La mia prima lettura dell’anno riguarda una vicenda che continua a far discutere nel mondo della cybersecurity. Parliamo della lunga battaglia legale tra Meta/WhatsApp e la società israeliana NSO Group, nota per aver sviluppato lo spyware Pegasus, utilizzato in passato per colpire giornalisti, attivisti e perfino figure politiche in vari Paesi, Italia compresa.

La causa nasce dalle accuse secondo cui, nel 2019, NSO avrebbe sfruttato una vulnerabilità nelle chiamate VoIP di WhatsApp per colpire circa 1.400 utenti con attacchi “zero‑click”, cioè senza alcuna interazione da parte della vittima. Secondo Meta, NSO avrebbe reverse‑ingegnerizzato l’app e creato un vettore di attacco che permetteva ai suoi clienti governativi di sorvegliare gli utenti e accedere ai dati presenti sui server della piattaforma.

Un giudice federale della California ha infatti respinto la richiesta di NSO di sospendere l’ingiunzione che le impedisce di utilizzare l’infrastruttura di WhatsApp per qualsiasi attività legata ai suoi spyware, almeno fino alla decisione sull’appello.

NSO sostiene che l’ingiunzione rischia di causare danni “catastrofici” alla sua attività, ma il giudice ha stabilito che l’azienda non ha dimostrato di avere buone probabilità di successo nel contestare la propria responsabilità. Le prove raccolte finora mostrano che NSO avrebbe superato di molto qualsiasi uso autorizzato del servizio.

L’unica concessione del tribunale è una breve sospensione amministrativa di massimo 45 giorni, che servirà a NSO per chiedere l’intervento della corte d’appello. Fino ad allora, però, la società non potrà utilizzare WhatsApp né la sua infrastruttura per alcuna attività legata allo sviluppo o al test dei suoi strumenti di sorveglianza.

In sintesi il tribunale, giustamente, sembra voler impedire che l’azienda continui a usare WhatsApp come piattaforma per individuare nuove vulnerabilità o sviluppare nuovi exploit. In pratica, non si tratta solo di chiudere una falla, ma di bloccare chi quella falla l’ha sfruttata e potrebbe farlo di nuovo.

È un segnale forte verso l’intero settore degli spyware commerciali: la sorveglianza digitale non può essere lasciata senza regole, e le aziende che operano in questo campo devono rispondere delle proprie azioni.
Una vicenda che, a mio avviso, continuerà a far discutere ancora a lungo.

*Fonte therecord.media/judge-rules-ns…

Judge rules that NSO cannot continue to install spyware via WhatsApp pending appeal

NSO Group had sought to stay the order pending a decision on its appeal in the case, which centers on allegations that it targeted 1,400 WhatsApp users with its powerful zero-click Pegasus spyware in 2019.

^{Suzanne Smalley (The Record)}