Iran, app fitness e dati pubblicitari usati per individuare le basi USA: il rischio per la NATO

In sintesi

• I dati commerciali diventano strumenti di intelligence militare. Social network, applicazioni fitness e identificativi pubblicitari possono rivelare spostamenti e abitudini del personale nelle basi americane.
• Il Pentagono aveva ricevuto segnalazioni concrete. CENTCOM ha riconosciuto il rischio di utilizzo ostile dei dati di localizzazione, mentre il Congresso denuncia protezioni insufficienti.
• Il caso iraniano riguarda anche la sicurezza europea. La protezione delle installazioni militari non dipende soltanto dalle reti classificate, ma anche dai dati raccolti dai dispositivi personali.

Per colpire una base militare non è più indispensabile violarne i sistemi informatici: possono bastare i dati che i suoi occupanti lasciano quotidianamente nelle applicazioni commerciali. È la vulnerabilità emersa dalla guerra tra Iran e Stati Uniti, nella quale informazioni provenienti da social network, applicazioni fitness, servizi pubblicitari e immagini satellitari avrebbero contribuito alla ricostruzione delle attività nelle installazioni americane del Medio Oriente. Un reportage pubblicato il 14 novembre 2026 dal Los Angeles Times descrive come questi dati possano essere stati utilizzati dall’intelligence iraniana per individuare obiettivi e abitudini del personale. Il problema non riguarda esclusivamente Teheran: il Comando centrale statunitense ha riconosciuto ufficialmente l’esistenza di segnalazioni sullo sfruttamento ostile di dati commerciali di localizzazione. Una vicenda che solleva interrogativi anche per l’Italia, dove la sicurezza delle infrastrutture militari e NATO deve confrontarsi con un ecosistema digitale sempre più difficile da controllare.

Iran, le tracce digitali dei militari diventano informazioni operative

Il reportage originale del Los Angeles Times, firmato da Nabih Bulos, ricostruisce il possibile ruolo dei dati personali negli attacchi iraniani contro le installazioni americane. Secondo gli esperti interpellati, fotografie pubblicate sui social, registrazioni degli allenamenti, servizi cartografici e informazioni raccolte dalla pubblicità digitale permettono di ricostruire i pattern of life, ossia le abitudini ricorrenti del personale. Il quadro diventerebbe ancora più preciso incrociando queste informazioni con immagini satellitari, comprese quelle che sarebbero state fornite dalla Russia. Quest’ultimo elemento resta un’attribuzione giornalistica, non una circostanza dimostrata pubblicamente per ogni attacco.

La vulnerabilità riguarda soprattutto l’accumulo di informazioni apparentemente innocue. Una singola fotografia può essere irrilevante, ma migliaia di dati raccolti nel tempo possono rendere riconoscibili attività e presenze ricorrenti. Il caso si inserisce nell’escalation già descritta durante l’operazione Epic Fury e la risposta cibernetica nel Medio Oriente, dove operazioni militari tradizionali e strumenti digitali hanno progressivamente condiviso lo stesso spazio di confronto.

Il Pentagono conosceva il rischio, il Congresso denuncia le falle

Il 14 aprile 2026 CENTCOM aveva comunicato al Congresso statunitense di aver ricevuto diverse segnalazioni riguardanti l’impiego di dati commerciali per localizzare o sorvegliare militari americani nelle aree operative. Il 28 maggio un gruppo bipartisan di parlamentari ha denunciato la persistenza della minaccia, richiamando il ruolo degli identificativi pubblicitari assegnati agli smartphone. Questi identificativi vengono utilizzati nell’ecosistema pubblicitario per collegare attività e dispositivi, ma possono contribuire alla ricostruzione di profili e spostamenti. Il 4 settembre il senatore Ron Wyden e il deputato Pat Harrigan hanno chiesto un’indagine sulle protezioni adottate dal Dipartimento della Difesa.

Nel frattempo, le forze armate americane hanno introdotto misure per disabilitare gli identificativi pubblicitari sui dispositivi istituzionali. Il problema rimane quello degli smartphone personali e degli apparecchi utilizzati da dipendenti, familiari e appaltatori, che possono continuare a generare informazioni commercialmente accessibili. La questione supera il tradizionale concetto di attacco informatico: non serve necessariamente sottrarre un database riservato quando informazioni sensibili possono essere ricostruite acquistando dati legittimamente o illegittimamente commercializzati.

Ventisei installazioni colpite e danni miliardari

Secondo la ricostruzione del quotidiano americano, nei primi sei mesi del conflitto l’Iran ha colpito 26 siti militari statunitensi nel Medio Oriente, prendendo di mira anche strutture alberghiere utilizzate dal personale evacuato. I sistemi di difesa avrebbero intercettato oltre il 90% degli attacchi, senza riuscire a impedire danni estesi a edifici, piste, hangar e apparecchiature. Il costo stimato per riparare le infrastrutture regionali, esclusi velivoli e altri equipaggiamenti, raggiungerebbe 9 miliardi di dollari. Si tratta di una stima dei ripristini necessari, non di una spesa già sostenuta e certificata dal Pentagono.

La coincidenza tra informazioni disponibili e precisione degli attacchi non dimostra automaticamente che ogni bersaglio sia stato selezionato utilizzando app fitness o dati pubblicitari. Gli elementi raccolti indicano però una vulnerabilità operativa reale, riconosciuta dalle istituzioni americane. La guerra ha inoltre mostrato quanto le infrastrutture tecnologiche siano diventate obiettivi strategici, come emerge anche dalle minacce iraniane contro i cavi sottomarini dello Stretto di Hormuz.

I data broker trasformano la pubblicità in un problema di sicurezza nazionale

Il nodo centrale riguarda il mercato dei dati personali. Le applicazioni raccolgono informazioni per fornire servizi, analizzare comportamenti e alimentare la pubblicità digitale. Parte di queste informazioni può attraversare numerosi intermediari, fino ai cosiddetti data broker. Anche quando i dati vengono presentati come anonimizzati, la loro combinazione può consentire di riconoscere abitudini individuali e collegamenti con luoghi sensibili. Il problema era già emerso nel caso della Federal Trade Commission americana e delle restrizioni sulla vendita di geodati da parte di Kochava.

Il rischio assume una dimensione ulteriore quando riguarda personale militare. Non è soltanto una questione di privacy, ma di protezione delle persone e delle operazioni. Un mercato capace di distribuire dati di localizzazione a soggetti commerciali può esporre informazioni utili anche a servizi d’intelligence stranieri, senza che questi debbano necessariamente condurre un’intrusione informatica.

Perché il caso riguarda anche l’Italia e le basi NATO

L’Italia ospita installazioni militari nazionali, statunitensi e NATO, all’interno di un sistema di cooperazione che rende essenziale la protezione delle informazioni operative. Non esistono, nelle fonti esaminate, prove che i medesimi meccanismi siano stati utilizzati per colpire strutture italiane. Il caso americano dimostra tuttavia che i dati prodotti dai dispositivi personali possono costituire una superficie di esposizione indipendente dalla sicurezza delle infrastrutture informatiche militari. Il problema riguarda anche il rapporto con fornitori commerciali, appaltatori e servizi digitali utilizzati quotidianamente dal personale.

La questione tocca inoltre la regolamentazione del trattamento dei dati. In Italia, il Garante privacy ha sanzionato Lusha per la raccolta e commercializzazione di informazioni personali, confermando quanto sia rilevante il controllo sulle filiere dei dati. I rischi militari sono differenti, ma il principio rimane: una volta che le informazioni entrano in circuiti commerciali difficili da governare, controllarne gli utilizzi successivi diventa complesso.

Continua con: Sicurezza nazionale nel 2026, intelligence e trasformazione delle minacce tecnologiche

La sicurezza militare non può fermarsi ai sistemi classificati

Il caso iraniano mostra una contraddizione della guerra digitale contemporanea: apparati militari dotati di sistemi sofisticati possono essere esposti da informazioni raccolte per attività commerciali ordinarie. Proteggere le reti classificate rimane fondamentale, ma non basta se la posizione e le abitudini del personale continuano a circolare nell’economia dei dati. Per Stati Uniti, Italia e alleati NATO, la sfida consiste nell’integrare protezione dei dispositivi, disciplina delle informazioni e controllo delle filiere commerciali. La sicurezza operativa non si misura più soltanto dalla capacità di respingere un attacco informatico, ma anche da quella di impedire che la vita digitale quotidiana diventi intelligence disponibile sul mercato.