Cyber-terrorismo è un neologismo di nuova generazione che tenta di definire una nuova forma di terrorismo di tipo informatico. Tuttavia a livello terminologico il concetto è quanto meno poroso a causa dell’assenza di quadro giuridico internazionale di riferimento che inevitabilmente conduce a dibattere intorno ad esso e sulla sua effettiva esistenza. Interpretazioni tipicamente “restrittive” discordano dall’ inserirlo nella “famiglia” dei terrorismi mentre quelle più “aperte” spesso tendono a confonderlo con i suoi derivati tra i quali cyberwar, cybercrime. Il confuso linguaggio terroristico ha portato ad un allargamento delle maglie terminologiche creando zone d’ombra dove concetti quali cyber-terrorismo non trovano una classificazione. Questo stato di cose deriva da un paradosso ben noto sta alla base di questo edificio concettuale; se una vera definizione di terrorismo tutt’ora non esiste, poiché non accettata comunemente dai maggiori attori della politica mondiale, ciò che tentiamo di definire cyber-terrorismo, da esso discendente, diviene puro esercizio retorico fine a se stesso. Una risposta da parte dell’Unione Europea.
Una nuova minaccia per la sicurezza mondiale e differenti significati
Nell’epoca globale in cui viviamo, il tema della sicurezza è la priorità per l’agenda nazionale e mondiale a causa del proliferare di minacce sempre più asimmetriche, non statuali e latenti al tempo stesso a cui non si può più rispondere convenzionalmente.
il termine cyber-terrorismo sta ad indicare una nuova generica sfida di tipo terroristico per la sicurezza nazionale e mondiale a livello informatico; una minaccia che si configura come globale, tecnica, transnazionale e soprattutto anonima.
Il cyber-spazio, nuovo luogo della geopolitica del futuro, diverrà il campo di competizione dove si misureranno le capacità d’Intelligence di prevenzione di attentati alle infrastrutture difensive di ogni singolo Stato i quali conservano gelosamente e scambiano tra loro informazioni vitali.
Il territorio cyberspaziale è talmente vasto e insondato che facilmente si presta ad attacchi di terroristi informatici che possono competere sul piano statale poiché i rapporti di forza (se così possiamo definirli mutuandoli dal gergo politico) tenderanno ad essere loro meno sfavorevoli rispetto alla tradizionale asimmetria.
Esso risulterà essere il nuovo campo di confronto tra attori statali e non.
Sebbene l’era informatica abbia messo e metta in primo piano questa minaccia via web come prioritaria per il futuro degli Stati, una solida definizione della parola cyber-terrorismo non esiste ancora.
Nonostante nel 2008 la NATO formulasse attraverso il nuovo Concetto Strategico gli scenari futuri in termini di sicurezza – arrivando a definire il cyberterrorismo come “un attacco informatico che utilizza o sfrutta reti di computer o di comunicazione sufficienti per causare la distruzione o interruzione, per generare paura o per intimidire una società in un obiettivo ideologico” – sul piano statale essa viene intesa differentemente.
Il governo degli Stati Uniti, per fare un esempio, pone enfasi non tanto sugli obiettivi degli attacchi ma sui soggetti “attaccanti”.
In particolare si tenta di delineare chi siano i nuovi terroristi del futuro.
Va da sé che a livello nazionale essi propongano una definizione che, sebbene alcuni autori definiscano complementare a quella NATO, in realtà mette ancora più evidenza il problema riguardante la confusione terminologica di cui stiamo discutendo.
I governi nazionali agiscono sul piano interno autodefinendo il problema poiché non esiste una definizione comunemente accettata a livello internazionale.
Senza entrare troppo nella disputa terminologica di questi anni,chiara risulta essere la difficoltà di maneggiare un linguaggio non ancora “statalizzato” (ovvero non tradotto in un linguaggio comprensibile ed esprimibile attraverso un quadro legale da parte della comunità internazionale degli Stati) e molto spesso non compreso appieno.
Un linguaggio ancora per lo più tecnico che non riesce, non certo per suoi demeriti, a creare categorie di classificazione che gli Stati possono far proprie per rispondere alle nuove minacce informatiche di cui fa parte il cyber-terrorismo.
Se non si definiscono i termini va da sé non si sa neanche contro cosa si stia lottando.
Il concetto è quanto meno poroso (come vedremo) e rifugge le comuni classificazioni.
Quest’impasse condiziona drammaticamente le manovre dei singoli Stati in termini di sicurezza le quali tendono ad autonomizzarsi in un contesto dove le minacce si presentano come globali e necessitando pertanto una risposta a livello multilaterale più efficace rispetto a quella degli ultimi anni.
Questo è il presupposto da cui dobbiamo partire per capire il quadro generale.
Il dibattito terminologico di questi anni è inevitabile poiché ampio è lo spettro intorno al quale oscillano i suoi elementi costitutivi: motivazioni, obiettivi, metodi, centralità o meno dell’uso del computer rendono molto complesso anche solo affermare che esista un cyber-terrorismo come categoria universalmente derivante dal terrorismo ma ad essa autonoma piuttosto che espressione generica di un nuovo terrorismo.
Vediamo di capirne le varie posizioni.
Il cyber-terrorismo come nuova forma di terrorismo?
Per poter tentare di dare una risposta a questo difficile quesito bisogna considerare che il “settore” di cui stiamo trattando è in rapida evoluzione e vi è una forte complessità di base data dalla combinazione delle tecnologie per le informazioni e comunicazioni (Information and Communication Technology, ICT).
Se come accennato non è ancora possibile definire un quadro giuridico (poiché esso è assente) ove ricondurre il termine cyber-terrorismo , risulta relativamente meno complesso cercare di capire quali siano i suoi elementi distintivi.
Per far ciò si dovrebbe preliminarmente dire cosa non è.
In tal modo isolando le “cyber” categorie, spesso confuse, si può attraverso una operazione di filtraggio effettuare un distinguo.
Infine, una volta “isolato” si tenterà un confronto con il termine terrorismo, da esso derivato, e capire quanto sia pertinente un loro possibile legame.
Procedendo con ordine, il cyber-terrorismo si discosta innanzitutto dalla cyber-war, termine spesso usato per connotare la guerra invisibile di questi mesi tra U.S.A. ed Israele da un lato e l’Iran dall’altro.
Esso si traduce volgarmente in guerra cibernetica; è una guerra anonima, senza regole i cui combattenti militari, civili, ricercatori e scienziati difendono la propria nazione da ostilità esterne o infiltrate.
Se cyber-war grosso modo identifica la guerra del futuro, non certo nel senso classico del termine, con cyber-terrorismo al contrario ci riferiamo ad un metodo.
Un metodo che utilizza Internet quale arma per impostare attacchi contro altri computer violandone la sicurezza per scopi differenti oscillanti dal blocco di sistemi difensivi al furto di informazioni attraverso l’uso di virus.
Non è guerra poiché non presuppone una risposta che è eventuale e possibile da parte della controparte; non è uno scontro di forze virtuali ma un’azione isolata o che può ripetersi sebbene nell’anonimato come per la cyber-war.
E’ una vera e propria opzione di first strike nelle mani di chiunque sappia maneggiare tale tecnologia ormai a uso e consumo di tutti.
Non è nemmeno cyber-crime poiché ivi ci riferiamo ad un vero e proprio fenomeno criminale a capo del quale identifichiamo l’autore del reato.
Ebbene il terrorismo cybernetico diviene veramente un first strike in una nuova accezione del termine poiché molto differente dalla terminologia tipica dell’ equilibrio atomico.
Qui non vi è equilibrio; l’anonimo impiega un metodo che si avvale di “attacchi fulminei”, colpendo ed evitando le ripercussioni dovute all’uso di second strike quale risposta della controparte che spesso fallisce.
Ne deriva la non commissione di un crimine in quanto tale poiché non si conosce il soggetto criminale che ha posto in essere tale condotta criminosa.
Entrando nel dettaglio il termine è tuttavia piuttosto controverso poiché differenti interpretazioni dalle più “restrittive” a quelle più “aperte” delineano differenti scenari.
Il dibattito come accennato varia a secondo dello scopo dell’uso di una azione cyber-terroristica, delle sue motivazioni , metodi e obiettivi non semplici da definire.
In breve, secondo l’orientamento più aperto esso viene definito come “The premeditated use of disruptive activities, or the threat thereof, against computers and/or networks, with the intention to cause harm or further social, ideological, religious, political or similar objectives. Or to intimidate any person in furtherance of such objectives”.
Al contrario, secondo l’orientamento “restrittivo” il cyber-terrorismo non sarebbe “figliastro” del terrorismo tradizionale e dunque difficilmente la definizione sopra citata avrebbe senso.
Esso non è una forma di terrorismo poiché non è una pratica del terrore , non infligge ferite, e non provoca la morte di obiettivi.
Dunque esso o è altro o non esiste. Eppure si chiama cyber-terrorismo ed è evidente l’assonanza.
Il confuso linguaggio terroristico ha portato dunque ad un allargamento delle maglie terminologiche creando zone d’ombra dove concetti quali cyber-terrorismo non trovano una classificazione.
E questo è comprensibile e a tratti spiegabile.
Questo stato di cose deriva da un paradosso ben noto che sta alla base di questo edificio concettuale che tentiamo di non far crollare; se una vera definizione di terrorismo tutt’ora non esiste, poiché non accettata comunemente dai maggiori attori della politica mondiale, ciò che tentiamo di definire cyber-terrorismo , da esso discendente, diviene puro esercizio retorico fine a se stesso.
Dunque il vero problema di questa minaccia informatica deriva da un linguaggio non ancora codificato che ruota intorno al concetto di terrorismo e i suoi derivati.
Finché non si da un nome alle cose partendo dall’annosa questione del terrorismo internazionale non si potrà qualificarne quelle di nuova generazione .
Se gli Stati, come sembrerebbe, non saranno in grado di definire un quadro giuridico internazionalmente all’altezza di questa futura minaccia nel breve e medio periodo dovranno tuttavia impostare linee guida proprie al fine di rafforzare la cyber-sicurezza.
E questo risulta essere l’ennesimo paradosso.
Una risposta Europea al cyber-terrorismo ?
Sebbene questa minaccia risulti non appartenente ad un chiaro quadro giuridico, gli Stati hanno compreso che la sicurezza del futuro si basa sul potenziamento di infrastrutture difensive sempre più connesse al mondo dell’informatica.
I cyber-attacchi contro i governi di Estonia e Georgia hanno fatto scuola in tal senso.
Si ricorda infatti come nel maggio 2007 l’Estonia fu soggetta a un cyber-attacco a causa della rimozione dalla piazza centrale della capitale estone del monumento ai «liberatori » sovietici, il cosiddetto soldato di bronzo.
Tallin ha accusato Mosca ma quest’ultima ha sempre smentito.
La Georgia, per citare un altro esempio famoso, ha subito un attacco informatico mirato che ha mandato in tilt il sistema Internet georgiano sommergendolo di traffico fittizio.
Dalla seconda metà dei primi anni duemila, la minaccia del cyber-terrorismo ha acquisito una rilevanza crescente per l’Unione Europea.
Il numero di questi cyber‐attacchi non accenna a diminuire e secondo stime del 2011 le stesse istituzioni comunitarie sono state colpite da due diversi attacchi informatici.
A gennaio, essa ha riguardato il sistema di scambio di quote delle emissioni di anidride carbonica, l’Emissions Trading System (EU ETS), vero e proprio mercato i cui furti telematici di quote a danno di paesi come la Repubblica Ceca e l’Austria risultano essere per milioni di euro.
La Commissione è stata costretta a sospendere l’ETS per una settimana.
Nel marzo di quello stesso anno, i sistemi informatici della Commissione, del Servizio europeo per l’azione esterna e, in misura minore, del Parlamento europeo sono stati messi temporaneamente fuori uso, impedendo ai funzionari l’accesso alla posta elettronica da terminali esterni agli uffici comunitari.
L’Europa dunque sta lavorando al fine di diminuire tali attacchi di cyber-terrorismo al contempo diminuendone peso e incidenza.
In termini pratici il documento europeo “Strategia di Sicurezza Interna dell’UE e dell’Agenda Digitale Europea” lanciata nell’agosto 2010 risulta essere quello di maggiore interesse per la trattazione.
Due sono gli obiettivi più urgenti: da un lato, accrescere la consapevolezza dei principali rischi connessi alla cyber‐security (in particolare di cyber-terrorismo) attraverso un’operazione mediatica volta a favorire la conoscenza del problema; dall’altro, su un fronte prettamente operativo, migliorare la preparazione e le capacità di risposta europee e nazionali a possibili attacchi o incidenti informatici.
Per comprendere quest’ultimo punto, si deve tenere bene in mente che la capacità di risposta ad attacchi o incidenti informatici variano sensibilmente tra gli Stati membri dell’UE.
Gli sforzi per colmare il divario tra i più e i meno attrezzati si concentrano sulla creazione di capacità e addestramento e formazione, ma soprattutto sulla creazione, in ogni Stato membro, dei Computer Emergency Response Teams o CERT.
Coordinare una risposta a livello europeo non risulta semplice poiché sono gli Stati membri ad avere le principali responsabilità in materia di cyber-security.
Ciò significa che l’UE interviene solo in via sussidiaria, integrando e, dove possibile, armonizzando le iniziative nazionali.
E questo fatto mette in luce come sia più efficace una risposta domestica che una coordinata internazionalmente – in questo caso a livello europea.
La risposta domestica e internazionale al problema sarebbe più efficace nel momento in cui la comunità mondiale definisse i termini delle sfide dell’era informatica
Quale futuro in termini di sicurezza? Una conclusione
Le minacce telematiche risultano essere sempre più all’ordine del giorno a causa dello sviluppo illimitato di Internet.
Questa vera e propria rivoluzione nel campo della comunicazione ha portato con sé nuove sfide per gli Stati.
Sebbene risulti ancora non semplice inquadrarle giuridicamente poichè il settore risulta complesso e in continuo sviluppo, gli attori internazionali hanno compreso che la sicurezza del futuro non riguarda più e non solo il territorio e lo spazio sovrano poiché la nuova dimensione della geopolitica interessa la nuova territorialità e spazialità informatica.
Al di là del dibattito sull’esistenza del cyber-terrorismo come arma propria (o meno) del terrorismo tradizionale, caratterizzato dalla mortalità degli attacchi e della diffusione del terrore, essa è una delle minacce più sfuggenti del campo della cyber-security.
In pochi anni l’utilizzo di questo metodo/arma diverrà sempre più comune al fine di danneggiare la sicurezza statale più di quanto non possano fare kamikaze suicidi.
Sebbene rarissimi siano i casi di cyber-terrorismo in cui vi siano vittime accertate , è chiaro che un attacco di questo tipo può veramente colpire il cuore statale mettendo in crisi il campo della sicurezza sempre più informatizzata e dunque fatalmente a rischio.
Il nuovo security concept dovrà riconfigurare gli indirizzi delle nuove politiche statali ma soprattutto internazionali in tale campo al fine di ovviare le problematiche descritte.
*Vismara Luca Francesco è dottore magistrale in Relazioni Internazionali presso l’Università Statale di Milano