Un nuovo caso di giornalista spiato: questa volta lo spyware si chiama Predator

Un messaggio su WhatsApp, un link, un clic. Bastano tre passaggi per trasformare lo smartphone in uno strumento di sorveglianza. Secondo un nuovo rapporto di Amnesty International, nel 2024 il telefono di Teixeira Cândido – giornalista e attivista per la libertà di stampa in Angola – è stato infettato con Predator, uno dei più controversi spyware commerciali sul mercato, sviluppato dalla società Intellexa. È capace di accedere a messaggi, email, microfono, fotocamera e altri dati sensibili del dispositivo.

Il caso si inserisce in una tendenza globale preoccupante: sempre più spesso, strumenti di sorveglianza digitale avanzati vengono utilizzati per monitorare attivisti, oppositori politici, giornalisti. Tra questi, anche Francesco Cancellato, direttore di Fanpage.it. Nel gennaio 2025, Meta ha avvisato Cancellato che il suo account era stato preso di mira con Graphite – un software “zero-click”. In seguito, il Citizen Lab ha confermato che anche Ciro Pellegrino, capo redazione di Fanpage.it a Napoli, è stato oggetto dello stesso attacco.

Il rapporto di Amnesty: cosa è successo

Predator è uno spyware di livello militare, progettato per l’intercettazione remota e invisibile dei dispositivi. È prodotto e distribuito da Intellexa, un consorzio di società con sedi in diverse giurisdizioni, accusato di aver costruito una rete societaria opaca per aggirare controlli e normative sull’export di tecnologie di sorveglianza. 

Le analisi forensi condotte dal laboratorio di sicurezza di Amnesty hanno individuato tracce tecniche riconducibili all’infrastruttura di Intellexa: in particolare, server di infezione già collegati in passato alle operazioni della società. I ricercatori hanno inoltre osservato che il malware si mascherava da processo legittimo di iOS, il sistema operativo di Apple, per evitare il rilevamento.

Il telefono della vittima utilizzava una versione non aggiornata di iOS, che potrebbe aver facilitato l’intrusione. Tuttavia, Amnesty non ha potuto determinare con certezza quale falla di sicurezza sia stata utilizzata. Poche ore dopo l’attacco Cândido ha riavviato il dispositivo: l'operazione ha bloccato lo spyware. Non si sa però al momento quali dati sono stati raccolti e nemmeno chi ha commissionato l'attacco. Il rapporto sottolinea che, allo stato attuale delle prove, non esistono elementi conclusivi per attribuire la responsabilità a una specifica autorità angolana.

Il passato di Intellexa

Intellexa è stata fondata dall’imprenditore israeliano Tal Dilian, la società è finita sotto i riflettori internazionali per il suo coinvolgimento in diversi scandali. Nel 2023 e nel 2024, inchieste giornalistiche e rapporti indipendenti hanno collegato l’uso di Predator a operazioni di sorveglianza in Paesi come Grecia, Egitto, Pakistan e Vietnam. In alcuni casi, lo spyware sarebbe stato utilizzato anche contro funzionari statunitensi all’estero.

Nel luglio 2024, l’amministrazione del presidente Joe Biden ha imposto sanzioni contro Intellexa, contro lo stesso Dilian e contro la sua partner commerciale, Sara Aleksandra Fayssal Hamou, accusando la società di aver facilitato abusi contro giornalisti e oppositori politici. Successivamente, alcune misure restrittive nei confronti di dirigenti collegati al gruppo sono state revocate, suscitando polemiche politiche a Washington.

Secondo Amnesty, i primi domini internet collegati a Predator in Angola risalgono almeno a marzo 2023, suggerendo che test o implementazioni operative del sistema fossero in corso già da tempo. I ricercatori hanno individuato più domini riconducibili all’infrastruttura dello spyware nel Paese, elemento che lascia supporre l’esistenza di altri bersagli oltre a Cândido. Intellexa non ha rilasciato commenti in merito alle nuove accuse relative all’Angola.

Un mercato in espansione e poco regolato

Il caso angolano non è isolato. Negli ultimi anni, il mercato globale degli spyware commerciali è cresciuto rapidamente, alimentato dalla domanda di strumenti di sorveglianza digitale sofisticati. Aziende private vendono tecnologie capaci di penetrare smartphone senza che l’utente se ne accorga, sfruttando vulnerabilità sconosciute (le cosiddette zero-day).

Parallelamente, le normative internazionali faticano a tenere il passo. Sebbene esistano regimi di controllo sulle esportazioni di tecnologie dual-use (civili e militari), le società del settore hanno spesso operato attraverso reti di filiali e sedi estere per aggirare le restrizioni.

Dalla censura alla sorveglianza totale

L’attacco a Teixeira Cândido si inserisce in un contesto delicato per la libertà di stampa in Africa subsahariana. In diversi Paesi della regione, i giornalisti affrontano intimidazioni, pressioni giudiziarie e minacce digitali. L’uso di spyware rappresenta un salto di qualità: non più solo controllo o censura, ma intrusione totale nella sfera privata.

“Abbiamo ormai prove confermate di abusi in Angola, Egitto, Pakistan, Grecia e altrove”, ha dichiarato Donncha Ó Cearbhaill, responsabile del Security Lab di Amnesty. Il caso angolano dimostra che il business degli spyware continua a prosperare. E come sottolinea Cearbhaill, è impossibile stimare per ogni caso che riusciamo a documentare, è probabile che molti altri restino nell’ombra.