In Breve

• Un giudice federale statunitense ha vietato in modo permanente al gruppo NSO di prendere di mira gli utenti WhatsApp con lo spyware Pegasus.
• Il caso nasce dalla causa intentata da Meta nel 2019, che accusava NSO di aver infettato circa 1.400 telefoni, inclusi quelli di giornalisti e diplomatici.
• Pegasus è uno strumento tristemente noto, usato per accedere segretamente ai dispositivi, spesso all’insaputa degli utenti.
• NSO dovrà inoltre cancellare tutti i dati raccolti tramite l’attacco a WhatsApp.
• La sentenza non si estende ad altri servizi Meta né ai governi stranieri.

Lo Spyware che Passava tra le Maglie

Immaginate un diario chiuso a chiave, i suoi segreti apparentemente al sicuro - finché qualcuno non infila una chiave maestra dalla copertina posteriore. Per anni, lo spyware Pegasus del gruppo NSO è stato quella chiave maestra, infiltrandosi silenziosamente nei telefoni di avvocati, giornalisti, attivisti e funzionari governativi in tutto il mondo. Ora, un tribunale californiano ha chiuso il diario, almeno per gli utenti WhatsApp, con un’ingiunzione permanente che potrebbe ridefinire l’industria dello spionaggio digitale.

Un Precedente in Gestazione da Anni

La vicenda risale al 2019, quando Meta (all’epoca Facebook) ha citato in giudizio il gruppo NSO, accusandolo di aver orchestrato una campagna segreta per infettare i telefoni di 1.400 utenti WhatsApp. I bersagli non erano casuali: si trattava di persone la cui vita e lavoro dipendono dalla riservatezza - difensori dei diritti umani, dissidenti politici, diplomatici e alti funzionari. NSO avrebbe creato falsi account WhatsApp e sondato l’infrastruttura stessa di Meta, cercando falle nell’armatura digitale.

La fortezza di WhatsApp si basa sulla crittografia end-to-end, che utilizza il protocollo open-source Signal. Questo significa che i messaggi sono cifrati e solo mittente e destinatario possono leggerli. Ma Pegasus era progettato per aggirare queste difese, sfruttando vulnerabilità software per installarsi e sottrarre messaggi, chiamate, e persino attivare fotocamera o microfono - senza lasciare traccia.

Pegasus nel Mirino Globale

Pegasus è stato al centro di numerosi scandali internazionali. Inchieste di testate come The Guardian e Amnesty International hanno svelato il suo utilizzo da parte di governi per sorvegliare giornalisti, oppositori e attivisti. Nel 2021, il “Pegasus Project” ha rivelato una rete globale di sorveglianza, scatenando indignazione e richieste di regolamentazione.

NSO, dal canto suo, sostiene di vendere Pegasus solo a governi impegnati nella lotta a criminalità e terrorismo. Ma i critici sostengono che lo strumento sia troppo facilmente abusabile - e troppo potente per essere tranquillizzante. Il governo USA ha inserito NSO nella lista nera nel 2021, citando minacce alla sicurezza nazionale e ai diritti umani.

Cosa Significa la Sentenza - e Cosa No

La decisione della giudice Phyllis J. Hamilton è chiarissima: NSO deve smettere di prendere di mira gli utenti WhatsApp, cancellare tutti i dati ottenuti e cessare l’intercettazione dei messaggi. Il tribunale ha riconosciuto che la privacy digitale non riguarda solo la reputazione - è il cuore del business di aziende come WhatsApp. “Qualsiasi accesso non autorizzato è un’interferenza con quella vendita”, ha scritto Hamilton.

Tuttavia, la portata dell’ingiunzione è limitata. Non copre i governi stranieri (che non erano imputati) né altre piattaforme Meta come Facebook e Instagram. Resta comunque un precedente importante: usare spyware commerciale per violare comunicazioni cifrate può avere conseguenze legali concrete nei tribunali statunitensi.

WIKICROOK

• Spyware Pegasus: Pegasus è uno strumento di hacking occulto che può accedere segretamente ai dati, alle chiamate e ai messaggi di uno smartphone, spesso senza che l’utente lo sappia o agisca.
• Crittografia end-to-end: La crittografia end-to-end è un metodo di sicurezza in cui solo mittente e destinatario possono leggere i messaggi, mantenendo i dati privati anche da fornitori di servizi e hacker.
• Ingiunzione: Un’ingiunzione è un ordine del tribunale che impone a qualcuno di iniziare o cessare una specifica azione, come fermare hacking illegale o attività online non autorizzate.
• Meta: Meta è l’azienda tecnologica proprietaria di Facebook, Instagram e WhatsApp, focalizzata su social media, privacy e innovazione nella realtà virtuale.
• Signal Protocol: Signal Protocol è un sistema di crittografia open-source che protegge i messaggi in app come WhatsApp, garantendo che solo i destinatari previsti possano leggerli.