Immagine in evidenza rielaborata con l’intelligenza artificiale

Il 7 ottobre 2026, l’Agenzia Nazionale per la Cybersicurezza (ACN) ha adottato la Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD: Coordinated Vulnerability Disclosure) e ha invitato la comunità digitale italiana a segnalare tutte le vulnerabilità zero-day, quindi ancora sconosciute, scoperte su sistemi di soggetti pubblici e privati.

Un passo in avanti, senza dubbio. Peccato che il passo in avanti fosse già previsto per legge dall’articolo 12 della Direttiva NIS2 (la normativa europea che punta rafforzare la sicurezza informatica di aziende, enti pubblici e servizi considerati critici), pubblicata in Gazzetta Ufficiale dell’Unione Europea nel dicembre 2022. Quattro anni di attesa per adempiere a un obbligo già scritto nero su bianco. È probabilmente il ritmo fisiologico della macchina pubblica italiana quando si tratta di tecnologia: la direttiva arriva, viene recepita con il decreto legislativo nel 2024, poi si aspetta un altro anno prima che qualcuno adotti gli strumenti operativi che quella norma richiedeva. Nel frattempo, però, le vulnerabilità informatiche esistono lo stesso.

La politica in sé ha una struttura ragionevole: il ricercatore segnala una vulnerabilità al CSIRT Italia (Computer Security Incident Response Team: la squadra nazionale che si occupa di gestire e coordinare la risposta agli incidenti informatici), il CSIRT si coordina con il fabbricante o il gestore del sistema vulnerabile, si trova una patch, poi si divulga. 

È possibile segnalare anche in forma anonima tramite una piattaforma dedicata sul sito ACN, che però al momento non risulta ancora essere attiva. Il messaggio pubblico di ACN è persino entusiasta: la community è invitata a collaborare, gli hacker etici sono benvenuti, insieme si costruisce un ecosistema digitale più sicuro. I problemi, come spesso avviene, sono nella nota in calce, quella che nessuno commenta nei comunicati ufficiali.

I rischi penali

La Politica CVD di ACN contiene infatti una clausola che vale la pena citare quasi alla lettera: le attività di ricerca delle vulnerabilità vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato. Traduzione: segnalateci pure tutto quello che trovate, ma non aspettarti protezione se hai violato la legge.

Il punto è che in Italia la legge in questione è l’articolo 615-ter del Codice Penale, che punisce chiunque acceda abusivamente a un sistema informatico protetto da misure di sicurezza. La norma non distingue tra chi entra per rubare dati e chi entra per trovare una falla e segnalarla. I motivi del ricercatore sono, sul piano tecnico-giuridico, sostanzialmente irrilevanti: lo ha chiarito la Cassazione a Sezioni Unite nel 2012, che ha spostato il focus sulla qualità dell’accesso rispetto all’autorizzazione ricevuta. Chi accede a un sistema informatico protetto senza autorizzazione rischia di commettere un reato, indipendentemente dalle sue intenzioni.

ACN non è un’autorità giudiziaria e non può quindi garantire immunità penale a nessuno. Al massimo può impegnarsi a non sporgere querela come soggetto offeso, ma il Pubblico Ministero può comunque procedere d’ufficio. E se il sistema vulnerabile appartiene a un ente terzo, ACN non ha alcun potere su quel soggetto. L’anonimato garantito dalla piattaforma protegge l’identità del segnalante durante il processo, ma non sana retroattivamente l’accesso abusivo che ha permesso di trovare la vulnerabilità. L’unico modo per fare security research su sistemi altrui senza rischiare un procedimento penale resta quello di sempre: farsi dare l’autorizzazione. Che è un penetration test. Non una CVD.

Cosa succede nel resto d’Europa

Il Belgio ha risolto il problema nel 2022 con una norma specifica e nel 2024 l’ha consolidata nella propria legge di recepimento NIS2: chi rispetta le condizioni del safe harbor – ovvero nessun intento fraudolento, azioni proporzionate, segnalazione tempestiva al CCB (l’autorità belga competente per la cybersicurezza) e al titolare del sistema – non risponde penalmente dei reati informatici commessi nel corso della ricerca. È un’esenzione espressa, scritta nella legge, non una promessa procedurale di qualche autorità. I Paesi Bassi ci sono arrivati in modo diverso, più pragmatico: dal 2013 esiste una direttiva della Procura che orienta l’esercizio dell’azione penale verso la non-perseguibilità dei ricercatori in buona fede. Non è un’immunità formale, ma crea un livello di prevedibilità che in Italia non esiste nemmeno in forma embrionale.

La Germania nel 2024 aveva elaborato una bozza di riforma del paragrafo 202a del Codice Penale – il loro equivalente del nostro 615-ter – per escludere dalla fattispecie le attività di ricerca finalizzate alla segnalazione. La bozza è decaduta con la crisi della coalizione. Il contratto di governo CDU/CSU-SPD del 2025 l’ha ripresa con un impegno esplicito a creare certezza giuridica per la ricerca in sicurezza informatica. Non è ancora legge, ma è in agenda. La Francia ha invece una protezione debole e solo procedurale, ma almeno esiste: l’ANSSI (agenzia per la cybersicurezza francese) non è obbligata a denunciare chi segnala in buona fede. L’Italia, con la sua nuova Politica CVD, si colloca nell’unica categoria rimasta: quella dei Paesi che hanno un canale di segnalazione e nessuna tutela sostanziale.

Se l’Italia inasprisce le pene

Mentre il Belgio costruiva un safe harbor e la Germania ci provava, l’Italia approvava la Legge 90/2024 sulla cybersicurezza nazionale. Non è una legge che protegge i ricercatori: è una legge che alza le pene. Per i sistemi di interesse pubblico – sanitario, militare, di ordine pubblico, infrastrutture critiche – le pene per accesso abusivo sono passate da un massimo di cinque anni a un massimo di dieci, con aggravanti che arrivano a dodici. In questi casi, inoltre, si procede d’ufficio, senza che sia necessaria una querela. Il legislatore ha quindi deciso, nell’anno in cui si recepiva NIS2, di rendere più pericoloso fare security research proprio sui sistemi più critici: quelli dove le vulnerabilità hanno le conseguenze più gravi.

Oggi ACN invita la community a segnalare zero-day sui sistemi informatici della pubblica amministrazione o di interesse pubblico. La normativa vigente, però, continua a esporre chi individua queste vulnerabilità attraverso accessi non autorizzati al rischio di procedimenti penali, con pene che, nei casi più gravi, possono arrivare fino a dodici anni. Non c’è nessun safe harbor, nessuna proposta di legge in discussione in Parlamento, nessun indirizzo del Ministero della Giustizia che riduca anche solo l’incertezza. C’è un DDL presentato in Senato nell’aprile 2025 dal senatore Lorenzo Basso che contiene una delega generica per un safe harbor, che però non è mai  stato esaminato in commissione.

Le cautele necessarie

La Politica CVD di ACN è un passo necessario, ma tardivo. Crea un canale, introduce l’anonimato, formalizza un processo che prima non esisteva. Per chi trova vulnerabilità senza accedere a sistemi altrui – analisi passiva, firmware acquistato, software proprio – è uno strumento utile. Per chi fa ricerca sul campo, su sistemi in produzione, nell’unico modo in cui certi bug si trovano davvero, il quadro giuridico è identico a quello di ieri: un accesso non autorizzato è un accesso non autorizzato, indipendentemente da cosa si fa dopo.

A Malta, nel 2022, quattro ricercatori hanno trovato una falla critica in un’app, l’hanno segnalata responsabilmente, e si sono ritrovati imputati. Tre anni di processo, poi la grazia presidenziale. Il premier maltese ha detto che lo Stato deve assumersi la responsabilità quando le leggi non riflettono la realtà tecnologica. In Italia stiamo ancora aspettando che qualcuno arrivi a quella conclusione. Nel frattempo, se trovate qualcosa, la domanda non è se segnalarlo. La domanda è se potete permettervi di averlo trovato.

Immagine in evidenza da Unsplash

Nel breve lasso di tempo tra la strisciata di una carta di credito – oggi, più frequentemente, un tap – e l’approvazione di ogni pagamento, che si tratti di un caffè o di un’automobile, accadono molte cose, tutte piuttosto complesse. In un istante le informazioni viaggiano tra il POS, la banca e i circuiti di pagamento. I dati provenienti dalle carte vengono sottoposti a controlli incrociati, geolocalizzazione, analisi dei profili di rischio, rilevazione di eventuali blocchi. 

Frodi, truffe, ingegneria sociale: il menù delle minacce è ricco. E se una volta i cracker erano semplicemente un prodotto da forno, oggi il termine fa riferimento anche agli hacker malevoli, che si annidano ovunque. E di cui l’intelligenza artificiale ha moltiplicato i mezzi. 

La sede di Mastercard in Europa si trova a Waterloo, periferia verde di Bruxelles. Quando chi scrive l’ha visitata, nel marzo scorso, è bastata una manciata di minuti per rendersi conto che una parola sola domina le menti e le giornate di chi ci lavora: cybersecurity. Un’ossessione così pervasiva che, quando ci avviciniamo al tavolo in cui lavorano, i dipendenti si affrettano ad applicare una pellicola di sicurezza sugli schermi dei propri computer, di quelle che consentono di leggere solo a chi si trova in asse col monitor. Non si sa mai.

Anche fare foto non è particolarmente apprezzato nella centrale di comando della sicurezza informatica della società americana, dove un grande schermo mostra il planisfero illuminato da LED che si accendono e spengono. Rossi, verdi, blu: il pericolo può arrivare da uno qualsiasi dei Paesi del globo. 

“Alla fine, quello che cerchiamo di fare è rendere l’ecosistema in cui operiamo sicuro e degno di fiducia”, spiegava ai cronisti il vicepresidente per le soluzioni di cybersecurity della Mastercard Rigo van den Broek. E con 174 miliardi di transazioni gestite nel 2025, lo sguardo della società, il cui quartier generale è a Purchase (nomen omen) nello stato di New York, deve per forza di cose mantenersi su scala mondiale.

Per questo, aggiunge van den Broek, alcuni dei migliori crittografi del mondo lavorano nel quartier generale europeo, che si trova nella città dove fu sconfitto Napoleone.

Cosa accade quando si fa un acquisto con carta

Ma cosa accade quando si fa un acquisto con  una carta di credito? Tutto accade nel giro di un paio di secondi. Ma lo scambio di informazioni collega tra di loro data center che si trovano a migliaia di chilometri di distanza. 

Quando l’esercente ha finito di digitare l’importo sul terminale e il cliente avvicina la carta al lettore, in quel momento si avvia un processo di comunicazione che trova origine nella tecnologia bellica: come tante innovazioni, infatti, anche quella che sta alla base del contactless è nata in ambito militare. 

Siamo negli anni che precedono la Seconda guerra mondiale. Il radar era già stato sviluppato negli anni Trenta dallo scozzese R.A. Watson-Watt, ma il dispositivo risolveva il problema dell’avvistamento e non quello dell’identificazione. Gli operatori a terra avevano però la necessità di capire se i velivoli che apparivano sullo schermo erano nemici o colleghi di rientro da una missione, differenza che il radar non era in grado di cogliere.

Così, alla fine degli anni Trenta, i britannici svilupparono un dispositivo di identificazione automatica chiamato IFF (Identification friend or foe, identificazione amici o nemici). Fu uno degli antecedenti delle successive tecnologie di identificazione a radiofrequenza, che poi – una volta perfezionate – diedero vita a innumerevoli altre applicazioni, spesso molto distanti dall’ambito bellico. Tra queste, le linguette antitaccheggio dei grandi magazzini e, molto più tardi, l’NFC (Near-field communication, comunicazione a breve distanza), cioè la tecnologia che comunemente utilizziamo con le carte contactless, nata nei primi anni Duemila.

Semplificando, ecco quindi ciò che avviene ogni volta che facciamo un acquisto. Una volta arrivati alla cassa e inserita la cifra sul terminale, il dispositivo POS (Point of sale, punto vendita) dell’esercente emette un segnale a radiofrequenza, e il campo elettromagnetico attiva il chip presente sulla vostra carta una volta che questa entra nel suo raggio d’azione. È come se la tessera si svegliasse grazie a questa energia, e iniziasse a comunicare e scambiare i dati necessari a identificare la carta e autorizzare la transazione. Può essere pensato come un badge di ingresso nell’area protetta di un edificio. Le informazioni sono, ovviamente, protette da sistemi crittografici, per evitare che malintenzionati dotati di strumenti relativamente semplici possano intercettarle e riutilizzarle.

A questo punto, acquisiti i dati necessari, il POS comunica con la banca acquirente, cioè l’istituto che gestisce i pagamenti dell’esercente nel cui negozio vi trovate. La banca acquirente inoltra una richiesta al circuito di pagamento, per esempio Visa, Mastercard o American Express, che, a propria volta, la inoltra all’istituto che ha emesso la carta, cioè il vostro: sarà quest’ultimo a verificare, tra le altre cose, che ci siano fondi o credito disponibili e, alla fine del processo, ad addebitare l’acquisto.

È in questa fase che avvengono le verifiche: si controlla innanzitutto che la carta sia autentica, ma anche che ci siano fondi o credito disponibili e che non siano presenti blocchi o restrizioni. Tra queste ultime possono rientrare anche quelle dovute ai regimi sanzionatori internazionali. A questo proposito, è noto (e triste) il caso della relatrice speciale dell’ONU Francesca Albanese, colpita dagli effetti delle sanzioni imposte dall’amministrazione statunitense di Donald Trump.

Albanese si è così trovata esclusa da numerosi servizi finanziari e digitali forniti da società statunitensi: la giurista è tornata giocoforza all’era del contante e non può semplicemente rivolgersi a un altro grande operatore americano per aggirare il problema. Sulla base delle sanzioni statunitensi, infatti, una società americana che le fornisse determinati servizi rischierebbe a propria volta conseguenze. Da qui il cortocircuito. Lo stesso meccanismo ha colpito, tra gli altri, Karim Khan, già procuratore capo della Corte penale internazionale, e numerosi giudici e funzionari della Corte.

Al di là di questi casi particolari, i controlli comprendono il riconoscimento di pattern noti, cioè delle abitudini personali del titolare della carta. I sistemi usano sofisticati modelli che studiano la storia del cliente e la confrontano con la transazione effettuata al momento, a partire dalla posizione geografica in cui l’acquisto avviene (ed è per questo che ancora oggi è a volte richiesto di comunicare alla banca quando ci si trova all’estero), ma il sistema può essere allertato anche da transazioni che avvengono in negozi fisici molto distanti fra loro in un lasso di tempo giudicato troppo breve. Per transazioni di una certa entità viene inoltre chiesto un codice PIN (personal identification number, ennesimo acronimo), mentre anche per acquisti di piccolo importo può essere periodicamente richiesta una nuova autenticazione del titolare.

Se i controlli vanno a buon fine, l’autorizzazione torna indietro risalendo lo stesso percorso, fino al POS del negozio in cui state effettuando l’acquisto. In realtà il denaro non è ancora stato trasferito, ma si è avviato un processo che condurrà, nei giorni successivi, al pagamento. 

“La sicurezza del processo è garantita da uno standard chiamato PCI/DSS, creato dall’organizzazione omonima fondata nel 2006 dai principali circuiti internazionali: Mastercard, Visa, American Express, Discover Global Network, JCB”, spiega a Guerre di Rete Alessio Pennasilico, membro del comitato scientifico della Clusit, una delle principali associazioni italiane che si occupano di sicurezza informatica. 

Questi circuiti internazionali impongono ai soggetti che elaborano, trasmettono e gestiscono dati relativi alle carte di pagamento l’aderenza a una serie di requisiti di sicurezza. “Esistono figure che si occupano periodicamente di controllare il rispetto dei requisiti”, prosegue Pennasilico. In questo modo viene rafforzata la sicurezza del sistema, da cui dipende direttamente il grado di fiducia, essenziale per mantenere legati i clienti.

Cosa succede se la transazione è rifiutata?

I sistemi di rilevamento delle frodi hanno l’obiettivo di bloccare la transazione prima che venga completata e diventi difficile – quasi impossibile, se finisce in certe giurisdizioni – recuperarla. Ma cosa succede se la transazione viene rifiutata? Va ricordata innanzitutto una cosa: declined è un semplice messaggio, e non costituisce una spiegazione. 

Ci possono essere almeno quattro ordini di motivi per cui l’acquisto viene rifiutato: il primo riguarda il vostro conto corrente (per esempio, la mancanza di fondi, ma anche un conto non più attivo); il secondo ha a che fare con i fattori di rischio (il sistema pensa di riconoscere una frode in atto); il terzo riguarda le credenziali (un problema fisico con la carta, che non riesce a fornire le informazioni necessarie per l’identificazione); il quarto motivo potrebbe risiedere in un problema di rete. 

Nell’ultimo caso, ripetendo l’operazione è possibile che il problema si risolva, e che la luce verde, finalmente, appaia. Negli altri, la questione è più complicata ed è peggiorata dal fatto che non c’è modo di sapere, seduta stante, quale sia il problema. Un’incognita motivata con la privacy: si vuole infatti evitare che il commerciante venga a conoscenza di informazioni personali. A questo punto è necessario mettersi in contatto con la società che ha emesso la carta di credito. E non è sempre agevole, soprattutto quando ci si trova all’estero o si ha fretta. Per questo è importantissimo ridurre il numero di “falsi positivi”. 

Non tutto si può fare internamente. Mastercard, per esempio, si è assicurata una società specializzata, Recorded Future, nel dicembre 2024. Acquistata per la cifra considerevole di 2,65 miliardi di dollari, Recorded Future è specializzata in threat intelligence: cerca – cioè – segnali provenienti da fonti aperte, dark web e ambienti ad alta criticità (anche criminali) per anticipare le minacce. A Waterloo assicurano che le informazioni individuate sono condivise anche con la concorrenza, con l’obiettivo di mantenere alta la fiducia generale nel sistema. 

“L’esposizione dei dati è il carburante che alimenta le frodi su larga scala”, scrive Recorded Future nel rapporto Annual payment fraud intelligence report uscito nel 2025. Solo in quell’anno, i dati di 142 milioni di carte di credito sono stati postati nel dark web (34 milioni meno che nel 2019, -19%). “Ma non tutti i dati esposti presentano lo stesso livello di rischio”.

Tra le frodi principali che gli esperti di cybersicurezza tengono d’occhio troviamo le cosiddette MageCart (crasi tra il  nome del sistema di content management per negozi online Magento, e cart, la parola inglese che sta per “carrello”): si tratta di script difficili da rilevare che rubano i dati dei clienti mentre fanno acquisti online. Recorded Future si spinge a parlare di “malware as-a-service”, per spiegare quanto sia facile oggi per gli attori malevoli procurarsi a pagamento i ferri del mestiere. 

Anche per questo gli investimenti in tecnologia e sicurezza sono molto alti, nell’ordine di miliardi di dollari. “D’altra parte, sono successe più cose negli ultimi cinque che nei precedenti cinquanta”, chiosava a marzo scorso Luca Gagliardi, a capo della sezione consulting & analytics per Visa in Italia. “L’innovazione nei pagamenti è stata velocissima, ma ancora di più lo è stata l’innovazione nelle frodi, che sono globali”.

Immagine in evidenza rielaborata con Intelligenza Artificiale

Una nave portacontainer arriva in porto e si ferma sotto una fila di gru portuali alte quanto un palazzo. Le loro braccia si allungano sopra il ponte, agganciano uno dei container impilati a bordo e lo spostano a terra. È una coreografia che si ripete migliaia di volte al giorno in ogni grande porto del mondo, con una precisione crescente e tempi sempre più ridotti. Da operazioni simili dipende buona parte del commercio mondiale e del suo ritmo.

A prima vista, una gru portuale (in gergo: ship-to-shore) sembra soprattutto una grande struttura meccanica, quasi un residuato industriale: acciaio, motori, cavi e carrucole costruiti per sollevare decine di tonnellate. La verità è che le gru installate nei grandi porti contemporanei sono ormai inserite all’interno di ecosistemi digitali molto complessi, piene come sono di sensori che controllano posizione, velocità e oscillazione dei container; software che coordinano i movimenti; strumenti per comunicare con gli altri dispositivi del porto e delle navi, ecc.

La trasformazione di strumenti meccanici in dispositivi digitali non riguarda peraltro solo le gru, ma i porti nel loro complesso. Negli ultimi decenni i terminal si sono riempiti di sistemi informatici che assegnano gli spazi ai container, coordinano camion e treni, gestiscono gli ingressi in banchina, registrano i movimenti delle merci e stabiliscono in quale ordine una nave debba essere caricata o scaricata. Nei terminal più automatizzati, parte delle operazioni che un tempo richiedevano centinaia di persone viene oggi eseguita o coordinata da software, sensori e veicoli autonomi. E i progressi di intelligenza artificiale – in termini soprattutto di computer vision, IoT/sensori, digital twin e veicoli autonomi – promettono di rendere la tendenza ancora più evidente in futuro.

Tanta efficienza è necessaria perché nei porti il tempo costa più che altrove. Una nave ferma anziché in viaggio consuma enormi risorse finanziarie. Una colonna di tir in coda perché c’è stato un errore nell’assegnazione di uno slot di carico è un danno che si ripercuote a cascata su migliaia di altri trasporti. Per questo conoscere con precisione e rapidità dove si trova un container, quanto spazio rimane su un cargo, in quale ordine vanno caricate o scaricate le stive è un fattore fondamentale per ridurre tempi e costi e aumentare l’efficienza logistica.

Più efficiente diventa la logistica, più facile ed economico risulta l’organizzazione di catene produttive distribuite su migliaia di chilometri, ovvero la struttura industriale alla base del sistema produttivo contemporaneo. La digitalizzazione dei porti è, in altre parole, uno degli sviluppi tecnologici che hanno permesso alla globalizzazione di funzionare con l’enorme fluidità ed efficienza raggiunta negli ultimi decenni.

Questa stessa trasformazione ha però prodotto altre conseguenze: un porto più digitalizzato è efficiente, ma è anche più vulnerabile ad attacchi informatici e ad altri generi di sabotaggio tecnologico. Ed è così che, di recente, anche i macchinari portuali hanno iniziato a diventare una questione cyber e geopolitica.

Il problematico dominio di ZPMC

Il caso più evidente è quello delle gru prodotte da Shanghai Zhenhua Heavy Industries Company, meglio nota come ZPMC. L’azienda cinese è diventata negli ultimi trent’anni il principale produttore mondiale di gru portuali e le sue macchine sono oggi presenti nei terminal di decine di paesi. Negli Stati Uniti, in particolare, ZPMC è arrivata a occupare una posizione dominante tra le gru portuali installate nei porti commerciali.

Per molto tempo questo dato ha interessato solo gli addetti ai lavori. ZPMC era semplicemente un’azienda che vendeva macchinari grandi, costosi e difficili da produrre a clienti che avevano bisogno di movimentare un numero crescente di carichi nel minor tempo possibile. La sua espansione era, prima di tutto, una storia industriale: quella di un’azienda che, come molte altre realtà cinesi, era riuscita a conquistare un settore altamente specializzato grazie alla capacità produttiva, ai prezzi competitivi e alla possibilità (pure questa logistica) di consegnare in tutto il mondo delle gru già quasi completamente assemblate.

Poi sono arrivati gli anni Venti ed è mutato il contesto politico. Negli Stati Uniti del post-Covid la crescente competizione con la Cina ha trasformato progressivamente alcune dipendenze industriali in problemi di sicurezza nazionale. È accaduto con i semiconduttori, con le apparecchiature per le telecomunicazioni, con le batterie, con una lunga serie di tecnologie e materie prime considerate critiche.

E alla fine è arrivato anche il turno delle gru. Macchinari che fino a pochi anni prima venivano raccontati soprattutto come moltiplicatori di efficienza hanno cominciato a essere descritti col vocabolario del rischio. Ci si è iniziati per esempio a domandare come fosse possibile che un componente industriale prodotto da un’azienda cinese, contenente hardware e software provenienti da una filiera internazionale, non solo fosse finito in ogni molo d’America (quelle ZPMC rappresentano quasi l’80% delle gru portuali presenti negli Stati Uniti), ma avesse libero accesso ad alcune delle reti infrastrutturali più importanti dell’economia USA.

Normali gru o spie cyber?

Nel febbraio del 2024, l’amministrazione Biden è così intervenuta sulla cybersecurity dei porti statunitensi, dedicando particolare attenzione proprio alle gru ship-to-shore prodotte in Cina. Il timore era che sistemi di comunicazione, accessi remoti o altre componenti digitali potessero essere sfruttati per raccogliere informazioni o, in uno scenario più grave, interferire con le operazioni portuali. Nacque così sui media l’espressione “gru-spia”, che evocava l’immagine di queste enormi mantidi d’acciaio cinesi affacciate sui porti americani, le quali, oltre a spostare container, avrebbero potuto rappresentare una specie di cavallo di Troia digitale.

Era un’immagine potente, ma anche una semplificazione della realtà politica dietro il fenomeno. Il problema delle gru ZPMC non si limita alla eventuale, presunta, e tutta da dimostrare, volontà cinese di sabotare la logistica americana o mondiale. Il problema delle gru ZPMC ha a che fare con il difficilissimo ripensamento di un sistema industriale internazionale che per decenni ha ricercato l’efficienza estrema, ma che, negli ultimi anni, è diventato politicamente sempre più spaventato da se stesso. E questo genera alcuni paradossi.

Il primo paradosso è che una gru ZPMC non è, in realtà, interamente cinese. Come molti oggetti industriali complessi del nostro tempo, è il risultato di una catena di fornitura internazionale. Al suo interno contiene motori, sensori e componenti prodotti da aziende europee, giapponesi o americane, assemblati in Cina e infine installati in un porto dall’altra parte del mondo. Una filiera così stratificata è una caratteristica normale dell’industria contemporanea, ma rende molto difficile stabilire dove cominci e dove finisca il rischio associato a una determinata tecnologia.

Eliminare una gru cinese da un porto americano, per esempio, non significa necessariamente eliminare tutti i componenti critici cinesi dall’infrastruttura del porto. Allo stesso modo, sostituire una gru cinese con una macchina europea o giapponese non solo costa di più, ma non garantisce necessariamente che questa non utilizzi a sua volta componenti o subfornitori cinesi in qualche punto della sua supply chain (che è la ragione per cui la burocrazia del protezionismo è una delle questioni tecnicamente più complesse al mondo).

Nel caso di una gru portuale, poi, la questione si complica ulteriormente perché il prodotto non termina ai confini della macchina. Una volta installata, la gru viene collegata all’ecosistema digitale del terminal. Deve comunicare con altri sistemi, essere aggiornata, diagnosticata, riparata. Le configurazioni variano da porto a porto e alcune macchine possono essere controllate, programmate o assistite da remoto.

Nel corso delle indagini condotte nel 2023 e nel 2024 dal Congresso USA furono trovati modem cellulari installati su alcune gru ZPMC o all’interno delle infrastrutture di rete che le servivano. In alcuni casi, secondo le commissioni parlamentari che condussero l’indagine, quegli apparati non erano esplicitamente previsti dai contratti stipulati dai porti. ZPMC aveva inoltre richiesto in diverse occasioni accesso remoto alle proprie gru, ufficialmente per attività di diagnostica e manutenzione.

Nessuna di queste caratteristiche, presa isolatamente, è la cosiddetta “smoking gun”. D’altra parte, un modem può avere una funzione perfettamente legittima e l’accesso da remoto, quando possibile, è comune nella manutenzione delle apparecchiature industriali, visti i grossi risparmi che permette. Il problema è che la stessa funzione che permette a un ingegnere di diagnosticare un guasto a distanza può, se progettata o configurata (magari intenzionalmente) male, trasformarsi in un punto di accesso per qualcun altro.

Le indagini statunitensi hanno quindi mostrato vulnerabilità e possibilità di accesso, ma non hanno dimostrato che Pechino abbia effettivamente utilizzato le gru ZPMC per spiare o sabotare i porti statunitensi. Nel rapporto sulle minacce informatiche al sistema marittimo pubblicato nel 2025, la Coast Guard precisava che i propri specialisti non avevano osservato attività malevole sulle o attraverso le gru, pur ritenendo che le vulnerabilità individuate le rendessero possibili.

È una distinzione importante: una vulnerabilità informatica può essere una falla tecnica, ma non indica inequivocabilmente la volontà di arrecare un danno. Una backdoor deliberatamente inserita da un produttore è invece qualcosa di diverso, perché implica intenzionalità. Dimostrare infine che l’eventuale backdoor individuata sia stata effettivamente utilizzata da uno Stato per attività di spionaggio richiede un ulteriore salto probatorio.

Il paradosso della globalizzazione

Ed è qui che rischio informatico effettivo e percezione del rischio geopolitico (con tutti i pregiudizi che essa comporta) finiscono per sovrapporsi. Un governo che si occupa della sicurezza di infrastrutture essenziali non può soltanto domandarsi se qualcuno abbia già sfruttato una vulnerabilità o se esista per errore o per dolo, ma deve soprattutto chiedersi, e a maggior ragione nel caso di un porto, se qualcuno potrebbe usarla in futuro e con quali effetti. Bloccare un grande terminal significa infatti rallentare l’arrivo di generi alimentari, di farmaci, di componenti industriale e, in caso di conflitti, di materiale destinato alle forze armate. La vulnerabilità di un porto può avere conseguenze che si propagano nell’entroterra per migliaia di chilometri.

Ma proprio perché il ragionamento riguarda non ciò che accade o è accaduto ma ciò che potrebbe accadere, diventa difficile stabilire quale sia un livello di rischio accettabile. Se fosse necessario eliminare da qualunque infrastruttura critica ogni tecnologia potenzialmente vulnerabile, o riconducibile a un avversario politico, bisognerebbe ricostruire interamente le catene di fornitura mondiali.

Il problema è che le dipendenze tecnologiche – nei porti o nei data center – non nascono per caso e soprattutto non scompaiono rapidamente. ZPMC ha conquistato il mercato perché per decenni ha fatto esattamente ciò che il sistema economico globale chiedeva ai suoi fornitori: produrre su larga scala, contenere i costi, aumentare l’efficienza e consegnare in tutto il mondo.

ZPMC ha conquistato e dominato il settore per anni perché era un produttore capace non soltanto di costruire enormi gru, ma anche di assemblarle, trasportarle via mare e installarle direttamente nei terminal, offrendo ai propri clienti un vantaggio economico e di efficienza molto concreto. Per un porto che deve aumentare rapidamente la propria capacità, la provenienza geografica dei macchinari è stata per molto tempo una questione secondaria rispetto al prezzo, ai tempi di consegna e alle prestazioni.

Per trent’anni aziende e governi hanno costruito le loro supply chain partendo dall’idea che contasse solo l’efficienza: se un’azienda era in grado di produrre una gru migliore o più economica, aveva senso acquistarla. Se assemblare un prodotto dall’altra parte del mondo consentiva di abbassarne il prezzo, era razionale organizzare la produzione in quel modo. E la possibilità di spostare merci rapidamente, e con costi relativamente bassi, rendeva tutto questo molto conveniente. La posizione di quasi monopolio del settore raggiunta da ZPMC non è dunque un’anomalia della globalizzazione. Al contrario, è la dimostrazione del suo successo.

La vicenda delle “gru-spia” cinesi ci mostra quindi cosa succede quando la stessa logica che si è esaltata per anni viene filtrata attraverso un paradigma politico diverso e un clima di scarsa fiducia internazionale.  La globalizzazione aveva entusiasticamente costruito la propria efficienza sulla convinzione che l’interdipendenza fosse soprattutto una risorsa. La competizione geopolitica contemporanea dà invece priorità all’ipotesi opposta: che ogni interdipendenza sia anche, almeno potenzialmente, una vulnerabilità. E così facendo non sta mettendo in discussione soltanto gli effetti della globalizzazione (chi dipende da chi, dove vengono prodotti i beni o chi controlla determinate tecnologie), ma anche gli strumenti materiali con cui la globalizzazione stessa funziona.

Immagine in evidenza rielaborata con ausilio dell’intelligenza artificiale

Il 3 aprile 2026, un utente registrato sotto il nome di Nightmare Eclipse pubblica sulla piattaforma GitHub – di proprietà di Microsoft – uno strumento chiamato BlueHammer: un archivio contenente il codice necessario a sfruttare una vulnerabilità di Defender, l’antivirus integrato in Microsoft Windows.

Il messaggio di accompagnamento alla pubblicazione di BlueHammer suona come un’accusa alla stessa azienda, che secondo l’autore “avrebbe saputo cosa sarebbe successo”. Nei giorni seguenti, sullo stesso account vengono pubblicate informazioni su due vulnerabilità zero-day che prendono ancora di mira lo stesso antivirus, battezzate RedSun e UnDefend. 

Tra il 10 e il 16 aprile 2026, i ricercatori di Huntress hanno osservato l’impiego delle tre vulnerabilità pubblicate da Nightmare Eclipse nel corso di un’intrusione ai danni di un’azienda. RedSun e UnDefend erano inoltre ancora zero-day, perché Microsoft non aveva ancora distribuito la relativa patch. Nessuno dei tre exploit sembra aver avuto successo durante l’attacco: la vicenda ha però riacceso i riflettori sul sistema che regola la pubblicazione delle vulnerabilità nel mondo della cybersecurity.

Il difficile concetto di “responsible disclosure”

Definire le modalità con cui vengono pubblicati i dettagli delle vulnerabilità individuate dai ricercatori non è semplice come potrebbe sembrare a prima vista. La prassi di segnalare prima la vulnerabilità allo sviluppatore del software e di attendere il rilascio di un aggiornamento prima di renderne pubblici i dettagli – la cosiddetta “responsible disclosure” – si basa infatti su convenzioni, più che su regole vincolanti: norme di buon senso pensate per evitare che una falla di sicurezza venga esposta prima che sia disponibile una correzione, com’è accaduto nel caso delle vulnerabilità pubblicate da Nightmare Eclipse.

Se ci si fermasse a questo, però, si correrebbe il rischio che le segnalazioni vengano semplicemente ignorate. Nel corso degli anni, nel settore della cybersecurity si è spesso citata la frase – ormai quasi un clichè e attribuito prevalentemente a Microsoft – “it’s not a bug, it’s a feature” (non è una falla, è una funzionalità), che molti ricercatori avrebbero incassato come risposta per sminuire l’impatto delle vulnerabilità individuate.

A complicare ulteriormente le cose c’è l’aspetto economico legato al sistema di segnalazione delle falle di sicurezza. I programmi di bug bounty implementati da tutte le maggiori aziende software prevedono, infatti, ricompense economiche per i ricercatori che segnalano un problema di sicurezza. Insomma: nella gestione del processo pesa anche il rischio che qualcuno possa ignorare la segnalazione per non sborsare il compenso dovuto.

Segnalazioni con la scadenza

Per evitare che l’inerzia (o la malafede) dello sviluppatore possa lasciare esposti i sistemi dei suoi utenti a una vulnerabilità, è stata introdotta una consuetudine basata sul concetto di scadenza. Ogni team che lavora sulla ricerca di vulnerabilità impone un termine (solitamente 30, 60 o 90 giorni) entro il quale la società deve rilasciare l’aggiornamento che corregge la vulnerabilità. Trascorso il termine, è considerato lecito pubblicare i dettagli del bug per consentire agli utilizzatori di implementare le misure di mitigazione più opportune. 

Tutto bene, quindi? Non proprio. Alcune vulnerabilità, infatti, non sono semplicissime da correggere e i casi in cui il mancato rispetto dei termini si è scontrato con una rigida intransigenza da parte di chi li ha segnalati non sono mancati. I più celebri attriti hanno interessato il team Google Project Zero, Microsoft e Apple. In almeno un paio di occasioni (i dettagli qui e qui), infatti, gli esperti di Google hanno rilasciato i dettagli su bug che non erano stati tempestivamente corretti.

Quando le regole saltano

Il caso di Nightmare Eclipse, che da qualche mese sta appassionando il ristretto settore dei commentatori della cybersecurity, si colloca al di fuori di quanto finora illustrato. Dopo le prime tre vulnerabilità, il fantomatico ricercatore di sicurezza ha infatti sparato a raffica una serie di ulteriori bug. Alla fine, l’elenco completo comprende: YellowKey, GreenPlasma, MiniPlasma, GreenPlanet, GreatXML, LegacyHive e ShieldBreak. In tutto, Nightmare Eclipse ha pubblicato i dettagli di ben dieci vulnerabilità che interessano diversi prodotti Microsoft.

Non solo: la scelta dei tempi di pubblicazione sembra essere stata accuratamente pianificata per rendere particolarmente difficile a Microsoft distribuire con puntualità gli aggiornamenti di sicurezza ai propri clienti. Per Windows, infatti, l’azienda di Satya Nadella concentra normalmente il rilascio degli aggiornamenti di sicurezza nel secondo martedì di ogni mese, il cosiddetto Patch Tuesday. Una modalità che consente di raggruppare le correzioni e che, soprattutto per le aziende, offre il vantaggio di poter pianificare gli aggiornamenti con un certo grado di prevedibilità.

Tra aprile e agosto, Nightmare Eclipse ha pubblicato le vulnerabilità con una tempistica apparentemente studiata per mettere Microsoft in difficoltà: almeno quattro sono state rese pubbliche il giorno stesso o immediatamente dopo il Patch Tuesday. In questo modo, se Microsoft avesse mantenuto la normale cadenza mensile degli aggiornamenti, i sistemi Windows sarebbero potuti rimanere esposti per quasi un mese. Un modus operandi diabolico, orientato a provocare il massimo disagio possibile e che, in alcuni casi, ha spinto Microsoft a distribuire correzioni al di fuori del normale ciclo mensile.

A contribuire a massimizzare il danno reputazionale subito dall’azienda, per la verità, ha contribuito anche la sorte. La pubblicazione di BlueHammer, la prima vulnerabilità di Windows Defender, è quasi coincisa con l’improvvida pubblicazione di un articolo sul sito ufficiale di Microsoft (poi apparentemente rimosso) che promuoveva il suo antivirus dicendo esplicitamente che per la maggior parte degli utenti “non serve un antivirus di terze parti”, pubblicizzandone quindi l’affidabilità proprio mentre finiva nel mirino di Nightmare Eclipse.

L’ingestibile vendetta dell’ex

Il vero problema nell’intera vicenda di Nigthmare Eclipse è che Microsoft si è scoperta estremamente vulnerabile nei confronti di quella che potrebbe essere stata soltanto la vendetta di un ex collaboratore che non ha gradito il trattamento che ha ricevuto da parte dell’azienda.

Una ricostruzione puntuale e verificabile di quanto sia accaduto precedentemente alle comunicazioni pubbliche è pressoché impossibile. Anche perché il protagonista della vicenda ha dimostrato più volte di essere piuttosto  “ondivago”, inviando messaggi contraddittori sui suoi canali social. Le rivendicazioni più esplicite riguardano il fatto che Microsoft avrebbe cancellato il suo account sul Microsoft Security Response Center (MSRC), il portale che permette ai ricercatori di sottoporre le segnalazioni di nuove vulnerabilità e attiva i processi di bug bounty.  

Nel corso di una conversazione su Discord riportata da uno dei partecipanti, Nightmare Eclipse avrebbe affermato di essere addirittura un ex dipendente della filiale tedesca di Microsoft. Un’ipotesi che era già circolata nel settore, ma che l’azienda non ha mai confermato. 

Una certa familiarità con i processi di sicurezza adottati da Microsoft e l’evidente buona conoscenza dell’antivirus di Windows (la metà delle vulnerabilità pubblicate interessavano proprio Defender) sono indizi che confermerebbero questa pista. Tanto più che, in alcuni casi, Nightmare Eclipse ha dimostrato una discreta abilità nell’aggirare gli aggiornamenti messi a punto da Microsoft per mitigare le falle di sicurezza. Insomma, il ricercatore aderisce piuttosto bene al profilo di un “insider” che sta sfruttando tutte le sue conoscenze per massimizzare il danno.

Botta e risposta

Le reazioni di Microsoft non contribuiscono particolarmente a fare chiarezza sulla vicenda. Il 23 maggio ha sospeso l’account di Nightmare Eclipse su GitHub rimuovendo in seguito i contenuti. In un comunicato ufficiale del 27 maggio, l’azienda ha poi usato toni piuttosto duri, criticando senza mezzi termini il rilascio “non coordinato” delle vulnerabilità, pur senza minacciare direttamente azioni legali contro il ricercatore. 

Le contromisure adottate da Microsoft non hanno portato a grandi risultati. Nightmare Eclipse ha infatti prima aperto un repository autogestito per continuare la sua opera di pubblicazione e poi – a metà giugno, quando ormai la vicenda stava facendo parecchio rumore nell’ambiente – ha abbandonato il suo blog ufficiale su Blogspot, sostenendo che Google, proprietaria della piattaforma, avrebbe censurato ingiustamente i suoi contenuti e creandone uno nuovo sulla sua piattaforma personale.

Al di là delle speculazioni su come si sia arrivati a questa sorta di “duello rusticano” e a quali siano i reali retroscena di tutta la vicenda Nightmare Eclipse, quello che emerge è il quadro terribilmente fragile di un sistema pieno di contraddizioni. Il comportamento dell’ormai famigerato ricercatore di sicurezza, infatti, non viola direttamente nessuna legge. 

Il concetto di responsible disclosure è basato su consuetudini e le normative presenti negli Stati Uniti e in Europa, pur avendo progressivamente introdotto regole e procedure per la divulgazione coordinata delle vulnerabilità, non disciplinano in maniera puntuale tutti gli aspetti del rapporto tra ricercatori e aziende. Una parte importante del sistema continua quindi a fare riferimento alle “buone pratiche” sviluppatesi negli anni sulla base dei principi dell’hacking etico e a una visione un po’ romantica di una community che collabora per un bene comune superiore. 

Insomma: tutto il sistema si basa sostanzialmente su un rapporto basato su fiducia, etica e correttezza di tutte le parti coinvolte. In un settore in cui si intrecciano giganteschi interessi economici, crescenti tensioni geopolitiche e la variabile impazzita rappresentata dall’impatto dell’intelligenza artificiale, gli scricchiolii sono sempre più evidenti.

P.S: Nel corso della stesura di questo articolo, sul repository di Nightmare Eclipse sono state rilasciate nuove vulnerabilità zero-day. L’elenco delle “vittime” comprende anche Nvidia, Kaspersky, Crowdstrike e Avast.