Attacco senza clic: la minaccia “Poisoned Source” e la vulnerabilità dei dispositivi non aggiornati

La sicurezza informatica non è mai stata una linea di difesa statica, ma una corsa agli armamenti costante. Recentemente, una scoperta inquietante effettuata dalla società di sicurezza francese Sekoia ha riportato l’attenzione su un concetto che terrorizza sia gli esperti di cybersecurity che gli utenti comuni: l’attacco “zero-click”.

La campagna, battezzata dagli analisti “Poisoned Source”, ha dimostrato come fosse sufficiente aprire una pagina web compromessa per esporre un iPhone o uno smartphone Android non aggiornato a una compromissione totale. Senza la necessità di scaricare file, cliccare su link malevoli o installare applicazioni sospette, gli aggressori sono riusciti a penetrare nei dispositivi, sottraendo cookie, credenziali Wi-Fi e, in casi specifici, enormi volumi di dati personali.

L’ascesa di Poisoned Source: un’operazione di precisione

Identificata a metà ottobre 2026, la campagna Poisoned Source si distingue per la sua sofisticazione tecnica. A differenza dei classici attacchi di phishing, che fanno leva sulla disattenzione o sull’ingenuità dell’utente, questa operazione ha sfruttato vulnerabilità intrinseche dei sistemi operativi e dei browser, rendendo l’attacco praticamente invisibile.

Il cuore del problema risiede in una catena di exploit che si attivava automaticamente nel momento in cui il browser del dispositivo caricava il contenuto della pagina web infetta. In termini tecnici, si è trattato di un attacco drive-by download altamente evoluto: l’utente non doveva fare nulla, se non navigare sul web. Una volta atterrati sulla pagina compromessa, il codice malevolo eseguiva il suo lavoro in background, sfruttando falle di sicurezza già identificate da Apple e Google, ma non ancora corrette dagli utenti finali a causa di mancati aggiornamenti software.

Chi c’è dietro? Il ritorno di APT29

Le indagini condotte dai ricercatori di Sekoia hanno portato a una conclusione allarmante riguardante l’origine dell’attacco. Con un grado di fiducia valutato da moderato ad alto, gli esperti hanno collegato l’operazione al gruppo APT29, noto anche come Midnight Blizzard o Cozy Bear.

Questo collettivo non è nuovo al panorama della minaccia informatica globale. Comunemente associato all’intelligence estera russa, APT29 è celebre per aver orchestrato operazioni di spionaggio di alto livello nel corso dell’ultimo decennio. L’impiego di risorse così avanzate per colpire dispositivi mobile suggerisce che l’obiettivo dell’operazione Poisoned Source non fosse il semplice furto di dati su scala di massa, ma una raccolta mirata di informazioni, finalizzata probabilmente ad attività di intelligence o monitoraggio di figure chiave.

Il meccanismo dell’attacco senza clic

Come funzionava, nel concreto, l’attacco senza clic? La tecnica utilizzata si basa sull’abuso di vulnerabilità che permettono l’esecuzione di codice arbitrario (Remote Code Execution – RCE).

1. Ingresso silente: La vittima visita un sito web legittimo che è stato precedentemente compromesso o che ospita pubblicità malevole (malvertising).
2. Sfruttamento (Exploit): Il browser della vittima, essendo in una versione obsoleta e non aggiornata, contiene falle nei motori di rendering (come WebKit per iOS o il motore di Chrome per Android). Il codice malevolo della pagina web sfrutta queste falle per superare la “sandbox”, ovvero la zona protetta in cui il browser opera normalmente per isolarsi dal sistema operativo.
3. Esfiltrazione: Una volta superate le barriere del sistema, il malware inizia a scansionare il dispositivo. In questa fase, Poisoned Source era in grado di accedere a:
   • Cookie di sessione: fondamentali per accedere ai servizi web della vittima senza bisogno di password o autenticazione a due fattori.
   • Credenziali Wi-Fi: che permettono agli aggressori di ricostruire i luoghi visitati dalla vittima e mappare i suoi spostamenti abituali.
   • Dati sensibili: file, contatti e messaggi presenti localmente.

La protezione risiede negli aggiornamenti

È fondamentale sottolineare un aspetto critico: la minaccia descritta non riguardava tutti gli smartphone indistintamente. Gli exploit utilizzati da APT29 prendevano di mira esclusivamente versioni specifiche e ormai obsolete di iOS e di Chrome per Android.

Le falle sfruttate erano, di fatto, già state risolte dai rispettivi produttori tramite patch di sicurezza. Questo significa che l’attacco Poisoned Source è stato efficace esclusivamente contro quegli utenti che, per pigrizia, negligenza o incompatibilità hardware, non avevano installato gli aggiornamenti di sicurezza più recenti.

Perché gli aggiornamenti sono la tua prima linea di difesa?

Ogni volta che Apple o Google rilasciano un aggiornamento di sistema, spesso includono pacchetti di correzioni critiche per vulnerabilità scoperte internamente o segnalate dai ricercatori di sicurezza. Quando un utente ignora l’avviso di aggiornamento per settimane o mesi, lascia aperta una “finestra” che gli aggressori, come quelli di APT29, sono pronti a forzare.

L’attacco senza clic è il promemoria più potente dell’importanza della cosiddetta igiene digitale. In un mondo in cui le minacce possono attivarsi senza che l’utente debba compiere alcuna azione, il “clic” non è più il parametro che determina la sicurezza: è la versione del software che si ha in esecuzione.

Come proteggersi da minacce simili in futuro

Sebbene campagne sofisticate come quella scoperta da Sekoia siano difficili da prevenire per il singolo utente, esistono pratiche che possono ridurre drasticamente la superficie di attacco:

• Attivare gli aggiornamenti automatici: Non rimandare mai l’installazione di una patch di sicurezza. Assicurati che sia iOS che Android siano impostati per aggiornarsi autonomamente durante la notte.
• Utilizzare browser moderni e aggiornati: Il browser è il principale vettore di attacco verso l’esterno. Mantieni Chrome, Safari o qualsiasi altro browser sempre nell’ultima versione disponibile.
• Ridurre il numero di app installate: Minore è il numero di applicazioni, minore è il rischio di esposizione a vulnerabilità di terze parti.
• Utilizzare connessioni sicure (VPN): Sebbene non blocchi un attacco di tipo drive-by, l’uso di una VPN può rendere più difficile l’intercettazione dei dati durante l’esfiltrazione verso i server dell’attaccante.
• Diffidare di siti poco attendibili: Anche se l’attacco senza clic può colpire siti apparentemente legittimi, evitare la navigazione su piattaforme di pirateria, streaming illegale o siti sospetti riduce le probabilità di atterrare su server compromessi.

Conclusione

La vicenda di Poisoned Source ci insegna che il panorama delle minacce informatiche si è evoluto verso una forma di invisibilità. Il fatto che un gruppo di intelligence estera abbia potuto colpire i nostri smartphone senza che venisse visualizzato un solo avviso di sicurezza è un monito per l’intero ecosistema mobile.

Tuttavia, non c’è motivo di cadere nel panico. La sicurezza non richiede di essere esperti informatici, ma di adottare una disciplina rigorosa nell’aggiornamento costante dei propri strumenti. Gli attacchi come quello orchestrato da APT29 sono, in definitiva, una sfida di “manutenzione”. Chi tiene aggiornati i propri dispositivi non è solo un utente più consapevole, ma è anche il più grande ostacolo sulla strada di chi tenta di trasformare il nostro smartphone in una spia silenziosa.

La tecnologia che portiamo in tasca è uno strumento incredibilmente potente, ma la sua sicurezza rimane, in ultima analisi, nelle mani di chi la utilizza. Assicurarsi di operare su sistemi patchati è l’unico modo reale per spezzare la catena di un attacco prima ancora che abbia inizio.