Washington ha annunciato un’operazione mirata agli hacker iraniani, con l’obiettivo di colpire gruppi considerati legati allo Stato o a entità come il Corpo delle Guardie della Rivoluzione Islamica (IRGC) e il Ministero dell’Intelligence (MOIS). L’iniziativa, battezzata “Economic Outcast” dal segretario del Tesoro Scott Bessent, arriva dopo un recente attacco a una piccola centrale elettrica britannica che non ha inciso sulla fornitura nazionale ma è stato interpretato come un segnale serio.
Da anni gli Stati Uniti combinano sanzioni amministrative dell’OFAC con incriminazioni penali del Dipartimento di Giustizia per colpire singoli e reti cyber iraniane. Esempio recente è l’incriminazione del 18 agosto 2026 contro 17 cittadini iraniani ritenuti legati al Mabna Institute di Teheran: secondo l’accusa la campagna, iniziata nel 2013, avrebbe compromesso circa 8.000 account di professori in 144 università americane e 178 all’estero, sottraendo oltre 31 terabyte di dati accademici e proprietà intellettuale stimati in 3,4 miliardi di dollari. Le azioni avrebbero inoltre preso di mira agenzie federali — tra cui il Dipartimento del Lavoro e la Federal Energy Regulatory Commission — insieme a imprese private e organismi internazionali.
Il Dipartimento di Stato ha messo in palio ricompense fino a 10 milioni di dollari per informazioni su alcuni degli attori coinvolti. Le sanzioni colpiscono sia individui sia società di copertura utilizzate come front company: i beni negli Stati Uniti vengono congelati, i soggetti statunitensi non possono intrattenere rapporti commerciali e chi assiste dall’estero rischia sanzioni secondarie. Molti dei sospettati restano però in Iran, così che le incriminazioni hanno soprattutto valore deterrente e politico, secondo quanto riportato dalle misure adottate nel 2026, che s’inquadrano in una campagna di pressione economica parallela a un’escalation militare.
Gli hacker al servizio degli Stati sono spesso raggruppati in APT (Advanced Persistent Threat): team finanziati, diretti o protetti da governi e servizi di intelligence che perseguono obiettivi di Stato come spionaggio, furto di tecnologia, sabotaggio, influenza e, talvolta, raccolta di fondi. Esistono tre modelli organizzativi principali: unità interne di intelligence o militari (esempi citati sono il GRU russo, l’MSS cinese e l’IRGC iraniano); contractor privati assunti dallo Stato; gruppi criminali che operano con coperture implicite in cambio di servizi resi agli apparati statali.
La ricostruzione tecnica del fenomeno, offerta dal professor Luigi Martino dell’Università di Firenze e della Khalifa University di Abu Dhabi, evidenzia tattiche consolidate: spear-phishing, sfruttamento di vulnerabilità zero-day, compromissione della supply chain come nel caso SolarWinds, accesso persistente silenzioso alle reti (living off the land) e crescente abuso di servizi legittimi quali Google, Microsoft, Telegram e GitHub per camuffare le intrusioni. A differenza di collettivi indipendenti, gli APT dispongono di budget, tempo e protezione legale domestica, e possono restare nelle reti per mesi o anni prima di essere scoperti.
Anche Paesi occidentali dispongono di capacità offensive avanzate, non sempre pubblicamente attribuite: tra le agenzie citate figurano la NSA americana e la Unit 8200 israeliana. Le sanzioni si concentrano soprattutto su Cina, Russia, Iran e Corea del Nord. Gli Stati Uniti hanno inoltre confiscato piattaforme usate da un gruppo cinese sponsorizzato dallo Stato ritenuto responsabile di attacchi a obiettivi come la NASA, la Federal Reserve, il Dipartimento di Giustizia e il Senato USA.
Il panorama degli ultimi due decenni mostra un’evoluzione del fenomeno hacker: dagli attacchi DDoS e dal movimento hacktivista del 2007, passando per Stuxnet (scoperto nel 2010) che ha dimostrato la capacità di danneggiare infrastrutture fisiche, fino alla nascita del ransomware moderno con CryptoLocker nel 2013 e ai grandi episodi di metà anni Dieci come i danni causati da WannaCry
