Il falso allarme sui bot russi: cosa ha davvero rilevato Cloudflare

Il dato più sorprendente riguarda il traffico automatico proveniente dalla rete di Yandex, precipitato quasi a zero dopo una serie di attacchi con droni. Ma collegare quel crollo a un blocco delle attività propagandistiche russe sui social è, allo stato attuale, un salto logico: Cloudflare Radar misura richieste dirette ai siti web, non i comportamenti degli account sulle piattaforme sociali.

Il numero che ha alimentato l’ipotesi

Tra il 10 e l’11 ottobre, le richieste automatiche associate alla rete Yandex, identificata dal codice AS13238, hanno raggiunto appena lo 0,3%. Una settimana prima, nella stessa fascia oraria, il valore era dell’88,2%. Il calo era già iniziato tra il 7 e l’8 ottobre, secondo i dati di Cloudflare Radar.

La coincidenza temporale con gli attacchi ha spinto alcuni osservatori a parlare di un colpo alla macchina propagandistica russa. Il 12 ottobre, a Varsavia, Volodymyr Zelensky ha sostenuto che l’attività dei bot russi fosse diminuita dopo i raid, in dichiarazioni riprese da United24 Media e attribuite alla BBC. Anche l’eurodeputato Tomáš Zdechovský ha collegato la vicenda alla diffusione di contenuti favorevoli ad AfD, condividendo però un grafico di provenienza incerta.

Dati sui siti, non sui social

Il punto centrale è cosa misuri realmente il servizio di Cloudflare. Il traffico osservato riguarda i programmi che visitano automaticamente le pagine web per raccogliere informazioni e aggiornare gli indici di un motore di ricerca. Non fornisce invece una fotografia dei messaggi pubblicati su X, Facebook o altre piattaforme.

Questi strumenti, spesso chiamati programmi di scansione o indicizzatori, non scrivono commenti e non costruiscono identità fittizie per interagire con gli utenti. Yandex li utilizza per esaminare i contenuti della rete, come accade anche con Googlebot per Google. Per questo, l’interruzione del traffico rilevato può essere compatibile con un arresto delle attività di indicizzazione, ma non prova la scomparsa dei troll russi.

Gli attacchi e le reti della propaganda

La sequenza degli episodi è iniziata nella notte dell’8 ottobre a Sasovo, nella regione di Ryazan. Il 9 ottobre è stato colpito il centro dati di Kaluga, un’azione attribuita da Yandex a droni ucraini; l’11 ottobre l’obiettivo è stato un impianto nella regione di Vladimir, dove l’azienda gestisce uno dei tre supercalcolatori destinati allo sviluppo del proprio modello di intelligenza artificiale.

Gli account impiegati per diffondere propaganda, invece, non devono necessariamente passare dalla rete di Yandex. Dal 2022, Reddit e Facebook bloccano generalmente le connessioni provenienti dai principali centri dati russi; per eludere i controlli, le operazioni clandestine possono ricorrere a collegamenti domestici, reti private virtuali e servizi informatici occidentali, così da apparire originarie del Paese in cui si trova l’utente.

Un precedente citato è Lakhta, la struttura indicata come la “fabbrica dei troll” legata al gruppo Wagner di Prigozhin. Il gruppo, formato da circa 400 persone, avrebbe utilizzato strumenti capaci di aggirare i blocchi basati sugli indirizzi di rete. Anche questo esempio rafforza la distinzione: il crollo del traffico Yandex è un indizio sulle infrastrutture di scansione del web, non una conferma dell’arresto delle campagne sui social.