La nuova strategia cyber dell’Fbi tra indagine, intelligence e contrasto agli avversari. La lettura dell’avv. Mele

La nuova Cyber Strategy dell’Fbi è incentrata su un presupposto ormai palese, ossia che nel cyberspazio il confine tra criminalità, attività di intelligence e minacce alla sicurezza nazionale è sempre meno netto. Un’intrusione informatica può integrare un reato, costituire un’operazione di raccolta informativa condotta da una potenza straniera e produrre, nello stesso tempo, conseguenze per la sicurezza nazionale. La risposta strategica del Bureau, quindi, muove precisamente da questa sovrapposizione e ne ricava un modello operativo nel quale gli strumenti dell’indagine penale, del controspionaggio e della protezione della sicurezza interna possono essere impiegati sul medesimo fenomeno senza restare confinati entro sequenze amministrative rigide.

Il documento si presenta esplicitamente come attuazione, per quanto rientra nelle attribuzioni dell’Fbi, della Cyber Strategy for America del presidente Trump. Il richiamo non ha una funzione meramente formale. Sotto la comune finalità di proteggere il Paese e la sua sicurezza interna, la strategia riunisce le operazioni autorizzate dall’autorità giudiziaria, la rapida condivisione di informazioni con i gestori delle infrastrutture critiche e il contrasto alle attività di spionaggio e di sottrazione della proprietà intellettuale ai danni dell’industria della difesa, delle imprese tecnologiche e degli istituti di ricerca statunitensi. Nel cyberspazio, osserva il Bureau, gli avversari da tempo non hanno più bisogno di attraversare fisicamente una frontiera per colpire persone, istituzioni e servizi essenziali negli Stati Uniti. Di conseguenza, anche l’azione di contrasto deve potersi sviluppare oltre i limiti del singolo caso e della risposta al singolo incidente.

Il problema che si pone l’Fbi, tuttavia, non consiste solo nell’adeguare strutture e competenze a una minaccia sempre più sofisticata. Lo scenario che le forze di polizia si trovano oggi ad affrontare, infatti, vede attori statali che penetrano reti e infrastrutture critiche per acquisire informazioni, sottrarre proprietà intellettuale o predisporre accessi utilizzabili in futuro, accanto a un mercato criminale ormai maturo, capace di industrializzare ransomware, frodi e furti di criptovalute.

Le due dimensioni, inoltre, tendono sempre più a confondersi. Attori statali e criminali possono celare la propria identità ricorrendo a una pluralità di soggetti e infrastrutture, tra cui, ad esempio, apparati governativi, società che ne agevolano l’attività, “hacker” a contratto e sistemi sottratti o compromessi, rendendo sempre più difficile attribuire con certezza la responsabilità delle operazioni. A ciò si aggiunge l’impiego di strumenti basati sull’intelligenza artificiale e di tecniche di ingegneria sociale, che amplificano la minaccia, accorciano i tempi delle intrusioni e abbassano le barriere di accesso anche per gli attori meno sofisticati.

È in questo contesto che va letta la principale finalità della nuova strategia cyber dell’Fbi: rendere più difficile, costoso e rischioso per gli avversari continuare a colpire gli Stati Uniti. La formula ricorre nel linguaggio della sicurezza, negli Stati Uniti come altrove, ma la strategia le attribuisce un contenuto operativo ben preciso. L’obiettivo dell’Fbi, infatti, non si esaurisce nell’individuazione dell’autore e nella costruzione di un procedimento capace di condurre a un arresto, a un’incriminazione o a un’estradizione. Tali risultati restano prioritari ogni volta che siano concretamente raggiungibili. Quando, tuttavia, gli attaccanti operano da giurisdizioni permissive, l’efficacia dell’azione dell’Fbi viene valutata anche in base alla capacità di ridurne la continuità operativa, le risorse disponibili e la possibilità di agire al riparo da conseguenze.

La ricostruzione dell’intera rete di soggetti, risorse e relazioni che rende possibile un’attività criminale non costituisce, di per sé, una novità. È il metodo con cui le forze dell’ordine hanno sempre affrontato i fenomeni organizzati, nel cyberspazio come al di fuori di esso.

La scelta qualificante della strategia risiede piuttosto nell’utilizzare questa ricostruzione come base per operazioni congiunte e sequenziali, dirette contro più componenti dell’ecosistema avversario, e nel considerare la disattivazione delle infrastrutture tecnologiche, il sequestro dei fondi e lo smantellamento degli strumenti impiegati negli attacchi come risultati operativi rilevanti anche quando arresti, incriminazioni o estradizioni non siano concretamente possibili. Del resto, intervenire su uno soltanto di questi elementi può produrre un effetto immediato, laddove agire in modo coordinato e in momenti successivi mira, invece, a esercitare una pressione continuativa sull’avversario, privandolo della continuità operativa e costringendolo a ricostruire le capacità progressivamente compromesse.

Le operazioni di contrasto, inoltre, non vengono più concepite come interventi unitari, affidati dall’inizio alla fine a un’unica autorità, ma come attività articolate in più fasi, tra loro coordinate e disposte secondo una precisa sequenza. La guida di ciascuna fase spetta al soggetto che, in quel momento, dispone del potere giuridico, dell’accesso operativo o della capacità tecnica più efficace per incidere sull’avversario. Ad avviso di chi scrive, uno degli aspetti più significativi della strategia risiede proprio nell’applicazione strutturata del “best athlete model”. In concreto, la guida di una specifica fase può passare da un’amministrazione titolare dei necessari poteri investigativi a un’autorità straniera meglio collocata rispetto alla giurisdizione interessata oppure a un’impresa privata che disponga di informazioni, competenze o accessi tecnici determinanti. Il criterio non è l’appartenenza istituzionale, ma la capacità di produrre l’effetto richiesto nella specifica fase dell’operazione, sempre nel rispetto delle attribuzioni giuridiche di ciascun soggetto. L’Fbi può così integrare gli strumenti dell’indagine penale e del controspionaggio con le risorse di altre amministrazioni, degli alleati e del settore privato, coordinando azioni dirette a smantellare infrastrutture, sequestrare criptovalute sottratte, interrompere campagne riconducibili a Stati e neutralizzare varianti di ransomware.

Il documento attribuisce, perciò, alla cooperazione un significato diverso rispetto alla generica – e ormai trita e ritrita – condivisione di informazioni. Nessun soggetto, pubblico o privato che sia, possiede da solo tutte le evidenze, gli accessi alle infrastrutture, le competenze tecniche e gli strumenti giuridici necessari. La partnership diventa, quindi, una modalità di esercizio dell’azione operativa, nella quale il valore di ciascun partecipante dipende da ciò che può concretamente mettere a disposizione in una determinata fase.

La stessa logica attraversa il pilastro dedicato al supporto alle vittime, che non si distingue per l’introduzione di forme di assistenza particolarmente innovative, ma per il ruolo assegnato alle imprese all’interno del nuovo modello operativo. Le organizzazioni colpite, infatti, non vengono considerate soltanto destinatarie dell’intervento pubblico, ma anche “antenne” essenziali per riconoscere campagne di portata più ampia. Le loro segnalazioni, gli elementi tecnici raccolti durante l’incidente e i relativi dati finanziari alimentano sia l’indagine sul singolo caso, sia le operazioni rivolte contro altri bersagli e infrastrutture dell’avversario. Affinché questo circuito possa funzionare, l’Fbi si pone l’obiettivo di costruire rapporti stabili con le imprese prima che si verifichi una crisi, individuare preventivamente gli interlocutori da coinvolgere, notificare in modo proattivo le organizzazioni che ancora non sanno di essere state compromesse e ridurre da giorni a ore e, ove possibile, da ore a minuti il tempo necessario per condividere le informazioni. Il sostegno alla vittima assume così anche una funzione investigativa, perché ogni incidente può contribuire a ricostruire l’attività dell’avversario e a preparare successive operazioni di contrasto.

Questa maggiore prossimità tra autorità pubblica e soggetti privati richiede, tuttavia, limiti altrettanto chiari. La strategia precisa, quindi, che la raccolta delle informazioni dovrà rimanere circoscritta ai fatti oggetto dell’indagine, che dovrà essere utilizzato il metodo investigativo meno invasivo possibile e che la riservatezza, i dati e le libertà civili delle vittime dovranno essere tutelati durante l’intero intervento.

Le garanzie appena richiamate acquistano un rilievo ancora maggiore rispetto all’impiego dell’intelligenza artificiale, che la strategia considera, al tempo stesso, un fattore di accelerazione della minaccia e uno strumento per ampliare le capacità operative dell’Fbi. Gli attaccanti possono utilizzarla per aumentare la velocità e la portata delle campagne e rendere più difficile la loro individuazione. Il Bureau intende invece impiegarla per esaminare grandi quantità di dati, far emergere collegamenti non immediatamente riconoscibili, accelerare l’analisi dei malware, stabilire un ordine di priorità nelle notifiche alle vittime, ricostruire le infrastrutture utilizzate dagli avversari e sostenere il processo di attribuzione. L’aspetto più significativo riguarda la rapida adozione di sistemi di intelligenza artificiale agentica, destinati ad ampliare la capacità di difesa e di interruzione delle operazioni avversarie. La strategia prevede, inoltre, l’impiego di strumenti basati sull’intelligenza artificiale per individuare, sviare e ingannare gli attaccanti, quando le esigenze operative lo rendano opportuno.

La strategia afferma che il lavoro svolto con l’ausilio di questi strumenti resterà sottoposto alla revisione umana, ai controlli giuridici e alle garanzie previste a tutela delle libertà civili, dell’accuratezza e della sicurezza operativa. Non chiarisce, tuttavia, attraverso quali meccanismi tali principi saranno applicati. La questione è rilevante perché l’intelligenza artificiale non si limiterà a produrre risultati da verificare, ma contribuirà a determinare quali dati meritino attenzione, quali vittime debbano essere avvertite per prime, quali infrastrutture possano essere ricondotte al medesimo avversario e quali opportunità operative debbano essere perseguite. Ad avviso di chi scrive, la supervisione umana non potrà esaurirsi, quindi, nella mera convalida del risultato finale, ma dovrà necessariamente estendersi alla comprensione dei dati utilizzati e dei criteri attraverso i quali il sistema orienta le priorità investigative. Questa esigenza diverrebbe ancora più stringente qualora le informazioni prodotte dall’intelligenza artificiale fossero utilizzate per sostenere l’attribuzione o orientare operazioni tecniche suscettibili di produrre effetti su persone, organizzazioni e sistemi collocati al di fuori degli Stati Uniti.

Lo sviluppo delle Computer Network Operations rappresenta uno dei passaggi più significativi della strategia, sebbene il relativo programma non nasca con questo documento. L’Fbi dichiara, infatti, che continuerà a sviluppare il proprio programma e a mettere a disposizione delle unità investigative strumenti tecnici, autorizzati dall’autorità giudiziaria o comunque impiegati sulla base di un altro valido fondamento giuridico, che consentano di raccogliere informazioni da remoto, svolgere attività di sorveglianza e interrompere l’azione di attori statali e criminali quando le tecniche investigative tradizionali non permettano di conseguire il risultato necessario. La strategia non configura, dunque, un potere offensivo sottratto ai controlli propri dell’attività investigativa, ma colloca l’intervento tecnico dentro la cornice giuridica del law enforcement e del controspionaggio. Il baricentro dell’azione dell’Fbi, quindi, si avvicina sempre di più al momento in cui la minaccia si sviluppa. L’obiettivo del Bureau non si limita, pertanto, alla ricostruzione dell’attacco dopo che i suoi effetti si sono prodotti, ma comprende il rafforzamento della capacità di intervenire durante il suo svolgimento per ostacolarlo o interromperlo.

Ad avviso di chi scrive, la chiave per interpretare il nuovo impianto strategico consiste nel considerare i quattro pilastri dedicati al contrasto degli avversari, al sostegno delle vittime, alle partnership e al rafforzamento delle capacità interne non come programmi autonomi, ma come componenti di un unico ciclo operativo. L’indagine produce prove e intelligence, il rapporto con le vittime e con il settore privato amplia la visibilità sull’attività dell’avversario, la cooperazione mette a disposizione poteri giuridici, accessi e competenze che l’Fbi non possiede da sola, mentre le capacità tecniche, comprese le Computer Network Operations e l’intelligenza artificiale, permettono infine di tradurre questo patrimonio informativo in interventi coordinati. Il risultato perseguito è la riduzione del tempo che separa la scoperta di un’attività ostile dalla possibilità di incidere concretamente sul suo sviluppo.

La Cyber Strategy dell’Fbi formalizza, in definitiva, un modello nel quale il singolo caso non esaurisce l’azione investigativa, ma diventa il punto di accesso a una campagna più ampia contro l’intero ecosistema avversario. In un ambiente nel quale ruoli, strumenti, risorse finanziarie e infrastrutture sono distribuiti tra soggetti e giurisdizioni differenti, anche la risposta pubblica viene organizzata attraverso la combinazione di poteri giuridici, intelligence, accessi operativi e capacità tecniche, affidando ciascuna fase al soggetto meglio posizionato per conseguire il risultato.

Ad avviso di chi scrive, è proprio qui che emerge il principale nodo politico e giuridico della strategia. Alla crescente integrazione tra amministrazioni americane, autorità straniere e imprese private non può corrispondere una frammentazione delle responsabilità. La flessibilità operativa promessa dal best athlete model potrà essere considerata legittima e sostenibile soltanto se sarà accompagnata da una catena altrettanto chiara e continua di autorizzazione, controllo e responsabilità, capace di individuare chi decide ciascun intervento, sulla base di quale potere e con quali conseguenze in caso di errore o di effetti non previsti. Questa esigenza diventa ancora più rilevante quando le operazioni coinvolgono ordinamenti differenti o producono effetti su sistemi collocati al di fuori degli Stati Uniti.

La direzione politica e operativa è, tuttavia, già molto chiara. Per l’Fbi, proteggere gli Stati Uniti nel cyberspazio significa essere in grado di individuare, seguire e interrompere l’attività dell’avversario lungo l’intera catena di soggetti, risorse e infrastrutture che la rende possibile. La vera prova della strategia consisterà nel dimostrare che la stessa continuità perseguita sul piano operativo può essere garantita anche sul piano del diritto e della responsabilità pubblica.