Pegasus e spyware mercenari: come funzionano e come proteggersi

Pegasus e spyware mercenari: come funzionano e come proteggere telefono e PC

Sicurezza · 24 ottobre 2026 · 16 min · Eugenio Damaso

Pegasus è lo spyware più famoso al mondo. Non è fatto per il tuo PC, ma il tuo PC finisce nella storia lo stesso. Qui trovi che cosa è documentato, che cosa no e come difendere telefono e PC, livello per livello, con le impostazioni da cambiare.

In sintesi

• Pegasus è uno spyware commerciale di NSO Group, venduto a clienti governativi. Le analisi pubbliche lo descrivono su smartphone, spesso con attacchi zero-click: la vittima non tocca nulla.
• Predator, Graphite e DevilsTongue lavorano con lo stesso schema. DevilsTongue, di Candiru, ha colpito anche Windows con vulnerabilità zero-day.
• Nessuna configurazione ti garantisce contro un attacco statale. Il lavoro del CISO è ridurre la superficie d'attacco, il tempo di esposizione e il danno.
• Il telefono è il bersaglio principale, il PC è la riserva di chiavi, sessioni e backup. Vanno difesi tutti e due.
• Le stesse misure fermano phishing, ransomware e furto di credenziali, che sono il rischio vero per quasi tutti.

Che cos'è Pegasus

Pegasus è lo spyware di NSO Group, azienda israeliana che lo vende a governi e agenzie. Una volta sul telefono legge messaggi, email, calendario, contatti, navigazione, file e foto. Può accendere fotocamera e microfono e rilevare la posizione. Amnesty International e il Citizen Lab dell'Università di Toronto ne documentano da anni l'uso contro giornalisti, attivisti e oppositori.

Come si è evoluto

Nel luglio 2026 il Security Lab di Amnesty ha pubblicato una ricostruzione tecnica basata su documenti e indagini forensi. Le tappe:

• 2017 – Indagini forensi attribuiscono a NSO capacità zero-click contro iOS.
• 2018 – Pegasus 2.50 introduce «Heaven», il primo vettore zero-click per Android su larga scala, via WhatsApp. Un documento di agosto elenca cinque metodi: «Triggered» (1-click), «Covert» (zero-click), «Tactical Network Element» (intercettazione di rete), «Inline» e «Physical».
• 2019 – «Dragonfly» attacca iOS 12 via iMessage. Un aggiornamento, iOS 12.4.1, lo neutralizza con ogni probabilità.
• 2020–2021 – Nuovi zero-click per iOS 13 (Foto), KISMET (iMessage) e FORCEDENTRY su iOS 14. Nel 2021 il Pegasus Project rende pubblico l'elenco dei numeri selezionati come possibili bersagli.
• 2025 – In Serbia un attacco 1-click via Viber contro una giornalista con iPhone.

Come arriva sul dispositivo

Pulire il telefono non basta. Amnesty ricorda che credenziali e token rubati tengono aperto l'accesso agli account online anche quando il dispositivo non è più infetto. Dopo un sospetto cambia le password e chiudi le sessioni da un dispositivo pulito.

Gli spyware affini

Il mercato dello spyware commerciale ha più fornitori. Cambia il nome, il metodo resta: link camuffati, zero-click sulle app di messaggistica, vulnerabilità non ancora corrette.

L'unico che riguarda Windows: DevilsTongue

Nel luglio 2021 Microsoft ha descritto DevilsTongue, malware modulare con componenti in user mode e in kernel. Oltre 100 vittime nel mondo tra politici, attivisti, giornalisti, accademici e dissidenti. Raccoglieva file, interrogava il registro, rubava credenziali da LSASS e dai browser, decifrava le conversazioni di Signal Desktop e prendeva i cookie per entrare nei servizi della vittima. Restava nel sistema dirottando una chiave COM, con una DLL caricata in svchost.exe come SYSTEM, e usava un driver firmato legittimo (physmem.sys) per operare dal kernel.

Da questo caso ricavo le priorità sul PC: patch rapide, credenziali protette, driver vulnerabili bloccati, browser e messaggistica desktop trattati come dati sensibili.

I casi più recenti

• Serbia, ottobre 2026. Il 19 ottobre il Citizen Lab e la SHARE Foundation hanno pubblicato l'analisi sul rettore dell'Università di Belgrado, Vladan Đokić: iPhone infettato con Pegasus via zero-click, valutato con alta confidenza dopo analisi forense. Un ex collaboratore della procura per la criminalità organizzata, Rade Bajić, ha ricevuto una notifica di Apple, indicatore ad alta affidabilità. L'analisi era ancora in corso.
• Angola, 2024 (pubblicato a febbraio 2026). Amnesty ha confermato Predator contro il giornalista Teixeira Cândido. Prima messaggi WhatsApp senza link per costruire fiducia, poi link camuffati da articoli. Il telefono usava iOS 16.2, non aggiornato.
• Italia, 2025. Il Citizen Lab ha confermato Graphite di Paragon contro giornalisti e attivisti: Ciro Pellegrino di Fanpage.it su dispositivo Apple, Luca Casarini e Giuseppe Caccia su Android. Il rapporto riferisce che il COPASIR ha riconosciuto l'uso di Graphite da parte del governo italiano su Casarini e Caccia.
• Tribunali. Il 17 ottobre 2025 un tribunale californiano ha vietato a NSO di colpire gli utenti WhatsApp, riducendo i danni punitivi da 167,3 a 4 milioni di dollari. A giugno 2026 WhatsApp ha annunciato la richiesta di dichiarare NSO in oltraggio alla corte per nuovi attacchi.

Le attribuzioni nei rapporti tecnici sono prudenti («probabilmente», «alta confidenza»): poggiano su indicatori forensi, non su conferme dei fornitori.

Il modello di minaccia

Prima delle impostazioni, una domanda: chi potrebbe voler entrare nel tuo telefono e quanto spenderebbe? Uno spyware mercenario costa molto e viene usato su pochi bersagli. Per questo ragiono su tre livelli. Ogni livello include il precedente.

Una verità scomoda: il livello 1 ferma quasi tutto ciò che ti colpirà davvero. Il livello 3 non garantisce l'immunità, aumenta il costo dell'attacco e la probabilità che venga scoperto.

Proteggere l'iPhone

Livello 1

1. Aggiornamenti automatici. Impostazioni › Generali › Aggiornamento software › Aggiornamenti automatici. Dragonfly è stato fermato da un aggiornamento e Apple ha corretto lo zero-day di Graphite in iOS 18.3.1. Il telefono angolano era fermo a iOS 16.2.
2. Codice alfanumerico lungo al posto di quello a sei cifre, con Face ID per la comodità.
3. Chiave di accesso o chiave di sicurezza per l'Apple Account e verifica in due passaggi attiva.
4. Nessun link da sconosciuti. Il caso angolano è partito da messaggi senza link, poi sono arrivati i collegamenti.
5. Controlla profili e VPN installati: Impostazioni › Generali › VPN e gestione dispositivo. Un profilo che non riconosci va rimosso.

Livello 2

1. Riavvia il telefono con regolarità. Nel caso angolano il processo malevolo è sparito al riavvio. Non risolve, ma costringe l'attaccante a reinfettare.
2. Riduci le app e togli i permessi di accesso a posizione, microfono e foto che non servono.
3. Usa Protezione dispositivo rubato e la cifratura completa di iCloud (Protezione avanzata dei dati) dove disponibili.
4. Tieni attive le notifiche di minaccia. Se arriva una notifica di Apple trattala come un incidente (vedi più sotto).

Livello 3

1. Attiva la Lockdown Mode: Impostazioni › Privacy e sicurezza › Modalità di isolamento. Il Citizen Lab la raccomanda a chi ritiene di essere a rischio. In cambio alcune funzioni e alcuni siti funzionano peggio: è il prezzo.
2. Telefono dedicato alle comunicazioni sensibili, con poche app e senza account personali.
3. Individua prima l'helpline di riferimento e salva i contatti (vedi «Se pensi di essere stato colpito»).

Proteggere Android

Livello 1

1. Patch di sicurezza mensili. Impostazioni › Sistema › Aggiornamento software (il percorso varia per produttore). Se il produttore non rilascia più patch per il tuo modello, è tempo di cambiare telefono: è una vulnerabilità permanente.
2. Play Protect attivo e app solo dal Play Store. Niente file APK da link o chat.
3. Blocco schermo con PIN lungo o password, non con sequenza o sblocco debole.
4. Account Google con chiave di accesso o chiave di sicurezza e verifica in due passaggi.

Livello 2

1. Riavvia con regolarità e rimuovi le app che non usi.
2. Controlla i permessi (posizione, microfono, accessibilità) e rimuovi quelli superflui. Un'app con il permesso di accessibilità vede tutto lo schermo.
3. Scegli un telefono con supporto lungo agli aggiornamenti. Quando acquisti, guarda la durata garantita delle patch prima del prezzo.

Livello 3

1. Advanced Protection (Android 16). Impostazioni › Sicurezza e privacy › Advanced Protection. Secondo l'EFF forza HTTPS in Chrome, disattiva il 2G, impedisce di spegnere Play Protect, blocca le nuove connessioni USB a dispositivo bloccato, impedisce la riconnessione automatica alle reti Wi-Fi non protette e riavvia il telefono dopo 72 ore di blocco. Blocca anche l'installazione di app sconosciute. La disponibilità fuori dai Pixel dipende dal produttore.
2. Programma di protezione avanzata dell'account Google, che richiede una chiave di sicurezza o una passkey.
3. Per i profili molto esposti valuta sistemi rinforzati come GrapheneOS su Pixel. Comportano rinunce e manutenzione: scegli solo se sai gestirle.

Messaggistica e account

I casi documentati passano quasi sempre da una chat. Mettere in ordine le app vale quanto aggiornare il sistema.

1. WhatsApp, impostazioni di account rigorose. Da gennaio 2026 WhatsApp distribuisce in modo graduale una modalità opzionale pensata per ridurre la superficie d'attacco. Secondo Privacy Guides blocca allegati e contenuti da mittenti sconosciuti, disattiva l'anteprima dei link, impedisce le chiamate da numeri sconosciuti, nasconde l'indirizzo IP nelle chiamate e limita l'aggiunta ai gruppi. Se non la vedi ancora, attiva a mano le stesse restrizioni nelle impostazioni di Privacy.
2. Controlla i dispositivi collegati (WhatsApp Web, Signal Desktop) e scollega quelli che non riconosci. Il PC è una porta d'ingresso verso le tue chat.
3. Verifica in due passaggi su ogni app di messaggistica.
4. PIN sul numero con l'operatore contro lo scambio di SIM.
5. Gestore di password con password uniche e passkey dove disponibili.
6. Un messaggio che spinge all'urgenza è un campanello. Verifica per un'altra via prima di cliccare.

Proteggere il PC Windows

Pegasus non gira sul PC, ma il PC custodisce chiavi, sessioni e backup. Le misure qui sotto valgono per Windows 10 e 11. Per le istruzioni da PowerShell apri il terminale come amministratore. Annota lo stato prima di cambiare e prova su un PC non critico: alcune restrizioni rompono software datato.

Livello 1

1. Windows Update attivo e riavvii quando richiesti. Per i programmi di terze parti: winget upgrade --all. Le falle usate da Candiru erano già corrette da luglio 2021.
2. Account standard per l'uso quotidiano, amministratore solo per installare.
3. BitLocker sul disco di sistema, con la chiave di ripristino salvata fuori dal PC.
4. Defender e firewall sempre attivi. Niente antivirus che li disattiva senza sostituirli.
5. Gestore di password e verifica in due passaggi, meglio con chiavi di sicurezza fisiche sugli account importanti.
6. Backup 3-2-1 con un disco che poi scolleghi dal PC: la regola e il test di ripristino.

Livello 2

1. Integrità della memoria. Sicurezza di Windows › Sicurezza dispositivo › Isolamento core › Integrità della memoria. Chiude un'intera classe di attacchi al kernel.

1. Protezione di rete e app indesiderate di Defender. In PowerShell:

Set-MpPreference -EnableNetworkProtection Enabled Set-MpPreference -PUAProtection Enabled

1. Regole ASR di Defender, prima in modalità di sola registrazione:

Add-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules_Actions AuditMode Add-MpPreference -AttackSurfaceReductionRules_Ids 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 -AttackSurfaceReductionRules_Actions AuditMode

La prima blocca l'abuso di driver firmati vulnerabili (il trucco di DevilsTongue), la seconda il furto di credenziali da LSASS. Controlla i log per qualche settimana, poi passa a Enabled.

1. Spegni SMBv1:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Spegni anche assistenza remota e desktop remoto se non li usi.

1. DNS cifrato e filtrato (Windows 11). Impostazioni › Rete e Internet › Wi-Fi o Ethernet › Assegnazione server DNS › Modifica › Manuale. Inserisci un fornitore con filtro, per esempio Quad9 (9.9.9.9 e 149.112.112.112), e imposta «DNS su HTTPS» su «Attivo (modello automatico)». Lascia disattivato il ripiego su testo in chiaro se vuoi solo traffico cifrato; attivalo se usi reti di hotel e bar con pagina di accesso. Verifica con Resolve-DnsName -Type txt proto.on.quad9.net.: nel risultato deve comparire doh. Su Windows 10 il DNS filtrato funziona, la cifratura no.

1. Browser: poche estensioni, aggiornamenti automatici, un profilo separato per la banca e l'amministrazione.

1. Link sospetti: aprili in Windows Sandbox (edizioni Pro ed Enterprise) o in una macchina virtuale, oppure non aprirli.

Livello 3

1. Credential Guard dove l'hardware e l'edizione lo consentono, per proteggere gli hash delle credenziali.
2. Accesso al PC senza password: Windows Hello e chiavi di sicurezza fisiche.
3. Un PC dedicato al lavoro sensibile, senza app di messaggistica personali.
4. Attiva la registrazione dei blocchi di script di PowerShell dal criterio locale con lo stesso nome: ti lascia tracce utili dopo un incidente.

Su macOS e Linux valgono gli stessi principi: aggiornamenti, privilegi minimi, cifratura del disco, gestore di password, backup scollegato.

Proteggere i PC aziendali

In azienda il modello cambia. Contano le persone esposte (direzione, amministrazione, legale, ufficio stampa), la gestione centrale e la capacità di rilevare e rispondere. Un parco macchine non si indurisce a mano: si usano criteri di gruppo o MDM, dopo un pilota su 3–5 macchine rappresentative e con un rollback documentato.

I riferimenti a ISO/IEC 27001:2022 e all'art. 21(2) della NIS2 sono indicativi: li valida il responsabile della sicurezza.

Tre punti che trascurano quasi tutti

1. Il telefono del dirigente è fuori perimetro. Mettilo sotto MDM, con aggiornamenti obbligatori e Lockdown Mode per le persone esposte.
2. Senza log non hai un'indagine. Attiva l'audit della creazione dei processi con riga di comando (evento 4688) e centralizza i log. Dopo un incidente è tardi per cominciare.
3. Il riferimento esterno deve esistere prima. Individua prima dell'incidente il riferimento esterno per l'analisi forense e il contatto con il CSIRT.

Quando diventa un incidente da notificare

Se rientri tra i soggetti NIS2, un incidente significativo richiede un preallarme entro 24 ore e una notifica entro 72 ore al CSIRT competente. Verifica se la NIS2 si applica alla tua azienda e confronta la classificazione con il legale.

Se pensi di essere stato colpito

1. Non resettare subito. Un ripristino cancella le prove che servono all'analisi forense.
2. Conserva la notifica: schermata, data, mittente. Il Citizen Lab considera una notifica di Apple un indicatore ad alta affidabilità. Non rispondere ai messaggi sospetti.
3. Chiama esperti. L'Access Now Digital Security Helpline, o il Security Lab di Amnesty nei casi gravi. Il Citizen Lab dichiara di non offrire assistenza individuale non richiesta.
4. Lascia lo strumento forense ai professionisti. L'Amnesty Security Lab ha rilasciato MVT (Mobile Verification Toolkit), che confronta i dati di un dispositivo con indicatori pubblici di spyware noti. Richiede competenze da analista e non trova ciò che non è censito.
5. Fai controllare anche familiari e collaboratori stretti, come raccomanda il Citizen Lab.
6. Cambia password e chiudi tutte le sessioni da un dispositivo pulito. Dove puoi, passa alle chiavi di sicurezza.
7. In azienda attiva il piano di risposta, isola i dispositivi, avvisa la sicurezza e valuta gli obblighi di notifica.

Cosa fare adesso

1. Oggi: aggiorna telefono e PC e attiva gli aggiornamenti automatici. Se sei un profilo a rischio, attiva Lockdown Mode (iPhone) o Advanced Protection (Android 16).
2. Questa settimana: passa agli account con chiave di accesso o chiave di sicurezza, scollega i dispositivi di messaggistica che non riconosci, imposta il DNS cifrato sul PC.
3. Questo mese, in azienda: scegli tre persone esposte, porta i loro telefoni sotto MDM, verifica i log e annota a chi telefoni se arriva una notifica di minaccia.