--- title: "NSO contro WhatsApp: quando hackerare una piattaforma finisce in tribunale" description: "Responsabilità accertata nel 2024, verdetto da 167 milioni nel 2025, ingiunzione permanente: il caso Pegasus è un precedente che riguarda ogni azienda." url: https://csidia.com/note-operative/nso-whatsapp-verdetto-pegasus/ lang: it date: 2026-03-26 label: "Osservatorio" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/nso-whatsapp-verdetto-pegasus/ --- # NSO contro WhatsApp: quando hackerare una piattaforma finisce in tribunale Per anni il mercato dello spyware commerciale ha operato in una zona grigia: strumenti venduti a governi, usati contro giornalisti e attivisti, e nessun tribunale a stabilire chi rispondesse di cosa. Quella zona grigia si è chiusa in un’aula federale della California. **NSO Group**, l’azienda israeliana che produce lo spyware **Pegasus**, è stata dichiarata responsabile dell’attacco che nel 2019 compromise i dispositivi di circa **1.400 utenti WhatsApp** — e una giuria ha quantificato il conto: oltre **167 milioni di dollari** di danni punitivi. È la prima volta che un produttore di spyware commerciale viene condannato da un tribunale statunitense. Ricostruiamo i fatti, verificati, e poi la lezione — che non riguarda solo chi produce sorveglianza, ma chiunque abbia dirigenti con uno smartphone in tasca. ## I fatti, in ordine - **L’attacco (2019)**: tra aprile e maggio 2019, Pegasus viene installato sui telefoni di circa 1.400 utenti WhatsApp sfruttando una vulnerabilità nelle chiamate — un attacco «zero-click», che non richiede alcuna azione della vittima. Tra i bersagli individuati: giornalisti, attivisti per i diritti umani, diplomatici. WhatsApp scopre l’intrusione, la blocca e a ottobre 2019 fa causa a NSO in California. - **La responsabilità (dicembre 2024)**: dopo cinque anni di battaglia procedurale, la giudice federale Phyllis Hamilton accerta in via definitiva la responsabilità di NSO per violazione del **Computer Fraud and Abuse Act**, della legge californiana sull’accesso abusivo ai sistemi e dei **termini di servizio di WhatsApp**. La corte sanziona anche NSO per non aver consegnato il codice sorgente di Pegasus come ordinato. - **Il verdetto (maggio 2025)**: una giuria condanna NSO a **167,25 milioni di dollari di danni punitivi** più circa 444 mila dollari di danni compensativi. - **La difesa di NSO**: l’azienda ha sempre sostenuto di vendere Pegasus **solo a governi e agenzie selezionate**, per contrastare terrorismo e criminalità grave, e ha definito i danni «eccessivi e incostituzionali», annunciando appello. - **L’ingiunzione (ottobre 2025)**: la stessa giudice riduce i danni punitivi a circa **4 milioni di dollari** — applicando i limiti costituzionali sul rapporto con i danni compensativi — ma impone a NSO un’**ingiunzione permanente**: mai più attacchi a WhatsApp, cancellazione del codice ottenuto illecitamente. NSO ha accolto con favore la riduzione, precisando che l’ingiunzione non riguarda i suoi clienti governativi. L’appello è in corso. Il conto economico finale si deciderà in appello. Ma il precedente giuridico è già scritto, e non cambierà: **hackerare una piattaforma per fare sorveglianza è un illecito che si paga in tribunale**, chiunque sia il cliente finale. ## La lezione n. 1: «vendo solo a governi» non è uno scudo L’argomento centrale di NSO — la responsabilità è di chi usa lo strumento, non di chi lo produce — non ha retto. La corte ha guardato a chi ha **materialmente violato i sistemi** di WhatsApp per installare lo spyware, e i termini di servizio accettati per accedervi. È un principio che chi compra tecnologia dovrebbe leggere al contrario: la catena di responsabilità tra fornitore, strumento e uso finale **esiste, ed è esigibile**. Vale per lo spyware come per l’AI: quando adottate un sistema, dovete sapere per iscritto chi risponde di cosa — come è costruito, su quali dati, con quali limiti d’uso. È il motivo per cui [il nostro approccio](https://csidia.com/approccio) parte dal presidio del cliente sul sistema, non dalla delega cieca al fornitore; ed è la stessa logica che [le norme europee stanno rendendo obbligatoria](https://csidia.com/compliance): responsabilità documentate, non dichiarate. ## La lezione n. 2: lo smartphone del dirigente è un rischio d’impresa Il dettaglio tecnico più importante del caso è «zero-click»: le vittime **non hanno commesso alcun errore**. Nessun link aperto, nessun allegato. Bastava ricevere una chiamata. Questo demolisce l’idea che la sicurezza mobile sia una questione di formazione degli utenti: contro un attore sofisticato, il dispositivo del vostro amministratore delegato è un bersaglio raggiungibile anche se lui fa tutto bene. E su quel dispositivo passano trattative, prezzi, proprietà intellettuale, contenziosi. La sicurezza dei telefoni di vertice — aggiornamenti forzati, separazione tra dispositivi personali e aziendali, modalità di protezione avanzata nei viaggi a rischio, verifiche periodiche — non è paranoia da servizi segreti: è **gestione ordinaria del rischio**, allo stesso titolo delle coperture assicurative. Per chi opera in [settori sensibili come la difesa](https://csidia.com/settori/difesa), è anche un requisito di affidabilità verso i committenti. ## La lezione n. 3: i termini di servizio sono un contratto, e i tribunali li fanno valere Tra i fondamenti della condanna c’è la violazione dei **termini di servizio** di WhatsApp: NSO aveva creato account sulla piattaforma per usarli come teste di ponte. Sembra un cavillo, è un segnale: le condizioni d’uso delle piattaforme — quelle che nessuno legge — sono contratti che le corti applicano, in entrambe le direzioni. Per un’azienda significa due cose. Primo: quando i vostri sistemi o i vostri fornitori si integrano con piattaforme terze, i limiti d’uso di quelle piattaforme **diventano vincoli vostri**, da mappare prima di costruirci sopra processi critici. Secondo: i vostri stessi termini e contratti sono uno strumento di difesa attiva — WhatsApp ha vinto anche grazie ai suoi. Chi progetta sistemi che operano dentro i processi aziendali deve saper rispondere a una domanda semplice: questo flusso di dati viola le condizioni di qualche anello della catena? ## Cosa fare 1. **Trattate i dispositivi di vertice come infrastruttura critica**: inventario, aggiornamenti immediati, separazione personale/aziendale, protezioni avanzate per chi viaggia in aree a rischio. 2. **Mappate la catena di responsabilità dei vostri fornitori tecnologici**: chi risponde se lo strumento causa un danno o viola una norma? Deve essere scritto nel contratto. 3. **Censite i termini di servizio delle piattaforme da cui dipendete**: integrazioni, API, automazioni — verificate che l’uso che ne fate (o che ne fa un fornitore per voi) sia dentro le regole. 4. **Prevedete lo scenario compromissione**: se il telefono di un dirigente fosse sorvegliato da sei mesi, cosa sarebbe esposto? La risposta orienta cosa cifrare, segregare, non far transitare. *Volete una valutazione concreta dell’esposizione dei vostri dispositivi e della vostra catena di fornitura tecnologica? [Mezz’ora con un nostro esperto](https://csidia.com/contatti) per la prima mappa.* ## Fonti - [CNN Business — Judge rules Israeli firm NSO Group liable for damages in WhatsApp hacking case (20 dicembre 2024)](https://www.cnn.com/2024/12/20/tech/whatsapp-nso-group-pegasus) - [Meta Newsroom — Winning the Fight Against Spyware Merchant NSO (maggio 2025)](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) - [SecurityWeek — NSO Ordered to Stop Hacking WhatsApp, but Damages Cut to $4 Million (ottobre 2025)](https://www.securityweek.com/nso-ordered-to-stop-hacking-whatsapp-but-damages-cut-to-4-million/) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/nso-whatsapp-verdetto-pegasus/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com