Trump dà il via libera agli attacchi cibernetici privati – ma chi ne risponde?

Mi si sono levate le sopracciglia leggendo questa notizia. Donald Trump, con la semplice firma di un decreto, sta trasformando aziende private in “teppisti digitali”? Non sembra affatto un passo verso un futuro più sicuro, quanto piuttosto un esperimento dall’esito incerto.
Il presidente Trump ha infatti firmato un memorandum controverso che permette a selezionate aziende statunitensi di lanciare cyberattacchi contro criminali informatici stranieri. Ufficialmente, l’obiettivo è garantire maggiore sicurezza nello spazio digitale – colpire i criminali prima che possano arrecare danni. Sembra ragionevole, no? Eppure, uno sguardo più attento rivela che si sta entrando in una zona grigia dal punto di vista giuridico, ancora poco esplorata. E soprattutto: chi si troverà nei guai se qualcosa andrà storto?
---
Cosa possono fare queste aziende?
La “Cybersecurity Enhancement Initiative” sembra un innocuo progetto per migliorare la sicurezza informatica. In realtà, questo memorandum autorizza aziende statunitensi selezionate e strettamente sorvegliate a lanciare attacchi informatici contro server, infrastrutture o reti di criminali cibernetici stranieri. Si tratta di bande di ransomware, gruppi di hacker sostenuti da Stati esteri o semplicemente organizzazioni criminali che prendono di mira aziende o governi.
Attenzione, però: non è un via libera a qualsiasi follia digitale. Le aziende devono rispettare regole rigide:
- Devono ottenere l’autorizzazione dalle autorità statunitensi – probabilmente NSA, FBI o la nuova Cybersecurity and Infrastructure Security Agency (CISA).
- Devono dimostrare che esiste una minaccia concreta – gli attacchi devono essere preventivi e non arbitrari.
- Operano in un quadro rigidamente supervisionato dallo Stato – nulla avviene al buio senza controllo.
Proprio qui nasce il problema: chi si assume la responsabilità se qualcosa va storto?
---
La zona grigia giuridica – chi paga se l’attacco fallisce?
Il governo statunitense sottolinea che le aziende agiscono “nell’interesse nazionale”. Bene. Ma cosa succede se un attore privato, per errore, colpisce infrastrutture civili? O se un obiettivo sbagliato viene attaccato?
- Immunità statale? In teoria, le aziende potrebbero invocare la sovereign immunity – l’immunità dello Stato che ha autorizzato l’operazione. Ma nella pratica? Qui le cose si complicano. Le operazioni cibernetiche sono spesso difficili da attribuire a un singolo Stato, e l’immunità potrebbe rivelarsi uno scudo pieno di buchi.
- Cause civili? Le aziende o gli Stati danneggiati potrebbero provare a citare in giudizio le società responsabili davanti ai tribunali statunitensi. Ma un tribunale USA sarebbe competente? Soprattutto se l’attacco è partito da un server straniero, la questione è tutt’altro che chiara.
- Ripercussioni internazionali? Se un cyberattacco dovesse colpire – anche per errore – uno Stato estero – diciamo, a causa di un errore



di routing delle IP –, la situazione potrebbe rapidamente degenerare in una crisi diplomatica. E all’improvviso gli Stati Uniti dovrebbero farsi carico della responsabilità. Sembra una ricetta per l’escalation.
---
Un pericoloso precedente?
L’uso di attori privati per operazioni cibernetiche offensive non è del tutto nuovo. Già sotto Obama e Trump esistevano programmi simili, come il concetto Defend Forward del Pentagono. Ma ora diventa ufficialmente legale. Ed è qui che sta la scintilla.
I critici stanno già suonando l’allarme – e le loro preoccupazioni sono comprensibili:
1. Potenziale abuso: Chi decide chi è un “criminale informatico”? Le aziende potrebbero nascondere le proprie agende dietro la bandiera della sicurezza nazionale? Chi controlla?
2. Stati come aggressori: Se le aziende private attaccano server in Stati nemici, potrebbe essere interpretato come un atto di guerra. E all’improvviso gli Stati Uniti si troverebbero coinvolti in un conflitto armato – senza una decisione politica chiara.
3. Rischio reputazionale: Se un’azienda dovesse colpire per errore un ospedale o una banca – magari per un’indirizzo IP mal identificato – le conseguenze non sarebbero solo legali, ma minerebbero anche la fiducia nella politica di sicurezza informatica degli USA.
---
Chi ne trae davvero vantaggio da questa normativa?
A prima vista, sembra che il governo statunitense stia rafforzando la sua sicurezza informatica. Ma chi sono i veri beneficiari?
- Aziende di cybersicurezza private: Società come FireEye, CrowdStrike o Palo Alto Networks potrebbero posizionarsi come nuovi “mercenari digitali” – con il sostegno dello Stato. Sembra un affare redditizio.
- Militari e servizi segreti: La NSA e il Cyber Command potrebbero esternalizzare le operazioni, scaricando indirettamente responsabilità. Una strategia intelligente per mettersi al riparo.
- Gioco politico: L’amministrazione Trump potrebbe usare questa misura per dimostrare di essere determinata contro le minacce cibernetiche – soprattutto in un anno elettorale in cui gli attacchi digitali alle infrastrutture sono un tema centrale.
---
Un esperimento pericoloso dal esito incerto
L’autorizzazione ufficiale per le aziende private di condurre operazioni cibernetiche offensive rappresenta un passo storico nella guerra digitale. L’intenzione di combattere la criminalità informatica è comprensibile. Ma la sua attuazione? Qui si affaccia il dubbio: non si sta forse affidando ciecamente al controllo della tecnologia?
La preoccupazione maggiore resta l’incertezza giuridica. Chi risponde se un attacco fallisce? Con questo memorandum, il governo statunitense ha fatto una scommessa rischiosa – e il mondo osserva con attenzione come questo nuovo quadro normativo si tradurrà nella pratica. Una cosa è certa: se qualcosa andrà storto, le conseguenze non si limiteranno agli USA. Saranno globali – e potrebbero portare rapidamente a un’escalation.