Centinaia di italiani spiati (per errore) attraverso uno spyware per le intercettazioni

Centinaia di italiani sono stati infettati da un software, sviluppato da un’azienda italiana, usato dalle procure per intercettare criminali: un errore nel codice ha fatto sì che intercettasse in modo indiscriminato chiunque scaricasse queste app, presenti sullo store di Google, che si presentavano come strumenti per migliorare le prestazioni del cellulare o per ricevere offerte promozionali.Si chiama Exodus, ed è stato identificato da un gruppo di ricercatori di Security Without Borders, no-profit che compie anche investigazioni su minacce contro dissidenti e attivisti per i diritti umani, e dalla rivista Motherboard. Secondo i ricercatori, lo spyware avrebbe avuto accesso a dati sensibili come le registrazioni audio ambientali, le chiamate telefoniche, la cronologia dei browser, le informazioni del calendario, la geolocalizzazione, i log di Facebook Messenger e le chat di WhatsApp.

Le indagini e la politica

La procura di Napoli ha aperto un fascicolo di indagine: l’obiettivo è scoprire come sia stato possibile che un’applicazione, destinata ad essere utilizzata solo su richiesta e sotto il controllo della magistratura, fosse disponibile online su Google Store, così da ingannare gli utenti che l’hanno scaricata sui loro cellulari e si sono ritrovati illecitamente spiati.Il Copasir, il comitato di controllo sui servizi segreti, approfondirà la vicenda e nei prossimi giorni chiederà al Dis, il dipartimento che coordina l’attività delle agenzie di intelligence, notizie e aggiornamenti sulla vicenda. Le forze politiche chiedono chiarimenti. Fra queste, Deborah Bergamini, deputata e responsabile Trasporti, Tlc e Poste di Forza Italia, ha scritto su Facebook: “Chiederemo che venga fatta chiarezza sullo spyware Exodus e continueremo a chiedere con forza che venga istituita una Commissione parlamentare di Inchiesta sull’utilizzo dei dati degli utenti. Chi non capisce che dalla sicurezza dei dati passa il futuro della democrazia, rischia di rimanere confinato ai margini della storia”.

Gli occhi di Exodus

“Nel tentativo apparente di indurre i bersagli a installarle con l’inganno, le app dello spyware erano progettate per assomigliare a innocue app per ricevere promozioni e offerte di marketing da operatori telefonici italiani, o da app per migliorare le performance del dispositivo” fanno sapere i ricercatori.Dietro lo spyware, sempre secondo Security Without Borders e Motherboard, ci sarebbe un’azienda con base a Catanzaro.

Quante vittime

“All’inizio di quest’anno – spiegano da Motherboard – i ricercatori hanno allertato Google dell’esistenza di queste app, che poi sono state rimosse. Google ha detto sia ai ricercatori che a Motherboard di aver trovato 25 versioni differenti dello spyware negli ultimi due anni, risalenti fino al 2016. Google ha rifiutato di condividere il numero esatto di vittime, ma ha detto che è inferiore alle 1000 e che sono tutte italiane. L’azienda non ha fornito ulteriori informazioni riguardo le persone colpite”

Come agiva Exodus

Secondo Motherboard, Exodus era “programmato per agire in due stadi. Nel primo stadio, lo spyware si installa e controlla solamente il numero di telefono e l’IMEI del cellulare, presumibilmente per controllare se lo smartphone è effettivamente quello da attaccare. Apparentemente, per questa attività, il malware ha una funzione chiamata CheckValidTarget”.

L’attacco vero e proprio

I ricercatori hanno visto che dopo aver effettuato il controllo, il malware scaricava un file ZIP per installare il vero malware, in grado di hackerare lo smartphone e di rubarne i dati.A quel punto, stando ai ricercatori, il malware ha accesso ai dati più sensibili presenti sul telefono infetto — come, fra le altre cose, le registrazioni audio ambientali, le chiamate telefoniche, la cronologia dei browser, le informazioni del calendario, la geolocalizzazione, i log di Facebook Messenger, le chat di WhatsApp, e i messaggi di testo.

Il Garante: fatto gravissimo

“È un fatto gravissimo. La notizia dell’avvenuta intercettazione di centinaia di cittadini del tutto estranei ad indagini giudiziarie, per un mero errore nel funzionamento di un captatore informatico utilizzato a fini investigativi, desta grande preoccupazione e sarà oggetto dei dovuti approfondimenti, anche da parte del Garante, per le proprie competenze. La vicenda presenta contorni ancora assai incerti ed è indispensabile chiarirne l’esatta dinamica” ha dichiarato il Garante della privacy Antonello Soro.