Salt Typhoon in Europa: La Cina È Già Dentro le Reti Telecom del Continente

Il 6 febbraio 2026, il Servizio di Sicurezza della Polizia norvegese (PST) ha confermato pubblicamente ciò che gli analisti temevano da mesi: Salt Typhoon — il gruppo di cyber-spionaggio operato dal Ministero della Sicurezza di Stato cinese (MSS) — ha compromesso dispositivi di rete di organizzazioni norvegesi. È la prima attribuzione pubblica di attività Salt Typhoon da parte di una nazione nordica, e segna un punto di svolta nella percezione europea della minaccia cinese nel cyberspazio. La direttrice generale del PST, Beate Gangås, ha dichiarato che la Norvegia "affronta la situazione di sicurezza più grave dalla Seconda Guerra Mondiale".

Salt Typhoon: Dall'America all'Europa — Cronologia di un'Infiltrazione Globale

Salt Typhoon non è nato ieri. Le intrusioni documentate risalgono almeno al 2019, quando il gruppo ha iniziato a infiltrarsi silenziosamente nell'infrastruttura internet degli operatori telecom, raccogliendo intelligence su obiettivi primari. Negli Stati Uniti, la campagna è stata definita "il peggior hack telecom della storia americana": Salt Typhoon ha violato i sistemi di "intercettazione legale" (lawful intercept) di diversi provider — i sistemi che gestiscono le richieste di intercettazione telefonica per indagini su criminali e spie. In pratica, Pechino aveva accesso agli stessi strumenti che l'FBI usa per sorvegliare i sospetti.

La scala è impressionante. Nell'agosto 2025, l'FBI ha rivelato che Salt Typhoon ha violato almeno 200 aziende in oltre 80 Paesi. Almeno 600 organizzazioni sono state notificate dall'FBI che gli hacker avevano "interesse" nei loro sistemi. Il 27 agosto 2025, CISA, NSA, FBI e numerose altre agenzie hanno emesso un advisory congiunto di 37 pagine — un livello di cooperazione inter-agenzia definito "storico". Ma la vera svolta per l'Europa è arrivata nel febbraio 2026 con la conferma norvegese.

Anatomia dell'Attacco: Come Salt Typhoon Penetra le Reti Telecom

Il PST ha specificato che Salt Typhoon ha sfruttato vulnerabilità in dispositivi di rete — router, server e altri apparati — per ottenere accesso persistente all'infrastruttura digitale norvegese. Questa è la firma operativa del gruppo: non attacca gli endpoint degli utenti, ma l'infrastruttura stessa che trasporta le comunicazioni. È la differenza tra intercettare una lettera e controllare l'intero ufficio postale.

Trend Micro ha identificato almeno 20 organizzazioni compromesse nei settori telecomunicazioni, consulenza, chimico, trasporti, oltre ad agenzie governative e organizzazioni non profit in vari Paesi. Il pattern operativo di Salt Typhoon prevede: sfruttamento di vulnerabilità note in dispositivi di rete edge (router, firewall, VPN concentrator), installazione di backdoor persistenti che sopravvivono ai riavvii, movimento laterale attraverso la rete dell'operatore telecom, accesso ai sistemi di intercettazione legale e ai metadata delle comunicazioni, esfiltrazione silenziosa di dati per periodi prolungati — in alcuni casi anni.

• Sfruttamento di vulnerabilità in dispositivi di rete edge (router, firewall, VPN concentrator)
• Installazione di backdoor persistenti che sopravvivono ai riavvii dei dispositivi
• Movimento laterale silenzioso attraverso l'infrastruttura core dell'operatore
• Accesso ai sistemi di lawful intercept e ai metadata delle comunicazioni
• Esfiltrazione prolungata — in alcuni casi attiva per anni senza rilevamento
• Target: settori telecom, governo, trasporti, chimico, difesa, hospitality

Il Dato Più Inquietante: Le Intercettazioni Legali Compromesse

Il dettaglio che distingue Salt Typhoon da ogni altra campagna di spionaggio è l'accesso ai sistemi di lawful intercept. Ogni operatore telecom, per legge, deve mantenere la capacità di intercettare le comunicazioni su richiesta delle autorità giudiziarie. Questi sistemi contengono non solo le conversazioni intercettate, ma anche l'elenco degli obiettivi sotto sorveglianza — informazioni di controintelligence di valore inestimabile.

Negli Stati Uniti, Salt Typhoon ha intercettato le conversazioni telefoniche di funzionari chiave, tra cui il presidente Donald Trump e il vicepresidente JD Vance, durante la campagna elettorale. Se lo stesso livello di accesso è stato ottenuto nelle reti europee — e la conferma norvegese suggerisce che sia plausibile — le implicazioni per la sicurezza nazionale di ogni Paese membro NATO sono enormi. Un avversario con accesso ai sistemi di intercettazione legale sa chi è sotto sorveglianza, può identificare le fonti dell'intelligence occidentale e può mappare le operazioni di controspionaggio in corso.

L'Europa nel Mirino: Dalla Norvegia al Mediterraneo

La conferma norvegese è solo la punta dell'iceberg. TechCrunch ha documentato che Salt Typhoon sta violando i giganti telecom e internet di tutto il mondo — e l'Europa è un obiettivo prioritario per ragioni strutturali. Le reti telecom europee trasportano le comunicazioni di governi NATO, istituzioni UE, quartieri generali militari e centri di ricerca avanzata. Per l'intelligence cinese, compromettere un singolo operatore telecom europeo può fornire accesso a un flusso continuo di comunicazioni diplomatiche, militari e commerciali.

Il contesto geopolitico amplifica il rischio. Le tensioni commerciali tra UE e Cina, la questione Taiwan, il dibattito europeo sulla dipendenza tecnologica da Pechino e le restrizioni all'esportazione di semiconduttori creano incentivi crescenti per lo spionaggio economico e politico. L'operazione Salt Typhoon non è un'azione isolata: si inserisce in un ecosistema più ampio che include Volt Typhoon (pre-posizionamento in infrastrutture critiche per potenziale sabotaggio) e altri gruppi APT cinesi specializzati in settori specifici.

Volt Typhoon: L'Altro Fronte — Pre-posizionamento per il Sabotaggio

Mentre Salt Typhoon raccoglie intelligence, Volt Typhoon si pre-posiziona per operazioni distruttive. I governi europei sono stati formalmente avvertiti che attività Volt Typhoon è stata rilevata oltre le reti nordamericane. L'infrastruttura OT europea — reti elettriche, gasdotti, impianti di trattamento acque — è sotto attacco sostenuto. Incidenti documentati che hanno coinvolto operatori energetici in Germania, Danimarca, Finlandia e nei Paesi baltici confermano che attori allineati a Stati stanno prendendo di mira questi sistemi fisici.

La combinazione Salt Typhoon + Volt Typhoon rappresenta una strategia a due livelli: il primo raccoglie intelligence e mappa le comunicazioni, il secondo si prepara a colpire le infrastrutture fisiche in caso di crisi. Per l'Europa, questo significa che la Cina ha potenzialmente sia la capacità di sapere cosa dicono i leader europei nelle loro comunicazioni riservate, sia la capacità di interrompere l'energia, l'acqua e le telecomunicazioni se la situazione geopolitica lo richiede.

Indicatori di Compromissione e Vettori di Attacco

L'advisory congiunto multi-agenzia ha fornito indicatori tecnici specifici per identificare l'attività Salt Typhoon:

• Sfruttamento di vulnerabilità note in dispositivi di rete edge — router Cisco, firewall Fortinet, concentratori VPN
• Traffico anomalo verso IP associati a infrastruttura C2 cinese documentata nell'advisory AA25-239A
• Backdoor persistenti in firmware di dispositivi di rete che sopravvivono a riavvii e aggiornamenti standard
• Accesso non autorizzato a sistemi di lawful intercept e piattaforme di gestione delle intercettazioni
• Movimenti laterali tramite protocolli di gestione di rete (SNMP, SSH) con credenziali compromesse
• Esfiltrazione di dati tramite canali cifrati verso IP in range associati a provider cloud cinesi

Raccomandazioni Operative per Organizzazioni Europee

1. 1.Audit immediato dei dispositivi di rete edge: verificare firmware, configurazioni e presenza di backdoor su tutti i router, firewall e VPN concentrator esposti a Internet. Confrontare gli hash del firmware con quelli ufficiali del vendor.
2. 2.Segmentazione delle reti di gestione: i sistemi di management dei dispositivi di rete devono essere su reti segregate, non raggiungibili da Internet. L'accesso deve richiedere MFA e jump box dedicati.
3. 3.Monitoraggio del traffico di rete anomalo: implementare NDR (Network Detection and Response) per identificare comunicazioni sospette verso IP esterni, specialmente traffico cifrato verso range IP non attesi.
4. 4.Revisione degli accessi ai sistemi di lawful intercept: per gli operatori telecom, audit completo degli accessi ai sistemi di intercettazione legale. Ogni accesso deve essere loggato, monitorato e correlato con richieste giudiziarie legittime.
5. 5.Threat hunting proattivo: utilizzare gli IOC dell'advisory CISA AA25-239A per cercare attivamente segni di compromissione pregressa. Non limitarsi ai log recenti — Salt Typhoon opera per anni senza essere rilevato.
6. 6.Piano di sostituzione dei dispositivi compromessi: se viene identificata una compromissione, il dispositivo deve essere sostituito, non solo ripristinato. Le backdoor a livello firmware possono sopravvivere al reset di fabbrica.
7. 7.Comunicazioni critiche su canali alternativi: per comunicazioni diplomatiche, militari e di intelligence, utilizzare canali cifrati end-to-end indipendenti dall'infrastruttura telecom potenzialmente compromessa.

Conclusione: L'Europa Deve Svegliarsi

La conferma norvegese di febbraio 2026 ha infranto l'illusione che Salt Typhoon fosse un problema americano. Con oltre 200 aziende violate in 80+ Paesi, un'operazione attiva da almeno sette anni e l'accesso documentato ai sistemi di intercettazione legale, Salt Typhoon rappresenta la più vasta operazione di cyber-spionaggio mai condotta da uno Stato-nazione contro le infrastrutture di comunicazione globali.

Per ogni operatore telecom europeo, per ogni governo che comunica attraverso reti potenzialmente compromesse, la domanda è brutale nella sua semplicità: se la Cina ascolta le nostre comunicazioni da anni, cosa sa che noi non sappiamo che sa? E se Volt Typhoon è già pre-posizionato nelle nostre infrastrutture critiche, cosa succede quando la prossima crisi geopolitica trasforma lo spionaggio passivo in sabotaggio attivo? La Norvegia ha dato l'allarme. Il resto d'Europa deve ascoltarlo — prima che sia troppo tardi.