Da Siher a Burlinova: la teoria del mosaico

 

Think tank, credenziali e informazioni sensibili non classificate

Due schede dimenticate

Il 24 ottobre la Polizia di Stato ferma Youssef Siher, trentenne italiano di origine marocchina, ritenuto l’ideatore del Movimento 17 ottobre, la sigla che ha rilanciato la protesta dopo i saccheggi di Milano. Gli vengono contestate l’istigazione a delinquere e la violenza organizzata durante le manifestazioni; si indaga anche per terrorismo, e nell’inchiesta è coinvolta la moglie. Nelle prime ore molti titoli lo presentano come “ricercatore ISPI”. Siher non è accusato di spionaggio, e nulla nelle indagini finora rese note lo collega a servizi stranieri. Il tema era però già entrato nel dibattito: il 20 ottobre, quattro giorni prima del fermo, il ministro della Difesa Guido Crosetto aveva definito i fatti di Milano il frutto di una “guerra ibrida” condotta attraverso TikTok, YouTube e i social. Gli elementi su cui si basava non sono stati resi pubblici, ma è ragionevole pensare che venissero da valutazioni dell’intelligence; il ministro dell’Interno Piantedosi ha detto che il collega avrà elementi di analisi da non sottovalutare.

L’ISPI precisa che Siher ha fatto uno stage nel 2024 e da allora non ha più collaborato con l’istituto. Sul sito, però, la sua scheda da Research Trainee era ancora online. Nei giorni successivi l’attenzione sui social si sposta su un’altra scheda rimasta sul sito, quella di Natalia Burlinova, cittadina russa incriminata negli Stati Uniti nel 2023 per una presunta attività al servizio di Mosca. Un post molto condiviso parla di un istituto “infiltrato da un’agente russa” che avrebbe “assunto traditori italiani”, senza fare nomi.

Tra Siher e Burlinova non risulta alcun legame. L’evento milanese con Burlinova è del 2019, lo stage di Siher del 2024, e le due vicende hanno in comune solo l’istituto. I singoli fatti sono verificabili; la tesi dell’infiltrazione nasce dal modo in cui vengono accostati. Per Siher, inoltre, le contestazioni sono ancora da accertare, e finora non è emerso un legame operativo tra gli amministratori del movimento e gli autori dei saccheggi.

Il caso Burlinova

Il 17 aprile 2023 un mandato d’arresto statunitense raggiunge Natalia Burlinova, e il giorno dopo il Dipartimento di Giustizia rende pubblica l’accusa: aver agito negli Stati Uniti per conto della Russia senza le notifiche previste dalla legge. Secondo gli investigatori, un ufficiale dell’FSB finanziava le sue attività e riceveva in cambio curriculum, dati personali, foto e valutazioni politiche dei partecipanti ai suoi programmi. L’accusa non è mai arrivata a processo, perché Burlinova vive in Russia.

Il veicolo era PICREADI, un’organizzazione moscovita di “diplomazia creativa”, con il suo programma Meeting Russia. Tra il 2017 e il 2021 ha ospitato a Mosca giovani analisti e giornalisti occidentali, italiani compresi. Nel maggio 2019 ha co-organizzato a Milano, con l’ISPI, un incontro sulla politica estera russa, con relatori di Radio 24, Sole 24 Ore, Corriere della Sera e dello stesso istituto.

La pagina rimossa dal sito dell’ISPI era la scheda che l’istituto prepara per ogni relatore. Gli italiani ospitati a Mosca non risultano reclutati, e nulla indica che conoscessero le eventuali finalità clandestine dell’organizzazione. Una ricercatrice dello IAI che partecipò a uno di quegli incontri ha raccontato di forti contrasti con Burlinova sulle posizioni russe.

Nel 2019 gli elementi che avrebbero portato all’incriminazione non erano pubblici. Una verifica preventiva avrebbe potuto rilevare la vicinanza di PICREADI agli ambienti governativi russi, che l’organizzazione non nascondeva, ma non un rapporto con l’FSB. All’ISPI si può rimproverare semmai il ritardo: la scheda di una persona incriminata è rimasta online per tre anni, quella di un ex stagista per due.

Le schede dimenticate hanno un effetto preciso: il nome dell’istituto continua a garantire per relazioni che non esistono più, ed è così che uno stage diventa, nei titoli, un incarico da ricercatore. Il caso Burlinova mostra anche un secondo problema. Secondo l’accusa americana, Burlinova raccoglieva relazioni, profili e contatti senza alcun bisogno di infiltrarsi, partecipando apertamente alla normale cooperazione accademica.

Le spie che formiamo noi

Esiste anche il percorso inverso: persone che usano competenze, titoli e credenziali acquisiti nelle nostre università per lavorare contro di noi.

Sergey Cherkasov, ufficiale del GRU secondo le autorità occidentali, ha vissuto per anni sotto la falsa identità del brasiliano Victor Muller Ferreira. Ha studiato al Trinity College di Dublino e poi alla Johns Hopkins SAIS di Washington, una delle scuole di relazioni internazionali più quotate al mondo. Con quel curriculum, nel 2022 ottiene un tirocinio alla Corte penale internazionale dell’Aia, mentre la Corte indaga sui crimini russi in Ucraina. Le autorità olandesi lo respingono all’arrivo.

L’identità brasiliana era costruita con documenti ottenuti in modo fraudolento. Il master, le referenze e la rete di compagni di corso erano invece autentici, rilasciati dal sistema formativo occidentale.

Nel 2018 l’Australian Strategic Policy Institute ha documentato l’invio all’estero di migliaia di scienziati dell’Esercito Popolare di Liberazione, talvolta senza dichiarare l’affiliazione militare, in settori come ipersonica, IA e crittografia. In questo caso la formazione è lo scopo dell’operazione, perché trasferisce competenze e relazioni scientifiche. Dickson Yeo, cittadino singaporiano condannato negli Stati Uniti nel 2020 per aver agito come agente illegale di una potenza straniera, usava invece LinkedIn e una finta società di consulenza per avvicinare persone con accesso a informazioni utili all’intelligence cinese, contando sulla credibilità del suo profilo accademico.

In termini informatici il meccanismo somiglia a un supply chain attack, in cui si sfrutta un fornitore di cui il bersaglio si fida. Università, master e tirocini svolgono questa funzione: le istituzioni controllano con attenzione chi arriva da fuori e molto meno chi si presenta con il titolo di una scuola nota. Le università in sé non sono compromesse; viene sfruttata la fiducia che le loro credenziali generano.

Russia e Cina usano modelli diversi, anche se non separati in modo netto. Mosca ha investito su identità costruite e coperture di lunga durata, che possono crollare con una singola scoperta. Pechino si affida anche a programmi estesi di acquisizione di competenze e relazioni, attraverso persone che operano con la propria identità, e in questo caso il confine tra cooperazione lecita, influenza e intelligence è molto più difficile da tracciare.

Sensibile ma non classificato

Per frequentare l’ISPI, la Scuola di Limes o la Luiss non serve il Nulla Osta di Sicurezza; eppure, in ambienti di questo tipo circolano informazioni di notevole interesse strategico. È una conseguenza della loro funzione, che richiede apertura e scambio.

La legge 124 del 2007 disciplina le classifiche di segretezza, da riservato a segretissimo. Il DPCM 5 del 2015 aggiunge le informazioni non classificate controllate, soggette a misure minime di protezione, e quelle a diffusione esclusiva. Queste tutele si applicano però nei circuiti istituzionali e lasciano fuori gran parte delle informazioni rilevanti che circolano negli ambienti privati della ricerca, della formazione e della consulenza.

In un think tank o in una scuola di geopolitica quelle informazioni hanno contenuti concreti: elenchi di partecipanti con ruoli e recapiti di ufficiali, diplomatici e funzionari; appunti di incontri a porte chiuse, dove si parla sapendo che nulla verrà attribuito; bozze di analisi commissionate da enti pubblici o aziende strategiche. Conta anche la composizione delle classi. Sapere che nella stessa aula siedono un ufficiale di Marina, un funzionario della Farnesina e un analista di un’azienda della difesa è già utile a chi cerca persone da avvicinare per conto di un servizio d’intelligence.

Nessuno di questi elementi è segreto. Il loro valore sta nell’aggregazione, che in intelligence si chiama teoria del mosaico, e chi lavora nella struttura, stagisti compresi, spesso vede gran parte del mosaico perché gli elenchi servono a organizzare gli eventi.

Fino a pochi anni fa aggregare queste informazioni richiedeva un analista e settimane di lavoro. Oggi un modello linguistico con strumenti di ricerca automatica può correlare in poche ore schede dei relatori, programmi dei convegni, pubblicazioni e profili LinkedIn, ricavandone una mappa di chi lavora su cosa e con chi. Il metodo è lo stesso di sempre, ma applicarlo costa molto meno.

Esiste anche un rischio interno. Uno stagista che incolla in un chatbot l’elenco degli invitati o gli appunti di un incontro riservato per risparmiare tempo porta quelle informazioni fuori dal controllo dell’organizzazione. Quello che accade dopo dipende dal servizio usato e dalle sue impostazioni, ma la divulgazione è già avvenuta, senza alcuna intenzione ostile e per la sola mancanza di una procedura.

Gli Stati Uniti hanno strutturato dal 2010 il sistema delle Controlled Unclassified Information, con regole di gestione che valgono anche per i privati che lavorano con le amministrazioni federali, e hanno il FARA, che impone registrazione e trasparenza a chi agisce per conto di mandanti stranieri. In Italia esistono tutele per le informazioni non classificate, obblighi di riservatezza e norme sulla protezione dei dati, ma manca un sistema organico per il rischio informativo negli enti privati che collaborano con le istituzioni strategiche. Il GDPR tutela le persone e non è stato pensato per impedire che dati leciti e banali vengano aggregati a fini d’intelligence. Gli enti di cui parliamo possono quindi rispettare tutte le regole in vigore e restare comunque esposti.

Il filtro ai varchi

Negli anni 90, una verifica preventiva impedì l’assunzione di un giornalista che operava sotto copertura. Il controllo era previsto nel momento in cui una persona stava per entrare in una redazione che conta, ed è questo che lo distingue da quanto accade nei centri studi.

Un filtro mal calibrato, però, fa danni. Gli Stati Uniti lo hanno visto con la China Initiative, lanciata dal Dipartimento di Giustizia nel 2018 contro il trasferimento illecito di tecnologie e chiusa nel 2022 dopo processi deboli o caduti, contestazioni su omissioni amministrative e accuse di profilazione etnica. Ne è rimasta soprattutto la sfiducia tra ricercatori e istituzioni. Un controllo basato sulla nazionalità, del resto, non avrebbe fermato Cherkasov, che si presentava come brasiliano.

Un controllo efficace dovrebbe intervenire al passaggio da un master a un ministero, a un’agenzia, a una corte internazionale o a un laboratorio su tecnologie duali, e non al momento dell’iscrizione. Dovrebbe valutare il settore di attività anziché il passaporto, come fanno il programma Trusted Research britannico e lo screening olandese sulla sicurezza della conoscenza. E dovrebbe accompagnarsi alla formazione di chi ospita, perché molti approcci riescono quando il bersaglio non ne riconosce lo schema: un’ora di briefing a tirocinanti e giovani funzionari costa meno di qualunque controllo.

English version

Siher Burlinova: mosaic theory

Think tanks, credentials and sensitive unclassified information

Two forgotten profiles

On 24 October the Italian State Police detained Youssef Siher, a thirty-year-old Italian of Moroccan descent believed to be the founder of the Movimento 17 ottobre, the group that revived the protests after the looting in Milan. He faces charges of incitement to commit crimes and organized violence during demonstrations; investigators are also looking into a terrorism hypothesis, and his wife is involved in the inquiry. In the first hours many headlines described him as an "ISPI researcher". Siher is not accused of espionage, and nothing in the investigation made public so far links him to foreign services. The issue had already entered the debate, however: on 20 October, four days before the arrest, Defence Minister Guido Crosetto had described the events in Milan as the product of a "hybrid war" waged through TikTok, YouTube and social media. The evidence behind his statement has not been made public, but it is reasonable to assume it came from intelligence assessments; Interior Minister Matteo Piantedosi said his colleague must have analytical elements that should not be underestimated.

ISPI stated that Siher did an internship in 2024 and has not worked with the institute since. Yet his Research Trainee profile was still on its website. In the following days attention on social media shifted to another profile still on the site, that of Natalia Burlinova, a Russian citizen indicted in the United States in 2023 for alleged activity on behalf of Moscow. A widely shared post described an institute "infiltrated by a Russian agent" who had supposedly "hired Italian traitors", without naming anyone.

There is no known link between Siher and Burlinova. The Milan event with Burlinova dates back to 2019, Siher's internship to 2024, and the two stories share nothing but the institute. Each fact can be verified; the infiltration theory comes from the way they are placed side by side. As for Siher, the charges have yet to be proven, and so far no operational link has emerged between the group's administrators and those who carried out the looting.

The Burlinova case

On 17 April 2023 a US arrest warrant was issued for Natalia Burlinova, and the next day the Department of Justice made the charge public: acting in the United States on behalf of Russia without the notification required by law. According to investigators, an FSB officer funded her activities and received in return CVs, personal data, photos and political assessments of the participants in her programmes. The case never went to trial, because Burlinova lives in Russia.

Her vehicle was PICREADI, a Moscow organization devoted to "creative diplomacy", and its Meeting Russia programme. Between 2017 and 2021 it hosted young Western analysts and journalists in Moscow, Italians among them. In May 2019 it co-organized with ISPI an event in Milan on Russian foreign policy, with speakers from Radio 24, Il Sole 24 Ore, Corriere della Sera and the institute itself.

The page removed from the ISPI website was the profile the institute prepares for every speaker. The Italians hosted in Moscow do not appear to have been recruited, and nothing suggests they knew of any covert purpose of the organization. A researcher from the IAI who attended one of those meetings recalled sharp disagreements with Burlinova over Russian positions.

In 2019 the evidence that would lead to the indictment was not public. A background check could have revealed PICREADI's closeness to Russian government circles, which the organization did not hide, but not a relationship with the FSB. If ISPI can be faulted, it is for the delay: the profile of an indicted person stayed online for three years, that of a former intern for two.

Forgotten profiles have a specific effect: the institute's name keeps vouching for relationships that no longer exist, and that is how an internship becomes, in the headlines, a research post. The Burlinova case also points to a second problem. According to the US charges, Burlinova gathered relationships, profiles and contacts without any need to infiltrate, openly taking part in ordinary academic cooperation.

The spies we train

There is also the reverse path: people who use skills, degrees and credentials earned in our universities to work against us.

Sergey Cherkasov, a GRU officer according to Western authorities, lived for years under the false identity of a Brazilian, Victor Muller Ferreira. He studied at Trinity College Dublin and then at Johns Hopkins SAIS in Washington, one of the most highly regarded schools of international relations in the world. With that CV, in 2022 he secured an internship at the International Criminal Court in The Hague, while the Court was investigating Russian crimes in Ukraine. Dutch authorities turned him away on arrival.

The Brazilian identity was built on fraudulently obtained documents. The master's degree, the references and the network of classmates, on the other hand, were genuine, issued by the Western education system.

In 2018 the Australian Strategic Policy Institute documented how thousands of scientists from the People's Liberation Army were sent abroad, sometimes without declaring their military affiliation, to work in fields such as hypersonics, AI and cryptography. In this case education is the purpose of the operation, because it transfers skills and scientific relationships. Dickson Yeo, a Singaporean citizen convicted in the United States in 2020 of acting as an illegal agent of a foreign power, used LinkedIn and a fake consulting firm to approach people with access to information of interest to Chinese intelligence, relying on the credibility of his academic profile.

In IT terms the mechanism resembles a supply chain attack, which exploits a supplier the target trusts. Universities, master's programmes and internships play that role: institutions carefully check those who come from outside, and far less those who arrive with a degree from a well-known school. The universities themselves are not compromised; what gets exploited is the trust their credentials generate.

Russia and China use different models, although the line between them is not sharp. Moscow has invested in constructed identities and long-term covers, which can collapse with a single discovery. Beijing also relies on broad programmes for acquiring skills and relationships through people operating under their own identity, and here the boundary between legitimate cooperation, influence and intelligence is much harder to draw.

Sensitive but unclassified

Attending ISPI, the Scuola di Limes or Luiss University does not require a security clearance; yet in settings of this kind information of considerable strategic interest circulates. This follows from their function, which requires openness and exchange.

Italian Law 124 of 2007 regulates security classifications, from restricted to top secret. Prime Ministerial Decree no. 5 of 2015 adds controlled unclassified information, subject to minimum protection measures, and information with exclusive dissemination. These safeguards, however, apply within institutional circuits and leave out much of the relevant information that circulates in the private world of research, training and consulting.

In a think tank or a school of geopolitics that information has concrete content: lists of participants with the roles and contact details of officers, diplomats and officials; notes from closed-door meetings, where people speak knowing nothing will be attributed; drafts of analyses commissioned by public bodies or strategic companies. The make-up of the classes matters too. Knowing that a navy officer, a Foreign Ministry official and an analyst from a defence company sit in the same classroom is already useful to anyone looking for people to approach on behalf of an intelligence service.

None of these elements is secret. Their value lies in aggregation, which intelligence calls the mosaic theory, and those who work inside the organization, interns included, often see much of the mosaic because the lists are needed to organize events.

Until a few years ago, aggregating this information took an analyst and weeks of work. Today a language model with automated search tools can correlate speaker profiles, conference programmes, publications and LinkedIn profiles in a few hours, producing a map of who works on what and with whom. The method is the same as ever, but applying it costs far less.

There is also an internal risk. An intern who pastes the guest list or the notes of a confidential meeting into a chatbot to save time moves that information outside the organization's control. What happens next depends on the service used and its settings, but the disclosure has already taken place, with no hostile intent and simply for lack of a procedure.

Since 2010 the United States has built the Controlled Unclassified Information system, with handling rules that also apply to private entities working with federal agencies, and it has FARA, which imposes registration and transparency on those acting on behalf of foreign principals. Italy has safeguards for unclassified information, confidentiality obligations and data protection rules, but it lacks a coherent framework for information risk in private organizations that work with strategic institutions. The GDPR protects individuals and was not designed to prevent lawful and trivial data from being aggregated for intelligence purposes. The organizations in question can therefore comply with every rule in force and still remain exposed.

The filter at the gates

In the 1990s, a background check prevented the hiring of a journalist who was working under cover. The check was carried out at the moment a person was about to join a newsroom that mattered, and that is what sets it apart from what happens in research centres.

A poorly calibrated filter, however, does damage. The United States saw this with the China Initiative, launched by the Department of Justice in 2018 against the illicit transfer of technology and shut down in 2022 after weak or collapsed prosecutions, disputes over administrative omissions and accusations of ethnic profiling. What remained was mostly distrust between researchers and institutions. A nationality-based check, moreover, would not have stopped Cherkasov, who presented himself as Brazilian.

An effective check should take place at the transition from a master's programme to a ministry, an agency, an international court or a laboratory working on dual-use technologies, and not at enrolment. It should assess the field of activity rather than the passport, as the British Trusted Research programme and the Dutch knowledge security screening do. And it should go hand in hand with training for host institutions, because many approaches succeed when the target does not recognize the pattern: an hour's briefing for interns and young officials costs less than any check.