Guerra ibrida: la nostra libertà è nelle mani degli hacker

Da almeno due settimane, su un sito raggiungibile solo attraverso la rete Tor, c'è una scheda intestata a un ministro della Repubblica. Dentro ci sono il curriculum, i numeri di telefono privati, gli indirizzi email e quello di casa. E c'è una "taglia": chi porta altre informazioni su di lui e sui suoi familiari viene pagato. Il ministro è Antonio Tajani, la caccia l'ha aperta NoName057(16), lo stesso collettivo filorusso che a ottobre aveva preso di mira il sito della Farnesina. Nella stessa lista ci sono il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. Quei dati, per ora, restano dove sono, perché toglierli dal dark web è tecnicamente impossibile.

Tajani ha definito tutto questo «guerra ibrida». E nelle stesse settimane un'altra notizia è passata quasi in silenzio. A metà ottobre qualcuno è entrato nei sistemi di BBT SE, la società che costruisce la Galleria di base del Brennero, e ha portato via dati custoditi su server raggiungibili da Internet. La conferma è arrivata il 6 novembre e la stampa austriaca indica come sospettato Everest, una rete di criminali russofoni che vive di furti di dati ed estorsioni. Un ministro e un cantiere ferroviario. Non c'entrano niente l'uno con l'altro, se non per il fatto che in entrambi i casi qualcuno ha deciso al posto nostro chi deve sapere cosa.

Questa volta non voglio scrivere di come ci si difende (di password, backup e phishing abbiamo parlato a lungo). Vorrei fermarmi su una domanda più scomoda: quanto ci sta costando, in libertà, tutto questo?

Abbiamo sempre avuto fiducia nella libertà, e i nostri dati li abbiamo usati e archiviati in modo piuttosto "libertino". Abbiamo creduto davvero nella globalizzazione, nella condivisione e nello scambio culturale (sacrosanto, e lo penso ancora). Abbiamo pensato che la libertà fosse una condizione naturale, che bastasse non toglierla. Ci siamo dimenticati il suo lato oscuro: la libertà lasciata a sé stessa diventa in fretta la libertà del più forte, o del più spregiudicato. Non è un'idea nuova. John Locke, nel Secondo trattato sul governo del 1689, scriveva che dove non c'è legge non c'è nemmeno libertà, perché la libertà consiste proprio nell'essere al riparo dalla violenza degli altri.

Oggi ci troviamo in un paradosso. Per proteggerci dalla minaccia informatica siamo costretti a chiuderci. Profili privati, doppia autenticazione, numeri di telefono di riserva, VPN, reti separate, dati ridotti al minimo. Ci costruiamo una cella: ben arredata e con tutti i comfort, ma sempre una cella. E mentre ce la costruiamo rinunciamo, un pezzo alla volta, proprio a quella libertà che volevamo difendere.

Le norme ci aiutano, ma guardate in che direzione vanno. Il GDPR, la NIS2, il Cyber Resilience Act, l'AI Act: quasi tutto l'impianto europeo dice alla vittima come chiudersi meglio. Misure minime, registri, notifiche entro 24 ore, responsabilità degli amministratori. Sono regole serie e chi mi legge sa che le difendo da anni. Ma servono, in sostanza, ad "autoincarcerarci" con ordine. Il pirata che ci viene addosso resta fuori dal perimetro della norma, spesso fuori dai confini, quasi sempre impunito.

È qui che l'Europa, secondo me, sbaglia approccio. La giurista Anu Bradford l'ha chiamato "effetto Bruxelles": l'Unione è diventata la più grande esportatrice di regole al mondo, tanto che le multinazionali si adeguano ai nostri standard anche fuori dall'Europa. È un potere vero, ma da legislatore, non da difensore. Le autostrade digitali su cui viaggiano i nostri dati (cloud, piattaforme, cavi) sono in gran parte di altri. Chi le attacca sta altrove. E noi scriviamo il codice della strada per strade che non controlliamo, senza una polizia stradale che le percorra. Non è un caso che lo stesso NoName057(16) fosse già finito nel mirino dell'operazione Eastwood, coordinata da Europol ed Eurojust nel luglio 2025: oltre cento server spenti, arresti e mandati di cattura internazionali, e qualche mese dopo il gruppo era di nuovo al lavoro.

Servirebbe saltare dall'altra parte della barricata e passare dalla difesa all'azione. Autostrade digitali europee con regole chiare e nette, con caselli, polizia e autovelox, con controlli capillari su chi le percorre. E chi sbaglia non viene solo multato. Esce dall'autostrada per il tempo necessario e ci rientra "in prova", come un automobilista a cui hanno ritirato la patente.

"Ecco, arriva il Grande Fratello. Lo Stato ci vuole controllare." Lo sento già.

Vi racconto una cosa. In vita mia ho fatto tantissimi chilometri in automobile e ho visto diversi incidenti mortali. Ognuno di quegli incidenti mi ha reso un po' più attento, fino quasi alla paranoia. Ho sempre cercato di rispettare le regole, anche quando mi sembravano assurde (e qualche limite di velocità assurdo lo è davvero). Ma una cosa l'ho capita presto: chi corre a 180 all'ora non sta esercitando una libertà. Sta togliendo la mia, quella di percorrere la stessa strada senza il pericolo di un pirata. John Stuart Mill, nel saggio Sulla libertà del 1859, lo diceva in modo più elegante: l'unico motivo per cui si può limitare la libertà di qualcuno è impedirgli di fare del male agli altri.

L'obiezione del Grande Fratello merita comunque rispetto. E la risposta più chiara l'ha data, curiosamente, proprio Tajani. Nell'ottobre 2024, in pieno scandalo dei dossieraggi milanesi, disse che non ci deve essere un "grande fratello" che controlla le vite private, perché esistono già le leggi della Repubblica, le forze di polizia e la magistratura. Ha ragione. E non è in contraddizione con l'autostrada che vi propongo, a patto di capire dove passa il confine. Il Grande Fratello deve controllare cosa fai, non quali dati hai. L'autovelox misura la velocità, non apre il bagagliaio e non ascolta le telefonate in macchina. Una polizia digitale degna di questo nome deve guardare i comportamenti sulla strada (l'accesso abusivo, l'estorsione, la scheda in vendita sul dark web), non frugare negli archivi di chi guida tranquillo.

La questione riguarda da vicino anche noi, che ministri non siamo. Le schede che oggi riguardano un vicepremier sono costruite con gli stessi pezzi che ognuno di noi ha lasciato in giro in vent'anni di iscrizioni, ordini online e profili social. Cambia solo il prezzo.

Per anni ho pensato, come molti, che il problema non mi riguardasse perché non avevo nulla da nascondere. Neppure Tajani aveva nulla da nascondere, eppure l'indirizzo di casa dei suoi familiari è in vendita. La libertà non è nascondere qualcosa, è decidere chi sa cosa di te. È questa libertà che ci hanno tolto e che una regola ben fatta dovrebbe restituirci.

C'è però un aspetto che complica la questione. Tajani ha spiegato che chi cerca le sue informazioni si muove anche in reazione al lavoro fatto da mesi per difendere la Farnesina. Difendersi, insomma, attira la reazione. Chi prova a pattugliare la strada diventa a sua volta un bersaglio, e infatti nella lista ci sono proprio un procuratore e il capo della Polizia postale. Non so se l'Europa avrà il coraggio di mettere quella polizia sulla strada, né quanto ci costerà farlo. Il 9 e 10 novembre i ministri degli Esteri del G7 si ritrovano a Parigi, e Tajani ha chiesto di mettere la guerra ibrida al centro del tavolo. Vedremo se ne uscirà un altro regolamento o, finalmente, qualcuno con la paletta in mano.

Per maggiori informazioni:

Sito web: www.seccomarco.com

LinkedIn: https://www.linkedin.com/in/marco-secco-pqc/