Pegasus & co.: quando il tuo telefono diventa una cimice
“Ma io ho un iPhone.” Questa rassicurazione non regge al confronto con la realtà. Lo spyware mercenario commerciale, prima di tutto Pegasus di NSO Group, ma anche Predator/Intellexa e altri, trasforma gli smartphone in cimici complete: microfono, fotocamera, messaggi, posizione, tutto.
Zero-click: nessun tocco necessario
L’aspetto più subdolo: molte infezioni non richiedono alcuna interazione. Un cosiddetto exploit zero-click arriva, per esempio, tramite un messaggio manipolato (iMessage, WhatsApp) che non devi nemmeno aprire. Lo hanno documentato, tra gli altri, Citizen Lab e Amnesty International: tra i bersagli ci sono stati ripetutamente giornalisti, attivisti, avvocati e dissidenti.
Entrambe le piattaforme colpite
Né iOS né Android sono immuni. Apple è considerata robusta, eppure ci sono state infezioni da Pegasus su iPhone. Su Android molto dipende da quanta superficie d’attacco offrono il sistema e le app installate. Nessun sistema operativo è “sicuro”: contano la superficie d’attacco e la profondità della difesa.
Ridurre la superficie d’attacco
- Meno è meglio: il minor numero possibile di app, nessun messenger superfluo. Ogni app è un potenziale punto d’ingresso.
- Sistema rafforzato: su Android, GrapheneOS riduce sensibilmente la superficie d’attacco (è la base dei nostri telefoni ZERO). Sugli iPhone aiuta la modalità di isolamento (Lockdown Mode).
- Aggiorna subito: le patch chiudono exploit noti; ogni ritardo è un rischio.
- Compartimenta e riavvia: profili separati; riavvii regolari eliminano alcuni impianti (non persistenti).
- Livello hardware: per i profili ad alto rischio, la rimozione fisica di microfoni/fotocamere è l’opzione senza compromessi: ciò che è compromesso a livello software non può ascoltare attraverso un hardware che non esiste.
Il rilevamento è difficile
Lo spyware mercenario è costruito per essere invisibile. Il Mobile Verification Toolkit (MVT) di Amnesty può trovare tracce forensi, ma non è uno strumento da usare alla leggera. Il messaggio onesto: non affidarti al rilevamento, affidati a una superficie d’attacco ridotta.
Perché questo ci sta a cuore
È proprio questo modello di minaccia il motivo per cui hardware rafforzato e verificabile e minimizzazione dei dati non sono un lusso. Non tutti sono bersagli di Pegasus, ma i principi che proteggono da esso migliorano qualsiasi dispositivo.