Meta Manager è stato hackerato con spyware e intercettato in Grecia

Un cittadino statunitense e greco che ha lavorato nel team di sicurezza e fiducia di Meta mentre si trovava in Grecia è stato intercettato per un anno dal servizio di intelligence nazionale greco e violato con un potente strumento di spionaggio informatico, secondo i documenti ottenuti dal New York Times e funzionari con conoscenza del caso.

La divulgazione è il primo caso noto di un cittadino americano preso di mira in un paese dell’Unione Europea dalla tecnologia avanzata di snooping, il cui uso è stato oggetto di un crescente scandalo in Grecia. Dimostra che l’uso illecito di spyware si sta diffondendo oltre l’uso da parte di governi autoritari contro esponenti dell’opposizione e giornalisti e ha iniziato a insinuarsi nelle democrazie europee, intrappolando persino un cittadino straniero che lavora per una grande azienda globale.

L’intercettazione simultanea del telefono dell’obiettivo da parte del servizio di intelligence nazionale e il modo in cui è stata violata indicano che il servizio di spionaggio e chiunque abbia impiantato lo spyware, noto come Predator, stavano lavorando fianco a fianco.

L’ultimo caso arriva con l’avvicinarsi delle elezioni in Grecia, scossa dallo scorso anno da un crescente scandalo di intercettazioni telefoniche e spyware illegale, che ha sollevato accuse secondo cui il governo ha abusato dei poteri della sua agenzia di spionaggio per scopi illeciti.

Lo spyware Predator che ha infettato il dispositivo è commercializzato da una società con sede ad Atene ed è stato esportato dalla Grecia con la benedizione del governo, in possibile violazione delle leggi dell’Unione Europea che considerano tali prodotti potenziali armi, ha rilevato il New York Times a dicembre.

Il governo greco ha negato l’uso di Predator e ha legiferato contro l’uso di spyware, che ha definito “illegale”.

“Le autorità greche e i servizi di sicurezza non hanno mai acquisito o utilizzato il software di sorveglianza Predator. Suggerire il contrario è sbagliato”, ha detto in una e-mail Giannis Oikonomou, il portavoce del governo. “Il presunto uso di questo software da parte di partiti non governativi è oggetto di indagini giudiziarie in corso.”

“La Grecia è stata tra i primi paesi in Europa ad approvare una legislazione che vieta la vendita, l’uso e il possesso di malware nel dicembre 2022, che ha le conseguenze legali più gravi e sanzioni severe per le persone fisiche e giuridiche coinvolte in tale reato”, ha affermato Oikonoumou. continuato. “La stessa legislazione include disposizioni sulla ristrutturazione del Servizio nazionale di intelligence, ulteriori garanzie per la sorveglianza legale e l’ammodernamento delle procedure sulla riservatezza delle comunicazioni”.

I legislatori dell’Unione Europea hanno lanciato la propria indagine.

Il primo ministro greco Kyriakos Mitsotakis ha subito pressioni per spiegare come e perché Predator è stato venduto dalla Grecia e utilizzato in Grecia, presumibilmente all’insaputa del governo, contro membri del suo stesso governo, politici dell’opposizione e giornalisti.

Ha insistito sul fatto che il governo greco non ha nulla a che fare con lo strumento di sorveglianza informatica, ma che attori opachi potrebbero averlo utilizzato alle spalle delle autorità.

L’ultimo caso è incentrato su Artemis Seaford, laureata ad Harvard e Stanford, che ha lavorato dal 2020 alla fine del 2022 come responsabile della fiducia e della sicurezza presso Meta, la società madre di Facebook, mentre viveva in parte in Grecia.

Nel suo ruolo in Meta, la signora Seaford ha lavorato su questioni politiche relative alla sicurezza informatica e ha anche mantenuto rapporti di lavoro con funzionari greci e altri funzionari europei.

Dopo aver visto il suo nome su un elenco trapelato di obiettivi spyware nei media greci lo scorso novembre, ha portato il suo telefono al Citizen Lab dell’Università di Toronto, i maggiori esperti forensi al mondo sullo spyware.

Il rapporto di laboratorio, che è stato esaminato dal New York Times, ha rilevato che il telefono cellulare della signora Seaford era stato violato con lo spyware Predator nel settembre 2021 per almeno due mesi.

“Ciò non preclude la possibilità di altre infezioni o di un periodo di infezione che si estenda oltre il 16-11-2021”, afferma il rapporto forense di Citizen Lab.

La signora Seaford venerdì ha intentato una causa ad Atene contro chiunque fosse ritenuto responsabile dell’hacking. La causa obbliga i pm ad aprire un’inchiesta.

La signora Seaford ha anche presentato una richiesta all’Autorità greca per la protezione della privacy delle telecomunicazioni, un organo di controllo costituzionale indipendente, chiedendo loro di determinare se il servizio di intelligence nazionale greco, noto come EYP, avesse intercettato il suo telefono.

Due persone con conoscenza diretta del caso hanno affermato che la signora Seaford era stata effettivamente intercettata dal servizio di spionaggio greco dall’agosto 2021, il mese prima dell’hacking dello spyware, e per diversi mesi nel 2022.

Hanno parlato a condizione di anonimato perché è illegale per loro commentare pubblicamente le operazioni dell’EYP.

Potrebbero volerci almeno tre anni prima che la signora Seaford venga informata dell’intercettazione dell’agenzia di spionaggio ai sensi delle leggi greche che il governo ha cambiato due volte da quando è venuta alla luce una raffica di casi di intercettazioni.

La signora Seaford è ora la quarta persona nota a intentare causa in Grecia che coinvolge lo spyware, dopo un giornalista investigativo e due politici dell’opposizione.

Nel primo caso, un giornalista investigativo, Thanasis Koukakis, nel 2020 ha chiesto allo stesso modo all’autorità di vigilanza costituzionale di informarlo se anche lui fosse stato posto sotto intercettazione.

Prima che il signor Koukakis potesse ottenere una risposta formale, il governo ha rapidamente approvato una legge nel 2021 che limita drasticamente il diritto dei cittadini di essere informati se erano stati sorvegliati dal servizio di intelligence nazionale. Il signor Koukakis ha portato il governo greco alla Corte europea dei diritti dell’uomo per il cambiamento della legge.

Da allora il governo greco ha subito pressioni per ripristinare alcuni ricorsi affinché i cittadini venissero a sapere di essere stati intercettati e chiedere un risarcimento se la loro sorveglianza fosse stata abusiva.

In base a una legge approvata lo scorso anno, un cittadino preso di mira dall’agenzia di spionaggio può ora essere informato, ma solo su richiesta e previa approvazione di un comitato, e non prima di tre anni dalla fine dell’intercettazione.

È in queste nuove condizioni che un giorno la sorveglianza della signora Seaford da parte del servizio segreto nazionale greco potrebbe essere ufficialmente confermata.

“Gli obiettivi della sorveglianza abusiva dovrebbero avere il diritto di sapere cosa è successo loro e avere mezzi di riparazione proprio come ogni altro crimine”, ha detto la signora Seaford in un’intervista.

Sostiene che non ci sono spiegazioni ragionevoli per il fatto che sia stata presa di mira. Le intercettazioni telefoniche in Grecia sono consentite solo per motivi di sicurezza nazionale o gravi indagini penali.

Più di un anno dopo la sua sorveglianza da parte dei servizi segreti greci e l’infezione illegale da spyware del suo dispositivo mobile, non è stata mossa alcuna accusa contro di lei e non le è stato chiesto di collaborare con le autorità in alcuna indagine.

“Nel mio caso, non so perché sono stata presa di mira, ma non riesco a vedere alcun ragionevole motivo di preoccupazione per la sicurezza nazionale”, ha detto la signora Seaford. Meta e l’ambasciata americana ad Atene hanno rifiutato di commentare.

L’obiettivo della signora Seaford da parte dell’agenzia di spionaggio greca e alcuni elementi del suo caso sono stati precedentemente riportati dal quotidiano greco Documento.

Nel caso della signora Seaford, sembra che le informazioni raccolte dall’intercettazione possano aver aiutato lo stratagemma utilizzato per impiantare lo spyware, secondo la tempistica stabilita dall’analisi forense e presentata al procuratore greco.

Nel settembre 2021, la signora Seaford ha prenotato un appuntamento per una dose di richiamo del vaccino Covid-19 attraverso la piattaforma ufficiale di vaccinazione del governo greco.

Ha ricevuto un SMS automatico con i dettagli dell’appuntamento il 17 settembre, poco dopo la mezzanotte. Cinque ore dopo, alle 05:31, risulta dai documenti, ha ricevuto un altro sms che le chiedeva di confermare l’appuntamento cliccando su un link.

Questo era il collegamento infetto che ha inserito Predator nel suo telefono. I dettagli per l’appuntamento per la vaccinazione nel messaggio di testo infetto erano corretti, indicando che qualcuno aveva esaminato l’autentica conferma precedente e redatto di conseguenza il messaggio infetto.

Il mittente sembrava essere anche l’agenzia statale per i vaccini, mentre l’URL infetto imitava quello della piattaforma di vaccinazione.

La signora Seaford, che è stata riluttante a farsi trascinare nella politica dei partiti greci, dove lo scandalo della sorveglianza è diventato un punto di aspro dibattito, ha affermato che la questione dello spyware e dell’abuso della sorveglianza dovrebbe essere una questione apartitica.

“La mia speranza è che il mio caso e altri come il mio non vengano solo strumentalizzati, chiusi per evitare costi politici per alcuni o, al contrario, elevati per il guadagno politico di altri”, ha detto.