Nuovi avvisi Apple contro spyware mercenario: cosa significano e come verificare l’autenticità

Le segnalazioni degli utenti e il significato dell’avviso

Il 13 agosto 2026 alcuni utenti hanno segnalato su Reddit la ricezione di nuove Apple Threat Notification, gli avvisi con cui Apple informa i proprietari di iPhone quando ritiene che siano stati presi di mira da spyware mercenario.

Non si tratta di notifiche generiche sulla sicurezza. Apple le considera avvisi ad alta confidenza, elaborati sulla base di attività investigative e di intelligence sulle minacce. L’azienda non garantisce una certezza assoluta, ma indica che chi riceve il messaggio ha un’elevata probabilità di essere stato selezionato individualmente come obiettivo.

Apple distribuisce notifiche di questo tipo più volte all’anno dal 2021. La nuova campagna, quindi, non segnala l’introduzione di una funzione recente, ma una nuova tornata di avvisi indirizzati a potenziali bersagli.

L’azienda non ha attribuito pubblicamente le notifiche a uno specifico governo, gruppo criminale, società o area geografica. Non è quindi possibile stabilire, sulla base del solo avviso, chi abbia condotto l’operazione.

Chi viene preso di mira e perché gli attacchi sono diversi

Gli spyware mercenari vengono normalmente impiegati in operazioni molto mirate contro un numero limitato di persone. Tra i potenziali obiettivi rientrano giornalisti, attivisti, politici e diplomatici, cioè individui che possono gestire informazioni sensibili o svolgere attività sgradite a governi e organizzazioni interessate.

Secondo Apple, queste campagne possono richiedere investimenti nell’ordine di milioni di dollari. Gli operatori utilizzano strumenti sofisticati, spesso per periodi operativi brevi, cercando di ridurre la possibilità che l’attacco venga scoperto e analizzato.

La grande maggioranza degli utenti iPhone non viene presa di mira da questo tipo di attività. La ricezione dell’avviso costituisce però un segnale diverso da una normale raccomandazione di sicurezza: indica che Apple ha osservato elementi compatibili con un targeting individuale.

Apple cita NSO Group e il suo spyware Pegasus come esempio storico di spyware mercenario. In alcuni casi precedenti, analisi forensi hanno confermato infezioni da Pegasus dopo la ricezione di una Threat Notification. Questo non dimostra però che gli avvisi distribuiti il 13 agosto riguardino Pegasus.

Apple non associa pubblicamente ogni singola notifica allo spyware utilizzato.

Cosa viene coinvolto e come arriva la comunicazione

Gli avvisi riguardano principalmente l’ecosistema dell’utente, non una specifica versione di iOS indicata pubblicamente. I prodotti e i servizi coinvolti sono:

• iPhone;
• Apple Account;
• Apple Threat Notification;
• Lockdown Mode;
• il portale account.apple.com.

Le versioni software esatte interessate non sono state rese note. Il caso non è stato presentato come una vulnerabilità con un elenco di versioni vulnerabili, ma come un’attività di targeting rilevata attraverso la threat intelligence di Apple.

La società afferma di inviare questi avvisi agli utenti di oltre 150 Paesi. La distribuzione avviene attraverso:

• email agli indirizzi associati all’Apple Account;
• iMessage ai numeri di telefono collegati all’account.

Gli indirizzi utilizzati normalmente provengono da [email protected]. Questo elemento, tuttavia, non basta da solo a dimostrare l’autenticità del messaggio: campagne di phishing possono imitare mittente, grafica e linguaggio delle comunicazioni Apple.

Per evitare che gli operatori degli spyware adattino i propri strumenti, Apple non divulga i criteri tecnici che determinano l’emissione di una Threat Notification. L’azienda deve quindi bilanciare due esigenze: informare rapidamente la persona colpita e non rivelare quali tracce abbiano portato al rilevamento.

Come distinguere un avviso reale da un tentativo di phishing

Una notifica autentica non chiede di eseguire operazioni immediate attraverso il messaggio. In particolare, Apple non richiede di:

• cliccare su collegamenti presenti nell’email o nell’iMessage;
• aprire allegati;
• installare applicazioni, profili o certificati;
• comunicare la password dell’Apple Account;
• fornire codici di verifica.

La verifica deve essere eseguita accedendo manualmente a account.apple.com, senza utilizzare link contenuti nella comunicazione. Dopo l’autenticazione, un avviso reale compare nella parte superiore della pagina.

Questo passaggio è essenziale perché un falso messaggio potrebbe sfruttare la gravità del tema per sottrarre credenziali, codici a più fattori o autorizzare l’installazione di componenti dannosi. Anche una comunicazione proveniente da un indirizzo apparentemente corretto non dovrebbe essere considerata valida prima del controllo sul portale Apple.

Il messaggio, inoltre, non identifica necessariamente lo spyware e non equivale da solo alla prova forense di un’infezione già riuscita. Indica piuttosto che l’utente è stato considerato un obiettivo ad alta priorità e che Apple ha rilevato segnali sufficienti per avvertirlo.

Cosa fare dopo la ricezione

Chi riceve una Threat Notification dovrebbe trattarla come un possibile caso di compromissione o targeting mirato, non come una normale email informativa.

Il primo passo consiste nel verificare l’avviso direttamente su account.apple.com. Se la notifica è presente, è opportuno evitare qualunque interazione con link, allegati, profili o richieste di credenziali contenute nei messaggi ricevuti.

Apple raccomanda inoltre di attivare la Lockdown Mode sull’iPhone. La modalità riduce alcune funzionalità e limita superfici di attacco utilizzabili da minacce altamente sofisticate. Può incidere sull’esperienza d’uso, ma è pensata proprio per persone che ritengono di essere esposte a operazioni mirate.

È consigliabile anche rivolgersi a un esperto di cybersecurity per analizzare il dispositivo e l’Apple Account. Un’indagine professionale può aiutare a preservare evidenze, valutare eventuali segnali di compromissione e verificare gli altri account o dispositivi collegati.

Non è noto che Apple abbia fornito dettagli tecnici specifici sulla nuova distribuzione degli avvisi. Mancano quindi indicatori pubblici associati a questa campagna, come hash, domini, exploit o una firma attribuita a un determinato spyware. La notifica presente sull’account e la successiva analisi del dispositivo restano gli elementi più rilevanti per distinguere il rischio concreto da un tentativo di imitazione.