Sabato mattina, mentre attacchi militari colpivano l’Iran, milioni di iraniani hanno ricevuto una notifica insolita sui loro telefoni. L’app religiosa BadeSaba Calendar, con oltre 5 milioni di download, era stata compromessa. I messaggi annunciavano “l’arrivo degli aiuti” e invitavano alla creazione di un “Esercito del Popolo” per difendere i cittadini iraniani, secondo un’analisi della società di cyber intelligence Flashpoint.
Il giorno successivo l’app ha diffuso istruzioni di resa rivolte ai membri delle Guardie Rivoluzionarie e indicazioni su luoghi sicuri per le proteste. La reazione dei sostenitori del regime è arrivata rapidamente.
La campagna cyber “Great Epic”
Secondo Flashpoint, domenica ha segnato l’uso più aggressivo finora della campagna cyber iraniana nota come “Great Epic”. Si tratta di una rete poco centralizzata di operatori informatici collegati al canale “Cyber Islamic Resistance”.
Gruppi affiliati hanno bloccato distributori di carburante in Giordania e lanciato attacchi contro fornitori militari statunitensi e israeliani, distruggendo dati e conducendo operazioni psicologiche simili all’attacco contro BadeSaba.
Le successive 48 ore potrebbero risultare estremamente instabili. Hacktivisti e gruppi proxy potrebbero guidare l’escalation approfittando del vuoto lasciato dal comando centrale iraniano. Gli attori coinvolti coordinano le attività tramite Telegram e Reddit, pubblicando schermate degli attacchi come prova, anche se la verifica richiede settimane o mesi, afferma Kathryn Raines, ex esperta NSA e oggi responsabile threat intelligence in Flashpoint.
Attacchi più decentralizzati e imprevedibili
L’attacco a BadeSaba mostra un modello che gruppi legati all’Iran potrebbero replicare contro aziende occidentali. Dopo gli attacchi militari di sabato, la struttura di comando che gestiva le operazioni cyber di Teheran risulta fortemente indebolita.
“Il vuoto nella leadership iraniana porterà probabilmente ad attacchi proxy più imprevedibili e decentralizzati”, ha dichiarato Raines.
In pratica, gruppi allineati prendono decisioni autonome sugli obiettivi senza autorizzazione centrale. Un gruppo particolarmente aggressivo potrebbe colpire anche un’azienda logistica di medie dimensioni solo per inviare un messaggio politico.
“Potrebbe trovarsi tutto nelle mani di un hacker di 19 anni in una chat Telegram, senza supervisione né direzione”, ha avvertito.
Le aziende davanti a un rischio prolungato
Secondo Brian Carbaugh, cofondatore della società di sicurezza Andesite ed ex dirigente del centro operazioni speciali della CIA, i leader aziendali devono prepararsi a una fase prolungata di incertezza. Negli anni l’Iran ha dimostrato forte resilienza come apparato statale e rete di resistenza.
“La resistenza aggressiva e creativa fa parte dell’identità dell’apparato di sicurezza iraniano”, ha spiegato Carbaugh. “Le aziende devono prepararsi a un conflitto lungo e a scenari in continua evoluzione”.
Con l’indebolimento delle capacità militari convenzionali iraniane, gli attacchi informatici diventano un’opzione sempre più efficace. Richiedono costi ridotti, risultano difficili da attribuire e possono generare forti effetti psicologici e operativi.
Il nuovo fronte: le operazioni psicologiche
Secondo Raines, molti piani di sicurezza aziendale non prevedono attacchi di tipo psicologico come quello contro BadeSaba, che ha inviato notifiche simultanee a milioni di utenti proprio mentre iniziavano i bombardamenti.
“Le aziende non sono preparate a operazioni psicologiche pensate per colpire la fiducia e lo stato mentale dei dipendenti”, ha spiegato.
Uno scenario possibile riguarda messaggi urgenti inviati ai lavoratori nel Golfo tramite audio deepfake attribuiti ai dirigenti aziendali o false comunicazioni su evacuazioni. In assenza di notizie locali o connessioni internet affidabili, verificare le informazioni diventa quasi impossibile.
La vera priorità: il tempo di recupero
Molte aziende non dispongono di piani operativi per gestire le ore successive a un attacco di questo tipo. I modelli di rischio si basano spesso sul comportamento degli Stati e su presunte “linee rosse” che dovrebbero evitare un’escalation totale.
Per consigli di amministrazione e vertici aziendali, la domanda centrale riguarda quanto tempo le attività possano restare offline prima di compromettere ricavi e reputazione.
“Ci interessa meno il numero di attacchi bloccati e molto di più il tempo necessario al recupero”, ha affermato Raines.
Carbaugh sottolinea che i dirigenti dovrebbero valutare immediatamente il livello di esposizione al rischio legato alla crisi iraniana, verificare le misure di mitigazione adottate, il coordinamento con partner esterni e l’utilizzo dell’AI per individuare gli attacchi.
Il conflitto in Iran, conclude, non si risolverà rapidamente e continuerà a generare rischi informatici.
“Questo scenario può prendere molte direzioni diverse”, ha detto Carbaugh. “Servirà vigilanza costante per proteggere reti digitali, sicurezza fisica e infrastrutture aziendali”.
Questo articolo è apparso originariamente su Fortune.com.
