La notte tra il 4 e il 5 gennaio 2022, il Kazakhstan si svegliava senza internet. Il governo di Astana aveva ordinato lo shutdown completo della connettività nazionale per rispondere alle proteste esplose ad Almaty. Per quattro giorni consecutivi, transazioni bancarie, logistica, comunicazioni aziendali e accesso all’informazione furono bloccati. Quell’interruzione è comunemente letta come una misura di sicurezza statale e tecnicamente lo era. Il governo aveva la capacità di spegnere la rete nazionale, la esercitò e funzionò. Il problema è che la stessa capacità tecnica e normativa che ha permesso ad Astana di interrompere la rete è identica, per architettura e logica, a quella che trasforma quella rete in un ambiente strutturalmente rischioso per chiunque vi operi.
In Asia centrale il rischio cyber non deriva dall’assenza di sicurezza, ma dalla sua presenza. I governi della regione hanno costruito reti centralizzate, intercettabili, controllabili. La logica dell’Heartland applicata allo spazio cibernetico pone il controllo del territorio (digitale) come condizione di sopravvivenza politica. Il risultato è un’infrastruttura in cui ogni strumento pensato per proteggere le istituzioni incorpora una vulnerabilità strutturale per chi su quella rete deve operare. Non c’è modo di accedervi senza ereditarne il profilo di rischio, perché quel profilo è iscritto nel suo disegno. Per capire come questo sia possibile, occorre scendere al livello dell’infrastruttura.
La morfologia della rete: il controllo come fragilità
Il Kazakistan non dispone di un ecosistema di interconnessione realmente distribuito. Esistono più Internet Exchange Point (IXP) – i nodi fisici dove le reti di operatori distinti si interconnettono per scambiarsi traffico – ma il traffico è dominato dal KAZ-GOV-IX, il principale nodo di interconnessione nazionale a gestione statale diretta, mentre ulteriori obblighi di instradamento tramite lo Unified Gateway rafforzano la centralizzazione del controllo1. Uzbekistan e Tagikistan replicano modelli analoghi. La forte concentrazione del traffico su infrastrutture e snodi sotto controllo statale, il limitato peso degli IXP indipendenti e la ridondanza insufficiente riducono la resilienza della connettività e rendono tecnicamente più agevole l’attuazione di shutdown deliberati.
Una rete progettata per essere spegnibile è, per definizione, una rete con un single point of failure (nodo critico la cui caduta manda in blocco l’intero sistema). A questo si aggiunge la dipendenza di transito, una quota significativa del traffico centroasiatico verso l’esterno, infatti, passa attraverso operatori russi, esponendo le comunicazioni a una giurisdizione terza. Lo strumento del controllo è simultaneamente lo strumento della fragilità.
Il technology stack: le armi della sorveglianza come vettori di rischio
La fragilità non è però solo topologica. Penetra nel livello successivo, quello dei dispositivi e del software su cui quella rete si regge. I rapporti annuali dell’HCSEC Oversight Board britannico hanno segnalato nel tempo problemi ricorrenti nella qualità dell’ingegneria software e dell’assurance di sicurezza dei prodotti Huawei, indicando l’assenza di un miglioramento complessivo verso standard attesi dal National Cyber Security Centre2. Parallelamente, i programmi di sorveglianza urbana in Asia centrale hanno fatto ampio ricorso a tecnologie cinesi: in Kazakhstan risultano impiegati apparati Hikvision e Dahua, mentre il progetto Safe City di Tashkent è stato collegato a soluzioni e partner cinesi, in particolare Huawei. Hikvision e Dahua sono state inserite nella Entity List statunitense nel contesto delle misure legate allo Xinjiang3, mentre SenseTime è stata colpita da sanzioni americane nel 20214. Più che prove automatiche di compromissione, questi elementi indicano una dipendenza infrastrutturale che amplia i rischi strategici e di sicurezza non solo per gli Stati che acquistano tali sistemi, ma anche per tutti gli attori esterni che operano in quelle aree: aziende, tecnici, investitori, operatori logistici, diplomatici e giornalisti, i cui movimenti, contatti e routine possono essere raccolti, analizzati o esposti attraverso infrastrutture di sorveglianza controllate da fornitori stranieri.
Il panorama delle minacce attive: sfruttare l’infrastruttura del controllo
Quella superficie d’attacco non è teorica, ma già oggetto di operazioni attive. La campagna TAG-110 – un’operazione di spionaggio informatico attribuita con moderata confidenza a un attore russo collegato a UAC-0063 e ad APT28/BlueDelta, due gruppi riconducibili all’intelligence militare di Mosca – mostra come le reti e gli ambienti istituzionali centroasiatici siano già esposti. Tra il 2024 e il 2025 sono state identificate oltre 60 vittime di alto profilo in undici Paesi, tra cui Kazakistan, Kirghizistan e Uzbekistan, colpite tramite HATVIBE, un loader – cioè un programma che apre la strada ad altri malware – e CHERRYSPY, una backdoor che garantisce accesso remoto persistente ai sistemi compromessi, utilizzati insieme per sottrarre dati sensibili nel tempo5. Le esche documentate includevano anche documenti diplomatici e amministrativi verosimilmente riconducibili al Ministero degli Esteri kazako. Questo elemento suggerisce un accesso precedente a materiale sensibile o, quantomeno, la disponibilità di documentazione autentica utile a rendere più credibili le operazioni di spearphishing (phishing mirato a un individuo specifico, costruito con informazioni personalizzate per renderlo credibile), senza però consentire di stabilire con certezza in quale fase e con quali modalità tale materiale sia stato acquisito.
In contesti dove le infrastrutture di rete sono fortemente centralizzate e dipendono da fornitori esterni, questo tipo di operazione risulta particolarmente pericoloso, perché colpisce nodi da cui transitano grandi quantità di dati sensibili. Parallelamente, il Citizen Lab, laboratorio di ricerca dell’Università di Toronto specializzato nell’analisi della sorveglianza digitale, ha identificato già nel 2018 due operatori di Pegasus attivi in relazione al Kazakhstan, denominati TULPAR e SYRDARYA6. Pegasus è lo spyware dell’israeliana NSO Group7 capace di infiltrarsi nei dispositivi mobili e sottrarne comunicazioni e dati; i suoi operatori sono governi o agenzie statali che ne acquistano la licenza d’uso. Chi si celi dietro TULPAR e SYRDARYA non è accertato, ma nel dicembre 2021 un’inchiesta di Amnesty International ha confermato l’infezione dei dispositivi di almeno quattro attivisti del movimento civico “Oyan, Qazaqstan”, documentando un uso concreto dello spyware contro la società civile kazakha8. In un simile ambiente, strumenti acquistati per il controllo politico interno possono trasformarsi in un fattore di rischio anche per attori esterni (imprese, diplomatici, tecnici e operatori internazionali) le cui comunicazioni e reti di contatto possono essere esposte a forme opache di raccolta informativa. Tuttavia, non tutto il rischio viene dall’esterno. Una parte è incorporata per legge nell’infrastruttura stessa.
SORM e localizzazione dei dati: la legge come vettore
Il sistema SORM (architettura di intercettazione legale sviluppata in area russa e adottata in forme analoghe anche in Asia centrale) obbliga i provider a installare apparati e soluzioni compatibili con il monitoraggio statale, consentendo alle autorità un accesso diretto ai dati e alle comunicazioni9. Nel caso del Kazakhstan, la documentazione analizzata da Privacy International mostra l’esistenza di nodi di intercettazione collegati alle reti dei provider. SORM non è una falla di sicurezza ma una misura di controllo statale, un sistema che permette agli apparati governativi di tracciare il traffico internet, con lo scopo di intercettare eventuali attività sediziose e destabilizzatrici. Tuttavia questo stesso livello di sicurezza imposto dai governi centroasiatici, kazako e uzbeko giusto per citarne due, rappresenta un fattore di rischio per gli operatori esterni che possono essere soggetti allo stesso tipo di controllo.
Il tentativo kazako di intercettazione HTTPS del 2019 e del 2020 rende il meccanismo ancora più esplicito: gli Internet Service Provider (ISP) chiesero agli utenti di installare un certificato root governativo che avrebbe consentito attacchi man-in-the-middle su una parte molto ampia del traffico cifrato. Mozilla, Google, Apple e Microsoft lo inserirono poi nelle rispettive blocklist10. Il tentativo fu bloccato sul piano tecnico, ma mostrò con chiarezza l’ambizione del modello di subordinare la crittografia alle esigenze della sicurezza statale. A ciò si aggiunge la normativa sulla localizzazione dei dati, introdotta nel quadro della legge del 2013 sulla protezione dei dati personali11 e rafforzata da disposizioni successive, che impone la conservazione in Kazakhstan dei database elettronici contenenti dati personali. Per le organizzazioni che operano nell’area, ciò significa esporsi a una giurisdizione locale e a un sistema di tutela dei dati diverso da quello previsto dal quadro europeo del GDPR.
Shutdown, ransomware e il costo del controllo
Un ulteriore livello di rischio è direttamente misurabile. In Kazakhstan, nel gennaio 2022, il governo impose un blackout nazionale di Internet durato diversi giorni12, con gravi effetti su pagamenti elettronici, accesso ai servizi e comunicazioni, e con perdite economiche stimate in oltre 400 milioni di dollari. In Tagikistan, durante la crisi del Gorno-Badakhshan, le autorità isolarono ripetutamente la regione, compromettendo attività essenziali come istruzione, trasferimenti di denaro e accesso ai servizi13. Sono stati documentati shutdown o restrizioni anche in Uzbekistan, oltre che in Kazakhstan e Tagikistan, in corrispondenza di proteste, tensioni politiche ed eventi sensibili14. In questo contesto, la continuità operativa non può essere data per scontata. L’interruzione della rete si conferma una possibilità concreta e ricorrente, soprattutto in prossimità con proteste e agitazioni andando a delineare un effetto di domino di rischio dall’instabilità socio-politica.
C’è però un altro livello di rischio che emerge dalla stessa logica, il crimine informatico organizzato. Il quadro regionale mostra infatti che, accanto all’espansione degli apparati di controllo, persistono significative lacune nella protezione delle infrastrutture critiche, nella governance della cybersicurezza e nelle capacità di risposta agli incidenti15. Il report “Central Asia Cybersecurity Baseline Study” segnala gap normativi e istituzionali, carenze di personale qualificato e debolezze nei meccanismi di risposta agli incidenti, soprattutto in Kyrgyzstan e Tagikistan, mentre rileva che malware, ransomware e phishing figurano tra i vettori di minaccia più comuni anche contro industria e infrastrutture critiche16. In questo contesto, il ransomware trova spazio proprio dove la resilienza tecnica e organizzativa resta più debole, in un quadro dove la capacità di controllo aumenta più velocemente della velocità di risposta a incidenti e attacchi intenzionali.
Il paradosso Heartland
Il costo economico e operativo degli shutdown non è un’anomalia ma la conseguenza diretta di reti progettate per essere controllabili prima ancora che resilienti. Centralizzazione, dipendenza da fornitori esterni, capacità di intercettazione legale e shutdown deliberati nascono da scelte di controllo politico, e le vulnerabilità che ne derivano, anche quelle non cercate, sono iscritte nello stesso disegno. Freedom House classifica il Kazakhstan17 e l’Uzbekistan18 come “Not Free”, il Tagikistan19 e il Turkmenistan20 in condizioni ancora più chiuse, il Kyrgyzstan in progressivo deterioramento21. Al di là delle differenze di intensità, la letteratura sulla sorveglianza elettronica in Asia centrale evidenzia un tratto comune ai cinque Paesi: la rete non è solo un’infrastruttura di comunicazione, ma anche un’estensione dell’apparato di sicurezza statale, attraverso obblighi imposti ai provider, strumenti di monitoraggio e accesso diretto ai dati. In poche parole, chi opera dall’esterno entra comunque in ecosistemi digitali ad alta esposizione, nei quali controllo politico, opacità normativa e vulnerabilità infrastrutturali tendono a sovrapporsi.
Il paradosso dell’Heartland digitale è questo: i governi centroasiatici hanno costruito le reti più controllate e più insicure della regione eurasiatica nello stesso atto. Ogni strumento che rafforza la sicurezza del regime (centralizzazione, SORM, hardware cinese, localizzazione dei dati, capacità di shutdown) è simultaneamente un vettore di rischio per chi su quella rete opera. Non esiste una via di accesso neutrale. Chi entra in quell’infrastruttura eredita il profilo di rischio che i governi hanno incorporato nel suo disegno per proteggere sé stessi.
1https://www.internetsociety.org/wp-content/uploads/2025/05/Kazakhstan-Internet-Landscape_Report_EN.pdf
2https://www.gov.uk/government/publications/huawei-cyber-security-evaluation-centre-hcsec-oversight-board-annual-report-2021
3https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20211210
4https://www.bis.gov/export-administration-regulations/entity-list
5https://www.securityweek.com/russian-cyberespionage-group-hit-60-victims-in-asia-europe/
6https://citizenlab.ca/wp-content/uploads/2025/12/Report113-hide-and-seek.pdf
7https://www.cybersecurity360.it/nuove-minacce/pegasus-continua-a-diffondersi-i-motivi-e-le-best-practice-per-difendersi/
8https://www.amnesty.org/en/latest/news/2021/12/kazakhstan-four-activists-mobile-devices-infected-with-pegasus-spyware/
9https://privacyinternational.org/blog/1612/privacy-international-releases-private-interests-monitoring-central-asia
10https://www.eff.org/deeplinks/2019/08/browsers-take-stand-against-kazakhstans-invasive-internet-surveillance
11https://www.dlapiperdataprotection.com/index.html?t=law&c=KZ
12https://pulse.internetsociety.org/en/shutdowns/kazakhstan-cuts-off-internet-access/
13https://www.hrw.org/news/2022/02/07/tajikistan-restore-internet-autonomous-region
14https://www.accessnow.org/central-asia-internet-shutdowns-harm-rights/
15https://www.itu.int/en/ITU-D/Cybersecurity/Pages/global-cybersecurity-index.aspx
16https://dresilience.org/wp-content/uploads/2025/09/eu_central-asia-cybersec-report-2025_eng.pdf
17https://freedomhouse.org/country/kazakhstan/freedom-net/2025
18https://freedomhouse.org/country/uzbekistan/freedom-net/2025
19 https://freedomhouse.org/country/tajikistan
