Dopo Khamenei: L'Escalation Cyber Iraniana nel Golfo e le Onde d'Urto su Europa e Italia

La sequenza degli eventi è ormai acquisita. Il 28 febbraio 2026 gli Stati Uniti e Israele hanno condotto un'operazione congiunta sul territorio iraniano, culminata con l'uccisione del Leader Supremo Ali Khamenei, annunciata dai media statali iraniani il 1° marzo. Il 6 aprile è stato ucciso anche il capo dell'intelligence dell'IRGC, Majid Khademi, in un ulteriore strike congiunto USA-Israele. Nel mezzo, Teheran ha risposto con missili e droni contro Israele, basi americane e alleati regionali, ha tentato di chiudere lo Stretto di Hormuz e ha subito una cyber-operazione avversaria che ha portato l'Iran a un blackout internet di oltre 60 ore, con la connettività scesa all'1% del livello ordinario.

La tregua che è seguita è stata descritta da tutti gli osservatori come fragile. Per AEGIDA, il dato rilevante non è politico — è operativo: nelle sei settimane tra il 1° marzo e il 13 aprile 2026, l'intensità, la complessità e la platea bersaglio delle operazioni cyber attribuite a Teheran e ai suoi proxy sono aumentate in modo misurabile, e la traiettoria geografica di questi attacchi non si ferma ai confini del Golfo.

Il Golfo: Da Disruption a Intrusione Complessa

Il dato più netto arriva dall'Autorità per la Cybersecurity degli Emirati Arabi Uniti, che nella comunicazione del 10 aprile ha quantificato in 600.000 gli attacchi registrati sul territorio federale nell'ultimo ciclo di rilevazione — un triplicamento rispetto al periodo precedente. Più significativo del volume è il mix: il portafoglio degli attaccanti include ora ransomware, data breach con estorsione, leak mirati di documenti sensibili, wiper distruttivi e defacement. Non si tratta più della vecchia generazione di DDoS sintomatici o di defacement a fini propagandistici: è una postura offensiva articolata, con KPI definiti e capacità di intrusione persistente.

Il salto qualitativo riguarda la superficie. Le campagne storicamente concentrate sui portali pubblici e sui siti governativi si sono estese a tre classi di bersaglio ad alto valore: istituti bancari, sistemi di controllo dell'aviazione civile, e piattaforme digitali delle forze di polizia. In ciascuna di queste tre classi, il pattern osservato è quello della breach con esfiltrazione di dati e minaccia di pubblicazione — una monetizzazione che ibrida logica statale (segnale politico) e logica criminale (leva economica), e che rende difficile separare gruppi "state-sponsored" puri da collettivi hacktivisti allineati ma finanziariamente autonomi.

Stati Uniti: La Campagna PLC Contro Acqua, Energia e Government

Il 7 aprile CISA, FBI e partner hanno emesso l'advisory congiunto AA26-097A, che documenta una campagna sostenuta di attori affiliati all'Iran contro i Programmable Logic Controller esposti su Internet nei settori acqua, acque reflue, energia e servizi governativi statunitensi. I target identificati includono PLC Rockwell Automation/Allen-Bradley, con manipolazione di file di progetto e alterazione dei dati mostrati sui sistemi HMI e SCADA. Alcune vittime hanno subito interruzioni operative e perdite economiche. Il gruppo CyberAv3ngers, legato all'IRGC, è tra i principali attori attribuiti a questa campagna.

La lettura strategica, ripresa anche dal CSIS in un'analisi pubblicata l'11 aprile, è che l'approccio iraniano al dominio cyber non è più episodico o simbolico: è diventato una postura strategica sostenuta, che tratta il cyberspazio come estensione del potere statale, con le infrastrutture critiche come asse portante della politica di coercizione. È un cambiamento di paradigma: prima degli eventi di febbraio-marzo, le operazioni iraniane erano in larga parte opportunistiche e rumorose; oggi sono pianificate, silenziose dove serve, e orientate a preservare l'accesso nel medio periodo.

Perché l'Europa — e l'Italia — Sono nel Raggio

Il ragionamento per cui l'Europa è nel raggio non è un esercizio speculativo: è la lettura diretta del portato storico dei gruppi iraniani. APT34 (OilRig), APT35 (Charming Kitten) e MuddyWater hanno operato ripetutamente contro obiettivi europei nei cicli di tensione 2019-2020 e 2024, con campagne documentate contro settori energia, difesa, telco, università e istituzioni governative in Italia, Germania, Francia, Regno Unito e Paesi Bassi. L'impronta italiana è documentata in particolare sul settore energia (operatori del gas, utility elettriche, raffinazione) e sull'industria della difesa (fornitori di piattaforme militari, catena subfornitura).

Dopo Khamenei, la logica della ritorsione sposta la retorica pubblica verso USA e Israele, ma la prassi operativa colpirà anche chi viene percepito come alleato: gli Stati che ospitano basi americane, quelli che forniscono armamento a Israele, quelli che partecipano a missioni NATO nel Mediterraneo orientale. L'Italia è in tutte e tre le categorie. La Base di Aviano, la presenza navale italiana nel Mar Rosso all'interno dell'operazione Aspides, il supporto logistico alle rotazioni USA in Medio Oriente — ciascuno di questi elementi è sufficiente, nella griglia di targeting iraniana, a giustificare l'inclusione di entità italiane nelle campagne di spear-phishing, credential stuffing e intrusione profonda.

Alla dimensione statale si somma quella dell'hacktivismo allineato. Gruppi come Handala (già protagonista del caso Stryker-Intune documentato da AEGIDA il 9 aprile), Cyber Toufan, e una costellazione di collettivi Telegram rivendicano regolarmente operazioni contro aziende europee accusate di rapporti con Israele. Il criterio di selezione è spesso rozzo — una semplice menzione in una lista pubblica, un contratto riportato da un giornale, una sponsorizzazione — ma l'impatto reputazionale e operativo è reale.

Il Modello Post-Ceasefire: Perché la Tregua Non Riduce il Rischio

La promessa pubblica dei collettivi allineati all'Iran di proseguire le operazioni nonostante la tregua non è retorica: riflette una dinamica strutturale. Primo, molti di questi gruppi non sono gerarchicamente subordinati al comando politico iraniano, ma operano in una zona grigia di tolleranza e finanziamento parziale che sopravvive indipendentemente dalle trattative diplomatiche. Secondo, la tregua riduce la pressione sulle infrastrutture iraniane interne — il blackout internet è cessato — e libera risorse operative che in tempo di guerra aperta erano assorbite dalla difesa. Terzo, la pausa kinetica sposta il centro di gravità del conflitto sul dominio cyber, che è per definizione sotto la soglia della guerra convenzionale e quindi politicamente utile come strumento di pressione continua.

Per i difensori, questo significa che la finestra post-ceasefire non è una finestra di respiro ma di massima intensità relativa: le operazioni rumorose di marzo lasciano spazio a operazioni silenziose di aprile-maggio, con enumeration, credential harvesting, e posizionamento persistente in vista di eventuali escalation future. Il rilevamento diventa più difficile proprio quando la percezione del rischio cala.

Indicatori Operativi da Monitorare Ora

• Password spraying contro tenant Microsoft 365 e Google Workspace di enti italiani nei settori energia, difesa, PA, sanità e telco, con sorgenti su IP residenziali europei e asiatici (pattern già osservato nella campagna del 7 aprile).
• Tentativi di sfruttamento di PLC Rockwell Automation, Schneider, Siemens esposti su Internet — anche su operatori idrici e utility italiane di medie dimensioni, storicamente sotto-presidiate rispetto alle major.
• Spear-phishing su dipendenti di fornitori della filiera difesa con esche a tema geopolitico (briefing NATO falsi, convocazioni di conferenze, documenti "riservati" su Israele-Iran).
• Campagne Handala-like con vettori di supply chain (MDM, gestione endpoint, strumenti di patching) come amplificatori — il caso Stryker-Intune è il template.
• Defacement e leak contro PMI italiane con contratti noti o presunti con Israele — il danno reputazionale e legale supera spesso quello tecnico.
• Traffico anomalo verso domini TLD .ir, ma soprattutto verso infrastrutture di comando e controllo ospitate su provider europei a basso costo (Bulgaria, Romania, Olanda) frequentemente usati dai cluster iraniani.

Raccomandazioni per Aziende e PA Italiane

1. 1.Revisione immediata della superficie esposta: ogni servizio raggiungibile da Internet deve avere un owner, una patch cadence documentata, e un alert di anomalia. Dare priorità a VPN, firewall, piattaforme MDM, sistemi OT/SCADA e portali di posta.
2. 2.Applicazione aggressiva di MFA resistente al phishing (FIDO2/passkey) sugli account con accesso a sistemi critici. Il password spraying iraniano si è dimostrato efficace ovunque l'MFA fosse basata solo su OTP SMS o app senza binding crittografico.
3. 3.Segmentazione OT/IT rigorosa per operatori di acqua, energia, trasporti e sanità — con bastion host, jump server autenticati e monitoraggio dei flussi verso PLC e HMI. Nessun PLC deve essere direttamente raggiungibile da Internet.
4. 4.Threat hunting proattivo con focus su TTPs iraniane documentate: uso di tool legittimi (PsExec, WMI, PowerShell), persistenza tramite scheduled task e servizi, C2 su HTTPS con certificati Let's Encrypt su VPS europei.
5. 5.Esercitazioni di incident response con scenari specifici: breach con esfiltrazione + leak pubblico, wiper distruttivo sui server di dominio, compromissione della supply chain di un fornitore MDM o di patching.
6. 6.Revisione dei contratti con fornitori della difesa e dell'energia per includere obblighi contrattuali di notifica incidenti compatibili con NIS2 e con i tempi operativi reali (24-72 ore, non settimane).
7. 7.Monitoraggio delle menzioni pubbliche dell'azienda in contesti legati a Israele o a forniture militari — essere citati in una lista hacktivista è spesso il primo segnale debole prima di un attacco.
8. 8.Coordinamento con ACN e CSIRT Italia: condividere IoC e telemetria anomala è oggi un moltiplicatore di difesa, non un costo reputazionale.

Conclusione: La Dottrina Iraniana È Cambiata, la Difesa Italiana Deve Aggiornarsi

La morte di Khamenei ha accelerato una trasformazione che era già in corso: il cyber iraniano è uscito dalla fase adolescenziale — rumoroso, dimostrativo, politicamente utile solo come segnale — ed è entrato in una fase matura, in cui la preservazione dell'accesso, la monetizzazione mista (statale e criminale) e la selezione dei bersagli secondo una griglia geopolitica sofisticata diventano la norma. Per l'Italia, questo significa smettere di pensare l'Iran come un attore di secondo piano rispetto a Russia e Cina: in termini di volume, velocità e aggressività contro target europei, Teheran è oggi nella stessa categoria di Mosca.

La tregua non riduce il rischio: lo sposta dal dominio del rumore a quello del silenzio. E il silenzio, in cybersecurity, è sempre la condizione più pericolosa. Le prossime sei-otto settimane saranno determinanti per capire quali organizzazioni italiane erano preparate al nuovo paradigma e quali si sveglieranno troppo tardi.