Perché i falsi allarmi nei cieli sono parte di un conflitto contro l’Europa

C’è un aggettivo che in Europa funziona da anestetico: “ibrido”. Suona tecnico e rassicurante, come se la guerra vera fosse altrove e qui ci toccasse solo una sua versione diluita, a basso contenuto calorico. I fatti di questi giorni suggeriscono di buttare via l’anestetico. Dal 2 al 5 novembre ventotto voli europei hanno ricevuto minacce bomba via email, alcune scritte in italiano. Ci sono stati dirottamenti, atterraggi precauzionali, caccia dell’Aeronautica in scorta fino a Fiumicino, artificieri a Malpensa. Erano tutte false. Nelle stesse ore i frigoriferi dei supermercati, già manomessi a ottobre in centinaia di punti vendita francesi, sono stati spinti verso i 50 gradi in diversi paesi, Sicilia compresa. Poi è toccato alle celle che conservano il plasma dell’ente trasfusionale francese, riprogrammate da remoto da meno trenta a più centodieci gradi. Un tecnico di turno se n’è accorto in tempo. 

Chiamare “ibrido” questo tipo di conflitto è un classico errore di categoria. Clausewitz definiva la guerra come un atto di forza per piegare la volontà dell’avversario, e non pretendeva che la violenza implicasse necessariamente invasioni territoriali. Ma un comando remoto che distrugge scorte alimentari o che costringe decine di aerei all’atterraggio di emergenza non è più propaganda: è già violenza, recapitata via rete. Qui la volontà da piegare è quella delle opinioni pubbliche europee, e il mezzo è la paura somministrata a dosi regolari. La Nato riconosce il cyberspazio come dominio operativo dal vertice di Varsavia del 2016: invece che una metafora, dunque, va considerata a pieno titolo una dottrina militare. Il dominio aereo, poi, viene colpito senza missili, con una tecnica più elegante e più perfida. Si usano le nostre procedure di sicurezza contro di noi. Ogni minaccia, anche la più inverosimile, obbliga a dirottare, ispezionare, far decollare intercettori. E’ una sorta di jiu-jitsu procedurale: la forza dell’avversario, cioè la nostra prudenza, diventa la leva del suo atterramento.

L’economia di questo conflitto è spietatamente asimmetrica. Un’email anonima costa zero. Un volo deviato costa carburante, slot persi, coincidenze saltate, indennizzi, ore di forze dell’ordine e di aerei militari. Un banco frigo violato costa tonnellate di merce da buttare, premi assicurativi da rinegoziare, controllori industriali da sostituire. Ma il costo vero non finisce nei bilanci. Kenneth Arrow osservava che quasi ogni transazione economica contiene un elemento di fiducia. Questi attacchi sono una tassa sulla fiducia, riscossa senza parlamento e senza aliquota dichiarata. Il loro rendimento si misura nel momento in cui il cittadino si chiede se lo stato sia ancora capace di garantire la sicurezza di un volo, di una bistecca, di una trasfusione.

Chi abbia interesse a questo risultato non è un mistero da romanzo giallo. Gli attacchi ai supermercati sono stati rivendicati da gruppi filorussi già noti, NoName057(16) e Z-Pentest. Per le celle del plasma e per gli allarmi aerei l’attribuzione formale ancora manca, ed è giusto che gli inquirenti la pretendano rigorosa. Per una diagnosi strategica, però, non serve attendere la sentenza. Basta chiedersi a chi giovi un’Europa che si riarma, sostiene Kyiv e intanto scopre di avere paura del proprio frigorifero.

Più difficile è capire chi siano le vittime più esposte. Non sono i grandi gruppi della distribuzione, che hanno uffici di sicurezza e margini per assorbire il colpo. E’ la coda lunga del sistema. C’è il supermercato indipendente con il controllore installato quindici anni fa e la password mai cambiata. C’è il fornitore di manutenzione che gestisce da remoto centinaia di impianti, un unico punto di vulnerabilità che l’Agenzia per la cybersicurezza nazionale ha appena segnalato. C’è la compagnia low cost sulle rotte orientali, dove ogni dirottamento brucia un margine già sottile. E c’è l’ospedale di medie dimensioni, che compra frigoriferi come elettrodomestici e scopre di aver acquistato computer vulnerabili. Il rischio si propaga lungo la catena di subfornitura, come insegna il caso dell’ente francese, colpito attraverso un fornitore di container refrigerati.

Ancora più difficile è individuare le quinte colonne, perché le più efficaci sono involontarie. Una è l’appalto al massimo ribasso, che premia il dispositivo connesso senza sicurezza nativa. Un’altra è l’economia dell’attenzione, che trasforma ogni allarme in tendenza social e moltiplica l’effetto di un’email da pochi caratteri: il sabotaggio diventa una coproduzione tra chi lo lancia e chi lo amplifica. C’è poi chi, a destra come a sinistra, derubrica tutto a ragazzata informatica, o peggio ne trae la morale che basterebbe smettere di aiutare l’Ucraina per tornare a dormire tranquilli. E’ esattamente il dividendo politico che l’operazione cerca di incassare.

Prima di tutto, quindi, serve consapevolezza: non panico, ma lucidità. La resilienza, come si dice, è un bene pubblico e va trattata come tale. Servono norme specifiche e incentivi rapidi per sostituire i controllori industriali a fine vita e separare le reti operative da internet. Serve una valutazione comune, a livello europeo, della credibilità delle minacce aeree, per non obbligare ogni scalo a reinventare la ruota a ogni email. Serve applicare con serietà la direttiva NIS2 sulla sicurezza informatica anche lungo le filiere della manutenzione. E serve una comunicazione pubblica che informi senza spaventare, perché la paura è precisamente la munizione del nemico. Il freddo, per una volta, conviene tenerlo nei frigoriferi. Il sangue freddo, invece, nelle istituzioni.