Doppelgänger? Una struttura che individua le vulnerabilità politiche di ciascun Paese, costruisce il messaggio più adatto per sfruttarle, produce il contenuto e infine ne misura la capacità di penetrazione. Dietro, funzionari dell’Amministrazione presidenziale russa, comunicatori, ex diplomatici, specialisti dei social network e professionisti della propaganda.

Un’inchiesta di The Insider spiega, sulla base della corrispondenza hackerata tra personale dell’Amministrazione presidenziale russa e dipendenti dell’Agency for Social Design (Asd), la struttura che avrebbe coordinato una parte rilevante delle attività della rete conosciuta in Occidente come Doppelgänger.

La documentazione descritta da The Insider permette soprattutto di guardare dietro il prodotto finale della disinformazione, dagli articoli falsi e video manipolati a quello che c’è dietro: riunioni, indicazioni operative, distribuzione delle competenze, studio dei pubblici e valutazioni sull’efficacia delle campagne.

La regia del Cremlino

Secondo i documenti esaminati dalla testata, l’operazione sarebbe stata avviata da Sergei Kiriyenko, primo vicecapo dell’Amministrazione presidenziale russa. La supervisione avrebbe coinvolto in particolare Alexander Kharichev, responsabile della componente rivolta all’Ucraina, e Sofia Zakharova, indicata invece come figura di riferimento per le operazioni destinate ai Paesi occidentali. L’esecuzione del progetto sarebbe stata affidata a Ilya Gambashidze e alla sua Agency for Social Design.

In un rapporto indirizzato all’Amministrazione presidenziale, ricostruisce The Insider, Gambashidze presentava il progetto come uno strumento capace di influenzare l’opinione pubblica dei Paesi bersaglio senza apparire apertamente come propaganda russa. L’obiettivo non era necessariamente convincere un pubblico occidentale ad assumere posizioni esplicitamente filorusse, quanto fare entrare determinate narrative all’interno di discussioni politiche già esistenti.

A luglio 2022, secondo l’inchiesta, era già stato delineato un piano per condurre contemporaneamente la campagna in cinque Paesi europei. Le priorità indicate erano tre: screditare Stati Uniti, Regno Unito e Nato; diffondere la rappresentazione russa della guerra in Ucraina; e, soprattutto sul fronte tedesco, alimentare l’opposizione alle sanzioni.

L’Italia era già un bersaglio nel 2022

L’Italia compare fin dalle prime fasi dell’operazione. Secondo i documenti consultati da The Insider, alla fine di giugno 2022 Doppelgänger era già attivo almeno in Germania, Italia e Regno Unito.

Il sistema prevedeva la pubblicazione sui social network di post collegati a falsi siti che imitavano testate giornalistiche conosciute. Collegamenti agli stessi siti venivano inoltre inseriti nei commenti sotto i contenuti pubblicati da media reali, utilizzando Facebook, Instagram e Telegram. Per promuovere alcuni post venivano investite quotidianamente centinaia di dollari. Con l’obiettivo di alimentare l’ostilità verso i rifugiati ucraini, gli operatori proposero di diffondere una falsa storia secondo cui le ville sequestrate ai cittadini russi sarebbero state consegnate ai profughi provenienti dall’Ucraina, mentre le spese necessarie al loro mantenimento sarebbero state sostenute dai bilanci locali, cercando ci collegare la presenza dei rifugiati alla pressione sulle risorse pubbliche italiane, trasformando una questione internazionale in un potenziale elemento di conflitto politico interno.

L’Agency for Social Design, secondo la documentazione esaminata da The Insider, pensò di commissionare a blogger italiani uno sketch contro le sanzioni alla Russia, senza però rivelare chi fosse davvero il committente. Agli interessati, secondo quella stessa comunicazione, era stato fatto credere che dietro l’incarico ci fosse un partito politico italiano.

Come si costruisce un falso

Il materiale ottenuto da The Insider contiene anche una sorta di manuale per la produzione dei contenuti, dalla realtà aumentata o special report per indicare fotografie, video e screenshot manipolati, fino ai veri e propri fake. Le tecniche previste andavano dalla modifica digitale di un’immagine alla sostituzione dei volti, dal doppiaggio di filmati alla produzione di video su green screen. Tra questi, anche la realizzazione di scene completamente costruite.

Ed è ancora una volta l’Italia a comparire espressamente nelle istruzioni: gli operatori potevano girare in Russia utilizzando oggetti e scenografie capaci di ricreare ambientazioni simili alla Germania, all’Italia o all’Inghilterra, affidando ad attori l’interpretazione delle scene predisposte e intervenendo successivamente con la computer grafica. In alternativa, le riprese potevano essere effettuate direttamente nei Paesi bersaglio.

Un messaggio diverso per ogni pubblico

Dai documenti emerge anche una notevole attenzione alla segmentazione del pubblico. Uno stesso evento poteva essere commentato attraverso identità politiche, nazionali o religiose differenti, in modo da inserirsi contemporaneamente in comunità che partivano da posizioni persino opposte.

The Insider riporta, ad esempio, istruzioni per costruire commenti attribuibili di volta in volta a un cittadino francese medio, a un musulmano francese, a un elettore tedesco di sinistra o a un tedesco di origine turca. Insomma, non era necessario che queste voci sostenessero la stessa argomentazione, ma che potessero inserirsi nella sensibilità del pubblico prescelto.

Lo stesso principio compare poi nell’utilizzo dell’intelligenza artificiale. L’inchiesta ha trovato tra i materiali di un responsabile della campagna alcuni prompt risalenti ad aprile 2024, destinati a generare commenti scritti dal punto di vista di persone con caratteristiche sociali e politiche precise: un francese contrario alle spese per le Olimpiadi, una donna polacca preoccupata per l’inflazione e l’immigrazione ucraina, una cittadina israeliana critica verso i costi della guerra.

Diplomatici, funzionari e specialisti della comunicazione

La ricostruzione di The Insider dedica una parte consistente anche alle persone impiegate nella cosiddetta “European counter-campaign”. Secondo l’inchiesta, alcuni lavoravano formalmente per il Center for Global IT Cooperation, ma provenivano da istituzioni dello Stato russo. Nel 2024 il centro avrebbe assunto circa due dozzine di persone, tra cui ex funzionari del Ministero degli Esteri e laureati dell’MGIMO, l’università moscovita tradizionalmente legata alla formazione della diplomazia russa.

La figura più importante dell’Unione europea viene identificata in Alexey Goltyaev, ex funzionario del Ministero degli Esteri e, dal 2024, dirigente nell’apparato del Consiglio di sicurezza russo. Margarita Klimanova, consigliera dell’Amministrazione presidenziale, avrebbe invece avuto la responsabilità del targeting delle audience, con particolare attenzione ai giovani e alle comunità migranti. Un’altra funzionaria dell’Amministrazione, Ekaterina Sorokova, avrebbe seguito statistiche e calendari, contribuendo a stabilire quali eventi dovessero ricevere maggiore attenzione.

Un significativo passo in avanti rispetto alle tradizionali “fabbriche dei troll”, che affianca alla produzione del contenuto analisi dei pubblici, calendarizzazione, statistiche, distribuzione e valutazione dei risultati.

Dopo Prigozhin?

Secondo The Insider, la dissoluzione dell’apparato mediatico costruito attorno a Yevgeny Prigozhin, dopo la sua morte nell’agosto 2023, avrebbe rappresentato un punto di svolta. Rimasta senza una guida, la precedente infrastruttura della “troll factory”, il progetto coordinato da Kiriyenko sarebbe diventato progressivamente uno dei principali strumenti per la diffusione della disinformazione russa all’estero. Alcuni ex appartenenti alle strutture di Prigozhin sarebbero poi entrati nella distribuzione dei materiali prodotti dall’Agency for Social Design. Parallelamente, professionisti provenienti dai media russi e consulenti politici avrebbero curato video, manifesti, meme e altri prodotti destinati alle differenti campagne. Da qui,  emerge una trasformazione organizzativa importante. La logica della propaganda rimane ma diviene più strutturata: produzione professionale dei contenuti, targeting delle audience e coordinamento con figure riconducibili all’apparato statale.

Online e Onlife?

The Insider afferma di aver ricostruito il coinvolgimento di persone direttamente collegate a Kharichev e all’Agency for Social Design nell’organizzazione di campi di addestramento destinati a operazioni in Europa, dall’interferenza elettorale in Moldova fino a provocazioni e sabotaggi nei Paesi occidentali.

Secondo la testata, un gruppo composto anche da neonazisti e hooligan sarebbe stato addestrato nei Balcani all’utilizzo di droni con esplosivi. The Insider precisa che saranno oggetto della seconda parte dell’indagine. L’immagine restituita dai documenti visionati restituisce una struttura che studia il contesto politico del Paese bersaglio, individua le sue linee di frattura e prova a inserirvi contenuti costruiti per sembrare locali.

Dunque, che fare? Alla base vi è una conoscenza delle nostre divisioni e la capacità di sfruttarle; per difendersi o reagire occorre conoscere le proprie fratture meglio di chi vuole strumentalizzarle e comprendere la logica di chi vuole attaccarci per neutralizzare la sua efficacia.

Non sarà un laboratorio per sviluppare nuovi modelli di intelligenza artificiale, né una struttura separata dall’intelligence tradizionale. Il nuovo AI Threat Assessment Centre (AiTac), annunciato dal direttore generale dell’MI5, Ken McCallum, nasce piuttosto per capire quali delle minacce associate all’IA siano concrete, quali ancora teoriche e quali richiedano una risposta immediata da parte degli apparati di sicurezza britannici.

La struttura è stata collocata all’interno dell’MI5 ma riunisce competenze provenienti anche dall’AI Security Institute, dalla National Crime Agency e dal National Cyber Security Centre. Il suo compito sarà produrre valutazioni all-source, mettendo insieme intelligence, competenze tecniche e analisi delle capacità emergenti. McCallum lo ha presentato il 13 ottobre durante il tradizionale aggiornamento annuale sulle minacce alla sicurezza nazionale.

Capire cosa l’IA può davvero fare

L’obiettivo non è trattare ogni sviluppo tecnologico come una minaccia, ma ridurre la distanza tra la velocità dell’innovazione e quella della valutazione di intelligence.

Per l’MI5 alcuni effetti sono già visibili. L’IA sta aumentando le capacità offensive e difensive nel dominio cyber, può rendere più efficace la produzione di propaganda personalizzata e viene già studiata da soggetti terroristici per affinare attività di ricognizione e pianificazione. McCallum ha inoltre indicato nell’impiego dell’IA applicata alle armi biologiche uno dei rischi potenzialmente più significativi, precisando tuttavia che si tratta di uno scenario non ancora concretizzato.

La distinzione è rilevante. Una struttura di intelligence dedicata all’IA serve anche a separare capacità dimostrate, possibilità tecnicamente plausibili e semplice rumore. In altre parole, a impedire che le decisioni di sicurezza nazionale siano prese inseguendo alternativamente entusiasmo tecnologico e scenari catastrofici.

L’AiTac riprende, per un dominio completamente diverso, una formula già sperimentata dall’intelligence britannica. Dopo l’11 settembre era stato creato il Joint Terrorism Analysis Centre; con l’aumento delle attività ostili riconducibili a potenze straniere era arrivato il Joint State Threats Assessment Team. L’IA viene ora trattata come un ambito sufficientemente trasversale da richiedere una capacità analitica specifica.

La terza missione dell’MI5

C’è però un altro passaggio del discorso di McCallum che rischia di essere più importante dello stesso nuovo centro. L’MI5 ha portato Protect allo stesso livello delle sue due tradizionali missioni operative: il contrasto al terrorismo e quello alle minacce provenienti dagli Stati.

Protect riguarda la resilienza del Paese: infrastrutture critiche, reti energetiche, sistemi finanziari, imprese, catene di approvvigionamento, ricerca scientifica e, in misura crescente, la capacità della società di assorbire operazioni di influenza e destabilizzazione senza produrre l’effetto cercato dall’avversario.

Non significa che l’MI5 si trasformi in un’agenzia di protezione civile. Il ragionamento è diverso. Sabotaggio, cyberattacchi, droni, operazioni di influenza e reclutamento di intermediari consentono a un attore straniero di produrre effetti strategici senza entrare in un conflitto convenzionale. Proteggere preventivamente il sistema che questi attori cercano di colpire diventa quindi parte dell’attività di controintelligence.

La fotografia fornita da Thames House aiuta a capire il perché. Nel 2026 l’MI5 dedica alle minacce statali più risorse di quante ne destinasse durante la Guerra fredda e il relativo case load è quadruplicato nell’ultimo decennio. Terrorismo e minacce statali hanno ormai, secondo McCallum, dimensioni operative sostanzialmente equivalenti.

Russia, Iran e Cina

La Russia rimane per l’MI5 il principale attore aggressivo e continua a ricorrere a operazioni ibride mantenendosi al di sotto della soglia che potrebbe provocare una risposta convenzionale della Nato. L’espulsione di quasi mille appartenenti alla presenza diplomatica russa dall’inizio dell’invasione dell’Ucraina ha ridotto la capacità di Mosca di utilizzare il tradizionale apparato sotto copertura diplomatica. La risposta, sostiene il servizio britannico, passa sempre più attraverso criminali, intermediari e volontari reclutati per singole operazioni.

Anche l’Iran ricorre in misura crescente a proxy. Negli ultimi dodici mesi, ha spiegato McCallum, le operazioni britanniche legate a Teheran hanno portato a più di cinquanta arresti. Alle attività contro dissidenti, organizzazioni e obiettivi israeliani si sarebbe aggiunto nel corso del 2026 un interesse più marcato verso obiettivi militari britannici.

Nel caso della Cina il problema descritto dall’MI5 rimane invece principalmente quello dello spionaggio, della coercizione e dell’interferenza politica, insieme all’acquisizione di conoscenze scientifiche e tecnologiche. Solo due settimane prima del discorso di McCallum il servizio aveva diffuso un avviso agli atenei britannici sul China General Technology Research Institute, indicato dall’MI5 come un soggetto utilizzato per finanziare ricerca utile a migliorare le capacità tecniche del Ministry of State Security cinese.

Dalla protezione del segreto alla protezione del sistema

È qui che la riorganizzazione britannica offre l’indicazione più interessante anche fuori dal Regno Unito. La funzione di un servizio interno non si limita più a identificare una spia, interrompere un’operazione clandestina o impedire un attentato. Deve contribuire a individuare vulnerabilità che un avversario potrebbe sfruttare prima ancora che venga individuata un’operazione specifica.

L’intelligence rimane intelligence. Ma quando il confronto passa contemporaneamente attraverso cyber, infrastrutture, università, piattaforme digitali, tecnologia e intermediari privati, il confine tra controspionaggio e resilienza diventa inevitabilmente più sottile. È questo, più dell’apertura di un nuovo ufficio dedicato all’IA, il passaggio che Londra ha appena formalizzato.

C’è anche l’Italia tra i Paesi che hanno deciso di schierarsi al fianco di Londra nell’attribuzione dell’incidente avvenuto il 27 settembre a RAF Fairford all’Iran. La dichiarazione pubblicata lunedì dal governo britannico porta la firma di 32 ministri degli Esteri, dagli Stati Uniti alla Germania, dalla Francia all’Australia.

L’attribuzione

I firmatari dichiarano infatti di riconoscere formalmente la valutazione del Regno Unito sul coinvolgimento iraniano nell’episodio che ha interessato la base britannica. Secondo Londra, il caso Fairford mostra ancora una volta la disponibilità dei Guardiani della Rivoluzione islamica, l’Irgc, a condurre attività ostili all’estero servendosi di “covert networks and proxy actors”, reti clandestine e intermediari.

È questo il cuore politico della dichiarazione. Non una generica denuncia delle attività iraniane, ma l’adesione di un gruppo ampio di alleati alla lettura fornita dall’intelligence britannica di un episodio avvenuto sul territorio del Regno Unito.

Da Fairford ai Guardiani della Rivoluzione

Il premier britannico Andy Burnham, intervenendo alla Camera dei Comuni, è andato ancora più avanti. Secondo la valutazione del governo, quanto accaduto a Fairford sarebbe stato con “alta probabilità” coordinato in Iran e “quasi certamente” diretto dai Guardiani della Rivoluzione.

Londra ha quindi promesso nuove misure per ridurre la capacità dell’Iran e dell’Irgc di condurre operazioni nel Regno Unito e ha annunciato un giro di vite sull’utilizzo delle reti criminali da parte di Teheran. È da tempo che i servizi occidentali osservano il ricorso iraniano a soggetti esterni agli apparati formali dello Stato: intermediari, gruppi criminali e attori locali che permettono di mantenere una distanza tra il committente e l’azione materiale. Una modalità che complica l’attribuzione, riduce l’esposizione diretta e rende più difficile stabilire dove finisca la criminalità comune e dove inizi un’operazione di Stato.

Nello stesso giorno il Foreign Office ha convocato l’ambasciatore iraniano e sanzionato due cittadini iraniani. Uno è Ruhollah Bazghandi, indicato da Londra come responsabile delle operazioni di controspionaggio dell’Irgc. L’altro è Shahram Ali Reza Tamarzadeh Jakki, descritto dal governo britannico come facilitatore della rete criminale Zindashti e coinvolto in diversi complotti contro dissidenti iraniani.

Il dossier

A giugno, 24 Paesi – compresa l’Italia – avevano firmato una dichiarazione sulle minacce riconducibili agli apparati di sicurezza iraniani. Il documento citava espressamente l’organizzazione di intelligence dei Guardiani della Rivoluzione, la Forza Quds e il ministero dell’Intelligence, accusandoli di aver promosso complotti e altre operazioni contro dissidenti iraniani, giornalisti e comunità ebraiche e israeliane in Europa, Nord America e Australia. Un passaggio sottolineava in particolare i rapporti, definiti di lunga data, tra i servizi iraniani e gruppi criminali locali e internazionali.

C’è poi il capitolo HAYI, Harakat Ashab al-Yamin al-Islamiya, noto nel Regno Unito anche come Islamic Movement of Companions of the Right. Il gruppo ha rivendicato una serie di attacchi in Europa contro obiettivi legati alle comunità ebraiche, ai media iraniani e agli interessi statunitensi. Londra lo ha sanzionato a luglio, ricordando le sette azioni che l’organizzazione aveva pubblicamente rivendicato nel Regno Unito.

La dichiarazione del 12 ottobre inserisce esplicitamente anche questa campagna nel quadro delle attività che i governi occidentali stanno osservando: assassinii, incendi dolosi, sabotaggi, attacchi informatici e altre operazioni ibride. È un modello che gli apparati di sicurezza europei incontrano sempre più spesso. Cambiano gli attori e cambiano gli obiettivi, ma il principio resta quello di operare sotto la soglia di un confronto diretto, sfruttando intermediari che rendano più opaca la catena di comando. E Fairford, nella valutazione britannica oggi condivisa anche dall’Italia, appartiene esattamente a questa zona grigia.

La pressione ibrida esercitata dalla Russia potrebbe contribuire a restringere le distanze tra gli alleati sulla natura della minaccia e, soprattutto, sulla risposta da dare a Mosca. È la lettura offerta dal ministro degli Esteri della Lituania, Kęstutis Budrys, in un’intervista concessa al Washington Times.

Secondo il vertice della diplomazia di Vilnius, le operazioni ibride e di sabotaggio riconducibili alla Russia stanno avvicinando le posizioni dei Paesi dell’Alleanza. Per rendere credibile la deterrenza, ha spiegato, occorre rispondere con fermezza e dimostrare che esistono linee rosse che gli alleati sono disposti a difendere.

La soglia è politica

La questione per la Nato è stabilire come reagire, in modo collettivo, a una campagna che, proprio perché condotta attraverso strumenti differenti – sabotaggio, operazioni cibernetiche, interferenze, violazioni dello spazio aereo, azioni contro infrastrutture critiche – tende a restare al di sotto della soglia inequivocabile di un attacco militare convenzionale.

Le operazioni sotto soglia consentono di imporre costi all’avversario, mettere sotto pressione i suoi apparati di sicurezza e testarne le reazioni senza arrivare necessariamente a una situazione che imponga il ricorso alla difesa collettiva prevista dall’articolo 5 del Trattato Atlantico.

La valutazione di Vilnius è che questi episodi non vadano letti nel loro insieme, analizzando come la Russia stia sistematicamente testando la vigilanza della Nato e la sua capacità di risposta. Da qui la richiesta di accelerare sulle capacità anti-drone, sulla protezione delle infrastrutture critiche e sulla condivisione dell’intelligence, ma anche di rendere più rapido il processo di attribuzione delle operazioni ostili e di concordare risposte capaci di imporre un costo concreto all’autore dell’attacco.

Nelle operazioni ibride, il tempo che intercorre tra un incidente, la sua attribuzione e una risposta politica rappresenta esso stesso uno spazio di manovra. E ridurlo significa restringere il margine nel quale una potenza avversaria può operare contando (e sfruttando) sull’incertezza degli alleati.

Dalla Lituania un messaggio alla Nato

Vilnius insiste da tempo su questo punto. All’inizio di settembre Budrys aveva sostenuto che alcune azioni russe non potessero più essere liquidate semplicemente come minacce “ibride”, osservando come il ricorso a mezzi potenzialmente distruttivi renda sempre meno netta la separazione tra attività clandestina e azione cinetica.

La risposta proposta dalla Lituania risiede nel tentativo di rendere più prevedibile la deterrenza. Come? Più chiaro è il costo associato a determinate condotte, minore è lo spazio per testare ripetutamente la coesione dell’Alleanza senza conseguenze.

Budrys ha indicato, tra gli strumenti, nuove sanzioni, una politica più restrittiva nei confronti degli operatori russi che agiscono sotto copertura diplomatica, maggiori iniziative contro la cosiddetta flotta ombra e un rafforzamento delle difese sul fianco orientale. Il ministro ha inoltre sostenuto che l’operazione Nato Baltic Sentry, avviata per aumentare la sorveglianza nel Baltico, abbia già mostrato come una presenza alleata più visibile possa contribuire a ridurre le attività ostili contro le infrastrutture critiche.

Le operazioni ibride sono messe in atto per sfruttare l’ambiguità, produrre incertezza sull’attribuzione e creare divergenze sulla risposta. Ma più queste operazioni diventano frequenti e riconoscibili, più rischiano di produrre l’effetto opposto.

Le valutazioni europee continuano a distinguere, infatti, tra l’intensificazione delle attività ibride russe e la prospettiva di un attacco convenzionale diretto contro la Nato, considerato al momento meno probabile anche per l’impiego delle forze russe in Ucraina. Il problema immediato è piuttosto impedire che sabotaggi, incursioni e operazioni clandestine, ormai componenti ordinarie del confronto tra Russia e Occidente, vedano un’impennata di casi senza però registrare un indurimento delle reazioni occidentali ed un aumento dei costi per chi perpetra queste condotte.