L’FSB accusa Cloudflare e Fastly di spionaggio sui telefoni dei funzionari russi: cosa c’è dietro l’escalation

Cruciale è che la dichiarazione dell’FSB non accusa i dipendenti di Cloudflare e Fastly di aver scritto il malware o orchestrato direttamente gli attacchi informatici. L’agenzia ha invece affermato che le “capacità tecniche” di queste aziende sarebbero state “sfruttate” nell’operazione. È una frase volutamente ampia, che può sottintendere che le loro reti di distribuzione dei contenuti (CDN), i servizi di sicurezza o l’infrastruttura di reverse-proxy abbiano giocato un ruolo nell’esfiltrazione dei dati o nelle comunicazioni malevole . Per accompagnare l’annuncio, l’FSB ha diffuso un video che mostra gli uffici di Cloudflare a San Francisco, le sedi di Fastly a San Francisco e Londra e un edificio non identificato a New York, suggerendo un loro collegamento diretto con lo sviluppo o il controllo operativo dello spyware .

L’FSB non ha nominato esplicitamente gli Stati Uniti, ma ha sottolineato che ministeri del governo britannico, incluso il Ministero della Difesa, sono clienti dei servizi di sicurezza di rete di Cloudflare e Fastly . I media di stato russi hanno comunque descritto l’operazione come orchestrata dai “servizi segreti di Stati Uniti e Gran Bretagna” .

Nessuna indagine indipendente ha verificato alcuna parte di questa accusa. Né Cloudflare né Fastly hanno commentato pubblicamente l’allegazione specifica, e l’FSB non ha rilasciato alcuna prova forense del malware, né log di rete che mostrino il traffico verso le infrastrutture incriminate, né dettagli tecnici che leghino le configurazioni lato server a un’operazione di spionaggio. Il Dipartimento di Giustizia americano ha in passato incriminato ufficiali dell’FSB per aver diretto operazioni criminali di hacking, inclusa la compromissione di milioni di account Yahoo . Questo dettaglio sottolinea come le accuse non verificate provengano da un’agenzia che è essa stessa un attore cibernetico offensivo.

Uno schema già visto: la colpa data all’infrastruttura tech

Non è la prima volta che l’FSB accusa aziende tecnologiche occidentali di essere partecipanti attivi in operazioni di intelligence. Nel giugno 2023, l’FSB affermò che l’Agenzia per la Sicurezza Nazionale (NSA) americana aveva sfruttato una vulnerabilità degli iPhone Apple per compromettere i dispositivi di migliaia di cittadini russi e diplomatici stranieri, dichiarando pubblicamente che Apple aveva “collaborato” con la NSA per portare a termine gli attacchi . Apple negò l’accusa e non fu mai resa pubblica alcuna prova forense. La somiglianza strutturale è sorprendente: un’accusa non supportata da prove che dipinge l’infrastruttura o il software di una grande azienda tecnologica occidentale come strumento diretto dello spionaggio di stato, accompagnata da materiale video o fotografico ma senza alcun dato tecnico verificabile.

Dai blocchi tecnici alle accuse di spionaggio: la campagna contro Cloudflare

L’accusa di collusione nello spionaggio telefonico arriva nel bel mezzo di una campagna documentata, durata oltre un anno, con la quale il governo russo ha cercato di rallentare, bloccare e screditare Cloudflare.

A ottobre 2024, Roskomnadzor – l’autorità federale russa per le comunicazioni – ha bloccato migliaia di siti web che utilizzavano il protocollo Encrypted Client Hello (ECH) di Cloudflare, un’estensione TLS che crittografa l’handshake iniziale e rende difficile per un gestore di rete capire quale sito stia visitando un utente . All’epoca, il regolatore dichiarò che l’ECH “viola” le normative russe che regolano la possibilità di ispezionare il traffico.

Il 20 marzo 2025, la campagna si è intensificata drasticamente quando Roskomnadzor ha bloccato temporaneamente interi intervalli di sottoreti di Cloudflare, comprendenti più di 500.000 indirizzi IP. Un esperto tecnico del gruppo russo per i diritti digitali Roskomsvoboda ha stimato che circa 1,5 milioni di indirizzi IP siano stati colpiti in diverse regioni . Il blocco ha causato diffusi disservizi per sistemi di online banking come Sberbank e Alfa-Bank, portali governativi, app di comunicazione e servizi di gaming, che si appoggiavano tutti alla CDN di Cloudflare . Quando utenti e aziende hanno segnalato i disservizi, Roskomnadzor ha dato la colpa all’“infrastruttura server estera” e ha raccomandato alle organizzazioni russe di migrare verso provider di hosting nazionali .

L’attacco tecnico più prolungato è iniziato il 9 giugno 2025, quando i maggiori ISP russi, tra cui Rostelecom, Megafon, Vimpelcom, MTS e MGTS, hanno avviato una campagna nazionale di strozzatura (throttling) contro tutto il traffico gestito da Cloudflare . La limitazione era chirurgica: consentiva ai dispositivi degli utenti finali di scaricare solo i primi 16 kilobyte di qualsiasi risorsa web prima di troncare la connessione . Per un browser moderno, 16 KB sono sufficienti a malapena per visualizzare qualche intestazione HTTP e le prime righe di testo, ma del tutto insufficienti per caricare una pagina funzionante, uno script o un foglio di stile. Il risultato è stato che milioni di siti web protetti da Cloudflare sono praticamente scomparsi per gli utenti in Russia, pur dando l’illusione di essere raggiungibili a controlli di rete superficiali .

Cloudflare ha confermato pubblicamente la strozzatura il 26 giugno 2025, definendola un’interferenza a livello statale al di fuori del proprio controllo . I dati interni dell’azienda hanno mostrato che il limite era imposto attraverso molteplici meccanismi simultanei, inclusa l’iniezione di pacchetti e la limitazione della velocità, indicando una gestione attiva piuttosto che un errore di configurazione di rete . Freedom House e monitor indipendenti di internet hanno documentato che il traffico totale di Cloudflare dalla Russia è calato in modo sostanziale, e che i disservizi hanno coinciso con l’inserimento di Cloudflare nel registro di Roskomnadzor degli “organizzatori della diffusione di informazioni” . Questo registro è un regime di sorveglianza che impone alle aziende elencate di conservare i dati degli utenti russi su server locali e di fornire le chiavi di decrittazione all’FSB su richiesta. Le aziende che non ottemperano vanno incontro a strozzatura obbligatoria o blocco totale, esattamente l’esito osservato da giugno 2025.

Se si legge la limitazione di giugno 2025 insieme ai blocchi di sottoreti di marzo 2025 e al bando dell’ECH di ottobre 2024, emerge una progressione chiara: la Russia ha prima preso di mira un protocollo di crittografia specifico, poi ha bloccato interi intervalli di rete, e ora sta usando controlli tecnici per degradare l’intero servizio Cloudflare a tempo indeterminato. L’accusa di spionaggio dell’FSB del 2 giugno 2026 aggiunge una sovrastruttura narrativa di collusione criminale a una campagna di soppressione tecnica che era già pienamente in corso.

La spinta più ampia per un internet russo sovrano

Le mosse contro Cloudflare e Fastly fanno parte di un progetto molto più ampio e pluriennale del Cremlino per portare l’internet russo sotto pieno controllo domestico, un quadro politico che il governo chiama “sovranità digitale”.

Una nuova legislazione ora richiede agli operatori di telecomunicazioni di installare apparati di Deep Packet Inspection (DPI) controllati dallo stato, noti come sistema “Mezzi Tecnici per Contrastare le Minacce” (TSPU), che danno all’FSB la capacità di monitorare, filtrare e limitare il traffico a livello di rete . Le compagnie telefoniche che non si registrano presso Roskomnadzor o non rispettano le richieste di dati dell’FSB vanno incontro a multe e restrizioni del servizio.

A settembre 2025, le autorità russe hanno introdotto un “registro dei servizi socialmente significativi”, una vera e propria lista bianca di inizialmente 57 siti web pre-approvati – tra cui l’agenzia di stampa statale RIA Novosti, le principali banche, il portale governativo Gosuslugi, i social network domestici e alcuni servizi Yandex – che sono garantiti come accessibili durante disservizi di rete e test di shutdown . Qualsiasi servizio ospitato all’estero e non presente nella lista può essere disconnesso in qualsiasi momento.

Il governo si è mosso con forza anche contro le comunicazioni crittografate e gli strumenti per aggirare la censura. All’inizio del 2026, Roskomnadzor aveva già limitato centinaia di applicazioni e protocolli VPN . Ad agosto 2025, le chiamate vocali e video tramite Telegram e WhatsApp sono state limitate, e presto sono seguite restrizioni dirette su Telegram stesso .

La traiettoria è inequivocabile. L’approccio della Russia si è evoluto da blocchi mirati di siti web di un decennio fa, passando per un filtraggio su larga scala basato su DPI, fino alla fase attuale in cui interi fornitori occidentali di reti di distribuzione dei contenuti e infrastrutture vengono sistematicamente degradati, disconnessi o sottoposti ad accuse penali ufficiali. L’obiettivo è uno spazio internet russo in cui tutto il traffico sia ispezionabile dall’FSB e in cui l’infrastruttura straniera non abbia alcuna base operativa .

L’accusa di spionaggio del 2 giugno 2026 contro Cloudflare e Fastly è l’ultima mossa di questo progetto. È un’imputazione di spionaggio non comprovata, lanciata contro le stesse aziende la cui infrastruttura la Russia ha passato due anni a rendere metodicamente inaccessibile ai propri cittadini.