Quando nel febbraio 2022 la Russia avviò l’invasione su vasta scala dell’Ucraina, la guerra non cominciò soltanto lungo le direttrici che conducevano verso Kyiv, Kharkiv o Kherson. Un altro fronte, invisibile ma non meno importante, era già aperto da tempo: quello digitale. Nei primi giorni dell’aggressione, gli specialisti ucraini della sicurezza informatica lavoravano praticamente senza sosta. Oleksandr, uno degli analisti del Centro operativo di sicurezza ucraino, ha raccontato che in quei giorni riusciva a dormire appena due o tre ore, direttamente in ufficio, mentre i colleghi continuavano a fronteggiare gli attacchi. Quando un esperto straniero gli chiese quanti incidenti stessero gestendo, Oleksandr rispose: “Quattordici o venti”. Il suo interlocutore pensò che si riferisse al numero di attacchi affrontati in una settimana. Erano, invece, quelli gestiti in un solo giorno. Quattro anni e mezzo dopo, l’Ucraina rappresenta probabilmente il Paese al mondo con la maggiore esperienza pratica nel contrasto alla guerra cibernetica russa. Non perché gli attacchi siano diminuiti. È avvenuto esattamente il contrario. Tra il 2022 e il 2024, gli incidenti informatici registrati in Ucraina sono passati da 2.194 a 4.315. Nello stesso periodo, però, quelli classificati come critici o di elevata gravità sono scesi da 1.048 a 59. È un dato che merita attenzione.
La Russia attacca di più, ma riesce a provocare molti meno danni. Mentre Mosca affinava le proprie capacità offensive, Kyiv imparava a difendersi. L’esperienza ucraina dimostra innanzitutto quanto sia riduttivo considerare la cybersecurity come una materia esclusivamente tecnica. Nella guerra contemporanea, l’attacco informatico è parte integrante delle operazioni militari e di intelligence. Può precedere un’azione cinetica, accompagnarla oppure produrre effetti autonomi. Può colpire infrastrutture energetiche, sistemi pubblici, trasporti, comunicazioni, aziende private, reti logistiche e catene di approvvigionamento. Soprattutto, il bersaglio non coincide necessariamente con il territorio dello Stato formalmente in guerra. Le operazioni cibernetiche sperimentate dalla Russia contro l’Ucraina tendono infatti a riapparire altrove, in particolare nei Paesi europei che sostengono lo sforzo bellico di Kyiv. L’Ucraina deve quindi essere osservata non soltanto come vittima della guerra informatica russa, ma come una sorta di sistema di allerta avanzato per l’intero spazio euro-atlantico. Una conferma significativa arriva dalle autorità di sicurezza occidentali, che hanno attribuito all’unità 26165 del Gru, l’intelligence militare russa, una vasta campagna di cyberspionaggio contro imprese tecnologiche e operatori logistici coinvolti direttamente o indirettamente nel sostegno all’Ucraina. Tra i Paesi nei quali sono state individuate entità prese di mira compare anche l’Italia. L’elenco dei settori interessati è eloquente: industria della difesa, trasporti, porti, aeroporti, settore marittimo, gestione del traffico aereo e servizi informatici. Non siamo quindi di fronte alla rappresentazione cinematografica dell’hacker che tenta genericamente di “entrare in un computer”. Si tratta di attività di intelligence strutturate, rivolte verso nodi capaci di fornire informazioni sul movimento degli aiuti, sulle capacità logistiche occidentali e sulle vulnerabilità delle reti utilizzate.
Il Gru avrebbe persino preso di mira telecamere collegate a Internet situate nelle vicinanze di valichi di frontiera, stazioni ferroviarie e altre infrastrutture, con l’obiettivo di monitorare i movimenti delle forniture destinate all’Ucraina. A quel punto la distinzione tra cyberspionaggio e ricognizione militare diventa estremamente sottile. Ma vi è un secondo insegnamento che l’esperienza ucraina dovrebbe suggerire all’Europa: la velocità. Le amministrazioni occidentali sono spesso organizzate per produrre rapporti, convocare riunioni, scambiarsi documenti e analizzare quanto è già avvenuto. La guerra cibernetica richiede invece che le informazioni circolino quasi in tempo reale. Se un determinato metodo d’attacco viene individuato questa mattina a Kyiv, le informazioni utili dovrebbero poter raggiungere nel giro di poche ore Varsavia, Berlino, Roma, Parigi o Bruxelles. Non settimane dopo, quando magari un rapporto ufficiale sarà stato completato, approvato e distribuito. Il problema, quindi, non consiste soltanto nel possedere informazioni, ma nel costruire strutture capaci di trasformarle immediatamente in capacità difensiva. C’è poi una questione che riguarda direttamente il settore privato. Un’impresa può subire conseguenze gravissime pur non essendo il bersaglio principale di un’operazione ostile. Ogni organizzazione dipende oggi da una rete di fornitori, piattaforme informatiche, servizi cloud, sistemi di telecomunicazione e infrastrutture esterne. La superficie da proteggere non coincide più con ciò che un’azienda possiede. Comprende anche tutto ciò da cui dipende. È la vulnerabilità della catena digitale.
Ed è proprio qui che l’Ucraina ha accumulato un patrimonio difficilmente replicabile in laboratorio. Migliaia di incidenti reali hanno consentito ai suoi specialisti di osservare le tecniche russe, comprenderne l’evoluzione, individuare schemi ricorrenti e trasformare gli errori del passato in procedure operative. Kyiv sta cercando di trasferire questa esperienza anche alla formazione. Sono stati sviluppati programmi destinati alla preparazione dei responsabili della sicurezza cibernetica e percorsi universitari costruiti utilizzando direttamente le lezioni apprese durante la guerra. Ma per l’Occidente ascoltare gli specialisti ucraini durante una conferenza non è più sufficiente. C’è una differenza sostanziale tra chiedere a un esperto di raccontare un attacco già avvenuto e affidargli la costruzione di uno scenario addestrativo nel quale tecnici e decisori europei siano costretti a confrontarsi con le stesse condizioni operative sperimentate quotidianamente in Ucraina. Nel primo caso si studia il passato. Nel secondo ci si prepara al futuro. L’Ucraina è diventata suo malgrado il più grande laboratorio europeo di cyber warfare. Una condizione conquistata pagando un prezzo altissimo, ma che oggi rappresenta un patrimonio di sicurezza anche per i suoi alleati. L’errore sarebbe considerare quell’esperienza esclusivamente ucraina. Le operazioni russe dimostrano esattamente il contrario. La guerra cibernetica non conosce frontiere nette e segue le reti logistiche, industriali e tecnologiche molto più di quanto segua quelle tracciate sulle carte geografiche. Per questo studiare ciò che avviene ogni giorno in Ucraina non significa soltanto aiutare Kyiv a difendersi. Significa capire oggi come potrebbe essere necessario difendere domani il resto d’Europa.
(*) Docente universitario di Diritto internazionale e normative per la sicurezza
Aggiornato il 14 settembre 2026 alle ore 10:50
