Iran: Missili sulle Città, Password Spraying sui Municipi — Come Teheran Sincronizza Guerra Cinetica e Cyber

Il 31 marzo 2026, Check Point Research ha pubblicato un’analisi che ridefinisce il concetto di guerra ibrida. Una campagna di password spraying condotta da un attore iraniano ha colpito oltre 300 organizzazioni israeliane e più di 25 negli Emirati Arabi Uniti in tre ondate distinte — il 3, il 13 e il 23 marzo 2026. Ma il dato che trasforma questa operazione da un attacco cyber “normale” a un caso di studio di guerra integrata è un altro: Check Point ha identificato una correlazione tra le città bersaglio del password spraying e quelle colpite dai missili iraniani nello stesso periodo. I municipi — gli enti responsabili della risposta d’emergenza ai danni fisici dei bombardamenti — erano il target primario dell’operazione cyber. L’Iran non ha condotto due operazioni separate: ha sincronizzato la guerra cinetica con quella digitale per massimizzare il danno.

Tre Ondate, Un Obiettivo: Accecare la Risposta d’Emergenza

La campagna si è sviluppata in tre ondate con cadenza regolare di dieci giorni. Il 3 marzo, la prima ondata ha colpito centinaia di organizzazioni israeliane con password spraying massivo contro ambienti Microsoft 365. Il 13 marzo, la seconda ondata ha esteso il targeting. Il 23 marzo, la terza ondata ha consolidato l’operazione. In ogni fase, il bersaglio primario erano i municipi — le amministrazioni comunali che gestiscono servizi essenziali: protezione civile, vigili del fuoco, servizi sanitari locali, distribuzione idrica, gestione dei rifugi.

La logica operativa è devastante nella sua semplicità: quando un missile colpisce una città, i primi a rispondere sono i servizi comunali. Se quei servizi sono paralizzati da un attacco cyber simultaneo — email bloccate, sistemi di coordinamento inaccessibili, database dei residenti compromessi — la capacità di risposta all’emergenza crolla. Le vittime dei missili diventano anche vittime dell’attacco cyber, perché i soccorsi non arrivano o arrivano in ritardo.

Anatomia Tecnica: Scan, Infiltrate, Exfiltrate

Check Point ha ricostruito la catena di attacco in tre fasi distinte. Nella fase di Scan, gli attaccanti hanno condotto password spraying intensivo contro centinaia di organizzazioni, ruotando attraverso nodi di uscita Tor per evitare il blocco basato su IP. Lo User-Agent utilizzato è "Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/6.0)" — che simula Internet Explorer 10 su Windows 7, una firma deliberatamente datata che si confonde con il traffico legacy ancora presente in molte reti governative.

Nella fase di Infiltrate, una volta individuate credenziali valide, gli attaccanti accedevano agli account Microsoft 365 non più da Tor ma da provider VPN commerciali — Windscribe (range 185.191.204.x) e NordVPN (range 169.150.227.x) — con geolocalizzazione in Israele per bypassare le restrizioni geografiche degli ambienti M365. Il cambio da Tor a VPN commerciali israeliane è tatticamente sofisticato: il login appare provenire da un IP israeliano legittimo, rendendo inefficaci i controlli di accesso basati sulla geolocalizzazione.

Nella fase di Exfiltrate, le credenziali valide consentivano l’accesso a email personali, documenti interni, piani di emergenza e dati sensibili. Per i municipi, questo significa potenziale accesso ai piani di evacuazione, alle liste dei rifugi, ai protocolli di risposta ai bombardamenti — esattamente le informazioni che un avversario militare vorrebbe avere durante un conflitto attivo.

L’Attribuzione: Gray Sandstorm e l’Ecosistema Iraniano

Check Point ha attribuito la campagna a un attore iraniano con confidenza moderata, basandosi sull’allineamento con gli interessi strategici iraniani, l’uso di infrastruttura VPN commerciale ospitata su AS35758 (Rachamim Aviel Twito) — coerente con operazioni iran-nexus precedenti — e le similitudini con Gray Sandstorm nell’uso di tool di red-teaming attraverso nodi di uscita Tor.

La campagna non opera in isolamento. Il rapporto Unit 42 di Palo Alto Networks del 26 marzo 2026 documenta un’escalation massiva dell’attività cyber iraniana dopo le operazioni militari di fine febbraio. Almeno 12 gruppi hacktivisti pro-Iran sono attivi: Handala Hack (collegato al MOIS, responsabile dell’attacco wiper a Stryker), APT Iran, Cyber Islamic Resistance, Dark Storm Team, FAD Team, Evil Markhors, 313 Team e DieNet. I bersagli includono banche, telecomunicazioni, aeroporti, sistemi di carburante e reti sanitarie in tutta la regione.

• Unit 42 ha identificato 7.381 URL di phishing su 1.881 hostname legati alla campagna iraniana
• Il malware StealC viene distribuito tramite archivi protetti da password
• APK malevoli distribuiscono strumenti di sorveglianza mobile
• Handala Hack ha emesso minacce di morte via email a influencer iraniano-americani e iraniano-canadesi
• La connettività Internet iraniana è scesa all’1-4% durante il conflitto, limitando ma non fermando le operazioni

Il Target Europeo: Non Solo Medio Oriente

Check Point ha documentato attività dello stesso attore contro un numero limitato di bersagli in Europa, Stati Uniti, Regno Unito e Arabia Saudita. Questo è il dato che rende questa campagna rilevante ben oltre il Medio Oriente. L’ecosistema cyber iraniano ha dimostrato ripetutamente la capacità di colpire obiettivi occidentali: l’advisory congiunto CISA-FBI-NSA del 2024 (AA24-290A) documentava già operazioni di brute force iraniane contro infrastrutture critiche statunitensi nei settori sanitario, governativo, IT, ingegneria e energia.

L’attacco Handala a Stryker Corporation — 80.000 dispositivi cancellati, 50 TB di dati esfiltrati da un colosso medtech da 22,6 miliardi di dollari — dimostra che gli attori iraniani hanno sia la volontà che la capacità di colpire supply chain occidentali critiche. L’FBI ha sequestrato due siti di data leak di Handala, e CISA e Microsoft hanno rilasciato linee guida di hardening specifiche. Il pattern è chiaro: ciò che inizia come operazione regionale si espande rapidamente verso obiettivi globali.

Il Paradigma della Guerra Ibrida Integrata

La sincronizzazione tra missili e password spraying rappresenta un’evoluzione qualitativa nella dottrina di guerra ibrida. Finora, le operazioni cyber e cinetiche erano considerate complementari ma separate: la Russia usava cyberattack prima dell’invasione dell’Ucraina (Viasat, febbraio 2022), ma come preparazione, non come operazione simultanea integrata. L’Iran ha fatto un passo ulteriore: il cyber non prepara l’attacco fisico — lo amplifica in tempo reale.

Le implicazioni per la NATO e l’Europa sono immediate. Se un avversario può colpire contemporaneamente le infrastrutture fisiche e i sistemi digitali di risposta all’emergenza di una città, la resilienza urbana — definita dall’Articolo 3 del Trattato NATO come prerequisito per la difesa collettiva — è compromessa. I piani di protezione civile europei, costruiti sull’assunzione che i sistemi di comunicazione funzionino durante un’emergenza, devono essere ricalibrati per uno scenario in cui quei sistemi sono il primo bersaglio.

IOC e Indicatori Tecnici

Check Point ha rilasciato indicatori di compromissione specifici per questa campagna:

• IP Windscribe VPN: 185.191.204.202, 185.191.204.203
• IP NordVPN: 169.150.227.3, 169.150.227.143, 169.150.227.146
• User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/6.0)
• Target: ambienti Microsoft 365 / Entra ID
• Pattern: autenticazioni fallite multiple su account distinti dallo stesso IP in finestre temporali ristrette
• Infrastruttura VPN su AS35758 (Rachamim Aviel Twito)

Raccomandazioni Operative

1. 1.Monitoraggio dei log di accesso M365: cercare autenticazioni fallite multiple su account diversi dallo stesso IP o range IP, specialmente da nodi Tor o VPN commerciali.
2. 2.Conditional Access con geo-fencing: implementare policy che blocchino accessi da IP Tor e richiedano MFA per accessi da VPN commerciali. Attenzione: gli attaccanti usano VPN con geolocalizzazione locale per bypassare il geo-fencing standard.
3. 3.MFA su tutti gli account: l’autenticazione multi-fattore blocca il 99% degli attacchi di password spraying. Utilizzare token hardware o app authenticator, non SMS.
4. 4.Audit delle password deboli: eseguire un audit interno delle password più comuni e forzare il cambio per qualsiasi account che utilizza password nella top-1000 delle più usate.
5. 5.Threat hunting per IOC: verificare i log M365 per accessi dai range IP indicati da Check Point e per lo User-Agent Internet Explorer 10 — un browser obsoleto da anni che non dovrebbe apparire nel traffico legittimo.
6. 6.Piani di continuità operativa offline: la lezione della campagna iraniana è che i sistemi di risposta all’emergenza devono funzionare anche senza accesso al cloud. Backup dei piani di evacuazione, delle liste rifugi e dei protocolli di emergenza su supporti fisici offline.
7. 7.Cifratura delle comunicazioni critiche: in uno scenario di guerra ibrida dove l’avversario colpisce simultaneamente il dominio fisico e digitale, le comunicazioni tra servizi di emergenza devono essere cifrate end-to-end su canali indipendenti dal cloud.

Conclusione: La Nuova Dottrina della Guerra Simultanea

La campagna iraniana di marzo 2026 segna un prima e un dopo nella storia della guerra ibrida. Per la prima volta in modo documentato, uno Stato ha sincronizzato attacchi missilistici con operazioni di password spraying contro le stesse città bersaglio, puntando specificamente ai sistemi municipali di risposta all’emergenza. Non è più "cyber che prepara il cinetico" o "cinetico seguito dal cyber": è guerra simultanea su entrambi i domini, dove l’obiettivo è massimizzare il danno complessivo impedendo la risposta.

Per ogni città europea, per ogni municipio, per ogni operatore di servizi essenziali, la domanda è: se domani i sistemi M365 della protezione civile fossero inaccessibili durante un’emergenza reale, esiste un piano B? Se la risposta è no, la lezione dell’Iran è che quel piano va costruito adesso — prima che qualcuno decida di testare la stessa dottrina in Europa.