Cellebrite e NoviSpy: il caso Serbia e i rischi della sorveglianza digitale

Un rapporto di Amnesty International ha rivelato che il governo serbo ha sfruttato strumenti di estrazione forense come Cellebrite e uno spyware Android, denominato NoviSpy, per colpire giornalisti e attivisti. Queste operazioni hanno coinvolto l’uso di una vulnerabilità zero-day nei chipset Qualcomm e sollevano preoccupazioni sul ruolo della tecnologia nella repressione digitale.

Cellebrite e lo sfruttamento di vulnerabilità Qualcomm

• Metodologia di attacco:
  • Cellebrite è stato utilizzato per sbloccare dispositivi sfruttando una vulnerabilità zero-day (CVE-2024-43047) nei chipset Qualcomm.
  • Questa vulnerabilità, scoperta dal Google Threat Analysis Group (TAG) e da Amnesty, è stata corretta da Qualcomm a ottobre 2024, seguita da un aggiornamento di sicurezza per Android a novembre.
• Dettagli del caso:
  • Slaviša Milanov, giornalista serbo, è stato costretto a consegnare il telefono spento alla polizia durante un fermo stradale. Dopo la restituzione, il dispositivo presentava segni di compromissione.
  • L’analisi forense ha confermato l’uso di Cellebrite per accedere al dispositivo e l’installazione di NoviSpy.

NoviSpy: uno spyware mirato

• Funzionalità dello spyware:
  • Consente di accedere a dati sensibili, attivare fotocamera e microfono da remoto.
  • Utilizza server ospitati in Serbia, alcuni dei quali associati all’Agenzia serba per la sicurezza e l’informazione (BIA).
  • Campioni dello spyware riportano configurazioni riconducibili a un dipendente del BIA precedentemente legato all’acquisto di spyware da Hacking Team.
• Altri casi di compromissione:
  • Anche il telefono di Nikola Ristić, attivista ambientale, è stato compromesso.
  • Altri attivisti sono stati infettati durante interviste presso il BIA.

Risposte e conseguenze

• Interventi di Google:
  • Google ha rimosso lo spyware dai dispositivi compromessi e avvisato le vittime degli attacchi sostenuti dal governo serbo.
  • Il team Project Zero ha identificato sei vulnerabilità nei driver Qualcomm DSP, di cui una (CVE-2024-49848) rimane non corretta.
• Reazioni internazionali:
  • Cellebrite ha dichiarato di voler indagare e, in caso di conferme, applicare sanzioni, incluse la cessazione dei rapporti con le agenzie coinvolte.
  • L’UNOPS (Ufficio delle Nazioni Unite per i servizi ai progetti) sta conducendo un’indagine sull’approvvigionamento di Cellebrite da parte del governo serbo, finanziato dal Ministero degli Affari Esteri norvegese.

Strumenti di repressione e impatti sulla società civile
Amnesty International evidenzia il rischio che strumenti avanzati come Cellebrite e spyware mirati vengano utilizzati per alimentare una repressione digitale, mettendo in pericolo il lavoro fondamentale di giornalisti e attivisti.

• Effetti paralizzanti:
  • La sorveglianza digitale crea un ambiente di paura che limita la libertà di espressione e la capacità di denuncia.
  • La Serbia rappresenta un esempio paradigmatico di come tali strumenti possano essere abusati, con implicazioni globali per la sicurezza dei diritti umani.

Conclusioni
Il caso serbo dimostra come tecnologie sviluppate per la sicurezza possano essere facilmente deviate per la sorveglianza illegittima. È essenziale:

• Regolamentare rigorosamente l’uso di strumenti forensi e spyware.
• Rafforzare i controlli sull’export di tecnologie di sorveglianza.
• Proteggere i membri della società civile attraverso normative e supporto internazionale.

Le indagini in corso rappresentano un passo importante, ma affrontare le implicazioni di queste pratiche richiede una risposta globale concertata.