Attribution o deterrenza? La nuova frontiera invisibile della guerra informativa   di Pierangelo Panozzo

Attribution o deterrenza? La nuova frontiera invisibile della guerra informativa  

di Pierangelo Panozzo

C’è una soglia che la guerra contemporanea ha già superato senza dichiararlo apertamente: quella in cui la verità non è più un dato, ma un campo di battaglia. Il rapporto Attributing Russian Information Influence Operations, pubblicato nel gennaio 2026 da NATO Strategic Communications Centre of Excellence in collaborazione con il Centro per le Comunicazioni Strategiche dell’Ucraina, segna un punto di non ritorno. Non tanto per ciò che rivela — molte delle tecniche erano già note agli addetti ai lavori — quanto per ciò che formalizza: l’attribuzione diventa un atto strategico, giuridico e politico insieme.

Non è più sufficiente “sapere” chi c’è dietro una campagna di disinformazione. Occorre dimostrarlo secondo standard probatori che resistano non solo al dibattito pubblico, ma anche a un’aula di tribunale. È qui che entra in gioco l’Information Influence Attribution Framework (IIAF), uno strumento concepito per trasformare l’intelligence in evidenza, e l’evidenza in responsabilità.

Il contesto normativo europeo — dal framework FIMI al Digital Services Act — ha alzato drasticamente l’asticella. Ogni attribuzione può essere contestata, ogni accusa ribaltata attraverso quello che il rapporto definisce senza ambiguità: lawfare. La Russia, in questo schema, non è soltanto un attore informativo, ma un soggetto che utilizza il diritto come estensione della propria strategia di influenza.

Il cuore metodologico del documento è tanto semplice quanto potente: tre categorie di prove, nessuna delle quali sufficiente da sola, ma tutte decisive se convergenti. Le prove tecniche — IP, WHOIS, certificati SSL — rappresentano il livello più oggettivo, ma anche il più facilmente manipolabile. Le prove comportamentali, basate sui pattern operativi e catalogate attraverso il framework DISARM Foundation (DISARM Red Framework), introducono una dimensione dinamica: non cosa si vede, ma come si muove. Infine, le prove contestuali: il contenuto, il timing, l’allineamento con eventi geopolitici.

È nella convergenza di questi tre piani che si costruisce l’attribuzione. Ed è proprio qui che il rapporto offre alcuni dei suoi passaggi più illuminanti.

Un primo livello interpretativo, tuttavia, è necessario introdurlo prima ancora dei casi: quello della responsabilità statale. Il rapporto riprende e adatta al dominio informativo il modello elaborato da Jason Healey, articolandolo in uno Spectrum of State Responsibility che supera la dicotomia classica tra operazioni statali e non statali. Non esiste più un confine netto, ma una scala che va dal “tollerato” al “integrato”. In questo spazio intermedio si colloca la maggior parte delle operazioni contemporanee: attività formalmente esterne allo Stato, ma sostanzialmente allineate, supportate o amplificate da esso.

Il caso del dominio fondfbr.ru, legato all’ecosistema di Evgenij Prigozhin — fondatore del Gruppo Wagner e della Internet Research Agency, deceduto nell’agosto 2023 in circostanze mai chiarite — mostra come l’infrastruttura tecnica possa essere progettata per dissolversi nella normalità: registrazioni anonime, hosting condiviso, certificati standardizzati. Nessun elemento è decisivo, ma l’insieme disegna una firma operativa. Non una prova singola, ma una probabilità strutturata.

Ancora più rivelatore è il comportamento adattivo di RT e Sputnik dopo le sanzioni europee del 2022. La loro resilienza non è solo tecnologica, ma effettivamente sistemica perché si fonda su tre meccanismi concreti: duplicazione rapida dei domini (come nel caso di “actualidad-rt.com”) registrati entro poche ore o giorni dalle restrizioni; riutilizzo di infrastrutture tecniche identiche — stessi nameserver e identificatori di tracciamento — che garantiscono continuità operativa; e soprattutto redistribuzione del traffico attraverso social, aggregatori e canali Telegram che fungono da vettori di reindirizzamento. Il risultato è un ecosistema a geometria variabile: quando un nodo viene colpito, la rete non si interrompe ma si riconfigura, mantenendo oltre l’85% del traffico proveniente da utenti europei. Non è semplice evasione, è architettura adattiva.

Il caso del canale Telegram @yurasumy introduce invece un indicatore chiave destinato a diventare standard: l’anomalia dell’Engagement Rate by Reach. Un ERR del 55% su milioni di utenti non è viralità, è architettura. È la prova che l’amplificazione non è organica, ma progettata.

Ma è nella cosiddetta narrative laundering che il rapporto tocca il suo punto più alto. Il caso Olena Zelenska/Cartier segue uno schema in tre fasi — placement, layering, integration — che ricorda da vicino le operazioni di riciclaggio finanziario. Il contenuto nasce in una periferia informativa apparentemente innocua, viene stratificato attraverso canali intermedi e infine legittimato da media strutturati. Quando arriva al pubblico, non appare più come propaganda, ma come notizia.

Questo è il vero salto qualitativo: la disinformazione non si presenta più come tale. Si mimetizza nel flusso informativo fino a diventare indistinguibile.

Nel caso delle campagne sulla corruzione ucraina, la collocazione lungo lo Spectrum — tra state-shaped e state-coordinated — implica una responsabilità indiretta ma sistemica. Lo Stato non ordina, ma orchestra: controlla indirettamente gli attori, ne amplifica i contenuti e soprattutto non interviene mai per interrompere operazioni che risultano perfettamente allineate ai propri obiettivi strategici.

E tuttavia, nonostante la sofisticazione metodologica, il rapporto riconosce i propri limiti. La dipendenza dall’open source, aggravata dalla chiusura degli ecosistemi dati delle piattaforme, riduce la profondità investigativa. Senza accesso a informazioni finanziarie o segnali di intelligence classificata, l’attribuzione resta inevitabilmente probabilistica. E in un contesto giuridico sempre più esigente, la probabilità deve trasformarsi in prova.

Le raccomandazioni finali vanno in una direzione chiara: standardizzazione, accesso regolamentato ai dati, integrazione tra pubblico e privato, e soprattutto una nuova cultura dell’analisi. Non più reattiva, ma predittiva. Non più episodica, ma sistemica.

Ma il punto più rilevante, per un osservatore europeo, è un altro: il teatro ucraino non è un’eccezione, è un laboratorio. Le stesse tecniche — dal narrative laundering all’amplificazione coordinata — sono già visibili in contesti come il Sahel, l’Africa subsahariana e, in forma più sfumata ma crescente, nello spazio mediterraneo. Qui, la competizione informativa si intreccia con interessi energetici, rotte migratorie e proiezione geopolitica, rendendo l’attribuzione non solo un esercizio analitico, ma una componente della sicurezza strategica.

Per chi opera nel campo della sicurezza informativa e dell’intelligence strategica, questo documento rappresenta molto più di un manuale operativo. È una dichiarazione implicita: la guerra informativa è entrata in una fase in cui la credibilità dell’attribuzione diventa essa stessa strumento di deterrenza.

Perché in un ambiente in cui tutto può essere negato, la vera forza non è accusare. È dimostrare.

E dimostrare, oggi, è già esercitare potere.d