Secondo Edward Snowden, quella pubblicata nel fine settimana da 17 testate giornalistiche sarebbe semplicemente la “notizia dell’anno”. La rivelazione riguarda la vendita a numerosi governi, da parte di una compagnia informatica israeliana, di un avanzato strumento di sorveglianza in grado sostanzialmente di garantire il completo accesso al contenuto degli smartphone nei quali il software viene impiantato. Maggiori dettagli e informazioni dovrebbero arrivare nei prossimi giorni, ma alcuni aspetti allarmanti appaiono già evidenti, a cominciare dal controllo dei telefoni di centinaia di giornalisti in tutto il mondo.

Gli obiettivi elencati nei documenti della società NSO Group ottenuti da Amnesty International e dalla no-profit francese Forbidden Stories includono anche attivisti per i diritti umani, imprenditori, sindacalisti, ambasciatori, ministri e, addirittura, capi di stato e di governo. Lo “spyware” in questione è noto col nome di Pegasus e, per gli utilizzatori, il suo punto di forza è rappresentato da una caratteristica che lo distingue dagli altri strumenti di sorveglianza, cioè le modalità con cui può essere introdotto nei dispositivi delle vittime.

Mentre le versioni precedenti di questo e di altri software simili erano basati sul “phishing”, ovvero su messaggi o e-mail che invitano il destinatario a cliccare su un link, Pegasus è in grado di infettare i telefoni cellulari attraverso i cosiddetti “attacchi zero click”. Per impossessarsi del dispositivo non serve alcuna interazione da parte del proprietario. Il software sfrutta i punti deboli del sistema operativo o di determinate applicazioni che i produttori dei telefoni e gli sviluppatori non conoscono ancora e che, quindi, non hanno ancora provveduto a risolvere.

Pegasus viene installato ad esempio tramite una telefonata a cui il bersaglio può anche non rispondere o, in alternativa, per mezzo di uno strumento wireless posizionato a poca distanza dall’obiettivo oppure manualmente se si viene in possesso fisicamente del telefono. Una volta dentro il dispositivo, il software riesce a raccogliere tutte le informazioni in esso contenute, dai messaggi alle telefonate, dalla rubrica alle immagini, dalle e-mail ai dati sulla navigazione internet. Pegasus è in grado inoltre di attivare il microfono e la videocamera dei telefoni, in modo da registrare segretamente le conversazioni e le attività degli utenti, così come il GPS per individuare le loro posizioni.

Secondo Claudio Guarnieri, direttore del laboratorio sulla sicurezza di Amnesty International, Pegasus può ottenere i “privilegi di amministratore” del dispositivo, per sfruttarlo “più di quanto possa farlo il suo proprietario”. Inoltre, il software della compagnia israeliana è virtualmente inarrestabile, in quanto quasi impossibile da individuare, dal momento che lavora a livello della memoria temporanea e non lascia dunque tracce quando il telefono è spento. Sempre Guarnieri in un’intervista al Guardian, uno dei giornali che ha pubblicato i documenti di NSO Group, ha spiegato che, in merito al software Pegasus, una delle domande più frequenti che gli vengono rivolte è come sia possibile evitare che l’aggressione informatica non si ripeta. In questo caso, la risposta più realistica è: “nulla”.

Tra i documenti ottenuti c’è anche un elenco di circa 50 mila numeri di telefono scelti per essere infettati con Pegasus. Questi numeri non sono collegati all’identità dei rispettivi utenti, ma i giornalisti che hanno lavorato sul materiale riservato hanno identificato un migliaio di persone sparse in oltre cinquanta paesi. Tra di essi ci sono più di 600 politici e funzionari di governo, 65 dirigenti di aziende, 85 attivisti per i diritti umani e, come accennato all’inizio, 189 giornalisti di testate come New York Times, Associated Press, CNN, Financial Times, The Economist, France 24, Reuters e altre.

Senza un’analisi approfondita dei singoli dispositivi, è impossibile stabilire quanti di quelli sull’elenco di NSO Group siano stati effettivamente infettati da Pegasus. Tuttavia, l’esame a campione di 67 telefoni di giornalisti ne ha individuati 37 colpiti dal “malware”. I paesi di provenienza di questi ultimi includono Azerbaigian, India, Francia, Marocco e Ungheria. Alcuni governi di questi paesi hanno stipulato contratti di acquisto di prodotti di NSO Group, assieme a molti altri, tra cui quelli di Messico, Bahrein, Arabia Saudita ed Emirati Arabi Uniti. Non sono state diffuse invece informazioni specifiche circa l’identità degli utilizzatori del software in questione.

Pegasus sarebbe stato comunque usato per portare a termine assassini di giornalisti e dissidenti anche molto noti, come il saudita Jamal Khashoggi, ucciso barbaramente nel consolato del suo paese a Istanbul nel 2018. Oggetto di sorveglianza attraverso questo software erano stati anche svariati familiari di Khashoggi, nonché la sua fidanzata Hatice Cengiz e i funzionari turchi che indagavano sull’assassinio.

Anche il giornalista messicano Cecilio Pineda Birto, ucciso nel 2017 a colpi di pistola in una strada della città di Altamirano, potrebbe essere stato localizzato grazie al programma Pegasus. Proprio il Messico è uno dei paesi con il maggior numero di agenzie governative clienti di NSO Group e, in parallelo, uno dei più pericolosi per i giornalisti al di fuori delle aree di guerra. Dal 2010 sono 86 i giornalisti assassinati in Messico, molti dei quali impegnati in indagini sui collegamenti tra gruppi criminali e organi dello stato. Le implicazioni per i giornalisti sono dunque evidentissime ed estremamente preoccupanti. Anche tra i più attenti alla minaccia di intercettazioni e sorveglianza, le armi a disposizione sono di fatto nulle e, oltre alla stessa incolumità personale dei giornalisti, questa situazione mette in serio pericolo i rapporti con le fonti riservate.

Le rivelazioni sui prodotti informatici di NSO Group non sono peraltro nuove. Il New York Times ne aveva parlato già nel 2016 per descrivere le attività di sorveglianza relativamente a paesi come Arabia Saudita e Messico. Le nuove informazioni pubblicate nel fine settimana indicano però un uso decisamente più ampio a livello globale dei software della compagnia israeliana. I dati ancora parziali potrebbero riservare altre sorprese, ma è fin da ora plausibile ipotizzare l’uso di questi strumenti anche da parte di organi dei governi “democratici” occidentali.

Laddove non ci siano invece elementi per stabilire l’acquisto e l’utilizzo di Pegasus da parte di questi paesi, è ugualmente ragionevole pensare che ciò sia dovuto alla disponibilità di strumenti simili sviluppati direttamente dalle loro agenzie di intelligence. Basti pensare, a questo proposito, alla realtà rivelata da Edward Snowden riguardo agli Stati Uniti e ai loro più stretti alleati.

Gli scenari raccontati dai documenti distribuiti alla stampa da Amnesty International e Forbidden Stories contribuiscono a disegnare un quadro internazionale nel quale i diritti civili e democratici risultano sempre più minacciati. Da ciò deriva di conseguenza anche il pericolo che incombe sulla libertà di stampa. Il caso specifico di NSO Group, che da parte sua ha respinto le accuse e affermato che i suoi prodotti sono utilizzati solo per colpire terroristi e criminali, rappresenta infine un altro atto di accusa contro Israele.

L’esportazione di un software come Pegasus richiede infatti la concessione di una licenza specifica da parte del governo dello stato ebraico che, evidentemente, non si è fatto nessuno scrupolo nell’approvare la fornitura di un sofisticato strumento di repressione a regimi ultra-autoritari e violenti, a cominciare da quelli di Emirati Arabi e Arabia Saudita, con cui da qualche tempo intrattiene rapporti sempre più stretti.