Il 27 marzo 2026, mentre i bombardieri americani e israeliani continuano a colpire obiettivi sul territorio iraniano e Donald Trump estende al 6 aprile l’ultimatum per la distruzione degli impianti energetici di Teheran, un gruppo che si fa chiamare Handala Hack Team ha pubblicato online centinaia di email e fotografie private di Kash Patel, direttore del Federal Bureau of Investigation. Foto di Patel che fuma sigari a Cuba, che posa accanto a una decappottabile d’epoca con targa cubana, che si scatta selfie allo specchio con una bottiglia di rum. Accanto alle immagini, un campione di oltre trecento messaggi di posta elettronica — corrispondenza personale e professionale datata tra il 2010 e il 2019 — e un comunicato che ha fatto il giro del mondo: “Questa è la sicurezza di cui si vanta il governo degli Stati Uniti?”
L’FBI ha confermato la violazione. Il Dipartimento di Stato ha messo una taglia da dieci milioni di dollari per identificare i membri del gruppo. La stampa internazionale ha trattato l’episodio come una notizia di cronaca cyber, un “incidente informatico di alto profilo” che mette in luce le vulnerabilità della sicurezza digitale americana. Ma fermarsi qui significa non capire cosa è successo. Perché gli hacker iraniani che hanno colpito Kash Patel non sono hacker. E quello che hanno fatto non è un attacco informatico. È un’operazione militare.
Handala non è un gruppo di hacker: è un’unità dell’intelligence iraniana
La prima cosa da comprendere è l’identità reale di chi ha condotto l’operazione. Handala Hack Team si presenta pubblicamente come un collettivo hacktivista filo-palestinese — il nome stesso deriva dal personaggio dei fumetti politici del vignettista palestinese Naji al-Ali, simbolo della condizione dei rifugiati. Ma questa facciata è esattamente ciò che è: una copertura.
Il Dipartimento di Giustizia degli Stati Uniti, in una nota ufficiale ripresa da Reuters, ha identificato Handala come uno dei diversi pseudonimi utilizzati da un’unità operativa del Ministero dell’Intelligence e della Sicurezza iraniano (MOIS) nell’ambito delle sue operazioni di guerra psicologica. Check Point Research, una delle principali società di cybersicurezza israeliane, collega Handala al cluster noto come Void Manticore, un attore affiliato al MOIS specializzato in operazioni distruttive. Palo Alto Networks Unit 42, nel suo report aggiornato al 26 marzo 2026, lo tratta come la più prominente “persona” iraniana nell’attuale escalation cyber. Il Jerusalem Institute for Strategy and Security, in un paper accademico pubblicato nell’agosto 2025, lo definisce senza ambiguità uno strumento attraverso cui Teheran conduce guerra per procura nel dominio digitale, mantenendo una plausibile negabilità sul piano diplomatico.
Il modello operativo conferma l’attribuzione statale. Handala non opera come un collettivo spontaneo di attivisti digitali: combina intrusioni manuali, campagne di phishing mirate, deployment di malware distruttivo (wiper) e operazioni di hack-and-leak — la pubblicazione calibrata di materiale sottratto per massimizzare l’impatto mediatico e politico. È la stessa combinazione di capacità che si trova negli attori statali, non nei gruppi di protesta digitale.
Dalla propaganda alla guerra psicologica operativa
L’hack alla casella email di Kash Patel si inserisce in una progressione che chi segue Il Politico Web ha già iniziato a riconoscere. Poche settimane fa abbiamo analizzato “One Vengeance For All”, il video di propaganda iraniano generato con l’intelligenza artificiale che mostrava un missile abbattere la Statua della Libertà con la testa di Baal. Quello era il fronte della guerra dell’informazione: la costruzione narrativa del nemico attraverso il linguaggio simbolico, destinata al consumo interno e al pubblico globale del Sud del mondo.
L’operazione contro Patel è il passo successivo. Non è più propaganda: è guerra psicologica operativa. La differenza è fondamentale. La propaganda costruisce un racconto. La guerra psicologica colpisce un bersaglio specifico per produrre un effetto misurabile — in questo caso, la demolizione della credibilità dell’apparato di sicurezza americano nel momento stesso in cui quell’apparato sta conducendo una guerra.
Il messaggio di Handala non è rivolto all’opinione pubblica iraniana. È rivolto al mondo: “Se il vostro direttore può essere compromesso così facilmente, cosa vi aspettate dai vostri dipendenti di livello inferiore?” È un’operazione di delegittimazione istituzionale condotta con strumenti digitali — la versione contemporanea del volantinaggio sulle linee nemiche, solo che il volantino è una foto del capo dell’FBI in pantaloncini accanto a una decappottabile cubana, distribuito su tutti i social media del pianeta.
La sequenza che nessuno sta leggendo
Per comprendere la portata strategica dell’operazione, bisogna ricostruire la sequenza degli eventi nelle ultime settimane. Non come cronaca, ma come campagna militare nel dominio cyber.
All’inizio di marzo 2026, Handala ha rivendicato un attacco ransomware contro Stryker, colosso americano dei dispositivi medici, dichiarando che l’azione era una rappresaglia per il bombardamento di una scuola a Minab, in Iran. L’11 e il 16 marzo ha colpito la stessa azienda una seconda volta. Il 20 marzo, il Dipartimento di Giustizia ha sequestrato quattro domini web legati al gruppo. Il 26 marzo, Handala ha pubblicato i dati personali di ventotto ingegneri di Lockheed Martin in servizio in Medio Oriente — nomi, numeri di passaporto, indirizzi — con un ultimatum di quarantotto ore a lasciare Israele. Il 27 marzo, ha violato la mail di Kash Patel.
Questa non è una serie di incidenti isolati. È una campagna di escalation calibrata: prima le aziende (Stryker), poi il complesso militare-industriale (Lockheed Martin), infine il vertice dell’apparato di sicurezza interna (FBI). Ogni colpo più alto del precedente. Ogni colpo progettato per dimostrare che le sequestri di domini e le taglie da dieci milioni non fermano nulla — anzi, provocano risposte più devastanti.
Secondo una valutazione dell’intelligence americana circolata il 2 marzo e consultata da Reuters, l’Iran sta intensificando questi attacchi “di basso livello” come risposta asimmetrica all’uccisione della Guida Suprema Ali Khamenei. Il termine “basso livello” è significativo: per gli analisti americani, violare la casella personale del direttore dell’FBI è un’operazione a bassa sofisticazione tecnica. Il che rende la faccenda ancora più umiliante.
Una Gmail personale: la falla che racconta un sistema
La violazione è avvenuta attraverso l’account Gmail personale di Patel — non attraverso i sistemi classificati dell’FBI. L’agenzia si è affrettata a precisare che “le informazioni in questione sono di natura storica e non riguardano dati governativi”. Tecnicamente è vero. Strategicamente è irrilevante.
L’indirizzo Gmail compromesso era già presente in precedenti violazioni di dati, conservate dalla società di intelligence del dark web District 4 Labs. Secondo gli analisti di Cybersecurity360, gli attaccanti potrebbero aver semplicemente utilizzato credenziali già trapelate in precedenti data breach — una tecnica nota come credential stuffing, talmente banale da essere alla portata di un adolescente con una connessione internet.
Il punto non è la sofisticazione dell’attacco. Il punto è che il direttore dell’FBI degli Stati Uniti d’America, l’uomo che il 19 marzo dichiarava che il Bureau avrebbe “dato la caccia a ogni attore dietro queste minacce codarde”, utilizzava un account email personale già compromesso in passato, probabilmente senza autenticazione a due fattori adeguata, per comunicazioni che mescolavano sfera privata e professionale. Non era la prima volta: già nel dicembre 2024, prima della sua nomina, Patel era stato informato che hacker iraniani avevano avuto accesso alle sue comunicazioni personali.
La CNN, che ha esaminato il materiale con l’aiuto di un ricercatore indipendente, ha confermato che le email coprono un arco temporale dal 2011 al 2022 e includono corrispondenza personale, commerciale e di viaggio. Non ci sono segreti militari. Ma c’è qualcosa di peggio: la prova che i vertici della sicurezza americana trattano la propria igiene digitale con la stessa noncuranza con cui un qualunque utente tratta la password del proprio account Netflix.
Il fronte cyber come guerra asimmetrica: cosa significa per il conflitto
L’analisi di Check Point Research, citata da Reuters, inquadra l’operazione nel contesto corretto: l’hack-and-leak contro Patel fa parte della strategia iraniana per mettere in imbarazzo i funzionari americani e “farli sentire vulnerabili”. Gil Messing, capo dello staff di Check Point, ha sintetizzato con una formula efficace: gli iraniani “stanno sparando con tutto ciò che hanno”.
Questa è la chiave di lettura geopolitica che manca nella copertura italiana della notizia. L’Iran, sotto bombardamento convenzionale da un mese, con le infrastrutture energetiche sotto minaccia di distruzione totale, con l’isola di Kharg — da cui transita il novanta per cento delle sue esportazioni di greggio — fortificata in attesa di un’invasione americana, sta combattendo su tutti i fronti disponibili. Il fronte cyber è quello dove il differenziale di potenza si riduce al minimo. Non servono portaerei, non servono F-35, non servono bombardieri strategici B-2. Servono operatori competenti, una connessione internet e la capacità di sfruttare la negligenza dell’avversario.
E l’avversario, a quanto pare, è straordinariamente negligente. Questo è il paradosso strategico che l’operazione Handala ha reso visibile: la Nazione che spende più di tutte al mondo in difesa — oltre ottocento miliardi di dollari nel 2025 — e che ha appena lanciato un’offensiva militare fondata sulla propria superiorità tecnologica assoluta, non riesce a proteggere la casella email del proprio direttore dell’FBI da un attacco condotto con tecniche elementari.
Oltre Patel: il precedente e ciò che potrebbe seguire
L’hack a Kash Patel non è un caso isolato, e il passato suggerisce che potrebbe essere solo l’inizio. Nel 2016, hacker riconducibili alla Russia violarono l’account Gmail di John Podesta, responsabile della campagna di Hillary Clinton, riversando il materiale su WikiLeaks con effetti significativi sulla competizione elettorale per la Casa Bianca. Nel 2015, hacker adolescenti bucarono l’account AOL personale dell’allora direttore della CIA John Brennan.
Ma il contesto attuale è diverso e più pericoloso. Come riportato da Reuters, un altro gruppo operante sotto lo pseudonimo “Robert” ha dichiarato di essere in possesso di cento gigabyte di dati sottratti a Susie Wiles, capo dello staff della Casa Bianca, e ad altre figure vicine a Trump. La minaccia non è stata verificata, ma il segnale è chiaro: l’Iran potrebbe avere in riserva materiale sufficiente per una campagna di leak prolungata, calibrata per accompagnare ogni fase del conflitto con un colpo di guerra psicologica.
Handala stessa ha accompagnato la pubblicazione del materiale di Patel con un avvertimento esplicito: “Questo è solo l’inizio.”
La lezione per l’Europa che non ha un perimetro
Se il direttore dell’FBI utilizza una Gmail personale violabile con tecniche da manuale di cybersicurezza per principianti, la domanda che l’Europa dovrebbe porsi è tanto ovvia quanto scomoda: qual è lo stato della sicurezza digitale dei propri vertici istituzionali?
L’Unione Europea non dispone di un servizio di intelligence unificato. Non dispone di un comando cyber integrato. Non dispone nemmeno di un sistema di comunicazione classificato condiviso tra tutti gli Stati membri. I ministri degli Esteri dei Ventisette, quando devono discutere di questioni sensibili, utilizzano sistemi nazionali che non dialogano tra loro — quando non utilizzano, come documentato in passato, WhatsApp.
L’operazione Handala dimostra che nel conflitto contemporaneo il dominio cyber non è un teatro secondario: è il teatro dove le asimmetrie di potenza si annullano e dove la vulnerabilità del più forte diventa un’arma del più debole. L’Europa, che nella guerra convenzionale è già oggetto e non soggetto — come abbiamo analizzato nel dettaglio — rischia di essere ancora più esposta nel dominio digitale, dove non ha nemmeno la copertura dell’ombrello americano. Perché l’ombrello, come dimostra il caso Patel, ha dei buchi piuttosto vistosi.
Fonti
Reuters/CNBC – Iran-linked hackers breach FBI Director Kash Patel’s personal email, publish excerpts online (27 marzo 2026)
CNN – Iran-linked hackers have breached FBI Director Kash Patel’s personal emails (27 marzo 2026)
NBC News – Iranian hackers publish emails allegedly stolen from Kash Patel (28 marzo 2026)
Axios – Iran-linked group claims hack of FBI Director Kash Patel (27 marzo 2026)
Palo Alto Networks Unit 42 – Threat Brief: March 2026 Escalation of Cyber Risk Related to Iran (aggiornato 26 marzo 2026)
Check Point Research – What Defenders Need to Know about Iran’s Cyber Capabilities (marzo 2026)
Cybersecurity360 – Handala, cosa sapere del cyber gruppo iraniano che attacca l’Occidente (marzo 2026)
Cybersecurity360 – Hack iraniano al capo dell’FBI: ecco le ricadute (29 marzo 2026)
JISS – Cyber as the Continuation of War by Other Means: The Case of Iran’s Hacking Group “Handala” (agosto 2025)
Cyble – Handala Hack Team: Iranian Cyber Threat Profile 2026
ICT Security Magazine – Operazione Lockheed Martin: doppio attacco iraniano (27 marzo 2026)
Il Politico Web – “One Vengeance For All”: il video di propaganda iraniano (marzo 2026)
Il Politico Web – L’Europa non esiste. La guerra in Iran e la fine dell’illusione geopolitica europea (marzo 2026)
