In breve

• Il gruppo di hacker Callisto, collegato alla Russia, ha tentato di colpire con phishing Reporter Senza Frontiere (RSF) a marzo.
• L’attacco imitava un contatto affidabile e utilizzava un account ProtonMail per attirare la vittima.
• RSF è stata designata “organizzazione indesiderabile” dalla Russia nell’agosto 2025, criminalizzandone l’attività nel paese.
• Callisto è specializzato nel furto di credenziali, spesso prendendo di mira ONG, difesa e organizzazioni pro-Ucraina.
• Tattiche di phishing simili hanno compromesso altri gruppi, tra cui la Free Russia Foundation.

Un predatore familiare nella giungla digitale

Immagina di aprire la tua casella di posta e trovare un messaggio da un alleato fidato - solo per scoprire che è un lupo travestito da pecora. È lo scenario che Reporter Senza Frontiere (RSF) ha affrontato lo scorso marzo, quando un gruppo di hacker allineato alla Russia, noto come Callisto, ColdRiver o Star Blizzard, ha tentato l’ennesima truffa digitale. Il gruppo, legato al servizio di intelligence FSB russo, si aggira nei meandri di Internet almeno dal 2017, predando ONG, governi e organizzazioni a sostegno dell’Ucraina.

L’attacco è iniziato con una email attentamente costruita, inviata da un indirizzo ProtonMail che imitava un contatto familiare e persino utilizzava la firma corretta - un vecchio trucco nel manuale degli hacker. Il messaggio, scritto in francese, chiedeva a un membro di RSF di visionare un documento, ma curiosamente non c’era alcun allegato. Questa omissione non era casuale: Callisto spesso trattiene i file per indurre le vittime a richiederli, aumentando il coinvolgimento e abbassando la soglia di sospetto.

Quando il dipendente di RSF ha risposto, gli aggressori sono passati all’inglese e hanno fornito un link ospitato su un sito compromesso. Era progettato per consegnare un PDF malevolo, ma il piano è sfumato quando ProtonMail ha bloccato l’account dell’operatore, interrompendo l’attacco a metà strada.

Vecchie tattiche, nuovi obiettivi

Gli schemi di phishing di Callisto sono tanto persistenti quanto ingannevoli. In un altro caso recente, un’esca simile ha preso di mira un’altra organizzazione: la vittima ha ricevuto un falso PDF criptato, che la invitava a usare ProtonDrive (il servizio cloud di ProtonMail) per aprirlo. Il link portava a una pagina di login falsificata in modo convincente, già precompilata con l’email della vittima. Dietro le quinte, script subdoli bloccavano il cursore nella casella della password, spingendo gli utenti ansiosi a cedere le proprie credenziali.

Non è la prima volta per Callisto. Il gruppo vanta una storia di attacchi di alto profilo, incluso il breach del 2023 alla Free Russia Foundation, in cui migliaia di documenti interni sensibili sono stati divulgati. Le agenzie di sicurezza occidentali e ricercatori come Sekoia hanno ripetutamente collegato le operazioni di Callisto all’intelligence russa, citando il loro focus sull’attività di spionaggio contro la NATO, entità ucraine e ONG che promuovono la democrazia.

Geopolitica e la guerra all’informazione

La missione di RSF - sostenere i giornalisti minacciati, inclusi quelli in fuga dalla repressione russa - l’ha resa un bersaglio. La sua designazione come “organizzazione indesiderabile” da parte di Mosca sottolinea come geopolitica e guerra informatica si intreccino. Criminalizzando il lavoro di RSF, il Cremlino tenta di silenziare il dissenso sia sul territorio che nel cyberspazio.

L’attacco fallito a RSF è solo un episodio di una campagna più ampia: mentre ONG, giornalisti e difensori dei diritti umani diventano bersagli digitali, la linea del fronte della guerra dell’informazione si avvicina sempre più alla società civile. Hacker come Callisto non cercano solo segreti - puntano a minare la fiducia, raffreddare l’attivismo e indebolire la resilienza di chi si oppone all’autoritarismo.

WIKICROOK

• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link malevoli.
• Furto di credenziali: Il furto di credenziali consiste nel sottrarre dati di accesso, come nomi utente e password, spesso tramite siti web falsi o email ingannevoli.
• ProtonMail: ProtonMail è un servizio di posta elettronica sicuro e criptato, progettato per proteggere la privacy e l’anonimato degli utenti, ampiamente usato da sostenitori della privacy e talvolta abusato dagli hacker.
• Iniezione JavaScript: L’iniezione JavaScript è una tecnica di hacking in cui gli aggressori inseriscono codice malevolo nelle applicazioni web per rubare dati, dirottare sessioni o alterare contenuti.
• Campagna di spionaggio: Una campagna di spionaggio è uno sforzo coordinato per accedere e rubare segretamente dati sensibili da organizzazioni o paesi tramite tecniche informatiche.