Quella sensazione di essere spiati da un microfono sempre acceso non è più solo una paranoia da complottisti su Reddit, ma è diventata una funzionalità di sistema per i nuovi malware.
Siamo abituato a odiare gli annunci che ci inseguono su ogni sito, dal tutorial di Linux al forum di elettronica, convinti che servano solo a far fare due spicci ai colossi del marketing. Ma la notizia che arriva da Ars Technica trasforma questo fastidio in un incubo da film di spionaggio: per la prima volta abbiamo la conferma che gli exploit «zero-click» possono essere iniettati proprio tramite la pubblicità mirata per installare spyware mercenario direttamente sui dispositivi.
Parliamo di roba seria. Un exploit zero-click è quel tipo di magia nera informatica che non richiede che tu clicchi su nulla. Non devi scaricare un allegato sospetto, non devi accettare quel cookie improbabile, non devi nemmeno interagire con la pagina. Basta che il tuo browser o la tua app carichino un annuncio malevolo, che sfrutta una vulnerabilità non ancora patchata, e boom: il malware è dentro. È come se qualcuno riuscisse a sbloccare la tua porta di casa semplicemente facendoti passare davanti a un volantino della pizzeria.
Il punto è che qui non parliamo di un hacker solitario in un garage che cerca di rubarti la password di Netflix. Stiamo parlando di malware «mercenario», ovvero software creato da aziende specializzate che vendono servizi di sorveglianza a governi e organizzazioni. È una tecnologia di alto livello, estremamente costosa e progettata per colpire bersagli specifici con una precisione chirurgica.
Certo, leggete queste notizie e pensate: «Vabbè, ma a me che me ne frega? Vivo in Italia, non sono un agente dell’intelligence». E in parte è vero, la probabilità che tu sia il bersaglio di un’operazione di spionaggio statale è statisticamente vicina allo zero. Ma il problema sistemico è enorme. Se le infrastrutture pubblicitarie che usiamo ogni giorno possono diventare vettori di attacco così sofisticati, la fiducia nel web moderno sta andando a rotoli più velocemente di un server senza backup.
Non è una questione di leggi o regolamenti che arrivano dall’altra parte dell’oceano, è una questione di fondamenta del nostro ambiente digitale. Quando il codice che carichiamo per puro svago diventa un cavallo di Troia che non richiede nemmeno un click, la distinzione tra ‘navigare’ e ‘esporre il proprio sistema’ svanisce.
Insomma, la prossima volta che vedete quell’annuncio che vi ricorda proprio quel pezzo di hardware che cercavate su eBay, non limitatevi a ignorarlo. Fate un respiro profondo e ricordate che nel mondo del moderno cyber-spionaggio, anche un banner colorato può essere l’inizio di un film di tensione molto meno divertente di quello che ci aspettiamo.
Source: Targeted ads delivered 0-click exploits to install mercenary malware