Cosa ha scoperto il ministero della Difesa

Il corrispondente per la difesa del Telegraph, Richard Holmes, ha riferito il 9 agosto 2026 che le telecamere di sorveglianza montate sui droni marini K3 Scout della Royal Navy, usati dai Royal Marines e strettamente collegati alle operazioni dello Special Boat Service da Poole, contenevano componenti di fabbricazione cinese che inviavano "comunicazioni heartbeat" verso un dispositivo in Cina. Un portavoce del ministero della Difesa ha confermato la sostanza della notizia: le trasmissioni sono state individuate durante una "valutazione di routine della vulnerabilità informatica" della flotta K3, e le informazioni scambiate confermavano solo che la telecamera era online e funzionante, non dati operativi. Dopo la scoperta, il MoD ha eliminato tutta la connettività internet dalle telecamere interessate.

La posizione ufficiale del MoD, ripetuta a più testate, è che un'indagine successiva non ha trovato prove che dati o sistemi del MoD fossero stati acceduti, compromessi o trasmessi all'esterno. È un'affermazione più circoscritta che dire che i componenti fossero sicuri: conferma l'assenza di un'esfiltrazione nota, non che il comportamento di richiamo verso casa fosse intenzionale, dichiarato o previsto.

La flotta da 12 milioni di sterline dietro Project Beehive

Il K3 Scout è un veicolo di superficie senza equipaggio lungo 8,4 metri costruito da Kraken Technology Group, un appaltatore della difesa britannico con sede a Fareham, nell'Hampshire. La Royal Navy ha incaricato Kraken di fornire 20 unità K3 Scout e i relativi sistemi di controllo a terra nell'ambito di Project Beehive, un programma per integrare imbarcazioni senza equipaggio ad alta velocità nelle operazioni della flotta; le unità possono trasportare carichi di sensori, merci o armamenti e sono state testate anche in prove come un lancio aereo da un A400M della Royal Air Force. La flotta, del valore di 12 milioni di sterline, è in servizio con i Royal Marines dal marzo 2026, con alcune unità che secondo alcune fonti sarebbero destinate a una missione nel Golfo per proteggere la navigazione nello Stretto di Hormuz.

Kraken Technology Group ha dichiarato ai giornalisti che le telecamere erano conformi al NDAA - lo standard statunitense per gli appalti della difesa che esclude alcuni fornitori cinesi - ma ha ammesso che le unità contenevano "un piccolo numero di componenti provenienti da fuori del Regno Unito", che ha detto di aver acquistato da un fornitore terzo che aveva dato garanzie di sicurezza. Kraken ha sostenuto che non era stata condivisa alcuna informazione sensibile.

Dove si è davvero rotta la catena delle garanzie

La catena qui ha tre anelli: Kraken ha costruito e venduto il K3 Scout alla Royal Navy; Kraken ha acquistato il modulo della telecamera da un fornitore terzo; quel fornitore ha dato a Kraken garanzie di sicurezza sul componente. Nessuna di queste garanzie ha rilevato il traffico heartbeat prima che le unità entrassero in servizio. È emerso solo circa cinque mesi dopo l'inizio dell'uso operativo, quando il MoD ha condotto una valutazione di routine della vulnerabilità informatica - il tipo di controllo che avviene periodicamente, non quello integrato nell'accettazione del componente di un nuovo fornitore.

La ministra ombra per la sicurezza, Alicia Kearns, ha dichiarato che l'episodio dimostra come le vulnerabilità della catena di fornitura possano minare la capacità di difesa sovrana anche quando l'appaltatore principale è britannico e uno standard di conformità (NDAA) è stato formalmente rispettato. Ed è proprio questo che la documentazione di conformità non cattura: un componente può superare uno standard nominato e una garanzia scritta di un fornitore e comunque comportarsi, in produzione, in un modo che nessuno, a monte, ha testato o dichiarato.

Cosa significa per le imprese UE e britanniche al di là della difesa

Non è solo un problema del ministero della Difesa. I moduli per fotocamere e sensori di fabbricazione cinese si trovano in un'enorme varietà di hardware commerciale acquistato da normali imprese UE e britanniche: telecamere di sicurezza, sistemi di controllo accessi, sensori per edifici intelligenti, apparecchiature di monitoraggio industriale, persino chioschi rivolti al pubblico. Il caso del K3 Scout dimostra che una garanzia documentale di un fornitore - "conforme al NDAA", "nessun dato sensibile condiviso", un questionario di sicurezza firmato - non equivale all'affermazione "abbiamo verificato cosa fa realmente questo dispositivo in rete", e le due cose possono divergere senza che nessuno nella catena se ne accorga finché un audit indipendente non lo scopre per caso.

Secondo la NIS2, i soggetti essenziali e importanti in tutta l'UE (energia, sanità, infrastrutture digitali, produttori di prodotti critici e altro) hanno un obbligo esplicito di gestione del rischio della catena di fornitura: l'articolo 21(2)(d) richiede di valutare le pratiche di sicurezza dei fornitori diretti e dei prestatori di servizi, non solo la loro documentazione. In Italia, questo obbligo si traduce nel decreto legislativo di recepimento della NIS2, con l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di riferimento per i soggetti coinvolti. L'episodio della Royal Navy è un'illustrazione concreta del motivo per cui questo obbligo dovrebbe tradursi in un passaggio tecnico, non solo contrattuale. Un team acquisti che vuole evitare di scoprire il proprio problema di "heartbeat" cinque mesi dopo l'avvio operativo dovrebbe richiedere, prima della distribuzione, una cattura indipendente del traffico di rete di qualsiasi modulo per fotocamere, sensori o IoT di terzi, verificando dove si connette realmente, non solo cosa il fornitore dichiara che non fa. Il Regno Unito resta fuori dalla giurisdizione della NIS2, ma affronta la stessa esposizione pratica, motivo per cui il suo NCSC ha pubblicato linee guida simili sulle garanzie della catena di fornitura proprio per questo.

Da leggere ora: Ruota ogni credenziale di CI usata il 4 agosto  |  La correzione firma i file nuovi, non l'archivio