Iran. L’intelligence mira ai giornalisti israeliani con phishing

I servizi di intelligence iraniani stanno intensificando gli attacchi informatici contro giornalisti israeliani, utilizzando messaggi costruiti sulle attività professionali delle singole vittime per conquistarne la fiducia e ottenere accesso ai loro account o ai telefoni cellulari. L’allarme arriva dallo Shin Bet, che nelle ultime settimane ha rilevato un aumento dei tentativi di phishing condotti soprattutto attraverso WhatsApp e Telegram, in una fase nella quale la guerra informatica fra Israele e Iran continua anche dopo lo scontro militare diretto della scorsa primavera.

La tecnica utilizzata è relativamente semplice, mentre la preparazione che la precede può essere molto accurata. L’aggressore studia il giornalista, i suoi contatti, il settore di cui si occupa e le persone con le quali potrebbe ragionevolmente entrare in rapporto. Successivamente si presenta con un’identità credibile, talvolta impersonando una persona o un’organizzazione esistente, e propone un’intervista, una collaborazione professionale o una conversazione su un argomento collegato al lavoro della vittima.

Il passaggio decisivo arriva quando il contatto sembra ormai affidabile. Al giornalista viene inviato, per esempio, quello che appare come il collegamento a una riunione online. La pagina riproduce l’aspetto di un servizio conosciuto e chiede di inserire le credenziali dell’account Google. Se la vittima lo fa, nome utente e password finiscono nelle mani degli aggressori. In altri casi vengono trasmessi file o collegamenti contenenti software malevolo, con l’obiettivo di penetrare nello smartphone e accedere a messaggi, documenti e altri dati.

Per un servizio di intelligence, il valore di un simile accesso può andare ben oltre il contenuto degli articoli pubblicati. I telefoni e le caselle di posta dei giornalisti possono contenere conversazioni con funzionari pubblici, militari, diplomatici e fonti riservate, appuntamenti ancora sconosciuti all’esterno, bozze di documenti e informazioni sui processi decisionali israeliani. Lo Shin Bet ritiene che proprio la raccolta di informazioni politiche e di sicurezza sia fra gli obiettivi delle operazioni attribuite all’Iran.

La scelta dei giornalisti come bersaglio rientra in una strategia già osservata nelle campagne informatiche iraniane. I gruppi collegati a Teheran hanno ripetutamente utilizzato il social engineering, cioè la manipolazione della vittima attraverso identità e situazioni apparentemente plausibili, contro esponenti politici, ricercatori, funzionari e persone legate agli apparati di sicurezza. Il phishing rimane particolarmente efficace perché consente di aggirare molte difese tecnologiche sfruttando direttamente la fiducia dell’utente.

Durante la guerra fra Israele e Iran della primavera scorsa questa attività ha assunto dimensioni ancora maggiori. Analisi indipendenti hanno registrato operazioni iraniane che spaziavano dal furto di informazioni alla diffusione di messaggi destinati alla popolazione israeliana, fino all’impiego di applicazioni contraffatte. Palo Alto Networks ha documentato, per esempio, una campagna basata su una falsa versione di un’applicazione di allerta del Comando del fronte interno, distribuita attraverso messaggi che inducevano gli utenti a installare un programma Android capace di sorvegliare il dispositivo e sottrarre dati.

La pressione psicologica delle emergenze costituisce un elemento essenziale di queste operazioni. Durante gli attacchi missilistici iraniani gli israeliani ricevevano realmente sul telefono le istruzioni del Comando del fronte interno per raggiungere gli spazi protetti e attendere il cessato allarme. In un contesto nel quale pochi secondi possono fare la differenza, un messaggio che sembra provenire da un’autorità riconoscibile ha molte più probabilità di essere aperto senza le verifiche abituali.

Il fenomeno appartiene a un confronto informatico che ormai accompagna stabilmente quello militare e di intelligence fra i due Paesi. Secondo il Financial Times, negli ultimi mesi l’Iran ha intensificato le proprie operazioni digitali ricorrendo a spionaggio, furto di dati, malware e campagne di influenza, attraverso una struttura che comprende unità legate ai Guardiani della Rivoluzione, gruppi esterni e organizzazioni di hacker ideologicamente vicine al regime.

L’elemento nuovo segnalato dallo Shin Bet riguarda soprattutto la qualità della personalizzazione. Un messaggio generico e scritto male è relativamente facile da riconoscere; una richiesta di intervista che cita il lavoro appena pubblicato dal destinatario, utilizza il nome di una persona conosciuta e arriva attraverso il canale sul quale un giornalista riceve quotidianamente proposte e informazioni diventa assai più insidiosa.

È precisamente su questo terreno che si sta spostando una parte della guerra informatica. Le difese dei sistemi israeliani possono essere rafforzate continuamente, mentre il punto vulnerabile rimane spesso la persona davanti allo schermo. Per Teheran, convincere un giornalista a consegnare involontariamente una password può risultare molto più semplice che violare direttamente una rete protetta. E soprattutto può aprire una porta verso informazioni alle quali, altrimenti, sarebbe assai difficile arrivare.