Meta ha rivelato un attacco informatico di proporzioni preoccupanti, che ha coinvolto circa 90 utenti di WhatsApp, tra cui giornalisti e membri della società civile. L’attacco è stato attribuito a Paragon Solutions, una compagnia israeliana nota per lo sviluppo di software spia, tra cui Graphite, simile al famoso Pegasus di NSO Group.
Un attacco sofisticato che non richiede click
Quello che rende l’incidente particolarmente allarmante è la tipologia di attacco utilizzato: si tratta di un attacco zero-click, una minaccia che può compromettere un dispositivo senza che la vittima debba interagire con il messaggio ricevuto. In pratica, l’attacco avviene semplicemente tramite la ricezione di un file PDF infetto, inviato direttamente in chat di gruppo su WhatsApp. Questo tipo di attacco è estremamente insidioso, poiché non è necessario che l’utente clicchi su alcun link o apra un allegato, come avviene di solito in altre tipologie di phishing.
Geografia e bersagli: chi sono le vittime
L’attacco ha colpito utenti in oltre venti paesi, tra cui diverse nazioni europee, Italia compresa, rivelando l’estensione globale del pericolo. Tra i bersagli figurano giornalisti d’inchiesta e attivisti della società civile, figure fondamentali nella lotta per la trasparenza e la giustizia. Tra questi, il giornalista italiano Francesco Cancellato, noto per il suo lavoro contro il movimento giovanile di Fratelli d’Italia, ha ricevuto una notifica da WhatsApp che lo avvertiva del possibile accesso ai suoi dati, inclusi i messaggi conservati nel suo dispositivo.
Il ruolo di Paragon Solutions e la risposta di WhatsApp
Paragon Solutions è una compagnia fondata nel 2019 dall’ex primo ministro israeliano Ehud Barak. Specializzata nella creazione di software spia, l’azienda sviluppa Graphite, uno strumento con capacità simili a quelle di Pegasus, capace di accedere a messaggi cifrati anche su piattaforme come WhatsApp e Signal.
Con 35 clienti governativi, Paragon Solutions è ormai un attore consolidato nel settore della sorveglianza digitale, vendendo il suo software a governi di tutto il mondo. Un contratto di 2 milioni di dollari con l’Immigration and Customs Enforcement (ICE) degli Stati Uniti è stato siglato a ottobre scorso, ma sospeso dopo che l’amministrazione Biden ha avviato un’indagine per verificare la conformità del contratto alle normative federali.
WhatsApp, da parte sua, ha agito prontamente per bloccare la vulnerabilità. Un aggiornamento ha impedito l’invio di file tramite il meccanismo di attacco, ma l’episodio ha comunque scatenato una serie di azioni legali da parte della compagnia.
Le implicazioni legali e future
La vicenda non è isolata: Meta aveva già intrapreso una battaglia legale contro NSO Group nel 2019, a seguito di un attacco che aveva compromesso 1400 smartphone di giornalisti e attivisti. Nel 2023, la giustizia americana aveva dato ragione a WhatsApp, stabilendo che l’uso di software spia da parte di governi e aziende private rappresentava una violazione dei diritti digitali.
