Google: l’ecosistema di influenza pro-Russia diventa asset strategico globale

🛡️ Executive Summary

• Google Threat Intelligence descrive l’ecosistema di influenza pro-Russia come asset strategico globale, ormai oltre il solo teatro ucraino.
• Le attività combinano propaganda, operazioni informative coperte, hacktivismo, DDoS, hack-and-leak e supporto di asset collegati all’intelligence russa.
• L’uso crescente di AI generativa e proxy deniabili rende più resiliente l’ecosistema e più complessa l’attribuzione.

Google Threat Intelligence descrive l’ecosistema di influenza pro-Russia come una capacità strategica globale che, a quattro anni dall’invasione su larga scala dell’Ucraina, ha superato la funzione iniziale di supporto alla guerra. L’analisi evidenzia un sistema ampio, interconnesso e resiliente, composto da comunicazione governativa, media statali, operazioni informative coperte, hacktivismo, proxy, contractor e gruppi collegati ai servizi di intelligence. La guerra in Ucraina ha agito da acceleratore, fornendo agli operatori un ciclo rapido di sperimentazione, adattamento e misurazione degli effetti. Ora molte tattiche affinate sul fronte ucraino vengono riapplicate verso obiettivi più tradizionali della politica estera russa, inclusi Unione Europea, NATO, Stati Uniti ed ex repubbliche sovietiche. Il risultato è una minaccia ibrida persistente, capace di combinare cyberattacchi, disinformazione e amplificazione coordinata per influenzare opinione pubblica, processi politici e percezione della sicurezza.

Dalle misure attive sovietiche all’influenza digitale globale

Secondo Google, l’ecosistema moderno affonda le proprie radici nelle misure attive sovietiche, adattate all’ambiente digitale contemporaneo. La differenza principale rispetto al passato è la capacità di operare simultaneamente su più livelli: comunicazioni ufficiali, media overt, campagne coperte, persona hacktiviste, gruppi proxy e infrastrutture criminali o semi-criminali.

Questo rende l’ecosistema difficile da interrompere con interventi mirati, perché la rimozione di un dominio, la sanzione di un media statale o l’esposizione di una singola campagna non compromettono l’intera capacità operativa. Il Cremlino fornisce linee narrative, obiettivi politici e priorità strategiche, mentre una costellazione di attori più o meno formalmente collegati amplifica messaggi coerenti con gli interessi russi. La fluidità tra asset statali, non statali e apparentemente indipendenti garantisce negabilità plausibile e consente continuità anche dopo attribuzioni pubbliche o disruption.

APT44, hacktivisti e proxy nel modello ibrido russo

Uno degli elementi più rilevanti è la convergenza tra operazioni cyber e influenza. APT44, attribuito all’intelligence militare russa e noto anche per attività di sabotaggio e spionaggio, viene indicato da Google come attore capace di integrare cyberattacchi e operazioni informative in un unico playbook. Accanto agli attori statali operano gruppi hacktivisti pro-Russia come NoName057(16), attivo dal 2022 con campagne DDoS contro Ucraina e Paesi alleati, spesso rivolte a bersagli governativi, infrastrutture pubbliche o eventi simbolici. Altri gruppi e persona, come XakNet Team, JokerDNR, RaHDit, Solntsepek, PalachPro e UNC4057/COLDRIVER, svolgono ruoli diversi: rivendicazione di accessi, amplificazione di leak, doxxing, derisione delle attribuzioni occidentali o riciclaggio di dati sottratti. Questa pluralità consente di confondere la catena di comando e trasformare intrusioni tecniche in operazioni psicologiche.

Disinformazione, media mimicry e campagne persistenti

Le operazioni informative pro-Russia sfruttano fratture sociali esistenti, polarizzazione politica e crisi geopolitiche. Campagne come Secondary Infektion, poi divenuta dormiente, e la successiva Operation Overload mostrano la capacità di riutilizzare infrastrutture, formati e narrazioni adattandole a obiettivi diversi. Una tecnica ricorrente è il media mimicry, con siti che imitano testate giornalistiche reali o creano portali apparentemente indipendenti per diffondere contenuti manipolati. Le campagne usano domini ciclici, mirror site, email, SMS, app di messaggistica, canali Telegram, defacement e siti di leak. La persistenza è un tratto distintivo: dopo esposizioni pubbliche o blocchi, gli operatori cambiano infrastruttura, riattivano persona, spostano la distribuzione su nuovi canali o continuano apertamente, talvolta deridendo le attribuzioni. Questo comportamento rende la difesa più complessa, perché la disruption tecnica non basta se non viene accompagnata da monitoraggio narrativo e analisi delle relazioni tra asset.

L’AI generativa entra nel ciclo delle operazioni informative

Google osserva un uso crescente dell’AI generativa lungo il ciclo di vita delle operazioni informative. Gli strumenti AI possono essere impiegati per pianificazione, ricerca, traduzione, adattamento linguistico, generazione di contenuti, variazione di messaggi e produzione di materiali visivi o testuali su larga scala. L’impatto non è soltanto quantitativo. L’AI consente di localizzare più rapidamente una narrativa, adattarla a contesti culturali differenti e produrre versioni multiple dello stesso messaggio per eludere filtri e rilevamenti basati su similarità. Questo non sostituisce gli operatori umani, ma riduce i costi e accelera il ciclo operativo. Per Google, l’adozione di queste tecniche da parte di nuovi attori indica che Mosca considera le operazioni di influenza uno strumento economico, flessibile e politicamente efficace.

Bersagli prioritari: UE, NATO, Stati Uniti e near abroad

L’Ucraina resta un bersaglio centrale, ma non è più l’unico punto di concentrazione. Google prevede una progressiva riattivazione degli obiettivi di influenza precedenti alla guerra, con attenzione verso Stati Uniti, Unione Europea, NATO ed ex repubbliche sovietiche. Le operazioni cercano di indebolire la coesione occidentale, alimentare sfiducia nelle istituzioni, amplificare divisioni interne e ridurre il sostegno politico, economico e militare a Kiev.

Eventi globali, competizioni sportive, elezioni, tensioni migratorie, crisi energetiche e incidenti militari diventano occasioni per inserire narrazioni favorevoli al Cremlino. Operazioni legate alle Olimpiadi di Parigi 2024, alle elezioni e a flashpoint come le incursioni di droni in Polonia mostrano come l’ecosistema sappia agganciarsi rapidamente a eventi ad alta visibilità.

Una minaccia resiliente per la sicurezza europea

La resilienza dell’ecosistema deriva dalla sua struttura distribuita. Media statali, persona hacktiviste, contractor, servizi di intelligence e campagne coperte possono agire separatamente ma rafforzarsi a vicenda attraverso amplificazione incrociata. Un attacco DDoS può generare titoli e pressione pubblica; un leak può essere rilanciato da canali Telegram e siti pseudo-giornalistici; un defacement può essere usato per costruire una narrativa di collasso istituzionale; una campagna AI-generated può rendere virale una falsa interpretazione dell’evento. Per difensori, governi e piattaforme digitali questo significa dover integrare cyber threat intelligence, analisi dell’informazione, monitoraggio social, attribution tecnica e risposta comunicativa. L’analisi di Google segnala che l’ecosistema di influenza pro-Russia non è più soltanto un complemento della guerra in Ucraina, ma una capacità strategica persistente, adattiva e globale. Per UE e NATO, la sfida dei prossimi mesi sarà riconoscere tempestivamente le operazioni ibride prima che diventino crisi reputazionali, politiche o di sicurezza.