Cybersecurity spaziale: la nuova frontiera della guerra ibrida

L’orbita bassa: nuova frontiera contesa

L’orbita terrestre bassa (LEO), un tempo riserva di pochi e selezionati programmi spaziali, è oggi al centro di una radicale trasformazione, diventando un epicentro di attività economiche e strategiche, ma anche un teatro di crescenti vulnerabilità. Il dispiegamento senza precedenti di mega-costellazioni satellitari, con giganti come Starlink che già nel luglio 2024 contava oltre 6.200 satelliti operativi e prevedeva una crescita fino a 42.000 unità, sta ridefinendo non solo le comunicazioni globali, ma l’intera topologia di internet. Questa democratizzazione dello spazio, caratterizzata dall’impiego di piccoli satelliti (small satellites e CubeSats) prodotti in serie con componenti Commercial Off-The-Shelf (COTS), promette una connettività ubiquitaria con latenze ultra-basse, stimate tra i 30 e i 50 millisecondi, e un throughput paragonabile alle connessioni in fibra ottica terrestri. Tuttavia, questo scenario idilliaco nasconde una superficie di attacco vasta e porosa, rendendo le infrastrutture satellitari in LEO infrastrutture critiche non solo per i governi, ma per l’intera economia globale.

La posta in gioco è altissima. I satelliti in orbita bassa forniscono servizi essenziali: sistemi di temporizzazione precisi, navigazione GPS, reti di comunicazione senza soluzione di continuità, osservazione della Terra e supporto a settori vitali come la finanza e le operazioni militari. La loro crescente interconnessione e digitalizzazione acuiscono le sfide di cybersecurity, esponendo queste reti a pericoli significativi che spaziano dalle perturbazioni agli accessi non autorizzati, fino a sofisticati attacchi informatici. Nel febbraio 2024, l’Agenzia dell’Unione Europea per la Sicurezza Informatica (ENISA) ha evidenziato come i satelliti a bassa orbita presentino un quadro di minacce più ampio rispetto alle reti terrestri, inserendo l’assenza di un’adeguata analisi e controllo delle infrastrutture spaziali tra le dieci principali minacce alla cybersecurity entro il 2030. La fragilità nascosta di questo sistema emerge chiaramente, un equilibrio precario che potrebbe essere compromesso non solo da attacchi informatici deliberati, ma anche da eventi naturali, amplificando la necessità di una “cyber-sicurezza spaziale” robusta e proattiva. Questo contesto rende l’analisi delle vulnerabilità, delle strategie difensive e degli attori malintenzionati un’inchiesta non solo attuale, ma indispensabile per la salvaguardia della nostra società digitale.

Vulnerabilità architetturali e i segmenti esposti

L’architettura delle mega-costellazioni LEO, con la sua dinamicità e la sua eterogeneità, introduce una miriade di vulnerabilità che si estendono attraverso tutti i segmenti del sistema spaziale, trasformandolo in una rete di punti deboli sfruttabili. La convergenza tra IT e spazio implica che i moderni satelliti incorporano le tipiche debolezze delle reti informatiche, ma queste si ingigantiscono per via delle limitazioni hardware a bordo e della difficoltà di effettuare aggiornamenti software in orbita.

Il segmento spaziale, ovvero la costellazione dei satelliti stessi, è esposto a minacce uniche dovute alla sua esposizione orbitale. Tra i pericoli principali, figurano l’ostacolo radioelettrico (jamming), l’introduzione abusiva di comandi (command injection), la sottrazione del controllo del carico utile o della piattaforma (platform hijacking) e la alterazione del firmware. Attaccanti con capacità avanzate possono sfruttare le debolezze nei canali di comando e controllo, specialmente se l’autenticazione e la cifratura non sono applicate con rigore lungo l’intero ciclo operativo. Ulteriori rischi includono la falsificazione del segnale, in particolare quello GNSS, l’inserimento di malware direttamente nell’hardware di bordo e persino attacchi di corruzione della memoria favoriti dalle radiazioni cosmiche che modificano i bit (Single Event Upsets). La mobilità incessante dei satelliti LEO, che si muovono a circa 7,6 km/s a 500 km di altitudine, costringe i terminali a terra a eseguire procedure di handover tra satelliti diversi ogni pochi minuti, rendendo l’identità topologica del nodo di accesso (PoA) in costante mutamento. Questa dinamica rende l’ispezione statica del traffico e la correlazione degli eventi a lungo termine una sfida proibitiva per i difensori terrestri, ostacolando l’ancoraggio dell’identità dell’endpoint a una stazione radio base fisica.

Il segmento di terra, che comprende i centri di controllo satellitare, le stazioni di terra e i gateway che collegano la rete spaziale alla dorsale internet terrestre, rappresenta il bersaglio più critico. Poiché gestisce la telemetria, il tracciamento e il comando (TT&C) dell’intera costellazione, le sue vulnerabilità risiedono in interfacce web esposte, API non sicure e sistemi operativi legacy non aggiornati. L’adozione del paradigma Ground Station-as-a-Service (GSaaS), con l’esternalizzazione del Ground Segment a giganti commerciali del cloud come AWS Ground Station o Azure Orbital, introduce un’ulteriore criticità. Se un attaccante APT riesce a penetrare l’ambiente cloud, può ottenere il controllo diretto, logico e temporaneo, dell’interfaccia Software Defined Radio (SDR) sottostante, trasformando un cyber-attacco convenzionale mirato al cloud in una acquisizione di comando cinetico dello spazio.

Il segmento utente, che include i terminali finali, le applicazioni client e i dispositivi periferici, è fisicamente accessibile agli attaccanti. Ciò rende possibile l’estrazione di chiavi crittografiche, il reverse engineering del firmware e lo sfruttamento di vulnerabilità locali per trasformare il dispositivo in un punto di appoggio per attacchi alla rete. Un’analisi su larga scala dell’ecosistema cibernetico degli utenti Starlink ha rivelato una notevole presenza di dispositivi LEO esposti pubblicamente con servizi e porte vulnerabili, identificando oltre 8.714 vulnerabilità scoperte (CVE) connesse direttamente agli indirizzi IP finali degli utenti. Questa situazione può portare alla formazione di botnet per attacchi Distributed Denial of Service (DDoS) o alla propagazione di malware.

Infine, i canali di comunicazione, costituiti dai complessi flussi di uplink, downlink e cross-link (ISL), sono suscettibili ad analisi del traffico, intercettazioni passive e attacchi man-in-the-middle, specialmente ai confini di fiducia tra giurisdizioni diverse. L’avvento degli Optical Inter-Satellite Links (OISL), collegamenti ottici nello spazio libero basati su laser, pur offrendo vantaggi come throughput massiccio e resilienza ai disturbi elettromagnetici, introduce un nuovo vettore di attacco. Il routing bypass permette al traffico di viaggiare via laser attraverso la costellazione satellitare per migliaia di chilometri, aggirando i punti di ispezione terrestri e consentendo la Data Routing Evasion, con un impatto profondo sulla sovranità dei dati e sul controllo transfrontaliero.

Attori e tattiche: il gioco del gatto e del topo nel cyberspazio spaziale

Il panorama delle minacce alla sicurezza spaziale è popolato da un’eterogenea schiera di attori, le cui motivazioni e capacità si intrecciano con le specifiche vulnerabilità delle infrastrutture LEO. Gli attori statali e i gruppi Advanced Persistent Threat (APT) rappresentano la punta di diamante di questa minaccia. La crescente tendenza vede gruppi hacktivisti ricevere supporto diretto da governi, trasformandosi in entità dotate di risorse logistiche, tecniche e di intelligence avanzate. Le loro finalità spaziano dallo spionaggio industriale e statale al sabotaggio di infrastrutture critiche, fino alle interferenze politiche. Tra i più noti, si annoverano gruppi cinesi come Unit 61398, specializzato nello spionaggio industriale, e Barium, che combina spionaggio statale e attività cyber-criminali. L’Iran, per il phishing mirato, fa affidamento su Charming Kitten, mentre OilRig è impiegato per colpire i settori energetico e finanziario. La Russia, in particolare, è associata a gruppi come Fancy Bear e Cozy Bear, noti per operazioni di spionaggio e interferenze politiche, e Sandworm, responsabile di attacchi massicci alle infrastrutture energetiche ucraine e della diffusione del malware NotPetya nel 2017, con danni su scala globale.

Il conflitto in Ucraina ha fornito un caso di studio emblematico della guerra ibrida spaziale. L’attacco alla rete satellitare commerciale KA-SAT di Viasat nel febbraio 2022, attribuito a Sandworm, ha dimostrato una sincronizzazione senza precedenti tra attacchi cyber e operazioni militari cinetiche. Questo attacco, che ha compromesso circa 30.000 terminali satellitari, ha avuto conseguenze a cascata su scala continentale, disconnettendo, ad esempio, oltre 5.800 turbine eoliche in Germania e causando interruzioni significative in altri paesi europei. L’utilizzo non autorizzato di terminali civili Starlink da parte delle truppe russe per supportare le operazioni militari e coordinare le architetture C2, e la successiva risposta difensiva ucraina con l’implementazione di white-listing e geo-fencing in coordinazione con SpaceX, ha avuto un impatto catastrofico sulle capacità di comando e controllo russe, evidenziando la dipendenza operativa da infrastrutture civili e la possibilità di neutralizzazione a livello di provider.

Accanto agli attori statali, i gruppi cyber-terroristici o hacktivisti, come KillNet e NoName057, operano spesso come proxy, conducendo attacchi Distributed Denial of Service (DDoS) contro infrastrutture critiche e siti governativi, come avvenuto a dicembre 2024 e gennaio 2025 in diversi stati europei, inclusa l’Italia. Questi gruppi, sebbene inizialmente mossi da ideologie, beneficiano sempre più di supporti statali che ne amplificano le capacità operative.

Per eludere le difese tradizionali, gli attaccanti adottano tattiche sempre più sofisticate. L’evasione della Deep Packet Inspection (DPI) è una priorità, ottenuta tramite la randomizzazione del traffico (Obfs4), che maschera le caratteristiche dei pacchetti, il Domain Fronting (Meek), che instrada le comunicazioni attraverso Content Delivery Network (CDN) legittimi, e lo SNI Spoofing e Fake ClientHello Injection, che manipolano il Server Name Indication (SNI) durante l’handshake TLS. L’offuscamento basato su eBPF e protocolli UDP, come QUIC e HTTP/3, sfrutta la minore rigorosità di ispezione di questi protocolli, facendo apparire il traffico malevolo come rumore casuale.
La natura intrinseca delle reti LEO offre ulteriori vantaggi agli aggressori. La mobilità incessante dei satelliti e la frequenza degli handover rendono il tracciamento topologico estremamente difficile. L’adozione del Carrier Grade Network Address Translation (CGNAT) per affrontare l’esaurimento degli indirizzi IPv4, pur consentendo la scalabilità della rete, ha una contropartita significativa. Impedendo connessioni in ingresso, obbliga gli attaccanti a utilizzare architetture C2 a reverse-shell o beaconing, ma contemporaneamente rende inefficace il blacklisting IP. L’indirizzo IPv4 pubblico di un attacco sarà lo stesso utilizzato contemporaneamente da decine di migliaia di utenti legittimi, causando un catastrofico denial-of-service collaterale se bloccato. Ciò crea un effetto di “gregge digitale” che impedisce di distinguere l’attività C2 analizzando esclusivamente l’intestazione di livello 3 del protocollo IP.

Strategie difensive e la ricerca di un equilibrio

Di fronte all’escalation delle minacce e alla crescente sofisticazione degli attori malevoli, il settore della sicurezza spaziale sta sviluppando strategie difensive innovative, cercando un difficile equilibrio tra protezione, resilienza e rapidità di risposta. Le soluzioni tecnologiche rappresentano la prima linea di difesa, con l’implementazione di *crittografia avanzata end-to-end per proteggere le comunicazioni tra satelliti e stazioni di terra, monitoraggio continuo e sistemi di rilevamento delle intrusioni (IDS) per identificare e contrastare tempestivamente attività anomale. Fondamentale è anche la sicurezza basata su hardware, con l’utilizzo di chip sicuri e architetture resilienti, e l’adozione di tecnologie anti-jamming, come le tecniche di spread spectrum e beamforming, per ridurre l’impatto degli attacchi di disturbo del segnale.

A livello internazionale, si stanno moltiplicando gli sforzi per definire standard e programmi di protezione. L’Agenzia Spaziale Europea (ESA) ha lanciato il programma Space-Shield, con l’obiettivo di salvaguardare le comunicazioni satellitari attraverso lo sviluppo di tecnologie di sicurezza all’avanguardia, inclusi sistemi di crittografia quantistica e soluzioni di rilevamento delle minacce in tempo reale. L’ENISA sta lavorando alla definizione di standard specifici per migliorare la resilienza dell’ecosistema spaziale europeo, mentre negli Stati Uniti la Federal Communications Commission (FCC) e il National Institute of Standards and Technology (NIST) stanno elaborando regolamenti per rafforzare la sicurezza delle costellazioni satellitari.

Un approccio innovativo per la modellazione delle minacce è il framework Sat-ATT&CK, un’estensione diretta del rinomato database MITRE ATT&CK. Questo framework cattura le minacce trasversali attraverso i livelli fisico, di rete e utente, delineando tattiche specifiche come l’Initial Access (tramite canali RF aperti o compromissione della Supply Chain), l’Execution (di codice on-orbit), la Persistence (nei terminali ground), la Privilege Escalation (nei Ground Control Systems), l’Evasion (tramite laser routing o DPI bypass), il Command and Control (C2 tramite beaconing occultato nel traffico LEO) e l’Impact (come denial of service, data wiping o jamming). L’incidente Viasat KA-SAT del 2022 ha validato operativamente questo modello, dimostrando come la rete satellitare possa essere non solo vettore, ma anche bersaglio infrastrutturale diretto per massimizzare l’impatto.
La ricerca si sta concentrando su nuovi paradigmi algoritmici per il rilevamento delle anomalie in tempo reale. L’High-Risk Path Detection (RPD) è un promettente framework che identifica manipolazioni della rete e dirottamenti di rotta basandosi sull’analisi delle anomalie spazio-temporali dei ritardi di propagazione. L’RPD calcola la distanza geometrica pura e il ritardo di propagazione teorico lungo i collegamenti Inter-Satellite (ISL), confrontandoli in tempo reale con i ritardi effettivi. Questo sistema è capace di raggiungere un’accuratezza media di rilevamento del 91,64% in condizioni operative normali, anche in presenza di congestioni di traffico. Nel dominio applicativo, l’uso di modelli di Deep Learning come il Bi-LSTM sparse autoencoder per reti satellitari (BLSAE-SNIDS) permette di estrarre e interpretare astrazioni latenti dal traffico grezzo, identificando firme comportamentali del malware anche in presenza di offuscamento, con un’efficienza computazionale adeguata ai vincoli di memoria ed energia dell’hardware di bordo nei satelliti LEO (Edge Processing On-Orbit).
Un’altra direttrice strategica è l’adozione di architetture di cifratura Overlay gestite dal cliente (Customer-Controlled Encryption Overlay). Attualmente, le chiavi crittografiche e i controlli sul firmware sono spesso sotto il monopolio gestionale del provider satellitare. La decrittazione del flusso dati avviene all’interno della demilitarized zone (DMZ) dell’infrastruttura terrestre del provider, creando una finestra temporale in cui i pacchetti sensibili possono essere intercettati o manipolati. L’approccio “Zero Trust” in questo contesto prevede l’impiego di hardware certificati o appliance VPN poste tra la rete locale e il terminale satellitare, garantendo che i dati inviati al satellite rimangano inviolabili, estendendo il perimetro di confidenzialità e proteggendo da future compromissioni infrastrutturali.

Oltre la tecnologia: la necessità di una governance globale

Il dinamismo intrinseco del cyberspazio e dello spazio extra-atmosferico, entrambi privi di confini fisici definiti, rende la protezione delle infrastrutture satellitari un’impresa notevolmente più complessa rispetto alla difesa di asset terrestri. Questa assenza di limiti geografici si riflette in un quadro normativo internazionale frammentato, un vuoto che alimenta una pericolosa “zona grigia” in cui le azioni ostili possono proliferare senza chiare conseguenze. Sebbene il cyberspazio sia riconosciuto come un “Operational Domain” dalla NATO dal 2016 e il diritto internazionale sia, in linea di principio, applicabile, la sua interpretazione e la sua applicazione nel contesto cyber-spaziale sono costellate di incertezze e controversie.
La sfida più pressante riguarda l’attribuzione di un cyberattacco. Nonostante si articoli su tre livelli – tecnico, politico e legale – la difficoltà di condurre analisi forensi in territori esteri, unita all’uso sapiente di proxy e tecniche di offuscamento (come l’IP spoofing), rende l’attribuzione tecnica ed legale estremamente ardua. Si ricorre spesso a un’attribuzione politica, una decisione strategica volta a identificare un attore specifico, ma la sua efficacia rimane limitata in un contesto geopolitico sempre più polarizzato.
Vi sono inoltre interrogativi legali irrisolti fondamentali. Cosa costituisce un attacco contro un sistema spaziale? Un jamming radiofrequenza o uno spoofing GPS, che non causano danni fisici permanenti ma disabilitano temporaneamente un satellite, possono essere considerati atti di aggressione? Come si distingue un satellite civile da uno militare o dual-use, distinzione cruciale per l’applicazione del diritto internazionale umanitario, ma sempre più sfumata nell’era delle mega-costellazioni commerciali con usi militari? Chi si assume la responsabilità legale per i danni collaterali qualora un attacco cyber a un satellite civile, magari al servizio di forze militari, causi interruzioni di servizi in paesi terzi neutrali?

Queste zone d’ombra sono ampiamente sfruttate dagli attori ostili per condurre operazioni nella “zona grigia”, attività che non sono né pace né guerra. Si tratta di azioni aggressive – DDoS, jamming, spoofing GPS, intrusioni senza danni fisici diretti – che producono effetti strategici significativi ma rimangono intenzionalmente al di sotto della soglia che costituirebbe formalmente un atto di guerra. Questo conferisce agli aggressori un vantaggio asimmetrico: possono testare le difese avversarie, raccogliere intelligence sulle vulnerabilità dei sistemi satellitari, compromettere progressivamente le capacità spaziali nemiche e mantenere una “plausible deniability” delle proprie azioni, evitando ritorsioni formali.

A complicare ulteriormente il quadro vi è la democratizzazione dello spazio. La drastica riduzione dei costi di lancio, calata da circa 55.000 dollari al chilogrammo con lo Space Shuttle negli anni Ottanta a circa 2.700 dollari con il Falcon 9 di SpaceX nel 2024, ha portato a una proliferazione esponenziale di attori. Dalle superpotenze tradizionali alle nazioni emergenti, dalle grandi corporazioni alle startup innovative e persino alle università, un numero sempre crescente di entità è ora in grado di lanciare satelliti. L’economia spaziale globale ha raggiunto nel 2022 un valore di 546 miliardi di dollari, con il segmento commerciale che rappresenta il 78% del totale. Questo significa che lo spazio non è più un dominio esclusivo delle agenzie governative, ma un mercato dinamico dove operatori privati agiscono secondo logiche commerciali che possono confliggere con imperativi di sicurezza nazionale, rendendo difficile garantire standard di sicurezza omogenei in una costellazione di migliaia di satelliti.

Verso un futuro resiliente nel dominio spaziale

Il “Far West Spaziale” è un crocevia di opportunità e minacce, un ecosistema in cui l’innovazione galoppante si scontra con una governance internazionale ancora in affanno. Le costellazioni satellitari in orbita bassa, pur rappresentando un balzo in avanti per la connettività e l’osservazione, si rivelano al contempo infrastrutture critiche di una fragilità sorprendente, suscettibili non solo ad attacchi informatici mirati, ma anche a eventi naturali che, amplificati da vulnerabilità cyber, possono innescare scenari catastrofici. La lezione del 24 febbraio 2022, con l’attacco al sistema KA-SAT, è un monito inequivocabile: la sicurezza spaziale non è più una questione teorica, ma una necessità operativa immediata, strategica per la difesa nazionale, la resilienza economica e la protezione delle infrastrutture vitali di ogni nazione avanzata.

Per affrontare questa sfida multidimensionale, è imperativo un approccio integrato che vada oltre la mera implementazione tecnologica. Serve una profonda riflessione sulla cyber-resilienza spaziale, intesa come capacità non solo di resistere agli attacchi, ma anche di adattarsi, recuperare e continuare a operare efficacemente anche in presenza di compromissioni. Questo implica un investimento continuo in intelligenza algoritmica, con lo sviluppo di sistemi di rilevamento delle anomalie basati su machine learning e intelligenza artificiale, capaci di anticipare e neutralizzare le minacce più sofisticate. Parallelamente, è fondamentale rafforzare la trasparenza e la sicurezza della supply chain spaziale, garantendo che hardware e software siano protetti da manomissioni fin dalla fase di produzione. La segregazione crittografica overlay, basata su un approccio “Zero Trust”, diventerà lo standard per garantire la sovranità dei dati e la protezione delle comunicazioni, anche quando si attraversano infrastrutture di terze parti.

Al di là degli aspetti puramente tecnici, la sfida più grande risiede nella costruzione di un quadro normativo internazionale robusto e condiviso*. La mancanza di consenso su cosa costituisca un “attacco” nello spazio, le ambiguità sulla distinzione tra asset civili e militari, e la difficoltà nell’attribuzione delle responsabilità creano una pericolosa “zona grigia” che favorisce gli aggressori. È urgente definire regole chiare, meccanismi di attribuzione affidabili e un sistema di governance globale che possa prevenire l’escalation e garantire la stabilità strategica. Solo così, trasformando il “Far West Spaziale” da un campo di battaglia potenziale a un dominio di cooperazione e progresso, potremo assicurare un futuro resiliente nel dominio spaziale per le generazioni a venire.