Immagine in evidenza rielaborata con Intelligenza Artificiale

Una nave portacontainer arriva in porto e si ferma sotto una fila di gru portuali alte quanto un palazzo. Le loro braccia si allungano sopra il ponte, agganciano uno dei container impilati a bordo e lo spostano a terra. È una coreografia che si ripete migliaia di volte al giorno in ogni grande porto del mondo, con una precisione crescente e tempi sempre più ridotti. Da operazioni simili dipende buona parte del commercio mondiale e del suo ritmo.

A prima vista, una gru portuale (in gergo: ship-to-shore) sembra soprattutto una grande struttura meccanica, quasi un residuato industriale: acciaio, motori, cavi e carrucole costruiti per sollevare decine di tonnellate. La verità è che le gru installate nei grandi porti contemporanei sono ormai inserite all’interno di ecosistemi digitali molto complessi, piene come sono di sensori che controllano posizione, velocità e oscillazione dei container; software che coordinano i movimenti; strumenti per comunicare con gli altri dispositivi del porto e delle navi, ecc.

La trasformazione di strumenti meccanici in dispositivi digitali non riguarda peraltro solo le gru, ma i porti nel loro complesso. Negli ultimi decenni i terminal si sono riempiti di sistemi informatici che assegnano gli spazi ai container, coordinano camion e treni, gestiscono gli ingressi in banchina, registrano i movimenti delle merci e stabiliscono in quale ordine una nave debba essere caricata o scaricata. Nei terminal più automatizzati, parte delle operazioni che un tempo richiedevano centinaia di persone viene oggi eseguita o coordinata da software, sensori e veicoli autonomi. E i progressi di intelligenza artificiale – in termini soprattutto di computer vision, IoT/sensori, digital twin e veicoli autonomi – promettono di rendere la tendenza ancora più evidente in futuro.

Tanta efficienza è necessaria perché nei porti il tempo costa più che altrove. Una nave ferma anziché in viaggio consuma enormi risorse finanziarie. Una colonna di tir in coda perché c’è stato un errore nell’assegnazione di uno slot di carico è un danno che si ripercuote a cascata su migliaia di altri trasporti. Per questo conoscere con precisione e rapidità dove si trova un container, quanto spazio rimane su un cargo, in quale ordine vanno caricate o scaricate le stive è un fattore fondamentale per ridurre tempi e costi e aumentare l’efficienza logistica.

Più efficiente diventa la logistica, più facile ed economico risulta l’organizzazione di catene produttive distribuite su migliaia di chilometri, ovvero la struttura industriale alla base del sistema produttivo contemporaneo. La digitalizzazione dei porti è, in altre parole, uno degli sviluppi tecnologici che hanno permesso alla globalizzazione di funzionare con l’enorme fluidità ed efficienza raggiunta negli ultimi decenni.

Questa stessa trasformazione ha però prodotto altre conseguenze: un porto più digitalizzato è efficiente, ma è anche più vulnerabile ad attacchi informatici e ad altri generi di sabotaggio tecnologico. Ed è così che, di recente, anche i macchinari portuali hanno iniziato a diventare una questione cyber e geopolitica.

Il problematico dominio di ZPMC

Il caso più evidente è quello delle gru prodotte da Shanghai Zhenhua Heavy Industries Company, meglio nota come ZPMC. L’azienda cinese è diventata negli ultimi trent’anni il principale produttore mondiale di gru portuali e le sue macchine sono oggi presenti nei terminal di decine di paesi. Negli Stati Uniti, in particolare, ZPMC è arrivata a occupare una posizione dominante tra le gru portuali installate nei porti commerciali.

Per molto tempo questo dato ha interessato solo gli addetti ai lavori. ZPMC era semplicemente un’azienda che vendeva macchinari grandi, costosi e difficili da produrre a clienti che avevano bisogno di movimentare un numero crescente di carichi nel minor tempo possibile. La sua espansione era, prima di tutto, una storia industriale: quella di un’azienda che, come molte altre realtà cinesi, era riuscita a conquistare un settore altamente specializzato grazie alla capacità produttiva, ai prezzi competitivi e alla possibilità (pure questa logistica) di consegnare in tutto il mondo delle gru già quasi completamente assemblate.

Poi sono arrivati gli anni Venti ed è mutato il contesto politico. Negli Stati Uniti del post-Covid la crescente competizione con la Cina ha trasformato progressivamente alcune dipendenze industriali in problemi di sicurezza nazionale. È accaduto con i semiconduttori, con le apparecchiature per le telecomunicazioni, con le batterie, con una lunga serie di tecnologie e materie prime considerate critiche.

E alla fine è arrivato anche il turno delle gru. Macchinari che fino a pochi anni prima venivano raccontati soprattutto come moltiplicatori di efficienza hanno cominciato a essere descritti col vocabolario del rischio. Ci si è iniziati per esempio a domandare come fosse possibile che un componente industriale prodotto da un’azienda cinese, contenente hardware e software provenienti da una filiera internazionale, non solo fosse finito in ogni molo d’America (quelle ZPMC rappresentano quasi l’80% delle gru portuali presenti negli Stati Uniti), ma avesse libero accesso ad alcune delle reti infrastrutturali più importanti dell’economia USA.

Normali gru o spie cyber?

Nel febbraio del 2024, l’amministrazione Biden è così intervenuta sulla cybersecurity dei porti statunitensi, dedicando particolare attenzione proprio alle gru ship-to-shore prodotte in Cina. Il timore era che sistemi di comunicazione, accessi remoti o altre componenti digitali potessero essere sfruttati per raccogliere informazioni o, in uno scenario più grave, interferire con le operazioni portuali. Nacque così sui media l’espressione “gru-spia”, che evocava l’immagine di queste enormi mantidi d’acciaio cinesi affacciate sui porti americani, le quali, oltre a spostare container, avrebbero potuto rappresentare una specie di cavallo di Troia digitale.

Era un’immagine potente, ma anche una semplificazione della realtà politica dietro il fenomeno. Il problema delle gru ZPMC non si limita alla eventuale, presunta, e tutta da dimostrare, volontà cinese di sabotare la logistica americana o mondiale. Il problema delle gru ZPMC ha a che fare con il difficilissimo ripensamento di un sistema industriale internazionale che per decenni ha ricercato l’efficienza estrema, ma che, negli ultimi anni, è diventato politicamente sempre più spaventato da se stesso. E questo genera alcuni paradossi.

Il primo paradosso è che una gru ZPMC non è, in realtà, interamente cinese. Come molti oggetti industriali complessi del nostro tempo, è il risultato di una catena di fornitura internazionale. Al suo interno contiene motori, sensori e componenti prodotti da aziende europee, giapponesi o americane, assemblati in Cina e infine installati in un porto dall’altra parte del mondo. Una filiera così stratificata è una caratteristica normale dell’industria contemporanea, ma rende molto difficile stabilire dove cominci e dove finisca il rischio associato a una determinata tecnologia.

Eliminare una gru cinese da un porto americano, per esempio, non significa necessariamente eliminare tutti i componenti critici cinesi dall’infrastruttura del porto. Allo stesso modo, sostituire una gru cinese con una macchina europea o giapponese non solo costa di più, ma non garantisce necessariamente che questa non utilizzi a sua volta componenti o subfornitori cinesi in qualche punto della sua supply chain (che è la ragione per cui la burocrazia del protezionismo è una delle questioni tecnicamente più complesse al mondo).

Nel caso di una gru portuale, poi, la questione si complica ulteriormente perché il prodotto non termina ai confini della macchina. Una volta installata, la gru viene collegata all’ecosistema digitale del terminal. Deve comunicare con altri sistemi, essere aggiornata, diagnosticata, riparata. Le configurazioni variano da porto a porto e alcune macchine possono essere controllate, programmate o assistite da remoto.

Nel corso delle indagini condotte nel 2023 e nel 2024 dal Congresso USA furono trovati modem cellulari installati su alcune gru ZPMC o all’interno delle infrastrutture di rete che le servivano. In alcuni casi, secondo le commissioni parlamentari che condussero l’indagine, quegli apparati non erano esplicitamente previsti dai contratti stipulati dai porti. ZPMC aveva inoltre richiesto in diverse occasioni accesso remoto alle proprie gru, ufficialmente per attività di diagnostica e manutenzione.

Nessuna di queste caratteristiche, presa isolatamente, è la cosiddetta “smoking gun”. D’altra parte, un modem può avere una funzione perfettamente legittima e l’accesso da remoto, quando possibile, è comune nella manutenzione delle apparecchiature industriali, visti i grossi risparmi che permette. Il problema è che la stessa funzione che permette a un ingegnere di diagnosticare un guasto a distanza può, se progettata o configurata (magari intenzionalmente) male, trasformarsi in un punto di accesso per qualcun altro.

Le indagini statunitensi hanno quindi mostrato vulnerabilità e possibilità di accesso, ma non hanno dimostrato che Pechino abbia effettivamente utilizzato le gru ZPMC per spiare o sabotare i porti statunitensi. Nel rapporto sulle minacce informatiche al sistema marittimo pubblicato nel 2025, la Coast Guard precisava che i propri specialisti non avevano osservato attività malevole sulle o attraverso le gru, pur ritenendo che le vulnerabilità individuate le rendessero possibili.

È una distinzione importante: una vulnerabilità informatica può essere una falla tecnica, ma non indica inequivocabilmente la volontà di arrecare un danno. Una backdoor deliberatamente inserita da un produttore è invece qualcosa di diverso, perché implica intenzionalità. Dimostrare infine che l’eventuale backdoor individuata sia stata effettivamente utilizzata da uno Stato per attività di spionaggio richiede un ulteriore salto probatorio.

Il paradosso della globalizzazione

Ed è qui che rischio informatico effettivo e percezione del rischio geopolitico (con tutti i pregiudizi che essa comporta) finiscono per sovrapporsi. Un governo che si occupa della sicurezza di infrastrutture essenziali non può soltanto domandarsi se qualcuno abbia già sfruttato una vulnerabilità o se esista per errore o per dolo, ma deve soprattutto chiedersi, e a maggior ragione nel caso di un porto, se qualcuno potrebbe usarla in futuro e con quali effetti. Bloccare un grande terminal significa infatti rallentare l’arrivo di generi alimentari, di farmaci, di componenti industriale e, in caso di conflitti, di materiale destinato alle forze armate. La vulnerabilità di un porto può avere conseguenze che si propagano nell’entroterra per migliaia di chilometri.

Ma proprio perché il ragionamento riguarda non ciò che accade o è accaduto ma ciò che potrebbe accadere, diventa difficile stabilire quale sia un livello di rischio accettabile. Se fosse necessario eliminare da qualunque infrastruttura critica ogni tecnologia potenzialmente vulnerabile, o riconducibile a un avversario politico, bisognerebbe ricostruire interamente le catene di fornitura mondiali.

Il problema è che le dipendenze tecnologiche – nei porti o nei data center – non nascono per caso e soprattutto non scompaiono rapidamente. ZPMC ha conquistato il mercato perché per decenni ha fatto esattamente ciò che il sistema economico globale chiedeva ai suoi fornitori: produrre su larga scala, contenere i costi, aumentare l’efficienza e consegnare in tutto il mondo.

ZPMC ha conquistato e dominato il settore per anni perché era un produttore capace non soltanto di costruire enormi gru, ma anche di assemblarle, trasportarle via mare e installarle direttamente nei terminal, offrendo ai propri clienti un vantaggio economico e di efficienza molto concreto. Per un porto che deve aumentare rapidamente la propria capacità, la provenienza geografica dei macchinari è stata per molto tempo una questione secondaria rispetto al prezzo, ai tempi di consegna e alle prestazioni.

Per trent’anni aziende e governi hanno costruito le loro supply chain partendo dall’idea che contasse solo l’efficienza: se un’azienda era in grado di produrre una gru migliore o più economica, aveva senso acquistarla. Se assemblare un prodotto dall’altra parte del mondo consentiva di abbassarne il prezzo, era razionale organizzare la produzione in quel modo. E la possibilità di spostare merci rapidamente, e con costi relativamente bassi, rendeva tutto questo molto conveniente. La posizione di quasi monopolio del settore raggiunta da ZPMC non è dunque un’anomalia della globalizzazione. Al contrario, è la dimostrazione del suo successo.

La vicenda delle “gru-spia” cinesi ci mostra quindi cosa succede quando la stessa logica che si è esaltata per anni viene filtrata attraverso un paradigma politico diverso e un clima di scarsa fiducia internazionale.  La globalizzazione aveva entusiasticamente costruito la propria efficienza sulla convinzione che l’interdipendenza fosse soprattutto una risorsa. La competizione geopolitica contemporanea dà invece priorità all’ipotesi opposta: che ogni interdipendenza sia anche, almeno potenzialmente, una vulnerabilità. E così facendo non sta mettendo in discussione soltanto gli effetti della globalizzazione (chi dipende da chi, dove vengono prodotti i beni o chi controlla determinate tecnologie), ma anche gli strumenti materiali con cui la globalizzazione stessa funziona.

Immagine in evidenza rielaborata con ausilio dell’intelligenza artificiale

Il 3 aprile 2026, un utente registrato sotto il nome di Nightmare Eclipse pubblica sulla piattaforma GitHub – di proprietà di Microsoft – uno strumento chiamato BlueHammer: un archivio contenente il codice necessario a sfruttare una vulnerabilità di Defender, l’antivirus integrato in Microsoft Windows.

Il messaggio di accompagnamento alla pubblicazione di BlueHammer suona come un’accusa alla stessa azienda, che secondo l’autore “avrebbe saputo cosa sarebbe successo”. Nei giorni seguenti, sullo stesso account vengono pubblicate informazioni su due vulnerabilità zero-day che prendono ancora di mira lo stesso antivirus, battezzate RedSun e UnDefend. 

Tra il 10 e il 16 aprile 2026, i ricercatori di Huntress hanno osservato l’impiego delle tre vulnerabilità pubblicate da Nightmare Eclipse nel corso di un’intrusione ai danni di un’azienda. RedSun e UnDefend erano inoltre ancora zero-day, perché Microsoft non aveva ancora distribuito la relativa patch. Nessuno dei tre exploit sembra aver avuto successo durante l’attacco: la vicenda ha però riacceso i riflettori sul sistema che regola la pubblicazione delle vulnerabilità nel mondo della cybersecurity.

Il difficile concetto di “responsible disclosure”

Definire le modalità con cui vengono pubblicati i dettagli delle vulnerabilità individuate dai ricercatori non è semplice come potrebbe sembrare a prima vista. La prassi di segnalare prima la vulnerabilità allo sviluppatore del software e di attendere il rilascio di un aggiornamento prima di renderne pubblici i dettagli – la cosiddetta “responsible disclosure” – si basa infatti su convenzioni, più che su regole vincolanti: norme di buon senso pensate per evitare che una falla di sicurezza venga esposta prima che sia disponibile una correzione, com’è accaduto nel caso delle vulnerabilità pubblicate da Nightmare Eclipse.

Se ci si fermasse a questo, però, si correrebbe il rischio che le segnalazioni vengano semplicemente ignorate. Nel corso degli anni, nel settore della cybersecurity si è spesso citata la frase – ormai quasi un clichè e attribuito prevalentemente a Microsoft – “it’s not a bug, it’s a feature” (non è una falla, è una funzionalità), che molti ricercatori avrebbero incassato come risposta per sminuire l’impatto delle vulnerabilità individuate.

A complicare ulteriormente le cose c’è l’aspetto economico legato al sistema di segnalazione delle falle di sicurezza. I programmi di bug bounty implementati da tutte le maggiori aziende software prevedono, infatti, ricompense economiche per i ricercatori che segnalano un problema di sicurezza. Insomma: nella gestione del processo pesa anche il rischio che qualcuno possa ignorare la segnalazione per non sborsare il compenso dovuto.

Segnalazioni con la scadenza

Per evitare che l’inerzia (o la malafede) dello sviluppatore possa lasciare esposti i sistemi dei suoi utenti a una vulnerabilità, è stata introdotta una consuetudine basata sul concetto di scadenza. Ogni team che lavora sulla ricerca di vulnerabilità impone un termine (solitamente 30, 60 o 90 giorni) entro il quale la società deve rilasciare l’aggiornamento che corregge la vulnerabilità. Trascorso il termine, è considerato lecito pubblicare i dettagli del bug per consentire agli utilizzatori di implementare le misure di mitigazione più opportune. 

Tutto bene, quindi? Non proprio. Alcune vulnerabilità, infatti, non sono semplicissime da correggere e i casi in cui il mancato rispetto dei termini si è scontrato con una rigida intransigenza da parte di chi li ha segnalati non sono mancati. I più celebri attriti hanno interessato il team Google Project Zero, Microsoft e Apple. In almeno un paio di occasioni (i dettagli qui e qui), infatti, gli esperti di Google hanno rilasciato i dettagli su bug che non erano stati tempestivamente corretti.

Quando le regole saltano

Il caso di Nightmare Eclipse, che da qualche mese sta appassionando il ristretto settore dei commentatori della cybersecurity, si colloca al di fuori di quanto finora illustrato. Dopo le prime tre vulnerabilità, il fantomatico ricercatore di sicurezza ha infatti sparato a raffica una serie di ulteriori bug. Alla fine, l’elenco completo comprende: YellowKey, GreenPlasma, MiniPlasma, GreenPlanet, GreatXML, LegacyHive e ShieldBreak. In tutto, Nightmare Eclipse ha pubblicato i dettagli di ben dieci vulnerabilità che interessano diversi prodotti Microsoft.

Non solo: la scelta dei tempi di pubblicazione sembra essere stata accuratamente pianificata per rendere particolarmente difficile a Microsoft distribuire con puntualità gli aggiornamenti di sicurezza ai propri clienti. Per Windows, infatti, l’azienda di Satya Nadella concentra normalmente il rilascio degli aggiornamenti di sicurezza nel secondo martedì di ogni mese, il cosiddetto Patch Tuesday. Una modalità che consente di raggruppare le correzioni e che, soprattutto per le aziende, offre il vantaggio di poter pianificare gli aggiornamenti con un certo grado di prevedibilità.

Tra aprile e agosto, Nightmare Eclipse ha pubblicato le vulnerabilità con una tempistica apparentemente studiata per mettere Microsoft in difficoltà: almeno quattro sono state rese pubbliche il giorno stesso o immediatamente dopo il Patch Tuesday. In questo modo, se Microsoft avesse mantenuto la normale cadenza mensile degli aggiornamenti, i sistemi Windows sarebbero potuti rimanere esposti per quasi un mese. Un modus operandi diabolico, orientato a provocare il massimo disagio possibile e che, in alcuni casi, ha spinto Microsoft a distribuire correzioni al di fuori del normale ciclo mensile.

A contribuire a massimizzare il danno reputazionale subito dall’azienda, per la verità, ha contribuito anche la sorte. La pubblicazione di BlueHammer, la prima vulnerabilità di Windows Defender, è quasi coincisa con l’improvvida pubblicazione di un articolo sul sito ufficiale di Microsoft (poi apparentemente rimosso) che promuoveva il suo antivirus dicendo esplicitamente che per la maggior parte degli utenti “non serve un antivirus di terze parti”, pubblicizzandone quindi l’affidabilità proprio mentre finiva nel mirino di Nightmare Eclipse.

L’ingestibile vendetta dell’ex

Il vero problema nell’intera vicenda di Nigthmare Eclipse è che Microsoft si è scoperta estremamente vulnerabile nei confronti di quella che potrebbe essere stata soltanto la vendetta di un ex collaboratore che non ha gradito il trattamento che ha ricevuto da parte dell’azienda.

Una ricostruzione puntuale e verificabile di quanto sia accaduto precedentemente alle comunicazioni pubbliche è pressoché impossibile. Anche perché il protagonista della vicenda ha dimostrato più volte di essere piuttosto  “ondivago”, inviando messaggi contraddittori sui suoi canali social. Le rivendicazioni più esplicite riguardano il fatto che Microsoft avrebbe cancellato il suo account sul Microsoft Security Response Center (MSRC), il portale che permette ai ricercatori di sottoporre le segnalazioni di nuove vulnerabilità e attiva i processi di bug bounty.  

Nel corso di una conversazione su Discord riportata da uno dei partecipanti, Nightmare Eclipse avrebbe affermato di essere addirittura un ex dipendente della filiale tedesca di Microsoft. Un’ipotesi che era già circolata nel settore, ma che l’azienda non ha mai confermato. 

Una certa familiarità con i processi di sicurezza adottati da Microsoft e l’evidente buona conoscenza dell’antivirus di Windows (la metà delle vulnerabilità pubblicate interessavano proprio Defender) sono indizi che confermerebbero questa pista. Tanto più che, in alcuni casi, Nightmare Eclipse ha dimostrato una discreta abilità nell’aggirare gli aggiornamenti messi a punto da Microsoft per mitigare le falle di sicurezza. Insomma, il ricercatore aderisce piuttosto bene al profilo di un “insider” che sta sfruttando tutte le sue conoscenze per massimizzare il danno.

Botta e risposta

Le reazioni di Microsoft non contribuiscono particolarmente a fare chiarezza sulla vicenda. Il 23 maggio ha sospeso l’account di Nightmare Eclipse su GitHub rimuovendo in seguito i contenuti. In un comunicato ufficiale del 27 maggio, l’azienda ha poi usato toni piuttosto duri, criticando senza mezzi termini il rilascio “non coordinato” delle vulnerabilità, pur senza minacciare direttamente azioni legali contro il ricercatore. 

Le contromisure adottate da Microsoft non hanno portato a grandi risultati. Nightmare Eclipse ha infatti prima aperto un repository autogestito per continuare la sua opera di pubblicazione e poi – a metà giugno, quando ormai la vicenda stava facendo parecchio rumore nell’ambiente – ha abbandonato il suo blog ufficiale su Blogspot, sostenendo che Google, proprietaria della piattaforma, avrebbe censurato ingiustamente i suoi contenuti e creandone uno nuovo sulla sua piattaforma personale.

Al di là delle speculazioni su come si sia arrivati a questa sorta di “duello rusticano” e a quali siano i reali retroscena di tutta la vicenda Nightmare Eclipse, quello che emerge è il quadro terribilmente fragile di un sistema pieno di contraddizioni. Il comportamento dell’ormai famigerato ricercatore di sicurezza, infatti, non viola direttamente nessuna legge. 

Il concetto di responsible disclosure è basato su consuetudini e le normative presenti negli Stati Uniti e in Europa, pur avendo progressivamente introdotto regole e procedure per la divulgazione coordinata delle vulnerabilità, non disciplinano in maniera puntuale tutti gli aspetti del rapporto tra ricercatori e aziende. Una parte importante del sistema continua quindi a fare riferimento alle “buone pratiche” sviluppatesi negli anni sulla base dei principi dell’hacking etico e a una visione un po’ romantica di una community che collabora per un bene comune superiore. 

Insomma: tutto il sistema si basa sostanzialmente su un rapporto basato su fiducia, etica e correttezza di tutte le parti coinvolte. In un settore in cui si intrecciano giganteschi interessi economici, crescenti tensioni geopolitiche e la variabile impazzita rappresentata dall’impatto dell’intelligenza artificiale, gli scricchiolii sono sempre più evidenti.

P.S: Nel corso della stesura di questo articolo, sul repository di Nightmare Eclipse sono state rilasciate nuove vulnerabilità zero-day. L’elenco delle “vittime” comprende anche Nvidia, Kaspersky, Crowdstrike e Avast.