Nessun server violato, nessun algoritmo di crittografia decifrato. Eppure, le chat più riservate di politici, diplomatici, giornalisti d’inchiesta e manager di aziende italiane sono finite sotto la lente di ingrandimento di hacker professionisti. Al centro della tempesta c’è Signal, l’applicazione di messaggistica considerata per antonomasia la cassaforte della privacy, usata da chiunque debba scambiare informazioni sensibili al riparo da occhi indiscreti. Ma in questo “furto informatico” la cassaforte non è stata scassinata: è stato convinto il proprietario a consegnare le chiavi. L’allerta, rimbalzata tra l’intelligence e la Polizia Postale, svela una campagna di spionaggio mirata e silenziosa che porta dritto ai collettivi di cyberhacker legati ai servizi segreti di Mosca.
Le vittime dell’attacco
I bersagli in Italia sono stati selezionati chirurgicamente. Tra i nomi emersi c’è quello di Pina Picierno, vicepresidente del Parlamento europeo, da sempre esposta su temi di geopolitica e sicurezza, insieme a diversi reporter che si occupano di conflitti internazionali, Ucraina e difesa. Lo scopo degli hacker è la persistenza: rimanere nascosti all’interno dei dispositivi delle vittime per settimane, forse mesi, intercettando documenti, fonti giornalistiche, interlocuzioni politiche e strategie industriali. Questo attivismo non è un caso isolato italiano, ma segue un pattern geopolitico preciso già registrato in Germania, ai danni di esponenti del Bundestag, e nei Paesi Bassi.
Anatomia dell’inganno
Per capire come sia stato possibile aggirare un’app ultra-sicura come Signal, bisogna abbandonare l’immagine dell’hacker che digita stringhe di codice per violare un server. In questo caso, l’arma utilizzata si chiama ingegneria sociale (social engineering), ovvero la manipolazione psicologica della vittima.
L’attacco si sviluppa in tre passaggi chiave. La vittima riceve un messaggio all’interno di Signal che sembra provenire da un account ufficiale di assistenza o sicurezza della piattaforma. Il testo, formulato in un italiano impeccabile e con toni d’urgenza, avverte di un finto tentativo di accesso abusivo al profilo. Per “mettere in sicurezza” l’account, alla vittima designata viene chiesto di cliccare su un link o, più frequentemente, di scansionare un codice QR o inserire un codice numerico di verifica inviato via SMS. In realtà, quel codice non serve a proteggere l’app, ma ad autorizzare l’associazione di un nuovo dispositivo. Nel momento in cui la vittima asseconda la richiesta, l’hacker collega il proprio computer all’account Signal del bersaglio. Da quel momento in poi, l’hacker riceve in tempo reale una copia speculare di ogni messaggio, foto o documento inviato o ricevuto.
I precedenti
Per mesi abbiamo assistito ad attacchi cyber dimostrativi. I cosiddetti attacchi DDoS (Distributed Denial of Service), che hanno mandato temporaneamente offline i siti delle istituzioni o dei ministeri. Era successo anche a febbraio, alla vigilia delle Olimpiadi di Milano-Cortina, quando le autorità avevano bloccato attacchi di origine russa contro i siti collegati ai Giochi e alcuni alberghi di Cortina d’Ampezzo. Nella stessa campagna erano finite nel mirino anche sedi del ministero degli Esteri, compresa l’ambasciata italiana a Washington. In precedenza il collettivo filorusso NoName057(16) aveva colpito ministeri, forze dell’ordine, banche, porti, aeroporti e società di trasporto con attacchi capaci di rendere irraggiungibili i siti. Operazioni rumorose, accompagnate da rivendicazioni e messaggi di propaganda. Questa volta, però, lo scenario è radicalmente diverso. L’obiettivo non è fare rumore, ma fare silenzio.
