Cos’è Pegasus e perché è diverso da un normale malware
Pegasus è uno spyware sviluppato dall’azienda israeliana NSO Group, progettato per penetrare nei telefoni cellulari e trasformarli di fatto in strumenti di sorveglianza tascabili. A differenza dei malware tradizionali, che di solito richiedono che la vittima clicchi su un link malevolo, scarichi un allegato o installi un’app sospetta, Pegasus può entrare nel dispositivo in modalità “zero‑click”, cioè senza alcuna interazione diretta da parte dell’utente.
Questa caratteristica rende Pegasus particolarmente pericoloso: anche il più prudente degli utenti – che non clicca su link sconosciuti e non scarica file sospetti – può essere compromesso se il suo telefono riceve un contenuto appositamente costruito per sfruttare una vulnerabilità nel sistema operativo o nelle app di messaggistica. Una volta installato, lo spyware è in grado di accedere a messaggi, email, chiamate, file, foto, posizione GPS, e perfino di attivare in modo invisibile microfono e fotocamera.
L’attacco zero‑click spiegato dal video: PDF, GIF e SMS
Nel video, l’attenzione è concentrata su un vettore di attacco specifico: Pegasus si “nasconde” all’interno di un file PDF che viene poi convertito in un’immagine GIF. Questa immagine viene inviata alla vittima via SMS o resa disponibile quando il dispositivo si collega a una rete WiFi controllata da chi attacca. La dinamica è fondamentale: il file sembra un contenuto assolutamente normale – una semplice immagine – ma è costruito in modo da sfruttare un bug nel motore che, all’interno del sistema operativo o dell’app di messaggistica, si occupa di decodificare le immagini.
È lo stesso tipo di tecnica documentata, ad esempio, nel famigerato exploit “FORCEDENTRY”, analizzato da Citizen Lab e da Google Project Zero, che utilizzava un’immagine apparentemente innocua per compromettere dispositivi Apple via iMessage. In quel caso, un file PDF appositamente manipolato veniva trasformato in GIF e inviato come allegato: quando il sistema lo elaborava automaticamente, senza alcun click, il codice malevolo sfruttava una vulnerabilità nella libreria di rendering delle immagini per eseguire comandi sul dispositivo.
Quello che il video sottolinea è proprio questo: non è necessario che la vittima apra il messaggio, clicchi sull’immagine o visiti un sito web. Basta che il sistema riceva e processi il contenuto per innescare l’exploit. Nessun click, zero click: l’utente non vede nemmeno l’attacco, che avviene in background e lascia pochissime tracce visibili.
Perché gli attacchi zero‑click sono così difficili da fermare
Gli attacchi zero‑click sfruttano il fatto che i nostri telefoni, per funzionare in modo “trasparente” e comodo, elaborano automaticamente una grande quantità di dati in arrivo. App di messaggistica come iMessage, WhatsApp, Telegram o gli stessi SMS moderni gestiscono immagini, video, anteprime di link, sticker e altri contenuti multimediali in background, spesso prima ancora che l’utente apra la conversazione.
Un exploit zero‑click si inserisce proprio in questa fase: invia un contenuto costruito ad arte – un’immagine, un pacchetto VoIP, un messaggio formattato in modo anomalo – che, quando viene processato dal motore di parsing dell’app o del sistema, manda in crisi una libreria, causando un overflow o un’altra forma di corruzione della memoria. A quel punto, il codice malevolo guadagna il controllo del dispositivo, installando lo spyware senza che l’utente riceva avvisi, notifiche o richieste di permesso.
Questo tipo di attacchi è difficile da individuare per vari motivi:
-
Non lasciano evidenti segni di interazione: nessun link cliccato, nessuna app installata manualmente, nessuna pagina sospetta nei log di navigazione.
- Sfruttano vulnerabilità “zero‑day”, cioè falle sconosciute ai produttori e non ancora corrette con update.
- Possono utilizzare canali di comunicazione cifrati o protocolli interni, rendendo complessa l’analisi forense.
Per questo anche i più esperti e attenti possono esserne vittime: la superficie d’attacco è legata al semplice fatto di possedere e usare uno smartphone con app evolute di comunicazione
Cosa può fare Pegasus una volta dentro lo smartphone
Una volta che Pegasus è riuscito a sfruttare un attacco zero‑click, non si limita a “entrare” nel sistema: prende il controllo quasi totale del dispositivo. Secondo analisi tecniche e rapporti di organizzazioni come Amnesty e Citizen Lab, lo spyware può:
-
Leggere i messaggi di testo, le chat su app di messaggistica, le email.
-
Accedere alla cronologia delle chiamate e ai contatti.
-
Sfogliare foto e video presenti in memoria.
-
Rilevare la posizione GPS in tempo reale.
-
Attivare microfono e fotocamera in modo silenzioso, trasformando lo smartphone in una cimice digitale.
In più, Pegasus è progettato per essere estremamente furtivo: può nascondere la propria presenza, cancellare tracce di attività e adattare il proprio comportamento per evitare di essere intercettato da antivirus o sistemi di sicurezza tradizionali. Questo livello di intrusione ha portato diverse istituzioni internazionali a parlare di una minaccia seria per i diritti umani, perché consente di monitorare giornalisti, attivisti, oppositori politici e avvocati con una precisione e una profondità mai viste prima.
Implicazioni politiche e diritti fondamentali
Il caso Pegasus non è solo una questione tecnica di sicurezza informatica: è un tema politico e di diritti fondamentali. Le inchieste hanno mostrato come lo spyware sia stato usato in vari Paesi per monitorare figure dell’opposizione, giornalisti investigativi e membri della società civile, spesso senza un controllo giudiziario trasparente. La possibilità di sorvegliare in modo invisibile e permanente il telefono di una persona apre uno scenario in cui la privacy personale e professionale, la libertà di stampa e il diritto alla riservatezza delle comunicazioni vengono radicalmente indeboliti.
Inoltre, il fatto che l’attacco possa partire da un semplice SMS – come descrive il video – o da una rete WiFi apparentemente innocua, inserisce la minaccia in un contesto quotidiano: non si tratta più di “hackeraggi” che richiedono comportamenti imprudenti, ma di strumenti di spionaggio industriale e politico che sfruttano l’infrastruttura di comunicazione su cui si regge la vita moderna. Il confine tra sicurezza nazionale e abuso di potere diventa così molto sottile, e la discussione pubblica si concentra sempre più sulla necessità di regole internazionali chiare per l’uso di spyware tanto invasivi.
Come difendersi e quali limiti hanno le contromisure
La prima linea di difesa contro attacchi come quelli di Pegasus resta l’aggiornamento costante dei dispositivi: nel caso di FORCEDENTRY, ad esempio, Apple ha rilasciato patch specifiche (come iOS 14.8) per chiudere le vulnerabilità usate dallo spyware. Mantenere sistema operativo e app aggiornati riduce la finestra di esposizione ai zero‑day noti.
Oltre agli aggiornamenti, gli esperti suggeriscono misure come:
-
Limitare le app di messaggistica e i servizi non essenziali, soprattutto su dispositivi usati per attività sensibili.
-
Evitare il “jailbreaking” o il “rooting” del telefono, che indebolisce le protezioni fornite dai produttori.
Considerare, in contesti ad alto rischio (giornalisti, attivisti, figure politiche), l’uso di “secure phone” progettati con sistemi operativi hardenizzati, aggiornamenti frequenti e controlli rigorosi sugli accessi hardware.
Tuttavia, nessuna misura è completamente risolutiva: gli attacchi zero‑click sono per definizione progettati per superare le difese esistenti, e spesso sfruttano vulnerabilità non ancora note. Per questo motivo la vera risposta, oltre alla prudenza tecnologica, passa per regolamentazioni più rigide sull’uso commerciale e governativo di spyware altamente invasivi e per una maggiore trasparenza sulle loro capacità.
