Apple rompe il silenzio: scoperta e corretta vulnerabilità zero-day usata per spiare giornalisti europei
Apple ha confermato oggi, tramite TechCrunch, di aver corretto una grave vulnerabilità zero-day utilizzata per installare spyware mercenario sugli iPhone di almeno due giornalisti europei. Il problema di sicurezza è stato risolto con l’aggiornamento a iOS 18.3.1, rilasciato lo scorso febbraio, ma la sua reale portata è emersa solo ora, grazie a un aggiornamento del bollettino ufficiale Apple e a un’indagine pubblicata da Citizen Lab.
Secondo quanto rivelato, la vulnerabilità era sfruttata dalla società israeliana Paragon, già nota per la diffusione del suo spyware “Graphite”. L’attacco è stato definito da Apple come “estremamente sofisticato” e indirizzato a obiettivi ben specifici. Il punto debole riguardava il modo in cui iOS gestiva le foto e i video inviati tramite iCloud Links: una falla che poteva essere sfruttata senza che la vittima aprisse direttamente i file, rendendo l’attacco particolarmente insidioso.
Tra le vittime identificate c’è il giornalista italiano Ciro Pellegrino, insieme a un secondo giornalista europeo di alto profilo rimasto anonimo. Entrambi avevano ricevuto da Apple le notifiche generiche di “minaccia spyware mercenario”, inviate a partire da aprile in oltre 100 Paesi. Tuttavia, Apple non aveva mai nominato Paragon esplicitamente nei suoi avvisi, motivando la scelta con la necessità di non facilitare le contromisure da parte degli autori degli attacchi.
Già a gennaio, WhatsApp aveva avvisato circa 90 utenti – tra cui giornalisti e attivisti per i diritti umani – di essere stati bersaglio dello spyware di Paragon. Il rapporto di Citizen Lab pubblicato oggi rappresenta però la prima conferma concreta del coinvolgimento diretto della società israeliana in attacchi mirati a utenti iPhone.
L’aggiornamento “silenzioso” del bollettino Apple e la mancata comunicazione iniziale sul secondo exploit sollevano interrogativi sulla trasparenza con cui Cupertino gestisce le minacce informatiche avanzate.
