Dietro l’incendio scoppiato lo scorso 14 settembre sulla piattaforma industriale Carfil di Brașov, nella Romania centrale, ci sarebbe una rete di sabotaggio coordinata dalla Federazione Russa. A renderlo pubblico è stato il Serviciul Român de Informații (SRI), che ha annunciato di avere ricostruito, insieme alle autorità nazionali e a partner stranieri, una parte della struttura responsabile dell’operazione.

Il caso è stato riportato anche dal Kyiv Independent, secondo cui l’incendio si è verificato nei pressi di Carfil SA, società controllata dalla compagnia statale della difesa Romarm. Il giornale ucraino, citando le autorità rumene, riferisce del coinvolgimento di tre cittadini provenienti dallo spazio ex sovietico, due bielorussi e un ucraino, inseriti in una rete utilizzata per compiere operazioni di sabotaggio in diversi Paesi europei.

È soprattutto la dimensione dell’operazione descritta da Bucarest a rendere il caso rilevante. Secondo il comunicato ufficiale del SRI, le missioni assegnate alla rete non riguardavano soltanto la Romania. I coordinatori operanti dalla Federazione Russa avrebbero individuato una serie più ampia di potenziali bersagli nella regione, tra cui impianti pubblici e privati per la produzione di armamenti e altri siti di interesse militare e industriale. Le autorità rumene hanno inoltre spiegato di avere individuato nel corso dell’anno altri tentativi contro obiettivi sul proprio territorio, comprese strutture militari internazionali o utilizzate per l’addestramento delle forze armate ucraine.

Il metodo descritto dall’intelligence rumena ricalca un modello emerso in diverse indagini europee degli ultimi anni: l’impiego di esecutori reclutati attraverso i social network e inizialmente incaricati di attività apparentemente marginali, come fotografare o sorvegliare un obiettivo. Solo in un secondo momento gli incarichi possono trasformarsi in danneggiamenti, incendi o azioni di maggiore gravità. A facilitare il reclutamento, sostiene il SRI, possono essere vulnerabilità economiche, dipendenze o precedenti criminali. Per rendere più difficile la ricostruzione della catena di comando vengono utilizzati alloggi, trasporti e strumenti di pagamento intestati a terzi, insieme a carte telefoniche straniere e applicazioni di messaggistica criptata.

È una modalità operativa che consente soprattutto di mantenere distanza tra chi commissiona l’azione e chi materialmente la esegue. Una caratteristica utile nelle operazioni condotte al di sotto della soglia del conflitto aperto: costi relativamente contenuti, una catena di attribuzione più difficile da dimostrare sul piano giudiziario e la possibilità di colpire infrastrutture sensibili senza impiegare direttamente personale riconducibile allo Stato sponsor.

Secondo il SRI, l’obiettivo di queste operazioni sarebbe quello di «intimidire», danneggiare le capacità di difesa dei Paesi interessati e indebolirne il contributo alla sicurezza europea e regionale. Il servizio rumeno colloca esplicitamente il caso Carfil all’interno di una campagna più ampia di sabotaggi coordinati dalla Russia in Europa. Una valutazione che assume un peso particolare per Bucarest, Paese Nato confinante con l’Ucraina e uno dei punti strategici del fianco orientale dell’Alleanza.

Le indagini hanno anche una dimensione transnazional: la procura rumena competente per criminalità organizzata e terrorismo sta lavorando sulle posizioni di due cittadini bielorussi fermati in Germania e di un cittadino ucraino individuato in Polonia, tutti sospettati di un coinvolgimento nell’operazione. Le procedure coinvolgono dunque più giurisdizioni europee, mentre Bucarest continua a lavorare con servizi e forze di polizia partner.

Il quadro resta quello di un’indagine in corso e l’attribuzione a Mosca è, allo stato attuale, quella formulata dalle autorità rumene. La Russia respinge le accuse. Dopo la convocazione dell’ambasciatore russo da parte di Bucarest, l’ambasciata di Mosca ha definito le contestazioni prive di fondamento, secondo quanto riportato da Associated Press.

Nel caso Carfil è osservabile, in conclusione, una struttura ben precisa: una rete distribuita tra diversi Stati europei, esecutori reclutati localmente e obiettivi selezionati per il loro rapporto con l’industria della difesa e il sostegno militare all’Ucraina.

Per decenni Washington ha tracciato una linea piuttosto netta. Le agenzie di intelligence possono raccogliere informazioni sulle imprese straniere quando vi è un interesse per la sicurezza nazionale, ma non possono farlo con l’obiettivo di assicurare un vantaggio commerciale alle aziende americane. David S. Cohen, due volte vicedirettore della Cia, sostiene su Foreign Affairs che quella distinzione abbia perso buona parte della propria ragion d’essere.

L’analisi

Il punto di Cohen non consiste semplicemente nel sostenere che gli Stati Uniti dovrebbero comportarsi come i propri avversari. Riguarda, piuttosto, il cambiamento intervenuto nel rapporto tra sicurezza economica e sicurezza nazionale. Intelligenza artificiale, semiconduttori, tecnologie quantistiche, bioingegneria, energia avanzata e spazio si sviluppano oggi in larga misura nel settore privato. Tecnologie concepite per il mercato civile possono determinare contemporaneamente capacità militari, autonomia industriale e posizione di uno Stato nella competizione internazionale.

Il presupposto su cui si fondava la tradizionale cautela americana, secondo Cohen, si è quindi progressivamente indebolito. Quando gli Stati Uniti disponevano di un vantaggio tecnologico difficilmente contendibile, legittimare lo spionaggio commerciale avrebbe significato soprattutto esporre le proprie aziende a un rischio maggiore. Oggi lo scenario è diverso. La competizione con la Cina ha ridotto il margine americano in diversi comparti tecnologici e, contemporaneamente, Washington ha riportato la politica industriale all’interno del perimetro della sicurezza nazionale.

Non era solo percezione: un censimento del Center for Strategic & International Studies ha raccolto 224 episodi pubblicamente noti di spionaggio cinese diretti contro gli Stati Uniti dal 2000, precisando che il 54% riguardava l’acquisizione di tecnologie commerciali. Lo stesso Csis avverte che la natura clandestina di queste attività rende inevitabilmente incompleto il dato.

Qui Cohen individua quella che considera un’asimmetria strategica. Stati rivali, e in alcuni momenti anche Paesi alleati, hanno utilizzato gli strumenti dell’intelligence per acquisire conoscenze industriali e tecnologiche americane, mentre Washington ha continuato a vietare alle proprie agenzie di raccogliere informazioni commerciali straniere con lo specifico scopo di migliorare la posizione competitiva delle aziende nazionali.

La scelta americana non nasceva soltanto da considerazioni etiche. Rispondeva anche a una precisa concezione del rapporto tra Stato e mercato. Se il governo decidesse quali aziende debbano beneficiare di informazioni clandestine ottenute all’estero, finirebbe inevitabilmente per intervenire nella competizione tra soggetti privati.

Nel 2014 l’amministrazione Obama rese esplicito questo principio nella Presidential Policy Directive sulle attività di signals intelligence. La raccolta di informazioni commerciali private straniere e di segreti industriali poteva essere autorizzata per ragioni di sicurezza nazionale, ma non per conferire un vantaggio competitivo alle aziende o ai settori economici statunitensi.

La superiorità tecnologica

La ragione sta nella crescente difficoltà di stabilire dove termina l’interesse commerciale e dove comincia quello strategico. Un algoritmo, una nuova architettura per semiconduttori o una tecnologia quantistica può rappresentare contemporaneamente una proprietà intellettuale privata, un vantaggio industriale e una capacità decisiva per la sicurezza dello Stato. Se la superiorità tecnologica diventa una componente della deterrenza e della potenza nazionale, sostiene in sostanza Cohen, anche il confine tradizionale entro cui opera l’intelligence deve essere riesaminato.

Intervistato da Npr dopo la pubblicazione dell’articolo, Cohen ha insistito sulla necessità di criteri “rigorosi, oggettivi e neutrali” per individuare sia i settori strategici sia le imprese destinatarie dell’intelligence. Presidente e Congresso dovrebbero definire preventivamente il perimetro, mentre le commissioni parlamentari competenti e gli ispettori generali della comunità di intelligence dovrebbero controllarne l’applicazione. L’obiettivo sarebbe impedire che uno strumento concepito in nome della sicurezza nazionale si trasformi in un meccanismo di favore verso aziende politicamente vicine all’amministrazione.

Una cosa è acquisire informazioni su una tecnologia sviluppata da un concorrente strategico; altra cosa è decidere quale impresa nazionale debba poterne beneficiare. La prima decisione appartiene alla tradizionale definizione delle priorità informative. La seconda introduce direttamente lo Stato all’interno della competizione tra aziende.

Cohen ne riconosce certamente il rischio, valutando però ancor più pericoloso lasciare che la vecchia norma venga progressivamente erosa senza una decisione formale e senza un sistema di controllo. Il suo timore, spiegato alla Npr, è che il cambiamento possa già procedere in maniera informale, producendo una zona grigia nella quale le vecchie restrizioni vengono indebolite senza che siano state costruite nuove garanzie.

Negli ultimi anni concetti come economic security, de-risking, controllo degli investimenti, protezione delle supply chain, export control e tutela delle tecnologie critiche hanno progressivamente avvicinato politica economica e sicurezza nazionale. L’interrogativo sollevato da Cohen rappresenta, sotto questo profilo, il passo successivo: se lo Stato identifica alcune tecnologie private come essenziali alla propria sicurezza, fino a che punto può utilizzare gli strumenti normalmente riservati alla sicurezza nazionale per garantirne la competitività?

Per gli Stati Uniti la risposta proposta dall’ex vicedirettore della Cia è chiara: il vecchio divieto assoluto non riflette più la struttura della competizione internazionale. Ma rimuoverlo significherebbe anche accettare una trasformazione non marginale della funzione dell’intelligence, chiamata non soltanto a conoscere le capacità dell’avversario o a proteggere quelle nazionali, ma potenzialmente anche a contribuire alla costruzione del vantaggio economico e tecnologico del Paese.

Vienna torna a intervenire sulla presenza dell’intelligence russa in Austria. Il governo ha disposto l’espulsione di quattro diplomatici di Mosca, tre accreditati presso l’ambasciata della Federazione Russa e uno appartenente alla delegazione russa presso l’Organizzazione per la sicurezza e la cooperazione in Europa (Osce). La decisione, annunciata il 23 ottobre dal ministero degli Esteri austriaco, è stata adottata sulla base delle informazioni raccolte dalle autorità di sicurezza.

La formula utilizzata da Vienna è quella consueta in questi casi: i quattro avrebbero svolto attività “incompatibili con il loro status diplomatico” e sono stati quindi dichiarati personae non gratae. Il ministero non ha reso pubblica la natura delle condotte contestate. Un funzionario austriaco citato dall’Independent ha tuttavia collegato direttamente il provvedimento ad attività di spionaggio. Il quarto diplomatico, in particolare, operava all’interno della rappresentanza russa presso l’Osce, organizzazione che proprio a Vienna ospita uno dei principali snodi del dialogo europeo sulla sicurezza.

La capitale austriaca ospita, oltre alle rappresentanze bilaterali, l’Osce, l’Agenzia internazionale per l’energia atomica, diverse agenzie delle Nazioni Unite e altre organizzazioni internazionali. Questa concentrazione diplomatica, sommata a una legislazione sul controspionaggio storicamente meno estesa rispetto a quella di altri Paesi europei, ha reso l’Austria un ambiente particolarmente interessante per i servizi stranieri.

A dirlo, ormai, sono le stesse autorità austriache. Nel Verfassungsschutzbericht 2025, il rapporto annuale della Direzione per la sicurezza dello Stato e l’intelligence (Dsn), si osserva che, mentre le espulsioni decise in Europa dopo l’invasione dell’Ucraina hanno ridotto le capacità delle cosiddette legal residentures russe, la presenza diplomatica di Mosca in Austria è rimasta relativamente elevata, anche per effetto delle numerose rappresentanze multilaterali presenti a Vienna. Secondo la Dsn, i servizi russi utilizzano per questo l’Austria non soltanto come spazio operativo, ma anche come luogo di pianificazione e di ripiegamento per attività d’intelligence condotte su scala europea.

Lo scorso maggio Vienna aveva già espulso tre dipendenti dell’ambasciata russa. Secondo quanto riportato allora dalla stampa austriaca e successivamente ricostruito dall’Associated Press, i sospetti riguardavano anche apparati e antenne installati sugli edifici diplomatici russi, potenzialmente utilizzabili per intercettare comunicazioni satellitari provenienti da organizzazioni internazionali.

Da tempo il governo austriaco sta lavorando anche a una revisione della normativa sullo spionaggio. L’attuale disciplina presenta infatti una particolarità significativa: l’attività di intelligence svolta per conto di una potenza straniera viene perseguita soprattutto quando colpisce direttamente interessi austriaci. L’esecutivo punta ad ampliare il perimetro della norma, includendo le attività rivolte contro le organizzazioni internazionali presenti sul territorio nazionale.

La linea politica appare, del resto, più netta rispetto al passato. La ministra degli Esteri Beate Meinl-Reisinger ha più volte chiesto un approccio più rigoroso nei confronti delle attività russe e, nelle ultime settimane, ha inserito esplicitamente disinformazione, interferenze straniere, sabotaggi e operazioni cyber tra le minacce ibride alle quali l’Europa deve rispondere in maniera coordinata, confermando così l’intenzione di Vienna nel ridurre progressivamente quella zona grigia normativa e diplomatica che, secondo le sue stesse autorità di sicurezza, ha consentito alla Russia di utilizzare il territorio austriaco come uno dei nodi delle proprie attività d’intelligence in Europa.

Sono pescherecci, almeno sulla carta. Ma alcune delle loro rotte hanno attirato l’attenzione britannica. Per mesi diverse unità russe hanno navigato lentamente, sostato o seguito tratti di mare coincidenti con il passaggio di importanti cavi sottomarini che collegano il Regno Unito all’Europa e al Nord America. È quanto ricostruisce il Telegraph in un’inchiesta basata sui dati di Global Fishing Watch. Il quotidiano britannico ha esaminato quattro anni e mezzo di movimenti navali, individuando oltre cinquecento episodi nei quali pescherecci russi sarebbero transitati o avrebbero sostato in prossimità delle infrastrutture sottomarine.

Diciassette imbarcazioni, secondo l’analisi, avrebbero mostrato comportamenti particolarmente persistenti: bassa velocità, permanenze prolungate, percorsi coincidenti con il tracciato dei cavi. Il Telegraph ha analizzato una sequenza di oltre cinquecento episodi nei quali pescherecci russi hanno sostato in prossimità dei cavi o ne hanno seguito il tracciato per diversi chilometri. Diciassette navi avrebbero trascorso periodi particolarmente lunghi procedendo a bassa velocità nelle aree interessate.

In uno dei casi analizzati, imbarcazioni russe avrebbero operato attorno a nove cavi che collegano Europa occidentale e Stati Uniti. Nell’aprile scorso sarebbero state registrate complessivamente 337 ore di presenza nei pressi dell’Atlantic Crossing 1, uno dei sistemi transatlantici di telecomunicazione. L’ipotesi presa in considerazione dagli apparati occidentali è quella dell’impiego di “commercial proxies”, mezzi formalmente civili che possono offrire una piattaforma meno riconoscibile per raccogliere informazioni. Non necessariamente per tagliare un cavo nell’immediato, quanto per conoscere con precisione ciò che si trova sul fondale: posizione, configurazione e punti vulnerabili di infrastrutture che, in una fase di crisi, assumerebbero un valore operativo evidente.

Dalla Yantar ai sommergibili del Gugi

Nel gennaio 2025 il ministro della Difesa britannico definì pubblicamente la Yantar una nave spia impiegata per “raccogliere intelligence e mappare le infrastrutture sottomarine critiche” del Regno Unito. La Royal Navy dispiegò HMS Somerset e HMS Tyne per seguirla, dopo che la nave era già stata osservata mentre sostava sopra infrastrutture sensibili britanniche.

La sequenza si è allargata nel 2026. Lo scorso aprile il governo britannico ha reso pubblica un’operazione condotta con gli alleati per seguire nel Nord Atlantico un sottomarino classe Akula e due unità specializzate appartenenti al Gugi, la Direzione principale russa per la ricerca in acque profonde. Secondo il Ministero della Difesa britannico, queste ultime sono specificamente progettate per esaminare le infrastrutture sottomarine in tempo di pace e conservare la capacità di colpirle in caso di conflitto, estendendo così la raccolta informativa a piattaforme commerciali apparentemente ordinarie. È una modalità coerente con una competizione sotto soglia nella quale la distinzione fra attività economica, sorveglianza e preparazione militare può essere deliberatamente mantenuta ambigua.

Londra cambia le regole

La coincidenza temporale è significativa. Il 22 ottobre, il governo britannico ha presentato un Libro bianco per aggiornare una normativa che in parte risale al Submarine Telegraph Act del 1885. Le nuove proposte prevedono fino a quattordici anni di carcere per il danneggiamento intenzionale delle infrastrutture sottomarine critiche, dieci anni per condotte imprudenti e sanzioni pecuniarie senza un limite massimo. Il governo vuole inoltre imporre nuovi obblighi di sicurezza agli operatori delle telecomunicazioni e attribuirsi poteri di intervento diretto quando sia in gioco la sicurezza nazionale.

Questo perché circa il 99 per cento del traffico internazionale di dati britannico passa attraverso cavi sottomarini; le pipeline sotto il mare assicurano inoltre circa tre quarti delle forniture di gas del Paese. Così, l’infrastruttura è divenuta tanto cruciale quanto difficilmente ma necessariamente difendibile, perno della sicurezza economica e nazionale di Londra.

La guerra tra Russia e Ucraina va avanti sui più disparati fronti e un racconto raccolto dalla Bbc offre uno sguardo su uno dei suoi versanti più inosservati, quello delle reti clandestine che operano all’interno della Federazione Russa per conto dell’intelligence di Kyiv.

Nel documentario Shadowmen: Russians working with Ukraine, due cittadini russi – indicati con gli pseudonimi di “Ivan” e “Foma” – descrivono le attività che sostengono di svolgere a favore del Gur, il servizio d’intelligence militare ucraino, il quale ha confermato alla Bbc che entrambi lavorano per l’agenzia.

Ricognizione prima dei droni

Ivan sostiene di aver partecipato alla preparazione di operazioni contro infrastrutture militari russe, effettuando ricognizioni, individuando siti e predisponendo luoghi nei quali nascondere componenti destinati ai droni e altro materiale.

Secondo il suo racconto, queste attività avrebbero contribuito alla capacità ucraina di portare la minaccia direttamente in profondità sul territorio russo, contro bombardieri strategici, installazioni militari e strutture della produzione bellica. In un’occasione, racconta, sarebbe stato fermato per un controllo mentre trasportava esplosivi artigianali senza essere scoperto. La struttura operativa descritta è deliberatamente frammentata: pochi contatti, nessuna organizzazione visibile e conoscenza limitata degli altri partecipanti. Più che una tradizionale rete gerarchica, emerge infatti un sistema costruito secondo criteri di compartimentazione, nel quale la perdita di un singolo operatore dovrebbe compromettere il minor numero possibile di nodi. Una configurazione particolarmente adatta a un territorio nel quale gli apparati di sicurezza russi dispongono di capacità estese di sorveglianza e controspionaggio.

La Bbc sottolinea inoltre un elemento che conferisce interesse alla testimonianza di Ivan, senza tuttavia provarne tutte le affermazioni. Più di un anno prima del grande attacco ucraino condotto con oltre cento droni contro aeroporti che ospitavano bombardieri strategici russi, l’uomo aveva anticipato al giornalista l’esistenza di un’operazione di grandi dimensioni contro quella componente delle forze russe, senza indicarne né il luogo né la data.

Gli uomini sotto osservazione

Diverso è il ruolo attribuito a Foma. Russo, residente in esilio in Polonia, sostiene di gestire a distanza una rete di collaboratori incaricati soprattutto di attività di sorveglianza con l’obietttivo di raccogliere informazioni su ufficiali e personalità militari russe che possono risultare di interesse per il Gur.

Foma afferma che i suoi collaboratori non partecipano materialmente agli attacchi e che il loro compito termina con la raccolta e la trasmissione delle informazioni. Dopo l’eliminazione a Mosca del tenente generale Fanil Sarvarov, nel dicembre 2025, ha però riconosciuto di avere fornito informazioni sull’ufficiale agli ucraini, raccontando le difficoltà incontrate nel seguirne spostamenti e abitudini. Anche in questo caso, la Bbc chiarisce che Foma non aveva comunicato preventivamente ai giornalisti l’esistenza di un piano per colpire il generale.

Una rete difficile da misurare

Più difficile è stabilire la dimensione reale di questa infrastruttura umana. Foma parla di 300-500 cittadini russi coinvolti, a vario titolo, in attività a favore dell’Ucraina. Più rilevante del numero esatto è la logica operativa che emerge dalle testimonianze: reti ridotte, comunicazioni limitate, ricorso a operatori ideologicamente motivati ma anche, in altri casi, a persone pagate o persino inconsapevoli del ruolo svolto. Un autotrasportatore, per esempio, può contribuire a un’operazione senza sapere che il proprio carico è stato manipolato.

È il modello di una guerra nella quale la distanza tra fronte e retrovia è diventata progressivamente meno netta. Droni a lungo raggio e capacità clandestine non rappresentano due strumenti distinti, ma possono essere parti dello stesso ciclo operativo: intelligence sul terreno, preparazione logistica, selezione dell’obiettivo e attacco. Elementi che permettono a Kyiv di trasformare la profondità strategica russa in uno spazio contendibile, combinando tecnologia, intelligence e piccoli nuclei difficili da individuare.

Il sostegno iraniano agli Houthi avrebbe assunto una dimensione sempre più direttamente operativa, andando più a fondo dei trasferimenti di sistemi d’arma, componenti e know-how, ma anche di informazioni di intelligence e di assistenza nell’individuazione degli obiettivi da colpire con missili e droni. È quanto ricostruisce il Wall Street Journal, che sottolinea come l’assistenza iraniana comprenderebbe addestramento, intelligence, indicazioni tattiche e supporto al targeting. Insomma, un insieme di capacità che avrebbe contribuito a rendere più sofisticata l’attuale campagna militare degli Houthi, sia all’interno dello Yemen sia contro obiettivi sauditi. Il gruppo ha colpito negli ultimi giorni aeroporti, infrastrutture energetiche e altri obiettivi nel Regno, mentre la pressione militare si è accompagnata a nuove avanzate sul terreno.

È quest’ultimo elemento a rendere particolarmente significativa la ricostruzione del Journal. Il rapporto tra Teheran e gli Houthi è da tempo uno degli assi della proiezione iraniana nella Penisola arabica, ma la disponibilità di informazioni necessarie a selezionare e ingaggiare gli obiettivi rappresenta un livello di cooperazione diverso rispetto alla sola fornitura di armamenti. Se il quadro delineato dalle intelligence saudita e yemenita fosse confermato nella sua interezza, l’Iran emergerebbe non soltanto come abilitatore materiale delle capacità Houthi, ma come moltiplicatore della loro efficacia operativa.

Ciò non significa, tuttavia, ridurre gli Houthi a una semplice estensione gerarchica di Teheran. Il movimento yemenita conserva una propria agenda politica, territoriale e militare e negli anni ha sviluppato capacità autonome. È proprio la combinazione tra autonomia locale e sostegno esterno a rendere il rapporto con l’Iran particolarmente efficace: Teheran può amplificare le capacità di un attore radicato sul territorio senza assumersi necessariamente la responsabilità politica e militare diretta delle sue operazioni. Una configurazione che resta coerente con la logica più ampia attraverso cui l’Iran ha costruito la propria rete regionale di partner armati.

Il terreno sul quale questa cooperazione assume oggi maggiore rilevanza è il Bab el-Mandeb. Il Wall Street Journal sottolinea come le recenti avanzate abbiano portato gli Houthi a controllare la costa yemenita affacciata sullo stretto, passaggio essenziale tra il Mar Rosso e il Golfo di Aden e uno dei principali chokepoint del commercio mondiale. Reuters aveva già riferito all’inizio di ottobre dei preparativi sauditi per un’offensiva volta proprio a ridimensionare il controllo Houthi lungo questo corridoio, con forze yemenite sostenute da raid e intelligence di Riad.

Gli Houthi hanno dimostrato di poter trasferire la competizione direttamente sul territorio saudita, colpendo infrastrutture la cui rilevanza è insieme economica e politica. Gli attacchi contro gli aeroporti sauditi e quello contro una struttura di Saudi Aramco a Dhahran hanno nuovamente mostrato quanto sia difficile proteggere simultaneamente una rete di obiettivi distribuita su un territorio vastissimo da minacce relativamente economiche e impiegabili in numero elevato.

Per Riad la sfida è dunque duplice. Sul piano militare, occorre impedire agli Houthi di consolidare una capacità di interdizione permanente sul Mar Rosso e di mantenere una pressione missilistica e attraverso droni contro il territorio saudita. Sul piano strategico, invece, la questione riguarda direttamente la sicurezza delle infrastrutture energetiche, dei collegamenti internazionali e, più in generale, l’immagine di stabilità sulla quale Mohammed bin Salman ha costruito una parte consistente della trasformazione economica del Regno.

La ricostruzione del Wall Street Journal aggiunge a questo quadro una variabile decisiva. Il valore dell’assistenza iraniana non risiederebbe soltanto nella quantità di armi trasferite agli Houthi, ma nella capacità di aumentarne precisione, consapevolezza situazionale e selezione degli obiettivi.

Sul monitor poteva apparire la pubblicità di un telefono, di un paio di auricolari o di un altro prodotto qualsiasi. Dietro quell’annuncio, però, poteva funzionare un secondo sistema, invisibile all’utente, capace di verificare chi stesse visualizzando la pagina, associarlo a identificativi pubblicitari e decidere se quel dispositivo fosse di interesse.

È il meccanismo ricostruito da Citizen Lab, centro di ricerca dell’Università di Toronto specializzato nella sorveglianza digitale, e dalla società di sicurezza pubblicitaria Confiant. Al centro dell’indagine c’è Discover-Tech, società israeliana attiva nel settore della pubblicità digitale che, secondo i ricercatori, avrebbe utilizzato l’ecosistema dell’ad tech per attività di sorveglianza su vasta scala. In alcuni casi, la stessa infrastruttura sarebbe stata impiegata per facilitare l’installazione dello spyware prodotto da Candiru.

Citizen Lab definisce il metodo AdFection e sostiene di aver documentato per la prima volta pubblicamente la consegna di spyware mercenario zero-click attraverso pubblicità mirate: l’utente non doveva necessariamente interagire con l’annuncio perché iniziasse la catena tecnica.

Come funzionava

Il sistema sfruttava meccanismi che appartengono al normale funzionamento della pubblicità digitale. Quando un annuncio veniva caricato, uno script poteva stabilire una connessione con un server controllato da Discover-Tech. Al server venivano trasmessi alcuni elementi utili a riconoscere l’utente o il dispositivo, tra cui l’indirizzo Ip e identificativi pubblicitari come cookie o mobile advertising ID.

A quel punto il server decideva cosa restituire. Per la grande maggioranza degli utenti poteva non accadere nulla di visibile. Se invece il dispositivo corrispondeva ai criteri di selezione, il sistema era in grado di restituire codice JavaScript specifico. È questa architettura ad aver permesso, secondo Citizen Lab e Confiant, di tenere separata la normale distribuzione dell’annuncio dalla fase più sensibile dell’operazione.

Un tradizionale tentativo di phishing richiede di trovare l’indirizzo o il numero del bersaglio, costruire un messaggio credibile e convincerlo a compiere un’azione. La pubblicità programmatica permette invece di sfruttare un sistema già progettato per trovare utenti molto specifici in mezzo a una platea enorme.

Non tutta l’attività attribuita a Discover-Tech avrebbe avuto come obiettivo l’installazione di spyware. Una parte importante riguardava, secondo i ricercatori, la capacità di identificare e seguire dispositivi attraverso l’ecosistema pubblicitario. È proprio questa distinzione a rendere il caso più interessante: l’infrastruttura può funzionare prima come strumento di raccolta e selezione e solo successivamente, contro un gruppo molto ristretto, come vettore per un’operazione offensiva.

Centoventimila siti e 75 mila applicazioni

Le dimensioni potenziali sono considerevoli. Citizen Lab sostiene che gli annunci riconducibili a Discover-Tech siano comparsi su oltre 120 mila siti web e 75 mila applicazioni. Confiant stima che la società distribuisse almeno dieci milioni di annunci al giorno e ritiene probabile che centinaia di milioni di persone siano entrate, in un modo o nell’altro, nel raggio dell’infrastruttura.

Questo non significa che centinaia di milioni di persone siano state infettate da spyware. È una distinzione necessaria. La diffusione degli annunci misura la superficie raggiunta dal sistema, non il numero delle compromissioni. Gli stessi ricercatori spiegano che gli annunci collegati direttamente a Candiru rappresentavano una parte molto ridotta del volume complessivo.

I casi accertati sono però significativi. Citizen Lab afferma di avere confermato la compromissione di 45 dispositivi Windows di Al Jazeera tra il 2024 e il 2025 attraverso spyware Candiru distribuito tramite questa tecnica. La verifica è stata possibile analizzando i log di rete messi a disposizione dall’emittente qatariota.

Da Al Jazeera alle reti istituzionali

Confiant afferma di averli individuati all’interno di centinaia di reti appartenenti a categorie sensibili, comprese quelle del Pentagono, dell’Agenzia internazionale per l’energia atomica e della Corte penale internazionale. Citizen Lab riferisce inoltre di avere elementi analoghi relativi a reti delle Nazioni Unite, della Nato, della Commissione europea e di oltre una dozzina di governi nazionali.

Anche in questo caso la presenza di un annuncio su una rete non dimostra automaticamente che l’organizzazione fosse l’obiettivo di un’operazione di spionaggio, né tantomeno che i suoi sistemi siano stati compromessi. Mostra però quanto facilmente un’infrastruttura nata per il marketing possa raggiungere ambienti che un servizio di intelligence tradizionale considererebbe obiettivi di particolare valore.

La vulnerabilità è nell’ecosistema

Discover-Tech poteva acquistare e distribuire pubblicità attraverso alcune delle più grandi infrastrutture del settore. Citizen Lab ricostruisce rapporti con piattaforme riconducibili, tra gli altri, a Google, Yandex, Comcast e Liftoff. Per anni la società era inoltre comparsa negli elenchi di fornitori approvati o certificati dell’industria pubblicitaria.

Dopo l’indagine, Google ha escluso Discover-Tech dalle proprie piattaforme per violazione delle policy. IAB Europe l’ha sospesa dai propri registri, mentre Beeswax, controllata da Comcast, l’ha rimossa dalla piattaforma e altri operatori hanno adottato misure analoghe. Discover-Tech e Candiru non hanno risposto alle richieste di commento inviate da Reuters prima della pubblicazione dell’inchiesta.

La questione posta dall’indagine è quindi più larga della singola società. Il real-time bidding, il sistema attraverso il quale uno spazio pubblicitario viene assegnato in frazioni di secondo, necessita per funzionare di una circolazione continua di informazioni sui dispositivi e sugli utenti. Dati concepiti per decidere quale pubblicità mostrare possono diventare, nelle mani di un operatore interessato alla sorveglianza, uno strumento per sapere dove si trova un determinato dispositivo, quando è online e attraverso quali applicazioni o siti può essere raggiunto.

Una nuova superficie per il controspionaggio

Per governi, aziende della difesa e infrastrutture critiche la conseguenza è meno banale di quanto possa sembrare.

Per anni la sicurezza dei dispositivi sensibili si è concentrata soprattutto sulle vulnerabilità software, sulle comunicazioni, sugli allegati e sui link sospetti. Il caso Discover-Tech suggerisce che anche l’infrastruttura commerciale che circonda la normale navigazione di un utente può diventare parte della catena di intelligence.

È la stessa ragione per cui il Pentagono, come ricordato da Reuters, ha già ricevuto segnalazioni sull’impiego di dati di localizzazione raccolti attraverso società pubblicitarie e data broker contro personale statunitense dispiegato in aree operative, spingendo alcune componenti delle forze armate a disabilitare il tracciamento pubblicitario su determinati dispositivi.

La pubblicità digitale non nasce per fare intelligence. Ma contiene due elementi che per l’intelligence hanno sempre avuto valore: la capacità di identificare un individuo e quella di raggiungerlo.

Il primo contatto arrivava su LinkedIn e aveva l’aspetto di una normale proposta professionale. I profili si presentavano come consulenti, ricercatori o intermediari legati a società e think tank, offrivano incarichi retribuiti e chiedevano inizialmente analisi su temi di politica, commercio o rapporti con la Cina. Solo in un secondo momento, una volta stabilito il rapporto e verificato il profilo dell’interlocutore, le richieste potevano diventare più mirate. È con questo sistema che una presunta rete riconducibile all’intelligence cinese avrebbe cercato di avvicinare funzionari pubblici, appartenenti alle forze dell’ordine ed esperti australiani.

ABC Investigations, che ha analizzato i dati acquisiti dall’Australian Federal Police (Afp) durante l’indagine su Alexander Csergo, l’uomo d’affari australiano condannato nel marzo scorso per reckless foreign interference. Secondo l’emittente pubblica australiana, due account LinkedIn attribuiti a presunti operatori dell’intelligence cinese avrebbero accumulato migliaia di collegamenti nel mondo e intercettato, tra il 2016 e il 2025, più di cento persone con legami professionali con l’Australia.

Dai think tank alle consulenze

Lo schema ricostruito dagli investigatori non prevedeva, almeno inizialmente, richieste esplicite di informazioni riservate. I profili si presentavano come rappresentanti di think tank o società di consulenza interessati ad acquistare analisi su commercio, politica internazionale e rapporti con la Cina.

Tra le persone finite nella rete dei contatti figuravano dipendenti o ex dipendenti del Department of Foreign Affairs and Trade, di Austrade, di Investment NSW, di Invest Victoria e di Tourism Australia. ABC ha inoltre individuato tra i profili un comandante dell’Australian Federal Police e l’ex premier del Queensland Steven Miles, oggi leader dell’opposizione nello Stato. Nel caso di Miles, tuttavia, l’emittente precisa di non aver individuato messaggi che dimostrino un rapporto con il profilo sospetto né elementi che indichino una sua risposta.

È una distinzione importante. Essere presenti nella rete di collegamenti di un account non significa essere stati reclutati, né tantomeno aver fornito informazioni. L’interesse del caso è piuttosto nella scala e nella sistematicità con cui sarebbero stati individuati profili professionali potenzialmente utili.

L’Afp sostiene che dietro l’operazione vi fosse il Ministry of State Security (Mss), il principale servizio di intelligence civile cinese. Secondo gli investigatori, identità fittizie sarebbero state impiegate per stabilire un primo rapporto, proporre incarichi remunerati e verificare progressivamente l’accesso della persona a informazioni o contatti di interesse. L’ambasciata cinese a Canberra ha respinto le accuse, definendole “entirely groundless” e contestando quella che considera una rappresentazione ingiustificata delle attività cinesi.

Il precedente Csergo

Il punto di contatto dell’indagine è Alexander Csergo. Nel novembre 2021, mentre viveva a Shanghai, Csergo era stato avvicinato su LinkedIn da un account intestato a “Vera Su”, che sosteneva di lavorare per una società chiamata Nesa Consulting e gli proponeva un incarico part-time sui rapporti commerciali tra Cina e Australia.

Da quel contatto sarebbe successivamente nato un rapporto con due persone conosciute come “Ken” ed “Evelyn”, per le quali Csergo preparò rapporti ricevendo pagamenti in contanti. Nel marzo 2026 è diventato la prima persona condannata in Australia per il reato di reckless foreign interference, la fattispecie introdotta nell’ordinamento australianonel 2018  che punisce chi, agendo in modo occulto o ingannevole in relazione a un soggetto straniero, accetta consapevolmente il rischio che la propria condotta possa sostenere attività di intelligence straniere o danneggiare la sicurezza nazionale.

Per un servizio di intelligence, infatti, il valore di una fonte non coincide necessariamente con il possesso immediato di documenti classificati. Informazioni apparentemente marginali possono acquistare rilevanza quando vengono aggregate, confrontate con altre fonti o utilizzate per comprendere reti decisionali, procedure interne e orientamenti di governo.

È lo stesso principio richiamato dall’Australian Security Intelligence Organisation (Asio) nelle proprie indicazioni sulle attività ostili di intelligence: anche informazioni considerate innocue isolatamente possono essere combinate per colmare lacune informative o individuare persone da sottoporre successivamente a un’attività di targeting.

L’allarme dei Five Eyes

Il 3 giugno scorso, Asio, Fbi, MI5, Csis canadese e intelligence neozelandese hanno pubblicato congiuntamente il bollettino “Safeguarding Our Secrets”, dedicato proprio all’impiego delle piattaforme professionali e dei portali di lavoro da parte dei servizi di intelligence militare cinesi.

Secondo l’avviso, gli operatori si presentano come dipendenti di società di consulenza, think tank o agenzie di recruiting, pubblicano offerte apparentemente legittime e selezionano persone che, per esperienza professionale o posizione, potrebbero avere accesso diretto o indiretto a informazioni utili. Tra i potenziali obiettivi non figurano soltanto militari e funzionari governativi, ma anche ricercatori, giornalisti, analisti e dipendenti di imprese attive nei settori della difesa, della sicurezza e dell’economia.

Il reclutamento, in questa prospettiva, diventa progressivo. Una prima analisi può riguardare materiale aperto; successivamente possono arrivare richieste di informazioni non pubbliche, domande sui contatti professionali o l’invito a trasferire la conversazione su altri canali. Il rapporto economico serve anche a normalizzare lo scambio e a creare nel tempo una relazione più strutturata sfruttando piattaforme come LinkedIn che offrono un catalogo continuamente aggiornato di competenze, incarichi, precedenti esperienze lavorative e reti relazionali, consentendo di individuare con costi minimi non soltanto chi possiede direttamente informazioni sensibili, ma chi si trova a uno o due passaggi da un determinato ambiente decisionale.