WhatsApp dice che oltre novanta giornalisti e attivisti sono stati spiati sulla sua app

Venerdì un portavoce di WhatsApp, il servizio di chat più popolare al mondo di proprietà di Meta, ha detto che negli ultimi mesi la società israeliana di spyware Paragon Solutions ha attaccato una novantina di persone che usano la sua applicazione, tra cui attivisti e giornalisti, con un software di nome Graphite.

Meta non ha condiviso l’identità precisa delle persone spiate, ma il direttore del sito italiano di news Fanpage, Francesco Cancellato, ha raccontato di aver ricevuto un messaggio ufficiale con scritto: «A dicembre WhatsApp ha interrotto le attività di una società di spyware che riteniamo abbia attaccato il tuo dispositivo. Le nostre indagini indicano che potresti aver ricevuto un file dannoso tramite WhatsApp e che lo spyware potrebbe aver comportato l’accesso ai tuoi dati, inclusi i messaggi salvati nel dispositivo». Al momento non si sa quali governi siano responsabili delle attività di spionaggio.

Con “spyware” si intende il genere di programma che viene installato sul computer, sullo smartphone o sul dispositivo di qualcuno allo scopo di ottenere informazioni su chi lo utilizza. L’efficacia di questi software dipende dallo specifico programma, ma ne esistono di molto potenti, capaci di raccogliere email, elenchi di contatti, registrazioni audio, immagini, video e password, ma anche di attivare telecamere e microfoni per registrare ciò che sta accadendo attorno al dispositivo, ascoltarne le chiamate e registrarne la posizione senza che il proprietario se ne accorga.

Le aziende che producono spyware – molte delle quali hanno sede in Israele, anche se l’Italia è piuttosto attiva nel settore – offrono normalmente i propri software ai governi promuovendoli come servizi importanti per contrastare il crimine e proteggere la sicurezza nazionale. Negli ultimi anni è capitato però che gli spyware venissero installati anche sui dispositivi di decine di giornalisti, attivisti, funzionari di altri governi e politici d’opposizione: già nel 2019, per esempio, WhatsApp aveva fatto causa all’azienda israeliana NSO Group per aver sfruttato una falla di sicurezza nel proprio codice per spiarne gli utenti.

Lo spyware di Paragon, Graphite, funziona in modo piuttosto simile a quello di NSO. È uno “zero-click” – il che vuol dire che le persone spiate hanno ricevuto un file dannoso che non richiedeva nessun tipo di interazione (neanche un click, o un tap sul cellulare) per essere installato sul dispositivo – e permette a chi gestisce lo spyware di avere accesso al dispositivo. In particolare, questi software permettono di leggere anche i messaggi scambiati su app come WhatsApp e Signal, considerate normalmente molto sicure in quanto protette da crittografia end-to-end, un sistema di cifratura che impedisce l’accesso a hacker e criminali, ma anche a governi, forze dell’ordine e alle stesse aziende che gestiscono l’app utilizzata.

Paragon negli anni ha cercato di posizionarsi come un operatore più virtuoso degli altri, vantandosi per esempio di lavorare solo con paesi democratici e con governi stabili, e di non vendere Graphite ai governi di paesi democratici che sono noti per aver abusato di spyware in passato, tra cui Grecia, Polonia, Messico e Ungheria. L’azienda, fondata dall’ex primo ministro israeliano Ehud Barak, è stata recentemente venduta a una società di private equity statunitense, AE Industrial Partners, per 900 milioni di dollari.

Il portavoce di Meta non ha detto in che modo è stato determinato che la responsabile degli attacchi fosse proprio Paragon, ma ha detto di aver inviato una lettera di diffida all’azienda e di aver collaborato con le forze dell’ordine e con il laboratorio di ricerca canadese Citizen Lab, specializzato nell’intersezione tra sorveglianza digitale e diritti umani. È probabile che Citizen Lab pubblicherà un rapporto in cui fornisce maggiori dettagli sugli obiettivi della campagna di spionaggio, come ha fatto in passato con altri casi.