Prima della designazione sanzionatoria, Aéza imperniava le proprie operations su blocchi di indirizzi IP afferenti primariamente al sistema autonomo AS210644.

Subito dopo le sanzioni, riportano fonti di settore, Aéza ha migrato le proprie sub-allocazioni IP su un nuovo sistema – AS211522 – solo formalmente governato da un’entità terza, Hypercore Ltd, all’insegna della continuità operativa. Hypercore è stata sanzionata da USA e UK nel novembre 2025.

L’interrogazione dei dati di registro tenuti da RIPE NCC (l’organizzazione che regola la distribuzione delle risorse internet nell’area euroasiatica) consente di accertare tale migrazione. Ad esempio, notiamo che il prefisso 62.60.244.0/24, fino al 5 agosto 2025 annunciato dal sistema autonomo AS210644, è stato, a partire dal giorno precedente e sino a tutt’oggi, pubblicato dall’AS n. 211522.

Il medesimo schema si è ripetuto per almeno altre 12 subnet, ricomprendenti oltre 3000 indirizzi IP.

Ciò che maggiormente rileva ai fini di questa breve analisi non è il tentativo di offuscare la riconducibilità delle sopramenzionate risorse di rete al gruppo sanzionato. E’ più interessante mostrare come alcuni elementi consentano di tracciare un nesso fra le infrastrutture di networking riconducibili ad Aéza e talune organizzazioni iraniane.

Consultando i registri RIPE NCC notiamo che buona parte delle subnet utilizzate da Aéza le furono sub-assegnate da IROST (Iranian Research Organization for Science & Technology), organizzazione statale iraniana che, in quanto membro del RIPE, ha facoltà di ricevere in assegnazione blocchi di indirizzi IP e successivamente sub-assegnarli ai propri partner e clienti.

Dopo l’intervento delle sanzioni statunitensi, IROST ha continuato a rivestire il ruolo di “manutentore” (“mntner“)” dei record RIPE relativi ad alcuni blocchi di indirizzi IP ricompresi nel sistema autonomo formalmente intestato a Hypercore Ltd (ma fattualmente riconducibile, secondo Washington, ad Aéza). La comparazione cronologica (luglio 2025 vs. oggi) dei record Whois per molti dei blocchi IP identificati conferma tale continuità, per lo meno sotto il profilo amministrativo:

In grafica notiamo come, relativamente al blocco 62.60.244.0-62.60.244.255, il record whois risalente al 29 luglio 2025 evidenziasse IROST come “mntner“, a fianco della medesima Aéza. Il record attuale continua a menzionare IROST, segno che una parte dello spazio internet in uso ad Aéza/Hypercore è a tutt’oggi sub-assegnato dall’organizzazione statale iraniana.

Un ulteriore elemento ricollega le attività di Aéza ad attori persiani. Infatti, altri blocchi di indirizzi IP risultano oggi sub-assegnati ad Hypercore Ltd da un’entità greca, GeniusMind A.S. (iscritta nei registri locali al n. 181223501000).

Ad esempio:

Interrogando i registri d’impresa ellenici notiamo come GeniusMind sia stata iscritta in Camera di Commercio solo il 20 dicembre 2024. Il consiglio di amministrazione è oggi composto da un unico soggetto, una donna di origini iraniane. Il contatto e-mail aziendale (s******t@gmail.com) è riconducibile al socio di maggioranza nonché fondatore, F. Farjad-manesh, anch’egli iraniano con pluridecennale esperienza in ambito di networking.

Il ruolo di Farjadmanesh sembra essere tutt’altro che marginale nel settore cyber di Tehran. Egli ha raccomandato la nomina di un concittadino nel comitato esecutivo della sopracitata RIPE NCC ed ha rivestito cariche in altre imprese operanti nel medesimo ambito. Farjad-manesh risulta ad esempio operare nel perimetro di una società di informatica iraniana, Raya Sepehr Vira Data Processing Company Ltd., specializzata in soluzioni di hosting e anch’essa membro del RIPE.

L’analisi era basata sull’analisi di 1572 istanze, installate su server cinesi e pubblicamente raggiungibili, di una piattaforma denominata “Ollama” che consente di installare localmente, anche su personal computer di utilizzo ordinario, modelli linguistici leggeri ma comunque in grado di svolgere agilmente compiti piuttosto complessi.

Considerato che ChatGPT non poteva (e tutt’oggi non può) essere utilizzato in Cina, l’utilizzo di modelli open-source liberamente scaricabili rappresentava una valida alternativa per cittadini e organizzazioni cinesi che intendessero avvalersi dell’intelligenza artificiale generativa.

L’analisi dei 1572 indirizzi ip sopramenzionati rivelava (v. immagine sotto) che llama3 era il modello più frequentemente installato, seguito da altri modelli cinesi od europei. Sebbene dalla ricerca emergesse plasticamente la “vivacità” del sistema cinese in tema di sviluppo di modelli linguistici, delineando un quadro ben diverso da quello dipinto da taluni soggetti (secondo i quali la Cina si stava semplicemente appropriando di tecnologie occidentali colpevolmente rilasciate liberamente – e gratuitamente – sul mercato), era comunque evidente che, alla fine del 2024, i modelli linguistici occidentali erano notevolmente competitivi e popolari, per lo meno da quanto era possibile osservare tramite l’aggregazione dei singoli dati reperiti da ciascuna istanza di Ollama.

La stessa ricerca, ripetuta nel gennaio 2026 – duque più di un anno dopo – su oltre 2.700 istanze di Ollama, dipinge un quadro radicalmente mutato. Si nota infatti che llama3 non è più il Re dei modelli installati, rimanendo relegato in quinta posizione, mentre il podio è occupato da modelli leggeri con la prima posizione occupata da smollm2 (da soli 135 milioni di parametri) e il secondo posto in mano a DeepSeek-r1 da 1,5 miliardi di parametri.

Cosa può indicare questo?

Con l’arrivo sul mercato locale delle versioni “pesanti” di DeepSeek, modello cinese che oggi rivaleggia con i più celebri cugini di OpenAI, Google e Anthropic, la Cina ha colmato il gap tecnologico che la vedeva, almeno fino a 14 mesi fa, relegata a mero fruitore di modelli open-source occidentali e modelli proprietari sviluppati dai tech-giants di Pechino: esperimenti interessanti ma comunque non paragonabili in termini prestazionali alle versioni commerciali sviluppate negli Stati Uniti.

La disponibilità di DeepSeek in Cina rende relativamente meno interessanti le soluzioni “locali” fruibili tramite l’interfaccia di Ollama: l’ipotesi è, quindi, che molte installazioni di llama3 siano state rimosse per far spazio a modelli “lightweight” meno onerosi in termini di architettura hardware e di costo-macchina.

Segno che il sistema AI cinese, effettivamente, non è più un attore di serie B.

That distinction matters. Radar energy reflects differently depending on what it strikes. Calm sea surfaces and flat ground typically return weaker signals. By contrast, large man-made structures—such as the upper decks and superstructures of cruise ships, cargo vessels, or naval platforms—tend to reflect more energy back to the sensor. In SAR imagery, this often appears as a brighter return. The practical consequence is that researchers can sometimes infer the presence and location of vessels even when conventional optical satellite imagery is inconclusive or unavailable.

This is precisely where Bellingcat’s tool proves valuable. Built on Google Earth Engine (GEE)—a platform for planetary-scale geospatial analysis—it allows researchers to define an area of interest by drawing polygons over ports, docks, anchorages, or coastal corridors, then select a reference date and check whether the radar signal indicates a ship within that footprint.

In the example above (taken from Bellingcat’s article), the user draws a red polygon and the tool outputs a bright, high-confidence detection within the selected area—represented as a vivid mask where Sentinel SAR indicates an object consistent with a vessel. As with any OSINT technique, this becomes far more compelling when corroborated with complementary sources such as AIS data, optical satellite imagery, port schedules, enthusiast vessel tracking, or other independent traces.

To better understand how the tool operates under the hood, I created a free Google Earth Engine account and explored whether ChatGPT could help reproduce the core functionality. With iterative testing and minor adjustments, I obtained results comparable in detection behavior to the original workflow. What follows is a practical guide to replicating that ship-tracking method.

1. Start by registering for a Google Earth Engine account and create a new project. You will need two-factor authentication (2FA) enabled.

2. Next, take the script published on GitHub (the JavaScript is credited to ChatGPT, as I am not a JavaScript specialist) and paste it into the Google Earth Engine Code Editor (“New Script” text-field).

Then save the script and assign it a name (in my case, simply “script”).

At this point, you are ready to run a test. Navigate to your location of interest and draw a polygon around the area where you suspect a vessel may have been docked at the time in question.

For demonstration purposes, I drew a red polygon over the cruise ship dock at Civitavecchia, near Rome.

To draw the polygon, use the small geometry tool in the upper-left menu—specifically the polygon-drawing icon (the second button from the right). Make sure that the polygon name is ‘geometry’.

Before running the script, you can tune several parameters to set the date window, constrain detections, and reduce false positives. The code is commented, so each parameter’s purpose is described directly in the script.

The most relevant controls are:

MIN_LENGTH_M – this filters results by vessel size, counting only detections consistent with ships longer than the specified minimum length.

TARGET_DATE together with PICK_WITHIN_DAYS define the time window for the search. In practice, you are asking the script to find the most relevant SAR observations within a specified number of days around your target date.

WATER_OCC_MIN helps control how the script treats water proximity and coastal complexity. For deep offshore environments, this value can be 0. For near-dock or near-coastline areas, increasing the value (for example, up to 80–85) can help reduce false positives.

THRESHOLD_DB sets the detection threshold in decibels. In many cases it can be 0 or even slightly below 0, depending on conditions and the trade-off you want between sensitivity and precision.

Once the polygon is drawn and the parameters are set, click Run and review the output inside the polygon boundary. In my case, the results indicated that two large cruise ships were docked on July 15, 2025, appearing as clear, bright masks within the selected area.

In the right panel (“Console”), the loaded script will show details about the UNIX timestamps in the selected timeframe (timestamps define the exact date and time the satellite scanned that portion of water) and other data such as the total number of detected ships.

Remember: SAR-based vessel detection is powerful, but it is not a standalone conclusion engine. The most reliable OSINT outcomes come from layering this output with independent evidence—AIS tracks, optical imagery, port activity records, and third-party ship-spotting communities—so that each source either confirms or challenges the others.

Credits, as usual, go to the incredible and talented Bellingcat team, an unvaluable source of inspiration for the entire OSINT community.

Diversi osservatori – prevalentemente afferenti la sfera mediatica – si sono concentrati su taluni aspetti del suo body language ponendo in evidenza presunte anomalie nella cinesica delle mani, apparse talvolta insolitamente statiche e irrigidite.

E’ il caso, primo fra tutti, del colloquio che Putin intrattenne con l’allora Ministro della Difesa Sergey Shoigu il 21 aprile 2022 per discutere degli avanzamenti militari sul fronte del Donbass. Nel video dell’incontro, oggetto di ampia diffusione, la sua mano destra “pinza” il bordo della scrivania, mentre dita e palmo della sinistra vi rimangono appoggiati, senza soluzione di continuità. La posizione del collo e del capo rispetto alle spalle pare contratta: si ha la sensazione che Putin sia quasi intimidito, come se a dover relazionare dovesse essere lui piuttosto che Shoigu.

La postura fu oggetto di notevole copertura mediatica e innumerevoli furono le testate che ipotizzarono l’insorgere di patologie oncologiche o neurologiche.

Analogamente, in un intervento di fine novembre 2024 Putin si rivolgeva all’Occidente per minacciare l’estensione internazionale del conflitto in caso di attacchi missilistici sul suolo russo. Nel video, le mani appaiono immobili e congiunte, quasi come se fossero editate in sede di postproduzione.

Anche in questo caso alcuni organi di stampa, come la tedesca Bild, specularono su eventuali patologie.

Infine L’Indipendente, lo scorso 11 dicembre, ha riassunto diverse voci inerenti il (presunto) precario stato di salute di Vladimir Putin, citando anche le recenti dichiarazioni di illustri politici italiani.

Il Cremlino ha sempre smentito.

In questa analisi OSINT, avviata nel corso del 2024, tentiamo di proporre un complesso fact-checking volto a verificare, con l’ausilio di tecniche di riconoscimento facciale e “detection” automatica degli arti, se sia possibile acquisire dati quantitativi di carattere storico sulla cinesi delle mani di Putin, con l’obiettivo di confermarne o smentirne il progressivo “congelamento”.

Sotto il profilo metodologico, gran parte della data analysis è stata realizzata da uno script in linguaggio Python implementato con le librerie DeepFace, MediaPipe e con il modulo di elaborazione video ffmpeg.

A partire dal 2014 e sino al 2025 compreso sono stati scaricati da Youtube e Yandex 29 video, di durata variabile, ritraenti un Vladimir Putin intento nel rilasciare interviste o nel parlare pubblicamente.

Per ciascun video è stata svolta la seguente routine:

1. download con la libreria yt-dlp;

2. segmentazione in frame con l’ausilio del software ffmpeg;

3. estrazione, dal set di frame così ottenuto, delle immagini ritraenti un solo profilo facciale – quello di Putin – ed entrambe le sue mani. Il riconoscimento facciale è stato facilitato dall’impiego del modulo DeepFace, mentre la libreria MediaPipe è stata utilizzata per rilevare la presenza delle mani;

4. pulizia del dataset dagli inevitabili (ancorché statisticamente gestibili) errori di rilevamento commessi dalle librerie utilizzate;

5. calcolo, per ciascun set di frame identificante ciascuno dei 29 video originali, di un Hands Motion Index (a seguire: HMI) idoneo a stimare una misura della mobilità “radiale” di entrambe le mani di Putin rispetto ad un punto fisso: il centro del suo viso oppure, in alternativa, il centro geometrico del frame.

Per calcolare l’HMI è stato necessario, preventivamente, computare la posizione assoluta delle mani e del viso di Putin in ciascun frame, archiviando le informazioni posizionali in un file .json ancorato a ciascuna immagine:

Il dataset così ottenuto è stato impiegato per calcolare la serie storica dell’HMI fra il 2014 e il 2025, ma anche per visualizzare una “point cloud” (nuvola delle posizioni) illustrante in forma grafica la posizione relativa (rispetto al volto) delle mani di Putin in differenti segmenti temporali (es: 2014->2019 vs 2020->2025).

Per generare un HMI che fosse quanto il più possibile normalizzato e confrontabile (i video sono spesso di diversa dimensione, oppure viziati da setting mediatici non standardizzati e afflitti da livelli di zoom e posizioni della telecamera variabili – sia fra video che fra frame dello stesso video), l’indice è stato calcolato come la variabilità percentuale media della distanza delle due mani dal centro del volto. Quindi, abbiamo che:

• se l’indice è basso le mani restano a distanze piuttosto costanti dal viso (posizione relativamente stabile -> mobilità bassa);

• se l’indice è alto le mani si spostano frequentemente (variazione maggiore rispetto alla distanza media).

Il ciclo di analisi ha vagliato un totale di 271.245 frame. La serie storica dell’HMI è rappresentata in tabella:

Il grafico a barre mostra che l’HMI varia da valori minimi pari a 11 (anno 2022) sino a valori massimi pari a 31 (anni 2017, 2021). L’andamento, a prima vista, non sembra giustificare ipotesi inerenti una progressiva contrazione della mobilità manuale di Vladimir Putin, ma il quadro cambia sensibilmente se viene introdotto un elemento di ponderazione basato sul numero di frame disponibili per ciascun anno. Così facendo, emerge una leggera e progressiva riduzione della mobilità in diverse finestre temporali:

INTERVALLI | HMI | NUMERO DI FRAME

2014-2021 | 26,42 | 103094

2022-2025 | 20,30 | 168151   

2014-2019 | 26,04 | 62923

2020-2025 | 21,59 | 208322   

2014-2023 | 24,04 | 152461

2024-2025 | 20,80 | 118784

I valori minimi dell’HMI si manifestano, coerentemente con l’assunto di base dell’analisi, nei video in cui Putin denota un apparente deficit cinetico. E’ questo, ad esempio, il caso del video del febbraio 2022 in cui venne annunciata la cosiddetta “operazione militare speciale” nei confronti dell’Ucraina (HMI = 11; 27.220 frame analizzati).

Analogamente, i valori più elevati si manifestano in un video del 2021 registrato in occasione della conferenza stampa di fine anno (HMI = 31; 22.376 frame analizzati).

I dati aggregati per finestre temporali sembrerebbero confermare una sensibile riduzione della mobilità delle mani fra il primo e il secondo periodo osservato.

La visualizzazione dei dati sotto forma di “point cloud”, ovvero di “mappa grafica” che illustra la distribuzione, nello spazio bidimensionale, delle coordinate di ciascuna mano rispetto al viso in due periodi distinti (identificati con punti rossi – periodo meno recente – e blu – periodo più recente), sembra confermare tale ipotesi, limitatamente ad una piccola area rossa nel quadrante inferiore dell’immagine, potenzialmente coincidente con la riduzione del movimento in quella regione.

Intervalli temporali 2014-2019 (HMI = 26,04) vs 2020-2025 (HMI = 21,59):

Intervalli temporali 2014-2021 (HMI = 26,42) vs 2022-2025 (HMI = 20,30):

Intervalli temporali 2014-2023 (HMI = 24,04) vs 2024-2025 (HMI = 20,80)

Nel terzo ed ultimo caso, la contrazione della cinesica sembra incrementarsi più marcatamente se osservata nel decennio 2014-2023 rispetto al biennio 2024-2025.

Tali osservazioni quantitative sembrerebbero contraddette dall’osservazione empirica del body language di Putin in occasione dell’intervista “maratona” rilasciata lo scorso 19 dicembre 2025, nel corso della quale il capo del Cremlino sembra mostrare una normale disinvoltura nel gesticolare.

Inevitabilmente, questa analisi soffre di bias dovuti a diversi fattori: le differenze di contesto comunicativo e di setting (interviste, discorsi al podio, riunioni, lettura di testi, presenza di oggetti come microfoni o altri device che possono vincolare la gestualità); la variabilità delle condizioni di ripresa e di regia (distanza dalla camera, zoom, crop, angolazione, cambi di inquadratura, risoluzione e compressione); l’eterogeneità dei video in termini di durata e qualità complessiva, nonché la non perfetta comparabilità temporale dei campioni (numero di video e di sequenze disponibili per anno e possibile sovra-rappresentazione di specifici formati in determinati periodi).

A ciò si aggiungono bias indotti dalla pipeline automatica di selezione ed estrazione: la dipendenza dall’affidabilità di DeepFace nel filtrare i frame con solo volto, la sensibilità di MediaPipe a occlusioni, blur e pose non frontali nel rilevare in modo stabile entrambe le mani, e la conseguente selezione imperfetta dei frame “ammessi”. Ulteriori distorsioni possono derivare: dall’uso del centro del volto come riferimento (jitter del punto di riferimento e movimenti del capo che possono essere parzialmente assorbiti nella misura mano–volto); dalle approssimazioni di normalizzazione geometrica adottate (ad esempio la normalizzazione per diagonale del frame, che non equivale a una normalizzazione su scala facciale); dall’aggregazione statistica a livello annuale e per macroperiodi, che, pur robusta (mediana e ponderazioni), può ancora risentire della forte dipendenza dalle singole unità in anni con numerosità ridotta e dalla presenza di outlier residui nonostante la pulizia manuale.

Inoltre, si segnala come la riduzione della gesticolazione possa essere almeno in parte compatibile con l’avanzare dell’età. La letteratura scientifica disponibile documenta che, spesso, anziani e giovani compiono, in proporzione alle parole pronunciate, una quantità simile di movimenti delle mani. Si notano però alcune differenze quando si analizza che cosa le mani stanno facendo. Con l’età si riducono soprattutto i gesti “iconici” o “rappresentativi”, vale a dire quelli che illustrano visivamente il topic: mimare la forma di un oggetto, indicarne la dimensione, riprodurre con le mani un movimento o una traiettoria. Gli anziani, rispetto ai giovani, ricorrono meno a questo tipo di cinesica che aggiunge contenuto informativo alla rappresentazione discorsiva. Al contrario, i gesti più semplici e meno legati al contenuto – ad esempio i gesti ritmici che marcano l’andamento della frase – sembrano mantenersi anche nella terza età (v. Ozer-Goksun, 2020). Questa dinamica potrebbe teoricamente spiegare la contrazione dei movimenti manuali di Putin rilevata con l’analisi dei frame a partire dal 2014 (quando lo “Czar” aveva 62 anni) rispetto ad oggi (73).

In conclusione, l’analisi dei dati sembra confermare una lieve riduzione della cinesica nel movimento delle mani di Putin nel corso degli ultimi anni, sebbene permangano numerosi interrogativi sull’affidabilità del metodo adottato. Quest’ultimo gioverebbe certamente di un fine tuning basato, quanto meno, su due interventi principali:

1. significativo ampliamento della base dati (video) per ciascun anno;

2. segmentazione di ciascun video in tanti video derivati quante sono le diverse inquadrature e livelli di zoom, al fine di neutralizzare le variabili di regia.

In ottica comparativa, può risultare di interesse un piccolo test di controllo effettuato riproducendo la medesima analisi sin qui esposta sul conto di un altro “ageing leader”, vale a dire il presidente statunitense Donald Trump.

In questo caso, sono stati esaminati un totale di soli 53.065 frame estratti da video risalenti agli anni 2015-2020 e 2024-2025. La disponibilità di materiale valido per l’inquilino della Casa Bianca si rivela rarefatta rispetto alla controparte di Mosca, atteso che le regie statunitensi tendono a inquadrare prevalentemente il volto dei personaggi, o comunque la parte superiore del busto, tagliando le mani fuori dall’inquadratura. Spesso, peraltro, è frequente l’uso di piedistalli e podi che viziano staticamente la posizione delle mani rendendo più complessa la computazione dell’HMI.

Fatta eccezione per gli anni 2021-2023, nei quali la Casa Bianca era “occupata” dal predecessore Joe Biden (con riduzione dell’esposizione di Trump a contesti compatibili con l’acquisizione di dati utili) l’andamento dell’HMI si mostra parimenti altalenante.

Al contempo, la misura aggregata e ponderata dell’HMI per i due periodi 2015-2020 e 2024-2025 sembra evidenziare, anche per Trump, una leggera contrazione della cinesica.

• Anni 2015/2020 – HMI: 11,9

• Anni 2024/2025 – HMI: 8,1

Analogamente, il trend sembra parzialmente confermato previa plotting della “point cloud”.

Naturalmente, anche in questo caso valgono le medesime considerazioni prudenziali già in precedenza espresse.

Alcuni mesi fa diverse fonti di stampa hanno descritto le attività di un sito web (camhub.to), con dominio registrato presso le isole Tonga, sul quale venivano diffusi illecitamente streaming video ottenuti accedendo abusivamente alle telecamere di sorveglianza installate in abitazioni private e luoghi sensibili, ivi inclusi ambienti sanitari.

In questa indagine OSINT perveniamo all’identificazione di una persona fisica possibilmente collegata alle infrastrutture informatiche del portale. Non è affatto detto che il soggetto identificato sia (o sia stato) l’effettivo titolare del sito, ma alcuni elementi convergenti suggeriscono che egli possa aver avuto un ruolo, eventualmente anche solo iniziale, nel set up della piattaforma. Si tratta, al momento, di ipotesi. Lo ripetiamo: non stiamo implicando o suggerendo, nemmeno fra le righe, che la persona individuata possa essere stata l’operatore o proprietario del portale.

A partire dal periodo in cui l’analisi è stata avviata (settembre 2025), il sito non è stato più consultabile; dunque, si è reso necessario procedere all’analisi attingendo a dati di carattere prevalentemente storico:

1. record Whois storici e attuali

2. record DNS storici (ottenuti consultando database di tipo “Passive DNS”)

3. Versioni archiviate del dominio camhub.to consultabili su archive.org (WayBack Machine)

4. Conversazioni Telegram

5. Protocolli di crittografia SSL

Dall’acquisizione dei record WHOIS rileviamo che il dominio risultava già registrato nel dicembre 2022. Tuttavia, fino alla prima metà del 2024 camhub.to risultava di fatto inutilizzato e mantenuto in stato di “ibernazione”. Le prime versioni archiviate del sito sono consultabili solo a partire dalla seconda metà di dicembre 2024.

FASE 1 – ANALISI DELLE CONVERSAZIONI SOCIAL

Esulando dalla consultazione dei dati “ufficiali” inerenti la registrazione del dominio, si nota che camhub.to e il dominio gemello camhub.vip sono stati oggetto di alcune conversazioni sulla piattaforma di messaggistica Telegram. Le conversazioni sono oggi consultabili unicamente su aggregatori di terze parti che hanno archiviato i messaggi scambiati dagli utenti di alcune chat oggi non più attive.

Il canale “Camhub Warning”, verosimilmente riconducibile ad un collettivo di hacker, avvisava gli utenti di camhub.to che era stata avviata un’azione di contrasto volta a smantellarne l’infrastruttura informatica. L’11 dicembre 2024 il collettivo annunciava che il dominio gemello camhub.vip era stato sospeso:

Il 17 dicembre 2024 il collettivo annunciava di aver raggiunto un accordo con camhub, all’esito del quale le iniziative di contrasto venivano sospese essendo stato raggiunto un accordo, su basi verosimilmente monetarie:

La ricerca prosegue con l’analisi di ulteriori conversazioni su Telegram. Il 18 dicembre 2024 gli amministratori della chat “CamHubVIP” annunciavano di aver ripristinato le funzionalità di camhub.vip, essendo nel frattempo cessate le sopracitate azioni di contrasto.

Nella medesima chat veniva anche pubblicizzato un altro canale, denominato “Voy&Pub / @voy_pub_ua”, orientato alla diffusione di contenuti voyeuristici.

Un canale omonimo (frequentato da oltre 88.000 iscritti) risulta di ipotizzabili radici ucraine (si nota la bandiera ucraina apposta accanto al nome del canale, ma anche la lingua dei contenuti).

FASE 2 – MAPPATURA DELLE INFRASTRUTTURE WEB

Nel periodo in cui il sopracitato collettivo contrastava le attività del portale, i record DNS di camhub venivano sostituiti con quelli di Cloudflare. Questa azione era finalizzata a mettere in sicurezza l’infrastruttura rispetto ad attacchi DDOS.

L’utilizzo dei reverse proxy di Cloudflare è, spesso, fattore di impedimento rispetto all’identificazione dell’indirizzo IP reale su cui l’infrastruttura insiste. La conoscibilità dell’indirizzo IP reale è fondamentale al fine di perseguire percorsi investigativi complessi e pervenire all’identificazione di strutture informatiche correlate.

Nel caso che qui ci occupa, la consultazione di motori di ricerca “IoT” (“Internet of Things”) ci consente di bypassare le protezioni di Cloudflare e individuare almeno tre indirizzi IP, non appartenenti alla rete di Cloudflare, utilizzati da camhub prima della configurazione dei layer di protezione e anonimato.

Gli indirizzi IP in questione sono:

• 91.194.110.44

• 91.194.110.57

• 91.194.110.58

Tali indirizzi IP risultavano in uso a camhub fra il dicembre 2024 e il settembre 2025 e rappresentano, dunque, un valido pivot point utilizzabile per mappare eventuali infrastrutture informatiche collegate.

Si rileva, innanzitutto, che gli IP sopramenzionati sono tutti riconducibili ad un hosting provider ucraino con infrastrutture informatiche dislocate in Europa e, segnatamente, nei Paesi Bassi. Il provider risulta essere la società UA-Hosting SIA, con sede legale in Lettonia ma riconducibile a due soggetti di verosimili origini ucraine. Il provider, ovviamente, non risponde delle attività illecite poste in essere sui portali ospitati dai propri server, ma può essere interpellato dall’Autorità Giudiziaria per ottenere i dati identificativi del titolare/gestore di camhub.

A partire dai tre indirizzi IP avviamo un ciclo di analisi avvalendoci di soluzioni software e database che consentono di acquisire i record DNS passivi storici per ciascun IP. I record DNS storici indicano a quali domini web / hostname ciascun IP sia stato in precedenza associato.

L’immagine che segue illustra, in forma semplificata, le principali relazioni IP > hostname rilevate:

Notiamo immediatamente, nel diagramma relazionale, la presenza di alcuni “outlier”, ovvero di nomi a dominio non riconducibili al network camhub:

• i-t.kz (con sottodominio camhub.i-t.kz)

• vclub.vc

Il dominio vclub.vc risulta registrato a nome di “Oleg U Dominikan”, con indirizzo e-mail vclub.adm@gmail.com. Nel Whois del dominio identifichiamo anche un contatto telefonico mobile che, però, risulta riconducibile ad una donna di nazionalità russa il cui network sociale, ricostruibile aggregando dati della piattaforma di social networking “Odnoklassniki”, non presenta elementi tali da confermarne il collegamento con camhub o con vclub.vc.

Similmente, il nominativo “Oleg U Dominikan” non risulta riconducibile ad alcuna persona fisica effettivamente identificabile. Con ogni probabilità, l’amministratore di vclub.vc ha utilizzato dati di terzi e nomi fittizi per la registrazione del dominio.

In ogni caso, la home page del sito www.vclub.vc espone un forum dedicato a tematiche voyeuristiche, circostanza del tutto coerente con la natura dei contenuti di camhub e del sopracitato canale telegram “Voy&Pub”.

Le iscrizioni al forum, come evidenziato in un thread pubblicato dall’amministratore (attivo con username “gre”), sono bloccate. Gli utenti registrati erano, alla data della consultazione, 1.614.

Gli approfondimenti effettuati sul dominio vclub.vc ci consentono di accertare un effettivo nesso di interoperabilità con camhub, atteso che il sopracitato canale “Voy&Pub” menzionava vclub.vc come “miglior forum per discutere degli argomenti del canale [Voy&Pub]”

Al netto delle pur rilevanti informazioni acquisite, la ricerca sul conto del forum non ci consente di identificare alcuna persona fisica effettivamente collegabile a camhub. Proseguiamo quindi la verifica sul secondo dominio “outlier”: i-t.kz.

Il dominio risulta registrato in Kazakistan da un’impresa specializzata nella fornitura di servizi IT, mentre l’indirizzo e-mail del contatto amministrativo risulta essere r*******o@gmail.com

Notiamo che i record DNS del sito aziendale sono i medesimi già utilizzati da camhub.vip prima della migrazione ai servizi di anonimizzazione di Cloudflare (ns15.inhostedns.com, ns25.inhostedns.com, ns35.inhostedns.com).

Per quanto riguarda il sottodominio camhub.i-t.kz segnaliamo la presenza di una mera pagina di cortesia (oggi rimossa, ma comunque archiviata su Wayback Machine) riferibile inequivocabilmente al portale oggetto di indagine.

L’indirizzo e-mail r********o@gmail.com, così come l’impresa registrante il dominio, fanno riferimento univoco ad un medesimo tecnico informatico di origini kazache, R. E. G., attivo professionalmente anche in Russia ma, almeno in apparenza, residente in Ucraina (circostanza del tutto coerente, quindi, con l’utilizzo di un hosting provider ucraino – v. sopra).

Segnaliamo, infine, che il nickname dell’amministratore del forum vclub.vc (“gre”), rispecchia le iniziali del soggetto.

Dall’analisi dei protocolli di crittografia del dominio i-t.kz notiamo, infine, che il sottodominio camhub.i-t.kz risulta iscritto per la prima volta, all’interno dei certificati SSL, nel corso del mese di luglio 2024, ovvero durante la fase di presumibile staging della piattaforma.

Abbiamo identificato il titolare di Camhub? Non ne abbiamo la certezza; non abbiamo abbastanza dati a supporto di questa tesi. Certamente però, gli indizi acquisiti consentono di ipotizzare che R.G.E. possa essere stato interessato nella gestione tecnico-operativa del sito. Al momento queste sono solo ipotesi; è anche possibile che R.G.E. sia un tecnico che ha collaborato al lancio della piattaforma in una fase iniziale, eventualmente per conto terzi (un cliente o l’effettivo titolare), e che non abbia nulla a che vedere con l’operatività effettiva del sito.

Cionondimeno, abbiamo acquisito molte altre evidenze che non sono riportate in questo articolo.

Il Garante della Privacy, dopo aver annullato in autotutela l’avvertimento rivolto ad una società statunitense ritenuta gestore del sito (società invero terza rispetto a camhub.to) avrebbe ora elementi sufficienti a procedere con una ulteriore richiesta di contatti nei confronti dell’impresa kazaca, forse con maggiori probabilità di identificare il gestore effettivo. Sempre che sia necessario farlo, dato che camhub.to non è più online da mesi.