1° marzo 2026.
Un giorno dopo l'avvio dell'Operazione Epic Fury nel Medio Oriente.
In Qatar, nei palazzi delle compagnie energetiche e negli uffici militari, qualcuno stava aprendo la posta elettronica.
A chilometri di distanza, su una console di comando, qualcun altro aspettava che si accendesse una notifica.
Gli allegati sembravano materiale informativo urgente: fotografie di attacchi alle basi americane in Bahrain, il tipo di contenuto che in quel momento chiunque avrebbe aperto. Bastava cliccare per innescare una sequenza automatica che installava silenziosamente una backdoor. Senza che nessun sistema di sicurezza alzasse un flag.
Il gruppo dietro l'operazione, noto con almeno tre nomi diversi tra le organizzazioni che lo tracciano da anni, non aveva costruito nulla di nuovo. Aveva preso il toolkit che usava da mesi contro obiettivi militari in Turchia, cambiato le esche, e aspettato il momento giusto.
Il momento giusto è durato ventiquattr'ore.
La cosa più importante di questa storia non è tecnica. È che la notizia del conflitto non era lo sfondo dell'attacco. Era il vettore. Disinformazione e malware non erano due operazioni parallele, erano la stessa operazione.
Questo cambia la domanda che ogni organizzazione esposta dovrebbe farsi. Non solo: i nostri sistemi riconoscono questo malware? Ma: i nostri analisti sanno leggere una notizia geopolitica e capire in tempo reale che potrebbe diventare un vettore di attacco nelle prossime ore?
Quella seconda competenza non si installa con una patch. Non si compra con una licenza. Non si costruisce con un corso. Si forma nel tempo, in chi la sera legge le stesse cose che legge durante il giorno e non perché deve, ma perché vuole.
Nelle organizzazioni più esposte, queste persone spesso ci sono già.
Il nuovo articolo delle Cronache del Sottosopra ricostruisce l'operazione dall'inizio, i dettagli tecnici e una domanda.
