Al Jazeera afferma che una campagna malware occulta collegata all'azienda israeliana Candiru ha infettato 45 dispositivi appartenenti ai suoi giornalisti e membri dello staff, estraendo dati senza alcuna azione da parte degli utenti. La divulgazione è un esempio lampante di come lo spyware zero-click su cui i giornalisti fanno affidamento possa essere rivolto contro di loro, e di perché la normale prudenza spesso non basti contro attaccanti ben finanziati.

I dettagli seguenti provengono da un rapporto che riassume la dichiarazione di Al Jazeera. Dove il registro pubblico è scarno, lo diciamo.

Cosa dice Al Jazeera che è accaduto

Secondo il rapporto, Al Jazeera ha descritto un attacco zero-click legato a Candiru che ha compromesso 45 dispositivi dei suoi giornalisti. Il malware avrebbe esfiltrato dati senza alcuna interazione dell'utente. In altre parole, le persone colpite non hanno dovuto aprire un file, toccare un link o approvare nulla perché l'infezione attecchisse.

Il riassunto della fonte non fornisce ulteriori dettagli, come quali sistemi operativi siano stati colpiti, quali vulnerabilità siano state sfruttate, in che periodo siano avvenute le infezioni o chi abbia commissionato la campagna. Non intendiamo indovinare questi dettagli. I lettori dovrebbero considerare la cifra di 45 dispositivi come l'affermazione riportata da Al Jazeera e attendere eventuali approfondimenti tecnici da parte dell'emittente o di ricercatori indipendenti.

Come funziona lo spyware zero-click senza alcun tocco

La maggior parte delle persone ha imparato a evitare link sospetti e allegati inaspettati. Quel consiglio riguarda gli attacchi "one-click", in cui la vittima deve fare qualcosa. Lo spyware zero-click elimina quel passaggio.

In termini generali, gli attacchi zero-click sfruttano falle nei software che elaborano automaticamente i dati in arrivo, come app di messaggistica, parser multimediali o servizi di rete. Se un attaccante trova una vulnerabilità in quella gestione automatica, un messaggio o un pacchetto di dati appositamente costruito può innescare l'esecuzione di codice sul telefono o sul computer prima che il proprietario veda qualsiasi cosa. Potrebbero non esserci notifiche, né strani pop-up, né segni evidenti in seguito.

Una volta installato, spyware di questo tipo può tipicamente essere usato per leggere messaggi, raccogliere file e ottenere altri dati dal dispositivo. Il rapporto di Al Jazeera sull'esfiltrazione dei dati corrisponde a questo schema.

Il punto chiave per i lettori non tecnici: non si tratta di un fallimento del giudizio dell'utente. Un comportamento prudente non può prevenire del tutto un attacco che non richiede alcun comportamento.

Perché i giornalisti sono bersagli privilegiati per strumenti in stile Candiru

Candiru è descritta come un'azienda israeliana, e gli strumenti di aziende come questa sono spesso chiamati spyware mercenario: potenti capacità di sorveglianza sviluppate da fornitori privati e vendute ai clienti. Questi strumenti sono costosi e complessi da realizzare, motivo per cui tendono a essere indirizzati a un numero ristretto di bersagli di alto valore anziché al pubblico generale.

I giornalisti corrispondono a quel profilo per ragioni evidenti. I reporter detengono materiale sensibile: identità delle fonti, scoperte non pubblicate e comunicazioni private con persone che potrebbero essere a rischio. Compromettere i dispositivi di una redazione può esporre tutto ciò in una volta sola. Un singolo telefono infetto può rivelare non solo l'attività del giornalista stesso ma anche i contatti e le confidenze di tutti coloro con cui parla.

La scala qui riportata, 45 dispositivi presso un'unica organizzazione, suggerisce una campagna mirata a un'intera istituzione anziché a un singolo individuo. Questo è importante per le organizzazioni giornalistiche, i gruppi per i diritti umani e qualsiasi ambiente di lavoro in cui diverse persone trattano informazioni sensibili.

La pressione della sorveglianza sul giornalismo si manifesta anche in altre forme. La nostra copertura del prolungato blackout internet nel Kashmir amministrato dal Pakistan, basata su un reportage di Al Jazeera, mostra come le restrizioni sulla comunicazione possano aggravare i rischi che le persone affrontano quando cercano di condividere informazioni.

Cosa riduce realisticamente la tua esposizione

Nessun singolo passo rende un dispositivo immune a un attaccante determinato e ben finanziato. Ma alcune misure aumentano in modo significativo il costo e la difficoltà di un attacco.

  • Installa tempestivamente gli aggiornamenti del sistema operativo e delle app. Gli attacchi zero-click dipendono da falle non corrette o non divulgate. Gli aggiornamenti di sicurezza chiudono i buchi noti, e i ritardi li lasciano aperti.
  • Attiva la Modalità di blocco dove disponibile. Alcune piattaforme offrono un'impostazione di protezione estrema che riduce la superficie d'attacco limitando determinate funzionalità. Scambia comodità per sicurezza, il che può essere un compromesso ragionevole per le persone ad alto rischio.
  • Riavvia i dispositivi regolarmente. Alcuni malware non sopravvivono a un riavvio, quindi riavvii periodici possono costringere un attaccante a reinfettare.
  • Riduci ciò che è memorizzato sul tuo dispositivo. I messaggi che scompaiono e la cancellazione di routine limitano quanto un intruso può raccogliere.
  • Separa il lavoro sensibile. Usare un dispositivo dedicato per le comunicazioni più sensibili può contenere i danni se un altro dispositivo viene compromesso.
  • Segnala sospette compromissioni. Se lavori in un'organizzazione giornalistica o in un gruppo di advocacy, solleva le tue preoccupazioni con il tuo team di sicurezza o con uno specialista di sicurezza digitale anziché cercare di indagare da solo.

Cosa significa questo per te

È improbabile che la maggior parte dei lettori venga presa di mira da strumenti come quelli di Candiru. Ma le lezioni si applicano ampiamente. Mantenere i dispositivi aggiornati è l'abitudine più utile in assoluto, e protegge anche da molte altre minacce.

Se sei un giornalista, un attivista, un avvocato o qualcun altro che potrebbe attirare l'interesse a livello statale, presupponi che il tuo rischio sia più alto e agisci di conseguenza: aggiorna rapidamente, usa le modalità di protezione più forti offerte dal tuo dispositivo e limita i dati sensibili sul tuo telefono.

Vale anche la pena essere chiari su cosa fa e cosa non fa una VPN. Una VPN crittografa il tuo traffico di rete e maschera il tuo indirizzo IP dai siti e dalle reti locali. Non ferma lo spyware già in esecuzione sul tuo dispositivo e non può prevenire un exploit zero-click che prende di mira il software sul telefono stesso. Le VPN restano utili per la privacy di rete, ma non sono una difesa contro questa classe di attacchi.

Punti chiave

La divulgazione riportata da Al Jazeera di una campagna collegata a Candiru contro 45 dispositivi è un promemoria del fatto che lo spyware zero-click che i giornalisti affrontano può aggirare anche gli utenti prudenti. Tratta i dettagli come in evoluzione, poiché il riassunto pubblico è limitato.

Per chiunque sia ad alto rischio: applica gli aggiornamenti del sistema operativo non appena disponibili, attiva la Modalità di blocco se il tuo dispositivo la supporta, riavvia regolarmente, memorizza meno dati sensibili e comprendi che una VPN non ti proteggerà dallo spyware sul dispositivo stesso.