Cosa c’è dietro agli attacchi russi alle infrastrutture digitali
Immagine illustrativa, Marija Krikunenko
Dai ripetitori ai datacenter: come sono cambiati gli attacchi russi alle infrastrutture di telecomunicazione
Gli attacchi alle infrastrutture che permettono agli ucraini di accedere a internet e di informarsi erano iniziati già nei primi giorni dell’invasione su larga scala. Inizialmente gli obiettivi degli attacchi erano soprattutto ripetitori, stazioni radio per la connessione mobile, reti di operatori e provider. In particolare, il primo marzo 2022 le truppe russe avevano lanciato un razzo contro la torre della tv di Kyiv. Cinque persone erano morte, altre cinque erano rimaste ferite e una parte della programmazione televisiva era stata interrotta. Prima di attaccare, la Russia aveva dichiarato pubblicamente l’intenzione di distruggere i nodi dell’informazione di Kyiv. Successivamente, le indagini ucraine hanno identificato i comandanti russi potenzialmente coinvolti nell’organizzazione dell’attacco.
A due settimane di distanza, il 14 marzo 2022, due missili si sono abbattuti sulla torre televisiva e sugli uffici municipali di Antopil’, regione di Rivne. Il giorno dopo, le autorità dichiaravano almeno 20 vittime. Parallelamente, bombardamenti e combattimenti hanno provocato blackout della rete internet a Kyiv, Char’kiv, Cherson, Severodonec’k e altre città. Nel marzo del 2022, per esempio, dopo un bombardamento a Kyiv il provider Uacity ha registrato interruzioni parziali della connessione, mentre a Char’kiv e Cherson le interruzioni sono state globali.
Nel maggio 2023 il Ministero per la Trasformazione digitale ucraino ha dichiarato che la Russia aveva distrutto o danneggiato circa un quarto delle reti internet in Ucraina e più di 3000 stazioni radio. Nei territori occupati e poi liberati, gli operatori hanno dovuto fare i conti con hardware distrutto o rubato, e i tecnici hanno dovuto sistemare tutto anche sotto le bombe. E infatti l’8 maggio 2023 a Stanislav, regione di Cherson, sono rimasti vittima di un attacco russo gli operatori di un provider locale che stavano cercando di ripristinare la rete.
La Russia ha continuato a prendere di mira le infrastrutture di telecomunicazione anche nel 2024. Il 22 aprile un attacco ha distrutto una parte della torre della televisione di Char’kiv, causando problemi ai canali digitali. Il 6 maggio è stata danneggiata la torre della tv di Bilopillja, regione di Sumy. A pubblicare il video dell’attacco e a citare la torre tra gli obiettivi centrati sono state le stesse fonti di propaganda russa. La tendenza della Russia ad attaccare simili infrastrutture è proseguita anche per tutto il 2025. Il 30 ottobre un attacco russo ha provocato danni alla torre televisiva al centro di Černihiv. A novembre l’Amministrazione Militare Regionale ucraina ha dichiarato che era stata colpito un ripetitore, mentre un attacco nella regione di Černihiv ha danneggiato un traliccio nella cittadina di Semenivka.
Secondo la Banca Mondiale, la Commissione europea, l’ONU e il governo ucraino, alla fine del 2025 i danni diretti al settore delle telecomunicazioni, delle infrastrutture digitali e dei media ammontavano a circa 2,5 miliardi di dollari, le perdite indirette a circa 2,7 miliardi di dollari.
Le regioni più colpite sono state Donec’k, Zaporižžja, Cherson e Char’kiv.
Nella seconda metà di settembre 2026 i russi hanno preso di mira i datacenter e le infrastrutture per le telecomunicazioni di Kyiv. Uno degli attacchi più gravi è avvenuto il 23 settembre scorso: secondo il Ministero per la Trasformazione digitale, per i danni conseguenti circa 100.000 famiglie hanno avuto problemi di accesso a internet. Di danni alle infrastrutture o di interruzioni del servizio hanno parlato UTELS, Pavutyna, MiroHost, Domonet, KYIVNET, Faust e altri operatori. È stato colpito anche il datacenter del Palazzo dei congressi Parkovyj. Mentre la connettività veniva ripristinata, una parte dei provider ha dovuto spostare la rete su server e hardware di scorta.
Da parte sua, il Ministero della difesa russo non ha nascosto che i datacenter erano tra gli obiettivi dichiarati degli attacchi, confermando di averne colpiti due a Kyiv perché usati a vantaggio delle forze militari ucraine. Il Ministro degli Esteri ucraino Andrij Sybiha, al contrario, ne ha sottolineato l’uso civile: i datacenter permettevano agli utenti non solo di navigare su internet, ma anche di ricevere informazioni e allerte sugli attacchi con razzi e droni.
Sempre nella capitale, il 25 settembre un altro attacco russo ha danneggiato il datacenter di Datagroup. L’azienda ha reso noto che nessun dipendente è rimasto coinvolto, i dati dei clienti sono al sicuro, e i server hanno continuato a funzionare da siti di backup. Il Ministero della difesa russo ha dichiarato che l’infrastruttura era un obiettivo militare, dato che sarebbe stata usata per elaborare e trasmettere dati di intelligence all’esercito ucraino. A oggi, non ci sono conferme da parte di fonti indipendenti opensource sull’uso militare del datacenter.
Il giorno dopo a essere colpito è stato un datacenter dell’azienda COSMONOVA. Stando a quanto dichiarato dalla stessa COSMONOVA, il sito di Kyiv era già stato colpito tre volte di fila con droni, mentre l’attacco del 26 settembre l’ha messo definitivamente fuori gioco. Ciò ha comportato delle interruzioni di parte dei servizi online che forniva, e ha reso momentaneamente irraggiungibili alcuni canali televisivi ucraini. L’azienda ha fatto sapere che il datacenter di Kyiv non verrà rimesso in funzione.
Il 27 settembre, sempre a Kyiv, è stata danneggiata la sede principale di Kyivstar. Lo stesso giorno, il Ministero della difesa russo ha parlato anche di un attacco a un datacenter di Vodafone Ukraine, che però la compagnia non ha confermato ufficialmente. Pochi giorni dopo, il 30 settembre, Mosca ha dichiarato di aver colpito un “centro di comunicazione” a Kyiv.
Quando un data center può diventare un obiettivo militare?
Secondo il diritto umanitario internazionale, un datacenter usato per necessità civili è soggetto alle stesse tutele di qualsiasi altra infrastruttura civile. Per questo può essere attaccato solo se determinate condizioni lo rendono un obiettivo militare. I criteri stabiliti dall’articolo 52 del I Protocollo Aggiuntivo della Convenzione di Ginevra sono due: da un lato, l’infrastruttura contribuisce efficacemente alle azioni militari, dall’altro la sua distruzione, conquista o neutralizzazione deve garantire un vantaggio militare preciso. Le due condizioni devono verificarsi contemporaneamente.
Rispetto ai loro analoghi militari, nel caso di un data center stabilire il tipo di obiettivo è più complesso, perché al suo interno possono esserci server di banche, media, operatori internet, aziende private, enti pubblici e server usati dall’esercito. La presenza di un service statale o militare, tuttavia, non rende automaticamente il datacenter un obiettivo legittimo per intero. È importante chiarire quale funzione specifica svolge concretamente il server. Un server che ospita il sito di un ente pubblico o informazioni amministrative generiche non diventa automaticamente un obiettivo di guerra solo perché di proprietà statale. La situazione cambia se per suo tramite vengono trasmessi dati di intelligence, viene fornita connessione all’esercito, passano ordini alle truppe o si compiono altre operazioni direttamente riconducibili ad attività militari. È a questo punto che la struttura o parte del datacenter può, in determinate condizioni, essere considerato un obiettivo militare.
Un altro elemento rilevante per la definizione del bersaglio è stabilire quale parte del sito è usata a scopi militari: l’uso militare di alcuni server non rende infatti tutto il datacenter un bersaglio militare. Un suo ruolo ha anche quando esso è stato usato per scopi militari. A determinare lo status di bersaglio è la valutazione delle circostanze al momento dell’attacco: se un datacenter è stato usato per scopi militari nel passato, ma non lo è più al momento dell’attacco, non può essere considerato a oltranza obiettivo militare. Proprio per questo, chi pianifica l’attacco deve avere informazioni aggiornate e verificare che il bersaglio abbia ancora rilevanza militare. Quest’obbligo è sancito chiaramente dall’articolo 57 del I Protocollo Aggiuntivo. Chi prepara o decide un attacco deve fare tutto ciò che è praticamente possibile per accertare che il bersaglio da attaccare sia un obiettivo militare, e deve inoltre scegliere mezzi e metodi di attacco che riducano il rischio per i civili. Se durante la pianificazione o lo svolgimento dell’attacco diventa chiaro che l’obiettivo non è militare o che il danno ai civili sarebbe sproporzionato, l’attacco deve essere annullato o interrotto.
Ciò è particolarmente importante nel caso dei datacenter: le conseguenze possono andare ben oltre un edificio danneggiato. I server garantiscono il funzionamento di siti, provider, servizi cloud, media o altri sistemi in diversi quartieri diversi se non in diverse città. Per questo, quando si pianifica un attacco è fondamentale considerare non solo quante persone si trovano all’interno del datacenter, ma anche i possibili effetti del suo non-funzionamento. Il Comitato Internazionale della Croce Rossa sottolinea le conseguenze a cascata degli attacchi digitali: il danneggiamento di un nodo può avere un forte impatto su molti altri sistemi civili.
Di conseguenza, anche se il datacenter ha effettivamente una funzione militare, resta valido il principio della proporzionalità. Il diritto umanitario internazionale vieta l’attacco se il danno incidentale atteso rispetto ai civili è eccessivo rispetto al vantaggio militare concreto e diretto previsto. Pertanto, vanno valutati sia l’uso che si fa del datacenter sia la possibilità di scegliere un’arma di precisione, un orario consono oppure un bersaglio alternativo, riducendo così i rischi per la popolazione. Se poi il datacenter non ha mai avuto scopi militari, la valutazione legale è ancora più severa. Dirigere intenzionalmente un attacco su un obiettivo civile può costituire un crimine di guerra. Tra di essi, lo Statuto di Roma della Corte Penale Internazionale fa rientrare anche gli attacchi deliberati su infrastrutture civili che non sono obiettivi militari.
Può essere considerato crimine di guerra anche colpire un obiettivo effettivamente militare pur sapendo che il danno potenziale ai civili sarà platealmente eccessivo rispetto al vantaggio militare che si prevede di conseguire. In questo caso il punto non è più lo status del datacenter in sé, ma com’è stato pianificato l’attacco e cosa sapeva chi lo ha autorizzato.
Altra valutazione da fare, è se siano state prese le giuste misure cautelative. A livello legale, elementi come informazioni non verificate oppure obsolete sul bersaglio, il mancato tentativo di accertarne la funzione, la scelta di una modalità di attacco con un evidente rischio per i civili sono tutti potenzialmente rilevanti. Allo stesso tempo, non tutte le violazioni del diritto bellico sono automaticamente un crimine di guerra: per parlare di responsabilità penale bisogna stabilire in cosa consiste concretamente il crimine e la forma della colpa che ne consegue. Per questo, due attacchi a datacenter simili possono avere risvolti legali completamente diversi. In un caso può trattarsi di un attacco premeditato a un’infrastruttura civile, nell’altro di un attacco a un obiettivo militare legittimo con un danno sproporzionato per i civili, oppure di una violazione dell’obbligo di accertare la natura dell’obiettivo o un tentativo di minimizzare le conseguenze.
Può la Russia lasciare gli ucraini senza internet?
È improbabile che la Russia riesca a lasciare l’intera Ucraina senza internet colpendo soltanto i datacenter. La rete internet ucraina è storicamente un sistema molto articolato: nel paese ci sono più di tremila provider, molti dei quali con reti in fibra ottica di proprietà, connessioni a grandi operatori e percorsi di rete secondari. In alcuni casi, inoltre, le grandi aziende possono contare su propri canali di comunicazione internazionali. Questa decentralizzazione rende la rete più resiliente a danni fisici di singoli nodi. Secondo gli esperti delle testate Suspilne e DW, un collasso totale e generalizzato di internet è poco probabile.
In pratica, significa che la perdita di un solo datacenter non impedisce necessariamente ai provider di continuare a fornire i loro servizi: il traffico può essere dirottato su altri canali, si possono usare mezzi di scorta oppure può subentrare un altro datacenter. Dopo gli attacchi di settembre, secondo i dati di Suspilne la maggior parte dei provider ha impiegato circa 24 ore per ripristinare i servizi. Nel caso di Cosmonova, dopo la messa fuori gioco del datacenter di Kyiv l’azienda ha iniziato a lanciato i propri servizi da siti geograficamente distanti, riuscendo comunque a salvaguardare i dati dei clienti.
Per capire se un modello simile può funzionare anche in condizioni di attacchi continui possiamo considerare le città che si trovano vicino al fronte.
Oleksandr Hluščenko, esperto del settore delle telecomunicazioni, ha esposto a Suspilne il caso di Kramatorsk, in cui dopo gli attacchi i provider hanno dovuto fornire costantemente nuove attrezzature e stendere nuovamente le vie di trasporto dati. La rete, dunque, può rimanere in piedi anche laddove elementi singoli vengono distrutti. Tuttavia, il fatto che il sistema nel suo complesso possa resistere ai danni non significa che non ci siano ripercussioni per gli utenti. In un quartiere o in una città la connessione può mancare per diverse ore se non per giorni, soprattutto se a essere danneggiati contemporaneamente sono i datacenter, la rete di trasporto dati e le fonti di energia elettrica. I più vulnerabili sono i nodi in cui confluiscono diversi percorsi di routing, oppure i luoghi in cui il provider non ha percorsi alternativi. Per questo l’attacco a un grande datacenter può ripercuotersi sui clienti di diverse compagnie e, al contempo, non causare problemi alla rete ucraina nel suo complesso.
Altro punto debole è, poi, la fornitura elettrica. Server, router, stazioni radio e altri mezzi di telecomunicazione hanno un bisogno costante di elettricità. I provider installano batterie, generatori e gruppi di continuità, che però hanno una durata limitata. Possono spegnersi, quando il blackout è prolungato, laddove le reti mobili si sovraccaricano ulteriormente perché gli utenti passano in massa dal Wi-fi di casa ai dati mobili. Uno dei modi per aumentare la resilienza della rete fissa è stata la tecnologia PON, o rete ottica passiva, in cui tra il terminal del provider e l’utente non ci sono nodi che richiedano elettricità per funzionare. Se provider e utente possono entrambi ricorrere a sistemi di alimentazione di scorta, internet può continuare a funzionare anche durante un blackout locale.
Il rischio più realistico per l’Ucraina è, quindi, una serie di interruzioni locali o regionali. Se l’attacco riguarda in contemporanea datacenter, reti di trasporto, infrastruttura elettrica e hardware degli operatori, il ripristino sarà più complesso e più costoso. I provider, inoltre, devono poter contare su siti di riserva, mettere a terra percorsi alternativi, fare incetta di generatori e di hardware di scorta. Pur permettendo alla rete di sopravvivere agli attacchi, però, questo implica spese costanti e persone che vadano fisicamente ad aggiustare i punti danneggiati con gli attacchi in corso.
