilevanti per la pianificazione delle operazioni, senza che la loro utilità strategica ne determini automaticamente la qualificazione come obiettivi militari. Ciò spiega, al contempo, perché la protezione della capacità di calcolo di determinate infrastrutture tecnologiche non possa ormai essere più affidata soltanto alle misure di sicurezza informatica e di continuità operativa predisposte dalle imprese, ma richieda necessariamente il coinvolgimento dello Stato nel cui territorio esse sono situate.
Quando un data center diventa un obiettivo militare
Volendo analizzare brevemente i principali aspetti sul piano giuridico, la rilevanza attribuita a un’infrastruttura nella pianificazione delle operazioni militari o la sua importanza complessiva per il sistema tecnologico di una delle parti all’interno del conflitto non bastano da sole a qualificarla come obiettivo militare ai sensi del diritto internazionale umanitario. L’articolo 52, paragrafo 2, del I Protocollo aggiuntivo alle Convenzioni di Ginevra richiede che, affinché un bene possa essere qualificato come obiettivo militare, devono concorrere due condizioni cumulative. Esso, infatti, deve offrire, per natura, ubicazione, destinazione o impiego, un contributo effettivo all’azione militare e la sua distruzione totale o parziale, cattura o neutralizzazione deve procurare, nelle circostanze esistenti in quel momento, un vantaggio militare preciso. La valutazione, quindi, deve riguardare ciascuna infrastruttura nella sua concreta configurazione e nel momento in cui l’attacco viene pianificato, senza poter essere estesa automaticamente all’intera infrastruttura tecnologica, rete o servizio informatico, così come men che meno all’intera impresa che la gestisce. Peraltro, trattandosi di infrastrutture normalmente destinate anche a usi civili, dovrebbe trovare altresì applicazione la presunzione prevista dall’articolo 52, paragrafo 3, secondo la quale, in caso di dubbio circa il loro impiego a sostegno dell’azione militare, esse devono essere considerate come non utilizzate a tale scopo.
Per di più, la reciprocità dell’attacco armato non modifica gli obblighi derivanti dal diritto internazionale umanitario, ove l’articolo 52, paragrafo 1, del I Protocollo aggiuntivo alle Convenzioni di Ginevra vieta espressamente di fare dei beni di carattere civile oggetto di attacchi o rappresaglie, con la conseguenza che, ad esempio, l’eventuale illegittimità degli attacchi russi contro le infrastrutture civili ucraine non renderebbe lecito colpire, a titolo di rappresaglia, un data center civile in Russia.
Infine, anche qualora uno dei siti soddisfacesse i requisiti necessari per essere qualificato come obiettivo militare, ciò non renderebbe automaticamente lecito l’attacco, che dovrebbe rispettare comunque e sempre il principio di proporzionalità e gli obblighi di precauzione. L’articolo 51, paragrafo 5, lettera b), del I Protocollo aggiuntivo alle Convenzioni di Ginevra vieta gli attacchi armati dai quali possano prevedersi perdite incidentali di vite civili, lesioni ai civili o danni a beni di carattere civile eccessivi rispetto al vantaggio militare concreto e diretto atteso, mentre il successivo articolo 57 impone a chi pianifica o decide l’operazione di compiere tutto quanto sia concretamente possibile per verificare la natura militare del bersaglio, scegliere mezzi e metodi capaci di evitare o ridurre il danno incidentale e sospendere l’attacco qualora emerga che l’obiettivo non è militare o che le conseguenze previste sarebbero sproporzionate.
La capacità di calcolo come questione di sicurezza nazionale
Ad avviso di chi scrive, gli attacchi recenti contro i data center in Medio Oriente, Ucraina e Russia dimostrano che la protezione delle infrastrutture strategiche non può più essere organizzata meramente sulla base della loro titolarità pubblica o privata. Ciò, in quanto capacità essenziali per il funzionamento dello Stato, dell’economia e della difesa possono essere concentrate in beni appartenenti a operatori commerciali e, in alcuni casi, possono essere situate anche nel territorio di altri Paesi. Per comprendere quali infrastrutture debbano essere protette con maggiore priorità, lo Stato, quindi, non può più limitarsi a individuare gli operatori formalmente qualificati come critici, ma deve conoscere le funzioni concretamente sostenute da ciascun impianto, le sue dipendenze energetiche e di connettività, i punti nei quali si concentra la capacità di calcolo e le conseguenze che potrebbero derivare dalla perdita simultanea di più componenti. Soltanto una ricostruzione di questo tipo consente di stabilire quali siti debbano beneficiare di sistemi di allerta, sorveglianza fisica o protezione contro i droni, quali carichi di lavoro possano essere trasferiti in caso di attacco e quali comunicazioni debbano essere ripristinate per prime. Le imprese possiedono le informazioni tecniche indispensabili e possono rafforzare la resilienza dei propri sistemi, ma non dispongono degli strumenti militari necessari a proteggerli, né della legittimazione per bilanciare autonomamente la continuità dei servizi civili, le esigenze della difesa e i rapporti con gli Stati nei cui territori si trovano le infrastrutture. Decisioni, queste, che richiedono inevitabilmente una responsabilità pubblica chiaramente definita e meccanismi strutturati di condivisione delle informazioni.
Per l’Europa, gli attacchi contro queste infrastrutture spostano il problema oltre i termini nei quali è stato prevalentemente affrontato il tema della sovranità digitale, finora concentrato sul controllo dei dati e sulla dipendenza tecnologica dagli hyperscaler statunitensi. La questione riguarda ormai anche la protezione fisica della capacità di calcolo (così come di molto altro) e diventa particolarmente complessa quando l’impresa proprietaria, i soggetti che utilizzano i servizi e lo Stato nel cui territorio si trova l’infrastruttura appartengono a ordinamenti differenti.
La direttiva NIS 2, il regolamento DORA per il settore finanziario e la direttiva CER rafforzano, su piani differenti, la gestione dei rischi di cibersicurezza, la resilienza operativa digitale e la resilienza delle entità critiche anche rispetto a minacce ibride o di origine dolosa, ma non sono state concepite per stabilire quali impianti privati debbano beneficiare di protezione militare, come debbano essere assegnate le limitate capacità di difesa aerea e antidrone, oppure quando sia necessario separare i carichi civili da quelli militari per ridurre il rischio trasferito sulla popolazione. Non si tratta di una lacuna regolatoria in senso stretto, ma del punto nel quale la resilienza affidata agli operatori incontra la responsabilità degli Stati per la sicurezza nazionale e la difesa, rendendo necessari meccanismi di coordinamento che coinvolgano anche il Paese nel quale l’infrastruttura è materialmente localizzata.
Il sabotaggio avvenuto lo scorso 23 settembre contro una stazione terrestre Starlink nella Polonia centrale rende concreta questa esigenza, in quanto l’incendio ha colpito il sistema di alimentazione e il generatore di emergenza dell’impianto nel tentativo, secondo le autorità polacche, di interrompere servizi di connettività utilizzati anche dalle forze armate ucraine. Sebbene la responsabilità dell’azione non sia stata pubblicamente attribuita, l’episodio dimostra che la medesima funzione strategica può essere aggredita persino al di fuori del territorio nel quale si svolgono le operazioni militari, colpendo mediante strumenti clandestini non necessariamente l’infrastruttura digitale principale, ma una delle dipendenze fisiche dalle quali deriva il suo funzionamento. Il confine tra protezione delle infrastrutture critiche, contrasto al sabotaggio, risposta alle minacce ibride e difesa militare diventa così sempre meno netto, mentre resta indispensabile evitare che l’incertezza sull’autore o sulla natura dell’operazione conduca ad attribuzioni non sufficientemente dimostrate.
L’odierna vicenda Yandex conferma, in definitiva, che la dimensione fisica del potere digitale è entrata stabilmente nella guerra contemporanea. Server, sistemi di raffreddamento, collegamenti in fibra, stazioni terrestri e processori ad alte prestazioni, come le GPU, utilizzati per addestrare e far funzionare i modelli di intelligenza artificiale non costituiscono soltanto componenti dell’economia tecnologica, ma sostengono ormai servizi essenziali, funzioni pubbliche e capacità operative dalle quali dipende la sicurezza degli Stati. La loro protezione, quindi, non può essere affidata esclusivamente alla cibersicurezza e agli obblighi di resilienza imposti alle imprese, ma deve essere integrata nella pianificazione della difesa attraverso attività di intelligence, sistemi di allerta, protezione fisica, capacità di difesa antidrone e cooperazione con gli Stati che ospitano quelle infrastrutture.
Questa crescente rilevanza strategica non consente, tuttavia, di qualificare automaticamente come obiettivo militare ogni bene appartenente a un fornitore tecnologico, poiché la funzione concretamente svolta dal singolo impianto deve continuare a essere distinta dall’importanza complessiva dell’impresa o dal suo generico contributo alla potenza nazionale. La questione posta ai governi dagli attacchi degli ultimi mesi consiste, pertanto, nel proteggere la capacità di calcolo come risorsa essenziale per la sicurezza nazionale, preservando al tempo stesso una distinzione giuridica e operativa credibile tra le funzioni militari e i servizi civili che condividono le medesime infrastrutture.
Dalla capacità di compiere questa distinzione dipenderanno tanto la continuità dei servizi essenziali quanto la possibilità di sostenere le operazioni militari senza trasferirne in misura ancora maggiore i rischi sulla popolazione civile.
Login
