La Casa Bianca apre alle cyber-operazioni offensive affidate alle aziende private

Il nuovo programma contro la criminalità informatica straniera

Un memorandum presidenziale statunitense firmato mercoledì incarica il National Coordination Center (NCC) di creare un programma per coinvolgere aziende private di cybersecurity in operazioni offensive contro organizzazioni criminali informatiche straniere.

La notizia è stata resa pubblica il 13 agosto 2026. L’iniziativa punta a colpire gruppi impegnati in ransomware, phishing, frodi finanziarie, sextortion, truffe basate sull’impersonificazione e operazioni di frode romantica o finanziaria gestite attraverso i cosiddetti compound.

Il governo statunitense manterrà la direzione delle attività. Le imprese non riceveranno quindi un’autorizzazione generale ad agire autonomamente contro infrastrutture criminali, ma potranno operare all’interno di missioni definite e approvate dalle autorità federali.

La Casa Bianca sostiene che i consumatori statunitensi abbiano segnalato perdite superiori a 20,8 miliardi di dollari per cybercrime nel 2025. L’obiettivo dichiarato è utilizzare competenze del settore privato che, secondo il memorandum, non sarebbero state sfruttate abbastanza nell’identificazione e nella disgregazione delle reti criminali online.

Non è noto se qualche azienda abbia già accettato di partecipare o se siano già state avviate operazioni. Non sono stati indicati nomi di società autorizzate, prodotti software coinvolti, malware, indirizzi IP, domini o altri indicatori tecnici.

Come funzioneranno autorizzazioni e controllo federale

Ogni operazione dovrà essere approvata in anticipo da funzionari del Department of Justice (DOJ) e del Department of Homeland Security (DHS). Il memorandum prevede che ciascun “pacchetto” operativo sia esaminato e approvato per iscritto.

Prima dell’avvio, l’azienda riceverà istruzioni formali sui limiti e sugli obiettivi dell’attività. La supervisione sarà affidata a executive director designati da DOJ e DHS, mentre l’NCC avrà il compito di coordinare il programma.

Le agenzie federali avranno due mesi per definire le procedure operative, gli standard minimi di partecipazione, i criteri per selezionare gli obiettivi e le modalità con cui le imprese dovranno riferire le attività al governo.

I requisiti dovrebbero comprendere:

• competenza tecnica verificabile;
• esperienza documentata in operazioni cibernetiche;
• sicurezza delle strutture;
• verifica del personale;
• affidabilità aziendale;
• ulteriori garanzie organizzative e operative.

Le società dovranno firmare contratti con DOJ o DHS e comunicare al governo federale tutti i propri rapporti contrattuali. Saranno inoltre sottoposte a valutazioni annuali per conservare l’abilitazione, dovranno inviare report periodici e collaborare con autorità federali, statali, locali, tribali e territoriali.

Il programma potrà anche consentire l’accesso a informazioni governative sulle minacce, utili a pianificare le operazioni. Questo elemento potrebbe aumentare l’efficacia delle missioni, ma rende ancora più rilevanti i controlli sulla gestione delle informazioni classificate o sensibili.

Limiti operativi e gestione degli errori

Il memorandum esclude le operazioni che potrebbero provocare perdite di vite umane o raggiungere la soglia di “uso della forza” o di “attacco armato” secondo il diritto internazionale.

Sono previste anche procedure per gli errori di identificazione e per il superamento dei limiti autorizzati. Se un’azienda dovesse colpire involontariamente una persona statunitense, un sistema informativo situato negli Stati Uniti o un sistema controllato da un cittadino statunitense, dovrebbe interrompere immediatamente l’operazione.

Dovrebbe inoltre applicare misure di minimizzazione, informare l’NCC e fornire gli elementi necessari alla successiva notifica al Department of Justice.

Le imprese avrebbero anche l’obbligo di segnalare al governo:

• attacchi imminenti contro infrastrutture critiche statunitensi;
• complotti o attività potenzialmente in grado di causare vittime.

Le attività dovranno rispettare la Costituzione degli Stati Uniti, la legislazione federale e gli obblighi internazionali applicabili. Il documento lascia però meno definito il trattamento dei casi in cui un gruppo criminale transnazionale sia collegato a servizi d’intelligence, apparati militari o governi stranieri.

Questa zona grigia è centrale. Un’operazione contro un’organizzazione apparentemente criminale potrebbe infatti produrre conseguenze diplomatiche o militari se l’infrastruttura fosse sostenuta, protetta o controllata da uno Stato.

Garanzie economiche e responsabilità delle aziende

Le imprese partecipanti dovranno accettare vincoli contrattuali significativi. È prevista una garanzia o una somma depositata in escrow di almeno 1 milione di dollari, che potrebbe essere persa in caso di violazione degli accordi.

La stessa soglia è descritta anche come penalità minima applicabile alla violazione di qualsiasi parte del contratto. Il testo reso noto non chiarisce ogni dettaglio del meccanismo, ma il principio è chiaro: l’azienda dovrà assumere un’esposizione economica diretta per il mancato rispetto delle regole operative.

Restano più incerti altri profili di responsabilità. Esperti di cybersecurity hanno segnalato la scarsità di protezioni legali esplicite e la mancanza di dettagli sui protocolli da seguire quando un’operazione provoca danni o colpisce un bersaglio errato.

Anche la sicurezza personale degli operatori è un problema concreto. Le aziende coinvolte potrebbero diventare obiettivi di ritorsioni, così come i loro dipendenti e dirigenti. Il rischio potrebbe aumentare nel caso di operazioni contro gruppi sostenuti direttamente o indirettamente da governi stranieri.

Jason Kikta, CTO di Automox ed ex dirigente della Cyber National Mission Force, ha criticato il possibile incentivo alla produzione di attività offensive fatturabili. Chris Wysopal, cofondatore di Veracode, ha invece descritto il piano come un cambiamento significativo nella politica cyber statunitense e un ampliamento rilevante del ruolo privato nelle operazioni offensive.

Un cambio di perimetro per la cybersecurity privata

Il memorandum modifica il confine tradizionale tra attività difensive commerciali e operazioni cibernetiche condotte dallo Stato. Finora le aziende di sicurezza hanno potuto analizzare infrastrutture criminali, raccogliere indicatori, collaborare con le autorità e contribuire alla risposta agli incidenti.

Il nuovo modello mira ad autorizzarle anche a intervenire contro le reti criminali, pur mantenendo il controllo nelle mani del governo federale. Potenzialmente, gli Stati Uniti potrebbero ottenere più capacità per interrompere ransomware, frodi e infrastrutture utilizzate per colpire cittadini e imprese.

I rischi comprendono però errori di attribuzione, danni collaterali, escalation internazionale e coinvolgimento involontario di sistemi statunitensi. Si aggiunge l’incertezza sulla responsabilità quando un’azione autorizzata produce conseguenze non previste.

Bennie Thompson, deputato democratico del Mississippi e membro di vertice della commissione Homeland Security, ha espresso preoccupazione per le implicazioni giuridiche e per gli effetti non intenzionali. Secondo Thompson, le procedure di supervisione sono ancora poco chiare e il tema dovrebbe essere affrontato dall’amministrazione insieme al Congresso.

L’iniziativa si collega a un ordine esecutivo emanato a marzo, che aveva indirizzato le agenzie federali verso un approccio più aggressivo contro la cybercriminalità. Sempre a marzo, il National Cyber Director Sean Cairncross aveva già accennato a un possibile ruolo offensivo del settore privato.

Il programma, quindi, non è ancora una campagna operativa pubblicamente documentata. È soprattutto la definizione di un quadro istituzionale che potrebbe trasformare alcune aziende in esecutori autorizzati di missioni offensive, con supervisione federale ma responsabilità e rischi ancora da precisare.