Chi possiede gli zero-day governa il mondo

Nel magico mondo della cybersecurity, esistono creature mitologiche chiamate exploit zero-day. Sono così preziose che vengono scambiate come diamanti, custodite gelosamente e vendute per cifre da capogiro. Uno zero-day è una vulnerabilità sconosciuta al produttore del software, e quindi ancora non patchata. Se usata per un attacco, diventa un'arma silenziosa e letale. Possederne uno significa avere in mano una chiave d’oro per entrare in sistemi teoricamente sicuri.

Nel 2022, un exploit per iOS 15.4.1 è stato venduto per 8 milioni di euro. Permetteva l’esecuzione di codice da remoto tramite Safari. Il pacchetto si chiamava "Nova" e includeva anche exploit per Android e infrastrutture cloud, il tutto venduto da Intellexa a clienti governativi. L'anno successivo, la società russa Operation Zero ha offerto pubblicamente fino a 20 milioni di dollari per una catena di exploit zero-day completa. Non è mai stato confermato se qualcuno abbia incassato la cifra, ma è la taglia più alta mai offerta apertamente.

Nel 2024, sui forum del dark web è apparsa un’offerta per un exploit remoto su Jira: 15 milioni di dollari. Anche in questo caso, nessuna conferma ufficiale, ma la notizia ha acceso i radar di chi lavora nel settore.

Gli zero-day sono una merce rara e chi li possiede li usa con estrema cautela. Non vengono mai sprecati per colpire bersagli di poco conto. Vengono usati contro attivisti, politici, giornalisti, aziende critiche. Sono strumenti per fare pressione, per ottenere informazioni, per destabilizzare. Gli acquirenti principali sono governi, gruppi legati a intelligence, cyber-mercenari come NSO Group e altri meno noti ma molto attivi.

Chi controlla questi strumenti non solo ha un vantaggio tecnico, ma anche strategico. Può decidere di tenere segrete vulnerabilità invece che segnalarle, può usarle come leva diplomatica o commerciale, può sabotare infrastrutture senza lasciare tracce. Ogni aggiornamento di sicurezza chiude una porta, ma potrebbe aprirne altre dieci. E ogni giorno, in silenzio, qualcuno da qualche parte scopre un nuovo punto debole nel software che tutti usiamo.

Gli exploit zero-day sono le nuove armi del potere globale. Non fanno rumore, non esplodono, ma cambiano le sorti di guerre, elezioni, economie. Chi li possiede, governa davvero il cyberspazio. E forse anche il resto.