Bauman, i documenti trapelati svelano la pipeline universitaria per gli operatori cyber del GRU

Più di 2.000 documenti interni della Bauman Moscow State Technical University descrivono un percorso strutturato per formare personale destinato all’intelligence militare russa e alle operazioni cyber. Al centro dell’inchiesta, pubblicata il 3 settembre 2026, c’è il Department No. 4, una struttura assente dall’organigramma pubblico dell’ateneo ma operativa nel suo Military Training Center.

Conosciuto anche come “Special Training”, il dipartimento avrebbe preparato circa 250 studenti di carriera e riservisti nell’arco di sei anni accademici. Una quota stimata tra 10 e 15 persone all’anno sarebbe stata selezionata, prima di completare gli studi, per incarichi collegati al GRU, l’intelligence militare russa.

I file permettono di ricostruire non soltanto i corsi, ma anche processi di valutazione, supervisione e assegnazione. Alcuni diplomati risultano collegati a unità associate ad APT28 e Sandworm/APT44, due tra le formazioni russe più osservate dalla comunità internazionale di sicurezza.

Oltre 2.000 file rivelano una struttura non pubblica

La documentazione comprende registri accademici e amministrativi fino al 2025. È stata esaminata da un consorzio formato da The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare e FRONTSTORY.PL, mentre DomainTools ha svolto un’analisi indipendente dei file.

I dati potrebbero essere stati diffusi su DarkForums da un utente identificato come “Losyash”. Non è stato però accertato se questo account abbia sottratto direttamente i documenti oppure li abbia ottenuti da un’altra fonte.

Il valore della fuga di dati risiede nella granularità delle informazioni. I file mostrano un meccanismo istituzionale che parte dall’università, prosegue con una formazione tecnica e militare specializzata e arriva all’assegnazione presso strutture dello Stato Maggiore russo.

Il Department No. 4 avrebbe operato senza comparire nella rappresentazione pubblica dell’università. Questo elemento, insieme alla denominazione “Special Training”, indica una separazione organizzativa rispetto ai normali percorsi accademici, pur mantenendo l’accesso alle competenze scientifiche e ingegneristiche della Bauman.

La struttura avrebbe formato circa 250 persone in tre specializzazioni militari: intelligence speciale, impiego e contrasto di mezzi di influenza tecnico-informativa, protezione delle tecnologie dell’informazione. Non si trattava, dunque, di un normale corso universitario di cybersecurity.

Un curriculum che unisce attacco, difesa e intelligence

Le materie ricostruite dai documenti coprono l’intero ciclo di un’operazione cyber militare. Comprendono spionaggio, attività offensive, ricognizione elettronica, protezione dei sistemi, crittografia, steganografia, analisi del codice e rilevamento delle intrusioni.

Una parte del programma era dedicata all’analisi del malware e alla cyber threat intelligence. Questo dettaglio è significativo perché mostra la preparazione di operatori capaci non solo di sviluppare o impiegare strumenti offensivi, ma anche di studiare tecniche, infrastrutture e comportamenti degli avversari.

La formazione si estendeva inoltre al livello fisico e alla catena di approvvigionamento. Tra gli argomenti figuravano:

• ispezione dell’hardware e ricerca di impianti fisici;
• analisi del firmware e dei sistemi embedded;
• individuazione di funzionalità non documentate nei dispositivi;
• verifica e protezione di piattaforme militari specializzate;
• sicurezza e approvvigionamento della supply chain;
• protezione di sistemi destinati a trattare informazioni sensibili.

Le attività di red team e blue team non erano organizzate come percorsi separati. Attacco e difesa venivano trattati come componenti della stessa disciplina, con l’obiettivo di formare personale in grado di comprendere entrambe le prospettive operative.

Questa impostazione aiuta a interpretare la natura del programma. L’operatore non viene preparato per una sola funzione tecnica, ma per muoversi tra intrusione, protezione, analisi e supporto all’intelligence. È una preparazione multidisciplinare, pensata per incarichi diversi all’interno dell’apparato militare.

La propaganda entra nelle esercitazioni accademiche

Il concetto di cyber warfare adottato dal Department No. 4 non si fermava alla compromissione di reti e dispositivi. I documenti includono anche attività pratiche di influenza informativa.

In una delle esercitazioni, gli studenti dovevano realizzare un video per i social media usando tecniche descritte nei materiali didattici come manipolazione, pressione e propaganda nascosta. Il lavoro veniva riconosciuto come parte della formazione accademica.

I corsi definivano le “armi tecnico-informative” in termini ampi: strumenti e metodi capaci di alterare, copiare, bloccare, distruggere o manipolare informazioni. In questa cornice, un malware, una capacità di ricognizione e un contenuto propagandistico possono appartenere allo stesso spazio operativo.

La distinzione occidentale tra sicurezza delle reti, guerra elettronica e influenza appare quindi meno netta nel programma. Le competenze vengono integrate per sostenere campagne nelle quali raccolta informativa, intrusione tecnica e manipolazione della percezione possono perseguire obiettivi comuni.

Per i difensori, questo modello suggerisce di non analizzare automaticamente ogni attività come un episodio isolato. Una campagna di spionaggio può preparare un’azione distruttiva oppure alimentare un’operazione informativa, senza che tutte le fasi siano affidate agli stessi individui.

I collegamenti con APT28, Sandworm e Military Unit 29155

Uno dei nomi più rilevanti emersi dai file è Viktor Netyksho, Major General ed ex comandante della Military Unit 26165. Questa unità del GRU è associata pubblicamente ad APT28, conosciuto anche come Fancy Bear, Sofacy e STRONTIUM.

Netyksho figura tra i 12 ufficiali del GRU incriminati dagli Stati Uniti nel 2018 per le interferenze nelle elezioni presidenziali del 2016. La documentazione lo colloca nella struttura di insegnamento e supervisione del Department No. 4 e richiama il suo precedente ruolo presso l’85th Main Special Service Center.

I documenti indicano inoltre assegnazioni di diplomati a tre unità:

• Military Unit 26165, associata ad APT28;
• Military Unit 74455, associata a Sandworm o APT44;
• Military Unit 29155, collegata a operazioni di sabotaggio e assassinio in Europa.

La Military Unit 74455, denominata Main Center for Special Technologies, è stata associata all’attacco NotPetya del 2017 e ad altre operazioni distruttive contro l’Ucraina. Tra i diplomati compare Aleksei Kondrashov, che avrebbe completato il percorso del Department No. 4 nel 2024 e risulta collegato proprio alla Unit 74455.

Il nesso documentale non prova tuttavia che Kondrashov abbia partecipato a NotPetya o ad altre attività specifiche. Lo stesso limite vale per ogni persona indicata nei registri: un’assegnazione amministrativa, un rapporto di supervisione o l’appartenenza a un’unità non dimostrano da soli la responsabilità individuale per un attacco.

Cosa cambia per l’attribuzione delle operazioni russe

La scoperta non identifica una nuova vulnerabilità, un malware sconosciuto o un’infrastruttura di comando e controllo. Ricostruisce invece il sistema attraverso il quale una parte degli operatori viene individuata, formata e indirizzata verso strutture del GRU.

Per la threat intelligence, i documenti forniscono contesto organizzativo. Permettono di mettere in relazione percorsi universitari, supervisori militari, specializzazioni tecniche e successive assegnazioni, delineando una pipeline stabile anziché una serie di reclutamenti occasionali.

La presenza nello stesso programma di competenze associate ad APT28 e Sandworm rafforza anche una lettura integrata delle attività russe. Spionaggio, sabotaggio digitale, ricognizione militare, sorveglianza tecnica e influenza possono condividere dottrina, formazione e canali di reclutamento.

Non sono stati pubblicati indicatori tecnici di compromissione, come indirizzi IP, domini, hash o campioni di malware. Non risultano quindi disponibili regole di rilevamento o mitigazioni direttamente ricavabili dai file.

Le organizzazioni possono però adeguare il metodo analitico. Il monitoraggio dovrebbe correlare unità militari, persone, incarichi, competenze formative e gruppi di minaccia, conservando una separazione rigorosa tra indizio contestuale e prova tecnica. Attribuire un incidente richiede telemetria, infrastrutture, malware, procedure operative e altri elementi verificabili.

I documenti chiariscono come il personale possa arrivare alle unità. Non dimostrano automaticamente che cosa ciascun diplomato abbia fatto dopo l’assegnazione.