Operation Epic Fury: la Guerra Cyber per Procura dell'Iran e il Rischio per l'Europa
Il 28 febbraio 2026, Operation Epic Fury ha innescato una cascata cibernetica globale. Sessanta gruppi proxy iraniani già pre-posizionati in ambienti cloud, sistemi SCADA e reti di fornitori europei hanno avviato operazioni coordinate. In 72 ore: 149 attacchi DDoS contro 110 organizzazioni in 16 paesi, 60+ gruppi mobilizzati, il 20% della fornitura globale di GNL interrotto e il wiper Handala che ha raggiunto 79 paesi.
Il Contesto Geopolitico: Tre Decenni di Dottrina Cibernetica Iraniana
Il 28 febbraio 2026, missili e cacciabombardieri americani e israeliani hanno colpito installazioni militari iraniane, eliminando la Guida Suprema Khamenei e decapitando il vertice delle Guardie Rivoluzionarie (IRGC). Contemporaneamente, Israele ha condotto la più grande operazione cyber offensiva della storia, collassando la connettività internet iraniana all'1-4% del traffico normale — dato confermato da NetBlocks.
La risposta iraniana affonda le radici nel 2010. Stuxnet ha insegnato a Teheran che la cyberwar può distruggere sistemi fisici isolati. Da allora l'Iran ha costruito un ecosistema ibrido tra APT di Stato e collettivi hacktivisti che operano come proxy deniabili. L'ecosistema è strutturato attorno a IRGC-CEC e MOIS, con APT33 (aerospace/energia), APT34/OilRig (Oil & Gas), APT35/APT42 (spear-phishing AI-assisted), MuddyWater (initial access broker) e Handala (hack-and-leak).
Il Patto Trilaterale Iran-Cina-Russia: un Nuovo Asse Cibernetico?
Il 29 gennaio 2026 — un mese prima delle operazioni cinetiche — Iran, Cina e Russia hanno firmato a Teheran un patto strategico trilaterale. Sul fronte cyber, il patto consolida cooperazione già esistente: la Cina ha fornito immagini satellitari e dati di early warning, la Russia ha concordato la ricostruzione dei sistemi di difesa aerea. La cooperazione include condivisione di infrastrutture per l'anonimizzazione, scambio di vulnerabilità zero-day e tooling offensivo — come analizzato da Small Wars Journal e CSIS.
Anatomia dell'Offensiva: TTPs, Timeline e Catene di Attacco
Nelle prime 72 ore, una coalizione di oltre 12 gruppi ha eseguito 149 attacchi DDoS contro 110 organizzazioni in 16 paesi. Il numero di gruppi mobilizzati è salito a 60+, incluse formazioni filorusse come NoName057(16) che il 3 marzo si sono unite alla coalizione pro-iraniana — confermato da Tenable RSO, Palo Alto Unit 42, Flashpoint e Recorded Future.
La vera minaccia era già in posizione prima dell'inizio delle operazioni cinetiche. L'analisi di Tenable ha rivelato che MuddyWater aveva infiltrato reti israeliane e MENA nelle settimane precedenti con backdoor silenti. Il giorno dell'operazione militare, quell'accesso è stato armato. Questo 'weaponization of pre-positioned access' è il paradigma operativo più avanzato dell'Iran.
Il caso più documentato è l'attacco Handala contro Stryker Corporation dell'11 marzo 2026. In tre ore, Handala ha cancellato gli endpoint di Stryker in 79 paesi su sei continenti. Stryker produce impianti ortopedici — nessun ruolo nel conflitto, nessuna operazione in Medio Oriente. L'accesso era probabilmente ottenuto via Microsoft Intune o un vettore supply chain. Linee di produzione ferme. Ospedali in attesa di dispositivi chirurgici che hanno ricevuto silenzio.
Il Rischio Europeo: Non Siamo Osservatori
L'Europa è una superficie di attacco, non uno spettatore. NoName057(16) ha condotto campagne DDoS in Romania e Danimarca. DieNet ha affermato 100 attacchi in un solo giorno. L'operazione Handala ha raggiunto organizzazioni in 16 paesi europei attraverso la supply chain. La Finlandia, nel suo National Security Overview 2026, ha esplicitamente segnalato l'Iran come vettore di rischio accanto a Russia e Cina.
Per l'Italia il rischio è specifico: basi NATO (Aviano, Sigonella, Napoli) come obiettivi simbolici, il porto di Gioia Tauro come target di disruption portuale, il settore energetico esposto alla chiusura dello Stretto di Hormuz e all'interruzione del 20% della fornitura globale di GNL. Ogni organizzazione italiana con filiali, fornitori o partner digitali nell'area Golfo deve considerarsi in scope.
La domanda da porsi non è 'siamo stati attaccati?' ma 'siamo già stati compromessi senza saperlo?'. APT33 targetta il settore aerospaziale e Oil & Gas europeo. APT34/OilRig colpisce aziende europee per accedere ai controllori industriali. MuddyWater punta a telecomunicazioni e vendor IT come trampolino verso target di maggiore valore.
Il Paradigma ICS/OT: Quando la Cyberwar Colpisce il Mondo Fisico
CyberAv3ngers e Charming Kitten stanno attivamente cercando PLC esposti su internet e HMI accessibili — pannelli di controllo di sistemi idrici, centrali elettriche, impianti di trattamento rifiuti. Tra le operazioni rivendicate: accesso a un sistema HMI di un impianto idrico USA con screenshot di livelli di cloro, penetrazione di silos granari in Giordania, accesso a pompe idriche israeliane con controllo remoto di valvole.
L'analisi di Tenable ha identificato oltre 15,5 milioni di asset vulnerabili nei sette paesi target. Una singola vulnerabilità — CVE-2026-21514, bypass OLE in Microsoft Word — account per quasi 14 milioni di quei target. Aggiunta al catalogo CISA KEV il 10 febbraio 2026, APT28 russo l'aveva già sfruttata nel gennaio 2026 contro target in Ucraina, Slovacchia e Romania — possibile exploit-sharing tra la rete russo-iraniana.
Perché il Post-Quantum è Rilevante Oggi, Non Domani
La proliferazione di attori con accesso pre-posizionato introduce il problema del 'harvest now, decrypt later'. I gruppi iraniani, con supporto tecnico cinese e russo, stanno raccogliendo traffico cifrato intercettato per decifrarlo retroattivamente con futuri computer quantistici. Per le organizzazioni europee che trattano informazioni sensibili — difesa, energia, farmaceutica — la crittografia attuale (RSA, ECC) non garantisce confidenzialità nemmeno per dati già trasmessi.
Il caso Stryker ha dimostrato che la velocità di esecuzione di un'operazione distruttiva — tre ore per 79 paesi — supera drammaticamente la velocità di risposta dei team SOC tradizionali. Un modello Zero Trust con micro-segmentazione, autenticazione continua e crittografia post-quantistica NIST (ML-KEM per key encapsulation, ML-DSA per firme digitali) riduce la superficie di lateralizzazione. Questo non è un argomento di marketing: è la differenza tra un incidente contenuto e un wipe globale.
Raccomandazioni Operative
- 1.Patching urgente di CVE-2026-21514 e tutte le CVE nel catalogo CISA KEV associate agli attori iraniani
- 2.Audit di tutti i path di accesso remoto a sistemi OT/ICS, con attenzione a PLC e HMI esposti
- 3.Revisione della supply chain digitale — vendor, MSP, partner cloud — con threat modeling per accesso pre-posizionato
- 4.Implementazione di wiper detection e risposta a isolamento rapido degli endpoint
- 5.Potenziamento delle capacità DDoS mitigation, con verifica della resilienza su DNS e BGP
Il quadro NIS2, in vigore per tutti gli operatori di servizi essenziali europei, impone esattamente questi requisiti come minimo, non come massimo. Operation Epic Fury non è un evento circoscritto al Medio Oriente: è un catalizzatore che ha attivato una rete globale pre-esistente, progettata per operare autonomamente.
Il quadro geopolitico attuale, con la convergenza tra capacità iraniane, supporto cinese e coordinamento filorusso, rappresenta esattamente lo scenario per cui la migrazione verso crittografia post-quantistica e Zero Trust non è una roadmap triennale: è una priorità operativa immediata.