Edoardo Marchesi In un gesto che ha suscitato grande attenzione a livello internazionale, il presidente degli Stati Uniti Donald Trump ha firmato un memorandum che autorizza le aziende americane a condurre cyber attacchi contro hacker criminali. Questa decisione rappresenta un cambiamento significativo rispetto alle politiche tradizionali di cybersecurity, che hanno sempre privilegiato la difesa passiva e lasciato le operazioni offensive alle forze armate e alle agenzie di intelligence.
Il memorandum, firmato nella tarda serata del 13 agosto 2026, stabilisce che alcune aziende selezionate potranno collaborare con il dipartimento di Giustizia e quello per la Sicurezza Interna per colpire gruppi di criminali informatici stranieri. Questa iniziativa avvicina gli Stati Uniti a paesi come Cina e Russia dove le agenzie di intelligence si avvalgono da tempo di hacker del settore privato per missioni di sicurezza nazionale.
Le implicazioni del nuovo memorandum
Gli esperti del settore avvertono che questa mossa potrebbe creare una sorta di far west informatico, con il rischio di escalation e conseguenze indesiderate. Tuttavia, il memorandum prevede che le aziende partecipanti debbano sottoporsi a una procedura di selezione rigorosa, firmare un contratto governativo che prevede sanzioni pecuniarie fino a un milione di dollari in caso di violazioni, e ottenere l’autorizzazione del dipartimento di Giustizia e di quello per la Sicurezza Interna prima di procedere con un attacco.
Le operazioni autorizzate includono la sorveglianza delle reti criminali e l’esecuzione di specifiche operazioni capaci di causare l’interruzione, la manipolazione o la distruzione di sistemi informativi e reti. Tuttavia, il memorandum precisa che non saranno autorizzati attacchi che possano verosimilmente causare perdite di vite umane, lesioni gravi o configurarsi come uso della forza o attacco armato ai sensi del diritto internazionale.
Il confronto con l’Europa e l’Italia
In Europa, e in particolare in Italia, la situazione è molto diversa. Le aziende private non possono assolutamente effettuare hacking offensivo per difendersi. Nel sistema giuridico italiano, la difesa informatica deve essere esclusivamente di tipo passivo e preventivo. Qualsiasi azione offensiva o di ritorsione digitale configura gravi reati di natura penale.
Le aziende italiane hanno l’obbligo giuridico e strategico di tutelarsi usando esclusivamente la cybersecurity difensiva. Questo include l’adozione di firewall, sistemi di rilevamento delle intrusioni (IDS/IPS), crittografia dei dati e policy di backup immutabili. Inoltre, possono svolgere penetration test e attività di vulnerability assessment condotte da esperti interni o esterni, ma esclusivamente sul proprio perimetro aziendale.
Il Piano Crosetto e la sicurezza nazionale
Il memorandum di Trump ricorda in parte il Piano Crosetto che punta a potenziare la sicurezza nazionale italiana. Tuttavia, in Europa esiste una normativa molto più avanzata, che include la Nis2 e le normative nazionali recepite dai singoli Stati, fino all’AI Act e alle normative privacy europee, che puntano sulla centralità delle persone e sull’essere umano.
In Italia, il Piano Crosetto prevede la formazione di un corpo di cybersecurity militare con limiti invalicabili. Tuttavia, per un eventuale hack back in un quadro europeo, sarebbe necessario una legge ad hoc italiana che stabilisca quali aziende, quali certificazioni, dove sono ubicati i server, e quali i limiti di questi attacchi offensivi a fini difensivi.
Mentre l’Europa e l’Italia continuano a privilegiare un approccio difensivo, gli Stati Uniti stanno aprendo la strada a una nuova era di cyber operazioni offensive condotte dal settore privato.