Cyberwarfare: un altro modo di fare la guerra

La guerra ha subito trasformazioni notevolissime nell’ultimo secolo: ciò non può sorprendere, se si considera che i mutamenti della guerra sono sempre stati connessi all’evoluzione delle tecnologie applicate alle esigenze belliche.

Le tecnologie informatiche non hanno soltanto innovato profondamente gli strumenti “classici” della guerra ma costituiscono esse stesse nello stesso tempo strumento e obiettivo della guerra. È in quest’ultimo senso che la guerra contemporanea in alcuni casi diventa una guerra talmente diversa dalle forme precedenti da meritarsi un appellativo nuovo: cyberwarfare.

Lo spazio cibernetico è diventato uno dei campo di battaglia su cii si misurano le piccole e grandi potenze. Dopo la guerra terrestre, quella marina, quella aerea e sottomarina, arriva dunque il momento di una guerra combattuta in uno spazio virtuale? A qualcuno l’idea può forse sollecitare l’immagine di un teatro di guerra immacolato: il grande problema della cyberwarfare sta proprio in questa rappresentazione illusoria di una guerra meno violente e brutale rispetto allo scontro diretto.

Come ogni guerra, anche la guerra cibernetica ha lo scopo di colpire obiettivi ritenuti fondamentali per assicurarsi la vittoria sul nemico.

A partire dalla fine della Guerra Fredda, e ancora più dopo l’11 Settembre 2001, la guerra al terrorismo è diventato l’archetipo di un nuovo tipo di guerra: termini come “uso della forza”, “guerra al terrorismo”, “intervento umanitario” sono diventati sempre più spesso ipocriti camuffamenti di un fenomeno che coinvolge le vite di milioni di persone.

Non deve ingannare la circostanza che l’espressione “guerra” sia ormai bandiera dal lessico giuridico e politico contemporaneo. Le conseguenze di questa rimozione sono evidenti: la possibilità di non usare apertamente il termine guerra è una risorsa per chi è   in grado di servirsi della guerra stessa.

La guerra negli ultimi vent’anni è così diventata una guerra “globale”: globale perché despazializzata in senso geopolitico, indefinita a livello temporale e illimitata sul piano giuridico.

Di questa nuova guerra la cyberwar è l’espressione forse più inquietante.

Le infrastrutture informatiche di ogni Paese sono ormai essenziali tanto per il funzionamento dello Stato quanto per i servizi erogati a favore della popolazione: in quanto tali sono obiettivi privilegiati di un attacco cibernetico.

Un esempio che può chiarire questo punto è il caso Stuxnet: questo termine indica un malware sviluppato al fine di causare un danno finisco a sistemi di controllo di processi industriali, tipici di grandi impianti come fabbriche, raffineria e così via.

Nel 2010 la centrale nucleare siriana Nataz è stata colpita da un attacco cibernetico tramite Stuxnet: il “missile informatico” ha provocato la distruzione della sezione centrale adibita all’arricchimento dell’uranio attraverso l’invio di comandi anomali a più di mille centrifughe che hanno subito in questo modo un’accelerazione talmente alta da comportarne la distruzione. Contemporaneamente Stuxnet ha consentito di camuffare i dati di controllo del sistema, impedendo che il problema venisse avvertito in tempo utile per mettere in sicurezza l’impianto.

Complesso è risalire al soggetto che ha ideato e condotto l’attacco: secondo le dichiarazioni rilasciate da Edward Snowden nell’ambito del cosiddetto datagate, il malware è frutto della collaborazione tra intelligence israeliana e l’NSA statunitense. Altre fonti invece indicano la Cina come responsabile della creazione di Stuxnet. Sta di fatto che la cyberwar non soltanto non viene dichiarata ma soprattuto non rende riconoscibile chi sta attaccando.

Dal punto di vista giuridico, centrale è la questione se alla cyberwarfare si applicabile o meno il diritto internazionale dei conflitti armati. A tentare di rispondere a questo quesito è stato un gruppo di esperti con la pubblicazione di quello che viene comunemente definito “Manuale di Tallinn”. Nel 2007, l’Estonia è stata protagonista di quella che viene ricordata come “Web War One”: per almeno tre settimane i sistemi informatici delle massime istituzioni politiche, degli istituti finanziari e dei mezzi di comunicazione del paese baltico sono stati oggetto di un massiccio attacco informatico che ne ha impedito il regolare funzionamento. L’anno successivo, la NATO ha voluto inviare un segnale dal chiaro valore simbolico istituendo nella capitale estone il suo quartier generale per la difesa delle infrastrutture occidentali, il Cooperative Cyber Defence Centre of Excellence.

Nell’ambito delle attività di questo gruppo di esperti è stata promossa la redazione di un documento che inquadrasse il problema dell’applicabilità del diritto internazionale alle operazioni di cyberwarfare: il gruppo di esperti incaricato della ricerca ha individuato 95 regole applicabili alla guerra cibernetica.

Secondo le intenzioni degli autori il manuale deve essere interpretato come un tentativo di limitare il potenziale distruttivo delle operazioni di cyberwarfare attraverso il loro inquadramento nell’ambito del diritto internazionale dei conflitti armati vigente.

Queste definizioni non risolvono il problema centrale: quando l’attacco cibernetico raggiunge un’intensità tale da poter essere considerato uso della forza?

Nel manuale viene proposta una lista di parametri che dovrebbero essere presi in considerazione per giungere ad una soluzione. Inoltre, considerare un attacco cibernetico alla stregue di un attacco militare “classico” comporta conseguenze giuridiche precise: tra queste, una delle più rilevanti, è il riconoscimento allo Stato aggredito del diritto di reagire con la forza quando l’attacco cibernetico raggiunge il livello di conflitto armato.

Il Manuale del 2013 è stato aggiornato e ampliato nel 2017: la nuova versione si integra la precedente con sezioni dedicate specificatamente alla responsabilità degli Stati, al diritto del mare e al diritto internazionale delle telecomunicazioni.

Per quanto possa essere davvero disinteressato il lavoro degli esperti che hanno lavorato alle due versioni del Manuale, rimane il fatto che il risultato del loro sforzi è avvertibile come “NATO-centrico”, non esprimendo le diverse interpretazioni e sensibilità di attori internazionali fondamentali come Cina e Russia.

Questa problematicità è senz’altro acuita dalla consonanza del Manuale con gli obiettivi fissati dalla Cyber Strategy elaborata dal Dipartimento di difesa Statunitense negli ultimi i anni: NATO e Stati Uniti infatti sostengono unanimemente non soltanto che il diritto internazionale si applichi al cyberspace ma anche che la difesa di quest’ultimo sia inclusa tra i doveri di difesa collettiva per i quali è stata istituita l’alleanza.

E se dietro la maggioranza di attacchi cibernetici ci sono ancora gli Stati Nazionali, numerosi sono i casi di operazioni ricollegabili a entità non statuali e, in particolare, a organizzazioni terroristiche. In questo senso si parla ormai da alcuni anni di “cyberterrorism” ad indicare gli attacchi che sfruttano le tecnologie informatiche al fine di generare paura o intimidire una società ritenuta nemica sulla base di un giudizio ispirato a una precisa ideologia.

Dietro alle difficoltà di qualificazione giuridica di queste operazioni si trova il valore politico che simili scelte rivestono: includere un determinato soggetto o un ente collettivo nell’elenco dei “nemici cibernetici dell’umanità” o nella lista nera degli “hacker- canaglia” è un atto che non rientra nella competenza della scienza giuridica.