Quando il cloud diventa un bersaglio militare: la lezione della guerra del Golfo per le imprese

Un precedente che cambia le regole

Il primo marzo 2026, droni iraniani hanno colpito due strutture di Amazon Web Services negli Emirati Arabi Uniti. Un terzo centro in Bahrein ha subito danni da esplosioni nelle vicinanze. Pochi giorni dopo, il 24 marzo, una seconda ondata ha causato nuovi disservizi. Il primo aprile un incendio ha aggravato la situazione in Bahrein. Amazon ha confermato danni strutturali, interruzioni di alimentazione e infiltrazioni d'acqua provocate dai sistemi antincendio automatici.

Questi episodi non sono un fatto di cronaca militare circoscritto al Medio Oriente. Rappresentano il primo caso documentato in cui uno Stato sovrano ha deliberatamente preso di mira infrastrutture cloud commerciali durante un conflitto armato. È un precedente che modifica la percezione del rischio per qualsiasi organizzazione che gestisce dati e processi critici su piattaforme pubbliche.

Perché i data center sono diventati obiettivi strategici

Il Corpo delle Guardie della Rivoluzione islamica ha definito questi centri dati 'infrastrutture tecnologiche nemiche', sostenendo che i grandi operatori cloud americani siano componenti dell'ecosistema strategico statunitense. La tesi è controversa: numerosi esperti ricordano che i dati più sensibili del Pentagono vengono conservati su territorio americano o in installazioni militari dedicate. Tuttavia il confine tra utilizzo commerciale e utilizzo strategico è diventato sempre più sottile, con contractor privati, aziende dual-use e fornitori di servizi governativi che operano sulle stesse piattaforme cloud pubbliche.

Il punto strutturale è più profondo. I data center sono le infrastrutture produttive del capitalismo contemporaneo: da lì transitano transazioni finanziarie, cartelle cliniche, sistemi di navigazione, algoritmi di intelligenza artificiale, piattaforme di comunicazione. Colpirli significa attaccare il sistema nervoso di un'economia avanzata senza abbattere un singolo edificio fisico tradizionale. Nella logica della guerra del XXI secolo, un centro dati vale quanto una raffineria o una centrale elettrica valevano nel Novecento.

Gli effetti concreti sulle imprese della regione

Le conseguenze operative sono state immediate e misurabili. Servizi bancari, piattaforme di pagamento, applicazioni di consegna, sistemi di gestione aziendale hanno subito rallentamenti o interruzioni prolungate. Molte imprese del Golfo avevano concentrato i propri carichi di lavoro su un numero ristretto di data center Amazon, convinte che la ridondanza tecnica interna garantisse continuità assoluta.

Quella convinzione si è rivelata errata. Le architetture multi-zona progettate per resistere a guasti tecnici o calamità naturali non erano state dimensionate per affrontare attacchi coordinati e simultanei su più strutture fisicamente vicine. Amazon ha risposto intensificando il trasferimento dei carichi verso altri centri nel mondo e, in modo del tutto inedito, ha azzerato la fatturazione di un intero mese per molti clienti nelle regioni colpite. Sul fronte assicurativo, alcune compagnie hanno già invocato le clausole di esclusione per rischio bellico, lasciando scoperti danni significativi.

Ridondanza locale non basta più: cosa cambia nell'architettura della resilienza

La lezione tecnica è netta. Distribuire le applicazioni su più zone all'interno della stessa regione geografica non è più sufficiente quando il rischio include attacchi militari coordinati. La resilienza reale richiede dispersione su scala almeno continentale, con replica dei dati critici in Paesi diversi e architetture progettate per tollerare la perdita simultanea di un'intera area geografica.

Alcune direzioni già osservabili nel mercato: data center sotterranei e in bunker, protezioni fisiche rafforzate, dibattito sull'estensione di sistemi di difesa aerea alle grandi infrastrutture digitali. Tutto questo ha un costo. Per anni la strategia dominante del cloud ha puntato su centralizzazione ed efficienza economica. Il nuovo imperativo è la sicurezza, con un impatto strutturale sui budget IT e sulle scelte architetturali di medio termine.

Implicazioni strategiche per le imprese europee

Per i decision maker europei questi eventi hanno una rilevanza diretta, indipendentemente dalla distanza geografica dal conflitto. Le infrastrutture cloud dei principali hyperscaler sono distribuite globalmente, ma restano fisicamente vulnerabili. Chi ha concentrato workload critici su una singola regione cloud, anche geograficamente lontana dalle zone di tensione, dovrebbe verificare se la propria architettura reggerebbe a uno scenario di indisponibilità prolungata di quella regione.

Sul piano regolatorio, il dibattito europeo sulla sovranità digitale e sulla localizzazione dei dati acquista nuovi argomenti concreti. La dipendenza da pochi grandi operatori extraeuropei non è solo una questione di autonomia competitiva: in scenari di conflitto o di pressione geopolitica, può tradursi in vulnerabilità operative reali. Le normative come NIS2 e DORA già impongono requisiti di resilienza e continuità operativa: la gestione del rischio geopolitico sull'infrastruttura cloud dovrebbe diventare parte esplicita di questi framework.

Cosa osservare nei prossimi mesi

Tre dinamiche meritano attenzione. Prima: come i grandi hyperscaler revisioneranno le proprie architetture e i propri SLA alla luce di questi eventi, e se emergeranno nuove clausole contrattuali legate al rischio geopolitico. Seconda: come evolverà il mercato assicurativo per il rischio cyber-bellico, oggi ancora privo di standard consolidati. Terza: se i governi occidentali inizieranno a classificare formalmente i grandi data center come infrastrutture critiche nazionali, con le implicazioni in termini di protezione e obblighi di sicurezza che ne conseguono.

Conclusione: il cloud ha un corpo fisico, e può essere colpito

Per anni la narrativa della digitalizzazione ha enfatizzato la smaterializzazione. Gli eventi del Golfo ricordano che il cloud è fatto di edifici, cavi, trasformatori, generatori e personale. Può essere bombardato. Per i manager e gli imprenditori, la domanda non è se questo scenario sia plausibile in assoluto: lo è già. La domanda è se la propria strategia di continuità operativa sia stata progettata tenendo conto anche di questo livello di rischio. Chi non se l'è ancora posta, è il momento di farlo.