(AGENPARL) - Roma, 14 Maggio 2026 - Nel pieno dell’escalation tra Israele, Iran e Stati Uniti, il cyberspazio si conferma sempre più un vero e proprio teatro parallelo del conflitto. Accanto alle operazioni militari tradizionali, cresce infatti l’attività di gruppi hacktivisti filoiraniani che combinano propaganda, attacchi informatici, campagne di doxing e operazioni di pressione psicologica contro obiettivi occidentali e israeliani.

Nel nuovo Threat Intelligence Report pubblicato da Meridian Group, emerge un quadro caratterizzato da una forte intensificazione delle attività cyber tra il 30 aprile e l’8 maggio 2026, con campagne rivolte contro infrastrutture strategiche, sistemi industriali, enti governativi e personale militare.

Tra i casi più significativi figura quello del gruppo Handala Hack Team, che secondo gli analisti starebbe mostrando un’evoluzione operativa sempre più vicina ai modelli delle Advanced Persistent Threat (APT), superando la tradizionale dimensione dimostrativa dell’hacktivismo.

Ne abbiamo parlato con Pietro Di Maria, analista di cyber threat intelligence, per comprendere come stanno cambiando le dinamiche della guerra cibernetica nel conflitto Israele-Iran e quali rischi potrebbero emergere nei prossimi mesi.

Domanda. Nel vostro report emerge una crescente evoluzione di gruppi come Handala verso modelli “APT-like”. Quali elementi vi fanno ritenere che alcune campagne hacktiviste stiano superando la dimensione propagandistica per assumere caratteristiche più vicine alle operazioni cyber sponsorizzate da Stati?

Pietro Di Maria. “Il caso Handala è probabilmente uno dei più interessanti da osservare in questa fase del conflitto, soprattutto perché mostra un cambiamento abbastanza netto rispetto all’hacktivismo che abbiamo conosciuto negli ultimi anni.

Tradizionalmente molti gruppi hacktivisti puntavano soprattutto alla visibilità immediata: attacchi DDoS, defacement di siti web, campagne simboliche o operazioni pensate principalmente per generare attenzione mediatica. Oggi, invece, iniziamo a vedere dinamiche più complesse.

Nel caso di Handala, per esempio, colpisce soprattutto la natura dei target. Non si parla più soltanto di siti istituzionali o aziende con un forte valore simbolico, ma di figure politiche, asset logistici strategici e personale militare occidentale. Obiettivi come Robert Malley, il porto di Fujairah o gli ufficiali della U.S. Navy nel Golfo hanno un peso geopolitico molto diverso rispetto alle campagne hacktiviste tradizionali.

Questo non significa automaticamente che ci sia una regia statale diretta dietro ogni operazione. Su questo bisogna essere molto prudenti. Però è evidente che alcuni gruppi stanno adottando modalità operative, narrativa e selezione dei target molto più vicine a quelle osservate nelle campagne APT.

Anche la tipologia delle rivendicazioni sta cambiando. Non si tratta più soltanto di ‘aver mandato offline un sito’. Sempre più spesso i gruppi parlano di accessi a comunicazioni riservate, dataset militari, sistemi industriali o infrastrutture critiche. Naturalmente non tutti i claim possono essere verificati in maniera indipendente, e una parte resta inevitabilmente propagandistica, ma il livello delle informazioni pubblicate suggerisce comunque una maturazione operativa reale.

C’è poi un altro elemento importante: la dimensione psicologica. Quando un gruppo sostiene di aver inviato alert direttamente ai telefoni sicuri di ufficiali americani, l’obiettivo non è solo tecnico. È un messaggio strategico. Serve a trasmettere la percezione che nessun target sia realmente fuori portata.

Ed è proprio qui che il confine tra hacktivismo, guerra psicologica e operazioni di influenza diventa sempre meno netto. Alcuni gruppi oggi combinano propaganda, raccolta informativa, pressione mediatica e in certi casi anche monetizzazione dei dati. È una trasformazione significativa rispetto all’hacktivismo ‘dimostrativo’ a cui eravamo abituati fino a pochi anni fa.”

Domanda. La diffusione delle identità di 400 ufficiali della U.S. Navy rappresenta un salto di qualità nelle attività di doxing e intelligence offensiva. Quali possono essere le conseguenze operative e geopolitiche di questo tipo di attacchi nel contesto del conflitto Israele-Iran?

Pietro Di Maria. “La pubblicazione delle identità di ufficiali della U.S. Navy è uno degli episodi più delicati emersi nel periodo che abbiamo monitorato, e non tanto per il leak in sé, quanto per ciò che rappresenta sul piano operativo e simbolico.

Quando vengono esposti dati legati a personale militare, anche informazioni apparentemente limitate possono diventare estremamente utili in attività successive di spear phishing, social engineering o profilazione relazionale. In molti casi basta poco per ricostruire connessioni, abitudini operative o catene di contatto sensibili.

Ma il punto centrale, secondo me, è soprattutto politico e psicologico.

Operazioni di questo tipo mandano un messaggio molto preciso: il conflitto cyber non riguarda più soltanto Israele, ma coinvolge direttamente anche l’ecosistema militare e logistico occidentale presente nell’area del Golfo. In altre parole, il cyberspazio sta diventando uno strumento di pressione parallelo rispetto alla dimensione militare tradizionale.

C’è poi un aspetto spesso sottovalutato: nella guerra cyber la percezione conta quasi quanto il danno reale. Anche quando alcune rivendicazioni risultano amplificate sul piano propagandistico, il semplice fatto di pubblicare nomi, identità o riferimenti a personale operativo produce un impatto mediatico e psicologico molto forte.

Negli ultimi anni abbiamo assistito a un progressivo abbassamento della soglia del targeting. Prima venivano colpite soprattutto infrastrutture civili, poi supply chain e sistemi industriali. Oggi vediamo entrare nel mirino anche personale operativo e militare.

La diffusione dei dati degli ufficiali della Navy si inserisce perfettamente in questa evoluzione.

Ed è forse proprio questo l’aspetto più delicato: la guerra cyber contemporanea non punta sempre alla distruzione diretta. In molti casi punta soprattutto a dimostrare capacità di accesso, generare pressione psicologica e trasmettere l’idea che nessuno sia davvero al sicuro.”

Domanda. Dal report emerge una forte asimmetria tra il fronte filoiraniano e quello pro-Israele sul piano cyber. Questa predominanza è dovuta a una maggiore capacità organizzativa degli attori filoiraniani oppure a una diversa strategia comunicativa e di rivendicazione degli attacchi?

Pietro Di Maria. “L’asimmetria che emerge nel report è reale, ma secondo me va interpretata soprattutto sul piano informativo e comunicativo.

Nel materiale che abbiamo monitorato si osserva una presenza molto più costante e aggressiva di attori filoiraniani nello spazio pubblico, in particolare su Telegram, forum underground e canali di rivendicazione. Questo produce una percezione di pressione continua, anche quando l’impatto tecnico reale degli attacchi non è sempre elevato.

Molti gruppi sembrano aver compreso che oggi la rivendicazione pubblica è parte integrante dell’operazione stessa. Non basta più colpire un target: bisogna mostrare il target, pubblicare prove, costruire narrativa e generare attenzione mediatica.

Lo vediamo chiaramente in campagne come quelle di Handala, DieNet o 313 Team. In alcuni casi esiste sicuramente una componente tecnica concreta, ma accanto a questa c’è anche una forte strategia di saturazione dello spazio informativo. A volte il messaggio politico sembra quasi importante quanto l’attacco stesso.

Questo però non significa necessariamente che il fronte pro-Israele sia meno attivo. Storicamente molte operazioni attribuite a interessi israeliani hanno seguito logiche molto diverse: meno esposizione pubblica, meno rivendicazioni e maggiore attenzione a raccolta informativa, sabotaggio silenzioso o attività difficilmente attribuibili.

Per questo motivo la predominanza filoiraniana che osserviamo oggi potrebbe derivare da entrambe le dinamiche: da un lato una mobilitazione hacktivista molto ampia e visibile, dall’altro una strategia comunicativa volutamente iper-esposta.

E nel cyberspazio contemporaneo questo aspetto pesa moltissimo. Perché la narrativa, ormai, è diventata parte integrante dell’attacco.”