Si chiama Exodus, è uno spyware inserito in una ventina di applicazioni per Android disponibili nel Play Store utilizzato per le intercettazioni di Stato, ed è stato in grado di infettare alcune centinaia di utenti italiani, forse addirittura un migliaio. A scoprire questa epidemia digitale è stata la società Security Whithout Borders, in un inchiesta realizzata in collaborazione con la rivista Motherboard, che sua messo in evidenza come Exodus sia utilizzato dalle principali procure di Stato per le intercettazioni telefoniche di criminali: telefonate, suoni ambientali, rubrica, posizione GPS e conversazioni Facebook sono tutte catturate dallo spyware ed inviate agli organi competenti. Il problema è che, per un errore nel codice, Exodus finiva ad intercettare chiunque scaricasse queste applicazioni, ora rimosse dal Play Store. App all’apparenza normali, che venivano pubblicizzate nello store di Google come strumenti per ricevere offerte dal proprio gestore o come strumenti per migliorare le prestazioni dei cellulari Android. I rischi a cui sono potuti incorrere molti degli utenti che hanno scaricato le applicazioni sono tanti. Una volta installata una delle applicazioni infette, lo spiware avrebbe permesso a chiunque lo controlli di gestire il cellulare della vittima a distanza ed intercettare molti dei dati personali memorizzati nel dispositivo mobile. Una lunga lista di pericoli e vulnerabilità, che sono state precisamente elencate nel rapporto, e che permetterebbero a chi controlla lo spyware (individuo che, a quanto pare, non necessariamente è un funzionario della Procura) non solo di sapere tutto quello che si sta facendo con il cellulare, ma anche quello che si fa di persona, fisicamente. Chat, telefonate, contatti, foto e appuntamenti in calendario sono solo la punta dell’iceberg di Exodus, che è in realtà in grado anche di comunicare in tempo reale la posizione dello smartphone (geolocalizzandola tramite il GPS), ascoltare i suoni ambientali o vedere i volti delle persone tramite la fotocamera, e addirittura la password della rete WiFi di casa: in questo modo chiunque fosse in possesso di queste informazioni, potrebbe connettersi alla rete domestica delle vittime e intercettare altri pacchetti di dati utilizzando tecniche diverse e in alcuni casi meno complesse. Immediato il commento del Garante della Privacy. “E' un fatto gravissimo" – ha detto Antonello Soro – "La notizia dell'avvenuta intercettazione di centinaia di cittadini del tutto estranei ad indagini giudiziarie, per un mero errore nel funzionamento di un captatore informatico utilizzato a fini investigativi, desta grande preoccupazione e sarà oggetto dei dovuti approfondimenti, anche da parte del Garante, per le proprie competenze. La vicenda presenta contorni ancora assai incerti ed è indispensabile chiarirne l'esatta dinamica". Repentina anche l’indagine da parte della Procura di Napoli. A curare il fascicolo sul caso degli utenti infettati per errore da Exodus è il procuratore della Repubblica Giovanni Melillo che, assieme ad alcuni dei magistrati del pool specializzato in inchieste su reati informatici, tenterà di fare chiarezza sull’accaduto. Nei giorni scorsi i magistrati hanno esaminato la documentazione e dato il via ad atti istruttori per riuscire a chiarire le dinamiche di questo giallo informatico, ma sul contenuto dell’inchiesta vige attualmente uno strettissimo riserbo.
La falla di sicurezza è stata scoperta nel corso di un’inchiesta della rivista Motherboard. Lo spyware Exodus, pensato per l’intercettazione legale dei criminali, per un errore di programmazione ha “contagiato” centinaia di smartphone di utenti normali, ed intercettato telefonate, foto, chat, posizioni e password del WiFi.