Gli Usa intensificano la pressione sui gruppi hacker iraniani con l’operazione “Economic Outcast”

Il Segretario al Tesoro americano Bessent ha presentato l’operazione “Economic Outcast”, indicata tra gli obiettivi anche i gruppi hacker legati all’Iran. L’annuncio segue un recente attacco a una piccola centrale elettrica britannica che, pur non avendo avuto effetti sulla fornitura nazionale, è stato segnalato come un avvertimento sulle capacità di intrusione e sabotaggio.

Da anni gli Stati Uniti applicano sanzioni contro individui e gruppi cyber iraniani, considerandoli spesso attori statali o con legami al Corpo delle Guardie della Rivoluzione Islamica (IRGC/Pasdaran) e al Ministero dell’Intelligence (MOIS). Le misure combinate prevedono sanzioni OFAC (blocco dei beni, divieto di transazioni e rischio di sanzioni secondarie) e incriminazioni penali promosse dal Department of Justice.

In particolare, il 18 agosto 2026 il Department of Justice ha incriminato 17 cittadini iraniani ritenuti collegati al Mabna Institute di Teheran per una campagna iniziata nel 2013. Secondo l’accusa, il gruppo avrebbe compromesso circa 8.000 account di docenti in 144 università statunitensi e 178 all’estero, sottraendo oltre 31 terabyte di dati accademici e proprietà intellettuale – con un valore stimato in 3,4 miliardi di dollari – e colpendo anche agenzie federali (tra cui il Dipartimento del Lavoro e la Federal Energy Regulatory Commission), aziende private e organizzazioni internazionali.

Il Dipartimento di Stato ha inoltre offerto ricompense fino a 10 milioni di dollari per informazioni su alcuni di questi attori. Le sanzioni riguardano sia singoli individui sia società di comodo usate come front company: i beni negli Stati Uniti vengono bloccati, i soggetti americani non possono intrattenere rapporti commerciali e chi fornisce aiuti dall’estero rischia sanzioni secondarie. Molti degli imputati restano in Iran e, sul piano pratico, le incriminazioni hanno spesso una funzione deterrente e di segnalazione politica.

Le azioni del 2026 sono descritte come parte di una più ampia campagna di pressione economica, in coincidenza con una fase di escalation militare in corso. Nel quadro analitico gli hacker al servizio degli Stati sono identificati come APT (Advanced Persistent Threat): team finanziati, diretti o protetti da governi e servizi d’intelligence. Tra i modelli organizzativi vi sono unità interne di intelligence o militari (ad esempio GRU russo, MSS cinese, IRGC iraniano), contractor privati e gruppi criminali che operano con coperture implicite.

Il professor Luigi Martino, docente di Cybersicurezza, descrive le tecniche impiegate: spear-phishing, sfruttamento di vulnerabilità zero-day, compromissione della supply chain (come il caso SolarWinds), accessi persistenti e “living off the land”, e l’abuso di servizi legittimi (Google, Microsoft, Telegram, GitHub) per nascondere attività. Martino osserva inoltre che “gli hacker di Stato sono uno strumento di potenza nazionale, al pari di diplomazia, intelligence tradizionale e forza militare, solo più economico e più denegabile”.

La cronologia degli ultimi due decenni, riportata nella ricostruzione, segnala tappe importanti: dal DDoS all’Estonia (2007) e dallo Stuxnet (scoperto nel 2010), alla fase di hacktivismo e poi alla nascita del ransomware moderno (2013 con CryptoLocker). Episodi come l’attacco a Sony Pictures, le interferenze elettorali, WannaCry e NotPetya (2017), la diffusione dei tool dell’NSA (Shadow Brokers), e gli attacchi alla supply chain (SolarWinds, 2020) o a infrastrutture critiche (Colonial Pipeline, 2021) segnano l’evoluzione del fenomeno.

Negli anni più recenti (2022–2026) il cyber è tornato a intersecarsi con conflitti aperti: la guerra in Ucraina ha stimolato attività hacktiviste e il posizionamento di accessi strategici nelle infrastrutture (esempi citati includono Volt Typhoon e Salt Typhoon). Anche la Corea del Nord è accusata di furti massicci di criptovalute. L’Iran, secondo la ricostruzione, mescola spionaggio, ritorsione e gruppi con sembianze “hacktiviste”.

Tre novità emergono come fattori critici: confini più sfumati tra Stato, contractor e criminalità; la drastica accelerazione dei tempi di sfruttamento delle vulnerabilità; e l’impatto dell’intelligenza artificiale che, pur non creando nuovi tipi di attacco, accelera fasi come phishing, scrittura di codice e scansione delle reti.

La ricostruzione cita anche osservazioni editoriali sul fenomeno, ricordando che al livello più alto si parla di “quello dell’hacking di Stato tra spionaggio e sabotaggio, della sotterranea guerra di posizionamento tra governi, loro agenzie e gruppi parastatali o schiettamente criminali”, in un contesto dove attori e strumenti si mescolano e si rimescolano.