NSO contro WhatsApp: quando hackerare una piattaforma finisce in tribunale
5 min di lettura
Per anni il mercato dello spyware commerciale ha operato in una zona grigia: strumenti venduti a governi, usati contro giornalisti e attivisti, e nessun tribunale a stabilire chi rispondesse di cosa. Quella zona grigia si è chiusa in un’aula federale della California. NSO Group, l’azienda israeliana che produce lo spyware Pegasus, è stata dichiarata responsabile dell’attacco che nel 2019 compromise i dispositivi di circa 1.400 utenti WhatsApp — e una giuria ha quantificato il conto: oltre 167 milioni di dollari di danni punitivi. È la prima volta che un produttore di spyware commerciale viene condannato da un tribunale statunitense. Ricostruiamo i fatti, verificati, e poi la lezione — che non riguarda solo chi produce sorveglianza, ma chiunque abbia dirigenti con uno smartphone in tasca.
I fatti, in ordine
- L’attacco (2019): tra aprile e maggio 2019, Pegasus viene installato sui telefoni di circa 1.400 utenti WhatsApp sfruttando una vulnerabilità nelle chiamate — un attacco «zero-click», che non richiede alcuna azione della vittima. Tra i bersagli individuati: giornalisti, attivisti per i diritti umani, diplomatici. WhatsApp scopre l’intrusione, la blocca e a ottobre 2019 fa causa a NSO in California.
- La responsabilità (dicembre 2024): dopo cinque anni di battaglia procedurale, la giudice federale Phyllis Hamilton accerta in via definitiva la responsabilità di NSO per violazione del Computer Fraud and Abuse Act, della legge californiana sull’accesso abusivo ai sistemi e dei termini di servizio di WhatsApp. La corte sanziona anche NSO per non aver consegnato il codice sorgente di Pegasus come ordinato.
- Il verdetto (maggio 2025): una giuria condanna NSO a 167,25 milioni di dollari di danni punitivi più circa 444 mila dollari di danni compensativi.
- La difesa di NSO: l’azienda ha sempre sostenuto di vendere Pegasus solo a governi e agenzie selezionate, per contrastare terrorismo e criminalità grave, e ha definito i danni «eccessivi e incostituzionali», annunciando appello.
- L’ingiunzione (ottobre 2025): la stessa giudice riduce i danni punitivi a circa 4 milioni di dollari — applicando i limiti costituzionali sul rapporto con i danni compensativi — ma impone a NSO un’ingiunzione permanente: mai più attacchi a WhatsApp, cancellazione del codice ottenuto illecitamente. NSO ha accolto con favore la riduzione, precisando che l’ingiunzione non riguarda i suoi clienti governativi. L’appello è in corso.
Il conto economico finale si deciderà in appello. Ma il precedente giuridico è già scritto, e non cambierà: hackerare una piattaforma per fare sorveglianza è un illecito che si paga in tribunale, chiunque sia il cliente finale.
La lezione n. 1: «vendo solo a governi» non è uno scudo
L’argomento centrale di NSO — la responsabilità è di chi usa lo strumento, non di chi lo produce — non ha retto. La corte ha guardato a chi ha materialmente violato i sistemi di WhatsApp per installare lo spyware, e i termini di servizio accettati per accedervi. È un principio che chi compra tecnologia dovrebbe leggere al contrario: la catena di responsabilità tra fornitore, strumento e uso finale esiste, ed è esigibile. Vale per lo spyware come per l’AI: quando adottate un sistema, dovete sapere per iscritto chi risponde di cosa — come è costruito, su quali dati, con quali limiti d’uso. È il motivo per cui il nostro approccio parte dal presidio del cliente sul sistema, non dalla delega cieca al fornitore; ed è la stessa logica che le norme europee stanno rendendo obbligatoria: responsabilità documentate, non dichiarate.
La lezione n. 2: lo smartphone del dirigente è un rischio d’impresa
Il dettaglio tecnico più importante del caso è «zero-click»: le vittime non hanno commesso alcun errore. Nessun link aperto, nessun allegato. Bastava ricevere una chiamata. Questo demolisce l’idea che la sicurezza mobile sia una questione di formazione degli utenti: contro un attore sofisticato, il dispositivo del vostro amministratore delegato è un bersaglio raggiungibile anche se lui fa tutto bene. E su quel dispositivo passano trattative, prezzi, proprietà intellettuale, contenziosi. La sicurezza dei telefoni di vertice — aggiornamenti forzati, separazione tra dispositivi personali e aziendali, modalità di protezione avanzata nei viaggi a rischio, verifiche periodiche — non è paranoia da servizi segreti: è gestione ordinaria del rischio, allo stesso titolo delle coperture assicurative. Per chi opera in settori sensibili come la difesa, è anche un requisito di affidabilità verso i committenti.
La lezione n. 3: i termini di servizio sono un contratto, e i tribunali li fanno valere
Tra i fondamenti della condanna c’è la violazione dei termini di servizio di WhatsApp: NSO aveva creato account sulla piattaforma per usarli come teste di ponte. Sembra un cavillo, è un segnale: le condizioni d’uso delle piattaforme — quelle che nessuno legge — sono contratti che le corti applicano, in entrambe le direzioni. Per un’azienda significa due cose. Primo: quando i vostri sistemi o i vostri fornitori si integrano con piattaforme terze, i limiti d’uso di quelle piattaforme diventano vincoli vostri, da mappare prima di costruirci sopra processi critici. Secondo: i vostri stessi termini e contratti sono uno strumento di difesa attiva — WhatsApp ha vinto anche grazie ai suoi. Chi progetta sistemi che operano dentro i processi aziendali deve saper rispondere a una domanda semplice: questo flusso di dati viola le condizioni di qualche anello della catena?
Cosa fare
- Trattate i dispositivi di vertice come infrastruttura critica: inventario, aggiornamenti immediati, separazione personale/aziendale, protezioni avanzate per chi viaggia in aree a rischio.
- Mappate la catena di responsabilità dei vostri fornitori tecnologici: chi risponde se lo strumento causa un danno o viola una norma? Deve essere scritto nel contratto.
- Censite i termini di servizio delle piattaforme da cui dipendete: integrazioni, API, automazioni — verificate che l’uso che ne fate (o che ne fa un fornitore per voi) sia dentro le regole.
- Prevedete lo scenario compromissione: se il telefono di un dirigente fosse sorvegliato da sei mesi, cosa sarebbe esposto? La risposta orienta cosa cifrare, segregare, non far transitare.
Volete una valutazione concreta dell’esposizione dei vostri dispositivi e della vostra catena di fornitura tecnologica? Mezz’ora con un nostro esperto per la prima mappa.