Questa storia parte il 28 Febbraio 2026, quando USA e Israele scatenano una guerra contro l’iran lanciando una serie di bombardamenti su vari obiettivi di importanza strategica - ci torniamo tra un attimo su questo. L’Iran il 1 Marzo 2026 risponde, bombardando a sua volta vari obiettivi nei paesi del golfo, militari certo, ma anche alcuni civili. Tra questi, la parte che ci interessa, ci sono due Datacenter che contengono due Availability Zone della Region di AWS me-central-1 negli UAE, più uno nella region me-south-1 in Bahrain .
Questo l’annuncio ufficiale, non pubblico ma visibile in qualsiasi account AWS una volta loggati, nell’AWS Health Dashboard, al momento in cui scrivo nella sezione “Open and recent issues”.
Fin qui nulla di particolare, un breve contesto e una immagine di testimonianza per il futuro.
La prima cosa che ho trovato, apparentemente non così raccontata, è questa: in parallelo all’attacco cosiddetto “cinetico” (per i non addetti ai lavori “le bombe”) c’è stato in parallelo quello che è stato dichiarato (da Israele) “il più grande cyberattacco della storia” (The Jerusalem Post - Israel plunges Iran into darkness with largest cyberattack in history during attack against Iran) che, usando invece le parole del Generale Dan Caine, Chairman of the Joint Chiefs of Staff (Capo degli Stati Maggiori Congiunti) durante un briefing al Pentagono il 2 marzo, “ha efficacemente interrotto le reti di comunicazioni e di sensori, lasciando l’avversario incapace di vedere, coordinare o rispondere efficacemente” (Stimson Center - Experts React: What the Epic Fury Iran Strikes Signal to the World). Alcuni esempi riportati sono stati la compromissione totale della rete cellulare e il controllo della rete di telecamere dei semafori in alcune zone del paese, che prima ha portato a controllare le azioni e le comunicazioni di Khamenei e del suo entourage, e successivamente lo spegnimento ha bloccato le comunicazioni. Inoltre sono stati eseguiti l’hacking di siti istituzionali e app di preghiere per mostrare notizie false e incitare membri dell’esercito a disertare. Da notare che il Generale Caine cita anche l’intervento dell’U.S. Space Command nell’azione, che in concerto con gli attacchi cyber e quelli fisici ha interrotto le comunicazioni satellitari e i servizi di geolocalizzazione, navigazione e sincronizzazione temporale (Apogee Magazine - Space, cyber significant factors in Operation Epic Fury).
Queste ultime azioni si inseriscono in un ulteriore contesto dove internet in Iran era stato “spento” l'8 gennaio per reprimere la rivolta interna (e probabilmente nascondere massacri e violazioni dei diritti umani, come dice Amnesty International), e dal 28 gennaio si stava man mano riaprendo seppur con forti restrizioni (Wikipedia - 2026 Internet blackout in Iran). Da tenere conto inoltre che, essendo operazioni militari con un elevato livello di sicurezza, i dettagli sono inevitabilmente molto limitati e spesso qualitativi.
Perché tutto questo lungo preambolo nel raccontare, ad altissimo livello, la parte cyber dell’attacco del 28 Febbraio? Per evidenziare come ormai la componente informatica è considerata una parte integrante e fondamentale di ogni atto di guerra. Sembra che una strategia simile sia stata utilizzata anche in Venezuela durante la cattura di Maduro (CIGI - Maduro’s capture reflects growing role of cyberattacks and satellites in warfare, RUSI - Layered Ambiguity: US Cyber Capabilities in the Raid to Extract Maduro from Venezuela). Inoltre la componente Cyber è una parte costante del conflitto Ucraina-Russia, con datacenter da entrambe le parti costantemente hackerati e danneggiati e una serie di problemi come conseguenza (vedi Computer Weekly - In conflict: Putting Russia’s datacentre market under the microscope, MeriTalk - Ukraine Data Centers Became Physical Targets When Cyberattacks Failed, Data Center Dynamics - Ukrainian hackers claim takedown of Russian data center).
Bene, è in questo contesto che si inserisce la risposta dell’Iran il giorno successivo. Non potendo direttamente sconfiggere USA e Israele, la sua strategia (mi perdonino gli esperti e i commentatori militari per la banalizzazione, il mio ambito è l’informatica) è di fare più danni possibili a tutti, specialmente ai paesi della zona del golfo ma non solo, per creare una pressione internazionale che porti a far cessare gli attacchi. Di conseguenza, oltre a infrastrutture militari, energetiche, politiche e portuali, anche infrastrutture digitali sono bersagli ottimi, come abbiamo visto prima. Da cui, se l’intelligence iraniana sospetta che ci siano server dell’intelligence USA ospitati nel datacenter statunitense più grande dell’area (CNBC - Amazon’s Bahrain data center targeted by Iran for support of U.S. military, state media says e il telegram diretto Telegram - Canale Fars News sull’attacco ai datacenter Amazon e Microsoft), e in più può danneggiare direttamente diversi paesi come conseguenza, ecco che i datacenter AWS della zona diventano ottimi bersagli in un contesto di guerra. Interessante il fatto che vengono citati sia Amazon che Microsoft nell’annuncio di Telegram.
In ogni caso, a questo punto per l’intelligence di uno stato deve essere banale scoprire esattamente dove sono situati i datacenter e la conoscenza che colpirne due su tre della stessa region provoca i veri danni a livello architetturale (AWS Documentation - Advanced Multi-AZ Resilience Patterns), anche se per esperienza uno è sufficiente per creare grossi problemi se l’infrastruttura non è progettata correttamente (Reddit - On going AWS Frankfurt is partially down). Per i non addetti ai lavori, il confronto è che per creare problemi seri a una casa è sufficiente danneggiare il muro di una stanza, ma se abbatti la maggior parte dei piloni di sostegno è sicuro fisicamente che la casa crolla.
Dopo questo lungo viaggio introduttivo, finalmente arriviamo alla causa scatenante di questo post. Non è la prima volta che viene bersagliato un datacenter commerciale in guerra, è almeno dal 2022 con la guerra tra Ucraina e Russia che succede, tuttavia è la prima volta che viene colpito e seriamente danneggiato (peraltro fisicamente, con un attacco di droni) al punto di mettere offline una intera region, un Hyperscaler, un evento che precedentemente scherzando definivo un caso estremo, un meteorite, una bomba atomica su Milano o in Irlanda. Il fatto che sia stato colpito un Hyperscaler è la singola cosa che ha portato la cosa all’attenzione di un pubblico molto più ampio, alimentando una (per ora) breve ma intensa discussione su cosa cambia da qui in poi.
Un breve spazio per evoluzioni interessanti avvenute dopo la scrittura dell’articolo
- 29/03/2026: questo articolo è stato scritto a metà marzo. Diciamo che la strategia del fare più danni possibili a tutti è divenuta poi evidente nella chiusura dello Stretto di Hormuz, con ripercussioni evidenti a tutti per l’economia mondiale.
- 07/06/2026: questa storia ha avuto diverse evoluzioni e ho scoperto alcuni fatti che mi erano sfuggiti, tutti purtroppo che portano nella direzione che dicevo. Non farò un articolo ad hoc, non credo ne valga la pena, cito solo alcune cose:
- gli USA il 11/03/2026 hanno bombardato l’edificio della Sepah Bank, una banca istituzionale che tra le altre cose gestisce i dati degli stipendi dei Guardiani della Rivoluzione; in particolare è stato colpita la sede del “Sepah Bank Digital Security Center” che, probabilmente, ospitava anche una parte dei servizi informatici di quella banca, dato che subito dopo sembra essere andato offline il suo home banking (Data Center Dynamics - Bank data center struck by missile in Iran – report, Küre Ansiklopedi - Iran Sepah Bank Attack (2026))
- l’Iran il 31/03 ha nominato (di nuovo, stavolta ufficialmente apparentemente - l’aveva già fatto in teoria) 18 aziende statunitensi come target militari legittimi, in pratica tutte tra le più grandi aziende tecnologiche al mondo (Amazon, Microsoft, Nviodia, Google, Apple, Meta, HP, Tesla, Oracle, Cisco, IBM, Boeing,…).
- il 01/04 , probabilmente per dar seguito alla dichiarazione ufficiale, l’iran ha nuovamente colpito uno dei datacenter di AWS nel Bahrain (Reuters - Amazon’s cloud business in Bahrain damaged in Iran strike, FT reports). Probabilmente a seguito della decisione di informare solo i clienti direttamente coinvolti, nell’health dashboard non è stato scritto nulla, tuttavia, come scritto nel secondo articolo, al 30/04 anche per la region del Bahrain è stato pubblicato l’avviso di completa indisponibilità della region, per cui probabilmente i danni ci sono stati.
Ho esplorato, credo al meglio possibile coi mezzi a mia disposizione (cioè fondamentalmente il mio cervello, Claude e internet) la situazione a livello macro, il contesto internazionale, il generale. Ora, mi immergerò nel particolare, nel dettaglio tecnico dell’incidente, nelle conseguenze note per chi aveva carichi di lavoro ospitati in me-central-1.