Cyber guerra prima delle bombe: così l’Iran ha preparato gli attacchi in Medio Oriente

Gli attacchi informatici condotti da APT35 hanno preceduto di anni i bombardamenti nel conflitto in Medio Oriente, colpendo infrastrutture critiche e sistemi governativi. Secondo un report, le intrusioni hanno anticipato gli stessi obiettivi poi bersagliati militarmente. Il caso evidenzia come la guerra cibernetica sia ormai integrata nelle operazioni militari, trasformando il cyberspazio in un campo di battaglia strategico e permanente.

I massicci attacchi in Medio Oriente potrebbero non essere stati una spontanea escalation, ma un’operazione pianificata in anticipo e supportata dall’intelligence digitale. Un nuovo rapporto mostra che gli attacchi informatici sono iniziati molto prima dei lanci missilistici e potrebbero aver indicato direttamente i futuri obiettivi.

Il conflitto in questione è scoppiato il 28 febbraio 2026, quando Stati Uniti e Israele hanno lanciato l’Operazione Epic Fury, colpendo le infrastrutture nucleari e militari iraniane. In risposta, l’Iran ha lanciato una massiccia offensiva utilizzando missili balistici e droni, attaccando simultaneamente sette paesi, tra cui Arabia Saudita, Emirati Arabi Uniti, Kuwait e Israele.

Parallelamente all’azione militare, era in corso anche una guerra cibernetica.

Secondo il rapporto, il gruppo APT35, noto anche come Charming Kitten, avrebbe studiato e violato sistematicamente le infrastrutture dei paesi della regione per diversi anni prima del conflitto. Inoltre, l’elenco degli obiettivi coincideva quasi interamente con i paesi successivamente colpiti dagli attacchi missilistici.

Gli specialisti di Cloudsek descrivono lo schema in modo piuttosto diretto.

Prima dell’attacco alla Giordania, gli aggressori hanno avuto accesso ai dati dell’aviazione civile. Prima degli attacchi a Dubai, hanno avuto accesso a sistemi e infrastrutture interne. Anche i documenti del governo saudita sono stati compromessi prima dei primi attacchi missilistici a Riyadh.

Questa sequenza suggerisce che gli attacchi informatici siano stati utilizzati per preparare il campo di battaglia. Tuttavia, gli autori del rapporto sono cauti nella loro formulazione e ammettono una spiegazione alternativa: sia gli attacchi informatici che gli attacchi militari potrebbero essere stati basati sulle stesse priorità strategiche per l’Iran.

Si osserva inoltre che APT35 è collegato all’unità di intelligence del Corpo delle Guardie Rivoluzionarie Islamiche. I dati trapelati su cui si basa l’analisi indicano anche i legami di questo gruppo con altri progetti noti, tra cui Moses-Staff e Al-Qassam Cyber Fighters. Precedentemente considerati entità separate, questi gruppi presentano ora indicazioni di finanziamenti e coordinamento condivisi.

Gli attacchi informatici non si sono limitati alla ricognizione

Durante il conflitto sono state registrate operazioni distruttive, inclusi attacchi a sistemi logistici, energetici e industriali. Ad esempio, il malware Shamoon ha distrutto circa 15.000 postazioni di lavoro nel settore energetico dell’Arabia Saudita molto prima dell’inizio dei lanci missilistici.

Gli esperti hanno inoltre individuato un modello di conflitto moderno in cui le operazioni digitali procedono di pari passo con quelle militari.

Inizialmente, si procede con una prolungata ricognizione sotto copertura, seguita da attacchi informatici per indebolire le infrastrutture, poi da attacchi fisici e da una nuova ondata di attacchi contro i sistemi indeboliti. Gli autori ritengono che tale combinazione potrebbe diventare la nuova norma per i conflitti tra Stati.

In uno scenario del genere, gli attacchi informatici cessano di essere uno strumento a sé stante e diventano parte integrante della strategia militare.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research