Malware iraniano nel mirino dei dissidenti: la sorveglianza digitale come strumento di repressione

Il National Cyber Security Centre (Ncsc) britannico, in collaborazione con l’FBI e l’Aivd olandese, ha reso pubblica una campagna attribuita a attori statali iraniani, volta a monitorare dissidenti, attivisti e giornalisti in diversi Paesi. L’operazione, denominata Chosen Brick, implica l’utilizzo di un malware in grado di raccogliere dati sensibili da dispositivi delle vittime, come messaggi, contatti e schermate. L’attenzione si concentra su individui considerati una minaccia per il regime iraniano, con un impatto potenziale anche sulla sicurezza personale degli interessati.

La strategia del cyber attacco

La campagna si basa su tecniche di spear-phishing e ingegneria sociale, con attori che si presentano come persone già conosciute o interlocutori apparentemente affidabili. L’accesso al dispositivo avviene spesso attraverso piattaforme comuni come WhatsApp e Telegram, con la catena dell’attacco che inizia con un contatto mirato. Solo dopo aver costruito un rapporto con la vittima, viene inviato il file che compromette il dispositivo. In alcuni casi, le informazioni raccolte sono poi pubblicate su siti favorevoli a Teheran, aumentando il rischio per la sicurezza personale degli interessati. La pressione esercitata sui dissidenti non richiede necessariamente strutture operative visibili sul territorio. Può cominciare da un messaggio apparentemente innocuo ricevuto sul telefono o sul computer della vittima. È nella combinazione tra conoscenza preventiva del bersaglio, raccolta clandestina dei suoi dati e possibile utilizzo successivo di quelle informazioni che il cyberspazio diventa uno degli strumenti della repressione oltreconfine.

La repressione transnazionale

Il Ncsc ha sottolineato che l’Iran utilizza “quasi certamente” le capacità cyber per sostenere la repressione di individui considerati una minaccia per il regime. L’FBI ha attribuito l’impiego del malware al ministero iraniano dell’Intelligence e della Sicurezza (Mois), con finalità che comprendono raccolta informativa, pubblicazione di dati sottratti e operazioni destinate a danneggiare la reputazione dei bersagli. Questo tipo di attività rientra nel concetto di transnational repression, un fenomeno che include sorveglianza, intimidazione e violenza contro individui all’estero.

Il governo britannico ha incluso l’Islamic Revolutionary Guard Corps tra i primi organismi designati come minaccia alla sicurezza nazionale. Nel 2025, l’MI5 aveva seguito più di venti potenziali complotti letali sostenuti dall’Iran contro persone nel Regno Unito. La pressione non si ferma ai confini britannici, con 24 Paesi, tra cui l’Italia, che hanno sottoscritto una dichiarazione congiunta contro le attività attribuite ai servizi di sicurezza iraniani.

Chosen Brick rappresenta un ulteriore livello di pressione esercitata sui dissidenti all’estero. La sorveglianza digitale, combinata con la raccolta clandestina di dati e il loro utilizzo successivo, trasforma il cyberspazio in uno strumento di repressione oltreconfine. L’operazione non si limita a un attacco su larga scala, ma si concentra su una sorveglianza mirata, costruita intorno al singolo bersaglio. Questo approccio, sebbene non implichi sempre un’azione fisica, è visto come parte di un problema di sicurezza più ampio da Londra.

La combinazione tra conoscenza preventiva del bersaglio e raccolta di dati è cruciale per il successo dell’operazione. L’attenzione si concentra su individui che, per la loro posizione o ideologia, rappresentano un rischio per il regime iraniano. L’operazione, sebbene non sia l’unica attività attribuita agli apparati iraniani, evidenzia come la repressione possa estendersi oltre i confini nazionali, coinvolgendo anche il Regno Unito e altri Paesi europei.