Ad aprile 2026 lo scenario della cyber war iraniana segna un punto di svolta. Non si tratta solo di un aumento degli attacchi, ma di un cambio di strategia: le operazioni cyber sono oggi integrate con le azioni militari sul campo, secondo una logica definita “convergenza cyber-cinetica”.

Questo approccio combina attacchi digitali, pressione psicologica e impatto economico, con effetti concreti anche per le imprese europee e italiane.

Dalla cyber-spy alla guerra digitale integrata

Le tradizionali attività di spionaggio e sabotaggio a bassa intensità stanno lasciando spazio a operazioni più coordinate e aggressive. Strutture come il Corpo delle Guardie della Rivoluzione Islamica e il Ministero dell’Intelligence e della Sicurezza puntano a:

• colpire infrastrutture critiche
• generare danni economici rilevanti
• amplificare l’impatto mediatico e psicologico

Parallelamente, si rafforza un modello “ibrido” che combina controllo interno, spionaggio industriale e attacchi distruttivi tramite gruppi di facciata.

Wiper malware e sabotaggio su larga scala

Uno degli elementi più preoccupanti è l’uso di malware distruttivi (wiper), progettati per cancellare dati e bloccare intere infrastrutture.

Un caso emblematico ha colpito Stryker Corporation, con:

• oltre 200.000 dispositivi compromessi
• attività interrotte in decine di Paesi
• distruzione massiva di dati aziendali

Gli attaccanti non sempre usano strumenti sofisticati: spesso sfruttano credenziali rubate e piattaforme legittime (come sistemi di gestione aziendale) per amplificare i danni.

Tecniche sempre più sofisticate (ma “invisibili”)

Le operazioni osservate nel 2026 mostrano un uso evoluto di tecniche già note:

• accesso tramite VPN compromesse
• uso di strumenti legittimi (PowerShell, RDP)
• movimento laterale nelle reti aziendali
• cancellazione mirata dei dati

A questo si aggiunge l’impiego dell’intelligenza artificiale per creare email di phishing sempre più credibili e accelerare lo sviluppo di malware.

Il ruolo dei gruppi “proxy”

L’offensiva cyber iraniana si basa anche su gruppi apparentemente indipendenti, ma riconducibili a regia statale. Tra questi:

• Handala Hack
• Homeland Justice
• UniT 313

Questi gruppi permettono di mantenere una “negabilità plausibile” e amplificano la portata mediatica degli attacchi, spesso accompagnati da campagne di hack-and-leak (furto e diffusione pubblica dei dati).

Supply chain: il vero bersaglio

Il cambiamento più rilevante riguarda gli obiettivi. Non più solo governi o eserciti, ma l’intera catena di fornitura:

• fornitori IT
• software house
• logistica
• aziende dell’indotto energia e difesa

Colpire un fornitore significa accedere indirettamente a decine di aziende. È per questo che anche le PMI italiane possono diventare bersagli indiretti.

Come devono reagire le aziende

Il contesto attuale richiede un cambio di approccio: non basta più reagire agli attacchi, bisogna prevenirli assumendo che una compromissione sia possibile.

Le priorità operative includono:

• segmentazione delle reti (separare IT e sistemi industriali)
• monitoraggio continuo delle anomalie
• autenticazione rafforzata e continua (MFA)
• controllo degli accessi privilegiati
• protezione della supply chain digitale

Fondamentale anche ridurre la fiducia implicita nei sistemi interni e adottare modelli “zero trust”.

Perché riguarda anche le imprese italiane

La crescente integrazione tra cyber war e dinamiche geopolitiche rende le aziende parte del campo di battaglia digitale. Anche chi non è un bersaglio diretto può essere colpito attraverso fornitori, partner o infrastrutture condivise.

La difesa, quindi, non è più solo un tema IT, ma una leva strategica per la continuità del business.