Apple avvisa utenti in 110 Paesi per nuovi attacchi con spyware mercenario

🛡️ Executive Summary

• Apple ha inviato il 13 agosto nuovi Threat Notification a utenti di 110 Paesi individuati come possibili bersagli individuali di spyware mercenario.
• Gli avvisi sono basati sulla threat intelligence interna Apple, ma non identificano spyware, produttore, governo responsabile né confermano automaticamente una compromissione riuscita.
• Apple raccomanda aggiornamenti immediati, Lockdown Mode e assistenza specializzata; l’autenticità dell’avviso può essere verificata direttamente nell’Apple Account.

Apple ha inviato il 13 agosto 2026 una nuova ondata di Threat Notification a utenti di 110 Paesi, segnalando attività compatibile con attacchi mirati condotti attraverso spyware mercenario. Non si tratta di normali avvisi antivirus né di notifiche distribuite indiscriminatamente: Apple considera questi messaggi indicatori ad alta confidenza che una persona sia stata scelta individualmente come bersaglio. La comparsa quasi simultanea di testimonianze pubbliche, compresa quella di un utente su Reddit, mostra anche quanto sia difficile interpretare correttamente l’allarme. Riceverlo non significa automaticamente avere Pegasus, Graphite o un altro spyware installato sull’iPhone, ma richiede comunque un livello di risposta molto superiore a quello di una normale infezione consumer.

Apple invia una nuova ondata di Threat Notification in 110 Paesi

Apple ha confermato che la nuova serie di notifiche è stata distribuita il 13 agosto a utenti individuati in 110 Paesi. Dal 2021 la società invia più volte all’anno questi alert quando la propria threat intelligence rileva indicatori coerenti con attacchi altamente mirati e afferma di avere ormai notificato persone in oltre 150 Paesi complessivi. La documentazione ufficiale sulle Apple Threat Notification descrive lo spyware mercenario come una minaccia estremamente costosa e sofisticata, utilizzata contro un numero molto limitato di persone selezionate in base a chi sono o al ruolo che ricoprono. Giornalisti, attivisti, politici e diplomatici figurano storicamente tra i bersagli più frequenti. Il meccanismo non è quindi nuovo: Matrice Digitale documentava già nell’aprile 2024 le notifiche Apple inviate contro attacchi spyware in 92 Paesi e pochi mesi dopo un’altra ondata rivolta a utenti iPhone in 98 Paesi. L’elemento nuovo è soprattutto la modalità con cui l’avvertimento viene portato direttamente davanti al destinatario e la dimensione geografica della nuova campagna.

L’avviso indica il targeting ma non certifica l’infezione

La distinzione più importante riguarda il significato tecnico della notifica. Apple afferma che i propri Threat Notification sono high-confidence alerts: esistono quindi elementi sufficientemente solidi da ritenere che un utente sia stato preso individualmente di mira. La società chiarisce però che le proprie indagini non possono raggiungere una certezza assoluta e soprattutto non pubblica gli indicatori utilizzati per identificare l’attività ostile, perché renderli disponibili permetterebbe ai produttori e agli operatori degli spyware di adattare tecniche e infrastrutture. La notifica non deve quindi essere tradotta automaticamente in “iPhone infettato”. Può indicare un tentativo bloccato, una catena avviata ma non completata oppure una compromissione che richiede verifiche forensi. È la stessa distinzione che emerge dalle numerose campagne analizzate negli anni: Matrice Digitale ha seguito Pegasus installato sull’iPhone dell’ex eurodeputato Stelios Kouloglou, dove la compromissione era supportata da analisi forensi, ma ha anche documentato campagne nelle quali la presenza di un alert o di un tentativo non equivaleva automaticamente alla prova dell’installazione. Per questo un Threat Notification deve essere preso molto seriamente senza trasformarlo in una diagnosi tecnica che Apple stessa non formula.

Pegasus resta un precedente ma Apple non attribuisce questi attacchi

Pegasus entra inevitabilmente nella discussione perché è probabilmente il prodotto più conosciuto dell’industria dello spyware commerciale e Apple stessa cita NSO Group come esempio storico di società associata a questa categoria di minacce. Questo non significa però che la nuova ondata del 13 agosto sia collegata a NSO. Apple non attribuisce i singoli Threat Notification a uno specifico attaccante, produttore o Paese e non esistono al momento elementi pubblici sufficienti per sostenere che gli utenti dei 110 Paesi siano stati colpiti dalla stessa piattaforma. La prudenza è necessaria soprattutto perché l’ecosistema è molto più ampio di Pegasus. Matrice Digitale ha seguito negli anni le vulnerabilità Heaven, Eden ed Erised utilizzate da NSO Group contro WhatsApp e successivamente nuove campagne spyware NSO bloccate da WhatsApp. Questi precedenti mostrano quanto sia importante separare la categoria tecnologica dall’attribuzione: “spyware mercenario” non è sinonimo di Pegasus.

Graphite e il caso Paragon mostrano perché l’attribuzione conta

La stessa cautela vale per Graphite, piattaforma sviluppata da Paragon Solutions diventata centrale nel dibattito italiano ed europeo. Nel giugno 2025 Matrice Digitale ha documentato la conferma dell’attacco contro il giornalista Ciro Pellegrino con Graphite, episodio accompagnato da una lunga controversia sull’utilizzo dello spyware e sui soggetti coinvolti. Pochi giorni dopo venivano analizzate le implicazioni tecniche del caso Paragon tra iOS 26 e macOS Tahoe, mentre nei mesi precedenti la testata aveva seguito l’annullamento del contratto Paragon con il governo italiano. Questi casi spiegano perché associare senza prove i nuovi alert Apple a Graphite sarebbe giornalisticamente e tecnicamente scorretto. Un avviso Apple può diventare il punto di partenza di un’indagine forense; non è la conclusione dell’attribuzione.

Su Reddit emerge il problema pratico di chi riceve l’allarme

L’altra faccia della nuova ondata compare in una testimonianza pubblicata su Reddit. Un utente afferma di scrivere per conto di un amico al quale l’avviso sarebbe comparso in diversi punti del telefono e descrive una reazione comprensibile: aggiornamento del dispositivo, attivazione di Lockdown Mode, spegnimento dell’iPhone e dubbi sulla possibilità di continuare a utilizzarlo. Il post non permette di verificare identità, natura del bersaglio o presenza effettiva di uno spyware e deve quindi essere trattato come una testimonianza pubblica, non come evidenza forense.

Conferma però un problema operativo: chi riceve questo tipo di avviso tende naturalmente a chiedersi se debba cancellare immediatamente il telefono, sostituirlo o evitare qualsiasi utilizzo. Apple ha cercato di ridurre questa incertezza modificando proprio il modo con cui vengono presentati gli alert.

Apple porta l’avviso sulla Lock Screen e dentro le Impostazioni

La documentazione Apple aggiornata indica che un Apple Threat Notification può apparire direttamente sull’iPhone, sia sulla Lock Screen sia nelle Impostazioni. Parallelamente viene inviata una comunicazione agli indirizzi email collegati all’Apple Account e viene mostrato un avviso quando il destinatario accede al proprio account Apple. Il cambiamento rende la segnalazione molto più difficile da confondere con una normale email di sicurezza, ma non elimina il rischio di phishing costruito imitando graficamente il messaggio. Per questo il controllo più affidabile consiste nell’accedere autonomamente all’Apple Account senza seguire link ricevuti via email o SMS. Gli avvisi autentici non chiedono password dell’account, codici di verifica, installazione di applicazioni o profili, né invitano a eseguire file ricevuti in allegato. Questo punto assume ulteriore importanza perché le campagne moderne combinano spesso exploit e social engineering. La recente analisi di Matrice Digitale su DarkSword e la moltiplicazione dei pannelli utilizzati per colpire iPhone con iOS 18 ha mostrato, ad esempio, infrastrutture nelle quali una catena tecnica di exploit conviveva con false pagine Apple ID destinate a sottrarre direttamente le credenziali.

Lockdown Mode nasce esattamente per questa categoria di attacchi

La principale contromisura indicata da Apple per le persone ad alto rischio è Lockdown Mode, modalità progettata non per l’utente medio ma precisamente per ridurre la superficie disponibile agli spyware altamente sofisticati. La funzione limita una serie di tecnologie e percorsi normalmente disponibili sul dispositivo, rendendo più difficile costruire catene che sfruttino parser, contenuti Web, allegati, servizi di comunicazione e altre componenti raggiungibili da remoto. Apple afferma di non avere osservato finora compromissioni riuscite di dispositivi mentre Lockdown Mode era già attiva. Matrice Digitale segue questa tecnologia fin dalla sua introduzione: nel 2022 spiegava come utilizzare la modalità Lockdown introdotta con iOS 16, mentre nel 2023 analizzava la capacità di Lockdown Mode di bloccare catene riconducibili allo spyware NSO. Nello stesso anno un ulteriore approfondimento affrontava l’efficacia concreta delle protezioni Apple implementate attraverso Lockdown Mode. La funzione non dimostra che un dispositivo sia pulito e non sostituisce un’analisi forense, ma restringe aggressivamente le possibilità offerte all’attaccante.

Gli exploit zero-click rendono insufficiente il normale modello antivirus

Il motivo per cui Apple tratta questi attacchi in modo diverso dal malware tradizionale è nell’architettura delle catene zero-click e one-click utilizzate dagli operatori commerciali più avanzati. In alcuni casi la vittima non deve installare nulla e può non dover neppure aprire consapevolmente un link. Il percorso offensivo può richiedere più vulnerabilità concatenate: una prima falla permette di raggiungere codice vulnerabile da remoto, una seconda consente l’esecuzione, altre permettono di uscire dalla sandbox, superare protezioni della memoria e ottenere privilegi sufficienti per raccogliere dati. Questa industrializzazione è visibile anche fuori dai prodotti attribuiti a governi. Nel marzo 2026 Matrice Digitale ha documentato DarkSword come catena zero-click capace di compromettere un iPhone in pochi passaggi; ad agosto l’infrastruttura dello stesso kit risultava ormai replicata da più operatori. La disponibilità di exploit commerciali e il successivo leak degli strumenti mostrano anche un secondo rischio: tecniche originariamente sviluppate per un numero ristretto di clienti possono progressivamente circolare verso un numero molto maggiore di soggetti.

iShutdown mostra perché le tracce forensi contano prima di cancellare tutto

Per un destinatario dell’alert la tentazione di inizializzare immediatamente l’iPhone è comprensibile, ma la cancellazione può eliminare informazioni utili a capire cosa sia realmente accaduto. Gli spyware avanzati cercano normalmente di ridurre le proprie tracce, ma sistemi operativi e servizi possono continuare a conservare artefatti indiretti. Nel 2024 Matrice Digitale aveva analizzato iShutdown, tecnica capace di individuare anomalie associate a Pegasus attraverso i log di spegnimento e riavvio di iOS. Non è uno strumento universale e non consente da solo di diagnosticare qualsiasi famiglia spyware, ma dimostra il principio: l’assenza di un’applicazione sospetta visibile non equivale all’assenza di evidenze. Per una persona che riceve un Threat Notification, preservare il dispositivo e rivolgersi rapidamente a specialisti può quindi essere più utile di un reset immediato. Apple indica a questo scopo anche organizzazioni esterne capaci di assistere persone ad alto rischio, mentre sottolinea che tali soggetti non conoscono gli indicatori interni che hanno determinato la sua notifica.

Cambiare iPhone non elimina necessariamente il motivo del targeting

Anche l’acquisto immediato di un nuovo telefono può offrire una sensazione di sicurezza maggiore di quella realmente ottenuta. Gli spyware mercenari sono utilizzati contro persone, non contro numeri di serie scelti casualmente. Un giornalista, diplomatico, politico, ricercatore o attivista resta interessante anche dopo avere sostituito il dispositivo. Numero telefonico, indirizzi email, account cloud, contatti professionali e abitudini digitali consentono all’operatore di identificare nuovamente il bersaglio e adattare la catena al nuovo endpoint. È uno dei motivi per cui Apple raccomanda una risposta che comprenda aggiornamenti di tutti i dispositivi, controllo dell’Apple Account, autenticazione a due fattori, verifica dei dispositivi associati e assistenza specializzata. La vicenda Pegasus mostra bene questa natura personale del targeting: Kouloglou è stato colpito mentre indagava sugli abusi degli spyware europei, cioè per un’attività professionale che avrebbe continuato a esistere anche dopo la sostituzione fisica del telefono.

Gli alert Apple fotografano un mercato spyware ancora molto attivo

La nuova ondata non dimostra quindi l’esistenza di un singolo attacco globale e non permette di stabilire se dietro i casi rilevati vi siano Pegasus, Graphite, Predator, DarkSword o strumenti ancora sconosciuti. Mostra però un dato difficilmente aggirabile: nel 2026 Apple continua a osservare abbastanza attività mercenary spyware da inviare contemporaneamente notifiche mirate in 110 Paesi. È significativo perché avviene dopo anni di cause giudiziarie contro NSO Group, restrizioni commerciali, interventi governativi, sviluppo di Lockdown Mode e crescita delle capacità di rilevamento. Matrice Digitale ha seguito questa evoluzione anche quando Apple ha abbandonato la propria causa contro NSO Group, decisione che non ha certo cancellato il problema industriale rappresentato dagli spyware commerciali. Il valore delle Threat Notification sta proprio qui: Apple può identificare con elevata confidenza il targeting senza rendere pubblica l’intera catena investigativa. Da quel momento iniziano però altri lavori: preservare le prove, verificare l’effettiva compromissione, individuare lo strumento e, soltanto quando le evidenze lo consentono, tentare un’attribuzione. Confondere questi passaggi significherebbe trasformare un importante indicatore tecnico in una conclusione che i dati disponibili ancora non sostengono.