di Manuel Spataro*

Negli ultimi anni lo smartphone è passato dall’essere un semplice dispositivo personale a rappresentare uno dei principali punti di accesso per attività di intelligence, spionaggio informatico e guerra cibernetica. Comprendere come evolvono le minacce è oggi fondamentale per proteggere comunicazioni, informazioni sensibili e capacità operative.

Introduzione

Lo smartphone è passato dall’essere un semplice strumento di comunicazione a rappresentare uno degli asset più strategici dell’ecosistema digitale. Oltre a gestire telefonate e messaggi, custodisce credenziali di accesso, sistemi di autenticazione, dati personali e professionali, documenti riservati e connessioni a infrastrutture cloud e reti aziendali. Questa centralità lo ha reso uno dei principali obiettivi delle attività di intelligence, del cyber spionaggio e delle operazioni di cyber warfare (guerra elettronica).

L’evoluzione delle minacce è confermata dai più recenti rapporti dell’ENISA, che evidenziano il crescente interesse degli attaccanti verso gli endpoint mobili, e dal Verizon Data Breach Investigations Report 2025, che continua a indicare phishing e furto di credenziali tra i principali vettori di compromissione. In questo contesto, compromettere uno smartphone non significa più soltanto intercettare comunicazioni, ma ottenere un punto di accesso privilegiato all’intero ecosistema digitale della vittima.

Comprendere come si siano evolute le attività di intelligence e le tecniche di compromissione dei dispositivi mobili è oggi essenziale per garantire la sicurezza delle comunicazioni operative e la resilienza delle organizzazioni che operano in contesti ad alta esposizione alle minacce informatiche.

L’evoluzione delle attività di intelligence

Per decenni le attività di intelligence si sono concentrate principalmente sull’intercettazione delle comunicazioni attraverso infrastrutture di rete e operatori telefonici. Oggi questo paradigma è profondamente cambiato: l’obiettivo non è più soltanto acquisire il contenuto di una conversazione, ma ottenere il controllo diretto del dispositivo utilizzato dalla persona di interesse. Lo smartphone è infatti diventato il principale punto di raccolta delle informazioni, in grado di offrire una visione completa delle attività digitali dell’utente.

Le rivelazioni di Edward Snowden nel 2013 hanno contribuito a mostrare come le capacità di sorveglianza si stessero progressivamente orientando verso i dispositivi mobili. Negli anni successivi, le analisi condotte da Citizen Lab hanno documentato l’evoluzione degli strumenti di cyber intelligence, evidenziando l’impiego di spyware sempre più sofisticati in grado di compromettere smartphone Android e iOS senza richiedere alcuna interazione da parte della vittima.

Il valore operativo di queste tecnologie risiede nella possibilità di ottenere un accesso persistente al dispositivo. Una volta compromesso, lo smartphone può diventare una piattaforma di raccolta informativa continua, consentendo di acquisire comunicazioni, dati, posizione geografica e altre informazioni strategiche ben oltre la semplice intercettazione di una telefonata. È questa evoluzione, dalla sorveglianza delle comunicazioni al controllo dell’endpoint, a caratterizzare oggi gran parte delle moderne operazioni di cyber intelligence.

Perché lo smartphone è il bersaglio ideale

Nel contesto operativo moderno, lo smartphone concentra funzioni che un tempo erano distribuite su apparati differenti. Oltre alle comunicazioni vocali e testuali, gestisce autenticazione multi fattore (MFA), posta elettronica, accesso a reti VPN, documenti riservati, servizi cloud e applicazioni operative. È, di fatto, il punto di convergenza dell’identità digitale dell’operatore.

Questa concentrazione di informazioni rende il dispositivo estremamente prezioso per un’attività di intelligence. La compromissione di un solo smartphone può consentire di ricostruire relazioni tra persone, individuare procedure operative, analizzare gli spostamenti, identificare infrastrutture utilizzate e, in alcuni casi, sfruttare credenziali già valide per accedere ad altri sistemi dell’organizzazione.

Per un attaccante non è quindi necessario violare direttamente una rete protetta se può ottenere gli stessi risultati attraverso il dispositivo utilizzato quotidianamente dal personale. Lo smartphone è diventato il punto di accesso privilegiato all’ecosistema informativo di un’organizzazione e, proprio per questo, rappresenta oggi uno degli obiettivi più remunerativi delle moderne operazioni di cyber intelligence

Nel contesto operativo moderno, lo smartphone concentra funzioni che un tempo erano distribuite su apparati differenti. Oltre alle comunicazioni vocali e testuali, gestisce autenticazione multi fattore (MFA), posta elettronica, accesso a reti VPN, documenti riservati, servizi cloud e applicazioni operative. È, di fatto, il punto di convergenza dell’identità digitale dell’operatore.

Questa concentrazione di informazioni rende il dispositivo estremamente prezioso per un’attività di intelligence. La compromissione di un solo smartphone può consentire di ricostruire relazioni tra persone, individuare procedure operative, analizzare gli spostamenti, identificare infrastrutture utilizzate e, in alcuni casi, sfruttare credenziali già valide per accedere ad altri sistemi dell’organizzazione.

Per un attaccante non è quindi necessario violare direttamente una rete protetta se può ottenere gli stessi risultati attraverso il dispositivo utilizzato quotidianamente dal personale. Lo smartphone è diventato il punto di accesso privilegiato all’ecosistema informativo di un’organizzazione e, proprio per questo, rappresenta oggi uno degli obiettivi più remunerativi delle moderne operazioni di cyber intelligence.

Le principali soluzioni tecniche di cmporomissione

Le moderne campagne di cyber intelligence raramente si affidano a una sola tecnica di attacco. Più frequentemente combinano tecniche di ingegneria sociale, sfruttamento di vulnerabilità e malware specializzati, aumentando le probabilità di compromettere il dispositivo senza destare sospetti.

Il phishing rimane uno dei principali vettori di accesso, ma si è evoluto in forme molto più mirate come lo spear phishing, che utilizza informazioni specifiche sulla vittima per aumentare la credibilità del messaggio. A queste si affiancano lo smishing, che sfrutta SMS o applicazioni di messaggistica, e lo spoofing, con cui l’attaccante falsifica identità o servizi ritenuti affidabili.

Negli ultimi anni hanno assunto particolare rilevanza gli exploit zero-click, che consentono di compromettere il dispositivo senza alcuna interazione dell’utente, sfruttando vulnerabilità presenti nel sistema operativo o nelle applicazioni. Parallelamente, spyware mobili sempre più sofisticati possono essere distribuiti attraverso applicazioni compromesse, aggiornamenti malevoli o attacchi alla supply chain software.

Secondo il framework MITRE ATT&CK for Mobile, l’obiettivo finale non è semplicemente installare un malware, ma ottenere persistenza, acquisire credenziali, raccogliere informazioni e mantenere il controllo del dispositivo il più a lungo possibile, riducendo al minimo la probabilità di essere individuati.

Gli spyware moderni: un cambio di paradigma

Per molti anni gli strumenti di sorveglianza digitale più sofisticati sono stati considerati una capacità riservata a poche agenzie governative. Negli ultimi anni questo scenario è profondamente cambiato.

La comparsa di piattaforme come Pegasus, Predator e Graphite ha dimostrato l’esistenza di un mercato internazionale degli spyware commerciali, sviluppati da aziende private e destinati a clienti istituzionali.

Le indagini di Citizen Lab, insieme alle analisi del Google Threat Intelligence Group, hanno documentato l’impiego di queste tecnologie in numerosi Paesi, evidenziando come possano essere utilizzate in operazioni di intelligence, contrasto al terrorismo e attività di polizia, ma anche in casi di sorveglianza controversa ai danni di giornalisti, oppositori politici e organizzazioni della società civile.

La principale lezione emersa da questi casi è che la sicurezza dei dispositivi mobili non può più essere valutata esclusivamente sulla base delle minacce criminali tradizionali. L’esistenza di strumenti in grado di sfruttare vulnerabilità sconosciute e capacità offensive estremamente avanzate impone un approccio alla protezione degli smartphone adeguato al valore strategico delle informazioni che essi custodiscono.

Il valore dell’informazione: quando i metadati diventano intelligence

Nelle moderne operazioni di intelligence non sono sempre i contenuti delle comunicazioni a rappresentare l’informazione più preziosa. Spesso sono i metadati — chi comunica con chi, quando, da dove e con quale frequenza — a consentire di ricostruire reti di relazioni, individuare gerarchie, identificare procedure operative e anticipare attività future.

L’analisi dei metadati può rivelare la composizione di un reparto, la presenza di personale in una determinata area, la frequenza dei contatti tra diverse unità o l’attivazione di specifiche catene decisionali, anche senza accedere al contenuto dei messaggi. È un approccio consolidato nelle attività di intelligence e ampiamente documentato in ambito militare e di sicurezza.

La crescente disponibilità di strumenti basati sull’intelligenza artificiale e sull’analisi automatizzata dei dati rende oggi possibile correlare grandi quantità di informazioni provenienti da dispositivi diversi, trasformando eventi apparentemente isolati in un quadro informativo coerente. In questo contesto, ogni smartphone rappresenta non solo una fonte di dati, ma un nodo all’interno di una rete informativa molto più ampia.

Comunicazioni operative e resilienza

La crescente sofisticazione delle minacce rende insufficiente affidare la sicurezza delle comunicazioni a un’unica tecnologia. La resilienza operativa richiede un approccio multilivello che integri protezione del dispositivo, gestione centralizzata degli endpoint, controllo degli accessi e verifica continua dell’integrità dei sistemi.

Le principali linee guida internazionali, tra cui quelle di NIST, CISA ed ENISA, convergono su alcuni principi fondamentali: adozione di un modello Zero Trust, autenticazione forte, aggiornamento tempestivo dei sistemi, limitazione dei privilegi, monitoraggio continuo degli endpoint e cifratura delle comunicazioni. Nessuna misura, considerata singolarmente, è sufficiente; è la loro combinazione a ridurre concretamente la superficie di attacco.

Nei contesti militari, governativi e nelle infrastrutture critiche assume particolare importanza anche la compartimentazione delle informazioni. Separare gli ambienti operativi, limitare l’accesso ai dati in funzione del ruolo e utilizzare dispositivi dedicati alle comunicazioni sensibili contribuisce a contenere gli effetti di un’eventuale compromissione e a garantire la continuità delle operazioni anche in presenza di un incidente di sicurezza.

La protezione delle comunicazioni operative non può quindi essere considerata esclusivamente un problema tecnologico, ma un elemento essenziale della resilienza dell’intera organizzazione.

Le lezioni dei conflitti recenti

I conflitti degli ultimi anni hanno evidenziato come il dominio cibernetico sia ormai parte integrante delle operazioni militari. Le attività di cyber warfare, guerra elettronica, raccolta informativa e disinformazione vengono pianificate e condotte in modo coordinato, con l’obiettivo di ottenere un vantaggio operativo prima ancora dell’impiego delle capacità convenzionali.

Le analisi pubblicate dal NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE), dall’ENISA e da numerosi centri di ricerca internazionali mostrano come la protezione degli endpoint mobili sia diventata un elemento essenziale della sicurezza operativa. Lo smartphone, per la quantità di informazioni che gestisce e per il suo utilizzo continuo, rappresenta uno dei punti di maggiore interesse per chi conduce attività di raccolta informativa.

La principale lezione che emerge è che la sicurezza delle comunicazioni non può più essere affrontata come una semplice misura di protezione informatica. Deve essere considerata una componente della capacità operativa di un’organizzazione, al pari della sicurezza delle reti, delle infrastrutture e dei sistemi informativi. In questo scenario, la protezione del dispositivo mobile assume un valore strategico che va ben oltre la tutela della riservatezza delle comunicazioni.

Conclusioni

Lo smartphone è oggi uno degli asset più critici dell’ecosistema digitale. La sua compromissione può avere conseguenze che vanno ben oltre la perdita di dati personali, incidendo sulla sicurezza delle comunicazioni, sulla protezione delle informazioni sensibili e, nei contesti più esposti, sulla capacità operativa di organizzazioni, infrastrutture critiche e amministrazioni pubbliche.

L’evoluzione delle attività di intelligence e delle tecniche di cyber warfare dimostra che la protezione dei dispositivi mobili non può più essere considerata un aspetto secondario della sicurezza informatica. È necessario adottare un approccio che integri tecnologie, procedure operative e gestione degli endpoint, riducendo la superficie di attacco e aumentando la resilienza delle comunicazioni.

Negli ultimi anni il mercato ha visto la nascita di piattaforme e dispositivi progettati specificamente per gli ambienti ad alto rischio, con caratteristiche di sicurezza superiori rispetto agli smartphone tradizionali. Comprenderne l’architettura, i punti di forza e i limiti è fondamentale per valutare quali soluzioni siano realmente in grado di rispondere alle esigenze operative di organizzazioni governative, militari e industriali.

In successivi approfondimenti analizzeremo cifratura, antivirus e modelli di rilevazione malware, data center e scenari operativi e le principali soluzioni oggi disponibili, confrontandone gli approcci alla sicurezza, le tecnologie adottate e i criteri con cui valutarne l’efficacia nei contesti in cui la protezione delle comunicazioni rappresenta un requisito strategico.

Immagini: Autore e DepositPhotos.com

*Manuel Spataro è uno specialista IT nel campo della sicurezza informatica. Da anni lavora nel settore delle comunicazioni sicure e cerca di sensibilizzare gli utenti ad un uso consapevole degli strumenti che offre il mercato.

È possibile contattare Manuel Spataro tramite Linkedin all’indirizzo https://www.linkedin.com/in/manuel-spataro-89482537 o tramite email [email protected].

Bibliografia

• ENISA (2025). ENISA Threat Landscape 2025. European Union Agency for Cybersecurity. https://www.enisa.europa.eu
• NIST (2020). Special Publication 800-207 – Zero Trust Architecture. National Institute of Standards and Technology. https://csrc.nist.gov
• MITRE. ATT&CK® for Mobile Framework. MITRE Corporation. https://attack.mitre.org
• CISA. Secure by Design e linee guida sulla sicurezza dei dispositivi mobili. Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov
• NSA. Mobile Device Best Practices. National Security Agency. https://www.nsa.gov
• Citizen Lab (Università di Toronto). Rapporti tecnici su Pegasus, Predator e Graphite. https://citizenlab.ca
• Google Threat Intelligence Group (GTIG). Rapporti sulle campagne spyware e sulle vulnerabilità zero-day. https://cloud.google.com/blog/topics/threat-intelligence
• Apple. Apple Platform Security Guide. https://support.apple.com/guide/security
• Google. Android Security & Privacy Year in Review. https://source.android.com/security
• Verizon (2025). Data Breach Investigations Report (DBIR) 2025. https://www.verizon.com/business/resources/reports/dbir/
• Microsoft (2025). Microsoft Digital Defense Report. https://www.microsoft.com/security/security-insider
• NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE). Studi e pubblicazioni su cyber warfare e resilienza. https://ccdcoe.org