L’inchiesta “Pegasus Project”. Quando un software può diventare pericoloso per giornalisti e dissidenti

di Silvia Cegalin

2 Marzo 2017 ore 19 nel retro dell’autolavaggio di Ciudad Altamirano, una cittadina dello Stato di Guerrero in Messico, il giornalista freelance Cecilio Pineda Birto, in attesa che la sua auto venga lavata, si riposa beatamente sull’amaca. È da solo e dalla strada non si vede il cortile in cui si trova Pineda.  

Trascorrono pochi minuti, intanto due uomini raggiungono in moto il retro dell’edificio: Pineda morirà all’istante colpito da una raffica di colpi di arma da fuoco.

2 Ottobre 2018 Istanbul. L’editorialista saudita Jamal Ahmad Khashoggi si reca nel consolato dell’Arabia Saudita per ricevere alcuni documenti per il suo divorzio. Khashoggi da quell’edificio non uscirà più, di lì a breve verrà considerato una persona scomparsa, nel frattempo fonti anonime della polizia turca diffonderanno la voce che Khashoggi sia stato ucciso all’interno del consolato e che il suo corpo sia stato fatto sparire.

Apparentemente, escludendo l’efferatezza e la tragicità degli eventi in sè, questi due episodi non hanno nulla in comune, si svolgono in nazioni diverse e a distanza di un anno uno dall’altro, inoltre riguardano due persone che tra di loro non avevano alcun tipo di relazione, eppure un filo conduttore che connette questi fatti c’è.

Per capire il rapporto che lega l’esecuzione di Pineda con la ‘scomparsa’ di Khashoggi è necessario arrivare a luglio 2021, mese in cui è stata resa pubblica l’inchiesta “Pegasus Project”, inchiesta condotta da Forbidden Stories, progetto giornalistico per la libertà d’informazione con base a Parigi, e da Amnesty International, organizzazione non governativa internazionale per i diritti umani.

L’indagine “Pegasus Project” ha inizio quando i due enti, Forbidden Stories e Amnesty, riescono ad analizzare oltre 50.000 utenze telefoniche per verificare se al loro interno ci fossero tracce dello spyware Pegasus, software creato e venduto dal gruppo israeliano NSO. Quello che emergerà dall’analisi dei dati raccolti ha portato a una tra le inchieste più importanti in materia di cybersicurezza e libertà di informazione degli ultimi anni, non solo per i risultati emersi, ma anche perché ha visto la collaborazione di ben 17 testate giornalistiche (Washington Post, The Guardian, Le Monde, OCCRP, Süddeutsche Zeitung, Die Zeit, Aristegui Noticias, Radio France, Proceso, Knack, Le Soir, Haaretz/TheMarker, The Wire, Daraj, Direkt36, PBS Frontline) che hanno contribuito affinché la verità affiorasse.

Ed è a questo punto che i destini di Pineda e Khashoggi sembrano intrecciarsi, in quanto grazie a questa indagine si scoprirà che i loro dispositivi elettronici erano stati per lungo tempo hackerati e sorvegliati tramite il software israeliano.

I maggiori clienti del NSO (ossia coloro che hanno acquistato il software) sono, non a caso, i governi del Messico e dell’Arabia Saudita, insieme a quelli dell’India, dell’Ungheria, dell’Azerbaigian e del Marocco, Paesi in cui, sebbene in modo diversificato, la libertà di opinione subisce una forte censura; non sorprende infatti che la maggior parte delle intercettazioni sia stata indirizzata verso giornalisti, attivisti o dissidenti di governo. Di conseguenza, già da queste informazioni, si intuisce che le sorti di Pineda e Khashoggi non sono l’esito di una tragica fatalità, ma il risultato di un strategico piano di controllo che ha avuto come obiettivo quello di silenziare chi si opponeva ai regimi autoritari e diffondeva contenuti considerati scomodi.

Il gruppo NSO il software Pegasus

Prima di descrivere nel dettaglio l’inchiesta “Pegasus Project” e comprendere l’impatto che i sistemi di spyware possono avere nell’informazione libera e sulla vita dei soggetti sorvegliati, è utile capire che cos’è la NSO e come funziona il software Pegasus che per i suoi aspetti tecnici presenta una natura assolutamente innovativa.

Partiamo dal primo punto: l’azienda NSO nasce nel 2011 per offrire sistemi di intelligence e servizi tecnologici ad agenzie governative e alle Forze dell’ordine con lo scopo di combattere il terrorismo e la criminalità, garantendo un uso responsabile del programma informatico.

Ed è proprio sottolineando un utilizzo affidabile del software che il gruppo NSO nega qualsiasi coinvolgimento nella vicenda Pegasus. È sufficiente infatti andare alla voce News presente nel loro sito per trovare vari comunicati stampa in cui l’agenzia risponde alle accuse mosse da Forbidden Stories e Amnesty asserendo che si tratta di una campagna mediatica di diffamazione basata su fonti ‘non identificate’, ribadendo che il gruppo NSO non gestisce direttamente il sistema, né ha accesso ai dati dei suoi clienti, almeno che questi non siano sotto indagine.

Come si può leggere, i comunicati sono alquanto sbrigativi e non rispondono in maniera esauriente al nodo centrale della questione: perché, se è appurato che tra i maggiori clienti del NSO ci sono le agenzie governative, è anche vero che poi, una volta acquisito il software, gli stessi governi possono utilizzare il dispositivo come vogliono, senza limiti e in modo illegittimo, attivando anche intercettazioni non autorizzate verso i propri cittadini.

A conferma di questo parlano i dati dell’inchiesta che sembrano smentire le dichiarazioni del NSO, in quanto dalle ricerche incrociate condotte dalle varie redazioni citate in precedenza, è stato dimostrato che parte dei clienti del NSO utilizzava Pegasus per sorvegliare la popolazione e gli oppositori politici. La lotta contro il terrorismo e la criminalità di cui vanta l’agenzia concerne perciò solo una parte delle loro attività.

Si intuisce che, se Pegasus venga utilizzato non ‘solo’ per combattere il crimine, ma anche per controllare cittadini o determinati soggetti, può trasformarsi in un’arma potentissima verso chi si schiera per la libertà di espressione.

Giunti a questo punto, però, è importante comprendere le funzionalità di questo software che a differenza di altri è capace di superare degli ostacoli strutturali che lo rendono ancora più temibile.  

Non è una novità che un trojan riesca a captare dati, conversazioni (perforando anche la crittografia definita sicura di applicazioni come Signal o WhatsApp), contatti, geolocalizzazioni e registrare audio e video ripresi dal vivo.

Tuttavia la particolarità di Pegasus sta nel metodo usato per infiltrarsi all’interno del dispositivo elettronico, perché se fino al 2018 esso si installava prevalentemente tramite il clic a un link malevolo inviato tramite un sms o una mail, grazie alle sue versioni più recenti Pegasus riesce a penetrare nei cellulari o nei pc attraverso una metodologia che viene definita network injection (iniezione su rete). La network injection è un tipo di attacco informatico tra i più rischiosi soprattutto per il fatto che il soggetto bersaglio dell’hackeraggio non deve eseguire alcuna azione, in quanto funziona deviando la connessione di un dispositivo su un indirizzo infetto scelto dall’hacker, in pratica si apre un sito ma si viene reindirizzati ad un altro. Il fatto inoltre che la cybersicurezza di Apple e Google risulti essere vulnerabile al sistema progettato dal NSO la rende ancora più difficile da individuare.

I giornalisti nel mirino di Pegasus

Se da una parte si può pensare che il destino di Pineda e Khashoggi sarebbe stato il medesimo anche senza le intercettazioni, dall’altra, dopo le molte letture di interviste e reportage raccolti da Forbidden Stories, riesce difficile pensare che non vi sia un collegamento tra il software Pegasus e la sorte dei due giornalisti.

Nell’agguato di Pineda la geolocalizzazione presente nel software si è rivelato fondamentale, sarebbe stato difficile infatti trovare Pineda visto che il cortile in cui stava era ben nascosto dalla strada, e pare che durante il tragitto per arrivare lì egli non fosse stato seguito.

Nel caso di Khashoggi, invece, il controllo ha coinvolto anche parte della sua famiglia. Dalle analisi condotte dal Security Lab di Amnesty International è emerso che lo spyware della NSO era stato installato nei telefoni della moglie Hanan Elatr, del figlio Abdullah, dell’attuale fidanzata Hatice Cengiz e anche in quello dell’amico Omar Abdulaziz. Di controparte la NSO ha sempre negato qualsiasi relazione tra Pegasus e la “scomparsa” del giornalista saudita.

Quello che è certo è che dall’attivazione dell’uso di Pegasus sono innumerevoli i giornalisti che sono stati coinvolti nelle cosiddette smear campaign, ossia campagne di diffamazione pubblica costruite appositamente per isolare il giornalista e screditare il suo pensiero.

Ma la forza dei governi che hanno usato illegittimamente Pegasus non si è ‘limitata’ a questo, sono molti i giornalisti che hanno ricevuto minacce o che sono stati arrestati, alcuni sono anche fuggiti dal loro paese per scoprire soltanto in seguito che erano ancora soggetti sorvegliati.

Si è scoperto, ad esempio, che Khadija Ismayilova, giornalista investigativa dell’Azerbaigian presso l’Organized Crime and Corruption Reporting Project, incarcerata per le sue inchieste ‘scomode’ e spiata nella sua residenza attraverso telecamere installate nella camera da letto, ha avuto il cellulare infettato da Pegasus dal 2018 al 2021.

Mentre il giornalista marocchino Omar Radi, arrestato con l’accusa di attentato alla sicurezza dello Stato e di violenza sessuale, è stato spiato da Pegasus dal 2019 al 2020. La carcerazione di Radi è la conclusione di anni di diffamazione in cui il suo lavoro, come quello di altri suoi colleghi come Taoufik Bouachrine o Soulaiman Raissouni, è stato messo in seria discussione dalle autorità governative marocchine, per questo in molti, tra cui Amnesty, interpretano le accuse contro il giornalista come uno dei vari metodi per silenziarlo.

Ad affiancarsi alla sua vicenda è anche quella dei due giornalisti ungheresi Szabolcs Panyi e András Szabó del Direkt36, fortemente critici nei riguardi della politica di Orbán, e anch’essi spiati inconsapevolmente dal software acquistato dall’Ungheria.

I casi citati sono soltanto pochi esempi per far capire il livello di pericolosità che può raggiungere Pegasus se non utilizzato correttamente. Pericolosità che viene confermata anche nelle parole espresse da Agnès Callamard, segretario generale di Amnesty International, che ha dichiarato: «Il “Pegasus Project” rivela come lo spyware della NSO Group sia un’arma a disposizione dei governi repressivi che vogliono ridurre al silenzio i giornalisti, attaccare gli attivisti e stroncare il dissenso, mettendo a rischio innumerevoli vite umane» (fonte: Amnesty).

Purtroppo il “Pegasu Project” è l’espressione perfetta di quel fenomeno che ha preso il nome di Autoritarismo digitale, manifestazione di sovranità espressa dai governi autoritari e tesa ad identificare, monitorare e censurare le azioni dei cittadini online, sfruttando la stessa rete per  diffondere i propri valori e manipolare l’opinione pubblica.

Sull’inchiesta Pegasus si è espresso lo stesso Edward Snowden. In un’intervista rilasciata per il The Guardian a metà luglio, Snowden ha ribadito l’urgenza di ritirare dal mercato strumenti per la sorveglianza di massa del livello del software creato dalla NSO, perché, e il caso Pegasus ne è la conferma, c’è realmente il rischio di avviare un controllo che in futuro potrebbe coinvolgere ciascun cittadino, ognuno di noi, aprendo a prospettive fin’ora immaginate solo nei film.