C’è un’azienda israeliana che il governo degli Stati Uniti ha inserito in una lista nera per minacce alla sicurezza nazionale. Si chiama NSO Group, è produttrice del famigerato spyware Pegasus ed è al centro di uno scontro legale con WhatsApp che negli ultimi anni ha assunto i contorni anche di una battaglia simbolica per i diritti digitali di miliardi di persone.
Una battaglia che, evidentemente, NSO non ha ancora intenzione di considerare conclusa.
Segui TuttoAndroid su Google Discover
La sentenza storica e la sua violazione
Cerchiamo di fare un po’ di ordine. L’anno scorso WhatsApp aveva ottenuto una vittoria giudiziaria senza precedenti: un tribunale americano aveva infatti emesso un’ingiunzione permanente contro NSO Group, vietandole esplicitamente di prendere di mira la piattaforma e i suoi utenti. La corte aveva accertato violazioni di diverse leggi federali e statali in materia di accesso informatico illecito.
Eppure, NSO non si è fermata. WhatsApp ha rilevato e neutralizzato nuovi tentativi di intrusione riconducibili all’azienda israeliana, avvenuti dopo l’emissione dell’ingiunzione. Il metodo utilizzato ricalca schemi già documentati in passato, con link malevoli inviati agli utenti per indurli a visitare siti esterni, una tecnica tipica delle campagne di phishing con un solo clic associate proprio a NSO. Sono stati individuati anche account e gruppi di test creati dall’azienda sulla piattaforma, tutti rimossi. WhatsApp ha quindi chiesto al tribunale di dichiarare NSO in contempt of court, ovvero in aperto dispregio dell’autorità giudiziaria.
Chi viene preso di mira
Tra i bersagli documentati dello spyware di NSO figurano giornalisti, funzionari governativi, personale militare e operatori di organizzazioni umanitarie. Quando un’azienda inserita nella lista nera del governo americano sfida apertamente un ordine del tribunale, le conseguenze non si misurano solo in termini di violazioni della privacy individuale, perché si parla di una minaccia concreta alla sicurezza nazionale.
A ribadirlo con forza è stata la stessa WhatsApp, ricordando che questa posizione è ferma almeno dal 2019, anno in cui fu scoperto il primo attacco su larga scala. In quella occasione, il CEO di NSO aveva lui stesso ammesso in aula che l’azienda è costantemente alla ricerca di nuovi vettori di accesso ai dispositivi, dai browser ai sistemi operativi, passando per qualsiasi altra applicazione utile allo scopo.
La risposta pubblica e gli indicatori condivisi
Una delle novità più significative di questa vicenda è la scelta di WhatsApp di rendere pubblici gli indicatori di minaccia legati ai tentativi di intrusione scoperti. Chiunque può utilizzarli per verificare se è stato preso di mira, indipendentemente dal canale colpito, non solo su WhatsApp, ma anche con messaggi di testo, email o altre applicazioni.
Una battaglia che richiede alleanze
Si consideri inoltre che WhatsApp non ha mai affrontato questo problema da sola. Quando nel 2019 fu scoperto il primo attacco di NSO, fu il Citizen Lab, un laboratorio di ricerca dell’Università di Toronto specializzato in sorveglianza digitale, ad aiutare a identificare e notificare le vittime. Durante il processo, diverse organizzazioni hanno sostenuto la causa. E il mese scorso, ben dodici importanti associazioni per i diritti civili hanno formalmente chiesto alla corte di mantenere l’ingiunzione permanente e di respingere il ricorso di NSO.
A testimonianza di un impegno che va oltre l’aula, Will Cathcart, CEO di WhatsApp, ha annunciato la prima donazione dell’azienda alla Spyware Accountability Initiative (SAI), organizzazione che finanzia ricerca forense e attività di advocacy contro lo spyware. Il settore ha già prodotto risultati concreti, visto che una scoperta di una vulnerabilità zero-day da parte del Citizen Lab ha portato Apple a distribuire un aggiornamento di sicurezza su oltre un miliardo di dispositivi. In Grecia, un tribunale ha emesso quest’anno la prima condanna penale mai comminata ai dirigenti di un’azienda produttrice di spyware. Cathcart ha sottolineato che questo tipo di lavoro è difficile, spesso espone a rischi significativi e riceve sistematicamente meno finanziamenti rispetto alle stesse aziende che combatte.