Il leak sullo spyware Pegasus NSO “è scoppiato nel pieno della settimana internazionale del cyber”, dichiarava Ariel Ben Abraham, responsabile comunicazione per NSO Group, nell’intervista concessa a Repubblica e pubblicata il 27 luglio, “forse non è un caso”. Il gruppo di proprietà statunitense è pronto a collaborare e continua a negare fermamente le accuse scatenate dall’inchiesta sull’uso improprio del software, che ha innalzato il livello di attenzione dei Paesi sulla cyberwarfare. Mentre in Italia si attende il parere favorevole del Senato sulla prossima Agenzia nazionale di Cybersicurezza, la Polizia Postale sottolinea la pericolosità degli attacchi diretti alle infrastrutture informatiche.
NSO Group, continuando a sostenere la propria linea di condotta, dichiara comunque la propria disponibilità a collaborare con le autorità che hanno aperto, o che apriranno, inchieste ufficiali pur chiedendosi “chi ci sia dietro questa operazione: 90 giornalisti da tutto il mondo che peraltro ora sostengono che l’elenco famoso non è direttamente correlato con Nso“, così Abraham a Repubblica. Un elenco che manca di attendibilità, secondo il gruppo, considerato che il limite di licenze annue per cliente è di 100 e che, come più volte riportato nella propria difesa comunicativa, non è indicativo di potenziali obiettivi Pegasus. “I numeri nell’elenco non sono in alcun modo correlati al gruppo NSO” – riportava il The Guardian dando voce alla posizione del gruppo, aggiungendo come il giornale “e altri partner del consorzio dei media che hanno avuto accesso ai dati del progetto Pegasus ritengono che l’elenco indichi persone di interesse selezionate dai clienti governativi di NSO“. I dispositivi target sottoposti ad analisi forense mostravano tracce dello spyware Pegasus, il che indica che il numero in lista era correlato a una licenza di utilizzo del software.
L’esistenza di un progetto come il Pegasus risponde alla trasformazione del Mercato della Rete e delle Comunicazioni con infrastrutture e tecnologia privacy oriented: crittografia end-to-end, mascheramento, protocolli proprietari, reti private, roaming, sim card e device usa e getta, sono i paradigmi della comunicazione digitale che hanno reso insufficienti, quando non obsoleti sistemi, tecniche e infrastrutture di ascolto e intercettazione. Questa è la prospettiva d’ingaggio con cui il gruppo NSO presenta le specifiche del prodotto Pegasus, dunque rivolto a tipologie di clienti specifici in aree governative come: agenzie di spionaggio e contro spionaggio, unità anti terrorismo e forze dell’ordine. Abraham, in qualità di responsabile delle comunicazioni globali del gruppo, rappresenta la posizione della proprietà riguardo l’inchiesta sull’uso del Pegasus prodotta da 10 testate giornalistiche in tutto il mondo. L’obiettivo dell’inchiesta non era dimostrare la malafede del gruppo quanto la pericolosità del progetto quando utilizzato come arma cyber e, di conseguenza, la pericolosità di un’industria i cui prodotti attaccano le debolezze individuate in un sistema target.
Non è mai semplice difendere da attacchi informatici mirati le infrastrutture tecnologiche di un Paese fortemente digitalizzato. La crescita digitale dell’Italia negli ultimi anni, propria di una nazione che deve essere all’avanguardia per la crescita di domanda digitale per utenze e incentivi europei, ha esposto la frontiera cibernetica a nuove tipologie di attacchi altrimenti rare con cui si sta misurando la Polizia Postale come “affossare il profilo azionario di una società quotata in Borsa facendo filtrare notizie sensibili sottratte e consentendo una speculazione sul crollo delle azioni“. Qualsiasi attacco mirato a ridurre il potenziale e l’operatività digitale di enti ed aziende è un attacco agli interessi di uno Stato. Una considerazione sottolineata anche in discussione alla Camera alla vigilia del parere favorevole alla conversione in legge d.l. 81 / 14.07.2021. L’urgenza scatenata dall’esistenza di armi informatiche come i ransomware o da progetti come il Pegasus, così come evidenziata dal d.l. è sintetizzabile in due punti: formazione sulla sicurezza informatica coerente all’uso pubblico e privato delle tecnologie di rete; incremento di tecnologia crittografica.
