Il Manuale del Golfo - Russia scrive, Israele insegna, Iran applica

 di Luigi Ricci - 2 marzo 2026

C’è un momento preciso in cui una crisi smette di essere una crisi e diventa una dottrina. Per il Golfo Persico, quel momento non è il 28 febbraio 2026, il giorno in cui i missili iraniani hanno illuminato il cielo di Dubai. È il 22 febbraio. Sei giorni prima.

Quella notte, il Cyber Security Council UAE (Emirati Arabi Uniti) ha dichiarato di aver sventato un’ondata coordinata di attacchi informatici contro le infrastrutture nazionali: infiltrazioni di rete, deploy di ransomware, campagne di phishing sistematico contro piattaforme critiche.

https://thearabweekly.com/uae-thwarts-organised-cyber-assault-key-sectors-digital-infrastructure

Il comunicato ufficiale ha usato un’espressione tecnica precisa, quasi burocratica nella sua sobrietà: “qualitative shift” nei metodi offensivi. Strumenti di intelligenza artificiale impiegati per sviluppare malware adattivo, capace di modificarsi per eludere i sistemi di rilevamento.

Nessuno ha prestato particolare attenzione. Le trattative a Ginevra tra Iran e Stati Uniti dominavano i titoli. Oman mediava. I mercati erano nervosi ma non in panico.

Poi sono arrivati i missili. E il 22 febbraio ha smesso di essere una nota a margine per diventare il capitolo più importante della storia.

1. Il Probing: la guerra inizia prima della guerra

Chi lavora in threat intelligence sa leggere quella sequenza senza esitazione. Il 22 febbraio non era un attacco. Era una ricognizione armata. In linguaggio operativo: mappatura delle difese attive, misurazione dei tempi di risposta dei Security Operations Center, identificazione dei nodi non presidiati, test della soglia di attribuzione pubblica. Un’operazione condotta mentre il contesto diplomatico garantiva copertura, tutti gli occhi su Ginevra, nessuno sui log di rete.

Sei giorni dopo, 165 missili balistici e 541 droni hanno attraversato lo spazio aereo degli Emirati. Jebel Ali ha bruciato. L’aeroporto di Abu Dhabi ha registrato una vittima e sette feriti. Dubai International, il porto aereo più trafficato del mondo per traffico internazionale, ha cancellato il 70% dei voli. Ma il probing del 22 febbraio era già andato a segno. Non nelle reti che il Cyber Security Council aveva difeso. In quelle che non aveva ancora trovato.

2. La Scuola di Natanz: Israele ha fatto il manuale, l’Iran lo ha studiato

Per capire perché l’Iran sa esattamente come si distrugge un’infrastruttura industriale attraverso una rete informatica, bisogna tornare a Natanz. Anno 2010.

Stuxnet, il worm sviluppato congiuntamente da NSA e dall’Unità 8200 israeliana nell’ambito dell’Operation Olympic Games, era un capolavoro di ingegneria offensiva. Prendeva di mira i controllori logici programmabili Siemens che governavano le centrifughe per l’arricchimento dell’uranio, causandone la distruzione fisica mentre i display mostravano parametri perfettamente normali agli operatori. Quattro zero-day simultanei. Rootkit nei PLC industriali. Inganno degli operatori umani in tempo reale. Il primo cyberweapon capace di produrre danni fisici reali, senza un’esplosione, senza un missile, senza attribuzione formale.

Poi Stuxnet uscì dai confini di Natanz. Si propagò in rete, fu identificato, decostruito pubblicamente da Kaspersky, Symantec, F-Secure. Il codice sorgente del primo cyberweapon industriale della storia divenne di fatto disponibile a chiunque avesse le competenze per leggerlo.

L’Iran lo lesse con grande attenzione. Entro il 2012, due anni dopo Natanz, Shamoon distruggeva 35.000 workstation di Saudi Aramco in poche ore. La firma era chiaramente debitrice della lezione ricevuta: attacco ai sistemi industriali, danno fisico reale attraverso il vettore digitale, paralisi operativa senza un colpo sparato. Il paradosso ha una sua logica ferrea: Israele e gli Stati Uniti hanno inventato la guerra SCADA. E consegnando involontariamente il manuale al nemico, hanno creato l’avversario che oggi li fronteggia nel Golfo.

3. Chi è l’Iran cyber oggi

Il dibattito pubblico sull’Iran tende a ridursi a tre immagini: gli ayatollah, missili e Shahed. È una semplificazione che costa cara. Teheran ha costruito negli anni una capacità cyber-offensiva che i report di intelligence occidentali classificano stabilmente tra le prime cinque al mondo.

I gruppi operativi sono documentati. APT33, noto anche come Refined Kitten, specializzato in infrastrutture critiche energetiche, con operazioni certificate in Arabia Saudita, negli Emirati e negli Stati Uniti. APT34, noto come OilRig, con focus su settori petroliferi e governativi del Medio Oriente. APT35, orientato verso obiettivi geopolitici e diplomatici. Tutti e tre strutturalmente integrati nell’apparato dei Pasdaran: non bande di hacker freelance, ma unità operative con budget, gerarchie e obiettivi strategici assegnati dal vertice dell’IRGC.

Il segnale più inquietante è arrivato nel corso del 2025. Microsoft ha documentato che i gruppi iraniani hanno significativamente ampliato i propri target cyber includendo aziende di shipping e logistica nel Golfo Persico, con la nota esplicita che Teheran stava costruendo la capacità di interferire con le operazioni commerciali marittime. In linguaggio non tecnico: mentre i diplomatici discutevano di centrifughe a Natanz, gli operatori IRGC piantavano accessi persistenti nelle reti logistiche di Jebel Ali. Gli stessi terminal che oggi sono sotto i missili. Quasi certamente già sotto controllo remoto.

https://news.microsoft.com/source/emea/2025/10/middle-east-extortion-and-ransomware-drive-over-half-of-cyberattacks/

4. La fragilità emiratina: il paradosso della smart city

Gli Emirati Arabi Uniti non sono uno stato. Sono una scommessa. Una scommessa sul fatto che la tecnologia, il capitale e la proiezione di potenza bastino a sostituire quello che la geografia e la storia non hanno dato: profondità strategica, risorse idriche, popolazione radicata, istituzioni con memoria. Dubai esiste perché funziona. Perché i voli atterrano, i container si muovono, i conti si aprono in ventiquattr’ore, l’acqua esce dai rubinetti. Toglile uno di questi elementi e la narrazione collassa. Non gradualmente,di colpo.

È questa la fragilità che l’Iran ha studiato. Non tecnica. Sistemica. Un paese che ha costruito tutto sulla superficie e niente sulla profondità, dove ogni layer di modernità dipende da un layer sottostante che dipende da un altro ancora, fino ad arrivare a una pompa ad alta pressione in un impianto di dissalazione costiero. La catena è lunga, sofisticata, ammirevole. Ed è esattamente per questo che basta spezzarla in un punto solo.

Il Cyber Security Council emiratino ha ammesso pubblicamente che le infrastrutture nazionali ricevono tra 90.000 e 200.000 tentativi di violazione ogni singolo giorno. Non è un dato di guerra, è la baseline ordinaria, la rumorosità di fondo del sistema in tempi di pace. E oltre il 70% dei gruppi responsabili, secondo lo stesso Consiglio, è sponsorizzato da stati stranieri.

I vettori tecnici documentati nelle campagne iraniane contro gli Emirati mostrano una sofisticazione che va ben oltre il phishing opportunistico. Le backdoor MINIBIKE e MINIBUS, attribuite a gruppi iraniani, utilizzano spear-phishing con false offerte di lavoro per l’installazione iniziale, poi si appoggiano a Microsoft Azure come infrastruttura di comando e controllo. Il traffico malevolo è indistinguibile da quello aziendale legittimo. In reti OT dei sistemi industriali, spesso connesse per manutenzione remota, questo tipo di accesso persistente può rimanere silenzioso per mesi prima di essere attivato.

La settimana scorsa era il dress rehearsal. Il 22 febbraio era il probing. I missili del 28 sono stati la copertura.

5. L’arma della sete: il vero Zero Day

C’è un target che i commentatori militari quasi non menzionano. Non fa notizia quanto un missile sul Burj Khalifa. Non genera le stesse immagini. Ma è probabilmente il più devastante in termini di effetti strategici: i desalinizzatori.

Abu Dhabi e Doha non hanno riserve idriche naturali di alcun tipo. L’intera fornitura di acqua potabile di queste metropoli dipende da centrali di dissalazione costiere, DEWA per Dubai, ADWEA per Abu Dhabi, Kahramaa per il Qatar. Sono sistemi energivori, ad altissima complessità tecnologica, gestiti attraverso reti di controllo industriale SCADA. Senza energia, si fermano. Senza questi sistemi, le metropoli hanno un’autonomia vitale stimata in meno di 48 ore.

Un missile balistico su un desalinizzatore è un’opzione politicamente costosa: è un atto di guerra contro la popolazione civile, visibile al mondo in tempo reale, con risposta internazionale certa. Ma un attacco SCADA ben condotto, preparato mesi prima attraverso accessi persistenti, attivato nel momento operativamente opportuno, ottiene lo stesso risultato con un profilo completamente diverso. Alterare i parametri chimici del processo di osmosi inversa. Bloccare le pompe ad alta pressione causando danni meccanici irreversibili. Introdurre variazioni nei sistemi di controllo che degradano lentamente la qualità dell’output idrico. O anche solo creare incertezza, far sì che la popolazione non si fidi dell’acqua del rubinetto, innescando panico ed evacuazione senza una sola esplosione visibile.

Nessun casus belli formale. Nessuna attribuzione certa. Nessuna immagine per i telegiornali. Solo una metropoli che smette di funzionare dall’interno.

Questo è il vero Zero Day del Golfo. Non il giorno in cui i missili partono. Il giorno in cui si scopre che i sistemi erano già dentro da mesi.

6. La sincronizzazione: tre domini, un’operazione

Mettendo insieme la sequenza degli eventi, emerge una struttura operativa di rara chiarezza.

Il 22 febbraio ha tutte le caratteristiche operative di un probing. I missili del 28 hanno fornito la copertura ideale per attivare accessi già predisposti. In parallelo, nelle ore successive: attività cyber coordinata nei layer invisibili delle reti industriali. Tre domini, fisico, cibernetico, informativo, sincronizzati in un’unica operazione.

Il paragone con l’Ucraina è utile ma parziale. La Russia ha applicato il logoramento totale su un fronte territoriale lineare. L’Iran ha applicato la stessa dottrina su un fronte multi-dominio non lineare: i missili saturano le difese fisiche, i droni consumano le riserve di intercettori, gli attacchi cyber operano negli strati che nessun Patriot può coprire. Il 90% dei missili viene abbattuto, ma mentre le batterie sparano e il personale è concentrato sul cielo, nessuno guarda i log dei sistemi SCADA dei desalinizzatori.

L’Iran ha fatto involontariamente qualcosa di prezioso per la comunità della sicurezza internazionale: ha pubblicato il proprio manuale operativo in tempo reale, davanti a ogni intelligence del mondo. La guerra ibrida multi-dominio sincronizzata, cyber come probing, missili come saturazione, informazione come copertura, non è più un concetto nei paper accademici della NATO. È prassi operativa consolidata, documentata, replicabile.

Non è nata a Teheran. La dottrina del logoramento totale su domini paralleli è stata affinata nei campi ucraini, nelle centrali elettriche di Kharkiv colpite sistematicamente, nei cavi di comunicazione sabotati prima che partisse un solo missile verso Kyiv. La Russia ha scritto il manuale. L’Iran lo ha letto, adattato al teatro del Golfo e applicato con una precisione che avrebbe sorpreso persino Mosca.

Non è una coincidenza. È una partnership strategica con una componente dottrinale esplicita. Mosca e Teheran non condividono solo interessi contingenti, condividono una visione della guerra come continuum in cui il dominio fisico e quello digitale non sono separati ma sincronizzati, in cui la vittoria non si misura sul campo ma nella capacità di rendere invivibile il territorio del nemico senza attraversare mai formalmente la soglia del conflitto aperto. Il Golfo che brucia in queste ore è, tra le altre cose, un campo di addestramento condiviso. Guarda caso, tra grandi alleati.

La domanda che ogni stato con infrastrutture critiche dovrebbe porsi oggi non è “siamo un target?”. La risposta è quasi sempre sì. La domanda è: “sappiamo già se qualcuno è già dentro?”

Roma, 2 marzo, Il syllabus è già scritto

Tra tre giorni, alla Scuola Superiore di Polizia di Roma, si apre CyberSec2026. Il titolo scelto mesi fa, “Cybercrime e cyberwar: norme, geopolitica e cybersecurity per una Difesa comune”, suona oggi come una previsione involontaria. Sul palco ci saranno il ministro Piantedosi, il direttore dell’ACN Bruno Frattasi, il direttore del CNAIPIC Riccardo Croce, la vicepresidente della Commissione europea Henna Virkkunen. Le stesse persone che quella mattina leggeranno i briefing con le immagini di Jebel Ali.

Quello che vedranno nei briefing non è solo una crisi del Golfo. È la terza iterazione di una dottrina nata a Mosca, perfezionata in Ucraina e ora esportata da Teheran nel deserto. La Russia ha scritto il manuale. L’Iran lo ha applicato. E la Russia osserva, con interesse professionale e qualcosa che assomiglia all’orgoglio di un maestro.

Il Golfo ha scritto il syllabus. L’Iran ha tenuto la lezione. La Russia corregge i compiti. L’Italia prenda appunti.

È esattamente questa la tesi al centro di Vaticano Zero Day, il mio saggio in uscita a maggio 2026 per Lindau. Se un emirato ultratecnologico, sottoposto a oltre 200.000 tentativi di violazione al giorno, può essere messo in ginocchio dalla convergenza di missili e attacchi ai sistemi SCADA, cosa può accadere a un’istituzione millenaria che custodisce uno dei patrimoni informativi, diplomatici e simbolici più densi del mondo, e che solo negli ultimi anni ha iniziato a scoprire di essere diventata un bersaglio anche nel dominio digitale?

La Santa Sede non ha desalinizzatori. Ha qualcosa di più fragile: una narrativa globale. E le narrative, nel 2026, si attaccano con gli stessi strumenti che possono spegnere le luci di Dubai.

English version

The Gulf Playbook

Russia writes it. Israel teaches it. Iran deploys it.

by Luigi Ricci | Substack | March 2, 2026

There is a precise moment when a crisis stops being a crisis and becomes a doctrine. For the Persian Gulf, that moment is not February 28, 2026, the day Iranian missiles lit up the sky over Dubai. It is February 22. Six days earlier.

That night, the UAE Cyber Security Council declared it had thwarted a coordinated wave of cyberattacks against national infrastructure: network infiltrations, ransomware deployment, systematic phishing campaigns targeting critical platforms. The official statement used a precise, almost bureaucratic technical phrase: a “qualitative shift” in offensive methods. Artificial intelligence tools deployed to develop adaptive malware capable of modifying itself to evade detection systems.

Nobody paid much attention. Nuclear negotiations in Geneva between Iran and the United States were dominating the headlines. Oman was mediating. Markets were nervous but not panicking.

Then the missiles arrived. And February 22 stopped being a footnote and became the most important chapter in the story.

1. The Probing: the war begins before the war

Anyone working in threat intelligence can read that sequence without hesitation. February 22 was not an attack. It was armed reconnaissance. In operational terms: mapping active defenses, measuring Security Operations Center response times, identifying unmonitored nodes, testing the threshold for public attribution. An operation carried out while the diplomatic context provided cover, all eyes on Geneva, none on network logs.

Six days later, 165 ballistic missiles and 541 drones crossed UAE airspace. Jebel Ali burned. Abu Dhabi airport recorded one fatality and seven injured. Dubai International, the world’s busiest airport for international traffic, cancelled 70% of its flights. But the February 22 probing had already hit its mark. Not in the networks the Cyber Security Council had defended. In the ones it had not yet found.

2. The Natanz School: Israel wrote the manual, Iran studied it

To understand why Iran knows exactly how to destroy industrial infrastructure through a computer network, you have to go back to Natanz. The year is 2010.

Stuxnet, the worm jointly developed by the NSA and Israeli Unit 8200 under Operation Olympic Games, was a masterpiece of offensive engineering. It targeted the Siemens programmable logic controllers governing uranium enrichment centrifuges, causing their physical destruction while displays showed perfectly normal parameters to operators. Four simultaneous zero-days. Rootkits in industrial PLCs. Real-time deception of human operators. The first cyberweapon capable of producing real physical damage, without an explosion, without a missile, without formal attribution.

Then Stuxnet escaped Natanz. It spread across the internet, was identified, publicly deconstructed by Kaspersky, Symantec, F-Secure. The source code of the first industrial cyberweapon in history became effectively available to anyone with the skills to read it.

Iran read it carefully. By 2012, two years after Natanz, Shamoon was destroying 35,000 Saudi Aramco workstations in a matter of hours. The signature was clearly indebted to the lesson received: attacks on industrial systems, real physical damage through the digital vector, operational paralysis without a single shot fired. The paradox has its own iron logic: Israel and the United States invented SCADA warfare. And by inadvertently handing the manual to their adversary, they created the opponent they now face in the Gulf.

3. Iran’s cyber capabilities today

Public debate on Iran tends to collapse into threeimages: ayatollahs, missiles and Shahed drones. It is a simplification that carries a heavy cost. Tehran has built over the years a cyber-offensive capability that Western intelligence reports consistently rank among the top five in the world.

The operational groups are documented. APT33, also known as Refined Kitten, specialized in critical energy infrastructure, with certified operations in Saudi Arabia, the UAE and the United States. APT34, known as OilRig, focused on oil and government sectors across the Middle East. APT35, oriented toward geopolitical and diplomatic targets. All three are structurally integrated into the IRGC apparatus: not freelance hacker gangs, but operational units with budgets, hierarchies and strategic objectives assigned from the top of the Pasdaran command.

The most alarming signal came during 2025. Microsoft documented that Iranian groups had significantly expanded their cyber targets to include shipping and logistics companies in the Persian Gulf, explicitly noting that Tehran was building the capability to interfere with commercial maritime operations. In plain language: while diplomats were discussing centrifuges in Natanz, IRGC operators were planting persistent access into the logistics networks of Jebel Ali. The same terminals that are today under missile fire. Almost certainly already under remote control.

4. Emirati fragility: the smart city paradox

The United Arab Emirates is not a state. It is a bet. A bet that technology, capital and the projection of power can substitute what geography and history never provided: strategic depth, water resources, a rooted population, institutions with memory. Dubai exists because it works. Because flights land, containers move, accounts open in twenty-four hours, water comes out of taps. Remove any one of these elements and the narrative collapses. Not gradually, all at once.

This is the fragility Iran studied. Not technical. Systemic. A country that built everything on the surface and nothing in depth, where every layer of modernity depends on a layer beneath it which depends on another still, all the way down to a high-pressure pump in a coastal desalination plant. The chain is long, sophisticated, admirable. And that is precisely why breaking it at a single point is enough.

The UAE Cyber Security Council has publicly acknowledged that national infrastructure receives between 90,000 and 200,000 breach attempts every single day. This is not a wartime figure, it is the ordinary baseline, the background noise of the system in peacetime. And over 70% of the groups responsible, according to the Council itself, are state-sponsored.

The technical vectors documented in Iranian campaigns against the Emirates reveal a sophistication well beyond opportunistic phishing. The MINIBIKE and MINIBUS backdoors, attributed to Iranian groups, use spear-phishing with fake job offers for initial installation, then rely on Microsoft Azure as command-and-control infrastructure. The malicious traffic is indistinguishable from legitimate corporate traffic. In OT networks of industrial systems, often connected for remote maintenance, this type of persistent access can remain silent for months before being activated.

Last week was the dress rehearsal. February 22 was the probing. The missiles of the 28th were the cover.

5. The thirst weapon: the real Zero Day

There is one target that military commentators almost never mention. It generates less news than a missile hitting the Burj Khalifa. It produces no comparable images. But it is arguably the most devastating in terms of strategic effect: the desalination plants.

Abu Dhabi and Doha have no natural water reserves of any kind. The entire drinking water supply of these metropolises depends on coastal desalination plants, DEWA for Dubai, ADWEA for Abu Dhabi, Kahramaa for Qatar. These are energy-intensive, highly complex technological systems managed through SCADA industrial control networks. Without power, they stop. Without these systems, the cities have an estimated vital autonomy of less than 48 hours.

A ballistic missile on a desalination plant is a politically costly option: it is an act of war against the civilian population, visible to the world in real time, guaranteed to trigger an international response. But a well-executed SCADA attack, prepared months in advance through persistent access, activated at the operationally optimal moment, achieves the same result with a completely different profile. Altering the chemical parameters of the reverse osmosis process. Blocking high-pressure pumps causing irreversible mechanical damage. Introducing variations in control systems that slowly degrade water output quality. Or simply creating uncertainty, making the population distrust tap water, triggering panic and evacuation without a single visible explosion.

No formal casus belli. No certain attribution. No images for the evening news. Just a metropolis that stops functioning from within.

This is the real Zero Day of the Gulf. Not the day the missiles launch. The day it is discovered that the systems were already inside for months.

6. The synchronization: three domains, one operation

Assembling the sequence of events, an operational structure of rare clarity emerges. February 22 bears all the hallmarks of a probing operation. The missiles of the 28th provided ideal cover to activate already pre-positioned access. In parallel, in the hours that followed: coordinated cyber activity in the invisible layers of industrial networks. Three domains, physical, cyber, informational, synchronized in a single operation.

The comparison with Ukraine is useful but partial. Russia applied total attrition along a linear territorial front. Iran applied the same doctrine on a non-linear multi-domain front: missiles saturate physical defenses, drones exhaust interceptor stockpiles, cyberattacks operate in the layers no Patriot battery can cover. Ninety percent of missiles are shot down, but while the batteries fire and personnel are focused on the sky, nobody is watching the SCADA logs of the desalination plants.

Iran has inadvertently done something valuable for the international security community: it has published its own operational manual in real time, in front of every intelligence agency in the world. Synchronized multi-domain hybrid warfare, cyber as probing, missiles as saturation, information as cover, is no longer a concept in NATO academic papers. It is consolidated operational practice, documented, replicable.

It was not born in Tehran. The doctrine of total attrition across parallel domains was refined on Ukrainian battlefields, in the Kharkiv power plants struck systematically, in the communications cables sabotaged before a single missile was fired toward Kyiv. Russia wrote the manual. Iran read it, adapted it to the Gulf theater and applied it with a precision that would have surprised even Moscow.

This is no coincidence. It is a strategic partnership with an explicit doctrinal component. Moscow and Tehran do not merely share contingent interests, they share a vision of war as a continuum in which the physical and digital domains are not separate but synchronized, in which victory is measured not on the battlefield but in the capacity to render the enemy’s territory uninhabitable without ever formally crossing the threshold of open conflict. The Gulf burning in these hours is, among other things, a shared training ground. As it happens, between close allies.

The question every state with critical infrastructure should be asking today is not “are we a target?” The answer is almost always yes. The question is: “do we already know whether someone is already inside?”

Rome, March 4, The syllabus is already written

In three days, CyberSec2026 opens at the Superior School of Police in Rome. The title chosen months ago, “Cybercrime and cyberwar: rules, geopolitics and cybersecurity for a common Defense”, sounds today like an inadvertent prophecy. On stage will be Interior Minister Piantedosi, ACN Director General Bruno Frattasi, CNAIPIC Director Riccardo Croce, and European Commission Vice-President Henna Virkkunen. The same people who that morning will be reading briefings with images of Jebel Ali.

What they will see in those briefings is not merely a Gulf crisis. It is the third iteration of a doctrine born in Moscow, refined in Ukraine, and now exported by Tehran into the desert. Russia wrote the manual. Iran applied it. And Russia watches, with professional interest and something resembling a teacher’s pride.

The Gulf wrote the syllabus. Iran delivered the lesson. Russia grades the homework.

Italy should take notes.

This is precisely the thesis at the heart of Vaticano Zero Day, my essay forthcoming in May 2026 from Lindau. If an ultra-technological emirate, subjected to over 200,000 breach attempts per day, can be brought to its knees by the convergence of missiles and SCADA attacks, what might happen to a millennial institution that holds one of the most information-dense, diplomatically sensitive and symbolically loaded patrimonies in the world, one that only in recent years has begun to discover it has become a target in the digital domain as well?

The Holy See has no desalination plants. It has something more fragile: a global narrative. And narratives, in 2026, are attacked with the same tools that can turn off the lights in Dubai.

Luigi Ricci is the author of “Vaticano Zero Day” (Lindau, May 2026), an analysis of hybrid warfare threats against institutions in the digital age.