Immagine in evidenza: foto di Leio McLaren da Unsplash
Nell’aprile del 2024 la compagnia aerea finlandese Finnair sospese per un mese i collegamenti tra Helsinki e Tartu, una città estone da meno di 100mila abitanti. Il problema era il segnale GPS: interferenze “sospette” nelle vicinanze – probabilmente di origine russa – avevano impedito a diversi voli di utilizzare le procedure standard di avvicinamento all’aeroporto. Per riprendere il servizio occorreva una soluzione che permettesse di arrivare a terra senza dipendere dalla navigazione satellitare. Gli aerei erano disponibili, la pista pure. Bisognava però trovare un sistema alternativo per garantire l’orientamento.
Per aggirare il problema, i tecnici ricorsero a radiosegnali trasmessi da stazioni a terra, una tecnologia utilizzata nell’aviazione fin dalla prima metà del Novecento. Annunciando la ripresa dei collegamenti, Finnair spiegò che le nuove procedure erano indipendenti dai segnali GPS e quindi non compromesse dai tentativi di jamming (l’invio di segnali di disturbo volti a disorientare i sistemi di navigazione) che avevano provocato l’interruzione del servizio. Nel settembre del 2026, Finnair ha inoltre annunciato di aver adattato l’addestramento dei piloti e le proprie procedure operative per affrontare le interferenze GPS, ormai quotidiane nei cieli del Baltico.
Oltre a raccontare uno spaccato della cosiddetta “guerra ibrida” russa, l’aneddoto di Tartu è interessante perché mette in discussione un assioma che tendiamo a prendere sempre per buono. Ovvero che la sicurezza di un sistema migliora quando sistemi più vecchi vengono sostituiti da sistemi più recenti. Non è sempre così. Questo non significa che gli aerei di una volta fossero più sicuri, ma che l’introduzione di tecnologie di ultima generazione può risolvere vecchie vulnerabilità introducendone però di nuove. Allo stesso tempo, conservare un sistema precedente per utilizzarlo come alternativa significa dover continuare a proteggerlo.
I punti deboli dell’aviazione
In un rapporto del 2020, il Government Accountability Office (GAO), l’organismo di controllo del Congresso statunitense, ha segnalato alcuni potenziali punti deboli dell’aviazione civile: i software non aggiornati, l’affidabilità dei fornitori, il caricamento di programmi malevoli e la falsificazione dei dati di volo. Tuttavia, nello stesso rapporto, il GAO precisava che, fino a quel momento, non risultavano attacchi informatici riusciti contro i sistemi degli aerei commerciali.
Sarebbe però sbagliato dedurre da questo dato che, siccome le vulnerabilità non sono state finora sfruttate, non sia possibile farlo. Nel settembre del 2026, un nuovo rapporto dello stesso organismo ha perciò raccomandato alla Federal Aviation Administration (FAA) di rafforzare l’autenticazione e la protezione dei dati di ACARS e CPDLC (due sistemi di comunicazione con diversi decenni alle spalle e impiegati per lo scambio di messaggi tra gli aerei e le strutture a terra) per difendersi da trasmissioni non autorizzate e da messaggi alterati.
Per capire la portata del problema occorre partire da ciò che i due sistemi ACARS e CPDLC devono garantire. Un messaggio ricevuto in cabina deve essere comprensibile, ma deve anche provenire da chi dichiara di averlo inviato e giungere senza alterazioni. Sono cose diverse: ricevere correttamente un’istruzione, in termini di segnale, non significa avere la certezza che sia autentica.
ACARS e CPDLC sono sistemi digitali, ma appartengono a generazioni tecnologiche nelle quali le protezioni crittografiche oggi necessarie non erano incorporate in modo adeguato. Il rapporto del GAO segnala infatti come le loro comunicazioni siano generalmente prive di cifratura e autenticazione: possono quindi essere intercettate e, in determinate condizioni, falsificate attraverso una tecnica nota come spoofing, che permette di inviare messaggi apparentemente provenienti da una fonte legittima.
Questo non equivale a dire che un cyber-aggressore possa prendere il controllo di un aereo da remoto come in un film. Una comunicazione sospetta (ammesso che venga riconosciuta come tale) può essere verificata dai piloti attraverso altri canali e, se necessario, smascherata. Ma anche la necessità di verificarla ha un costo: richiede tempo, aumenta il carico di lavoro e può rallentare le operazioni. E questo, in situazioni di emergenza, rappresenta un grosso problema. La sicurezza dipende perciò anche dalla possibilità di riconoscere rapidamente informazioni inaffidabili.
I tempi cyber e quelli industriali
La domanda a questo punto sembra ovvia: perché non sostituiamo semplicemente questi sistemi? La risposta non è così semplice, perché una rete aeronautica funziona solo se gli apparati a bordo e quelli a terra continuano a capirsi. Un aereo è solo il vettore del trasporto, ciò che gli consente di volare è l’intera infrastruttura dell’aviazione globale in cui esso è inserito: un’infrastruttura che è costituita da elementi in parte fisici (piste, torri di controllo, aeroporti, depositi, produttori di aerei) e in parte informatici (processori di informazioni, sistemi di scambio dati, software di navigazione ecc). Questo significa che intervenire su uno standard o su un sistema all’interno di un’infrastruttura così complessa rende necessario modificare e adeguare innumerevoli altri elementi, su scala spesso internazionale. Tutto ciò non solo costa molto, ma deve superare attriti di innumerevoli tipi: burocratici, politici, tecnici ecc.
Il digitale permette di sviluppare rapidamente nuovi strumenti, compresi quelli utilizzabili per attaccare un’infrastruttura. Il mondo industriale deve invece integrare ogni cambiamento in una rete di macchine, procedure, competenze e responsabilità. Un aggiornamento utile su un singolo dispositivo può diventare complicato quando deve funzionare insieme a tutto il resto.
Nell’aviazione questa lentezza ha poi una causa ben precisa, che a sua volta ha a che fare con la sicurezza complessiva del volo. Ogni modifica in campo aeronautico deve infatti superare numerosi test e ottenere altrettanti certificati per dimostrare di essere sicura. I processi di certificazione valutano i rischi dei nuovi sistemi, le loro interazioni e le protezioni necessarie per continuare a garantirne il funzionamento in presenza di anomalie o in casi di emergenza. La cybersecurity è ormai parte integrante di queste valutazioni, ma, come documentano i report citati, il problema è riuscire a mantenere aggiornate le protezioni per tutta la vita operativa dei sistemi aeronautici, mentre le minacce continuano a cambiare.
La prudenza necessaria per introdurre una tecnologia può così entrare in tensione con l’urgenza di correggerne le vulnerabilità. Le tecniche di attacco possono evolvere rapidamente e non devono necessariamente funzionare ogni volta, mentre chi difende un’infrastruttura (aeronautica o meno) deve verificare che le contromisure non introducano nuovi problemi in altri punti del sistema o nelle interazioni tra le sue componenti. Costruiamo tecnologie sempre più veloci, ma continuiamo ad affidare attività essenziali a sistemi che non possono che cambiare lentamente. La distanza tra questi due tempi è uno dei punti in cui si concentrano i pericoli.
Questa distanza comincia già nelle fabbriche che costruiscono gli aerei. L’industria aeronautica è un’industria pesante, che lavora su cicli lunghi: progettare un nuovo velivolo (inteso come modello), organizzare la produzione e recuperare gli investimenti richiede tempi che non coincidono con quelli dello sviluppo informatico. Una volta entrato in servizio, un aereo deve volare per decenni per assorbire l’investimento.
Le scelte tecnologiche fatte durante la progettazione diventano così impegni da mantenere ben oltre il momento in cui sono state prese. E mentre i nuovi aerei escono dalle fabbriche, quelli delle generazioni precedenti continuano a volare e a utilizzare la stessa infrastruttura. Il rinnovamento procede quindi per sovrapposizione: sistemi progettati in epoche diverse devono convivere, spesso per molti anni.
Un altro caso di “guerra ibrida”
C’è poi un’altra distanza, più familiare a chiunque abbia preso un aereo negli ultimi venticinque anni. Dopo l’11 settembre, la protezione dell’aviazione è diventata un’esperienza molto visibile: controlli sui passeggeri, ispezioni dei bagagli, accessi sorvegliati. Negli Stati Uniti, la riforma del 2001 istituì la Transportation Security Administration, impose il controllo di tutti i bagagli da stiva e il rafforzamento delle porte delle cabine di pilotaggio. Il modello di minaccia al quale rispondere era concreto: qualcuno poteva salire a bordo e impadronirsi dell’aereo.
Abbiamo così imparato a chiederci chi abbia il diritto di salire su un aereo. Dobbiamo però stabilire con altrettanta affidabilità quali informazioni abbiano il diritto di entrarvi. Il controllo dell’identità di un passeggero e l’autenticazione di un messaggio sono operazioni diverse, ma rispondono a un’esigenza comune: distinguere ciò di cui ci si può fidare da ciò che potrebbe essere ostile.
È qui che la questione tecnica incontra la guerra ibrida. Per creare un problema a un sistema di trasporto non è indispensabile provocare un incidente. Può bastare renderne meno affidabile il funzionamento, costringere gli operatori a controlli aggiuntivi o indurli a sospendere un servizio per prudenza. Tartu mostra proprio questo: la decisione di fermare i voli ha tutelato i passeggeri, ma le interferenze avevano già ottenuto il risultato di interrompere il collegamento.
Nel caso delle interferenze alla navigazione satellitare, il coinvolgimento russo ha inoltre superato il livello del semplice sospetto. Nell’ottobre del 2025 l’assemblea dell’ICAO, l’organizzazione delle Nazioni Unite per l’aviazione civile, ha condannato le interferenze ricorrenti provenienti dal territorio della Federazione Russa, riconoscendole come violazioni della Convenzione internazionale sull’aviazione civile.
Come insegna il caso di Tartu, per difendersi è importante anche conservare alternative praticabili. Nel giugno del 2025, l’Agenzia europea per la sicurezza aerea (EASA) e l’Associazione internazionale del trasporto aereo (IATA) hanno incluso nel loro piano contro le interferenze ai segnali GNSS (Global navigation satellite system) il mantenimento di una rete minima di radioassistenze tradizionali, insieme a un migliore monitoraggio e a procedure per operare quando la navigazione satellitare viene disturbata. La possibilità di tornare a strumenti precedenti è, in questo caso, esplicitamente indicata come componente della sicurezza futura.
Tartu e i sistemi di comunicazione descritti dal GAO indicano dunque due esigenze da soddisfare insieme: mantenere un’alternativa in caso di sabotaggi e aggiornare ciò che espone a una minaccia. Più importante dell’età di una tecnologia è sapere come può essere attaccata, come riconoscere che qualcosa non funziona e quali strumenti possono sostituirla quando ciò accade.
