L’ultimo caso documentato riguarda la giornalista investigativa dominicana Nuria Piera, il cui iPhone è stato compromesso tre volte tra il 2020 e il 2021 mentre stava conducendo inchieste su presunti episodi di corruzione che coinvolgevano figure di vertice del Paese.

La rivoluzione digitale ha trasformato lo smartphone nella più preziosa fonte di intelligence mai esistita. Spostamenti, conversazioni, contatti, fotografie, bozze di articoli, documenti, password, cronologia delle ricerche, videocall, note personali e, soprattutto, le fonti di un giornalista.

Da qui, la nuova denuncia di Amnesty International sull’utilizzo dello spyware Pegasus contro giornalisti in almeno 18 Paesi. La questione non riguarda, come ormai di consueto, soltanto la privacy individuale. Riguarda il rapporto tra sicurezza nazionale, libertà di stampa e potere tecnologico.

Pegasus, sviluppato dalla società israeliana NSO Group, rappresenta probabilmente il software di sorveglianza commerciale più noto al mondo. A differenza dei malware tradizionali, progettati per rubare credenziali bancarie o compromettere reti aziendali, Pegasus nasce come strumento di intelligence governativa. L’azienda ha sempre sostenuto di vendere il software esclusivamente a governi e agenzie autorizzate per contrastare terrorismo e criminalità organizzata. Negli anni, tuttavia, numerose indagini giornalistiche e analisi forensi hanno mostrato un quadro molto più complesso.

Secondo Amnesty International, il numero degli Stati nei quali giornalisti sono stati individuati come bersagli di Pegasus sarebbe salito ad almeno diciotto. L’ultimo caso documentato riguarda la giornalista investigativa dominicana Nuria Piera, il cui iPhone è stato compromesso tre volte tra il 2020 e il 2021 mentre stava conducendo inchieste su presunti episodi di corruzione che coinvolgevano figure di vertice del Paese. L’analisi forense condotta dall’Amnesty Security Lab ha individuato tracce tecniche compatibili con l’infezione da Pegasus.

“Sistema” o “infezione”?

La vicenda della Repubblica Dominicana, però, rappresenta soltanto un tassello di un fenomeno molto più ampio.

Dal Pegasus Project del 2021 alle più recenti indagini in Serbia, emerge una costante. Gli obiettivi non sono soltanto terroristi o criminali, così come raccontata dalla propaganda della guerra fredda, ma sempre più spesso giornalisti investigativi, difensori dei diritti umani, avvocati, oppositori politici e membri della società civile. Nel marzo 2025 Amnesty ha documentato il tentativo di compromissione dei telefoni di due giornalisti del Balkan Investigative Reporting Network (BIRN), dimostrando come Pegasus continui a essere impiegato anche in Europa.

C’è poi quanto accaduto in seno al Parlamento europeo. Secondo un’analisi pubblicata da Citizen Lab e riportata anche da Le Monde e Reuters, l’eurodeputato greco Stelios Kouloglou, giornalista televisivo e membro della commissione speciale PEGA, sarebbe stato colpito almeno tre volte dallo spyware Pegasus tra l’ottobre 2022 e il marzo 2023. Vicenda, quasi, paradossale considerando che Kouloglou faceva parte proprio dell’organismo istituito dal Parlamento europeo per indagare sull’utilizzo illecito di spyware all’interno dell’Unione.

La commissione PEGA, nelle sue conclusioni, aveva rilevato come diversi governi europei avessero fatto ricorso a strumenti di sorveglianza, talvolta nell’ambito di attività legittime e talvolta in modo incompatibile con lo Stato di diritto. Lo stesso eurodeputato ha dichiarato a Reuters di essere rimasto sorpreso dall’audacia degli autori dell’operazione. A suo dire, non immaginava che persino un membro della commissione incaricata di investigare Pegasus potesse diventare bersaglio dello stesso software.

 Il Parlamento europeo, pur senza commentare il singolo caso, ha ricordato di aver rafforzato le proprie misure di cybersicurezza, mettendo già dal 2022 a disposizione degli eurodeputati strumenti per il rilevamento di spyware e raccomandandone successivamente l’estensione a tutti i dispositivi impiegati nelle attività parlamentari.

Cos’è Pegasus?

Dal punto di vista tecnico, Pegasus rappresenta uno dei livelli più avanzati dello spyware contemporaneo.

Il software sfrutta vulnerabilità sconosciute o non ancora corrette, le cosiddette zero-day, per installarsi sul dispositivo della vittima. In molti casi non richiede nemmeno un’interazione dell’utente. Gli zero-click exploit, come intuibile dal nome, consentono l’infezione semplicemente ricevendo un messaggio o una chiamata attraverso applicazioni come iMessage o WhatsApp. Una volta compromesso il dispositivo, l’operatore può accedere praticamente a tutto: messaggi cifrati, fotografie, posizione GPS, rubrica, email e perfino attivare da remoto microfono e fotocamera. Il telefono smette di essere uno strumento personale e diventa una piattaforma di sorveglianza portatile.

Per un giornalista, chiaramente, il danno supera prepotentemente la dimensione individuale.

Se uno spyware consente di ricostruire rubriche, chat, incontri e cronologie di comunicazione, non viene compromessa soltanto la persona che utilizza il dispositivo. Viene compromesso l’intero ecosistema informativo che ruota intorno a quell’inchiesta.

Nuria Piera, intervistata da Amnesty, ha descritto la sensazione di vivere in un costante stato di sospetto, incapace di distinguere ciò che è realmente riservato da ciò che potrebbe essere già noto a chi la sorveglia. Non serve, necessariamente, utilizzare le informazioni raccolte. Spesso, è sufficiente che la vittima sappia di poter essere osservata per produrre autocensura, isolamento e riduzione dell’attività investigativa.

Vecchi e nuove sfide giuridiche

Dal punto di vista del diritto internazionale non esiste ancora, e forse non esisterà mai, una disciplina organica sul commercio globale degli spyware. Le esportazioni vengono generalmente autorizzate attraverso normative nazionali sui prodotti dual use, cioè tecnologie utilizzabili sia in ambito civile sia militare. Quando, però, questi strumenti vengono impiegati contro giornalisti o oppositori politici, il confine tra sicurezza nazionale e violazione dei diritti fondamentali diventa estremamente sottile.

Non a caso Amnesty chiede da tempo un quadro regolatorio internazionale molto più rigoroso, arrivando a sostenere la necessità di una moratoria globale sulla vendita e sull’impiego degli spyware fino all’introduzione di meccanismi efficaci di controllo e accountability.

La vicenda assume anche una dimensione geopolitica perché Israele è, oggi, uno dei principali hub mondiali dell’industria cyber offensiva. Pegasus rappresenta “soltanto” il caso più noto di una filiera tecnologica molto più ampia. Uno strumento di influenza internazionale che si manifesta, proprio, attraverso l’export di capacità tecnologiche.

Per una democrazia, significa mettere in discussione uno dei presupposti fondamentali della libertà di stampa: la possibilità di svolgere attività investigativa senza il timore che ogni conversazione, ogni incontro e ogni documento possano essere osservati da chi detiene il potere.

Vai al sito di Cybersecurity Italia.

L'articolo Pegasus spia i giornalisti di 18 Paesi: l’inchiesta di Amnesty International sembra essere il primo su CyberSecurity Italia.