Amnesty denuncia: “Hacking di stato su attivisti e giornalisti è diventata pratica comune”

Hackerare attivisti per i diritti umani e giornalisti è una pratica che negli ultimi cinque anni è diventata comune a molti stati in giro per il mondo. La denuncia viene da Amnesty International, che ha pubblicato recentemente uno studio sul tema – A brief history of governments hacking human rights organization – realizzato da due consulenti, Morgan Marquis-Boire ed Eva Galperin. Secondo il rapporto, "il mondo ha scoperto per la prima volta che gli stati si hackeravano obiettivi ‘civili' nel 2010, quando Google ha annunciato di aver rilevato un intrusione da parte del governo cinese. Adobe Systems e Juniper Networks hanno poi confermato di essere state attaccate nell'ambito della stessa operazione e un'ulteriore inchiesta ha rivelato che anche Yahoo e Symantec sono state prese di mira". Allo stesso tempo, i cinesi usavano tattiche simili contro le Ong tibetane (un'operazione che va avanti anche adesso). Da quel momento in poi, sostiene Amnesty, hackerare attivisti per avere "accesso alle loro comunicazioni, ai loro network e alle loro vite online" è diventata una pratica comune a molti stati: l'esplosione delle primavere arabe nel 2011 è stata accompagnata da una campagna di sorveglianza di gruppi di attivisti da parte dei governi.

L'hacking di stato, secondo l'organizzazione non governativa, colpisce in maniera uguale giornalisti, cooperanti, attivisti, avvocati impegnati nella difesa dei diritti umani. Nel rapporto vengono riportati i casi di Mamfakinch, una organizzazione di citizen journalist marocchina, che è stata hackerata dal governo usando uno spyware venduto dalla società italiana Hacking Team; di Bahrain Watch, una Ong che si occupa di monitoraggio delle vendite di armi al governo del Bahrein, colpita – assieme ad altri attivisti ed avvocati locali – usando un altro pacchetto, FinFisher, prodotto in Germania e distrubuito da una società inglese; e di Ahmed Mansoor, proveniente dagli Emirati Arabi, membro del comitato consultivo Human Rights Watch's Middle East, che ha aperto un documento dannoso che ha impiantato uno spyware di Hacking Team che ha permesso alle autorità di monitorare i suoi movimenti e leggere le sue email. Una pratica simile si ritrova nelle denunce contro il cosiddetto "Esercito siriano elettronico".

Ma casi del genere avvengono anche in Occidente. Nel rapporto si rileva come agenzie dell'intelligence del Regno Unito abbiano intercettato comunicazioni private della stessa Amnesty International. Nel 2012 il Center for Democracy and Technology negli Stati Uniti è stato preso di mira da gruppi sponsorizzati dallo stato cinese, mentre nel 2013, impiegati dell'Electronic Frontier Foundation (EFF) – sempre in Usa – che avevano lavorato assieme ad attivisti vietnamiti sono entrati nel mirino degl governo del Vietnam, nel corso di un'operazione che ha coinvolto anche un giornalista dell'Associated Press, un accademico vietnamita residente in Francia e il fondatore di "Ba Sam", uno dei più popolari blog dissidenti vietnamiti.

Come spiega Arturo Di Corinto su Repubblica "questi software servono a controllare il comportamento di chi quel computer lo usa e per questo si chiamano spyware":

Quei software che per sbaglio, disattenzione, ignoranza, lasciamo installare sul nostro telefonino perché abbiamo cliccato sul "secure.pdf" mandato dal collega da cui aspettiamo una soffiata, invece può sia tracciare la nostra posizione in ogni momento della giornata che accedere alla lista dei contatti telefonici, leggere i messaggi e le chat e perfino registrare le nostre telefonate.  Molti di questi software spia vengono usati per finalità legittime, per la sicurezza dello stato, ma i confini tra quest'utilizzo e lo spionaggio illegale di altri stati è sempre labile.

Questi attacchi, provati e documentati, rappresentano però per Amnesty solo "la punta dell'iceberg". Analizzare le denunce richiede tempo e spesso non si arriva a prove concrete. Per di più, denuncia il rapporto, "spesso le Ong non hanno le infrastrutture necessarie per riconoscere quando c'è un attacco in atto. Anche se notano qualcosa, come mail di pishing, spesso hanno carenza di esperti all'interno, non sanno dove cercare aiuto esterno o sono riluttanti a farlo perché significherebbe ammettere di essere stati compromessi". D'altro canto, "molte Ong scelgono di non rendere pubblici i loro problemi di sicurezza per paura di minare la fiducia degli attivisti nell'organizzazione". Un silenzio che, però, per Amnesty "aiuta chi attacca": le organizzazioni dovrebbero dire pubblicamente quando sono oggetti di hacking di stato. Anche perché si creerebbe una rete di informazioni pubbliche riguardo a questi attacchi, che potrebbero essere utili per altre Ong che si trovano a fronteggiare simili minacce.