Per anni lo spyware è stato raccontato come un’arma di precisione riservata agli apparati: costosa, selettiva, venduta a governi e acquistata in licenza. Il rapporto Advanced Mobile Threat Report 2026 di iVerify demolisce quel modello interpretativo e ne impone uno nuovo, molto più scomodo per chiunque scriva di sicurezza nazionale. Su un campione di centinaia di migliaia di dispositivi scansionati, il tasso di infezione tra i privati è dell’1,07 per mille contro lo 0,7 per mille rilevato nelle aziende. Una differenza che non misura l’abilità degli attaccanti ma la fragilità della difesa: nelle imprese funzionano patch obbligatorie, rilevamento sul dispositivo e controlli di rete, e questo basta a ridurre l’esposizione. Una multinazionale di Fortune 500 si porta a casa, in media, circa 65 infezioni l’anno nei propri terminali. Il dato che sposta l’asse della questione è un altro: tra i dipendenti colpiti prevalgono figure ordinarie, non dirigenti e non vertici aziendali. La minaccia ha smesso di selezionare la rilevanza geopolitica della vittima.
Alla radice di questa transizione ci sono due framework di exploit iOS — Coruna e DarkSword — responsabili di circa il 75% dei rilevamenti, mentre il restante 25% porta la firma dello spyware mercenario, Pegasus incluso. Lo scarto è strutturale, non tecnologico: DarkSword e Coruna offrono lo stesso livello di compromissione totale del telefono dei prodotti commerciali di fascia alta, messaggi, foto, email, microfono e camera compresi, ma circolano sul mercato nero mentre i brand commerciali restano venduti in esclusiva a clienti statali. Il toolkit alla base di Coruna proviene da un framework sottratto a un appaltatore della difesa ed è stato impiegato per drenare criptovalute da oltre 42.000 dispositivi iOS attraverso falsi siti finanziari in lingua cinese, con un ex dirigente di L3Harris Trenchant condannato a sette anni nel febbraio 2026 per aver rivenduto gli exploit sul mercato nero. DarkSword, framework full-chain in JavaScript, colpisce da solo con la semplice visita a un sito compromesso, senza alcun clic.
Le conseguenze strategiche sono tre. Primo: il modello di attribuzione si rompe. Quando lo strumento che abbatte un telefono è lo stesso in mani statali e criminali, l’attribuzione tecnica non indica più un attore, e la deterrenza diplomatica perde il suo bersaglio. Secondo: l’arsenale offensivo è diventato un bene di consumo, e questo sposta il baricentro del rischio dalle cancellerie ai reparti aziendali, dai giornalisti ai dipendenti ordinari, in una logica di rete gettata invece che di caccia mirata. Terzo: la sovranità digitale si misura sulla capacità di difesa diffusa, non sulla proprietà delle armi, perché le infrastrutture informatiche di una società sono tanto più esposte quanto più ampia è la platea di terminali compromettibili. Resta un dettaglio che pesa più di ogni analisi: molti dei dispositivi infetti non hanno ricevuto alcuna notifica di minaccia da Apple. Il silenzio degli allarmi, in un’economia della sorveglianza che ha ormai perso il controllo delle proprie catene di fornitura, è il vero dato politico di questo rapporto.
Fonte principale: Suzanne Smalley/The Record, Cybercriminals are increasingly infecting regular people with spyware 10 novembre 2026
