Il Regno Unito, gli Stati Uniti e i Paesi Bassi hanno lanciato un allarme congiunto su una campagna di spionaggio digitale attribuita a soggetti legati a Teheran e diretta contro dissidenti, attivisti e giornalisti critici del regime iraniano. Al centro dell’operazione vi è Chosen Brick, uno spyware impiegato almeno dal 2025 per sottrarre comunicazioni, sorvegliare gli spostamenti delle vittime e raccogliere informazioni potenzialmente utilizzabili a fini intimidatori o repressivi.
L’infezione non comincia con una vulnerabilità sofisticata, ma con la manipolazione personale. Gli operatori avvicinano le vittime sui social network, fingendosi contatti conosciuti oppure addetti all’assistenza tecnica, e costruiscono gradualmente un rapporto di fiducia. Il bersaglio viene quindi persuaso a scaricare un programma apparentemente legittimo o ad aprire un file presentato come innocuo. È una modalità particolarmente efficace contro persone che lavorano in reti diasporiche, giornalistiche o militanti, nelle quali messaggi inattesi e scambi di documenti sono frequenti.
Una volta installato su un sistema Windows, Chosen Brick può acquisire schermate, attivare il microfono, sottrarre email e conversazioni di Telegram e WhatsApp, censire i processi in esecuzione e raccogliere dati tecnici sul dispositivo. Il malware utilizza il registro di Windows per mantenere la persistenza, introduce esclusioni in Microsoft Defender per ridurre le probabilità di essere rilevato e sfrutta Telegram come infrastruttura di comando e controllo. Può inoltre scaricare altri programmi malevoli, cancellare file o arrivare alla distruzione completa dei dati presenti sul computer.
La rilevanza strategica dell’operazione supera il tradizionale cyber-spionaggio. La pubblicazione di materiale sottratto su siti vicini agli interessi iraniani indica che l’obiettivo non è soltanto ottenere informazioni riservate, ma anche esporre, screditare e intimidire gli oppositori. Dati personali, reti di contatti, conversazioni private e informazioni sugli spostamenti possono diventare strumenti di pressione contro la vittima e contro familiari o collaboratori rimasti in Iran. La compromissione digitale si trasforma così in un moltiplicatore della repressione transnazionale.
La campagna riflette un modello operativo ormai consolidato: strumenti informatici relativamente accessibili vengono integrati con intelligence umana, ingegneria sociale e operazioni d’influenza. Teheran può in questo modo proiettare il proprio apparato di sicurezza oltre i confini nazionali, colpendo comunità dell’esilio senza ricorrere immediatamente ad azioni fisiche più visibili e diplomaticamente costose. L’ambiguità dell’attribuzione e l’impiego di intermediari garantiscono inoltre un certo margine di negazione plausibile.
L’intervento coordinato delle autorità britanniche, statunitensi e olandesi segnala che la tutela dei dissidenti sta entrando a pieno titolo nell’agenda della sicurezza occidentale. L’avvertimento è anche politico: le operazioni contro oppositori, attivisti e mezzi d’informazione all’estero non vengono più considerate soltanto episodi di criminalità informatica, ma una componente della competizione strategica e dell’ingerenza autoritaria. Chosen Brick rappresenta quindi non solo una minaccia tecnica, ma uno strumento di potere impiegato per restringere lo spazio del dissenso ben oltre il territorio iraniano.
Fonte: Infosecurity Magazine – NCSC and Allies Warn of Iranian Spyware Campaign
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
