Questo andamento emerge tanto in Medio Oriente quanto in Europa, sullo sfondo della guerra tra Russia e Ucraina. Si tratta, come precisano gli esperti di Check Point Research, di una correlazione temporale e non di una prova di responsabilità certificabile: la copertura della telemetria varia da Paese a Paese e misura dove e con quale intensità si registrano gli attacchi, ma non consente di attribuirli a uno Stato o a un gruppo.

L’esposizione del comparto governativo dipende in ogni caso dalla convergenza di tre fattori. Innanzitutto, la presenza di dati di elevato valore per le organizzazioni impegnate in azioni di spionaggio, indipendentemente dall’esistenza di un conflitto.

In secondo luogo, la paternità di servizi essenziali la cui interruzione produce effetti immediatamente visibili sulla popolazione. Infine, il fatto che un ente pubblico opera su infrastrutture tecnologiche spesso più datate e frammentate rispetto a quelle del settore privato, ampliando così la superficie di attacco.

Questa combinazione di fattori rende il volume degli attacchi contro il settore governativo una sorta di indicatore anticipatore, che tende ad aumentare prima e più rapidamente rispetto ad altri comparti, offrendo una prospettiva privilegiata su come le tensioni geopolitiche si traducano in una crescente pressione cyber sulle organizzazioni.

Il crescente volume degli attacchi al settore pubblico inoltre riflette un’altra tendenza che preoccupa gli Stati, ovvero sia la velocità con cui le offensive criminali si propagano. Secondo i dati di Check Point Research, infatti, nel primo trimestre di quest’anno il tempo mediano necessario per sfruttare una vulnerabilità è passato da circa un anno nel 2021 a meno di 24 ore. Un dato eclatante, che non dimostra tuttavia pienamente il ruolo dell’intelligenza artificiale nella crescita degli attacchi. Chiarisce però molto bene perché l’aumento dei volumi (e i tempi di sfruttamento più brevi delle falle) rendano la resilienza operativa una priorità, soprattutto per gli enti che utilizzano sistemi legacy e hanno cicli di aggiornamento tecnologici lunghi e complessi.

I gruppi cybercriminali legati a Cina, Russia, Corea del Nord e Iran hanno integrato l’intelligenza artificiale nelle operazioni di attacco, con attività che spaziano dalla fase di ricognizione e ingegneria sociale fino allo sviluppo di malware e alla compromissione di un sistema. A dirlo a chiare lettere è il rapporto “AI Statecraft and Cyberthreats in 2026” di TrendAI, divisione di Trend Micro, che spiega come l’accesso ai modelli AI di frontiera occidentali non rappresenti necessariamente un fattore determinante.

Gli esperti hanno infatti osservato come gruppi Apt (Advanced Persistent Threat) legati alla Cina utilizzino modelli locali nel momento in cui quelli di matrice americana ed europea si bloccano o limitano le loro attività, riuscendo così a proseguire le operazioni. In un’intrusione in Thailandia, attribuita con bassa confidenza a un attore ignoto (forse Earth Lamia), l’attaccante è passato da Claude Code a MiMo-V2.5-Pro (un modello cinese, uno dei tanti del ricco e articolato ecosistema del Paese del Dragone) quando il servizio di accesso al primo ha avuto problemi, portando a termine la raccolta di credenziali.

Il rischio associato a questa tendenza? La crescita accelerata di attività malevole basate su modelli di AI fuori dal raggio d’azione di vendor e provider di cybersecurity occidentali, che renderebbe molto più complessi l’individuazione e il contrasto delle minacce.