WhatsApp vs NSO Group: la guerra dello spionaggio continua (e come proteggersi)

​Il mondo della sicurezza informatica è di nuovo in subbuglio. Meta ha recentemente bloccato una nuova e sofisticata offensiva guidata da NSO Group, la famigerata azienda israeliana nota per il software spia Pegasus. Questo nuovo capitolo della saga rappresenta una violazione diretta dell'ingiunzione permanente che un tribunale statunitense aveva inflitto a NSO nel 2025, vietando all'azienda di accedere o tentare di accedere alle piattaforme e ai server di Meta.

​Ma come si è svolto questo nuovo attacco e, soprattutto, cosa rischiamo noi utenti? Facciamo il punto della situazione e vediamo come blindare i nostri dispositivi.

​La dinamica dell'attacco: oltre la crittografia

​È bene fare subito una precisazione fondamentale: la crittografia end-to-end di WhatsApp non è stata violata. I messaggi e le chiamate restano protetti e inaccessibili durante il transito.

​Per aggirare questo ostacolo, gli attaccanti hanno virato su tecniche di social engineering (ingegneria sociale). L'obiettivo non era scardinare il codice dell'applicazione, ma ingannare l'anello più debole della catena: l'utente.

​I vettori d'attacco principali includevano:

​Link malevoli: inviati tramite messaggi per reindirizzare le vittime verso server controllati dagli aggressori.

​Account e gruppi esca: profili fake creati ad hoc su WhatsApp per agganciare i target e avviare le sessioni di test dello spyware.

​

Meta ha rintracciato e rimosso tempestivamente questi account, bloccando inoltre l'infrastruttura di rete utilizzata per la campagna.

​

Gli Indicatori di Compromissione (IoC) da monitorare

​Se temete di essere stati presi di mira, o semplicemente volete controllare i vostri registri di navigazione e messaggistica, Meta ha reso noti alcuni domini specifici utilizzati da NSO in questa campagna. Se vi siete imbattuti in link che richiamano queste stringhe (spesso camuffate da siti di news o podcast), potreste essere stati un bersaglio:

​ikhwancast.com

​ghazacast.com

​fr24cast.com

​Questi domini venivano sfruttati per veicolare il payload malevole via SMS, email o chat.

​Come difendersi: la checklist per la sicurezza

​Il caso NSO Group dimostra che le minacce state-sponsored (ovvero gli attacchi guidati da governi o agenzie con enormi risorse economiche) sono una realtà persistente. Anche se l'utente comune raramente è il target diretto di Pegasus, le tecniche utilizzate tendono poi a diffondersi nel cybercrimine generico.

​Ecco le contromisure essenziali da adottare subito:

​Aggiornamenti maniacali: Mantenete il sistema operativo (Android/iOS) e l'applicazione di WhatsApp sempre aggiornati all'ultima versione disponibile. Le patch di sicurezza chiudono le vulnerabilità usate dagli exploit prima che lo spyware possa sfruttarle.

​Attenzione ai link: Non cliccate mai su link provenienti da numeri sconosciuti o che sembrano sospetti, anche se inviati all'interno di gruppi.

​Attivate le protezioni di sistema avanzate:

​Su iOS: Se ritenete di poter essere un bersaglio sensibile, attivate la Modalità di isolamento (Lockdown Mode). Riduce drasticamente le funzioni del telefono esposte ad attacchi esterni.

​Su Android: Sfruttate le opzioni di protezione avanzata del browser e i sistemi di sicurezza nativi del vostro produttore (es. Samsung Knox, Google Play Protect).

​Segnalate sempre: Se ricevete messaggi di spam o tentativi di phishing su WhatsApp, utilizzate la funzione nativa "Segnala e Blocca" per aiutare la piattaforma a tracciare i server malevoli.

​La sicurezza totale non esiste, ma alzare il livello delle nostre difese digitali è il primo passo per rendere la vita difficile a chi vuole spiarci.

​La "Pistola Fumante" è digitale? Le tecniche di Deceptive Attribution

Se analizziamo il caso Xu con occhio critico, non possiamo escludere l'utilizzo di tecniche sofisticate di False Flag. In un'operazione di spionaggio di alto livello, l'obiettivo non è solo rubare dati, ma anche assicurarsi che, in caso di scoperta, la colpa ricada su qualcun altro.

​1. Inserimento di "Stringhe Esca"

​Un attaccante può inserire all'interno del codice del malware dei commenti, percorsi di file (PDB paths) o metadati scritti appositamente in una lingua specifica (ad esempio il cinese semplificato) o contenenti riferimenti a fusi orari specifici. Per un analista forense superficiale, queste sono "prove", ma per un esperto sono potenziali esche.

​2. L'uso di Tool "Off-the-Shelf"

​L'accusa menziona spesso l'uso di malware custom attribuiti a gruppi specifici. Tuttavia, la realtà tecnica è diversa: molti gruppi APT utilizzano strumenti di amministrazione remota (RAT) o framework di post-exploitation (come Cobalt Strike o Silver) che sono ampiamente disponibili.

​Se un attacco viene eseguito usando strumenti comuni, l'attribuzione basata sul software diventa pura speculazione.

​3. Proxy a cascata e "Honeypot" d'identità

​È tecnicamente possibile che la connessione utilizzata per l'attacco sia transitata attraverso un server o un dispositivo appartenente proprio a Zewei Xu, a sua insaputa. Se il suo computer fosse stato precedentemente compromesso e usato come "Hop Point" (punto di passaggio), i log delle aziende vittime punterebbero dritti al suo IP, pur essendo lui del tutto estraneo all'azione criminale.

​

Verso un processo basato su speculazioni?

​Il rischio tecnico che sottolineiamo su Computermente è il seguente: nel diritto informatico americano, il concetto di "oltre ogni ragionevole dubbio" si scontra con la natura volatile del dato digitale. Senza una prova fisica (come il ritrovamento delle chiavi crittografiche private usate nell'attacco sui dispositivi personali di Xu), l'intero castello accusatorio poggia su correlazioni statistiche che la tecnologia può facilmente fabbricare.

​Se Xu fosse davvero la "mente" descritta, avrebbe davvero lasciato tracce così evidenti da farsi rintracciare in un hotel di Milano? 

O stiamo assistendo alla consegna di un uomo basata su log che chiunque, con le giuste competenze, avrebbe potuto manipolare?

La "Falla" Logica: Un Hacker di Stato non viaggia così

​

C'è un elemento che nessun log o pacchetto dati può smentire: la OPSEC (Operations Security). 

Se Zewei Xu fosse realmente un asset strategico dell'intelligence cinese, parte di un'unità d'élite come APT41:

​Protezione Diplomatica: Non verrebbe mai inviato in un paese NATO (come l'Italia) per scopi turistici o d'affari senza le dovute coperture, sapendo di avere un mandato dell'FBI pendente.

​Dati Sensibili: Non avrebbe mai portato con sé hardware contenente tracce dei furti di dati.

​

Il Profilo: Gli hacker di Stato sono solitamente confinati entro i confini nazionali o protetti da passaporti di servizio.

​Il fatto che Xu si trovasse a Milano come un comune cittadino suggerisce che possa essere un capro espiatorio, un tecnico freelance o semplicemente qualcuno i cui dati identificativi sono stati "presi in prestito" da attori ben più oscuri per firmare un attacco informatico.

​🛡️ Cyber-spionaggio in Italia: hacker cinesi nel database della DIGOS? Cosa sta succedendo

​Non è la trama di una serie TV su Netflix, ma la cruda realtà della cybersecurity nazionale. Recentemente, un’indagine ha sollevato il velo su un’operazione di spionaggio informatico senza precedenti: pare che gruppi hacker legati a Pechino siano riusciti a mettere le mani su dati sensibilissimi appartenenti ad agenti della DIGOS e di altre forze di polizia italiane.

​Il bersaglio: Non solo nomi, ma identità operative

​L'attacco non ha colpito un semplice sito vetrina. I cybercriminali avrebbero puntato a database critici, sottraendo informazioni che includono:

​Dati anagrafici e contatti di agenti impegnati in operazioni delicate.

​Informazioni logistiche e strutturali.

​Dettagli su indagini in corso e profili monitorati.

​Chi c'è dietro? L'ombra degli APT cinesi

​Secondo gli esperti, l'attacco porta la firma di gruppi APT (Advanced Persistent Threat). Questi non sono "ragazzini in cameretta", ma vere e proprie unità militari o governative che operano con una pazienza infinita.

​Il modus operandi: Non usano un "ariete" per sfondare la porta, ma entrano silenziosamente sfruttando vulnerabilità zero-day o campagne di phishing miratissime (spear-phishing), restando silenti nel sistema per mesi prima di esfiltrare i dati.

​Perché proprio l'Italia?

​L'Italia non è un bersaglio casuale. Come membro della NATO e dell'UE, i nostri database contengono informazioni preziose sugli equilibri geopolitici europei e sulle strategie di sicurezza interna. Rubare i dati della DIGOS significa, di fatto, mappare chi controlla chi nel nostro Paese.

​Cosa ci insegna questo attacco (Lato Computermente)

​Questo episodio accende un faro enorme su tre criticità della nostra infrastruttura:

​L'obsolescenza dei sistemi: Molti database statali poggiano ancora su infrastrutture datate, facili prede per exploit moderni.

​L'importanza della crittografia: I dati devono essere illeggibili anche se vengono rubati. Se gli hacker li leggono "in chiaro", la battaglia è persa in partenza.

​Il fattore umano: Spesso il punto d'ingresso è un'email aperta per sbaglio da un dipendente. La formazione sulla sicurezza non è più un optional, è difesa nazionale.

​Conclusione: La guerra oggi non si combatte solo sul campo, ma tra i bit dei server. Se persino la DIGOS finisce nel mirino, è chiaro che nessuno di noi può dormire sonni tranquilli senza una solida strategia di difesa digitale.

​Voi cosa ne pensate? La nostra PA è pronta a reggere l'urto di una cyber-guerra mondiale o siamo ancora all'età della pietra digitale? Parliamone nei commenti!

​Ti piace questo taglio per il blog?

​Se vuoi, posso aggiungere una sezione tecnica su quali vulnerabilità specifiche vengono solitamente usate in questi attacchi, o magari creare una grafica testuale per i social per lanciare l'articolo. Fammi sapere!

Una storia di cyber spionaggio contro la Commissione europea

Cyber spionaggio contro vertici delle istituzioni europee. Almeno cinque alti funzionari della Commissione europea sono stati sorvegliati attraverso lo spyware ForcedEntry, prodotto dall’azienda israeliana Nso, la stessa al centro dello scandalo legato al malware Pegasus. L’attacco è stato rivelato da Apple, che a novembre ha denunciato la compagnia di sicurezza per aver violato i suoi software, attraverso una serie di messaggi inviati direttamente ai proprietari di iPhone infettati dal sistema. Tra loro anche il commissario europeo alla giustizia, Didier Reynders.

Leggi l'articolo completo