Nell’arco di poche settimane, tra Iraq, Siria e Giordania si è consumato un ciclo serrato di attentati, trame sventate, arresti e raid antiterrorismo che ha riportato al centro dell’agenda regionale una domanda che sembrava archiviata: qual è lo stato delle cellule dormienti dello Stato Islamico dopo la fine della missione internazionale? La sequenza è iniziata il 30 settembre, con la conclusione del ritiro delle forze statunitensi impegnate nella Combined Joint Task Force – Operation Inherent Resolve (CJTF-OIR) e la rimozione della missione di consulenza concepita proprio per prevenire una rinascita dell’ISIS in Iraq e in Siria. Cinque giorni dopo, il gruppo ha colpito di nuovo.
A Hawija, nel sud-ovest della provincia di Kirkuk, due giorni consecutivi di attacchi il 5 e 6 ottobre, seguiti da un terzo assalto il 10 e dall’uccisione di un generale iracheno il 14. In Siria, una campagna di raid che ha portato all’arresto del comandante dell’ISIS per Homs, alla disarticolazione di una cellula a Rankous e a sequestri di armi a Deir ez-Zor. In Giordania, nove morti e oltre quaranta feriti in una processione funebre a Karak, con una rete individuata nel sud della Siria e una contro-campagna aerea a Daraa che ha ucciso venti militanti e sette civili, aprendo una crisi diplomatica tra Amman e Damasco.
Iraq: Kirkuk, la prova del fuoco del dopo-ritiro
Il primo segnale è arrivato da Hawija, distretto rurale a sud-ovest di Kirkuk, dove i miliziani hanno disabilitato le telecamere a imaging termico prima di attaccare. Il 5 ottobre l’obiettivo è stato il 9° Reggimento della Polizia Federale irachena; il giorno successivo, il 6, la 61ª Brigata delle Forze di Mobilitazione Popolare (PMF). Un ufficiale iracheno, Bakr Majid Mohammed, è stato ucciso mentre difendeva il suo posto di guardia. È il primo attacco dell’ISIS contro autorità governative da quando gli Stati Uniti hanno chiuso la propria missione in Iraq, il 30 settembre.
La sequenza non si è fermata. Il 10 ottobre, appena cinque giorni dopo, i miliziani hanno colpito una seconda volta la struttura della polizia federale, neutralizzando le telecamere di sorveglianza e ritirandosi dopo gli scontri. Il 14 ottobre, il comandante del Comando Comunicazioni dell’11ª Divisione di Fanteria, generale di brigata Ahat Yasser Khudair Hussein, e il maresciallo Mutaz Shahid Abbas sono stati uccisi dall’esplosione di un ordigno all’interno di un nascondiglio dell’ISIS in una valle rurale del Kirkuk.
La reazione delle autorità è stata immediata e visibile: sorveglianza rafforzata su fattorie e villaggi rurali, coprifuoco notturno in diverse località della provincia, raid aerei il 13 ottobre su presunti nascondigli a Wadi Zghaitoun con due miliziani uccisi. Non è bastato. Il 29 ottobre l’ISIS ha rapito un civile nel villaggio di Al-Sayha, innescando una vasta ricerca da parte delle forze di sicurezza.
Il quadro politico è quello che pesa di più. Il presidente della Commissione Sicurezza e Difesa del Consiglio Provinciale di Kirkuk, Ahmed Ramzi Koprulu, ha chiesto misure più incisive e cooperazione inter-agenzia per impedire alle cellule di riorganizzarsi. Il primo ministro Ali al-Zaidi ha rincarato la dose, sollecitando le agenzie di sicurezza federali e curde — notoriamente frammentate e in competizione tra loro — ad alzare il livello di prontezza, aggiornare le procedure operative e migliorare il coordinamento. È l’ammissione più esplicita che il problema non è soltanto la capacità dell’ISIS, ma la tenuta del dispositivo di sicurezza iracheno.
Siria: mappare le reti, non solo colpire le cellule
In Siria, dopo l’ondata di attentati dell’estate, le forze di sicurezza governative hanno avviato una serie continua di raid e arresti contro presunte cellule dormienti, ricostruendo le mappe delle reti responsabili degli attacchi del 2025 e del 2026. Molte operazioni hanno sventato trame in corso contro obiettivi civili e di sicurezza.
I casi documentati raccontano una progressione metodica. Fuori Damasco, il 6 ottobre, è stato arrestato il comandante dell’ISIS per Homs nonché operatore chiave di diversi attentati locali, tra cui quello alla moschea di Wadi al-Dhahab del dicembre 2025: Khaled Raed Birouni, alias Abu Hassan Dushka. Il 22 ottobre le autorità hanno condotto un maxi-blitz contro una cellula a Rankous, appena a ovest della capitale, arrestando sei membri. Durante il raid due ufficiali siriani sono stati uccisi e cinque feriti in uno scontro a fuoco durato tre ore con miliziani che si sono rifiutati di arrendersi; due combattenti della rete di nove uomini sono stati uccisi, altri due sarebbero fuggiti, e le forze di sicurezza hanno imposto il coprifuoco nella zona. Il 3 novembre, infine, due membri dell’ISIS sono stati arrestati a Deir ez-Zor con un arsenale di armi e munizioni; la rete sarebbe collegata all’assassinio, nel 2025, del funzionario del Ministero della Difesa Ibrahim al-Jasim nei pressi della moschea al-Rasheed ad al-Mayadin.
Il dato analiticamente rilevante è il cambio di logica: dal contenimento reattivo alla ricostruzione delle catene di comando e logistica. I livelli di attacco all’interno della Siria si sono ridotti rispetto all’estate, ma la riduzione delle azioni non equivale alla riduzione della minaccia — e l’episodio giordano lo dimostra.
Giordania: nove morti e la crepa tra Amman e Damasco
Il salto di qualità geografico è avvenuto il 23 ottobre nel villaggio di Hmood, governatorato di Karak, in profondità nel territorio giordano: tre uomini armati dell’ISIS hanno ucciso nove persone e ferito fino a quaranta durante una processione funebre presso la chiesa ortodossa greca di San Giorgio. Le forze di sicurezza giordane hanno catturato i tre dopo uno scontro a fuoco il 26 ottobre.
I tre attentatori erano cittadini giordani, ma il governo di Amman ha annunciato che appartenevano a una rete dell’ISIS che i servizi di intelligence sospettano operasse dal vicino sud della Siria. Da qui una campagna di strike intensa contro presunte cellule dell’ISIS nel governatorato siriano di Daraa: le Forze Armate giordane hanno dichiarato di aver neutralizzato venti miliziani. Il costo collaterale — sette civili uccisi — ha però innescato tensioni diplomatiche con Damasco e l’apertura di una commissione d’inchiesta congiunta. È la fotografia di una coordinazione che non c’è: due capitali che condividono una minaccia transfrontaliera e che, di fronte ad essa, agiscono in modo scoordinato e finiscono per danneggiarsi a vicenda.
Un attentato con matrice ISIS nel cuore di uno Stato considerato stabile, condotto contro una comunità cristiana in un momento di lutto collettivo, contiene un messaggio che non è soltanto operativo ma identitario: colpire la coesione sociale di un perno dell’architettura di sicurezza regionale, che confina con Iraq e Siria e ospita una presenza militare americana.
Prospettive
La minaccia resta contenuta, ma il contenimento non è più garantito. La possibilità di una rinascita dell’ISIS su scala paragonabile al 2014 rimane bassa: il gruppo è frammentato e costretto a operazioni più piccole, più rurali, meno sofisticate. Il punto è che la soglia del “basso” non è una soglia di sicurezza. A Kirkuk gli attacchi hanno già dimostrato di poter uccidere ufficiali, imporre coprifuochi e costringere le autorità a un riassetto operativo.
Il ritiro americano ha trasferito il rischio, non lo ha rimosso. La chiusura di CJTF-OIR e della missione di consulenza ha sottratto alle forze locali un moltiplicatore di intelligence, sorveglianza e coordinamento che non è sostituibile a breve. Le parole di al-Zaidi sul coordinamento tra agenzie federali e curde dicono esattamente questo: la campagna di mappatura delle reti siriane e delle cellule di Hawija richiede condivisione di informazioni, e senza di essa resta un esercizio reattivo. Il caso giordano è la prova più dura: l’individuazione della rete nel sud della Siria è arrivata dopo l’attentato, non prima.
L’ISIS legge la congiuntura e diversifica. Le reti dello Stato Islamico stanno deliberatamente sfruttando l’escalation regionale e la distrazione generata dalla guerra tra Stati Uniti e Iran, colpendo forze di sicurezza e asset difensivi già logorati dai recenti strike e dalle tensioni. C’è poi un’evoluzione tattica da non sottovalutare: il passaggio da una pianificazione di lungo periodo a operazioni ad hoc contro uno spettro molto ampio di obiettivi — civili e attivisti, siti religiosi, infrastrutture e reti di trasporto, reti di milizie, forze di sicurezza statali, magistrati, funzionari pubblici e polizia locale, edifici amministrativi. Un gruppo frammentato ma capace di scegliere i bersagli con questa ampiezza non è un gruppo in fase terminale: è un gruppo che si è adattato a un ambiente in cui non può più tenere territorio e quindi monetizza l’instabilità.
Tre segnali da monitorare. Primo, se Hawija diventa una campagna e non una sequenza di episodi. Secondo, se la Giordania emerge come nuovo fronte privilegiato e se la crepa con Damasco si salda o si allarga, con implicazioni dirette per la stabilità di un alleato-chiave di Washington. Terzo, se a Baghdad il dibattito sul disarmo delle milizie si blocca come conseguenza indiretta dell’insicurezza: in quel caso l’ISIS avrebbe ottenuto, con poche azioni, un risultato strategico superiore a quello delle armi.
La finestra è adesso. Le settimane immediatamente successive a un ritiro sono quelle in cui un’organizzazione armata verifica i limiti del nuovo equilibrio e i partner locali scoprono i propri. Mentre cellule sparse si risvegliano in Iraq, Siria, Giordania e altrove nella regione, le agenzie di sicurezza si troveranno ad affrontare da sole il ricalibramento tattico dell’ISIS. Senza un ricomporsi rapido del coordinamento regionale su intelligence e controterrorismo, ciò che oggi appare sporadico tenderà a diventare strutturale.
(English version)
Within a few weeks, a tightly packed cycle of attacks, foiled plots, arrests and counterterrorism raids has unfolded across Iraq, Syria and Jordan, pushing back to the centre of the regional agenda a question that seemed settled: what is the state of the Islamic State’s dormant cells after the end of the international mission? The sequence began on 30 September, with the completion of the withdrawal of US forces engaged in the Combined Joint Task Force – Operation Inherent Resolve (CJTF-OIR) and the removal of the advisory mission conceived precisely to prevent an ISIS resurgence in Iraq and Syria. Five days later, the group struck again.
In Hawija, in the south-west of Kirkuk province, two consecutive days of attacks on 5 and 6 October, followed by a third assault on the 10th and the killing of an Iraqi general on the 14th. In Syria, a campaign of raids that led to the arrest of the ISIS commander for Homs, the dismantling of a cell in Rankous and weapons seizures in Deir ez-Zor. In Jordan, nine dead and more than forty wounded at a funeral procession in Karak, with a network identified in southern Syria and an aerial counter-campaign in Daraa that killed twenty militants and seven civilians, opening a diplomatic crisis between Amman and Damascus.
Iraq: Kirkuk, the trial by fire of the post-withdrawal period
The first signal came from Hawija, a rural district south-west of Kirkuk, where the militants disabled thermal imaging cameras before attacking. On 5 October the target was the 9th Regiment of the Iraqi Federal Police; the following day, the 6th, the 61st Brigade of the Popular Mobilisation Forces (PMF). An Iraqi officer, Bakr Majid Mohammed, was killed while defending his guard post. It is the first ISIS attack against government authorities since the United States closed its mission in Iraq on 30 September.
The sequence did not stop there. On 10 October, just five days later, the militants struck the Federal Police facility a second time, neutralising the surveillance cameras and withdrawing after the clashes. On 14 October, the commander of the Communications Command of the 11th Infantry Division, Brigadier General Ahat Yasser Khudair Hussein, and Warrant Officer Mutaz Shahid Abbas were killed by the explosion of a device inside an ISIS hideout in a rural valley in Kirkuk.
The authorities’ reaction was immediate and visible: reinforced surveillance of farms and rural villages, a night-time curfew in various locations in the province, airstrikes on 13 October on suspected hideouts in Wadi Zghaitoun with two militants killed. It was not enough. On 29 October ISIS abducted a civilian in the village of Al-Sayha, triggering a large-scale search by the security forces.
The political picture is what weighs most heavily. The chairman of the Security and Defence Committee of the Kirkuk Provincial Council, Ahmed Ramzi Koprulu, called for more incisive measures and inter-agency cooperation to prevent the cells from reorganising. Prime Minister Ali al-Zaidi piled on, urging the federal and Kurdish security agencies — notoriously fragmented and competing with one another — to raise their level of readiness, update operating procedures and improve coordination. It is the most explicit admission that the problem is not only ISIS’s capability, but the resilience of the Iraqi security apparatus.
Syria: mapping networks, not just hitting cells
In Syria, after the summer wave of attacks, government security forces launched a continuous series of raids and arrests against suspected dormant cells, reconstructing the maps of the networks responsible for the 2025 and 2026 attacks. Many operations foiled ongoing plots against civilian and security targets.
The documented cases tell a methodical progression. Outside Damascus, on 6 October, the ISIS commander for Homs was arrested, also a key operator in several local attacks, including the one on the Wadi al-Dhahab mosque in December 2025: Khaled Raed Birouni, alias Abu Hassan Dushka. On 22 October the authorities carried out a large-scale raid against a cell in Rankous, just west of the capital, arresting six members. During the raid two Syrian officers were killed and five wounded in a three-hour firefight with militants who refused to surrender; two fighters from the nine-man network were killed, two others reportedly fled, and the security forces imposed a curfew in the area. On 3 November, finally, two ISIS members were arrested in Deir ez-Zor with an arsenal of weapons and ammunition; the network is reportedly linked to the 2025 assassination of Ministry of Defence official Ibrahim al-Jasim near the al-Rasheed mosque in al-Mayadin.
The analytically relevant point is the change of logic: from reactive containment to the reconstruction of command and logistics chains. Attack levels inside Syria have fallen compared with the summer, but fewer actions do not equal a reduced threat — and the Jordanian episode proves it.
Jordan: nine dead and the rift between Amman and Damascus
The geographical leap in quality came on 23 October in the village of Hmood, Karak governorate, deep inside Jordanian territory: three ISIS gunmen killed nine people and wounded up to forty during a funeral procession at the Greek Orthodox church of Saint George. Jordanian security forces captured the three after a firefight on 26 October.
The three attackers were Jordanian citizens, but the Amman government announced that they belonged to an ISIS network that intelligence services suspect operated from neighbouring southern Syria. Hence an intense campaign of strikes against suspected ISIS cells in the Syrian governorate of Daraa: the Jordanian Armed Forces stated they had neutralised twenty militants. The collateral cost — seven civilians killed — however triggered diplomatic tensions with Damascus and the opening of a joint investigation commission. It is the picture of a coordination that does not exist: two capitals that share a cross-border threat and that, faced with it, act in an uncoordinated way and end up harming each other.
An attack with an ISIS matrix in the heart of a state considered stable, carried out against a Christian community at a moment of collective mourning, contains a message that is not only operational but identitarian: striking the social cohesion of a linchpin of the regional security architecture, which borders Iraq and Syria and hosts an American military presence.
Outlook
The threat remains contained, but containment is no longer guaranteed. The possibility of an ISIS resurgence on a scale comparable to 2014 remains low: the group is fragmented and forced into smaller, more rural, less sophisticated operations. The point is that the threshold of “low” is not a safety threshold. In Kirkuk the attacks have already shown they can kill officers, impose curfews and force the authorities into an operational reshuffle.
The American withdrawal transferred the risk; it did not remove it. The closure of CJTF-OIR and of the advisory mission stripped the local forces of an intelligence, surveillance and coordination multiplier that cannot be replaced in the short term. Al-Zaidi’s words on coordination between federal and Kurdish agencies say exactly this: the campaign to map Syrian networks and Hawija cells requires information sharing, and without it it remains a reactive exercise. The Jordanian case is the hardest proof: the identification of the network in southern Syria came after the attack, not before.
ISIS reads the conjuncture and diversifies. Islamic State networks are deliberately exploiting the regional escalation and the distraction generated by the war between the United States and Iran, striking security forces and defensive assets already worn down by the recent strikes and tensions. There is also a tactical evolution not to be underestimated: the shift from long-term planning to ad hoc operations against a very broad spectrum of targets — civilians and activists, religious sites, infrastructure and transport networks, militia networks, state security forces, magistrates, public officials and local police, administrative buildings. A fragmented group but capable of choosing its targets with this breadth is not a group in its terminal phase: it is a group that has adapted to an environment in which it can no longer hold territory and therefore monetises instability.
Three signals to monitor. First, whether Hawija becomes a campaign rather than a sequence of episodes. Second, whether Jordan emerges as a new privileged front and whether the rift with Damascus heals or widens, with direct implications for the stability of a key ally of Washington. Third, whether in Baghdad the debate on disarming the militias stalls as an indirect consequence of the insecurity: in that case ISIS would have obtained, with few actions, a strategic result greater than that of weapons.
The window is now. The weeks immediately following a withdrawal are those in which an armed organisation tests the limits of the new equilibrium and local partners discover their own. As scattered cells awaken in Iraq, Syria, Jordan and elsewhere in the region, security agencies will find themselves facing ISIS’s tactical recalibration alone. Without a rapid recomposition of regional coordination on intelligence and counterterrorism, what today appears sporadic will tend to become structural.
Primary source: The Soufan Center ISIS Activity After the U.S. Withdrawal from Iraq and Syria
The Global Eye/SIOI
Marco Emanuele
