Il terrorismo del XXI secolo sta attraversando una trasformazione che rischia di modificare radicalmente le categorie attraverso le quali le democrazie occidentali interpretano le minacce alla sicurezza nazionale. Non si tratta soltanto dell’evoluzione tecnologica delle organizzazioni estremiste, né della crescente disponibilità di strumenti digitali per pianificare attentati. Il cambiamento è più profondo: riguarda la progressiva trasformazione del terrorismo in un servizio esternalizzato, acquistabile, organizzabile e gestibile a distanza, anche da apparati statali. È il paradigma del Terrorism-as-a-Service (TaaS), una nuova configurazione della violenza clandestina nella quale Stati, organizzazioni criminali e individui reclutati attraverso piattaforme digitali finiscono per convergere all’interno di reti operative flessibili, temporanee e difficilmente attribuibili. A supporto della conferma di questo scenario troviamo alcuni recenti studi che confermano come reti russe e iraniane, attive in Europa tra il 2022 e il 2026, abbiano di fatto trasformato il terrorismo non più in una militanza ideologica ma in una proiezione di molteplici prestazioni criminali commissionate nell’ambito di precise strategie politiche da conseguire.Dalla radicalizzazione ideologica al terrorismo su commissionePer decenni, i modelli tradizionali dell’antiterrorismo hanno privilegiato l’analisi dei processi di radicalizzazione, delle appartenenze ideologiche e delle strutture organizzative dei gruppi estremisti. Il terrorismo di matrice jihadista, quello politico e quello etnonazionalista hanno storicamente presentato, pur con differenze sostanziali, un elemento comune: l’esistenza di una motivazione ideologica capace di orientare il comportamento degli esecutori. Il modello emergente rompe parzialmente questo schema, poiché l’esecutore di un attentato può non conoscere il mandante, non condividere alcuna causa politica e persino ignorare la reale finalità strategica dell’operazione alla quale partecipa. In altri termini, può trattarsi di un piccolo criminale, di un soggetto economicamente vulnerabile, di un giovane reclutato online o di un individuo attratto esclusivamente dalla prospettiva di un compenso. L’ideologia, di conseguenza, viene sostituita dalla remunerazione, l’appartenenza organizzativa dalla disponibilità occasionale e la fedeltà politica da una relazione contrattuale clandestina. Questa trasformazione introduce una criticità fondamentale per gli apparati di sicurezza: un individuo privo di precedenti estremisti potrebbe diventare improvvisamente l’esecutore di un’operazione riconducibile agli interessi strategici di una potenza straniera. Il tradizionale profilo del terrorista, pertanto, rischia di perdere parte della propria efficacia predittiva.Il modello operativo: esternalizzazione, reclutamento e direzione digitaleQuesto nuovo modello operativo, che sta assumendo particolare rilevanza nell’ambito del terrorismo e della criminalità organizzata, si basa su tre dinamiche fondamentali.Esternalizzazione della violenza. Gli apparati statali possono affidare determinate operazioni a intermediari criminali che, a loro volta, reclutano ulteriori soggetti. Si costruiscono così catene operative multilivello, nelle quali la distanza tra il mandante e l’autore materiale rende particolarmente complessa l’attribuzione delle responsabilità.Reclutamento opportunistico. Le organizzazioni criminali e le piattaforme digitali consentono di individuare soggetti disponibili a compiere attività illegali dietro compenso, indipendentemente dalle loro convinzioni.Direzione a distanza. È probabilmente la più innovativa, e si basa sull’utilizzo di applicazioni di messaggistica come Telegram, WhatsApp e Snapchat che permettono di instaurare relazioni operative senza contatti fisici. Le criptovalute possono agevolare il trasferimento dei compensi, mentre gli intermediari locali consentono di reperire risorse umane sul territorio.La conseguenza è la nascita di una sorta di mercato clandestino della violenza geopolitica, nel quale il mandante può commissionare un’operazione senza mobilitare direttamente personale appartenente ai propri servizi di intelligence. Non è difficile individuare le analogie con il modello del Cybercrime-as-a-Service, che ha trasformato la criminalità informatica in un ecosistema di servizi specializzati. La differenza sostanziale risiede nell’obiettivo: non soltanto ottenere un profitto economico, ma produrre effetti politici, strategici e psicologici funzionali agli interessi di uno Stato.Il primo caso di studio: la strategia russa tra sabotaggio e destabilizzazione attraverso intermediariI casi riconducibili alla Russia evidenziano come il ricorso a soggetti criminali reclutati online possa rappresentare un’evoluzione delle tradizionali attività clandestine attribuite agli apparati di intelligence militare. Dopo l’invasione dell’Ucraina del febbraio 2022, l’espulsione di numerosi funzionari russi dai Paesi europei ha contribuito, secondo gli autori, a rendere più interessante il ricorso a reti alternative di reclutamento. Emblematico è il caso dell’incendio doloso del marzo 2024 contro un magazzino londinese contenente forniture destinate all’Ucraina, comprese apparecchiature satellitari Starlink. L’operazione coinvolse Dylan Earl, un giovane britannico con precedenti attività criminali, che aveva stabilito contatti attraverso Telegram con soggetti associati al gruppo Wagner. Earl divenne un intermediario, reclutando ulteriori persone per l’esecuzione dell’attacco. Ancora più preoccupante è il caso dei pacchi incendiari spediti nel luglio 2024 attraverso reti logistiche europee. Secondo le indagini richiamate nello studio, una rete di almeno 22 persone avrebbe partecipato a un’operazione attribuita al GRU russo – il servizio di informazioni militari delle Forze armate della Federazione Russa – con dispositivi incendiari destinati a transitare attraverso infrastrutture del trasporto merci. Il rischio che uno di questi dispositivi potesse attivarsi durante un volo civile dimostra come operazioni apparentemente circoscritte possano generare conseguenze strategiche incontrollabili. Il punto centrale è che l’impiego di esecutori scarsamente addestrati non elimina la pericolosità dell’operazione: può, al contrario, aumentarne l’imprevedibilità. Un apparato di intelligence che utilizza criminali occasionali rinuncia infatti a una parte significativa del controllo operativo tradizionalmente esercitato sui propri agenti.Secondo caso di studio: il modello iraniano, tra convergenza tra apparati statali e criminalità organizzataAnche l’Iran rappresenta un esempio significativo dell’evoluzione del terrorismo sponsorizzato dagli Stati. Storicamente, le operazioni clandestine riconducibili a Teheran sono state associate soprattutto al Corpo delle Guardie della Rivoluzione islamica, alla Forza Quds e a organizzazioni alleate come Hezbollah. Il modello più recente introduce, purtuttavia, un ulteriore livello di intermediazione: il coinvolgimento di reti criminali prive di una stabile appartenenza ideologica. Particolarmente significativo è il caso di Foxtrot, organizzazione criminale svedese che le autorità occidentali hanno collegato a operazioni riconducibili agli interessi iraniani. La rete avrebbe utilizzato anche piattaforme digitali e ambienti frequentati da giovani per individuare potenziali esecutori. Lo studio richiama inoltre gli attacchi contro obiettivi ebraici e israeliani rivendicati nel 2026 da Harakat Ashab al-Yamin al-Islamia, una sigla collegata, secondo le ricostruzioni riportate dagli autori, a intermediari appartenenti all’ecosistema delle milizie sostenute dall’Iran. Questi episodi evidenziano un cambiamento particolarmente rilevante: il rapporto tra terrorismo, criminalità organizzata e intelligence statale non è più necessariamente fondato su alleanze permanenti, ma può svilupparsi attraverso collaborazioni temporanee, basate su interessi convergenti e incentivi economici. È una forma di cooperazione clandestina che rende sempre più labile la distinzione tra criminalità comune e operazioni di destabilizzazione geopolitica.Il vero obiettivo potrebbe non essere il successo dell’attentatoUno degli aspetti più interessanti della ricerca riguarda la logica strategica di queste operazioni. Molti degli attentati analizzati sono stati sventati oppure realizzati da soggetti inesperti, con risultati operativi limitati. Perché, dunque, apparati statali dotati di elevate capacità professionali dovrebbero ricorrere a esecutori scarsamente qualificati? Una possibile risposta risiede nella diversa misurazione del successo. Nel terrorismo tradizionale, il risultato viene frequentemente valutato attraverso la capacità di colpire un obiettivo e produrre un effetto politico o psicologico. Al contrario, nel Terrorism-as-a-Service, il valore strategico potrebbe derivare anche dalla moltiplicazione degli episodi, dalla diffusione dell’insicurezza e dall’obbligo imposto agli Stati bersaglio di mobilitare continuamente risorse investigative e di protezione. In altri termini, un sabotaggio fallito può comunque generare allarme, un attentato sventato può costringere a rafforzare la sicurezza di infrastrutture strategiche e una campagna di operazioni minori può alimentare la percezione di una minaccia permanente. È la logica del cosiddetto “attrito applicato alla sicurezza interna”. Occorre tuttavia distinguere questa interpretazione dalle conclusioni definitivamente dimostrate: gli stessi autori presentano come interrogativi aperti le ragioni per cui gli Stati sponsor accettino un’elevata percentuale di insuccessi e il rischio di escalation.Intelligence e controspionaggio: una sfida che impone nuovi paradigmiLe implicazioni per le agenzie di intelligence europee sono profonde. La prima riguarda il superamento delle tradizionali separazioni tra antiterrorismo, contrasto alla criminalità organizzata e controspionaggio. Un’attività inizialmente classificata come criminalità comune potrebbe rappresentare una componente di un’operazione clandestina coordinata da una potenza straniera. La seconda riguarda l’importanza crescente dell’intelligence digitale. L’analisi delle piattaforme di comunicazione, delle reti di reclutamento online, delle transazioni finanziarie e delle connessioni tra intermediari criminali diventa essenziale per individuare le catene di comando. In questo contesto, le metodologie OSINT, SOCMINT e di analisi delle reti possono contribuire a identificare correlazioni che difficilmente emergerebbero attraverso approcci investigativi settoriali. Anche in questo caso l’intelligenza artificiale può assumere un ruolo determinante per quanto concerne l’analisi di enormi quantità di dati eterogenei, nella ricostruzione delle relazioni tra soggetti e nell’individuazione di schemi operativi ricorrenti. È tuttavia necessario evitare un equivoco: la disponibilità di algoritmi avanzati non equivale automaticamente alla capacità di attribuire un’operazione a uno Stato. L’attribuzione richiede la convergenza di evidenze investigative, intelligence tecnica, informazioni umane e riscontri giudiziari. Inoltre, l’impiego di strumenti analitici avanzati deve rispettare i principi di legalità, proporzionalità e tutela dei diritti fondamentali. Il rischio, altrimenti, è quello di trasformare la necessaria innovazione delle capacità investigative in una sorveglianza indiscriminata.L’Italia e la vulnerabilità delle infrastrutture strategichePer l’Italia, questa evoluzione merita particolare attenzione. Il nostro Paese dispone di infrastrutture energetiche, logistiche, portuali, aeroportuali, industriali e digitali che assumono un’importanza strategica nel quadro delle relazioni euro-atlantiche e del sostegno all’Ucraina. Inoltre, la presenza di filiere industriali collegate alla difesa, di centri di ricerca avanzata e di importanti nodi della logistica internazionale impone di considerare anche le minacce ibride caratterizzate dall’utilizzo di intermediari criminali. Va sottolineato che ciò non deve portare a ritenere che in Italia siano già state accertate operazioni identiche a quelle precedentemente menzionate, ma va compreso che il modello descritto presenta caratteristiche potenzialmente applicabili anche al nostro contesto nazionale. Una strategia di prevenzione efficace dovrebbe rafforzare la condivisione informativa tra intelligence, forze di polizia, autorità giudiziaria e soggetti responsabili delle infrastrutture critiche. Particolare attenzione dovrebbe essere riservata anche alle attività apparentemente scollegate che, osservate nel loro insieme, potrebbero rivelare una finalità comune: piccoli sabotaggi, danneggiamenti, attività di ricognizione sospette e reclutamenti criminali attraverso ambienti digitali. In tale prospettiva, la cybersicurezza non può più essere interpretata esclusivamente come protezione delle reti e dei sistemi informativi. Diventa una componente della sicurezza nazionale integrata, nella quale il dominio digitale può costituire l’ambiente di reclutamento e coordinamento di azioni violente destinate a produrre effetti nel mondo fisico.In conclusione, il Terrorism-as-a-Service rappresenta un ulteriore passaggio nell’evoluzione della guerra ibrida. La sua pericolosità deriva soprattutto dalla combinazione di tre elementi: la disponibilità di reti criminali transnazionali, la capacità delle tecnologie digitali di ridurre le distanze operative e la possibilità, per gli Stati sponsor, di attenuare la propria esposizione diretta. Il risultato è una forma di violenza clandestina nella quale il confine tra terrorismo, sabotaggio, criminalità organizzata e operazioni di intelligence diventa progressivamente più difficile da individuare. Si tratta di un fenomeno che richiede non soltanto nuove tecnologie investigative, ma soprattutto una diversa cultura dell’intelligence. Non è più sufficiente identificare i singoli esecutori, ma occorre ricostruire le relazioni, individuare gli intermediari, comprendere le finalità strategiche e collegare episodi apparentemente autonomi all’interno di un quadro geopolitico più ampio. La sfida fondamentale sarà rappresentata dal passaggio da un modello prevalentemente “reattivo”, concentrato sull’evento terroristico, ad un modello “proattivo”, capace di riconoscere preventivamente le architetture clandestine che rendono possibile un’operazione, poiché la vera innovazione del terrorismo contemporaneo potrebbe non risiedere nella sofisticazione degli attentati, ma nella crescente facilità con cui qualcuno può commissionarli senza comparire direttamente sulla scena. Nell’era della guerra ibrida, il terrorista può essere un esecutore occasionale, il coordinatore un intermediario criminale e il mandante un apparato statale nascosto dietro una catena di relazioni digitali. È questa la nuova frontiera del controspionaggio: non limitarsi a individuare chi compie l’attacco, ma comprendere chi lo commissiona, chi lo finanzia e soprattutto quale interesse geopolitico intende perseguire.