L’attuale scenario geopolitico in Medio Oriente è caratterizzato da una tensione crescente, culminata nella “guerra dei 12 giorni”, che va ben oltre i tradizionali confini della guerra convenzionale.
L’escalation in Iran non si è manifestata unicamente sul piano militare terrestre o aereo, ma si estende in maniera sempre più pervasiva al dominio cibernetico, trasformando lo spazio digitale in un vero e proprio campo di battaglia.
Pur spesso poco considerato e meno discusso di altre potenze in questo contesto, l’Iran ha dimostrato una capacità strategica e operativa notevole nello sviluppo di un’infrastruttura di cyber guerra sofisticata, in grado di competere con le più importanti potenze in questo campo.
La comprensione approfondita di questa minaccia latente è quindi non solo opportuna, ma indispensabile per professionisti della cyber security e decisori strategici.
Indice degli argomenti
La guerra dei 12 giorni potrebbe trasferirsi online
Le recenti dinamiche di conflitto con Israele e gli Stati Uniti, con rappresaglie incrociate e attacchi mirati, evidenziano un rischio concreto di intensificazione anche online, dove le azioni ostili possono avere ripercussioni significative su infrastruttura critica, servizi essenziali e la stabilità regionale e globale.
La storia del cyberwarfare iraniano
La genesi della capacità cyber offensiva iraniana affonda le radici in un decennio di investimenti e apprendimento da attacchi subiti.
Un punto di svolta fondamentale è rappresentato dal celebre attacco Stuxnet del 2010, un worm altamente sofisticato – l’ipotesi consolidata è che la sua creazione e diffusione sia da attribuire al governo statunitense, in collaborazione col governo israeliano – che mirava ai sistemi di controllo industriale (SCADA) degli impianti nucleari iraniani.
Stuxnet ha agito come un catalizzatore, spingendo Teheran a rafforzare drasticamente le proprie capacità difensive e, successivamente, offensive nel cyberspazio.
Da allora, l’Iran ha dimostrato una crescente audacia e sofisticazione. Un esempio paradigmatico è l’attività documentata di attori cyber affiliati all’IRGC (Corpo delle Guardie della Rivoluzione Islamica) che hanno sfruttato vulnerabilità nei Controllori logici programmabili (PLC) in molteplici settori, inclusi gli impianti di trattamento dell’acqua e dei sistemi fognari negli Stati Uniti.
Questi attacchi non si sono limitati alla compromissione, ma hanno dimostrato la capacità di manipolare direttamente i processi operativi, evidenziando una minaccia tangibile alla sicurezza fisica.
Un’altra rappresaglia, di cui parlato il Washington Post, si verificò l’8 maggio 2020. Un attacco cibernetico da parte israeliana contro le infrastrutture portuali iraniane che, secondo le interpretazioni, sarebbe avvenuto in risposta a una precedente azione di cyber-guerriglia iraniana che aveva preso di mira alcune reti per la distribuzione dell’acqua sul territorio di Israele.
L’attacco in Albania passato in sordina
Più recentemente, un attacco significativo che ha colpito l’Albania ha dimostrato la portata geografica delle operazioni iraniane, estendendosi ben oltre il tradizionale raggio d’azione mediorientale.
Ma ha anche evidenziato la volontà di Teheran di utilizzare il cyberwarfare come strumento di pressione politica e di ritorsione contro Stati che percepisce come ostili o che supportano i suoi oppositori interni.
Hacker iraniani, legati a IRGC, hanno preso di mira la capitale Tirana in una chiara rappresaglia per l’ospitalità offerta dall’Albania a circa 3.000 dissidenti iraniani.
L’attacco ha causato interruzioni rilevanti ai servizi governativi albanesi, dimostrando la capacità di incursione e la volontà di infliggere danni tangibili.
I gruppi iraniani attivi sul web
L’ecosistema cyber offensivo iraniano è complesso e stratificato, composto da diverse entità con specializzazioni distinte, spesso operanti sotto l’egida di agenzie governative come il Ministero dell’Intelligence e della Sicurezza (MOIS) e il Corpo delle Guardie della Rivoluzione Islamica (IRGC).
Tra i gruppi più noti affiliati al MOIS, si distinguono MuddyWater, che si concentra principalmente sullo spionaggio cibernetico in Medio Oriente e Africa, sebbene sia stato anche collegato al dispiegamento di ransomware.
Vi è poi APT34 (OilRig), noto per l’uso di malware distruttivi di tipo “wiper”, e Agrius, specializzato nel dispiegamento di ransomware e wiper malware, in particolare contro entità israeliane.
Void Manticore si maschera spesso da gruppo hacktivista, avendo preso di mira entità israeliane con wiper malware distruttivi e partecipando all’amplificazione di narrazioni di attacco.
Il Corpo delle Guardie della Rivoluzione Islamica (IRGC), con un mandato più ampio di difesa della rivoluzione, si impegna frequentemente in operazioni di portata più globale.
Tra le sue divisioni cyber più rilevanti figurano Charming Kitten (APT35, APT42), specializzate rispettivamente nella raccolta di intelligence a lungo termine e in campagne di phishing mirate.
APT33 è invece coinvolta in campagne di spionaggio cibernetico contro infrastrutture critiche e ha la capacità di influenzare campagne elettorali. Non meno importante è Fox Kitten, nota per spionaggio, schemi di hack-and-leak e dispiegamento di ransomware.
Il gruppo Storm-0784 (CyberAv3ngers/Soldiers of Solomon), mascherandosi da hacktivisti, è stato collegato ad attacchi a sistemi di tecnologia operativa (OT). Infine, Emennet Pasargad gestisce operazioni di influenza, mirando a condizionare le percezioni straniere e, potenzialmente, a interferire in elezioni tramite fake news e deepfake.
Il futuro del panorama della minaccia cibernetica iraniana
La proliferazione e la specializzazione di questi gruppi rendono il panorama della minaccia cibernetica iraniana estremamente dinamico e complesso.
La capacità di Teheran di orchestrare attacchi sofisticati, mimetizzarsi dietro false flag e sfruttare le vulnerabilità sistemiche globali, in un contesto di escalation delle tensioni geopolitiche, rappresenta una sfida significativa per la sicurezza informatica a livello internazionale.
Comprendere la struttura, le motivazioni e le tattiche di questi attori è fondamentale per sviluppare strategie di difesa proattive e resilienti.
