Una vasta operazione di hacking su commissione ha preso di mira i backup iCloud di giornalisti, attivisti e funzionari governativi in Medio Oriente e Nord Africa, sfruttando pagine web che imitavano alla perfezione quelle di Apple. La notizia arriva da un’indagine congiunta condotta da tre società di sicurezza informatica, e il quadro che ne emerge è tanto preoccupante quanto, per certi versi, banale: niente exploit sofisticati, niente catene di vulnerabilità complesse. Qui si parla di phishing, il buon vecchio inganno via web.
Le tre realtà coinvolte nella ricerca, Access Now, Lookout e SMEX, hanno pubblicato report complementari che ricostruiscono una campagna durata anni. I bersagli non erano solo civili, ma anche funzionari governativi di diversi Paesi della regione, con estensioni fino al Regno Unito e, potenzialmente, agli Stati Uniti o a ex studenti di università americane. Access Now ha analizzato tre eventi di attacco avvenuti tra il 2023 e il 2025, mentre Lookout ha collegato il tutto al gruppo BITTER APT, descritto come una costola della startup indiana di hacking su commissione Appin.
A differenza degli attacchi Coruna exploit e DarkSword exploit, che avevano attirato l’attenzione per la capacità di concatenare vulnerabilità note e compromettere iPhone e iPad non aggiornati, questa campagna ha scelto una strada molto meno tecnica ma evidentemente efficace. Quando il bersaglio era un utente iPhone, gli hacker cercavano di convincere la vittima a inserire le proprie credenziali Apple ID su pagine false, per poi accedere ai backup iCloud e ottenere, di fatto, l’intero contenuto del dispositivo.
Quasi 1.500 indirizzi web falsi per colpire Apple e non solo
Il report di Lookout ha identificato quasi 1.500 indirizzi web diversi, tutti progettati per imitare servizi legittimi e ospitare pagine di phishing o altre infrastrutture malevole. Tra quelli specificamente costruiti per simulare i servizi Apple figurano domini come facetime-web[.]me-en[.]io, apple[.]id-us[.]cc, icloud[.]com-ar[.]me, icloud[.]com-service[.]info e signin-apple[.]com-en-uk[.]info. Basta un’occhiata distratta per cascarci, ed è esattamente su questo che contavano gli attaccanti.
La campagna non si è fermata ai backup iCloud. Sono stati presi di mira anche utenti e servizi di Google, Microsoft, Signal, WhatsApp e Yahoo, utilizzando tecniche di hacking e phishing differenti a seconda della piattaforma. Un ventaglio ampio, che racconta una struttura organizzata e capace di adattarsi.
