Le Hunt Forward Operation USA sono il Cavallo di Troia per spiare le reti della UE?

Lo scorso 15 gennaio il quotidiano francese Le Monde ha pubblicato un articolo nel quale ha evidenziato le perplessità francesi sulla “Hunt Forward Operation” (HFO) cioè la ricerca attiva di (e dunque nella “caccia” a) soggetti o software che si sono infiltrati in una rete per commettere azioni illecite o “fare danni”. Inizialmente avviate in Ucraina agli inizi del 2022 per contrastare le azioni ostili attribuite alla Russia, le HFO sono state, infatti, condotte anche in Paesi della UE come Lituania e Croazia.

L’allarme

Il lato oscuro di ChatGPT: così l’intelligenza artificiale viene usata per il cybercrimine

di Emanuele Capone 12 Gennaio 2023

In quanto tali, attività del genere non destano particolari preoccupazioni perché fanno parte dell’articolata offerta di sicurezza che le aziende private propongono al mercato. Quando, tuttavia, i tecnici incaricati non sono dipendenti di una società commerciale ma militari di un altro Paese con una storia di spionaggio anche nei confronti degli alleati come nel caso Crypto AG e nel caso Merkel - per non parlare delle rivelazioni di Edward Snowden - si comprendono meglio le perplessità di Parigi.

Già il 9 dicembre 2022, in un’audizione all’Assemblée Nationale, il comandante della cyberdefense transalpina aveva dichiarato* : “non mi soffermerò sulla politica americana di hunting forward, se no per dire che è relativamente aggressiva perché apre agli Americani le reti dei Paesi che chiedono il loro intervento. ... Consentendo una forma di accesso alle reti coinvolte, le HFO le proteggono, ma con una presenza marcata a servizio della diplomazia, cosa che il generale Nakasone non nasconde”. Qualche mese prima, con una dichiarazione riportata dalla BBC che suona molto come una excusatio non petita, il generale Hartman, comandante del Cyber National Mission Force - United States Cyber Command, a proposito del modo in cui sono condotte le HFO aveva dichiarato*: “se sei il Paese ospitante, questa è una situazione alquanto preoccupante. Sorge immediatamente qualche dubbio sul fatto che potremmo fare qualcosa di cattivo o che si tratti di un’operazione super segreta per installare backdoor”.

Cybersecurity: un nuovo approccio, in linea con l’Europa, che aiuta a garantire maggiore sicurezza per le imprese e i consumatori, e la sovranità digitale in Italia

16 Dicembre 2022

Siamo, dunque, di fronte ad un nuovo fronte nella complessa partita a scacchi fra USA e UE, alleati nell’opporsi alla Russia, ma storicamente avversari sul fronte economico e su quello politico della sovranità tecnologica (anche italiana)?

Sicurezza

Apple ha eliminato una pericolosa vulnerabilità degli iPhone. Perché aggiornare iOS

di Antonio Dini 14 Dicembre 2022

Un approccio pragmatico e sensato sconsiglia di avventurarsi in analisi basate su narrative mainstream o complottismi di varia natura e colore, anche perché in temi come la sicurezza nazionale gli unici a poterne parlare con cognizione di causa - e non lo fanno pubblicamente - sono quelli che vi sono direttamente coinvolti. Dunque, fino a quando non ci saranno prove di comportamenti inappropriati o palesemente aggressivi degli USA nei confronti dei Paesi che ne hanno richiesto l’intervento dobbiamo presupporre che la realtà corrisponda all’apparenza. Di conseguenza, non possiamo sapere se l’allarme francese sia, piuttosto, frutto del loro tradizionale antiamericanismo, della necessità di espandere le attribuzioni di qualche struttura militare interna o di altre querelle domestiche.

Vale la pena, invece, di guardare in casa propria e domandarsi se, in casi analoghi, le nostre politiche di sicurezza nazionale rendano astrattamente necessario il ricorso ad aiuti stranieri o se la Difesa italiana sia autosufficiente dal punto di vista tecnologico. L’onnipresenza ubiqua nelle infrastrutture critiche e nei servizi essenziali che costituiscono il “perimetro nazionale di sicurezza cibernetica” e nel futuro cloud PA di tecnologie straniere (non solo USA) pone un problema strutturale che va ben oltre il tema delle HFO.

Le operazioni militari hanno le proprie regole, e nell’ambito dei patti di cooperazione è impensabile che si possano giocare partite a più livelli, rischiando di incrinare la indispensabile fiducia totale che si deve avere in chi potrebbe essere chiamato a combattere dallo stesso lato della barricata. Al contrario, l’attività informativa si svolge in ambiti dai contorni molto meno definiti e basta leggere i documenti resi pubblici tramite Wikileaks per rendersi conto che quando si gioca con l’intelligence la regola del gioco è, essenzialmente, “no holds barred” - tutto è lecito. Per esempio, è ancora largamente ignoto se e come sia stato applicato in Italia il Clarifying Lawful Overseas Use of Data Act americano, che consente alle autorità statunitensi di ottenere accesso ai dati detenuti da aziende USA sul territorio europeo. Lo scorso 4 agosto 2022 l’Associazione Italiana Internet Provider aveva chiesto all’Autorità garante per la protezione dei dati personali di approfondire il tema, tuttavia ancora oggi non risulta nemmeno aperta un’istruttoria.

L’inerzia dell’Autorità garante su un tema così importante è, archetipicamente, il punto debole dell’impalcatura della nuova sicurezza nazionale condizionata dall’elevazione del settore privato (straniero) a interlocutore diretto e paritario dello Stato. Prima ancora di preoccuparsi di questioni militari, è il controllo pubblico sul settore privato a costituire un rimedio preventivo contro “cattivi pensieri”, “fidati ma controlla”, il proverbio russo che il presidente Reagan adottò come un mantra è l’approccio che potrebbe consentire un bilanciamento fra le ovvie necessità di interazione anche commerciale con Paesi alleati e la tutela degli interessi nazionali. Un sistema efficace e tempestivo di controlli, infatti, dissuade dall’approfittare di occasioni che, invece, si presentano quando norme draconiane rimangono soltanto un po’ di inchiostro stampato sulla Gazzetta Ufficiale.

* NdA: Le traduzioni dal Francese e dall’Inglese non sono ufficiali.