Esercitazione Hovedstad

Il tenente Fredrik Blanck se n’è accorto quasi per caso. Era la metà di settembre e circa cinquemila uomini e donne della Heimevernet, la Guardia nazionale norvegese, erano impegnati nell’esercitazione Hovedstad, «Capitale», che simulava la difesa dell’aeroporto di Oslo-Gardermoen in tempo di guerra. Per la carenza di mezzi di trasporto, le Forze armate avevano preso a noleggio alcune vetture civili, tra cui almeno due elettriche Deepal, marchio del gruppo statale cinese Changan. Scorrendo i menu del sistema di bordo, i militari hanno trovato ciò che nessuno aveva messo in conto: le telecamere perimetrali avevano registrato e conservato i volti dei soldati, i loro spostamenti e perfino le dita che digitavano i codici sui tastierini dei varchi militari.[1]

Le registrazioni sono state cancellate a esercitazione conclusa, e soltanto sulle auto dove era possibile farlo. Nessuno sa, però, se quei file siano rimasti nella memoria delle vetture o abbiano preso la strada di un server lontano. È esattamente questa incertezza, più ancora del fatto in sé, il cuore del problema. C’è poi un dettaglio che rende la vicenda quasi un apologo: la società di noleggio appartiene a Volvo Cars, a sua volta controllata dalla cinese Geely, che ha escluso qualsiasi rischio, ricordando che la condivisione di dati con la casa madre richiede una base giuridica. Formalmente ineccepibile. Ma il punto, come vedremo, non è la buona fede di un’azienda: è la legge cui quell’azienda, in ultima istanza, deve rispondere.

La teoria del mosaico

Si potrebbe archiviare l’episodio come un incidente tattico, rimediato cambiando i codici e rimproverando chi non ci aveva pensato. Sarebbe una lettura comoda e sbagliata. L’intelligence raramente vive di colpi di scena; vive di accumulo. Il volto di un caporale, l’orario in cui un convoglio lascia la caserma, il punto in cui un ufficiale parcheggia ogni mattina sono informazioni che, prese una alla volta, non valgono nulla. Messe insieme, raccontano chi comanda davvero, quali reparti si muovono prima di un’operazione, quali procedure si ripetono e dove si aprono le crepe. È ciò che gli analisti chiamano teoria del mosaico: la tessera isolata è insignificante, il disegno che compongono è un segreto di Stato. Nel 2018 bastò la mappa pubblica delle corse registrate da un’app di fitness per rivelare il perimetro e le abitudini di basi militari in mezzo mondo.[2] Nessuno aveva tradito nulla: avevano solo fatto jogging e scaricato i dati su di un’app che registra gli allenamenti, come fanno tanti sportivi.

Algoritmi, quanti e vantaggio decisionale

Quello che è cambiato, rispetto ad allora, è la scala. Per comporre un mosaico, un tempo servivano reti di informatori, pazienza e intere sale di analisti. Oggi servono sensori sempre accesi e algoritmi capaci di correlare milioni di punti dati eterogenei: la telemetria di un’auto, i metadati di un telefono, una ripresa satellitare, un registro doganale. L’intelligenza artificiale ricostruisce i grafi delle relazioni, individua i nodi di una catena di comando dal modo in cui i veicoli si muovono insieme, stabilisce la «routine» di una base e segnala la minima anomalia che precede un’operazione. Non si limita a descrivere il presente o a stimare il futuro: suggerisce al decisore la mossa migliore. È l’intelligence prescrittiva, quella che trasforma la conoscenza in vantaggio decisionale.

E c’è un orizzonte ulteriore. Le grandi potenze stanno già accumulando enormi volumi di traffico cifrato che oggi non possono leggere, secondo la logica che gli specialisti riassumono con la formula harvest now, decrypt later: raccogli ora, decifra dopo. Quando il calcolo quantistico sarà abbastanza maturo da piegare gli attuali standard di crittografia asimmetrica, quegli archivi diventeranno leggibili all’indietro. Ciò che oggi sembra al sicuro dietro una chiave RSA potrebbe tra qualche anno alimentare, con decenni di storia, i modelli di chi lo ha conservato.

Internet of Things ed i sensori della pubblica amministrazione

A questo punto la domanda torna inevitabilmente a casa nostra. Le auto norvegesi non sono un’eccezione, sono un campione. L’insieme della pubblica amministrazione, in Italia come altrove, acquista ogni giorno dispositivi connessi: videocamere di sorveglianza, inverter fotovoltaici sui tetti degli edifici pubblici, impianti di climatizzazione intelligenti, controlli d’accesso, stampanti di rete, droni per la protezione civile, auto di servizio. Ognuno di questi oggetti è un sensore, e molti dialogano regolarmente con i server del produttore per aggiornamenti e diagnostica. Lo ha scoperto, sempre in Norvegia, l’operatore dei trasporti di Oslo, Ruter, quando i test sui nuovi autobus elettrici di un costruttore cinese hanno mostrato che la casa madre poteva intervenire da remoto sui sistemi di controllo, fino a spegnerli.[3] C’è poi un paradosso che merita di essere detto con chiarezza: la pubblica amministrazione acquista, e paga di tasca propria, i dispositivi che potrebbero servire a spiarla. Per chi intendesse sfruttarli, quei sensori valgono più come fonte di informazioni che come merce. Il venditore può dunque permettersi di presentare in gara il prezzo più basso, perché per accedere a quei dati sarebbe disposto, in fondo, a pagare lui. Semmai, si guarderà bene dall’abbassarlo troppo, per non insospettire le sue potenziali vittime: uno sconto ben calibrato vince la gara, uno sconto eccessivo accende un campanello d’allarme. Se il criterio di aggiudicazione resta il massimo ribasso, l’asta finisce per premiare proprio chi ha interessi che vanno ben oltre la vendita, e la sicurezza diventa una voce che nessuno mette a bilancio.

Il nodo giuridico è noto. L’articolo 7 della legge cinese sull’intelligence nazionale del 2017 impone a organizzazioni e cittadini di sostenere, assistere e collaborare con l’attività informativa dello Stato.[4] Non serve immaginare un complotto per ogni inverter: basta sapere che, se Pechino chiedesse, nessuna azienda soggetta a quella legge potrebbe legalmente rifiutare. I dati apparentemente innocui, dunque, non lo sono affatto. Sono innocui soltanto finché qualcuno non decide di metterli insieme.

Le contromisure

Le contromisure esistono, e non richiedono di rinunciare alla tecnologia. Gli Stati Uniti hanno vietato con una regola del Bureau of Industry and Security l’hardware e il software di connettività provenienti da Paesi avversari nei veicoli connessi;[5] la Polonia ha escluso le auto di fabbricazione cinese dalle installazioni militari protette.[6] Ma oltre ai divieti servono abitudini e architetture: zone di esclusione attorno a basi e infrastrutture critiche; la mappatura di ogni chip e di ogni modulo SIM nelle forniture pubbliche; dispositivi fissi confinati in reti locali isolate, con firewall capaci di intercettare le «telefonate a casa» verso server stranieri; la disattivazione fisica di microfoni e moduli di trasmissione nei mezzi impiegati per scopi istituzionali; codici d’accesso che cambiano spesso e non si digitano davanti a una telecamera. E, nel lungo periodo, norme che obblighino a elaborare a bordo i dati di telecamere e sensori, cancellando quelli grezzi, una filiera europea di semiconduttori e sensoristica, e reparti di cyber-difesa che smontino e mettano alla prova i dispositivi commerciali prima che entrino in servizio.

Una comodità, non una spia

La lezione di Gardermoen è semplice e scomoda. La minaccia più insidiosa non ha l’aspetto di una spia, ma di una comodità: un’auto noleggiata in fretta perché mancavano i mezzi, una telecamera acquistata al ribasso, un pannello solare che si aggiorna da solo. Nell’era dell’Internet delle cose ogni oggetto racconta qualcosa di noi. Il problema non è impedirgli di parlare, ma decidere a chi, e prima che qualcun altro abbia già finito di comporre il mosaico.

[1] La vicenda è stata rivelata dal quotidiano norvegese Dagens Næringsliv e ripresa, tra gli altri, da Defence Blog, «Chinese-owned rental cars recorded Norwegian military drill», 12 ottobre 2026. L’esercitazione Øvelse Hovedstad si è svolta dal 14 al 18 settembre 2026.

[2] Il riferimento è alla «heatmap» globale pubblicata da Strava, che nel gennaio 2018 rese visibili i percorsi di allenamento del personale in basi militari in Siria, Afghanistan e altrove.

[3] Cfr. Fortune, «Tests showing Chinese-made buses can be stopped remotely prompt Norwegian pullback», 6 novembre 2025. Ruter ha annunciato requisiti di sicurezza più stringenti negli acquisti futuri e firewall per garantire il controllo locale dei mezzi.

[4] Legge sull’intelligence nazionale della Repubblica Popolare Cinese, adottata il 27 giugno 2017, art. 7.

[5] U.S. Department of Commerce, Bureau of Industry and Security, regola finale sulla sicurezza della catena di fornitura dei veicoli connessi, gennaio 2025.

[6] Il divieto di accesso dei veicoli di produzione cinese alle installazioni militari protette, adottato dalla Polonia nel febbraio 2026, è stato segnalato dalla Foundation for Defense of Democracies.