Lungo lo stretto delle navi ferme, il mare sembra immobile. In realtà è pieno di ordigni che non si vedono. Le mine iraniane sono tornate al centro della strategia di Teheran in uno dei punti più delicati dell’economia mondiale: lo stretto di Hormuz.

Da settimane funzionari statunitensi e alleati sostengono che l’Iran abbia iniziato a disseminare l’imboccatura del Golfo di mine navali, utilizzando piccole unità, gommoni e sommozzatori, mentre le forze Usa colpiscono le navi sospettate di posarle. Secondo fonti di intelligence se ne conterebbero alcune decine, ma ciò basta a bloccare o rallentare un traffico da cui dipende circa un quinto del petrolio mondiale. In uno spazio così ristretto, persino un numero limitato di ordigni può cambiare il comportamento di intere flotte commerciali.

Un’arma semplice, un effetto globale

Le mine sono armi di una semplicità disarmante. Non richiedono grandi piattaforme né tecnologie di punta, ma possono paralizzare una rotta marittima cruciale e mettere sotto ricatto l’intero sistema energetico globale. Per Teheran sono il cuore di una guerra asimmetrica, in mare: costano poco, sono difficili da individuare, obbligano avversari molto più forti a operazioni lunghe, costose e rischiose.

Lo stretto di Hormuz è il luogo ideale per sfruttarne il potenziale. Lì transitano ogni giorno milioni di barili di greggio, in un corridoio marittimo largo poche decine di chilometri e intasato di petroliere, gasiere, navi portacontainer. Basta la voce di una minaccia, o la notizia di poche mine posate, per spingere armatori e assicurazioni a fermare le navi, alzare i premi, deviare le rotte quando possibile. In questo senso, per l’Iran, il valore delle mine è prima di tutto psicologico ed economico.

La famiglia di mine Maham

Gran parte del dibattito di queste settimane ruota attorno alla famiglia di mine Maham iraniane, documentata da fonti militari occidentali e da centri di studio sugli ordigni esplosivi.

Queste mine coprono l’intero spettro delle minacce subacquee: dai vecchi modelli galleggianti a contatto, fino ai dispositivi intelligenti dotati di sensori magnetici, acustici e di pressione. L’obiettivo è avere strumenti adatti sia alle acque basse costiere che ai fondali più profondi delle rotte principali.

La Maham 1 è una mina circolare di concezione anni Ottanta, progettata per galleggiare in acque poco profonde, con cinque “corna” d’urto che, se colpite, detonano fino a 120 chilogrammi di esplosivo. Di solito è ormeggiata a una catena o ancorata al fondale, a profondità minime, pronta a colpire lo scafo di una nave che passi nel raggio di pochi metri. Il principio è quello delle vecchie mine della Seconda guerra mondiale, aggiornato alle condizioni del Golfo Persico.

Le mine Maham 2 e 3 operano a profondità maggiori, tra i dieci e i cinquanta metri, e sono concepite per danneggiare sottomarini e navi di superficie di medio tonnellaggio. Possono contenere cariche molto più consistenti, attivate da sensori che identificano la firma acustica e magnetica di un bersaglio. In pratica, aspettano la nave “giusta” e si lasciano detonare nel punto in cui possono causare il massimo danno strutturale alla chiglia.

Nella gamma Maham compaiono anche mine pensate per difendere coste e isole dall’avvicinamento di mezzi da sbarco e unità veloci. Vengono collocate in acque molto basse, tramite piccole imbarcazioni o subacquei, a protezione di approdi, basi navali, strettoie costiere. Il loro scopo è respingere forze speciali o reparti anfibi avversari, rallentandone i movimenti e creando incertezza tattica.

Le mine a patella e i sommozzatori

L’Iran dispone anche di una famiglia di mine a contatto diretto con lo scafo, le cosiddette mine a patella, o limpet mines. Sono ordigni magnetici che un sommozzatore applica direttamente alla nave, spesso nella zona più vulnerabile, usando magneti o strumenti simili a sparachiodi subacquee.

Una volta fissate, possono essere programmate con un timer, che permette all’operatore di allontanarsi e lasciare che l’esplosione avvenga a distanza e in un momento scelto con cura.

Uno dei modelli indicati, la Maham 4, può essere applicato a varie parti della nave, a diverse profondità, con un ritardo di detonazione che va da pochi minuti a diverse ore. Un simile ordigno non è pensato tanto per costruire un campo minato fisso, quanto per colpire selettivamente un bersaglio, magari in un porto o in rada, sotto gli occhi di telecamere e satelliti, ma lontano dall’attenzione immediata di squadre antisabotaggio. È l’arma perfetta per operazioni che vogliono restare plausibilmente negabili.

Gli analisti occidentali sostengono che l’Iran abbia sviluppato anche mine antiuomo subacquee, concepite proprio per l’uso da parte di sommozzatori e forze speciali, in grado di aderire a navi civili o militari o a infrastrutture portuali. Anche qui il confine tra sabotaggio, terrorismo marittimo e guerra convenzionale diventa sfumato, soprattutto in uno scenario in cui droni, missili e mine vengono usati insieme per creare confusione e massimizzare l’effetto deterrente.

La fisica di un’esplosione subacquea

Le mine possono essere attivate per contatto diretto, oppure quando i loro sensori “sentono” il rumore di una nave, il segnale magnetico dello scafo o le variazioni del campo elettrico prodotte da un grande corpo metallico in movimento. Nella versione più rudimentale, sono sfere metalliche piene di esplosivo che scattano al semplice urto. Nei modelli più sofisticati, combinano più sensori per distinguere una vera nave da piccole imbarcazioni o disturbi casuali.

L’effetto letale non è solo l’esplosione in sé. Il vero danno nasce dalla dinamica dell’esplosione subacquea: la carica crea una bolla di gas in rapida espansione, che spinge via l’acqua e genera una brusca differenza di pressione. Quando la bolla collassa, si crea un vuoto relativo attorno allo scafo, che viene sollecitato da forze improvvise e può subire rotture catastrofiche, soprattutto nella zona centrale.

A questo si sommano le onde d’urto, che corrono nell’acqua e possono spezzare tubature, danneggiare apparati elettronici, ferire l’equipaggio.

Per una petroliera moderna, costruita con doppio scafo e compartimenti stagni, l’impatto può non essere immediatamente fatale, ma bastano danni al timone, alle eliche o a un serbatoio per rendere la nave ingovernabile o inutilizzabile per mesi.

Su scala sistemica, anche un singolo incidente documentato, con immagini di una nave ferita che brucia nel mezzo dello stretto, può essere sufficiente a fermare il traffico per giorni. È la forza del simbolo, oltre che del danno materiale.

Dalla “guerra delle petroliere” a oggi

L’idea di usare le mine come arma strategica nel Golfo Persico non è nuova. Negli anni Ottanta, durante la lunga guerra tra Iran e Iraq, la posa di mine contro navi commerciali e petroliere diede origine a quella che è passata alla storia come la guerra delle petroliere. All’epoca la Marina americana intervenne direttamente per scortare le navi nel Golfo, assumendosi il rischio di incappare in ordigni nascosti lungo le rotte.

In uno degli episodi più gravi, nell’aprile del 1988, la fregata USS Samuel B. Roberts colpì una mina iraniana Sadaf‑02, riportando danni gravissimi e spingendo Washington a lanciare l’operazione “Praying Mantis”, con cui furono colpite piattaforme e unità iraniane. Da allora, numerosi rapporti della Marina statunitense sottolineano come le mine siano state, dalla Seconda guerra mondiale in poi, tra le armi che hanno danneggiato il maggior numero di unità navali americane.

Secondo stime rese pubbliche da fonti occidentali, l’Iran avrebbe oggi diverse migliaia di mine navali, provenienti in parte da produzione domestica, in parte da forniture estere, soprattutto russe e cinesi. Anche se le cifre esatte restano coperte dal segreto, la combinazione di quantità, varietà di modelli e difficoltà di bonifica rende credibile la capacità iraniana di chiudere o comunque rendere troppo rischioso il passaggio nello stretto, almeno per periodi limitati.

Deterrenza, ricatto, sopravvivenza

Per Teheran, le mine sono un moltiplicatore di potenza. La Repubblica islamica sa di non poter competere sul piano convenzionale con la Marina statunitense e le flotte degli alleati regionali. Ma con un arsenale relativamente economico può minacciare un danno sproporzionato, non tanto alle flotte avversarie, quanto alle economie che dipendono dai flussi energetici del Golfo.

La logica è quella della deterrenza “per interposta economia”. Minacciare Hormuz significa mettere pressione su Arabia Saudita, Emirati, Kuwait, Iraq, Qatar e sugli importatori asiatici, da Cina a Giappone, da Corea del Sud all’India, che ricevono gran parte del loro greggio passando da lì. Significa alzare il prezzo del petrolio, complicare i calcoli delle capitali occidentali, creare fratture nel fronte anti‑iraniano.

C’è un elemento paradossale. Anche l’Iran esporta la maggior parte del proprio petrolio attraverso Hormuz, e un blocco totale colpirebbe anche le sue entrate. Per questo molti analisti ritengono più probabile l’uso calibrato delle mine come strumento di “strozzatura controllata”, capace di far salire i prezzi e mostrare forza, senza chiudere ermeticamente il passaggio. La minaccia, insomma, vale più dell’esecuzione piena.

Nei media e nei commenti arabi favorevoli a Teheran, questa strategia viene spesso presentata come un “asso nella manica” della resistenza, la prova che gli Stati Uniti non possono colpire impunemente senza mettere a rischio i flussi energetici da cui dipende anche l’Occidente. In ambienti più critici, invece, cresce il timore che l’uso delle mine spinga i Paesi del Golfo a cercare soluzioni alternative, potenziando oleodotti terrestri e riducendo nel medio periodo la centralità iraniana sullo stretto.

La risposta occidentale

Davanti alla prospettiva di uno stretto minato, gli Stati Uniti e i loro alleati non hanno molte opzioni. Una è quella, già visibile, di colpire le unità iraniane sospettate di posare mine, inclusi piccoli natanti e navi di supporto. L’obiettivo è ridurre la capacità di disseminare ordigni prima che il numero diventi ingestibile.

L’altra è entrare nello stretto con unità cacciamine e gruppi navali dedicati alle contromisure. Le vecchie navi in legno e fibra di vetro, progettate per ridurre la firma magnetica, operano con sonar ad alta risoluzione e veicoli subacquei a controllo remoto, in grado di individuare e neutralizzare una mina per volta. È un lavoro lento, quasi artigianale, che richiede pazienza e un livello di rischio costante.

In un ambiente ristretto, trafficato e politicamente esplosivo come Hormuz, ogni operazione di bonifica espone le unità militari anche ad altri pericoli: missili antinave, droni kamikaze, piccoli barchini esplosivi. Questo costringe la Marina Usa e le marine alleate a bilanciare la necessità di proteggere il traffico commerciale con quella di non esporre eccessivamente le proprie navi a un ventaglio di minacce sovrapposte.

Il calcolo politico del rischio

Sul piano politico, ogni mina reale o presunta nello stretto diventa un messaggio. Per Washington è la prova che Teheran sta alzando il livello dello scontro e mettendo a rischio la sicurezza energetica globale. Per l’Iran è un modo per rispondere a sanzioni, bombardamenti e pressioni internazionali con uno strumento che non richiede un confronto diretto e convenzionale.

I governi del Golfo temono soprattutto la prospettiva di una chiusura prolungata. Una parte delle navi preferisce attendere in rada o ridurre al minimo le soste nella regione, in attesa di chiarimenti sulla reale estensione dei campi minati. Le capitali arabe cercano di mediare, sostenendo la necessità di riaprire rapidamente i passaggi in condizioni di sicurezza, ma senza precipitare in una guerra totale in cui i loro terminal petroliferi diventerebbero bersagli prioritari.

Nel frattempo, i mercati reagiscono a ogni nuova notizia: la conferma di mine posate, l’annuncio di operazioni di bonifica, le dichiarazioni del presidente americano sulla possibilità di scorte navali. L’effetto immediato è un aumento della volatilità dei prezzi del greggio, che si traduce in costi più elevati per consumatori e industrie, ben oltre il perimetro del Medio Oriente.

Un mare stretto, un gioco lungo

Per ora, gli incidenti attribuibili a mine nello stretto restano pochi e non tutti verificati, mentre la maggior parte degli attacchi recenti a navi commerciali è stata condotta con droni e missili. Ma la sola prospettiva di ordigni invisibili sotto la superficie basta a ridisegnare le rotte e a spingere gli Stati a ripensare la propria dipendenza da un collo di bottiglia geografico.

Per Teheran, mantenere ambiguità sulla reale estensione dei campi minati è parte integrante del gioco. Dichiarare apertamente una chiusura totale di Hormuz sarebbe un atto di guerra difficilmente reversibile. Lasciare invece che siano i timori di armatori e assicuratori a “chiudere” di fatto il passaggio consente di massimizzare il vantaggio con un grado più basso di esposizione diretta.

Come in ogni gioco di deterrenza, però, l’errore è sempre in agguato. Un ordigno difettoso, una nave che devia di pochi metri dalla rotta, un’esplosione imprevista possono trascinare i protagonisti oltre la soglia che dicono di voler evitare. E lo stretto di Hormuz è uno dei pochi luoghi del pianeta in cui una singola esplosione sott’acqua può far vibrare l’economia globale, dalla Borsa di New York alle pompe di benzina di Jakarta.

Molto prima che i droni iraniani si abbattessero su aeroporti, grattacieli e ambasciate nel Golfo Persico, l’esercito degli Stati Uniti stava lavorando a un progetto che pochi avrebbero immaginato: i droni Lucas. Non si trattava di sviluppare un’arma più avanzata, più precisa o più costosa. Si trattava di copiare il nemico.

Nel 2021, il dipartimento di ricerca e sviluppo dell’esercito americano aveva già messo le mani sullo Shahed-136, il drone kamikaze iraniano che Teheran aveva distribuito generosamente a Russia, Venezuela ed Hezbollah.

L’obiettivo iniziale era semplice: riprodurlo come bersaglio per esercitazioni, in modo da sviluppare nuove difese contro un’arma sempre più diffusa. Poi qualcuno ha avuto un’idea diversa. Se quel drone era così economico e così efficace, perché non replicarlo e usarlo contro chi lo aveva inventato?

Così è nato il LUCAS, acronimo di Low-cost Unmanned Combat Attack System. Un drone d’attacco unidirezionale costruito dalla SpektreWorks, una piccola startup dell’Arizona, che ha preso il design dello Shahed, lo ha smontato pezzo per pezzo e lo ha ricostruito con componenti americani. Il 28 febbraio 2026, nell’ambito della cosiddetta Operation Epic Fury, il LUCAS è stato impiegato per la prima volta in combattimento contro obiettivi iraniani. Una data destinata a entrare nei manuali di storia militare.

Droni Lucas. La vendetta americana a forma di delta

Il Comando Centrale degli Stati Uniti (CENTCOM) ha confermato che la Task Force Scorpion Strike ha lanciato i droni LUCAS contro infrastrutture militari iraniane, inclusi centri di comando e controllo del Corpo delle Guardie della Rivoluzione Islamica, sistemi di difesa aerea, siti di lancio di missili e droni, e aeroporti militari. Il messaggio di accompagnamento, diffuso sui social media, non lasciava spazio a dubbi: “Questi droni a basso costo, modellati sugli Shahed iraniani, stanno ora sferrando una vendetta di stampo americano“.

Il tempismo dello sviluppo è stato impressionante. Soli sette mesi prima, nel luglio 2025, il segretario alla Difesa Pete Hegseth aveva mostrato fisicamente il drone in una conferenza stampa al Pentagono, presentandolo come la risposta americana allo Shahed-136. Otto mesi dopo la sua presentazione ufficiale, il LUCAS era già in azione su un teatro di guerra reale. In un settore, quello degli appalti militari, dove i programmi di armamento richiedono normalmente anni o decenni, la velocità è stata essa stessa un’arma.

Lauren Kahn, ex consigliera del Pentagono e ora analista senior presso il Center for Security and Emerging Technology della Georgetown University, ha definito il LUCAS un caso senza precedenti dai tempi della Guerra Fredda. “Per la prima volta in molto tempo, gli Stati Uniti hanno visto una capacità sviluppata da un avversario, hanno riconosciuto che colmava una lacuna nelle proprie forze armate e hanno deciso di riprodurla“.

Anatomia dei droni Lucas da 35.000 dollari

Per comprendere la portata di questa rivoluzione, bisogna partire dai numeri. Lo Shahed-136 è un velivolo a perdere con un design ad ala delta, lungo 3,5 metri, con un’apertura alare di 2,5 metri e un peso complessivo di circa 200 chilogrammi. Il suo motore è un MADO MD-550, copia iraniana del tedesco Limbach L550E, un propulsore a pistoni da 50 cavalli originariamente concepito per aerei ultraleggeri. Può volare a una velocità massima di 185 km/h e raggiungere bersagli a distanze comprese tra 1.000 e 2.500 chilometri, a quote che variano dai 60 ai 4.000 metri.

La testata esplosiva, posizionata nel muso del drone, pesa tra i 30 e i 50 chilogrammi e detona all’impatto. Il sistema di navigazione si basa su un’unità inerziale combinata con un GPS commerciale. Nessuna sofisticazione. Nessuna tecnologia all’avanguardia. Solo un oggetto abbastanza piccolo da sfuggire ai radar, abbastanza economico da essere lanciato in massa e abbastanza letale da costringere il nemico a spendere milioni per fermarlo.

Il LUCAS americano condivide le stesse dimensioni e la stessa filosofia di fondo, ma incorpora aggiornamenti significativi. Il suo raggio d’azione stimato è di circa 500 miglia, oltre 700 chilometri, e la sua testata ha una capacità esplosiva di circa 18 chilogrammi, pari a circa il doppio di un missile Hellfire. Può essere lanciato tramite catapulte, razzi ausiliari o sistemi mobili terrestri. Il costo unitario si aggira intorno ai 35.000 dollari, una cifra che assume un significato completamente diverso se confrontata con i 2,5 milioni di un Tomahawk o i 400.000 dollari di uno Switchblade 600 di AeroVironment.

Starshield: quando i satelliti di Musk guidano le bombe

Uno degli aspetti più controversi del LUCAS riguarda il suo sistema di navigazione. Secondo analisti della difesa e blogger militari russi, il drone utilizza Starshield, la versione militare di Starlink sviluppata da SpaceX per conto del governo degli Stati Uniti. Un terminale compatibile con il sistema è stato identificato nelle immagini del drone diffuse dal CENTCOM, scatenando una reazione immediata da parte di Mosca.

I commentatori militari russi hanno espresso preoccupazione per il fatto che i terminali Starshield consentano ai droni di ricevere e trasmettere dati in tempo reale attraverso la vasta rete di satelliti in orbita bassa terrestre di SpaceX, rendendo gli aeromobili praticamente impossibili da disturbare con le contromisure elettroniche convenzionali. La comunicazione satellitare permette aggiornamenti di rotta in volo e istruzioni operative fino al momento dell’impatto.

Elon Musk è intervenuto pubblicamente in meno di un’ora dalla diffusione delle analisi russe, specificando che Starshield è gestito e controllato dal governo degli Stati Uniti, non da SpaceX. La distinzione è cruciale: separa la responsabilità commerciale dell’azienda dalle operazioni militari americane. Ma il messaggio strategico resta inequivocabile. La tecnologia della Silicon Valley sta alimentando direttamente le armi del Pentagono.

Il caos seminato dagli Shahed nel Golfo

Mentre gli americani schieravano il loro clone, gli originali iraniani stavano producendo alcune delle immagini più inquietanti dell’intero conflitto. Nella settimana successiva all’inizio delle ostilità, l’Iran ha lanciato ondate massicce di droni Shahed contro i paesi del Golfo Persico.

Secondo il Ministero della Difesa degli Emirati Arabi Uniti, 541 droni carichi di esplosivo sono stati lanciati contro il territorio emiratino. Di questi, 506 sono stati intercettati. I 35 che hanno raggiunto il bersaglio hanno colpito diverse località, tra cui il Fairmont Hotel sulla Palm Jumeirah e l’aeroporto internazionale di Dubai. I detriti delle intercettazioni e le esplosioni dirette hanno causato la morte di tre persone e il ferimento di altre 58. Un’altra stima ha contato 689 droni diretti verso gli Emirati, con 645 abbattuti dalle difese.

Video diffusi online mostrano uno Shahed che si schianta contro un grattacielo in Bahrein, il Fairmont the Palm avvolto dal fumo e un impianto radar della Quinta Flotta americana che crolla sotto un’esplosione. I droni hanno colpito anche l’ambasciata statunitense a Riyadh, in Arabia Saudita, e i data center di Amazon negli Emirati, sebbene non sia stato immediatamente confermato che tutti gli attacchi fossero opera di Shahed. I voli cancellati nella regione hanno superato quota 11.000. Sei militari americani sono stati uccisi in un attacco a un centro tattico in Kuwait.

“Sono progettati per scatenare il caos“, ha affermato Anna Miskelley, analista della difesa presso Forecast International. “Anche i video delle esplosioni hanno un enorme riscontro mediatico“. Farzin Nadimi, ricercatore senior presso il Washington Institute, ha aggiunto che la capacità di seminare terrore tra le popolazioni e destabilizzare le economie è un elemento fondamentale della strategia iraniana. All’interno dell’Iran, gli attacchi servono come propaganda per mostrare al pubblico domestico “storie di successo”.

Migliaia di droni nascosti sotto le montagne

A rendere ancora più inquietante la situazione, l’Iran ha diffuso attraverso la Fars News Agency un video che mostra l’interno di un complesso sotterraneo pieno di droni. Le immagini rivelano file ordinate di centinaia, forse migliaia, di velivoli ad ala triangolare, molto simili allo Shahed-136, allineati lungo un corridoio che si estende in un tunnel illuminato. Alcuni droni sono montati su rampe di lancio mobili. Le pareti del tunnel sono decorate con bandiere iraniane e grandi ritratti dell’Ayatollah Ali Khamenei.

Esperti occidentali ritengono che l’Iran disponga di scorte sufficienti per continuare a lanciare sciami di centinaia di droni al giorno per almeno diverse settimane. I droni sono facili e veloci da lanciare, richiedendo spesso solo un container montato su un camion. La conservazione in strutture sotterranee protette migliora la sopravvivenza delle scorte contro attacchi preventivi, consentendo a Teheran di mantenere la capacità operativa anche sotto bombardamento.

L’equazione impossibile della difesa

Il vero colpo di genio dello Shahed non è nella tecnologia. È nell’economia. Abbattere un drone da 35.000 dollari con un missile intercettore può costare fino a 3 milioni di dollari a colpo. Un sistema Patriot PAC-3 vale circa 4 milioni per ogni intercettore. Questo significa che anche quando le difese funzionano perfettamente, il rapporto costi gioca per l’attaccante.

Un’analisi del Center for Strategic and International Studies (CSIS) ha calcolato che la Russia spende circa 350.000 dollari per ogni bersaglio effettivamente colpito con droni di tipo Shahed. La cifra può sembrare alta, ma il dato chiave è che meno del 10% dei droni raggiunge l’obiettivo. Il restante 90% viene abbattuto o deviato. Eppure il sistema funziona, perché i droni sono talmente economici da poter essere lanciati in salve giornaliere massicce, logorando progressivamente le difese antiaeree del nemico e terrorizzando la popolazione.

Come ha sintetizzato Anna Miskelley: “È abbastanza piccolo da nascondersi ai radar. Abbastanza economico da poter essere lanciato in massa. E abbastanza letale da costringerci a usare tecnologie molto più costose per fermarlo“.

Cameron Chell, CEO della società di droni Draganfly, ha usato un paragone storico: “Come i Viet Cong durante la guerra del Vietnam, gli iraniani hanno una capacità asimmetrica che può prolungare il conflitto e creare pressione politica. Anche cento droni nelle mani di un’unità decentralizzata possono seminare il terrore in uno stato vicino come mai immaginato prima“.

Lezioni da Kiev: l’Ucraina come laboratorio globale

Se il Golfo Persico è il teatro della crisi attuale, l’Ucraina è il laboratorio dove le contromisure contro i droni Shahed sono state testate, perfezionate e industrializzate nel corso di tre anni di guerra ininterrotta. Dall’inizio del conflitto con la Russia, le forze ucraine hanno tracciato e intercettato circa 57.000 droni di tipo Shahed.

Il comandante in capo delle forze armate ucraine, Oleksandr Syrskyi, ha dichiarato che nel febbraio 2026 i droni intercettori hanno assunto un ruolo centrale nella difesa aerea. Nella sola area di Kiev, questi sistemi sono responsabili di oltre il 70% degli abbattimenti di Shahed. Il dato è significativo perché dimostra che la risposta più efficace a un drone economico non è un missile da milioni di dollari, ma un altro drone ancora più economico.

Il fiore all’occhiello della produzione ucraina è il drone intercettore Octopus, sviluppato internamente dalle forze armate e dotato di un sistema di controllo basato sull’intelligenza artificiale. Può operare di notte, a basse quote e in condizioni di disturbo elettronico, ovvero esattamente nelle circostanze in cui la Russia lancia abitualmente i suoi attacchi.

Il suo costo si aggira intorno ai 3.000 dollari per unità. La produzione in serie è iniziata nel novembre 2025, con la tecnologia trasferita inizialmente a tre produttori e altri undici in fase di allestimento delle linee. Grazie a un accordo di licenza firmato nel novembre 2025 tra i Ministeri della Difesa ucraino e britannico, l’Octopus viene ora fabbricato anche nel Regno Unito in grandi volumi.

Un altro sistema degno di nota è lo Sting di Wild Hornets, che costa appena 2.500 dollari e che secondo il produttore è in grado di abbattere oltre 100 Shahed in una sola notte. Le forze ucraine lo hanno utilizzato con successo anche contro il Geran-3, la variante a propulsione jet dello Shahed sviluppata dalla Russia.

A completare l’arsenale difensivo, il sistema laser Tryzub, capace di colpire bersagli aerei a quote superiori ai 2 chilometri, e oltre 140 aziende ucraine specializzate in sistemi di guerra elettronica, tra cui il Bukovel-AD, che può rilevare droni a 100 km e disturbarne i segnali entro 20 km.

Kiev offre la sua esperienza al Golfo

L’esperienza ucraina non è rimasta confinata al fronte orientale. Il presidente Volodymyr Zelensky ha dichiarato pubblicamente di aver ricevuto richieste di assistenza da diversi paesi del Golfo colpiti dagli Shahed. “Abbiamo ricevuto segnali dai partner in Medio Oriente. Ci sono stati attacchi con Shahed iraniani contro i civili in quei paesi. Cercano la nostra esperienza“, ha scritto su X. “Siamo aperti. Se i loro rappresentanti verranno, forniremo l’expertise“.

Zelensky ha parlato direttamente con i leader di Emirati Arabi Uniti, Qatar, Bahrein, Giordania e Kuwait sulla possibilità di cooperazione. Ha anche collegato la proposta a uno scambio strategico: l’Ucraina fornirebbe droni intercettori e competenze anti-drone, e in cambio riceverebbe missili intercettori di fascia alta, come i PAC-2 e PAC-3 del sistema Patriot, di cui Kiev ha disperatamente bisogno per difendersi dai missili balistici russi.

Il primo ministro britannico Keir Starmer ha confermato che il Regno Unito coinvolgerà esperti ucraini per aiutare gli stati del Golfo Persico a intercettare i droni d’attacco iraniani. Come ha sintetizzato Zelensky: “L’esperienza dell’Ucraina nel contrastare i droni Shahed è attualmente la più avanzata al mondo. È chiaro il motivo per cui così tante richieste sono dirette a noi“.

La pipeline russo-iraniana dei droni

La storia dello Shahed non sarebbe completa senza il capitolo russo. Dopo l’invasione su larga scala dell’Ucraina nel 2022, Mosca ha iniziato ad acquistare droni Shahed-136 dall’Iran. Nel 2023, i due paesi hanno firmato un accordo del valore di 1,75 miliardi di dollari, parzialmente pagato in lingotti d’oro, per la costruzione di una fabbrica di droni in territorio russo.

Lo stabilimento si trova nella zona economica speciale di Alabuga, nella regione del Tatarstan, a circa 600 miglia a est di Mosca. L’obiettivo iniziale era di produrre 6.000 droni kamikaze all’anno. Ma secondo fonti di intelligence occidentali, circa il 90% della produzione di Shahed-136 avviene ora in strutture russe, non iraniane. La Russia ha designato il drone come Geran-2 e ha sviluppato anche una variante a propulsione jet chiamata Geran-3.

Bryan Clark, ricercatore senior presso l’Hudson Institute, ha spiegato che la Russia ha apportato una serie di modifiche significative al design originale: sensori migliorati, navigazione automatizzata e capacità di puntamento più avanzate. Queste innovazioni sono state poi trasferite all’Iran, in un ciclo di feedback tecnologico che ha migliorato l’arma di entrambe le parti.

Tuttavia, secondo la stessa fonte di intelligence occidentale, l’espansione produttiva russa ha di fatto marginalizzato l’Iran. Teheran si è trovata progressivamente esclusa dal controllo del prodotto finale, che ora viene fabbricato in modo largamente indipendente. L’obiettivo di Mosca è quello di padroneggiare completamente il ciclo produttivo, eliminando la necessità di futuri negoziati con Teheran.

La domanda ora è se la Russia ricambierà il favore e invierà droni aggiornati all’Iran, le cui strutture produttive sono state danneggiate dai bombardamenti americani e israeliani. David Albright, ex ispettore degli armamenti e presidente dell’Institute for Science and International Security, ritiene che sia uno scenario plausibile: “Alcuni degli impianti di produzione di droni iraniani sono stati bombardati, e hanno consumato un numero significativo di droni. Per ricostruire le scorte, potrebbero percorrere questa strada“.

Il Pentagono punta sulla dominanza dei droni

Il LUCAS non è un esperimento isolato. Si inserisce in una strategia più ampia del Pentagono per trasformare radicalmente il modo in cui gli Stati Uniti combattono. Il cosiddetto Drone Dominance Program, incluso nel disegno di legge fiscale del presidente Trump, prevede 1 miliardo di dollari per la produzione di circa 340.000 piccoli droni nel corso dei prossimi due anni. L’obiettivo è garantire alle forze armate americane l’accesso a sistemi autonomi a basso costo per missioni di attacco unidirezionale, con consegne accelerate a partire dal luglio 2026.

Prima ancora, l’iniziativa Replicator, lanciata nel 2023 dall’allora vicesegretaria alla Difesa Kathleen Hicks, aveva già stanziato 1 miliardo di dollari su due anni fiscali per accelerare la produzione di migliaia di droni autonomi. Il programma era nato inizialmente per contrastare la crescente potenza militare cinese, ma le lezioni apprese dall’Ucraina e dal Golfo hanno ampliato enormemente il suo campo d’applicazione.

L’esercito americano ha firmato contratti con aziende private di tecnologia militare di ultima generazione. Anduril ha ottenuto un contratto da 250 milioni di dollari per 500 intercettori Roadrunner e sistemi di guerra elettronica portatili Pulsar. Skydio ha ricevuto contratti multimilionari dall’aeronautica per droni autonomi X10D destinati a unità operative critiche. L’esercito americano ha annunciato l’intenzione di acquisire un milione di droni nell’ambito di una massiccia modernizzazione.

Michael C. Horowitz, che ha lavorato al programma LUCAS durante l’amministrazione Biden e ora dirige il Perry World House presso l’Università della Pennsylvania, ha tracciato la traiettoria futura: “È facile capire come i continui progressi nell’intelligenza artificiale, se si dimostreranno affidabili, rappresenteranno un’opzione molto interessante per rendere questi sistemi ancora più efficaci“. Alcuni piani prevedono che i piloti di caccia volino insieme al proprio squadrone personale di droni, creando formazioni miste uomo-macchina capaci di saturare le difese nemiche.

Il primo attacco Shahed: la “Pearl Harbor energetica” del 2019

L’idea che i droni economici potessero cambiare la guerra non è nata nel 2022 con l’Ucraina, né nel 2026 con il Golfo. Il primo campanello d’allarme è suonato il 14 settembre 2019, quando un attacco coordinato con droni e missili da crociera ha colpito gli impianti petroliferi di Abqaiq e Khurais in Arabia Saudita, gestiti da Saudi Aramco.

Abqaiq ospitava il più grande impianto di stabilizzazione del greggio al mondo, con una capacità del 7% della produzione petrolifera globale. L’attacco ha dimezzato la produzione saudita di petrolio, eliminando circa 5 milioni di barili al giorno, pari al 5% dell’offerta mondiale. I ribelli Houthi dello Yemen hanno rivendicato l’operazione, ma gli Stati Uniti e l’Arabia Saudita hanno attribuito la responsabilità all’Iran. I droni avevano seguito rotte tortuose attraverso Kuwait e Iraq per mascherare la loro origine.

Ricercatori americani hanno definito quell’attacco una “Pearl Harbor energetica”. Nonostante miliardi di dollari investiti in caccia F-15 e batterie missilistiche Patriot, l’Arabia Saudita non era riuscita a intercettare nessuno dei droni prima dell’impatto. Il software dei radar, programmato per filtrare oggetti lenti e a bassa quota, li aveva scambiati per uccelli o piccoli velivoli civili.

Quell’episodio avrebbe dovuto spingere il mondo a ripensare radicalmente il ruolo dei droni nella guerra moderna. Non è successo. L’attenzione si è concentrata sull’aspetto politico, sulla responsabilità iraniana e sulle dinamiche della guerra in Yemen. Ci sono voluti altri tre anni e decine di migliaia di droni sui cieli ucraini perché il messaggio diventasse impossibile da ignorare.

Il futuro del combattimento è economico e autonomo

I droni kamikaze a basso costo non sostituiranno i missili da crociera, i caccia di quinta generazione o le portaerei. Ma stanno aggiungendo una dimensione completamente nuova al conflitto moderno. Bombardamenti che un tempo richiedevano salve di costosi missili possono ora essere effettuati con pochissimi soldi. Luoghi che sembravano isolati dal conflitto, come le sfarzose città del Golfo Persico, sono diventati raggiungibili e vulnerabili.

La proliferazione è rapida e inarrestabile. Qualsiasi paese o gruppo militante con risorse modeste può oggi condurre attacchi a lungo raggio con droni. Il LUCAS, con la sua configurazione modulare e il software aggiornabile, rappresenta la risposta americana a questa nuova realtà: un’arma che può evolvere insieme alla tecnologia, incorporando intelligenza artificiale, navigazione satellitare e capacità di sciame.

La guerra dell’Iran ha dimostrato che nel XXI secolo non vince necessariamente chi possiede l’arma più sofisticata. Vince chi sa produrre di più, più velocemente e a costo minore per unità. E chi sa copiare il nemico. Dall’Ucraina al Golfo Persico, passando per le fabbriche di Alabuga e i laboratori dell’Arizona, questa è la nuova corsa agli armamenti del nostro tempo. Non si misura in megatoni, ma in costo per unità. Non si combatte a 30.000 piedi, ma a pochi metri dal suolo, con il ronzio sordo di un motore da tosaerba.

Scheda tecnica del drone LUCAS

Nel silenzio dei data center governativi, tra il 2024 e il 2025, qualcuno è entrato nelle reti del Viminale senza farsi notare. Non ha puntato ai siti vetrina, agli obiettivi simbolici, ma alla parte più sensibile dell’infrastruttura digitale del Ministero dell’Interno. Da lì, secondo le ricostruzioni giornalistiche e investigative, ha prelevato la lista di circa 5.000 agenti della Digos, il braccio investigativo chiamato a occuparsi di terrorismo, estremismo politico e dissidenti stranieri.

Si tratta di nomi, incarichi, sedi operative, dettagli di servizio che compongono la mappa interna di una parte della sicurezza italiana. Un patrimonio informativo che, una volta uscito dal perimetro protetto dell’amministrazione, diventa vulnerabilità. Secondo più testate italiane e internazionali, dietro l’operazione ci sarebbero gruppi di hacker riconducibili all’orbita della Repubblica Popolare Cinese.

In questa storia, la cybersicurezza dello Stato non è un tema astratto, ma il punto in cui si incontrano geopolitica, intelligence e la vita concreta di migliaia di funzionari in carne e ossa.

La sottrazione dei dati e il ruolo della Digos

Il colpo, per come viene descritto, è chirurgico. Attraverso un’intrusione nella rete del Ministero dell’Interno, gli aggressori riescono a scaricare file riservati che contengono i profili di circa 5.000 agenti della Digos. Nell’elenco compaiono in particolare gli operatori impegnati nel monitoraggio del terrorismo e soprattutto nel tracciamento dei dissidenti cinesi presenti in Italia.

Questo dettaglio è cruciale. Se confermato, significa che chi ha eseguito l’operazione non si è limitato a dimostrare di poter violare un’infrastruttura, ma ha mirato a un segmento ben preciso dell’apparato di sicurezza italiano: chi guarda dentro le comunità cinesi, chi indaga sulle reti economiche e criminali legate a Pechino, chi raccoglie testimonianze di lavoratori sfruttati o imprenditori sotto pressione.

Le ricostruzioni parlano di una finestra temporale ampia, con attività malevole distribuite tra il 2024 e il 2025, in un periodo in cui l’Italia e la Cina discutevano di cooperazione su droga, cybercrime e criminalità organizzata. È in quella fase che, secondo le fonti mediatiche, sarebbero transitati nei server del Viminale i flussi di dati poi intercettati dagli intrusi.

Le fonti dell’attribuzione a Pechino

L’attribuzione alla Cina non deriva da un comunicato tecnico dettagliato pubblicato da un’agenzia nazionale di cybersicurezza, ma da un insieme di elementi raccolti da giornali e fonti investigative. La Repubblica, che ha per prima raccontato la vicenda, viene ripresa da altri media italiani che parlano esplicitamente di “hacker cinesi”.

In parallelo, siti di analisi in lingua inglese ricostruiscono la storia: un attacco che espone i dati di 5.000 ufficiali italiani impegnati nell’antiterrorismo e nella sorveglianza dei dissidenti cinesi. Il quadro viene ulteriormente rilanciato da aggregatori internazionali, che riferiscono di pirati informatici ritenuti vicini alla Cina con accesso a dati sensibili di investigatori italiani.

Nel linguaggio della sicurezza informatica, la Cina è da anni associata a gruppi di minaccia avanzata, le cosiddette APT, che combinano capacità tecniche e mandato politico. L’episodio italiano, se inserito in questa cornice, si colloca in un pattern di operazioni mirate a obiettivi governativi, infrastrutture critiche e centri di ricerca, in Europa e negli Stati Uniti.

Qui sta uno dei nodi sensibili del racconto: il termine apparato di intelligence emerge di continuo nelle analisi, ma finora senza un dossier pubblico che esponga indicatori di compromissione, log, vettori di attacco. Ciò rende l’attribuzione forte sul piano politico, ma ancora opaca sul piano tecnico per l’opinione pubblica.

Diplomazia, cooperazione e brusca frenata

L’attacco informatico non esplode in un vuoto diplomatico. Secondo diverse ricostruzioni, nel 2024 il ministro dell’Interno Matteo Piantedosi si era recato a Pechino per incontrare il suo omologo Wang Xiaohong, avviando un piano triennale di cooperazione su droga, cybercrime, tratta di esseri umani e criminalità organizzata. Sul tavolo c’erano anche le richieste italiane di supporto nelle indagini su reti criminali cinesi attive in Toscana e in altre regioni, tra sfruttamento lavorativo, estorsioni e violenze.

Nello stesso periodo, i magistrati italiani lanciavano appelli pubblici che hanno portato centinaia di lavoratori sfruttati e imprenditori cinesi sotto minaccia a collaborare con le autorità. In parallelo, Roma e Pechino avviavano pattugliamenti congiunti nelle aree a forte presenza cinese e progetti di formazione per agenti cinesi sul territorio italiano.

Sarebbe proprio a ridosso di questa fase che, secondo le ricostruzioni giornalistiche, l’Italia avrebbe chiesto spiegazioni a Pechino per l’intrusione informatica nei sistemi del Viminale, senza ottenere risposte soddisfacenti. Da lì, l’inaridimento del dialogo, la sospensione delle pattuglie congiunte e la decisione di congelare parte della cooperazione.

Per Roma, l’idea che un partner in materia di sicurezza possa nel frattempo sondare le sue reti interne e mappare chi indaga sulle sue comunità rappresenta una frattura profonda. Per Pechino, le accuse di cyber‑spionaggio sono ormai quasi sistemiche: la risposta standard, in casi analoghi, è la smentita e l’accusa di “politicizzazione” del tema.

In questo intreccio, la diplomazia della sicurezza diventa un esercizio di equilibrio tra necessità operative e sospetto reciproco.

I rischi concreti per gli agenti e per le indagini

Al centro della vicenda ci sono gli agenti, non i server. I dati sottratti non riguardano semplici account di posta o credenziali tecniche, ma l’identità e il ruolo operativo di funzionari che vivono sotto vincoli di riservatezza e, spesso, di esposizione personale. L’elenco delle persone coinvolte equivale a una mappa di chi, nello Stato, è incaricato di osservare e intervenire su fronti sensibili.

Se qualcuno conosce il nome di un investigatore, il suo incarico e la sua sede, può incrociare questi elementi con informazioni raccolte su strada, intercettazioni, fonti aperte. Può cercare di identificarne i contatti, ricostruire la rete di relazioni, capire chi incontra, chi interroga, quali ambienti frequenta. In casi estremi, può valutare se esercitare pressioni su persone a lui vicine, anche solo in forma di intimidazione indiretta.

Per gli investigatori impegnati sul fronte dei dissidenti cinesi, il rischio è duplice. Da un lato, l’esposizione personale nei confronti di apparati di sicurezza stranieri che potrebbero seguirne i movimenti anche fuori dall’Italia. Dall’altro, la possibilità che chi ha parlato con loro, confidando nella discrezione dello Stato italiano, si senta improvvisamente smascherato e vulnerabile.

Si tratta di un effetto che va oltre la singola operazione informatica. Se la percezione di sicurezza delle fonti viene meno, l’intero circuito di raccolta di informazioni su reti criminali e politiche legate alla Cina può indebolirsi, rallentare, chiudersi.

In questo senso, l’esposizione dei dati non è solo un danno alla privacy degli agenti, ma un potenziale colpo alla capacità investigativa italiana su uno dei dossier più delicati dell’agenda interna.

Una falla che si inserisce in un pattern

L’attacco al Viminale non è un episodio isolato nel panorama italiano. Negli ultimi anni, diverse inchieste hanno documentato intrusioni in istituzioni pubbliche, fughe di dati di massa e campagne di spionaggio prolungate. In un caso recente, è emerso un maxi data breach con informazioni su centinaia di migliaia di persone, compresi vertici istituzionali, finiti in mani private.

Sul versante specificamente legato alla Cina, analisi tecniche e procedimenti giudiziari internazionali hanno più volte collegato individui e aziende cinesi a operazioni di cyber‑spionaggio su larga scala. In Italia, un cittadino cinese è stato arrestato in esecuzione di un mandato statunitense, accusato di aver collaborato con gruppi APT vicini agli apparati di sicurezza di Pechino in campagne contro agenzie governative e università americane.

In questo contesto, l’episodio dei 5.000 agenti Digos appare come un tassello ulteriore di una partita che si gioca su più livelli: vulnerabilità infrastrutturali, presenza di fornitori esterni, complessità delle catene di manutenzione, ritardi nell’adozione di standard di sicurezza aggiornati. Una partita in cui gli attaccanti sembrano spesso avere un vantaggio di tempo, risorse e libertà d’azione rispetto alle difese.

Il termine “cyber‑resilienza” è ormai onnipresente nei documenti ufficiali, ma casi come questo mostrano quanto sia difficile tradurre concetti e linee guida in pratiche quotidiane robuste, soprattutto all’interno di amministrazioni ampie e stratificate.

La fragilità strutturale delle reti pubbliche, quando tocca direttamente gli apparati di sicurezza, diventa anche fragilità politica.

Il fronte politico interno e le domande senza risposta

La rivelazione del furto dei dati Digos ha immediatamente aperto un fronte politico interno. Le opposizioni hanno chiesto chiarimenti al ministro dell’Interno e al governo nel suo complesso, domandando come sia stato possibile un attacco a quel livello e quali misure siano state adottate per proteggere gli agenti coinvolti. Diverse interrogazioni parlamentari, riportate dai media, puntano su due aspetti: la trasparenza verso l’opinione pubblica e la concretezza delle contromisure.

L’esecutivo si muove in un equilibrio delicato. Da un lato, la necessità di rassicurare i cittadini, le forze di polizia e i partner internazionali sulla tenuta dei sistemi di sicurezza. Dall’altro, il timore che una comunicazione troppo dettagliata possa esporre ulteriormente le falle, offrendo informazioni preziose a chi volesse replicare l’attacco.

Nel frattempo, la narrazione pubblica resta affidata in larga parte alle inchieste giornalistiche e alle analisi di think tank e media specializzati. Alcuni di questi sottolineano l’asimmetria tra la portata dell’episodio e la relativa scarsità di spiegazioni tecniche diffuse dalle istituzioni. Altri insistono sul rischio che la vicenda sia assorbita nel flusso della cronaca senza diventare davvero un punto di svolta nelle politiche di cybersicurezza.

Resta aperta una domanda di fondo: quanto a lungo un Paese può convivere con una superficie d’attacco così ampia senza ripensare radicalmente i propri sistemi, le proprie priorità e il modo di concepire la sicurezza, digitale e umana. È una domanda che non riguarda solo l’Italia, ma che in questo caso passa, in modo molto concreto, per la vita e il lavoro di 5.000 persone, e per la credibilità complessiva delle istituzioni chiamate a proteggerle.

Più di 300 estensioni Chrome usate per spiare gli utenti. È l’immagine che emerge da una nuova indagine di sicurezza: add‑on apparentemente innocui, spesso presentati come strumenti di produttività o assistenti AI, hanno raccolto e in alcuni casi rubato dati sensibili di decine di milioni di persone in tutto il mondo. Dietro l’interfaccia rassicurante del Web Store, si è consolidato un ecosistema opaco di broker di dati, operatori pubblicitari aggressivi e attori sospettati di attività di sorveglianza, che sfruttano le estensioni come cavallo di Troia nel browser.

Un ecosistema di 300 estensioni e 37 milioni di utenti

Secondo l’analisi condotta dal ricercatore indipendente noto come Q Continuum, oltre 300 estensioni per Chrome presentano comportamenti di tracciamento invasivo o chiaramente malevoli, con più di 37 milioni di installazioni complessive. Nel cuore del problema ci sono 287 estensioni che inviano in modo sistematico la cronologia di navigazione e le pagine dei risultati dei motori di ricerca a server esterni. Per almeno 153 di queste, la trasmissione dei dati inizia immediatamente dopo l’installazione, senza alcuna interazione aggiuntiva da parte dell’utente.

Il meccanismo è sempre lo stesso: la funzione promessa è reale o quantomeno plausibile, ma in parallelo l’estensione raccoglie ogni URL visitato, ogni ricerca effettuata, talvolta ogni clic tracciabile, e lo inoltra verso infrastrutture che non hanno alcuna trasparenza pubblica. In alcuni casi il traffico non è neppure adeguatamente protetto, lasciando i dati esposti a intercettazioni di terzi lungo il percorso di rete. Dietro questa rete di componenti si intravedono almeno 32 entità diverse, alcune già note per aver distribuito spyware tramite estensioni di browser in passato.

L’ipotesi, avanzata dagli stessi ricercatori, è che un broker di dati agisca come snodo centrale, acquistando o raccogliendo le informazioni provenienti da estensioni sviluppate da soggetti differenti e monetizzandole sul mercato pubblicitario o per usi più difficili da tracciare. È un mosaico complesso, in cui la promessa di piccoli vantaggi per l’utente nasconde un’economia sommersa fondata sull’estrazione sistematica di informazioni.

Il confine poroso tra tracking e furto di dati

La maggior parte delle estensioni individuate si colloca in una zona grigia: i dati raccolti vengono presentati come funzionali alla personalizzazione o all’analisi, ma di fatto costituiscono un tracciamento capillare dell’attività online dell’utente. La cronologia di navigazione, combinata con le query sui motori di ricerca, permette di ricostruire profili dettagliati: interessi politici, stato di salute, situazione finanziaria, abitudini di consumo. Nelle mani sbagliate, questo flusso diventa materiale per campagne di phishing mirato, ricatti, deanonimizzazione di utenti che credono di navigare in modo privato.

Alcune estensioni, però, vanno oltre il tracciamento e mostrano un comportamento che assomiglia più a un furto diretto di contenuti. In una trentina di casi il codice non si limita a registrare gli URL, ma estrae il contenuto delle pagine visitate, comprese schermate di login e aree protette. Il browser, in quanto intermediario fidato, diventa così il punto da cui prelevare testi, credenziali e informazioni che l’utente non immaginerebbe mai di esporre a terzi.

Questo slittamento dal tracking al furto è favorito da un’architettura di permessi che, una volta concessa, offre alle estensioni una capacità di ispezione del traffico paragonabile a quella di un keylogger o di uno spyware. L’utente concede l’accesso “a tutti i siti web visitati” con un semplice clic su Aggiungi a Chrome, spesso senza piena consapevolezza delle implicazioni. Il risultato è che un gesto percepito come routine spalanca in realtà una finestra ampia sulla vita digitale della persona.

Il volto seducente delle false estensioni AI

All’interno di questo scenario più ampio, una sotto‑campagna spicca per la capacità di sfruttare l’immaginario contemporaneo legato all’intelligenza artificiale. Esperti di sicurezza hanno documentato almeno 30 estensioni che si presentano come assistenti AI per la navigazione, la traduzione o il supporto alla scrittura, ma che in realtà partecipano a un’unica operazione coordinata di esfiltrazione di dati, battezzata “AiFrame”.

Queste estensioni, con oltre 300 mila installazioni complessive, imitano servizi noti come ChatGPT o Gemini, utilizzando nomi e icone che richiamano brand già familiari al grande pubblico. Dietro l’interfaccia, però, non implementano funzioni AI locali: l’intera esperienza viene resa tramite un iframe a schermo intero che carica contenuti da un dominio remoto controllato dagli operatori. Questo stratagemma consente di modificare il comportamento dell’estensione senza passare da un nuovo controllo sullo store, perché la logica vera si sposta lato server.

In parallelo, il codice in background utilizza una libreria per estrarre il contenuto di ogni pagina visitata, incluse quelle di autenticazione. Il risultato è che testi, porzioni di pagine e dati potenzialmente sensibili vengono inviati ai server degli attaccanti, al di fuori di ogni controllo da parte dei siti coinvolti. È un modello che unisce ingegneria sociale, abuso di brand AI e architetture web flessibili in un’unica catena di sfruttamento.

Gmail sotto attacco: l’anello debole nella posta

Uno degli aspetti più allarmanti riguarda il modo in cui alcune di queste estensioni prendono di mira la posta elettronica. Un sottoinsieme di plugin usa uno script dedicato che si attiva all’apertura di mail.google.com, iniettando elementi grafici e logiche aggiuntive nella pagina. In apparenza, si tratta di piccole funzioni di assistenza, come riassunti automatici o suggerimenti basati sull’intelligenza artificiale. Dietro le quinte, però, lo script legge il contenuto visibile dei messaggi direttamente dal DOM e lo estrae ripetutamente.

In questo modo, non solo le email già inviate o ricevute, ma anche le bozze ancora in fase di scrittura possono essere catturate e inviate a server esterni. Il testo delle conversazioni e i metadati contestuali finiscono fuori dal perimetro di sicurezza di Gmail, vanificando le protezioni crittografiche o le difese lato server. È come se qualcuno si sedesse alle spalle dell’utente mentre legge la posta, copiando i messaggi riga per riga.

Per aziende e professionisti, l’impatto potenziale è enorme: strategie interne, documenti confidenziali, comunicazioni legali e dati personali dei clienti possono essere raccolti in blocco senza alcun segnale visibile all’utente. In un’epoca in cui molta della comunicazione business passa proprio da Gmail e da interfacce web analoghe, queste estensioni trasformano il browser in un punto di fuga privilegiato per il furto di informazioni.

Voce, credenziali, dati sensibili: il browser come microfono

Le estensioni incriminate non si limitano al testo. Alcune includono un meccanismo di riconoscimento vocale remoto basato sulle API di Web Speech, capace di attivare la registrazione e la trascrizione dell’audio direttamente dal browser. A seconda dei permessi concessi, è teoricamente possibile intercettare frammenti di conversazioni ambientali o di meeting online, trasformandoli in testo da inviare agli operatori della campagna. Per l’utente, la funzione appare come un semplice comando vocale, un aiuto per dettare testi o impartire istruzioni, ma la destinazione di quelle parole non è affatto trasparente.

In parallelo, le estensioni analizzate sono in grado di raccogliere credenziali e dati di autenticazione da pagine di login, sfruttando il fatto di poter leggere il contenuto delle pagine prima e dopo l’inserimento delle password. In alcuni casi, gli script sono progettati per riconoscere pattern tipici di moduli di login o di form sensibili e copiarne i contenuti per l’esfiltrazione. È una modalità più silenziosa e difficile da rilevare rispetto ai classici keylogger, perché lavora a livello di DOM e sfrutta i privilegi concessi dalle API delle estensioni.

Il quadro che ne emerge è quello di un browser che non è più soltanto una finestra sul web, ma un sensore pervasivo: osserva, ascolta, archivia, inoltra. La differenza, nel bene e nel male, la fa il codice che l’utente ha accettato di installare con un clic apparentemente innocuo.

Il ruolo di Google e i limiti della moderazione

La vicenda delle oltre 300 estensioni malevole riaccende i riflettori sul ruolo delle grandi piattaforme nel controllo dei loro ecosistemi. Il Chrome Web Store, pur essendo presentato come uno spazio relativamente sicuro, ha già conosciuto episodi simili: in passato erano state scoperte centinaia di estensioni usate per operazioni di malvertising aggressivo, con milioni di installazioni. Anche allora, la rimozione da parte di Google era arrivata dopo la segnalazione da parte di ricercatori indipendenti, non come risultato di un monitoraggio preventivo sistematico.

Nel caso delle estensioni AI, alcune risultavano ancora disponibili nello store anche dopo la divulgazione della ricerca, con decine di migliaia di utenti attivi. Alcune sono state rimosse, mentre altre sono ricomparse con nomi diversi ma con lo stesso identificativo interno, un dettaglio che complica ulteriormente la capacità dell’utente medio di orientarsi. La reattività della moderazione e il peso delle segnalazioni esterne diventano così parte centrale del dibattito.

Il problema di fondo è strutturale: un modello economico basato sulla raccolta di dati e sulla profilazione pubblicitaria rende difficile tracciare una linea netta tra estensioni “aggressive ma legittime” e strumenti chiaramente ostili. Finché il valore dei dati resta così alto, ogni spazio di ambiguità nei permessi o nei controlli diventa una porta aperta per operatori spregiudicati.

Come si infiltra la minaccia nelle abitudini quotidiane

Per comprendere la portata del fenomeno, bisogna uscire dal linguaggio tecnico e osservare l’impatto sulla vita digitale di ogni giorno. Molti di questi componenti aggiuntivi si presentano come soluzioni a problemi reali: riassumere testi lunghi, tradurre pagine, gestire schede multiple, migliorare la produttività in ufficio. L’utente li trova spesso consigliati in articoli, video tutorial, forum, o li scopre scorrendo le sezioni in evidenza del Web Store, dove un alto numero di installazioni e recensioni positive crea un’illusione di affidabilità.

Il modello del cosiddetto “sleeper agent” mostra come alcune estensioni possano nascere pulite per poi diventare malevole dopo un aggiornamento, magari in seguito alla vendita del progetto a terzi. L’utente che le ha installate mesi prima non riceve allarmi evidenti: vede soltanto l’icona già familiare continuare a fare ciò che ha sempre fatto, mentre il codice aggiornato inizia a raccogliere informazioni in silenzio. L’abitudine e la fiducia verso uno strumento che “ha sempre funzionato” diventano così parte integrante della superficie d’attacco.

È in questo spazio quasi invisibile, tra l’azione tecnica dello sviluppatore e la routine quotidiana dell’utente, che la minaccia si consolida. Ogni automatismo, ogni clic dato per scontato, ogni estensione installata senza un riesame periodico contribuisce a rendere il browser un ambiente più vulnerabile di quanto appaia.

Cosa possono fare gli utenti, cosa devono fare le piattaforme

Di fronte a una campagna così estesa, la responsabilità non può essere scaricata interamente sull’utente, ma alcune misure di difesa restano imprescindibili. Gli esperti suggeriscono di limitare le estensioni al minimo indispensabile, rimuovendo quelle che non vengono utilizzate da tempo e diffidando dei componenti che richiedono accesso a “tutti i siti” per funzioni che sembrano non averne bisogno. In presenza di estensioni sospette o riconducibili alle liste pubblicate dai ricercatori, è consigliabile revocare l’installazione e cambiare le password dei servizi utilizzati dal browser, in particolare posta elettronica e piattaforme finanziarie.

Le piattaforme, dal canto loro, si trovano davanti a un bivio tra apertura dell’ecosistema e controllo più stretto. Un modello di revisione più rigoroso, accompagnato da un monitoraggio continuo del traffico generato dalle estensioni, potrebbe ridurre il margine per operazioni di massa come quella emersa in queste settimane. Ma qualsiasi cambiamento strutturale andrebbe a toccare anche sviluppatori legittimi e strumenti che basano il proprio valore su analisi dei dati lato client, alimentando un inevitabile conflitto tra privacy, innovazione e business.

La vicenda delle oltre 300 estensioni malevole mostra quanto sia fragile il patto di fiducia tra utenti e piattaforme in un ambiente dove la soglia di installazione è bassissima e i confini tra aiuto e intrusione sono sempre più sottili. Proteggere il browser, oggi, significa non solo scegliere con attenzione ciò che si installa, ma interrogarsi su quale prezzo si è davvero disposti a pagare in cambio di qualche funzionalità in più.

Titolo accattivante

Chrome sotto assedio: oltre 300 estensioni malevole spiano 37 milioni di utenti

Description SEO

Un’indagine su oltre 300 estensioni Chrome rivela una vasta operazione di tracciamento e furto di dati: AI fasulle, Gmail nel mirino, broker di dati e falla nella sicurezza del Web Store.