Quando il cloud diventa fisico: la guerra in Iran gli attacchi ai data center

Per anni abbiamo raccontato il cloud come se fosse una nuvola vera: impalpabile, distribuita, quasi inevitabile e sicura. Poi arriva la guerra, e la questione diventa immediatamente molto materiale. I data center sono infatti fatti di cemento, gruppi di continuità, linee elettriche, sistemi antincendio e collegati da cavi sottomarini. E sono attaccabili dai droni.

Quello che sta accadendo tra Iran e Golfo ci presenta una situazione molto semplice: la trasformazione digitale non vive in aria, vive a terra. Vive dentro edifici con un indirizzo preciso. E quando un edificio con un indirizzo preciso finisce dentro un teatro di guerra, il tema non è più la latenza o la scalabilità. Il tema diventa la vulnerabilità.

Amazon Web Services ha confermato che due proprie strutture negli Emirati Arabi Uniti sono state colpite da attacchi di droni e che un terzo sito in Bahrain ha subito danni a seguito di una vicina esplosione. Il risultato non è solo tecnico ma sistemico: interruzioni su servizi core, danni strutturali, problemi di alimentazione, attivazione dei sistemi di soppressione incendi e tempi di recupero prolungati proprio per la natura fisica dei danni e le difficoltà di ripristino in territorio di guerra. Non stiamo parlando di un bug, di una configurazione sbagliata o di un attacco ransomware. Stiamo parlando del fatto che il data center, oggi, può diventare bersaglio. Infatti ormai i data center sono a tutti gli effetti considerati infrastrutture critiche, così come la connettività internet, e danneggiarli o distruggerli diventa importante come danneggiare e distruggere centrali elettriche o altre infrastrutture critiche.

Ed è qui che cambia davvero la prospettiva. Per anni il discorso sulla sicurezza dell’infrastruttura digitale si è concentrato soprattutto sulla cybersecurity, sulla sovranità del dato, sulle dipendenze da fornitori esteri, sulle filiere dei semiconduttori. Tutto corretto. Ma il conflitto in corso mostra che quel quadro, da solo, non basta più. Un data center può essere protetto benissimo dal punto di vista logico e restare esposto dal punto di vista fisico. Puoi avere segmentazione di rete, cifratura, backup, identity management impeccabile. Poi arriva un drone, e la questione diventa di un altro livello.

La frase più brutale, e forse più onesta, emersa in questi giorni è quella riportata dal Guardian: se davvero si vuole continuare a costruire grandi data center in Medio Oriente, allora bisogna iniziare a ragionare persino in termini di difesa missilistica per i data center. È una frase che suona quasi distopica, ma il punto è proprio questo: fino a ieri sembrava eccessiva, oggi sembra ragionevole prevederla in un piano di continuità operativa.

Il secondo aspetto, meno visibile ma forse ancora più importante, riguarda i cavi sottomarini. Rest of World ha raccontato bene come la guerra abbia investito non solo i siti fisici, ma anche i due grandi colli di bottiglia da cui dipende una parte enorme del traffico dati della regione: il Mar Rosso e lo Stretto di Hormuz. Nel Mar Rosso passano 17 cavi sottomarini che trasportano la maggior parte del traffico fra Europa, Asia e Africa; altri collegamenti cruciali transitano da Hormuz per servire Iran, Iraq, Kuwait, Bahrain e Qatar. Il punto non è solo che possano essere danneggiati. Il punto è che, in un’area militarizzata, diventa difficilissimo perfino ripararli.

Questo passaggio è decisivo anche per noi, perché negli ultimi anni abbiamo usato spesso parole come “hub”, “ecosistema”, “territorio attrattivo”, “polo strategico”. Tutte espressioni giuste, ma spesso raccontate come se bastassero energia, capitale e qualche accordo geopolitico per trasformare un’area in piattaforma del futuro. In realtà un hub digitale non è solo un luogo dove metti potenza di calcolo. È un luogo dove devono reggere contemporaneamente diplomazia, difesa, energia, telecomunicazioni, logistica, continuità operativa e capacità di ripristino. Se salta uno di questi pezzi, l’hub non sparisce sulla carta, ma perde credibilità e perde la sua solidità digitale.

C’è poi un elemento quasi pedagogico, se vogliamo. Per anni abbiamo parlato del cloud come alternativa alla fragilità locale: non tenere tutto nel serverino in cantina, sposta su infrastrutture robuste, distribuite, industriali. Era ed è un ragionamento sensato. Ma oggi scopriamo che la scala industriale non elimina il rischio: lo trasforma. Prima avevi il rischio del piccolo CED che si allaga o si spegne. Ora hai il rischio della concentrazione infrastrutturale dentro snodi geopolitici sensibili. Non è un ritorno al passato, non è la nostalgia per il server sotto la scrivania. È semplicemente la presa d’atto che l’efficienza non coincide automaticamente con la resilienza.

E questo vale ancora di più mentre governi e grandi imprese stanno costruendo la prossima ondata di infrastrutture computazionali nel Golfo, attratti da capitale disponibile, energia e posizionamento strategico. Proprio Rest of World ricorda che i grandi investimenti annunciati negli ultimi mesi si sono appoggiati sull’idea che quell’area potesse diventare uno dei grandi snodi mondiali per la nuova economia del calcolo e dell’AI. Ma il conflitto ha reso evidente una crepa: la strategia di protezione si era concentrata molto sul controllo delle filiere e molto meno sulla protezione fisica degli asset. In altre parole, si era pensato a chi dovesse avere accesso ai chip, non abbastanza a chi potesse colpire gli edifici che quei chip ospitano.

Quindi la domanda interessante da farsi non è “il cloud è pericoloso?” La domanda vera è un’altra: stiamo progettando la continuità operativa del ventunesimo secolo con categorie del decennio scorso? Perché se il data center diventa infrastruttura critica al pari di un porto, di una raffineria o di una sottostazione elettrica, allora cambia tutto. Cambiano i requisiti minimi di sicurezza fisica. Cambiano le mappe del rischio paese. Cambiano i criteri con cui si distribuiscono workload e repliche. Cambiano le policy di disaster recovery. E cambia anche il modo con cui il settore pubblico e privato dovrebbe ragionare quando affida servizi essenziali a infrastrutture che stanno a migliaia di chilometri ma dentro aree esposte.

Per la pubblica amministrazione, e più in generale per chi governa servizi essenziali, questo è un tema centrale. Quando parliamo di servizi digitali, piattaforme, interoperabilità, continuità, non stiamo parlando solo di software. Stiamo parlando di catene materiali che attraversano confini, mari, alleanze, crisi militari. Stiamo parlando del fatto che un’interruzione fisica in un altro Paese può propagarsi su pagamenti, identità digitali, banche dati, sistemi di comunicazione, piattaforme di lavoro. La trasformazione digitale, insomma, non ha abolito la geopolitica: l’ha incorporata dentro le sue fondamenta.

Forse il punto più utile da portarsi a casa è questo. Per anni il digitale è stato raccontato come il regno dell’immateriale. Questa guerra ci dice il contrario: il digitale è materia strategica e materiale. Ha capannoni, cavi, approdi, centrali, torri di raffreddamento, turni di manutenzione, corridoi marittimi. E quando il contesto si incendia, anche il digitale brucia. Non in senso metaforico. Proprio brucia.

E allora la lezione è che il tema non è scegliere tra innovazione e sicurezza. Il tema è capire che senza sicurezza fisica, territoriale e geopolitica dell’infrastruttura, l’innovazione resta appesa a un filo. A volte, letteralmente, a un cavo sul fondo del mare.