Quanto costa un Trojan "Zero-Click"? Il prezzo del cyber-spionaggio governativo

Negli ultimi anni il panorama delle intercettazioni digitali e dello spionaggio informatico ha subito un'evoluzione radicale. Fino a poco tempo fa, per infettare uno smartphone con un software spia era necessario che la vittima compisse un’azione sbadata: cliccare su un link malevolo, aprire un allegato o scaricare un'applicazione compromessa (i cosiddetti trojan "one-click").

Oggi la vera minaccia d'élite è rappresentata dai Trojan Zero-Click: spyware invisibili capaci di penetrare all'interno di dispositivi iOS e Android senza che l'utente debba toccare lo schermo o compiere alcuna azione.

Trattandosi di armi cibernetiche riservate ad agenzie statali, servizi di intelligence e forze dell'ordine, i loro costi sono da capogiro e non seguono le logiche dei software commerciali tradizionali. Ma quanto costa davvero un attacco zero-click?

Come funziona un attacco Zero-Click?

A differenza dei malware convenzionali, uno spyware zero-click sfrutta vulnerabilità sconosciute ai produttori del sistema operativo (dette Zero-Day) presenti nei protocolli di rete o nelle app di messaggistica più diffuse, come WhatsApp, iMessage o FaceTime.

L'attacco avviene inviando un pacchetto dati invisibile al numero o all'ID della vittima. Il sistema operativo elabora il dato in background e, senza mostrare alcuna notifica o avviso, concede allo spyware il controllo totale del dispositivo: accesso a microfoni, fotocamere, messaggi crittografati, posizione GPS e file personali.

1. Il costo alla fonte: il mercato delle vulnerabilità Zero-Day

Prima ancora che una società di cyber-intelligence possa sviluppare uno spyware zero-click, deve acquisire la falla di sicurezza che ne permette l'ingresso. Esiste un mercato parallelo gestito da broker specializzati (come Zerodium, Crowdfense o Operation Zero) che acquistano queste vulnerabilità da ricercatori ed hacker d'élite:

• Vulnerabilità Zero-Click su Android / WhatsApp: Vengono quotate e acquistate a cifre comprese tra 1,5 e 8 milioni di dollari.

• Vulnerabilità Zero-Click su iOS (iPhone/iMessage): Data la complessità dell'architettura di sicurezza di Apple, la catena di exploit necessaria per un'infezione remota invisibile raggiunge quotazioni che vanno dai 3 ai 10 milioni di dollari.

2. I contratti governativi: NSO Group, Intellexa e le piattaforme d'élite

Aziende private specializzate nel settore della cyber-intelligence commerciale (tra cui le famose NSO Group con Pegasus, Intellexa con Predator o Paragon Solutions con Graphite) vendono queste piattaforme d'attacco esclusivamente a governi e agenzie statali.

I contratti non prevedono l'acquisto a pacchetto del singolo software, ma un modello di abbonamento e licenza annuale:

Voce di Costo	Stima Economica
Infrastruttura & Setup iniziale	$500.000 – $2.000.000 (installazione server e formazione)
Licenza Annuale d'Uso	$7.000.000 – $20.000.000 all'anno
Costo medio per singola infezione	$50.000 – $150.000 ad attacco/target

3. Trojan Giudiziari Ordinari vs. Spyware d'Élite

È fondamentale chiarire una distinzione operativa nell'ambito delle intercettazioni:

1. Trojan d'Inoculo Giudiziario Ordinari: Utilizzati abitualmente nelle indagini di polizia giudiziaria e forniti da aziende nazionali di intercettazione, hanno costi gestibili dalle procure nell'ordine di 1.500€ - 5.000€ al mese per dispositivo. Questi strumenti richiedono spesso un vettore d'infezione guidato o un'azione preventiva sul dispositivo.

2. Spyware Zero-Click Commerciali: Riservati a contesti d'altissimo profilo (sicurezza nazionale, antiterrorismo, contrasto al crimine organizzato di livello internazionale o alto spionaggio industriale).

Perché questi malware hanno costi così elevati?

La ragione principale risiede nella scadenza temporale dell'exploit.

Non appena la falla utilizzata dallo spyware viene individuata dai tecnici di Apple o Google, viene rilasciato un aggiornamento di sicurezza (patch) che annulla istantaneamente l'efficacia del trojan su tutti i dispositivi aggiornati. Di conseguenza, il vendor si trova a dover investire di nuovo milioni di dollari per scoprire una nuova catena di vulnerabilità zero-day.

Come verificare se il proprio smartphone è sotto controllo?

Nonostante la loro natura invisibile, anche gli spyware avanzati lasciano piccolissime tracce nei log di sistema, nei file di registro delle connessioni o nei comportamenti anomali di gestione della memoria e della batteria.

Se si ricoprono ruoli aziendali strategici, posizioni apicali o si teme di essere oggetto di monitoraggio informatico non autorizzato, gli strumenti tradizionali di diagnosi utente non sono sufficienti.

Servizio di Bonifica Forense dello Smartphone

Un'analisi forense e una bonifica elettronica dello smartphone consentono di analizzare a fondo la memoria del dispositivo, identificare moduli di spionaggio attivi o pregressi e verificare l'integrità dei canali di comunicazione.

Contatta gli specialisti di Bonifica Microspie Italia per richiedere un intervento di analisi forense o una consulenza riservata sulla sicurezza dei tuoi dispositivi.

Articolo a cura di: Antimo Capasso

Fonti e Riferimenti: I dati sui costi delle vulnerabilità zero-day e sulle licenze software sono elaborati sulla base di report pubblici di cyber-intelligence, analisi di sicurezza informatica e documentazione ufficiale diffusa da enti governativi e analisti del settore (tra cui Citizen Lab, Amnesty Tech e listini pubblici di broker d'exploit come Zerodium).