Operazioni cyber e SIGINT: il dilemma della sicurezza nazionale

La corretta collocazione delle strutture di attacco digitale rappresenta un nodo complesso della sicurezza nazionale moderna. L’esperto Tom Uren e lo specialista di cyber security noto come The Grugq hanno analizzato le logiche dei reparti tecnologici statali.

Al centro della discussione emerge un dubbio fondamentale. I governi devono inserire i reparti che gestiscono le operazioni cyber dentro le agenzie di Signals Intelligence (SIGINT)? Oppure questa vicinanza burocratica ne limita le potenzialità strategiche?

La tradizione della SIGINT e il freno burocratico alla controffensiva

I modelli organizzativi internazionali mostrano profonde divergenze strutturali. Gli Stati Uniti, ad esempio, separano parzialmente le competenze. La National Security Agency (NSA) si focalizza sulla Signals Intelligence e sul cyber spionaggio. Al contrario, il Cyber Command gestisce le azioni militari e gli effetti sul campo.

Il Regno Unito adotta una configurazione simile. Il Government Communications Headquarters (GCHQ) raccoglie le informazioni. La National Cyber Force (NCF), attiva da circa tre o quattro anni, gestisce invece le attività più dinamiche. Gli addetti ai lavori ironizzano talvolta su questa struttura definendola una forza nozionale. Altri paesi preferiscono unire questi reparti. Essi ritengono che la centralizzazione garantisca una maggiore efficienza operativa. Tuttavia, questa unione crea conflitti interni tra obiettivi opposti.

Il peso delle equities e il costo opportunità dell’intelligence

Inserire le forze digitali nella SIGINT comporta l’eredità automatica di vecchie logiche. Secondo l’analisi di The Grugq, questo legame frena l’efficacia delle operazioni cyber. Le agenzie di intelligence ragionano soprattutto in termini di protezione delle proprie capacità. Gli esperti definiscono questo concetto come tutela delle equities.

Quando un operatore guadagna l’accesso a una rete avversaria, la SIGINT impone la sorveglianza a lungo termine. Gli analisti temono che un’azione di disturbo riveli la loro presenza. Il bersaglio potrebbe ripulire i sistemi. Di conseguenza, lo Stato perderebbe preziose informazioni. Questa mentalità orienta l’agenzia verso la raccolta dati. L’azione strategica passa così in secondo piano. La raccolta prevale stabilmente su tutto il resto. Le agenzie considerano la rete solo come un nuovo tubo per estrarre informazioni.

L’eredità storica della seconda guerra mondiale e la natura del cyberspazio

Questa cautela burocratica affonda le radici in precisi eventi storici. Uren evidenzia che questo orientamento risale alla Seconda Guerra Mondiale. Gli analisti pensano subito alla Battaglia dell’Atlantico e alla decifrazione di Enigma. In quel periodo, le forze tedesche modificavano spesso i codici o aggiungevano rotori.

Queste azioni gettavano gli esperti alleati nel buio totale. Le perdite di navi mercantili aumentavano immediatamente in modo visibile. La segretezza e la conservazione dell’accesso rappresentavano questioni di vita o di morte. The Grugq riconosce il valore storico di tale approccio. Tuttavia, ne contesta l’applicazione al dominio digitale moderno. Lo specialista esprime chiaramente il suo pensiero: «L’atteggiamento tradizionale della Signals Intelligence è che essa sia di grande valore ma anche fragile: se l’avversario sa che lo stai ascoltando, può cambiare facilmente le proprie pratiche». Questa logica passiva tarpa le ali alle contromisure moderne.

Dal trauma di Enigma alla vulnerabilità delle reti moderne

Il cyberspazio contemporaneo richiede un approccio radicalmente nuovo. Le agenzie tradizionali lo considerano un semplice canale di trasmissione. Al contrario, la realtà dimostra che la società si sviluppa dentro questo substrato. Le moderne operazioni cyber devono quindi configurarsi come interventi attivi in un ambiente dinamico. L’ossessione per la fragilità degli accessi appare spesso ingiustificata. Questo vale soprattutto per i bersagli commerciali o industriali.

I dati empirici indicano che l’ottanta per cento degli attacchi sfrutta tecniche comuni. I criminali usano il phishing o il furto di credenziali. Essi non hanno bisogno di exploit sofisticati. Le reti ferroviarie o le compagnie petrolifere avversarie offrono bersagli deboli. Sistemi come quelli del GRU o dell’FSB sono molto più protetti. Questo scenario riduce il valore della pura conservazione dell’accesso. Non ha senso proteggere un’intercettazione debole rinunciando a un attacco utile.

Dal modello spionistico al sabotaggio attivo: il parallelo con il SOE

The Grugq propone un modello storico alternativo per superare l’ossessione della raccolta dati. Lo studioso guarda allo Special Operations Executive (SOE) britannico. Winston Churchill creò questa struttura nel 1940. L’MI6 mostrava una forte riluttanza a compiere sabotaggi. L’agenzia temeva infatti di compromettere le proprie reti informative in Europa.

Churchill scelse quindi di cambiare strategia. Il premier assegnò al SOE un mandato chiaro: «dare fuoco all’Europa». La SIGINT si concentra storicamente sulla raccolta informativa. Al contrario, the SOE metteva al centro l’azione diretta. Gli esperti definiscono la SIGINT come un terminale di raccolta. Il SOE rappresentava invece un terminale d’azione.

La filosofia dell’azione diretta contro la conservazione degli accessi

Un’organizzazione nativa digitale deve cambiare le priorità. La raccolta di informazioni e le operazioni cyber offensive devono avere lo stesso peso politico. Gli operatori non possono rinunciare a un’azione utile solo per proteggere una fonte secondaria. Uren solleva due obiezioni a questo parallelismo storico.

Primo, il SOE operava durante una guerra totale. Lo scenario internazionale odierno presenta invece dinamiche diverse. Secondo, esiste una netta differenza materiale tra un sabotaggio fisico e un’azione digitale. Il cyber attacco punta a un intralcio prolungato. Esso non cerca la distruzione visibile di un edificio. L’obiettivo principale diventa la creazione di un disturbo continuo e sistematico nei sistemi nemici.

L’efficacia delle interferenze e le nuove tattiche di attrito asimmetrico

Le operazioni cyber di disturbo creano un attrito continuo e sottile. Questa strategia supera l’efficacia delle campagne di disinformazione superficiali. L’uso di bot sui social o i video su TikTok mostrano risultati alterni. I condizionamenti elettorali raramente si rivelano decisivi.

Storicamente, le interferenze dirette lasciano un impatto più profondo. Il saggio All the Shah’s Men descrive il finanziamento di gruppi di opposizione nell’Iran del 1953. Tuttavia, gli storici faticano a quantificare il peso reale dell’ingerenza straniera rispetto alle dinamiche locali.

Negli anni ’50, la propaganda britannica nei paesi arabi incontrò limiti materiali assurdi. Le ambasciate segnalarono che in Oman non esistevano ricevitori radio. Oggi la diffusione dei telefoni cellulari cambia lo scenario. Le forze cyber devono trovare modi nuovi per vincere la concorrenza informativa globale.

Oltre la disinformazione: i casi Stuxnet e la logica ferroviaria

Le opzioni migliori si collocano nel controspionaggio aggressivo. La gestione dei sistemi logistici nemici offre un esempio concreto. Un attacco distruttivo contro una rete ferroviaria genera spesso effetti effimeri. I Cyber Partigiani bielorussi hanno bloccato i trasporti militari per sole otto ore. Questo ritardo risulta marginale in una guerra. Inoltre, l’azione brucia l’accesso informativo.

The Grugq suggerisce tattiche più sottili. Un operatore potrebbe dirottare un treno di carburante vicino al ponte di Kerch. L’incidente deve apparire come un errore umano. Questa mossa infligge danni severi senza svelare la penetrazione nei sistemi. Gli Stati Uniti hanno usato una logica simile con Stuxnet. Gli ingegneri inserirono un bug nel software industriale iraniano. Il programma alterava i dati in modo impercettibile. Gli scienziati credevano semplicemente di aver sbagliato le proprie equazioni.

Controspionaggio organico e destabilizzazione del crimine informatico

Questa dottrina sfrutta pienamente il repertorio del controspionaggio. Immaginiamo che il GRU penetri in un’infrastruttura critica nazionale. La SIGINT tradizionale osserva l’attività o invia un avviso standard alla vittima. Una strategia cyber-nativa agisce in modo diverso. Gli operatori orchestrano una scoperta casuale dell’intrusione. Essi suggeriscono al CEO di assumere una ditta esterna per un audit. Gli esperti trovano la penetrazione ed espellono l’avversario. Questa mossa interrompe l’attacco ma protegge la fonte originaria.

Tali operazioni cyber colpiscono anche la criminalità organizzata. L’Australian Signals Directorate (ASD) ha rimosso un servizio di hosting bulletproof. L’agenzia ha sabotato la reputazione di uno sviluppatore di malware. Gli ingegneri hanno reso malfunzionante il suo software. Questa azione inietta sfiducia nel mercato nero.

Il mercato delle credenziali rubate offre molte opportunità, poiché gli agenti segreti possono sottrarle direttamente ai criminali russi invece di acquistarle. Il documento britannico Responsible Cyber Power in Practice propone interventi simili. Lo Stato deve colpire i piccoli gruppi iniettando sospetti tra i membri. Questa tattica rompe la loro collaborazione interna.

La ridefinizione strategica dello spazio operativo digitale

Lo sviluppo di un modello efficiente incontra ostacoli burocratici importanti. In Australia, i dirigenti senior stabiliscono i requisiti di intelligence. Al contrario, manca un processo simile per gli effetti cyber. Risulta difficile dare priorità ad azioni di cui si ignora la fattibilità tecnica. Un’agenzia dedicata risolverebbe il problema. Essa riceverebbe il mandato ampio di interrompere chi minaccia gli interessi nazionali. I tecnici stabilirebbero le priorità internamente.

La Cyber Persistence Theory conferma questa necessità. Il cyberspazio premia chi mantiene l’iniziativa. Osservare un attacco senza agire costituisce un grave errore. La difesa passiva come il modello «shields up» della CISA americana spreca un vantaggio netto.

Il cyber rappresenta un terzo cerchio autonomo in un ideale diagramma di Venn. Esso si sovrappone alla SIGINT e alle forze militari convenzionali. Questo spazio offre opportunità enormi ma richiede l’abbandono delle vecchie strutture. I governi devono trattare l’azione digitale come una priorità strategica di primo livello. La mancata esplorazione di questo spazio si traduce in opportunità perse per la sicurezza nazionale. I moderni fornitori di tecnologia NDR, come Corelight, mantengono piattaforme aperte per la rilevazione dei flussi, ma la dottrina d’attacco richiede una burocrazia del tutto indipendente.