Amir Yaryab, taglia USA da 10 milioni sul capo cyber dell’IRGC

Il 3 settembre 2026 il Dipartimento di Stato americano ha offerto una ricompensa fino a 10 milioni di dollari per informazioni su Amir Yaryab (traslitterato anche Amir Yariab), alto funzionario del Corpo delle Guardie della Rivoluzione Islamica che guida le operazioni cyber offensive dell’IRGC. Dopo la taglia sul capo del Cyber-Electronic Command, Hamid Reza Lashgarian, in vigore dal 2024 e riproposta il 24 agosto scorso nel pacchetto sui vertici IRGC, Washington scende ora al livello operativo e indica pubblicamente la figura che, secondo le autorità USA, dirige gruppi come CyberAv3ngers.

Chi è Amir Yaryab e quali gruppi dirige

Secondo l’avviso ufficiale del programma Rewards for Justice, Yaryab è un alto funzionario del Cyber-Electronic Command dell’IRGC (IRGC-CEC) e ne guida il Cyber Operations Command. Dirige inoltre diverse componenti del comando, tra cui le unità Shahid Hemmat e Shahid Shushtari, responsabili di operazioni cyber e di information operations cyber-enabled contro infrastrutture critiche.

Lo stesso avviso attribuisce a Yaryab la supervisione e il controllo dei gruppi affiliati all’IRGC-CEC CyberAv3ngers, Dadeh Afzar Arman (DAA) e Mehrsam Andisheh Saz Nik (MASN), accusati di aver impiegato malware contro infrastrutture civili in tutto il mondo. La scheda elenca tra le organizzazioni associate anche Emennet Pasargad, Net Peygard Samavat, Aria Sepehr Ayandehsazan (ASA), l’IRGC Jangal Organization e la persona online “Mr. Soul”, oltre a diciassette individui, diversi dei quali già sanzionati o incriminati negli Stati Uniti, tra cui lo stesso Lashgarian e i cinque dirigenti IRGC-CEC colpiti dal Tesoro nel febbraio 2024. Il quadro collega sotto un’unica direzione attori finora trattati come sigle separate.

La ricompensa, come specifica l’avviso, è offerta per informazioni che portino a identificare o localizzare chiunque, agendo per conto di un governo straniero, partecipi ad attività cyber malevole contro le infrastrutture critiche USA in violazione del Computer Fraud and Abuse Act. Secondo Iran International, il programma prevede anche assistenza al trasferimento per gli informatori. L’annuncio è stato ripreso, tra gli altri, da The Record e Al-Monitor.

Perché l’attribuzione è ad alta confidenza

L’attribuzione proviene direttamente dal governo statunitense ed è coerente con oltre un decennio di operazioni documentate, la cui architettura organizzativa ICT Security Magazine ha ricostruito nell’analisi su strutture, strategie e capacità cibernetiche dell’Iran nel Quinto Dominio. CyberAv3ngers è il gruppo che nel 2023 compromise PLC Unitronics esposti su Internet e protetti da credenziali di default presso utility idriche americane e israeliane, che nel 2024 introdusse il malware ICS IOCONTROL e che, secondo Tenable, nel 2026 sfrutta attivamente CVE-2021-22681, un bypass di autenticazione senza patch nei controller Rockwell Automation.

Per queste attività Rewards for Justice aveva già pubblicato una taglia sul gruppo e sui sei dirigenti IRGC-CEC sanzionati dal Tesoro nel febbraio 2024 e, nel giugno 2025, una seconda ricompensa centrata sulla persona “Mr. Soul” legata a IOCONTROL.

La taglia su Yaryab arriva inoltre a valle di un’escalation di misure statunitensi nelle ultime settimane. Il 18 agosto il Dipartimento di Giustizia ha incriminato 17 persone legate al Mabna Institute, contractor che operava per conto dell’IRGC in una campagna di furto di proprietà intellettuale che aveva colpito, tra gli altri, Department of Labor, Federal Energy Regulatory Commission e organizzazioni ONU. Il 24 agosto il Tesoro ha sanzionato operatori del Ministero dell’Intelligence (MOIS) per attacchi a infrastrutture critiche, nell’ambito del pacchetto definito “economic D-Day”, pochi giorni dopo la notizia di un’intrusione in una piccola centrale elettrica nel Regno Unito.

Settori e geografie nel mirino

L’avviso del Dipartimento di Stato indica che i gruppi diretti da Yaryab hanno colpito infrastrutture critiche in Stati Uniti, Europa e Medio Oriente, nei settori difesa, media, shipping, trasporti (hotel e compagnie aeree), energia, finanza e telecomunicazioni.

A questo quadro si aggiunge la campagna contro il settore idrico americano in corso dalla fine di luglio. Un advisory congiunto di FBI, NSA, Dipartimento dell’Energia e CISA aggiornato il 22 luglio segnalava attori iraniani impegnati a manipolare PLC esposti su Internet in impianti idrici ed energetici; nelle settimane successive, secondo la mappatura del CSIS, le intrusioni hanno interessato circa 100 impianti in almeno 12 Stati, con cambi di password per escludere gli operatori, passaggi in modalità manuale e alcuni avvisi di bollitura dell’acqua. Va precisato che, mentre funzionari e analisti attribuiscono la campagna all’Iran, CISA non ha formalizzato pubblicamente l’attribuzione di questa specifica ondata e non risultano incriminazioni collegate.

Cosa significa per gli operatori europei e per la NIS2

La novità non è tanto l’attribuzione in sé quanto il consolidamento della catena di comando: gruppi che si presentano con identità distinte rispondono a una direzione IRGC centralizzata, e le infrastrutture civili restano un obiettivo strategico deliberato nel contesto del conflitto tra Stati Uniti e Iran, che ICT Security Magazine segue dall’avvio delle operazioni militari del 28 febbraio 2026. L’intrusione nella centrale britannica, se confermata nell’attribuzione, indica che il perimetro europeo non è teorico.

Al momento non risultano advisory specifiche di ENISA o dell’Agenzia per la Cybersicurezza Nazionale su questo annuncio: le indicazioni che seguono sono una lettura operativa, non una raccomandazione delle autorità. Per energia, acqua, telecomunicazioni e trasporti, settori essenziali ai sensi della direttiva NIS2, i punti di attenzione sono tre: monitoraggio delle TTP iraniane note, verifica dell’esposizione su Internet di PLC, HMI e protocolli industriali (Siemens, Rockwell, Modbus), tema già evidenziato nella notizia sulle operazioni ibride iraniane contro infrastrutture OT e ambienti Microsoft 365, e revisione degli accessi remoti, che nelle utility americane colpite erano spesso la comodità di un unico operatore trasformata in porta d’ingresso.

Sia nel 2023 sia nel 2026 il bersaglio non è stata la grande utility presidiata, ma l’impianto periferico con difese minime: una descrizione che si applica a gran parte del tessuto infrastrutturale europeo.

Domande frequenti

Chi è Amir Yaryab? È un alto funzionario del Cyber-Electronic Command dell’IRGC che, secondo il Dipartimento di Stato USA, guida il Cyber Operations Command e dirige le unità Shahid Hemmat e Shahid Shushtari, oltre a supervisionare gruppi affiliati come CyberAv3ngers. Il vertice dell’IRGC-CEC resta Hamid Reza Lashgarian, anch’egli oggetto di una taglia da 10 milioni.

Cos’è CyberAv3ngers? È un gruppo affiliato all’IRGC-CEC noto per gli attacchi del 2023 contro utility idriche tramite PLC Unitronics con credenziali di default, per il malware ICS IOCONTROL (2024) e per lo sfruttamento nel 2026 di CVE-2021-22681 nei controller Rockwell.

Cosa dovrebbero fare gli operatori soggetti a NIS2? Rafforzare il monitoraggio delle TTP iraniane, ridurre l’esposizione su Internet dei sistemi OT/ICS e rivedere gli accessi remoti, con priorità agli impianti periferici meno presidiati.