Il mondo della cybersecurity è in fermento dopo l’annuncio del governo USA che ha deciso di coinvolgere le aziende private nella lotta contro il cybercrime transnazionale. Il memorandum firmato da Donald Trump il 12 agosto rappresenta un cambiamento significativo nella strategia di difesa informatica del Paese.
Questa iniziativa, intitolata “Expanding Capabilities to Combat Transnational Cyber-Enabled Crime” non è un via libera incondizionato all’hack back ma introduce un approccio innovativo che merita di essere analizzato nel dettaglio.
Il programma federale per le aziende private
La Casa Bianca ha creato un programma che consente ad aziende private statunitensi, selezionate e sottoposte a rigorosi vincoli, di condurre operazioni cyber contro organizzazioni criminali transnazionali all’estero. Questo programma, noto come “The Program” è gestito dal National Coordination Center (NCC) della Homeland Security Task Force.
Le aziende partecipanti, definite “Participating Companies” operano sotto contratto e sotto il controllo diretto del governo federale. Il programma distingue due categorie di operazioni: le Cyber Surveillance Operations che permettono l’accesso occulto a sistemi informativi stranieri per raccogliere informazioni, e le Cyber Effects Operations che hanno una natura offensiva e possono comportare la manipolazione, l’interruzione, la degradazione o la distruzione di sistemi controllati dai criminali.
I limiti e le condizioni del programma
Le operazioni sono soggette a stringenti limiti: niente operazioni che possano causare morte o gravi lesioni, né attività assimilabili all’uso della forza o a un attacco armato secondo il diritto internazionale. Le aziende devono superare un processo di vetting, firmare contratti con il DoJ o il DHS e versare una cauzione di almeno un milione di dollari. Ogni operazione richiede un’autorizzazione scritta e specifica del governo.
Un’eccezione nel mondo occidentale
Questo memorandum rappresenta un’eccezione nel mondo occidentale, dove le capacità offensive restano normalmente nelle mani delle Forze armate, dei servizi di intelligence o di strutture governative specializzate. La novità è che, questa volta, viene definito un quadro specifico che attribuisce al settore privato un ruolo nelle operazioni offensive.
La collaborazione tra apparati statali e aziende tecnologiche o di sicurezza è da tempo parte dell’ecosistema cyber americano. Tuttavia, questo modello porta il rapporto su un terreno diverso, più vicino a una sorta di “cyber privateering” autorizzato dallo Stato.
Il modello europeo: pubblico e privato
In Europa, il paradigma è quasi opposto. Con NIS2 e le normative nazionali di recepimento, si chiede alle imprese critiche di prevenire, resistere, notificare gli incidenti e ripristinare i servizi, non di “rispondere al fuoco”. La cybersecurity aziendale resta quindi legata alla difesa e alla resilienza, mentre le capacità offensive rimangono nella sfera pubblica.
In Italia, l’ordinamento penale lascia poco spazio all’interpretazione: l’hacking offensivo condotto da privati può configurare, a seconda dei casi, accesso abusivo a sistema informatico, danneggiamento di dati o sistemi, oltre alle responsabilità previste per gli enti dal D.Lgs. 231/2001.
I rischi dell’hacking back autorizzato
Il primo rischio è giuridico e internazionale. Un’operazione che manipola, degrada o distrugge sistemi collocati in un altro Paese può sollevare questioni di sovranità, attribuzione e responsabilità internazionale. Inoltre, le reti non sono mai perfettamente segregate: un server utilizzato da un gruppo criminale può coesistere nello stesso data center con servizi critici di terzi.
Il secondo rischio è operativo. Attribuzione, infrastrutture condivise, proxy e supply chain rendono facile colpire il nodo sbagliato o interferire con apparati che non erano nel mirino. Il memorandum cerca di attenuare il problema limitando formalmente il raggio d’azione alle organizzazioni criminali transnazionali, ma sul campo la distinzione non è sempre così netta.
C’è poi un rischio sistemico. Più soggetti sono abilitati a utilizzare strumenti offensivi, più diventa difficile controllarli, evitare fughe di tool, abusi e conflitti di interesse. Il bond da un milione di dollari previsto dal programma rappresenta un deterrente economico, non una garanzia etica o operativa.
Alla fine, la differenza non riguarda soltanto una nuova policy di contrasto al cybercrime. Riguarda una diversa concezione del rapporto tra Stato, potere cyber e settore privato. Gli USA scelgono di formalizzare un ruolo offensivo per alcune imprese, all’interno di un quadro che prova a coniugare utilità operativa e controllo centrale. L’Europa continua invece a mantenere quella capacità oltre il limite di ciò che il privato può fare e concentra gli sforzi nel rendere più robuste le difese e più rapida la cooperazione istituzionale.
