Ing. Calogero Bono
Apple ha inviato una nuova ondata di notifiche di minaccia a utenti di 99 Paesi, avvisandoli di un possibile attacco con spyware mercenario. In Germania le notifiche sono arrivate a membri del Bundestag e ad altre personalità pubbliche, e l'autorità per la cybersicurezza BSI ha chiesto di considerare i dispositivi non sicuri. Le prime notifiche risalgono al 29 ottobre. Il caso conta perché mostra quanto questi strumenti siano ancora attivi e quanto sia difficile sapere chi c'è dietro.
Qualche termine, prima di entrare nei fatti. Spyware mercenario è un software di sorveglianza molto costoso, sviluppato da aziende private e usato contro poche persone. Pegasus è il più noto, prodotto da NSO Group. Zero-click indica un attacco che non richiede alcun gesto della vittima, né un clic né l'apertura di un file. BSI è l'autorità federale tedesca per la cybersicurezza. Modalità Isolamento (Lockdown Mode) è una funzione di Apple che riduce la superficie di attacco del dispositivo.
Cosa è successo con le notifiche di Apple?
Secondo 9to5Mac, che cita Financial Times e TechCrunch, i politici e funzionari tedeschi hanno iniziato a ricevere gli avvisi giovedì scorso. Il fine settimana il BSI ha emesso un avviso urgente.
Come riporta HDblog, le autorità tedesche hanno avviato indagini. Il messaggio ricevuto da alcuni utenti indicava che la serie di avvisi era stata inviata in 99 Paesi.
Cosa dicono il governo tedesco e il BSI?
Il BSI ha spiegato di essere venuto a conoscenza di avvisi ricevuti da membri del Bundestag e da altre persone di rilievo non citate. Per TechCrunch, chi riceve la notifica «dovrebbe quindi presumere che il proprio dispositivo possa essere stato compromesso».
Il portavoce del governo Stefan Kornelius, riferisce il Financial Times, ha detto che l'esecutivo prende «l'incidente e l'avviso molto seriamente». Non ha detto chi sia stato colpito, né se tra loro ci sia il cancelliere Friedrich Merz.
Che cos'è un attacco zero-click e perché preoccupa?
Sempre secondo il Financial Times, gli attacchi avrebbero sfruttato una vulnerabilità zero-click. Basterebbe conoscere il numero di telefono del bersaglio. Si tratta di un'informazione riportata dalla stampa, non confermata da Apple.
TechCrunch ricorda che questo tipo di spyware può rubare messaggi, dati di posizione e altre informazioni sensibili. Dato che non serve cliccare su nulla, la prudenza dell'utente da sola non basta.
Chi altro ha ricevuto l'avviso?
Tra i destinatari fuori dalla Germania c'è Radwan Mortada, filmmaker di Beirut. Ha condiviso l'avviso su X, dove Apple parlava di «un altro attacco contro il tuo dispositivo». Era già stato preso di mira da Pegasus nel 2017 e nel 2021.
Mortada dice di non sapere chi sia dietro il nuovo tentativo, né se c'entri un documentario d'inchiesta da lui diretto.
Come funzionano le notifiche di minaccia di Apple?
La pagina ufficiale di Apple spiega che gli avvisi sono segnalazioni ad alta affidabilità, anche se nessuna indagine può dare certezza assoluta. Apple si basa solo su informazioni interne e non spiega cosa le fa scattare, per non aiutare gli attaccanti.
Dal 2021 gli avvisi arrivano più volte l'anno e, secondo Apple, hanno raggiunto utenti in oltre 150 Paesi. Compaiono sull'iPhone, via email e in un banner su account.apple.com.
Che cosa fare se ricevi una notifica?
Apple consiglia di attivare la Modalità Isolamento e di rivolgersi a esperti, come la Digital Security Helpline di Access Now, attiva 24 ore su 24. Per verificare che l'avviso sia autentico, accedi a account.apple.com e controlla il banner in alto.
Una notifica vera non chiede mai di cliccare link, aprire file, installare app o profili, né di fornire password o codici di verifica.
Le buone pratiche valgono per tutti. Aggiorna i dispositivi, usa l'autenticazione a due fattori, installa app solo dall'App Store. Su questo tema trovi anche le nuove regole dell'App Store.
Limiti da conoscere
Non è noto chi sia dietro gli attacchi né quali governi li abbiano orchestrati. Apple non attribuisce e non conferma se un telefono sia davvero compromesso. HDblog precisa che non risultano associazioni tra l'avviso e l'effettiva compromissione. Il dettaglio zero-click arriva da un resoconto giornalistico, non da Apple. Restano da chiarire l'esito dell'indagine tedesca, il numero dei colpiti e la vulnerabilità sfruttata.
Cosa cambia per chi lavora con il digitale
Per un'impresa, la minaccia diretta resta remota, perché Apple stessa dice che la grande maggioranza degli utenti non sarà mai presa di mira. Il rischio cresce se in azienda ci sono figure esposte, come dirigenti, avvocati, giornalisti o chi tratta dati sensibili. Conviene definire in anticipo chi contattare e come isolare un dispositivo, per esempio con una policy per i telefoni aziendali. Chi gestisce account condivisi può partire dagli strumenti descritti nella guida alla Console Admin di Google Workspace.
Il nostro parere
Il caso mette in luce una fragilità di sistema. Gli strumenti mercenari sono venduti da aziende private e, come ricorda TechCrunch, anche il BKA tedesco avrebbe acquistato Pegasus nel 2019. Resta una domanda scomoda, chi compra questi strumenti li usa contro altri. Apple fa bene ad avvisare, ma l'opacità sui criteri di rilevamento lascia gli utenti con un allarme senza contesto. Il consiglio del BSI di considerare il telefono compromesso è prudente, ma pesa molto per chi lavora ogni giorno con quel dispositivo.
Domande frequenti
Cosa sono le notifiche di minaccia di Apple?
Sono avvisi inviati a chi Apple ritiene sia stato preso di mira da spyware mercenario. Appaiono su iPhone, via email e su account.apple.com. Apple li definisce segnalazioni ad alta affidabilità.
Se ricevo la notifica, il mio iPhone è infetto?
Non è certo. Apple non conferma se il dispositivo sia compromesso. Il BSI tedesco, però, invita a presumere che possa esserlo e ad agire subito.
Come capisco se l'avviso è vero?
Accedi a account.apple.com e controlla il banner in alto. Una notifica autentica non chiede mai clic, file, app o password.
Cosa fa la Modalità Isolamento?
Offre una protezione aggiuntiva contro attacchi mirati. Apple la consiglia a chi ha ricevuto la notifica, e anche a chi sospetta di essere un bersaglio senza averla ricevuta.
Chi è stato colpito in questa ondata?
Membri del Bundestag e altre personalità tedesche, più utenti in 99 Paesi in totale. Tra loro il filmmaker libanese Radwan Mortada. Chi sia dietro gli attacchi non è noto.
Cosa osservare nelle prossime settimane sul caso spyware
L'indagine tedesca e le mosse di Apple diranno se emergeranno dettagli tecnici. Per ora i fatti sono pochi.
- Segui gli aggiornamenti del BSI e dell'indagine tedesca per capire se emergono responsabili.
- Controlla le note di sicurezza degli aggiornamenti iOS, per vedere se cita la vulnerabilità sfruttata.
- Segnala ai collaboratori esposti i canali di assistenza, come la Digital Security Helpline di Access Now.
