Non un attacco su larga scala, ma una sorveglianza costruita intorno al singolo bersaglio. È questo l’elemento che emerge dall’ultima attività attribuita agli apparati iraniani dal National Cyber Security Centre (Ncsc) britannico, parte del Gchq, e ricostruita da Sky News. L’operazione avrebbe preso di mira dissidenti, attivisti e giornalisti in diversi Paesi attraverso un malware denominato Chosen Brick, utilizzato almeno dal 2025.L’avviso è stato diffuso congiuntamente dal Ncsc, dall’Fbi statunitense e dall’Aivd, il servizio di intelligence e sicurezza olandese. Secondo le tre agenzie, attori cyber riconducibili allo Stato iraniano hanno utilizzato tecniche di spear-phishing e ingegneria sociale particolarmente mirate, costruendo il contatto con la vittima prima di indurla a installare il software malevolo. L’obiettivo non sarebbe soltanto l’accesso alle informazioni, ma la raccolta di elementi potenzialmente utili a ricostruire relazioni, comunicazioni e movimenti delle persone sorvegliate.Il contatto prima del malwareLa catena dell’attacco parte spesso da piattaforme comuni come WhatsApp e Telegram. Gli operatori si presentano come persone già conosciute dal bersaglio oppure come interlocutori apparentemente affidabili, adattando la conversazione agli interessi e al profilo della vittima. Solo dopo avere costruito un rapporto viene inviato il file destinato a compromettere il dispositivo.La preparazione arriva in alcuni casi a un livello notevole. Il Ncsc ha documentato malware camuffati da applicazioni apparentemente legittime, tra cui Telegram, Norton Antivirus, KeePass, Pictory e RunwayML. In altri episodi gli aggressori hanno utilizzato persino falsi risultati di una risonanza magnetica come esca per convincere il destinatario ad aprire il file.Una volta installato su un sistema Windows, Chosen Brick consente agli operatori di accedere ai contatti, alle email e alla cronologia dei messaggi sui social network. Può acquisire schermate, utilizzare il microfono del dispositivo e mantenere la propria presenza anche dopo il riavvio del computer. In alcuni casi, inoltre, le informazioni sottratte a precedenti vittime sono successivamente comparse su siti favorevoli a Teheran, aumentando secondo le autorità britanniche il rischio anche per la sicurezza personale degli interessati.Dal cyber alla repressione transnazionaleÈ proprio questo passaggio a rendere il caso più significativo rispetto a una normale operazione di cyberspionaggio. Nella valutazione del Ncsc, l’Iran utilizza “quasi certamente” le capacità cyber come strumento per sostenere la repressione di individui considerati una minaccia per il regime. L’Fbi, citato da Sky News, attribuisce l’impiego del malware al ministero iraniano dell’Intelligence e della Sicurezza (Mois), con finalità che comprenderebbero raccolta informativa, pubblicazione di dati sottratti e operazioni destinate a danneggiare la reputazione dei bersagli.Il dato va però tenuto distinto dalle altre attività attribuite negli ultimi anni agli apparati iraniani. L’avviso congiunto ricorda infatti che i servizi di Teheran sono stati accusati anche di avere pianificato operazioni di sequestro o azioni letali contro persone considerate nemiche del regime all’estero. Non significa che ogni vittima di Chosen Brick sia stata oggetto di una successiva operazione fisica, ma evidenzia perché Londra consideri la raccolta digitale contro dissidenti e giornalisti parte di un problema di sicurezza più ampio.Nel Regno Unito il tema è ormai formalmente inquadrato nella categoria della transnational repression, che comprende attività dirette da Stati stranieri quali sorveglianza, intimidazione, molestie online, minacce e violenza contro individui presenti sul territorio britannico. A luglio Londra ha inoltre inserito l’Islamic Revolutionary Guard Corps tra i primi organismi designati come minaccia alla sicurezza nazionale in base ai nuovi poteri previsti dalla legislazione britannica. Il governo ricorda che nel 2025 l’MI5 aveva seguito più di venti potenziali complotti letali sostenuti dall’Iran contro persone nel Regno Unito.Una pressione che non si ferma ai confini britanniciLa dimensione internazionale della vicenda è altrettanto rilevante. Nel giugno scorso 24 Paesi, tra cui l’Italia, hanno sottoscritto una dichiarazione congiunta contro le attività attribuite ai servizi di sicurezza iraniani, citando esplicitamente operazioni rivolte contro dissidenti iraniani, giornalisti e comunità ebraiche e israeliane in Europa, Nord America e Australia.Chosen Brick aggiunge a questo quadro un ulteriore livello. La pressione esercitata sui dissidenti all’estero non richiede necessariamente strutture operative visibili sul territorio: può cominciare da un messaggio apparentemente innocuo ricevuto sul telefono o sul computer della vittima. È nella combinazione tra conoscenza preventiva del bersaglio, raccolta clandestina dei suoi dati e possibile utilizzo successivo di quelle informazioni che il cyberspazio diventa uno degli strumenti della repressione oltreconfine.