Data center, non solo energia e acqua: dall'Ucraina al Bahrein ora sono anche bersagli militari

Domenica 11 ottobre 2026 il data center di Yandex a Vladimir, a est di Mosca, si è fermato dopo un attacco con i droni, il terzo contro l'azienda in pochi giorni dopo Sasovo e Kaluga, e il colosso tecnologico russo, spesso descritto come il Google russo, ha invitato i clienti ad attivare i propri piani di emergenza. Finora dei data center, i grandi capannoni pieni di computer dove stanno le foto, le email, i conti correnti e i servizi online di tutti, si è parlato soprattutto per la corrente e l'acqua che consumano; dall'Ucraina al Golfo Persico, nel 2026 sono diventati anche bersagli militari.

 Il primo colpo è arrivato con la guerra tra Stati Uniti, Israele e Iran: il 2 marzo 2026 droni iraniani hanno centrato 2 data center di Amazon negli Emirati Arabi Uniti, mentre in Bahrein un drone è esploso vicino a un terzo edificio. L'11 marzo un elenco diffuso dall'agenzia iraniana Tasnim, vicina ai Pasdaran, ha indicato tra gli "obiettivi legittimi" Google, Microsoft, Oracle, Nvidia, Ibm e Palantir. Ai primi di aprile, in una nuova lista, le aziende americane minacciate erano salite a 18, accusate di "spionaggio terroristico", e i detriti di due droni avevano colpito la sede di Oracle a Dubai; il 21 luglio, infine, i Pasdaran hanno rivendicato la distruzione del data center di Amazon in Bahrein, mai confermata dall'azienda.

Dal 25 settembre 2026 lo stesso tipo di attacco è arrivato in Ucraina, dove la Russia ha colpito i data center di diverse società ucraine, tra cui quello di Vodafone Ukraine, e secondo il governo di Kiev circa 100mila famiglie di Kiev e dintorni sono rimaste senza servizio, mentre il ministero della Difesa russo pubblicava la foto di un drone con la scritta "detox digitale" e il commento "obbligatorio". L'8 ottobre è arrivata la risposta ucraina, con il primo grande attacco a un centro dati russo, quello di Yandex a Sasovo, dove secondo Al Jazeera si trovano 2 dei 3 supercomputer con cui l'azienda sviluppa la propria intelligenza artificiale (IA). "Rispondiamo sempre a specchio", ha commentato il presidente ucraino Volodymyr Zelensky.

 Per il diritto internazionale umanitario, le regole che valgono anche in guerra, un edificio civile si può colpire solo se diventa un obiettivo militare: secondo l'articolo 52 del Primo protocollo aggiuntivo alle Convenzioni di Ginevra, del 1977, succede quando per natura, posizione, destinazione o uso contribuisce davvero alle operazioni militari, e distruggerlo dà un vantaggio militare preciso. Un data center, però, è a duplice uso per sua natura, perché negli stessi capannoni girano i conti delle banche, le cartelle cliniche e, a volte, i programmi di un esercito, sicché chi attacca può sempre sostenere che dentro ci fosse la parte militare. Il ministero della Difesa russo lo ha fatto il 26 settembre, sostenendo che i data center ucraini colpiti trasmettevano dati di intelligence alle forze armate di Kiev.

Per Luke Moffett, docente di diritto internazionale umanitario alla Queen's University di Belfast, il problema è proprio questa mescolanza. In un'analisi pubblicata il 12 marzo sul blog giuridico "Opinio Juris" con la ricercatrice Alannah Travers, sostiene che la natura a duplice uso dei data center "può rendere indiscriminato qualsiasi attacco" contro di loro, perché un drone o un missile non separa i server di un esercito dai dati dei civili. I due studiosi definiscono i colpi iraniani agli impianti di Amazon "probabili crimini di guerra", pur ammettendo che i dati pubblici non bastano per esserne certi, e usano lo stesso metro con l'altro fronte: anche i bombardamenti di Stati Uniti e Israele su almeno 2 data center di Teheran, scrivono, rischiano di essere illegittimi.

 Conviene colpirli per la stessa ragione per cui conviene chiudere uno stretto: come lo stretto di Hormuz per il petrolio, un data center è un collo di bottiglia, un punto da cui passa moltissimo e che, fermandosi, ferma molto altro. Nel Golfo, secondo Moffett e Travers, alcune banche degli Emirati hanno segnalato disservizi, mentre a Kiev l'attacco del 26 settembre al data center di Cosmonova ha interrotto le trasmissioni di diversi canali televisivi. A differenza di una nave ferma in uno stretto, però, un server distrutto può portarsi via i dati per sempre.

Ad Amazon è successo proprio questo: nel linguaggio del cloud una regione è un gruppo di data center nello stesso paese, divisi in zone, cioè edifici separati perché, se uno si guasta, reggano gli altri; il 15 settembre 2026 l'azienda ha comunicato ai clienti di non poter più recuperare i dati conservati soltanto nella sua regione del Bahrein e in una delle 3 zone degli Emirati, perché in Bahrein le zone stavano tutte nel raggio degli stessi droni. Secondo l'azienda la maggior parte dei clienti si era già spostata altrove con le proprie copie, senza però dire quanti dati siano andati persi.

 L'Italia non è in guerra, ma di data center ne sta costruendo molti. Secondo l'Osservatorio Data Center del Politecnico di Milano, a fine 2025 nel paese erano installati 609 megawatt di potenza elettrica per i computer, e fra il 2026 e il 2028 sono in programma 83 nuovi progetti per oltre 25 miliardi di euro di investimenti, con gli impianti più grandi concentrati nell'area di Milano. Su questa crescita si è concentrato finora il dibattito sui costi e sui consumi: secondo l'Agenzia internazionale dell'energia (Iea), nel 2024 i data center del mondo hanno usato circa 415 terawattora, l'1,5% dell'elettricità mondiale, e nel 2030 arriveranno a circa 945, poco più di quanto consuma in un anno l'intero Giappone.

Gli attacchi del 2026 aggiungono ai costi e ai consumi una voce nuova, il rischio geografico, perché ogni capannone concentra in un unico indirizzo i servizi di molte aziende e, attraverso di loro, i dati dei loro clienti.

 Per le aziende la lezione del Bahrein è geografica: chi sceglie un fornitore di cloud sceglie anche un luogo, spesso il più vicino, perché è più veloce o perché la legge chiede di tenere i dati nel paese; conviene allora che una seconda copia stia in un'altra regione. "Il rischio è regionale, non legato a un fornitore", ha scritto Gregor Hohpe, esperto di architetture software citato dal sito specializzato InfoQ, aggiungendo che chi ha messo fuori uso la regione di Amazon negli Emirati "può mettere fuori uso con la stessa facilità Azure", il cloud di Microsoft, "o qualsiasi altro data center". Per i privati, con foto e documenti, il principio è lo stesso in piccolo: tenere una copia in un altro posto, per esempio su un disco di casa.

Yandex non ha detto se negli attacchi di ottobre siano andati perduti dati, e nei suoi avvisi parla soltanto di servizi sospesi.