Il messaggio che non c'era
Tarda domenica sera a Karachi, gli spettatori di Geo News—il canale televisivo più seguito del Pakistan—hanno visto i loro schermi dirottati. La trasmissione si è interrotta senza preavviso, sostituita da quello che la direzione del canale avrebbe poi descritto soltanto come un messaggio "inappropriato" e "sovversivo" . Nel giro di poche ore, il National Computer Emergency Response Team pakistano aveva avviato un'indagine su quello che sembrava essere un assalto coordinato: diversi canali televisivi, siti web e applicazioni mobili erano stati compromessi simultaneamente .
La direzione di Geo News ha riconosciuto che nelle precedenti 24 ore erano stati compiuti tentativi persistenti di violare i loro sistemi . Il canale si è mosso rapidamente per dissociarsi da qualsiasi collegamento con il contenuto non autorizzato , ma l'incidente ha rivelato qualcosa di più inquietante del semplice fallimento della sicurezza di un'emittente. A migliaia di chilometri di distanza, in Minnesota, un diverso tipo di infrastruttura era sotto assedio.
Tra domenica 26 luglio e lunedì 27 luglio, i sistemi tecnologici di oltre 30 impianti idrici comunitari in tutto il Minnesota sono stati oggetto di un attacco informatico coordinato . Gli obiettivi erano dispersi, la tempistica precisa. E mentre i funzionari a Islamabad e Minneapolis si affannavano per capire cosa fosse successo ai rispettivi sistemi, le risposte non risiedevano in rancori locali o opportunismo criminale, ma in un conflitto esploso dall'altra parte del mondo—uno iniziato non con la tradizionale nebbia della guerra, ma con il reciso calcolato delle arterie digitali di un'intera nazione.
Buio prima dell'alba
Il 28 febbraio 2026, jet statunitensi e israeliani hanno dato inizio a una campagna di bombardamenti contro l'Iran . Gli attacchi cinetici sono stati devastanti: la Guida Suprema Ali Khamenei è morta, insieme a diversi alti funzionari governativi . Ma ore prima che cadessero le prime bombe, era già iniziato un diverso tipo di assalto.
La connettività internet dell'Iran è crollata al 4% del traffico normale quello stesso giorno, segnalando un blocco quasi totale dell'accesso nazionale . Oltre 90 milioni di persone si sono trovate tagliate fuori dal mondo digitale . Il blackout sarebbe durato 47 giorni prima che l'Iran iniziasse a ripristinare anche un accesso limitato —un periodo durante il quale il paese è esistito in uno stato di isolamento forzato senza precedenti nell'era moderna di internet.
Il blocco era "imposto dal regime", secondo molteplici fonti , sebbene questa definizione sollevi tante domande quante ne risponda. Si è trattato del tentativo di Teheran di controllare il flusso di informazioni durante una crisi nazionale? O le operazioni informatiche statunitensi e israeliane avevano compromesso così a fondo l'infrastruttura digitale iraniana che la disconnessione è diventata l'unica opzione difensiva disponibile? Le prove suggeriscono che entrambe le realtà coesistessero: il governo iraniano che stacca la spina mentre attori stranieri mantengono la capacità di lasciarla spenta.
Le operazioni informatiche, è emerso, hanno svolto un ruolo significativo fin dall'inizio della guerra, interrompendo comunicazioni e reti di sensori in tutto l'Iran . Le telecamere del traffico si sono oscurate. Le trasmissioni televisive sono saltate. I tendini digitali che collegano uno stato moderno ai suoi cittadini—e i suoi militari ai suoi sensori—sono stati recisi con precisione chirurgica prima ancora che le armi convenzionali lasciassero i loro punti d'attacco.
L'arsenale che nessuno vede
L'attacco statunitense-israeliano del 28 febbraio ha rappresentato il culmine di anni di preparazione nel dominio informatico . Ma per comprendere cosa sia accaduto bisogna riconoscere cosa gli attori sponsorizzati dallo stato iraniano avessero fatto per anni prima: condurre operazioni informative disruptive abilitate dal cyber per perseguire gli obiettivi geopolitici dell'Iran e gli interessi del regime .
Non si trattava di exploit sofisticati e zero-day rivolti a reti militari fortificate. Gli attori delle minacce iraniani si erano invece concentrati su qualcosa di più insidioso: hanno preso di mira opportunisticamente reti di infrastrutture critiche scarsamente protette e dispositivi connessi a internet in tutto il mondo, compresi quelli associati ai settori idrico ed energetico . La strategia era quella dell'accumulo paziente—costruire accessi, mantenere la presenza, aspettare il momento in cui le capacità accumulate potessero essere scatenate per il massimo effetto.
Che i sistemi idrici del Minnesota siano stati attaccati a luglio—mesi dopo gli attacchi di febbraio—suggerisce che l'Iran avesse effettivamente immagazzinato capacità e stesse aspettando momenti ad alto rischio per lanciare attacchi contro aziende e infrastrutture statunitensi . Gli impianti idrici rappresentavano obiettivi morbidi con conseguenze dure: sistemi municipali che, se compromessi, potrebbero influenzare la salute pubblica ed erodere la fiducia nei servizi critici. Il messaggio era chiaro: se voi potete penetrare nel nostro paese, noi possiamo penetrare nel vostro.
Eppure la dottrina informatica iraniana è sempre stata più opportunistica che elegante. Nel marzo 2026, i ricercatori di Unit 42 hanno scoperto un nuovo cluster di attività di minaccia designato CL-STA-1128, rivolto alle apparecchiature di tecnologia operativa e sistemi di controllo industriale di Rockwell Automation . Questi sono i dispositivi che gestiscono fabbriche, reti elettriche, processi produttivi—la spina dorsale digitale poco appariscente della civiltà industriale. Il targeting suggeriva che gli attori iraniani stessero sondando vulnerabilità che potrebbero tradursi in interruzioni nel mondo reale: arresti della produzione, incidenti di sicurezza, danni economici che si accumulano nel tempo.
"L'Iran molto probabilmente userà il suo programma informatico per rispondere alle operazioni di combattimento congiunte di Stati Uniti e Israele contro l'Iran."
Questa valutazione, fatta dagli analisti che seguivano il conflitto , si è dimostrata tristemente accurata. Ma indica anche un'asimmetria preoccupante: mentre Stati Uniti e Israele hanno dimostrato la capacità di accecare efficacemente l'Iran attraverso operazioni informatiche complete coordinate con attacchi cinetici, le risposte iraniane sono state caratterizzate da diffusione e persistenza piuttosto che da effetto decisivo. L'hack di Geo News, i sistemi idrici del Minnesota, il sondaggio dei sistemi di controllo industriale—queste sono le azioni di un attore che colpisce dove può, piuttosto che dove desidera.
I difensori sotto pressione
Mentre la minaccia hacker iraniana si intensificava, la principale agenzia informatica americana si è trovata pericolosamente sovraccarica . Non doveva funzionare così. Il Cyber Command degli Stati Uniti, la National Security Agency e la divisione di sicurezza informatica del Dipartimento della Sicurezza Interna avevano trascorso anni a costruire capacità offensive e difensive destinate a stabilire il dominio nel dominio digitale. Gli attacchi di febbraio hanno dimostrato quella capacità offensiva in modo convincente. Ma la difesa—il lavoro poco appariscente di proteggere migliaia di sistemi idrici municipali, reti elettriche regionali, reti ospedaliere e strutture industriali—si è rivelata una sfida diversa.
Il problema è quello della superficie d'attacco. L'Iran non ha bisogno di violare il Pentagono o mandare in tilt la rete elettrica della costa orientale. Trenta sistemi idrici in Minnesota ottengono qualcosa di quasi altrettanto prezioso: dimostrano portata, generano titoli, costringono le risorse difensive a essere distribuite su un territorio impossibilmente vasto. Ogni piccolo attacco richiede indagine, bonifica, rassicurazione pubblica. Il costo cumulativo in attenzione e risorse inizia ad avvicinarsi all'impatto di una singola, spettacolare violazione.
Questa è guerra asimmetrica tradotta nel dominio informatico. Stati Uniti e Israele possono precipitare l'Iran nell'oscurità, ma l'Iran può garantire che i difensori americani non riposino mai, che l'attenzione richiesta per proteggere infrastrutture estese, decentralizzate e spesso scarsamente protette diventi essa stessa una forma di logoramento.
Echi oltre i confini
L'hacking di Geo News e di altri media pakistani rappresenta forse la dimensione più intrigante della componente informatica del conflitto . Il Pakistan non è parte formale del confronto tra Stati Uniti-Israele e Iran, eppure la sua infrastruttura mediatica è diventata un campo di battaglia. Il coordinamento—più canali e piattaforme compromessi simultaneamente—suggerisce capacità oltre quelle che tipicamente dimostrano hacker criminali o attori locali.
Si è trattato di rappresaglia iraniana contro un vicino percepito come insufficientemente solidale? O erano operazioni false-flag, progettate per seminare confusione sull'attribuzione degradando la capacità mediatica in un paese strategicamente importante? L'indagine del CERT pakistano continua , ma l'incidente sottolinea come il conflitto moderno si rifiuti di rispettare i confini geografici o le nozioni tradizionali di belligeranza.
In un'era in cui una trasmissione televisiva compromessa a Karachi e un attacco informatico ai sistemi idrici in Minnesota possono essere compresi solo nel contesto degli attacchi su Teheran, il concetto stesso di "teatro di guerra" si dissolve. Ogni dispositivo connesso a internet diventa un potenziale punto d'appoggio, ogni sistema scarsamente protetto un potenziale bersaglio, ogni paese con infrastruttura digitale un potenziale campo di battaglia.
La dottrina della disruzione persistente
Ciò che emerge dall'esame collettivo di questi incidenti è una nuova dottrina di conflitto, teorizzata da anni ma ora dimostrabilmente operativa. La guerra contro l'Iran è iniziata nel cyberspazio prima di iniziare nello spazio fisico, ed è continuata nel cyberspazio molto dopo la conclusione della fase iniziale della campagna di bombardamenti convenzionali.
L'approccio statunitense e israeliano ha dimostrato come le operazioni informatiche possano abilitare attacchi cinetici: degradare i sensori nemici, interrompere le comunicazioni, creare confusione su cosa sta accadendo e dove sono posizionate le forze. Il blackout internet di 47 giorni—sia imposto da Teheran, mantenuto da operatori stranieri, o una combinazione—ha rappresentato una negazione informativa completa che sarebbe stata inimmaginabile in qualsiasi conflitto precedente .
Ma la risposta dell'Iran ha illustrato un principio diverso: che anche un attore informatico più debole può imporre costi attraverso persistenza e diffusione. Non serve mandare in tilt le infrastrutture critiche se si può costringere l'avversario a difenderle tutte simultaneamente. Non servono violazioni spettacolari se si può generare ansia costante attraverso piccole intrusioni ripetute. I sistemi idrici in Minnesota non sono falliti , ma il loro targeting ha comunque ottenuto qualcosa—una dimostrazione che l'infrastruttura americana rimane vulnerabile, che la madrepatria non è un santuario, che i costi di guerre lontane possono manifestarsi in crisi locali.
Questa è la logica della disruzione persistente: accettare di non poter vincere in modo decisivo nel dominio informatico, ma garantire che neanche l'avversario possa farlo. Rendere la difesa costosa, esaurente, un costante drenaggio di attenzione e risorse. Aspettare momenti ad alto rischio e colpire dove le difese sono più deboli. Costruire una presenza attraverso migliaia di sistemi scarsamente protetti e usare quell'accesso per creare dubbi su cos'altro potrebbe essere compromesso.
La guerra che non finisce
Le guerre tradizionali hanno conclusioni: trattati firmati, forze ritirate, ricostruzione iniziata. La guerra informatica non offre tale chiarezza. L'internet iraniano è stato ripristinato, almeno parzialmente , ma le telecamere del traffico compromesse a febbraio potrebbero rimanere vulnerabili. I sistemi di controllo industriale sondati a marzo potrebbero ancora ospitare backdoor. I sistemi idrici attaccati a luglio sono stati messi in sicurezza—o no? E che dire dei sistemi che non sono stati ancora attaccati, che potrebbero essere stati penetrati mesi o anni fa, in attesa dormiente fino al momento dell'attivazione?
La principale agenzia informatica statunitense rimane sovraccarica , una condizione che sembra destinata a persistere. Perché l'Iran non ha esaurito le sue capacità; le ha semplicemente dimostrate selettivamente. E altri attori—che osservano attentamente questo conflitto—stanno imparando lezioni su cosa funziona, cosa no, e quali nuove vulnerabilità emergono mentre i difensori si affrettano a rattoppare quelle vecchie.
La campagna di bombardamenti che ha ucciso la Guida Suprema iraniana è stato un atto definitivo con conseguenze chiare . Ma le operazioni informatiche che hanno preceduto, accompagnato e seguito quegli attacchi esistono in un regno più nebuloso. Alcune sono state riconosciute, altre dedotte, molte rimangono completamente invisibili. Il messaggio apparso sugli schermi di Geo News è stato disconosciuto ma mai completamente spiegato . I meccanismi che hanno precipitato l'Iran nell'oscurità digitale non sono stati dettagliati. L'intera portata della penetrazione iraniana nell'infrastruttura occidentale rimane sconosciuta.
"Gli attori di minacce informatiche sponsorizzati dallo stato iraniano prendono opportunisticamente di mira reti di infrastrutture critiche scarsamente protette e dispositivi connessi a internet in tutto il mondo."
Questo era vero prima del febbraio 2026 , e rimane vero ora. La guerra con l'Iran può essere iniziata con attacchi convenzionali, ma il conflitto informatico che l'ha accompagnata non ha un termine chiaro. Continua sullo sfondo della vita quotidiana: negli aggiornamenti di sicurezza inviati ai controller industriali, nei sistemi di monitoraggio che sorvegliano gli impianti idrici municipali, nelle indagini ancora in corso a Islamabad e Minneapolis e in dozzine di altre località che non hanno fatto notizia.
Siamo entrati in un'era in cui le guerre iniziano prima di essere dichiarate e continuano dopo essere presumibilmente finite, dove il campo di battaglia è ovunque e da nessuna parte, dove la distinzione tra combattente e infrastruttura civile collassa perché tutto ciò che è connesso a internet è potenzialmente parte del campo di battaglia. La guerra iraniana del 2026 ha dimostrato il potenziale delle operazioni informatiche con chiarezza senza precedenti. Ma ha anche dimostrato qualcosa di più inquietante: che una volta iniziati, tali conflitti potrebbero non concludersi mai veramente. Le armi sono già in posizione, incorporate nei sistemi da cui dipendiamo, in attesa del prossimo momento ad alto rischio, del prossimo attacco calcolato, del prossimo messaggio che appare non richiesto sugli schermi attraverso un mondo oscurato.