A oltre sei mesi dagli attacchi con droni che hanno colpito infrastrutture Amazon Web Services nel Golfo, la situazione non è rientrata. AWS ha comunicato ai clienti di non essere in grado di ripristinare l'accesso a risorse e dati ospitati esclusivamente nella propria regione cloud del Bahrain. Negli Emirati Arabi Uniti, invece, una delle Availability Zone coinvolte non risulta recuperabile, mentre prosegue il lavoro sulle altre due aree colpite.
È il primo aggiornamento pubblico di AWS sull'incidente dall'aprile scorso e contiene l'elemento più rilevante della vicenda: per una parte dei clienti non si tratta più di un disservizio prolungato, ma della perdita dell'accesso a dati e risorse che non erano stati replicati fuori dalla regione interessata. L'azienda afferma di avere svolto una valutazione approfondita e di aver concluso che i danni subiti in più siti del Bahrain superano le condizioni per cui l'infrastruttura era progettata.
Gli attacchi risalgono a marzo, nelle prime fasi della guerra con l'Iran. Due data center Amazon negli Emirati Arabi Uniti furono colpiti direttamente da droni; un impianto in Bahrain riportò danni dopo un attacco avvenuto nelle vicinanze. I Guardiani della Rivoluzione iraniani avevano rivendicato l'azione, indicando il sito del Bahrain come obiettivo per il presunto sostegno di Amazon alle forze armate statunitensi.
Che cosa resta indisponibile
Il perimetro del problema varia tra Bahrain e UAE. Nel Bahrain AWS non potrà ripristinare l'accesso alle risorse e ai dati custoditi soltanto in quella regione. La precisazione sull'hosting esclusivo è importante: chi disponeva di copie, backup o architetture distribuite in altre regioni AWS può avere strumenti per ricostruire le operazioni, ma chi aveva concentrato lì i propri carichi di lavoro deve confrontarsi con un danno potenzialmente definitivo.
Negli Emirati Arabi Uniti, AWS comunica di non essere riuscita a recuperare le risorse e i dati archiviati in una Availability Zone. Le Availability Zone sono aree infrastrutturali separate all'interno della stessa regione cloud, pensate per ridurre l'impatto di guasti locali e permettere ai clienti di distribuire applicazioni e dati su più siti. La protezione offerta da quella separazione, tuttavia, non sostituisce la replica geografica quando l'evento danneggia più strutture o rende instabile un'intera area.
Due zone negli UAE restano oggetto di attività di ripristino. AWS non ha fornito una data per il ritorno operativo: conta di aggiornare i clienti nei prossimi mesi per gli Emirati, mentre per il Bahrain rinvia nuove informazioni all'inizio del 2027. Nel frattempo ribadisce l'impegno a supportare la clientela nei due mercati, senza descrivere nel dettaglio quali soluzioni saranno disponibili per i dati che non possono essere recuperati.
Un incidente che mette alla prova l'idea di resilienza
Nelle prime comunicazioni, Amazon aveva chiesto ai clienti di trasferire i workload in altre regioni AWS e aveva avvertito che l'instabilità in Medio Oriente avrebbe potuto rendere imprevedibili le operazioni. Il messaggio di settembre dà a quell'avviso un peso diverso: spostare i sistemi non equivale necessariamente a ripristinare ciò che era rimasto nei siti danneggiati.
Il cloud viene spesso adottato anche per la promessa di continuità operativa. Ma la continuità non discende automaticamente dal fatto che un'applicazione sia ospitata da un grande provider: dipende da come sono stati configurati database, backup, repliche, piani di disaster recovery e dipendenze applicative. Una disponibilità distribuita tra zone della stessa regione protegge da molti incidenti tecnici; una strategia che coinvolge regioni differenti è invece necessaria per affrontare un'interruzione ampia o una compromissione fisica multipla.
Questo non significa che le imprese possano trattare regioni lontane come un'alternativa priva di costi. Replicare dati e servizi oltre confine implica latenza, spese aggiuntive, obblighi normativi sulla localizzazione dei dati e procedure operative più complesse. Per aziende, banche, piattaforme digitali e amministrazioni che hanno scelto Bahrain o UAE per servire il mercato locale, il compromesso tra prossimità, sovranità del dato e ridondanza internazionale torna ora al centro delle decisioni architetturali.
Il caso evidenzia anche un limite concreto delle formule di resilienza usate nel settore. La ridondanza viene di frequente valutata come un problema di disponibilità informatica, dalla caduta di un server al guasto di una rete. Qui il fattore determinante è fisico e geopolitico: infrastrutture strategiche esposte a un conflitto regionale, con danni che persistono per mesi. Per chi acquista servizi cloud, la valutazione del rischio non può quindi fermarsi agli SLA e alla distanza tra gli edifici di una stessa città.
Il Golfo e la corsa ai nuovi data center
La vicenda arriva mentre gli Stati del Golfo cercano di attrarre investimenti in capacità di calcolo, data center e infrastrutture destinate ai carichi dell'intelligenza artificiale. Gli Emirati Arabi Uniti sono fra i paesi più attivi su questo fronte. Nel maggio 2025 OpenAI, NVIDIA, Oracle e Cisco avevano aderito come partner principali di UAE Stargate, un campus per cui era stata prospettata una capacità di 5 gigawatt su un'area di circa dieci miglia quadrate.
Gli attacchi di marzo hanno però imposto una revisione delle assunzioni sulla sicurezza fisica di progetti di questa scala. Reuters ha riferito che gli UAE stanno valutando una distribuzione delle strutture in più parti del Paese e misure di protezione rafforzate, tra cui edifici sotterranei, cemento resistente alle esplosioni e sistemi di intercettazione per droni e missili. Non si tratta di dettagli marginali nella progettazione: incidono sui tempi, sui costi e sulla localizzazione stessa dei grandi campus di calcolo.
Per i fornitori cloud il Golfo resta un mercato con domanda crescente, ma ospitare capacità in regione comporta ora una maggiore esposizione al rischio che clienti e investitori dovranno prezzare. La prossimità alle imprese locali e le richieste di residenza dei dati sono argomenti forti per costruire infrastrutture nel territorio. Dall'altra parte, la concentrazione di sistemi essenziali in poche aree geografiche può trasformarsi in una vulnerabilità quando il contesto di sicurezza cambia rapidamente.
Le prossime mosse per AWS e per i clienti
AWS non ha annunciato l'abbandono di Bahrain o degli Emirati Arabi Uniti. La priorità dichiarata resta il supporto ai clienti, insieme al recupero delle due zone UAE su cui il lavoro è ancora in corso. Tuttavia, la tempistica indicata per il Bahrain mostra quanto sarà lunga la gestione dell'emergenza: non sono attesi nuovi dettagli prima dell'inizio del prossimo anno.
Per le organizzazioni coinvolte la fase successiva sarà verificare con precisione quali asset risultino irrecuperabili, quali copie indipendenti esistano e quanto tempo occorra per ricostruire applicazioni e basi dati altrove. Per gli altri clienti AWS, e più in generale per chi usa un hyperscaler nella regione, l'episodio è un richiamo alla verifica dei piani esistenti: conoscere la collocazione effettiva dei dati e testare il ripristino fuori dalla regione primaria è diverso dal limitarsi a prevederlo nei documenti.
Il danno alle strutture AWS non mette in discussione soltanto la capacità di una singola piattaforma di tornare online. Sposta l'attenzione sulle conseguenze di eventi militari per un'infrastruttura che sostiene servizi finanziari, aziende, enti pubblici e prodotti digitali. Nel Golfo, il futuro dei data center per l'AI dipenderà anche dalla capacità di conciliare la crescita della potenza di calcolo con requisiti di protezione e ridondanza più severi di quelli considerati sufficienti fino a pochi mesi fa.
