Trump apre ai privati nelle operazioni cyber contro il crimine transnazionale

🛡️ Executive Summary

• La Casa Bianca crea un programma che permetterà ad aziende statunitensi selezionate di condurre operazioni cyber contro organizzazioni criminali transnazionali straniere.
• Le società potranno svolgere cyber surveillance e cyber effects operations, ma soltanto dopo autorizzazione scritta e sotto direzione e controllo del governo federale.
• Il memorandum introduce vetting, coordinamento con intelligence e law enforcement, possibili garanzie da almeno un milione di dollari e limiti sugli effetti critici.

Gli Stati Uniti aprono formalmente il coinvolgimento delle aziende private nelle operazioni cyber contro la criminalità organizzata transnazionale, superando il tradizionale ruolo del settore privato come semplice fonte di intelligence, tecnologia e supporto alle indagini. Con un memorandum presidenziale firmato il 12 agosto 2026, Donald Trump ordina al National Coordination Center di creare un programma nel quale società statunitensi selezionate potranno proporre ed eseguire Cyber Surveillance Operations e Cyber Effects Operations contro organizzazioni criminali straniere che colpiscono cittadini, imprese o interessi americani. Non si tratta però di una liberalizzazione dell’hack back privato: ogni operazione dovrà avvenire per conto, sotto l’autorità, la supervisione e il controllo operativo del governo federale, con Department of Justice e Department of Homeland Security al centro della catena autorizzativa.

Le aziende private entrano nella risposta offensiva statunitense

Il nuovo memorandum presidenziale sulle capacità contro il cybercrime transnazionale parte da una valutazione politica esplicita: Washington ritiene che le capacità offensive del settore tecnologico statunitense siano state storicamente sottoutilizzate nel contrasto alle reti criminali che operano nel cyberspazio. Il programma verrà gestito dal National Coordination Center, NCC, struttura prevista dalla precedente architettura federale, e sarà guidato da due Executive Directors designati rispettivamente dall’Attorney General e dal Secretary of Homeland Security. Le società ammesse non riceveranno quindi un’autorizzazione generale ad attaccare infrastrutture criminali: dovranno operare attraverso contratti con DOJ o DHS e ogni singolo pacchetto operativo dovrà essere esaminato e approvato per iscritto prima dell’esecuzione.

Cyber surveillance significa anche accesso senza autorizzazione

La portata della decisione emerge soprattutto dalle definizioni utilizzate dalla Casa Bianca. Una Cyber Surveillance Operation comprende attività destinate alla raccolta di informazioni o intelligence da sistemi, reti e infrastrutture digitali con l’obiettivo di rimanere inosservati. Il testo precisa che queste operazioni possono implicare l’accesso a sistemi informativi senza l’autorizzazione del proprietario o superando il livello di accesso consentito e possono comprendere manipolazioni o interruzioni temporanee necessarie alla raccolta, purché non siano progettate per produrre effetti fisici o compromettere l’utilizzabilità dell’infrastruttura. La scelta lessicale è significativa perché porta società private selezionate oltre il normale threat intelligence gathering e dentro attività che, fuori dal programma e dalle autorità governative che lo sostengono, ricadrebbero nel terreno dell’accesso non autorizzato.

Le cyber effects operations possono arrivare alla distruzione

Ancora più ampia è la definizione di Cyber Effects Operation. Il memorandum comprende attività capaci di produrre manipolazione, disruption, denial, degradation o destruction di sistemi informativi, reti, infrastrutture fisiche o virtuali controllate attraverso sistemi digitali e informazioni residenti al loro interno. In pratica, il programma non viene concepito soltanto per osservare una rete ransomware o infiltrare una piattaforma criminale, ma anche per consentire azioni finalizzate a interromperne concretamente la capacità operativa. È un’evoluzione rilevante rispetto al contrasto al cybercrime costruito prevalentemente attraverso sequestri giudiziari, sanzioni, arresti e takedown coordinati, strumenti già utilizzati contro provider VPN e servizi di offuscamento associati all’ecosistema ransomware e contro infrastrutture bulletproof utilizzate da operatori criminali russi.

Il bersaglio deve essere un’organizzazione criminale straniera

Il memorandum introduce anche una delimitazione precisa del target. Una Cyber-Enabled Transnational Criminal Organization, CE-TCO, viene definita come un gruppo straniero che commette cybercrime contro il governo degli Stati Uniti, persone statunitensi o interessi americani e che non costituisce parte istituzionale di un governo straniero né opera interamente sotto la sua direzione. Il testo stabilisce una presunzione iniziale di natura non statale salvo la presenza di intelligence chiara che dimostri il contrario. Questo confine diventa particolarmente importante nelle aree grigie nelle quali ransomware, infrastrutture criminali e servizi di accesso possono convivere con interessi geopolitici o tolleranza statale. Il programma viene quindi formalmente costruito per il cybercrime transnazionale, non come delega alle aziende private per condurre operazioni contro apparati governativi stranieri.

DOJ e DHS devono autorizzare ogni operazione

La struttura prevista esclude almeno sulla carta l’autonomia operativa delle società coinvolte. Gli Executive Directors di DOJ e DHS dovranno coordinarsi tra loro prima dell’approvazione e ogni operazione verrà svolta esclusivamente per conto del governo federale e sotto la sua supervisione, utilizzando le autorità giuridiche dello Stato. Entro 60 giorni dovranno essere definite procedure operative comuni che disciplinino selezione dei partecipanti, identificazione dei target, deconfliction, reporting e limiti delle attività. Ogni società dovrà inoltre passare verifiche su competenze tecniche, precedenti operativi, sicurezza delle strutture, affidabilità e personale. La Casa Bianca vuole ammettere sia grandi imprese dotate di capacità su scala elevata sia società più piccole considerate adatte a compiti specialistici.

Le aziende potranno ricevere intelligence dal mercato privato

Un altro passaggio amplia il rapporto tra industria cyber e apparato federale. Le Participating Companies potranno stipulare accordi commerciali con altre imprese private, dalle quali ricevere threat intelligence raccolta durante la normale attività, e utilizzare queste informazioni per proporre operazioni al NCC. Potranno inoltre ricevere indicazioni sulle minacce da autorità federali, statali, locali, tribali e territoriali. Il risultato è un modello nel quale la telemetria posseduta da cloud provider, società di cybersecurity, operatori di rete e threat intelligence company può diventare il punto di partenza di una proposta operativa offensiva sottoposta al governo. La risposta americana tenta quindi di utilizzare la scala della propria industria tecnologica come moltiplicatore della capacità statale, un passaggio particolarmente rilevante in un’economia criminale ormai organizzata come una filiera industriale di ransomware, infostealer, mercati underground e riciclaggio.

Fino a un milione di dollari a garanzia della conformità

Il programma introduce anche un meccanismo economico di responsabilizzazione. DOJ e DHS potranno chiedere alle aziende partecipanti di mantenere un bond o un escrow non inferiore a un milione di dollari, che potrà essere perso in caso di mancato rispetto degli obblighi contrattuali. Tutti gli accordi commerciali con altri soggetti dovranno essere dichiarati al NCC e le imprese saranno riesaminate almeno annualmente per stabilire se possano continuare a partecipare. L’intenzione è costruire una categoria di operatori privati autorizzati e verificati, distinta sia dai normali contractor tecnologici sia da soggetti che effettuano autonomamente azioni di hack back.

Intelligence, Tesoro, Dipartimento di Stato e Difesa entrano nel deconfliction

Le operazioni non verranno valutate soltanto da DOJ e DHS. Le procedure, dettagliate anche attraverso un allegato classificato, dovranno garantire il deconfliction tra law enforcement federale, Dipartimento di Stato, Tesoro, Department of War, Department of Justice e United States Intelligence Community. Il coordinamento è essenziale perché un server apparentemente appartenente a una rete criminale potrebbe contemporaneamente essere oggetto di un’indagine, di una raccolta intelligence, di un’operazione militare o di una misura finanziaria. Distruggerlo o modificarlo senza coordinamento potrebbe quindi compromettere attività statunitensi già in corso. È questo uno dei motivi per cui il memorandum insiste sul controllo federale completo e sulla necessità di approvare formalmente ogni operational package.

Vita umana e uso della forza segnano il limite dell’autorizzazione

Il memorandum introduce la categoria dei Critical Outcomes, definita in modo estremamente ristretto ma rilevante: un’azione rientra in questa classe quando è probabile che provochi perdita di vite umane o lesioni gravi, oppure raggiunga il livello di uso della forza o attacco armato secondo il diritto internazionale. Gli Executive Directors del programma non possono approvare operazioni che producano tali conseguenze. Le aziende devono inoltre interrompere immediatamente l’attività se scoprono di avere oltrepassato i parametri autorizzati, per esempio colpendo involontariamente una persona statunitense, un sistema situato negli Stati Uniti o un’infrastruttura controllata da una US person. In questi casi devono avviare le procedure di minimizzazione e informare immediatamente NCC e Department of Justice.

Il memorandum non legalizza il private hack back indiscriminato

È proprio questo apparato di limiti a impedire una lettura semplicistica del provvedimento come legalizzazione generalizzata dell’hack back. Le normali aziende americane non acquisiscono il diritto di penetrare autonomamente nel server di chi le ha attaccate. Soltanto le imprese accettate nel programma potranno operare, esclusivamente nei limiti di un’attività approvata, sotto l’autorità legale e il controllo operativo del governo degli Stati Uniti. Il memorandum richiama espressamente la Costituzione, gli obblighi internazionali e il 18 U.S.C. §1030, cioè la disciplina federale sull’accesso non autorizzato ai sistemi informatici. Ogni attività diretta verso una US person o capace di coinvolgere diritti e obblighi costituzionali dovrà inoltre ricevere le eventuali autorizzazioni giudiziarie necessarie prima dell’approvazione.

Ransomware, phishing e sextortion entrano nella stessa minaccia transnazionale

La Casa Bianca colloca il programma dentro una lettura molto ampia del cybercrime. La relativa fact sheet presidenziale cita esplicitamente ransomware, phishing, frodi finanziarie, sextortion e impersonation scam tra le campagne coordinate da organizzazioni criminali transnazionali. L’amministrazione afferma che nel 2025 i consumatori americani abbiano denunciato perdite superiori a 20,8 miliardi di dollari per crimini cyber-enabled e presenta il nuovo programma come estensione dell’Executive Order 14390 del 6 marzo 2026, con il quale Washington aveva già promesso una risposta proporzionata composta da law enforcement, diplomazia e potenziali azioni offensive.

Il settore privato diventa parte controllata della capacità offensiva statale

Il salto politico del memorandum sta quindi nel trasformare capacità normalmente concentrate nel mercato privato in strumenti operativi utilizzabili direttamente dallo Stato contro infrastrutture criminali straniere. Le società di cybersecurity possiedono spesso telemetria globale, reverse engineer, capacità di attribuzione infrastrutturale e conoscenza tecnica superiore a quella disponibile in una singola amministrazione. Washington sceglie di non limitarsi più a ricevere quegli indicatori: crea una cornice per trasformare alcune di quelle aziende in esecutori di operazioni di sorveglianza e disruption formalmente governative. Nei prossimi 60 giorni saranno soprattutto le procedure applicative a determinare quanto ampio diventerà questo spazio e quali imprese potranno entrarvi; entro 180 giorni è previsto un primo rapporto sullo stato del programma, seguito da verifiche annuali. Se applicato nella forma descritta, il provvedimento segna una cesura importante: nel contrasto al cybercrime transnazionale gli Stati Uniti non separano più rigidamente capacità offensiva pubblica e competenza tecnica privata, ma provano a inserirle nella stessa catena di comando.