Riassunto:
Dopo che l'Ucraina ha recentemente lanciato un attacco con droni contro un data center gestito dalla società tecnologica russa Yandex, sui social media è emersa una dichiarazione sorprendente: i troll sostenuti dal governo russo e le campagne di disinformazione sembrano essere improvvisamente diminuiti. Anche il presidente ucraino Zelenskyj ha parlato pubblicamente di questo fenomeno, affermando che l’incitamento all’odio, i contenuti controversi e i comportamenti provocatori sono diminuiti su più piattaforme social.
Tuttavia, ulteriori indagini hanno rivelato che questa affermazione mancava di prove affidabili a sostegno e che i dati pertinenti erano probabilmente interpretati erroneamente. Gli attacchi dei droni hanno causato danni ad alcune infrastrutture digitali russe, ma ciò non significa che la rete di disinformazione russa sia stata gravemente danneggiata.
Secondo i rapporti, all'inizio di ottobre 2026 l'Ucraina ha attaccato successivamente diversi data center gestiti da Yandex in Russia. Yandex è una delle più importanti società di tecnologia Internet in Russia. Il suo ambito di attività comprende motori di ricerca, ride-hailing online, consegna di cibo, cloud computing, intelligenza artificiale e altri servizi digitali. Occupa una posizione importante nell'infrastruttura Internet russa.
L'attacco ha causato danni reali all'infrastruttura. Nella notte tra il 7 e l'8 ottobre, il data center di Sasovo, nella regione di Ryazan, è stato attaccato da droni. Le strutture furono gravemente danneggiate e costrette a chiudere completamente. Successivamente è stato attaccato anche il data center nella regione di Kaluga e alcune infrastrutture non hanno potuto continuare a funzionare. Da allora, i data center nella regione di Vladimir sono stati nuovamente colpiti e le strutture correlate hanno smesso di funzionare, causando il malfunzionamento di alcuni servizi di rete che si basano su queste infrastrutture.
Yandex ha successivamente confermato che alcuni data center erano stati attaccati e ha affermato che la società stava valutando il danno e lavorando duramente per ripristinare i servizi. Poiché i data center trasportano un gran numero di server e risorse informatiche, il loro stato operativo non influisce solo sui prodotti Internet utilizzati dai consumatori comuni, ma influisce anche sull'attività delle imprese che si affidano alle piattaforme di cloud computing.
Dopo l'attacco, alcuni utenti di social media hanno iniziato a sostenere che si era verificata una significativa diminuzione dell'attività degli account bot provenienti dalla Russia. Hanno affermato che la frequenza di pubblicazione e interazione di alcuni account politici è diminuita, la diffusione dei contenuti di account relativi ad alcuni gruppi politici di estrema destra sembra essere meno attiva e gli utenti hanno riferito di aver ricevuto meno chiamate spam e messaggi molesti.
Anche il presidente ucraino Zelenskyj ha parlato più tardi di questo fenomeno. Al Forum sulla sicurezza di Varsavia tenutosi il 12 ottobre, ha affermato che dopo che l’Ucraina ha preso provvedimenti contro i data center russi, l’ambiente online su alcune piattaforme di social media sembrava essere migliorato, con una riduzione dell’incitamento all’odio, delle divisioni sociali e dei contenuti provocatori. Ha usato questo per chiedersi se la Russia utilizzi da tempo account automatizzati per influenzare l’opinione pubblica online in Europa e in altre regioni.
Queste affermazioni hanno rapidamente suscitato discussioni. Se la Russia utilizza effettivamente infrastrutture digitali rilevanti per organizzare attività cibermilitari su larga scala, allora diventa motivo di preoccupazione se gli attacchi ai data center possano indebolire direttamente la sua capacità di diffondere disinformazione transnazionale.
Il problema, tuttavia, è che i dati chiave a sostegno di questa affermazione non dimostrano che si sia effettivamente verificato un calo significativo dell'attività dei troll.
Un'importante fonte di controversia sono i dati rilasciati dalla società di infrastrutture Internet Cloudflare. Dopo l’attacco, Cloudflare Radar ha mostrato un calo significativo del traffico automatizzato dalla rete Yandex. Alcuni utenti di Internet hanno interpretato questo cambiamento come un forte calo dell’attività degli account bot russi e credevano inoltre che il data center Yandex potesse aver fornito un’importante infrastruttura per le operazioni di disinformazione sostenute dal governo russo.
Tuttavia, l'account di monitoraggio anti-disinformazione antibot4navalny ha sottolineato che questa interpretazione confonde due tipi di traffico automatizzato di natura completamente diversa.
I dati rilevanti raccolti da Cloudflare riguardano principalmente richieste automatizzate dalla rete Yandex, inclusi i web crawler utilizzati dai motori di ricerca. Tali programmi visitano automaticamente i siti Web, leggono i contenuti Web e indicizzano le informazioni in modo che gli utenti possano trovare pagine pertinenti tramite i motori di ricerca. Possono anche svolgere altre attività automatizzate, ma proprio perché si tratta di traffico bot, non dovrebbero essere considerati troll politici sui social media.
In altre parole, l'improvviso calo delle visite automatizzate dalla rete Yandex mostra innanzitutto che alcune infrastrutture di rete di Yandex o servizi correlati sono stati colpiti. Ciò non dimostra direttamente che gli account russi utilizzati per diffondere propaganda politica e disinformazione siano stati interrotti contemporaneamente.
Questa distinzione è importante. Sebbene i web crawler e i troll dei social media possano essere collettivamente definiti robot, esistono differenze significative nel modo in cui operano, nel loro scopo di utilizzo e nei requisiti infrastrutturali. I crawler dei motori di ricerca spesso hanno bisogno di visitare continuamente un gran numero di siti web, mentre i troll dei social media possono operare attraverso un gran numero di account sparsi, server proxy e connessioni di rete in diversi paesi. La distruzione dei server nel data center di un'azienda non comporta necessariamente un arresto su larga scala di quest'ultimo.
Anche altri analisti hanno messo in dubbio il cosiddetto calo improvviso dell'attività dei cyber troll russi.
Secondo il rapporto "Kyiv Independent", l'esperto di cyber threat intelligence Roman Osadchuk ha sottolineato che non esiste un modo affidabile per integrare gli account bot e le attività di troll online su diverse piattaforme in un risultato statistico accurato e completo in assenza di dati interni da ciascuna piattaforma di social media. Anche se si verifica una diminuzione dei post e delle interazioni sui social media, saranno necessarie ulteriori analisi per determinare se sia il risultato di un calo degli account automatizzati, di cambiamenti nell’attività reale degli utenti o di altri fattori tecnici.
Alcuni osservatori hanno notato un calo del coinvolgimento su alcuni account di social media dopo gli attacchi. Ma questo non basta per stabilire il nesso di causalità. Le differenze di attività tra i fine settimana e i giorni feriali, i problemi tecnici con i servizi di rete, gli orari di lavoro dei diversi team operativi e i cambiamenti nel comportamento generale degli utenti possono causare fenomeni simili.
Nel frattempo, le reti di disinformazione sostenute dalla Russia non mostrano segni di cessazione totale della loro attività. Antibot4navalny ha comunque riferito che diversi account pro-Cremlino hanno pubblicato video e diffuso false narrazioni lo stesso giorno in cui Zelenskyj ha fatto le osservazioni pertinenti. Queste includono affermazioni secondo cui gli esperti avrebbero chiesto all’UE di revocare le sanzioni contro la Russia.
Ciò dimostra che anche se alcuni data center Yandex vengono distrutti, gli account di propaganda politica legati alla Russia possono comunque continuare a pubblicare contenuti. Le prove disponibili non sono sufficienti per dimostrare che questi attacchi abbiano inferto un colpo decisivo alla capacità della Russia di diffondere disinformazione.
Un altro problema degno di nota è che le stesse operazioni di influenza informatica russe potrebbero essere altamente decentralizzate.
La diffusione di informazioni false non deve necessariamente fare affidamento sul data center di una determinata azienda tecnologica in Russia. Le azioni rilevanti possono essere eseguite tramite server esteri, reti di agenzie, servizi commerciali di marketing sui social media e account distribuiti in diversi paesi. Alcune operazioni di influenza informatica possono anche basarsi sull’outsourcing di team o infrastrutture di rete in luoghi come la Macedonia del Nord e le Filippine, riducendo così la dipendenza dai server in Russia.
Questa architettura decentralizzata consente all'intera rete di continuare a funzionare anche se viene colpita una singola infrastruttura. Anche se alcuni server sono temporaneamente non disponibili, gli operatori possono riprendere l'attività attraverso altri nodi, account e servizi della rete.
Inoltre, anche i servizi di interazione con gli account commerciali rendono il problema più complicato. Alcuni account possono acquistare Mi piace, commenti e retweet per espandere la portata dei contenuti, ma le reti che forniscono questi servizi non sono necessariamente direttamente affiliate a un paese o a un'organizzazione politica. Pertanto, è difficile determinare con precisione la portata dell’impatto di una campagna di disinformazione sponsorizzata dallo Stato e basata esclusivamente sui cambiamenti nel volume di interazione sui social media.
Anche la Polonia e altri paesi europei hanno segnalato una diminuzione dell'attività dei robot russi, ma le agenzie competenti non hanno ancora rilasciato dati completi sufficienti a confermare questa conclusione. Il Centro di analisi della disinformazione, parte della rete informatica nazionale accademica e di ricerca polacca, ha affermato di non aver trovato prove di un calo significativo nell’attività dei resoconti di disinformazione durante il periodo di tempo in questione monitorato. Ciò che il centro ha osservato è che i singoli account hanno cessato l’attività e non vi è alcuna base per attribuire chiaramente questi cambiamenti all’attacco ucraino al data center Yandex.
Per i ricercatori di sicurezza informatica, tali incidenti espongono anche un altro problema: quanto sia facile per il pubblico interpretare i cambiamenti negli indicatori tecnici direttamente come cambiamenti nelle operazioni di influenza politica.
Quando una determinata statistica oscilla improvvisamente in modo significativo, le persone tendono a cercare una ragione intuitiva. Se la fluttuazione si verifica dopo un attacco militare, è più facile collegare i due. Tuttavia, cosa viene misurato esattamente nei dati stessi, quali oggetti sono inclusi nell’ambito statistico e qual è la relazione tra indicatori rilevanti e attività politiche effettive devono essere rigorosamente verificati.
In questo incidente, la diminuzione delle richieste automatizzate dalla rete Yandex e la diminuzione dei troll informatici russi sono in realtà due questioni diverse. Il primo può essere osservato attraverso i dati sul traffico Internet, mentre il secondo richiede un’analisi completa del comportamento degli account, dei modelli di diffusione dei contenuti, delle fonti di connessione di rete e dei metodi operativi delle organizzazioni interessate su più piattaforme di social media.
Ciò non significa che gli attacchi ai data center non avranno un impatto sulle operazioni di influenza informatica russa. Se l’operazione utilizza strutture danneggiate, l’attacco potrebbe causare un certo grado di interruzione. Tuttavia, finora, le prove pubbliche non sono sufficienti per dimostrare che il data center Yandex sia il fulcro operativo dei cyber troll russi, né si può confermare che questi attacchi abbiano causato un declino prolungato e su larga scala delle attività di disinformazione russe.
Nel frattempo, i danni alle infrastrutture digitali causati dagli attacchi rimangono molto reali. Il data center Yandex ospita un gran numero di servizi per utenti ordinari e imprese. L’interruzione delle strutture potrebbe influenzare il ride-hailing online, la consegna di cibo, i pagamenti, il cloud computing e altre attività quotidiane. Questi impatti diretti sono più facili da verificare attraverso le interruzioni dei servizi e gli annunci aziendali rispetto alle campagne politiche sui social media.
Da una prospettiva più ampia, il conflitto Russia-Ucraina si sta estendendo ulteriormente ai settori dei data center e delle infrastrutture Internet. La Russia ha già lanciato attacchi alle infrastrutture digitali e alle strutture di comunicazione dell’Ucraina, e l’Ucraina ha anche iniziato ad attaccare strutture in Russia che svolgono importanti funzioni informatiche e di servizi di rete. I data center stanno quindi diventando un nuovo e importante obiettivo in questo conflitto.
L'impatto di questo tipo di attacco dipende non solo dalle dimensioni della struttura stessa, ma anche dai servizi che gestisce, da quanto è centralizzata l'architettura di rete e dalla possibilità o meno di spostare rapidamente i servizi in altre posizioni. Per un’economia digitale che fa affidamento su pochi grandi data center per funzionare, la centralizzazione dell’infrastruttura può migliorare l’efficienza informatica, ma può anche amplificare la reazione a catena causata da un singolo punto di guasto.
Pertanto, non esiste ancora una risposta definitiva sulla misura in cui l'attacco ucraino ai data center Yandex abbia indebolito le operazioni di influenza informatica della Russia. Ciò che può essere confermato è che parte del traffico di rete automatizzato e dei servizi digitali sono stati colpiti dopo la distruzione delle relative strutture. Tuttavia, non ci sono basi sufficienti per interpretare direttamente questi cambiamenti come un duro colpo per i troll informatici russi.
Questa controversia ricorda inoltre alle persone che in un ambiente in cui la guerra dell'informazione e le operazioni militari sono intrecciate, i dati potrebbero non solo essere utilizzati per descrivere la realtà, ma potrebbero anche essere interpretati erroneamente o addirittura confezionati come prova del successo di una determinata operazione. Considerare i risultati non verificati come fatti accertati potrebbe oscurare la vera fonte delle minacce e distogliere l’attenzione dal successivo lavoro sulla sicurezza della rete e sulla lotta alla disinformazione.
Commenti