Gli Stati Uniti e la guerra agli hacker iraniani

L’annuncio dell’operazione “Economic Outcast”,fatta dal Segretario del Tesoro americano Bessent, ha tra i suoi obiettivi gli hacker iraniani, che proprio alcuni giorni fa avevano “fatto rumore” con l’operazione dell’attacco a una una piccola centrale elettrica britannica che non ha avuto conseguenze sulla fornitura nazionale di elettricità, ma rappresenta un segnale serio, una sorta di avvertimento.

Gli Stati Uniti sanzionano da anni hacker e gruppi cyber iraniani, considerandoli attori statali o legati al Corpo delle Guardie della Rivoluzione Islamica (IRGC/Pasdaran) e al Ministero dell’Intelligence (MOIS). Le azioni combinano sanzioni OFAC (blocco beni, divieto di transazioni, rischio di sanzioni secondarie) e incriminazioni penali del Dipartimento di Giustizia. 

Il 18 agosto 2026, per esempio il Departiment of Justice ha incriminato 17 cittadini iraniani legati al Mabna Institute di Teheran per una campagna iniziata nel 2013. Secondo l’accusa: hanno compromesso circa 8.000 account di professori in 144 università americane e 178 all’estero; hanno rubato oltre 31 terabyte di dati accademici e proprietà intellettuale (valore stimato 3,4 miliardi di dollari); hanno colpito anche agenzie federali (Dipartimento del Lavoro, Federal Energy Regulatory Commission), aziende private e organizzazioni internazionali. Molte di queste operazioni sarebbero state svolte per conto dell’IRGC (Le Guardie Rivoluzionarie Iraniane).

Il Dipartimento di Stato ha, inoltre, messo in palio ricompense fino a 10 milioni di dollari per informazioni su alcuni di questi attori. 

Le sanzioni colpiscono sia gli individui sia le società di copertura usate come front company. I beni negli USA vengono bloccati e i soggetti americani non possono fare affari con loro; chi li aiuta dall’estero rischia sanzioni secondarie.  Nella pratica, molti restano in Iran e le incriminazioni hanno soprattutto valore deterrente e di segnalazione politica. Le azioni del 2026 si inseriscono in una campagna più ampia di pressione economica, coincidente con l’escalation militare in corso.

Gli hacker a servizio degli Stati sono i gruppi chiamati APT (Advanced Persistent Threat): team finanziati, diretti o protetti da governi e servizi di intelligence. Non agiscono per fama o per ideologia personale, ma per obiettivi di Stato: spionaggio, furto di tecnologia, sabotaggio, influenza e, in alcuni casi, raccolta di denaro. 

Come lavorano.

Non sempre sono militari in divisa. Esistono tre modelli principali: unità interne di intelligence o esercito (es. GRU russo, MSS cinese, IRGC iraniano), contractor privati pagati dallo Stato. In Cina è emerso il caso i-Soon: società che hackeravano su commissione del Ministero della Sicurezza di Stato e poi rivendevano i dati rubati e poi criminali “protetti”: in Russia e in parte in Iran, gruppi criminali operano con copertura implicita in cambio di servizi allo Stato.

Così come spiega il professor Luigi Martino, docente di Cybersicurezza all’Università di Firenze e alla Khalifa Univesity di Abu Dhabi

E il professore fa anche un quadro delle tecniche utilizzate: lo spear-phishing, sfruttamento di zero-day, compromissione della supply chain (come SolarWinds), accesso persistente “silenzioso” alle reti (living off the land) e, sempre più, abuso di servizi legittimi (Google, Microsoft, Telegram, GitHub) per nascondersi. A differenza di collettivi indipendenti o attivisti, questi gruppi hanno budget, tempo, copertura legale nel proprio Paese e obiettivi strategici di lungo periodo. Un attacco APT può durare mesi o anni prima di essere scoperto. Bisogna dire però che anche Stati Uniti, Israele, Regno Unito e altri Paesi occidentali hanno capacità cyber offensive (NSA, Unit 8200 israeliana in primis) ma “ufficialmente” non riconosciute con attribuzioni pubbliche e le sanzioni si concentrano soprattutto su Cina, Russia, Iran e Corea del Nord. Gli Stati Uniti hanno sequestrato piattaforme usate da un gruppo cinese sponsorizzato dallo Stato che avrebbe colpito NASA, Federal Reserve, Dipartimento di Giustizia e Senato USA. 

In sintesi spiega il professor Martino gli hacker di Stato sono uno strumento di potenza nazionale, al pari di diplomazia, intelligence tradizionale e forza militare, solo più economico e più denegabile.

Come sono cambiati gli hacker  negli ultimi 20 anni

Dal 2007 a oggi gli hacker sono cambiati più nel modello che nella raffigurazione mitologica e mediatica che se ne ha: da figure spesso individuali o da collettivi rumorosi a un ecosistema professionale, ibrido e geopolitico.

Proviamo a fare un quadro di questa evoluzione per capire meglio come si è arrivati a gruppi criminali a “disposizione” di governi o privati che li utilizzano anche per modificare le dinamiche geopolitiche e che tra di loro collaborano e condividono obiettivi o se li scambiano a seconda delle necessità e del ritorno economico.

– 2007–2010: la caratterizzazione è rumore, lulz (per divertimento)  e ci sono i primi segnali della presenza degli Stati. Nel 2007 il riferimento è l’attacco DDoS all’Estonia e la cultura di 4chan/Anonymous: attacchi visibili, defacement, botnets, worm, “per il lulz” o per protesta. Lo script kiddie e l’hacktivista occupano il centro della scena. Lo Stato c’è già, ma è ancora poco attribuito in pubblico. Il punto di svolta è Stuxnet (scoperto nel 2010): un malware che danneggia le centrifughe nucleari iraniane. Da questo momento in poi il cyber non è più solo furto di dati o scherzi: può rompere macchine nel mondo fisico. 

– 2011–2013: hacktivismo di massa, poi arriva il denaro. Anonymous e LulzSec colpiscono Scientology, Sony, CIA, aziende e governi. È l’ultima grande stagione in cui un collettivo senza leader può fare notizia globale con DDoS e leak. Poi arriva CryptoLocker (2013) insieme a Bitcoin: il riscatto diventa pagabile e difficile da tracciare. Nasce il ransomware moderno. E così si passa dalla “fama” al “profitto”. 

– 2014–2017: è il momento in cui gli Stati escono allo scoperto. Gli APT smettono di essere un termine da report e diventano cronaca: Sony Pictures (Corea del Nord); interferenze elettorali e leak (Russia); WannaCry e NotPetya (2017): ransomware usato anche come arma, con danni globali a ospedali e aziende

Anche i  “tool” della famosa e mitica NSA  americana finiscono in rete (Shadow Brokers). Le tecniche “da intelligence” diventano disponibili anche al crimine. Lo Stato e il criminale iniziano a somigliarsi nei metodi. 

-2018–2021: Il crimine si organizza come un’industria e cioè: “ransomware-as-a-Service”, chi sa entrare vende l’accesso, chi gestisce il ransomware prende una percentuale oppure doppia e tripla estorsione (cifra i file e minaccia di pubblicare i dati). Ma anche attacchi alla supply chain: SolarWinds (2020) o anche colpire infrastrutture che fanno male subito: Colonial Pipeline (2021).

-2022–2026: guerra, ibridi e intelligenza artificiale.  Ed è questa la nuova fase . Con l’invasione dell’Ucraina il cyber torna anche hacktivista (IT Army, collettivi pro e contro), ma sullo sfondo lavorano unità statali. Cina pre-posiziona accessi nelle infrastrutture (Volt Typhoon, Salt Typhoon). La Corea del Nord ruba cripto su scala industriale (furti da centinaia di milioni o miliardi). L’Iran mescola spionaggio, ritorsione e gruppi con facciata “hacktivista”. 

Ed ecco le  tre novità degli ultimi anni:

1)Confini sfumati: lo Stato usa contractor e criminali; i criminali copiano il tradecraft degli APT.

2)Velocità: il tempo tra la pubblicazione di una vulnerabilità e il suo sfruttamento è crollato da mesi a giorni o ore.

3)Intelligenza artificiale: non inventa un nuovo tipo di attacco, ma accelera il phishing, la scrittura di codici, la scansione e in alcuni casi intere fasi dell’intrusione. Non è ancora “l’hacker autonomo totale”, ma abbassa la soglia di chi può fare danni seri. 

Insomma nel 2007 “hacker” evocava ancora una persona (o una maschera di Guy Fawkes) dietro una tastiera ed era ancora visto “come una cosa da film”. Nel 2026 è sempre di più un’organizzazione: unità di intelligence, contractor pagati da un ministero, affiliate di ransomware, o un singolo che con l’AI fa il lavoro di una piccola squadra. La tecnica è più silenziosa; la politica e i soldi sono più espliciti.

Come scriveva Carola Frediani, nel libro “Guerre di rete”, il livello più alto è “quello dell’hacking di Stato tra spionaggio e sabotaggio, della sotterranea guerra di posizionamento tra governi, loro agenzie e gruppi parastatali o schiettamente criminali, di cui di tanto in tanto fuoriescono eruzioni improvvise e sorprendenti come quelle di un geyser. Un mondo sotterraneo alimentato da un crescente complesso cyber-industriale in cui attori, interessi e strumenti si mescolano e rimescolano in una lunga e opaca risacca”.

(per la redazione dell’articolo le fonti utilizzate sono: home.treasury.gov; cnn.com ; agenzianova.com; cisa.gov; justice.gov; ibm.com; forescout.com; comparitech.com; vectra.ai; nextgov.com; hivesecurity.gitlab.io – Piccolo glossario di termini tecnici spear pishing: attacco informatico mirato in cui i criminali inviano messaggi personalizzati, fingendosi una fonte attendibile, per rubare dati sensibili o installare malware- supply chain: catena d’approvvigionamento -lulz: azioni di disturbo o attacchi informatici fatti unicamente per divertimento e caos -defacement: attacco informatico in cui un hacker modifica in modo non autorizzato il contenuto visibile di un sito web-leak: quando dati o risorse vengono resi accessibili senza autorizzazione- DDos: acronimo di Distributed Denial of Service, attacco informatico che rende un sito web, un server o un servizio online inaccessibile agli utenti legittimi)