di Manuel Spataro*

Il caso che ha coinvolto il Ministero della Difesa, emerso dalle analisi del ricercatore di cybersecurity Andrea Mavilla, dimostra che individuare uno smartphone sotto controllo è solo il primo passo: il vero obiettivo di un avversario è acquisire superiorità informativa attraverso identità digitali, reti di relazioni e comunicazioni strategiche.

La sicurezza delle comunicazioni rappresenta oggi una componente essenziale della sicurezza nazionale. Se fino a pochi anni fa la principale minaccia era l’intercettazione delle comunicazioni, oggi il vero valore informativo risiede nella capacità di correlare dati provenienti da smartphone, metadati, identità digitali e reti di relazioni, ricostruendo l’ecosistema operativo di persone e organizzazioni.

In questo contesto si inserisce il caso emerso nell’aprile 2025, che ha coinvolto il Ministero della Difesa attraverso il ricercatore di cybersecurity Andrea Mavilla. La vicenda ha dimostrato come i numeri di telefono privati di alte cariche dello Stato, ministri, magistrati, dirigenti pubblici e migliaia di dipendenti della Pubblica Amministrazione fossero facilmente reperibili tramite piattaforme commerciali di data enrichment, senza ricorrere al dark web né a sofisticate tecniche di intrusione (ANSA: “Numeri di telefono dei vertici dello Stato online, la Procura apre un’inchiesta”).

La Procura di Roma ha avviato un’indagine per verificare l’origine dei dati, mentre il Garante per la protezione dei dati personali e l’Agenzia per la Cybersicurezza Nazionale (ACN) hanno avviato le rispettive verifiche, precisando che non risultavano compromissioni dei sistemi istituzionali (ANSA: “Agenzia Cyber: falsità sui telefoni delle alte cariche online”).

Al di là delle responsabilità ancora oggetto di accertamento, il caso evidenzia un cambiamento di paradigma: l’esposizione di un recapito telefonico non costituisce soltanto un problema di riservatezza, ma può diventare il punto di partenza per operazioni di intelligence, campagne di spear phishing, attività di social engineering e processi di correlazione dei dati finalizzati a ricostruire la rete di relazioni di personale che opera in ambiti sensibili.

La questione strategica, quindi, non è se sia sufficiente sostituire uno smartphone o cambiare numero di telefono, ma quale valore operativo continui ad avere il patrimonio informativo già acquisito da un potenziale avversario. È questo il principale insegnamento che emerge dal caso del Ministero della Difesa e che impone una riflessione sull’evoluzione della sicurezza delle comunicazioni istituzionali.

Perché cambiare telefono potrebbe non essere sufficiente

Quando si verifica un’esposizione di dati o si sospetta una compromissione di uno smartphone, la prima reazione consiste spesso nel sostituire il dispositivo o cambiare numero di telefono. Si tratta di una misura che può ridurre alcuni rischi immediati, soprattutto se il numero è diventato bersaglio di campagne di phishing, smishing o tentativi di social engineering.

Prima di adottare qualsiasi misura di contenimento, è fondamentale accertare se esistano indicatori di compromissione. Una verifica metodica consente di distinguere un semplice malfunzionamento da un’effettiva intrusione: nella guida Come vedere se il telefono è sotto controllo sono illustrati i principali controlli da effettuare su uno smartphone Android.

Se un attaccante è riuscito, direttamente o indirettamente, ad acquisire informazioni come la rubrica dei contatti, gli indirizzi e-mail associati, i gruppi di messaggistica o altri elementi utili a ricostruire le relazioni operative della vittima, questo patrimonio informativo continuerà a mantenere valore indipendentemente dal dispositivo successivamente utilizzato.

Nell’ambito dell’intelligence e delle indagini digitali questo insieme di relazioni viene spesso definito social graph: una rappresentazione delle connessioni tra persone, organizzazioni e sistemi che permette di comprendere non solo chi comunica con chi, ma anche la frequenza, le abitudini e, in alcuni casi, il ruolo ricoperto all’interno di una rete.

Immaginiamo, ad esempio, che un dirigente pubblico sostituisca il proprio numero di telefono dopo aver appreso che il precedente è stato esposto. Per continuare a lavorare dovrà inevitabilmente comunicare il nuovo recapito ai colleghi, ai collaboratori, agli uffici e ai contatti istituzionali. Se anche uno solo di questi dispositivi fosse già stato compromesso o venisse compromesso in futuro, il nuovo numero potrebbe essere nuovamente associato alla stessa persona, consentendo agli attaccanti di ricostruire rapidamente la rete di relazioni.

In altre parole, la sostituzione del numero di telefono elimina un identificatore, ma non cancella le informazioni già raccolte né le relazioni che possono essere state ricostruite nel tempo. Per questo motivo, nell’ambito della risposta a un incidente informatico, il rinnovo del dispositivo rappresenta una misura di contenimento, mentre la priorità diventa comprendere l’estensione della compromissione e valutare quali ulteriori interventi siano necessari per ripristinare un adeguato livello di sicurezza.

Le linee guida internazionali sulla sicurezza dei dispositivi mobili sottolineano infatti che, dopo una possibile compromissione, è necessario valutare anche gli effetti dell’incidente sulle identità digitali, sugli account collegati, sui sistemi di autenticazione e sulle comunicazioni dell’utente. CISA – Mobile Communications Best Practices e  ENISA – Cyber Hygiene evidenziano come la risposta a un incidente debba comprendere attività di verifica, contenimento e monitoraggio, non limitandosi alla semplice sostituzione dell’hardware.

Questa vicenda rappresenta un’occasione per riflettere su un principio spesso sottovalutato: quando un attaccante raccoglie informazioni, il problema non riguarda soltanto ciò che è stato esposto oggi, ma anche ciò che potrà essere ricostruito domani.

La fiducia nel dispositivo è il primo requisito della sicurezza

La sicurezza di una comunicazione viene spesso associata esclusivamente alla robustezza degli algoritmi crittografici utilizzati per proteggerne il contenuto. In realtà, la cifratura rappresenta soltanto uno dei livelli di difesa. Prima ancora di chiedersi se una comunicazione sia protetta durante il transito, è necessario poter riporre fiducia nei dispositivi che la generano, la elaborano e la ricevono. Se questa fiducia viene meno, anche il canale di comunicazione più sicuro può perdere gran parte della propria efficacia.

Le moderne tecnologie di cifratura offrono oggi un livello di protezione molto elevato contro l’intercettazione del traffico di rete. Tuttavia, il messaggio viene inevitabilmente creato, visualizzato e gestito su un dispositivo fisico. Se quest’ultimo non è integro o è stato compromesso, la protezione offerta dalla crittografia non è più sufficiente a garantire la riservatezza delle informazioni.

Per questo motivo, saper riconoscere i segnali di una possibile compromissione rappresenta il primo passo per valutare l’affidabilità di uno smartphone. La guida Come vedere se il telefono è sotto controllo descrive le verifiche iniziali che consentono di individuare gli indicatori di compromissione più comuni prima che possano evolvere in un incidente di sicurezza. La riservatezza del canale rimane intatta, ma il dato può essere comunque esposto perché il punto di compromissione si trova a monte o a valle del processo di cifratura.

Per questo motivo, le Pubbliche Amministrazioni, le organizzazioni della difesa, le infrastrutture critiche, le aziende strategiche e tutti gli enti che gestiscono informazioni sensibili non possono limitarsi a proteggere il traffico dati. La sicurezza delle comunicazioni richiede anche la verifica continua dell’integrità degli endpoint, la capacità di individuare tempestivamente eventuali malware o spyware e il monitoraggio costante dello stato di sicurezza dei dispositivi autorizzati.

Il caso Mavilla richiama indirettamente proprio questo principio. Anche in assenza di prove che dimostrino una compromissione dei dispositivi coinvolti, l’esposizione di recapiti appartenenti a figure istituzionali evidenzia come la sicurezza delle comunicazioni debba essere considerata un ecosistema nel quale dispositivi, identità digitali, piattaforme di comunicazione e utenti costituiscono elementi strettamente interdipendenti.

La domanda, quindi, non è soltanto se una comunicazione sia cifrata, ma se sia possibile riporre fiducia nell’intero ecosistema che la rende possibile. È questo il principio sul quale si basano oggi le più moderne strategie di protezione delle comunicazioni adottate negli ambienti ad alta criticità.

Perché la verifica viene prima della sostituzione dello smartphone

Dopo aver adottato le prime misure di contenimento, la priorità diventa ricostruire l’effettiva portata dell’incidente. Più che chiedersi se sia necessario sostituire lo smartphone, occorre stabilire quali informazioni possano essere state acquisite, quali account possano essere stati coinvolti e quali relazioni possano essere state esposte.

Le modalità attraverso cui le informazioni vengono acquisite possono essere diverse: dalla compromissione del dispositivo mediante malware o spyware, fino alla raccolta di dati provenienti da fonti eterogenee e successivamente correlate. In entrambi i casi, il rischio non riguarda soltanto il numero di telefono, ma la possibilità che un attaccante disponga di elementi sufficienti per ricostruire il profilo operativo della vittima e pianificare azioni mirate.

La risposta a un incidente dovrebbe quindi seguire un processo strutturato di analisi e verifica. Oltre ad accertare l’eventuale presenza di indicatori di compromissione sul dispositivo, è necessario valutare gli account collegati, verificare le sessioni ancora attive, controllare i metodi di autenticazione associati e accertare che non siano stati autorizzati nuovi accessi o nuovi dispositivi. Solo una valutazione complessiva consente di definire con sufficiente affidabilità l’effettiva portata dell’incidente.

Solo dopo questa fase di analisi è possibile stabilire se la sostituzione dello smartphone o del numero telefonico rappresenti una misura realmente utile oppure soltanto un intervento parziale.

Per gli utenti meno esperti non è semplice individuare i segnali di una possibile compromissione. Alcuni spyware moderni sono progettati per operare senza alterare il normale funzionamento del dispositivo e possono rimanere attivi per lunghi periodi senza manifestare sintomi evidenti. Proprio per questo motivo è importante conoscere gli indicatori più comuni e sapere quali verifiche effettuare prima di considerare nuovamente sicuro il proprio smartphone.

Per approfondire questo argomento è disponibile la guida Come vedere se il telefono è sotto controllo, che raccoglie le principali verifiche da eseguire su uno smartphone Android, gli indicatori di compromissione più frequenti e le misure consigliate per ridurre il rischio di nuove intrusioni.

Il caso Mavilla evidenzia come la gestione di un incidente non possa esaurirsi nelle sole misure di contenimento. La capacità di ricostruire ciò che è stato realmente esposto, valutarne le possibili conseguenze e adottare interventi proporzionati rappresenta oggi un elemento essenziale per proteggere le comunicazioni istituzionali e ridurre il rischio di compromissioni future.

Le moderne comunicazioni sicure richiedono un approccio integrato

L’evoluzione delle minacce informatiche ha modificato profondamente il modo in cui viene concepita la sicurezza delle comunicazioni. Per molti anni l’attenzione si è concentrata quasi esclusivamente sulla protezione del canale di trasmissione mediante algoritmi crittografici sempre più robusti. Oggi, pur rimanendo un requisito essenziale, la cifratura rappresenta soltanto uno dei diversi livelli necessari per garantire comunicazioni realmente sicure.

Nelle organizzazioni che trattano informazioni sensibili – come Pubbliche Amministrazioni, infrastrutture critiche, enti della difesa e aziende strategiche – la sicurezza dipende dalla capacità di verificare costantemente l’affidabilità dei dispositivi e delle identità che accedono ai servizi. Questo principio è alla base delle moderne architetture Zero Trust, nelle quali la fiducia non viene mai presunta, ma deve essere continuamente verificata durante l’intero ciclo di vita della comunicazione.

In questo scenario assume un ruolo sempre più rilevante il Mobile Threat Defense (MTD), che affianca le tradizionali misure di protezione monitorando lo stato di sicurezza dei dispositivi mobili. Attraverso l’analisi continua di indicatori di compromissione, comportamenti anomali e possibili minacce, queste tecnologie consentono di individuare tempestivamente malware, spyware, applicazioni dannose e altre attività potenzialmente pericolose, anche quando non risultano immediatamente visibili all’utente.

Di conseguenza, la protezione delle comunicazioni non può limitarsi alla cifratura dei messaggi. È necessario garantire che il dispositivo sia integro, che l’identità dell’utente venga verificata, che gli accessi siano governati secondo criteri coerenti e che eventuali anomalie vengano rilevate prima che possano compromettere l’intero sistema.

Per soddisfare questi requisiti, molte organizzazioni adottano piattaforme di comunicazione sicura progettate per integrare in un unico ecosistema la protezione delle comunicazioni, la gestione delle identità digitali e la sicurezza dei dispositivi. L’obiettivo non è soltanto proteggere il traffico dati, ma assicurare una governance centralizzata dell’intero ambiente operativo, con controlli continui sull’integrità dei dispositivi, gestione uniforme delle politiche di sicurezza, registrazione degli eventi rilevanti e capacità di limitare automaticamente l’accesso ai servizi qualora vengano rilevati indicatori di compromissione.

Questo approccio consente di ridurre significativamente il rischio operativo. Un dispositivo sospetto può essere isolato prima che venga utilizzato per accedere a informazioni riservate o diventi il punto di partenza per compromettere altri sistemi dell’organizzazione. La sicurezza delle comunicazioni non viene quindi considerata come una semplice funzione applicativa, ma come parte integrante della strategia complessiva di resilienza informatica.

Alla luce di queste considerazioni, la vicenda emersa al Ministero della Difesa dimostra come la protezione delle comunicazioni istituzionali non possa essere affidata a interventi isolati, quali la sostituzione di uno smartphone o il cambio del numero di telefono. Una risposta efficace richiede un approccio integrato, nel quale comunicazioni, identità digitali, dispositivi e capacità di rilevazione delle minacce operino in modo coordinato per ridurre il rischio lungo l’intero ciclo di vita delle informazioni.

Il caso Mavilla non riguarda solo l’Italia: la sfida globale dei data broker

Sarebbe un errore considerare il caso Mavilla come un episodio isolato. Negli ultimi anni è cresciuto in modo significativo il ruolo dei cosiddetti data broker, aziende specializzate nella raccolta, correlazione e commercializzazione di informazioni provenienti da registri pubblici, servizi online, attività di marketing, social network e, in alcuni casi, da dati resi disponibili a seguito di violazioni informatiche.

Considerati singolarmente, questi dati raramente rappresentano un rischio elevato. Il loro valore emerge quando informazioni provenienti da fonti differenti vengono aggregate e correlate, consentendo di ricostruire un quadro dettagliato dell’identità digitale, delle relazioni personali e delle abitudini operative di un individuo. È questa capacità di trasformare dati apparentemente innocui in informazioni ad alto valore che rende tali piattaforme di interesse non solo per il settore del marketing, ma anche per criminali informatici, gruppi di cyberspionaggio e attori statuali.

Le principali agenzie internazionali di cybersecurity richiamano da tempo l’attenzione su questo fenomeno. CISA – Secure Our World evidenzia come la protezione dell’identità digitale e degli account rappresenti uno degli elementi fondamentali della sicurezza informatica, mentre ENISA Threat Landscape 2024 sottolinea come la raccolta e la correlazione di informazioni provenienti da sorgenti eterogenee costituiscano una componente sempre più rilevante nella preparazione di attacchi mirati contro organizzazioni pubbliche e private.

Il caso italiano dimostra che la disponibilità di informazioni sensibili non deriva necessariamente dalla compromissione dei sistemi di un’organizzazione. Anche dati acquisiti legittimamente da fonti diverse possono, una volta correlati, fornire un livello di conoscenza sufficiente a facilitare campagne di social engineering, operazioni di spear phishing o attività di raccolta informativa a supporto di operazioni di intelligence.

Per questo motivo la sicurezza degli smartphone non può essere considerata esclusivamente una responsabilità individuale. Ogni dispositivo mobile rappresenta un punto di accesso all’ecosistema informativo di un’organizzazione e, se utilizzato in contesti istituzionali o aziendali, può influenzare la sicurezza dell’intera rete di relazioni professionali.

Questa vicenda richiama l’attenzione su una sfida destinata a diventare sempre più rilevante. Nell’era della correlazione dei dati, proteggere le comunicazioni significa anche comprendere il valore strategico delle informazioni che vengono generate, condivise e collegate tra loro. La resilienza non dipende soltanto dalla sicurezza del singolo dispositivo, ma dalla capacità di gestire in modo consapevole l’intero patrimonio informativo dell’organizzazione.

Conclusioni

Il caso Mavilla dimostra come la sicurezza delle comunicazioni istituzionali non possa più essere affrontata esclusivamente dal punto di vista tecnologico. La crescente disponibilità di dati, la possibilità di correlare informazioni provenienti da fonti eterogenee e l’evoluzione delle minacce informatiche impongono un approccio integrato, nel quale persone, processi e tecnologie contribuiscano in modo coordinato alla protezione del patrimonio informativo.

Per le organizzazioni che operano in contesti istituzionali, governativi, militari o industriali, la protezione delle comunicazioni richiede oggi piattaforme progettate per ambienti ad alta sicurezza, capaci di integrare la gestione delle identità digitali, la verifica continua dell’affidabilità dei dispositivi e il monitoraggio costante degli indicatori di compromissione. In questo contesto, l’adozione di architetture Zero Trust, di soluzioni di Mobile Threat Defense e di procedure strutturate di incident response rappresenta un elemento essenziale per ridurre il rischio operativo e rafforzare la resilienza dell’organizzazione.

La sicurezza delle comunicazioni non dipende infatti da un singolo dispositivo né esclusivamente dalla robustezza degli algoritmi crittografici, ma dalla capacità di costruire un ecosistema nel quale dispositivi, identità digitali, piattaforme e processi operino in modo coerente, consentendo di individuare tempestivamente le minacce, limitarne gli effetti e garantire la continuità operativa.

Più che un episodio di cronaca, questa vicenda rappresenta un segnale dell’evoluzione del panorama delle minacce. In un contesto in cui la raccolta, l’aggregazione e la correlazione delle informazioni possono trasformare dati apparentemente innocui in uno strumento di intelligence, la protezione delle comunicazioni istituzionali diventa un requisito strategico per la sicurezza nazionale, la resilienza delle infrastrutture critiche e la tutela delle informazioni più sensibili.

Fonti e approfondimenti

• ANSA – Numeri di telefono dei vertici dello Stato online, la Procura apre un’inchiesta
• ANSA – Agenzia Cyber: “Falsità sui telefoni delle alte cariche online”
• CISA – Mobile Communications Best Practices
• CISA – Secure Our World
• ENISA – Cyber Hygiene
• ENISA Threat Landscape 2024
• Guida alla sicurezza del telefono – Come vedere se il telefono è sotto controllo

*Manuel Spataro è uno specialista IT nel campo della sicurezza informatica. Da anni lavora nel settore delle comunicazioni sicure e cerca di sensibilizzare gli utenti ad un uso consapevole degli strumenti che offre il mercato.

È possibile contattare Manuel Spataro tramite Linkedin all’indirizzo https://www.linkedin.com/in/manuel-spataro-89482537 o tramite email [email protected].