Il 12 agosto 2026 Donald Trump ha firmato un National Security Presidential Memorandum che autorizza aziende private vettate a condurre operazioni offensive cibernetiche contro organizzazioni criminali transnazionali. Il documento, gestito dal DHS National Coordination Center con oversight congiunto di DOJ e DHS, rappresenta un'inversione di rotta rispetto alla posizione dell'amministrazione espressa soltanto cinque mesi prima. A marzo 2026 Thomas Lind, allora senior adviser all'Office of the National Cyber Director, aveva dichiarato pubblicamente: "We're not interested in fighting pirates with pirates". Il passaggio da quel rifiuto alle "lettere di marca digitali" — come le ha definite Nicholas Weaver — non ha una spiegazione ufficiale nelle fonti disponibili.
- Ogni operazione richiede approvazione scritta congiunta dei co-Executive Director di DOJ e DHS, con deposito in escrow di almeno 1 milione di dollari per ciascuna azienda partecipante
- Il programma distingue tra "Cyber Surveillance Operations" (accesso non autorizzato per intelligence) e "Cyber Effects Operations" (manipolazione, distruzione o degradazione di sistemi)
- Le aziende possono targettare infrastrutture e individui statunitensi se coinvolti in criminalità informatica su larga scala, ma devono interrompere le operazioni in caso di impatto non intenzionale su sistemi USA non coinvolti
- Il NSPM non offre scudo contro responsabilità civile sotto il Computer Fraud and Abuse Act né tutele da discovery criminale che esponga tool proprietari e metodologie in tribunale
Le due categorie di operazioni e il filtro dell'escrow
Il programma articola le attività autorizzate in due categorie distinte. Le "Cyber Surveillance Operations" consentono l'accesso non autorizzato a sistemi informatici al fine di raccogliere intelligence. Le "Cyber Effects Operations" vanno oltre: comprendono manipolazione, distruzione o degradazione di sistemi, reti o dati. Entrambe richiedono la co-firma dei co-Executive Director di DOJ e DHS, un meccanismo che le fonti descrivono come garanzia di oversight politico ma che introduce anche latenza operativa.
Il requisito dell'escrow di almeno 1 milione di dollari, forfeitable in caso di violazione delle regole, funge da filtro di accesso. Secondo Risky Business, le aziende devono inoltre disporre di secure facilities e personnel con proven record. La combinazione di questi requisiti — finanziario, infrastrutturale e reputazionale — potrebbe escludere dal programma le realtà più piccole del settore cybersecurity, quelle che tradizionalmente innovano in nicchie tecniche ma non dispongono di liquidità per escrow milionari. Il rischio, sottolineato da più fonti, è una frammentazione tra grandi vendor con risorse per compliance e vendor più piccoli costretti a margini di osservazione.
Il gap della deconfliction e il vuoto internazionale
Le fonti convergenti segnalano un deficit strutturale nel meccanismo di governance. Non emerge alcuna disposizione per la deconfliction con partner internazionali: Europol, Interpol e alleati Five Eyes non compaiono nel framework descritto. Questa assenza è particolarmente critica per operazioni che, per definizione, attraversano giurisdizioni sovrane e infrastrutture condivise.
Anche il problema dello "scudo civile" resta aperto. Secondo l'analisi legale pubblicata su Mondaq, il NSPM offre immunità penale federale ma non tutela contro azioni civili sotto il CFAA, né contro rivendicazioni di tort o violazione di proprietà intellettuale. Inoltre, la procedura di criminal discovery potrebbe costringere le aziende a rivelare in tribunale tool proprietari e metodologie offensive, con effetti di lungo periodo sulla competitività.
Da Lind a Trump: il mistero del pivot di cinque mesi
La cronologia evidenzia una contraddizione non spiegata. A marzo 2026 l'amministrazione aveva esplicitamente escluso questa via. Tom's Hardware cita Thomas Lind in un intervento pubblico: la posizione era di rigetto netto. L'executive order di marzo 2026, che il NSPM estende, si limitava a ordinare priorità alla lotta contro scam compounds e ransomware — senza delega al settore privato per azioni offensive.
Cosa è cambiato tra marzo e agosto non è documentato nelle fonti disponibili. Tom's Hardware menziona un "classified annex" per operazioni sensibili, ma il contenuto è inaccessibile. TechCrunch ha inviato domande specifiche alla White House senza ottenere risposta. The Guardian ha inoltrato richieste dettagliate a DHS e White House, anch'esse senza esito. Il testo completo del NSPM non è pubblico nel set di fonti a disposizione.
"You should also consider the unreliability of the Trump regime's designations for targeting. They've routinely designated civilian or even functionally nonexistent organizations as criminal or terrorist organizations. You cannot trust their assurances that the bad guys you're harming are actually bad guys."
— Dave Wilburn, thread su Mastodon, citato da Risky Business
Il rischio del "combattente non uniformato"
La dimensione geopolitica aggiunge un ulteriore strato di pericolo. Jake Williams, VP R&D di Hunter Strategy, ha dichiarato a TechCrunch che gli americani che partecipano a queste operazioni "could easily be classified as non-uniformed combatants while traveling overseas". La citazione, riportata da TechCrunch il 13 agosto 2026, solleva uno scenario operativo concreto: personale tecnico di aziende private che attraversa confini fisici in paesi dove le sue attività digitali sono riconducibili a attacchi soffre di status giuridico indefinito.
Il dossier non specifica come il NSPM tuteli i contractor da azioni legali di stati stranieri, né come venga gestito il loro status in caso di detenzione o estradizione. Anche l'impatto sulle coperture assicurative cyber delle aziende partecipanti non è trattato nelle fonti disponibili.
Il countdown: 60 giorni e la finestra di ottobre
Il programma deve essere operativo entro 60 giorni dalla firma del memo, con data stimata intorno all'11 ottobre 2026 secondo Risky Business. Questa finestra è stretta per un framework che richiede costruzione di infrastructure di oversight, vetting delle aziende e definizione di protocolli operativi. Le operazioni non approvabili se rischio di perdita di vite umane o attacco armato escludono alcuni scenari, ma non chiariscono chi valuti questo rischio caso per caso.
Il Congresso aveva stanziato 1 miliardo di dollari per operazioni offensive cibernetiche nell'ultimo spending bill, riporta Tom's Hardware. Non è chiaro se quel budget si collegi direttamente al NSPM o rappresenti una linea di finanziamento parallela per operazioni governative.
Perché è importante
Il dossier non documenta quali aziende stiano già partecipando o abbiano espresso interesse al programma. GovTech cita una "disruption unit" di Google e Sandra Joyce su iniziative offensive del settore, ma non verifica che Google sia coinvolta nel NSPM specifico. La fonte non specifica il valore economico effettivo dei contratti né i meccanismi di verifica dell'impatto non intenzionale su sistemi terzi.
Il brief non elenca misure correttive per i gap strutturali identificati: nessuna procedura di deconfliction internazionale, nessuno scudo civile, nessuna gestione della criminal discovery, nessuna tutela del personale all'estero. Per CISO e legali di aziende cybersecurity, il regime introduce rischi legali e operativi non quantificabili: partecipazione diretta, coinvolgimento tramite MSSP, o anche semplice fornitura di tool a operatori nel programma potrebbero esporsi a catene di responsabilità non definite.
Per il settore nel suo complesso, il NSPM rappresenta un test case globale sulla delega di poteri coercitivi cibernetici al settore privato. Il modello, se replicato, potrebbe normalizzare la figura del "privateer digitale" con oversight nazionale ma senza coordinamento internazionale. Le conseguenze di questa frammentazione non sono nel brief, ma i gap documentati suggeriscono una struttura incompleta in un campo dove l'errore operativo ha costi geopolitici immediati.
Fonti
- https://news.risky.biz/risky-bulletin-white-house-lets-private-companies-carry-out-offensive-cyber-ops/
- https://www.mondaq.com/unitedstates/terrorism-homeland-security-defence/1831518/license-to-hack-the-white-house-greenlights-private-sector-offensive-cyber-operations
- https://www.tomshardware.com/tech-industry/cyber-security/white-house-authorizes-private-companies-to-hack-foreign-cybercrime-groups
- https://www.govtech.com/blogs/lohrmann-on-cybersecurity/hacking-back-is-back-white-house-to-enable-cyber-privateers
- https://techcrunch.com/2026/08/13/in-a-first-us-will-allow-some-private-firms-to-carry-out-cyberattacks/
- https://www.theguardian.com/us-news/2026/aug/13/donald-trump-private-companies-cyber-attack
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://support.signal.org/hc/en-us/articles/10223569377562-Automatic-Key-Verification
- https://www.stepsecurity.io/blog/teampcp-supply-chain-attack-cicd-secrets-cloudsek-disclosure
- https://www.island.io/
- https://risky.biz/feeds/risky-business-news/