Cyberspazio: un non-luogo dove singoli individui e stati di piccole dimensioni possono svolgere un ruolo significativo con spese modeste, arrivando a surclassare superpotenze mondiali abituate a spadroneggiare negli altri domini di guerra. Un posto virtuale in cui non ha senso parlare di posizione bellica dominante ma, piuttosto, di capacità, conoscenza e tecnologia.

Essere all’avanguardia in campo informatico non sempre è un pregio: la forte dipendenza dalle tecnologie informatiche e delle telecomunicazioni rende intere nazioni molto più vulnerabili di altri paesi più arretrati. La distanza fisica è irrilevante, gli attacchi possono essere contemporaneamente devastanti e a buon mercato. Gli attaccanti sono sempre avvantaggiati rispetto ai difensori, sia perché spesso sfruttano vulnerabilità 0-day, sia perché Internet è da sempre progettata per essere veloce e di facile utilizzo a discapito della sicurezza.

11 settembre cibernetico?

Joseph S. Nye, ex assistente del Segretario alla Difesa USA, docente di Harvard e autore del libro “The Future of Power“, definisce la cyber war come “un’azione ostile nel cyberspazio i cui effetti eguagliano o amplificano una grave violenza fisica“. Ritiene anche che la cyber guerra, pur essendo attualmente solo una minaccia, sia comunque potenzialmente drammatica e devastante. Aggravata dal fatto che vi partecipano, oltre alle nazioni, anche hacktivisti, cyber criminali, cyber terroristi, cyber mercenari e altri attori minori.

Alla già citata possibilità di una nuova Pearl Harbor cibernetica, Nye paventa l’avvento ancora più probabile di un nuovo “11 settembre informatico“. Non è facile prevedere se e cosa accadrà né con quali conseguenze, ma ciò che ormai è ampiamente dimostrato è l’elevatissima probabilità di successo e il rischio reale di generare spargimenti di sangue o decessi di massa. Sottovalutare queste evenienze è veramente da stolti, incoscienti e irresponsabili.

La complessità cibernetica è stata paragonata dall’ammiraglio Mike McConnell, ex direttore della National Intelligence USA, alla “proliferazione nucleare ma molto più facile“. Con la fondamentale differenza che nel cyberspazio non è possibile implementare alcuna politica di controllo degli armamenti né misure di smantellamento degli ordigni cibernetici.

La definizione di cyber-arma

L’avvocato Stefano Mele, professionista di sicurezza, cyber-terrorismo e cyber warfare, nel suo ottimo testo “Cyberweapons – Aspetti giuridici e strategici” definisce giuridicamente una cyber-arma (o cyberweapon) come “un’apparecchiatura, un dispositivo ovvero qualsiasi insieme di istruzioni informatiche dirette a danneggiare illecitamente un sistema informatico o telematico avente carattere di infrastruttura critica, le sue informazioni, i dati o i programmi in esso contenuti o ad esso pertinenti, ovvero di favorire l’interruzione, totale o parziale, o l’alterazione del suo funzionamento” sulla base dell’articolo 615-quinquies del Codice Penale.

Pur rispettando la definizione data dal collega, personalmente ritengo che il corretto punto di partenza sia la definizione di arma che ci fornisce l’articolo 585 del Codice Penale, ovvero “si definiscono armi tutti quegli strumenti la cui destinazione naturale è l’offesa alla persona“, pertanto definirei una cyber-arma come “un qualsiasi strumento informatico la cui destinazione finale è l’offesa alla persona attraverso il cyberspazio“.

Grazie a questa definizione sarebbe possibile adottare i concetti di “cyber-arma propria“, ovvero progettata e creata appositamente per offendere (es. worm come Stuxnet), e di “cyber-arma impropria“, ovvero strumenti informatici originariamente destinati ad altra funzione ma che possono essere usati come armi (es. programmi di diagnostica ed utilità che possono essere utilizzati, all’occorrenza, come strumenti di attacco informatico).

Ettore Guarnaccia