Un report tecnico ottenuto da Computer Weekly svela che i cyber-spie della Gendarmerie francese hanno compromesso la rete EncroChat nel 2020 usando un exploit Android noto dal 2017, con codice copiato da GitHub e qualità descritta come quella di un "progetto studentesco". La rivelazione, pubblicata il 17 agosto 2026, rischia di riaprire migliaia di processi in Europa e di invalidare le condanne basate su prove ottenute con metodi mai resi pubblici.
- L'implant francese sfruttava CVE-2019-2215 (Bad Binder bug), una vulnerabilità use-after-free nel binder driver di Android con CVSS 7.8 HIGH, secondo il record NVD.
- Il codice dell'exploit era copiato da repository pubblici su GitHub e adattato per intercettare i messaggi EncroChat prima della crittografia end-to-end tramite API hooking.
- Il reverse engineering della società ceca Invasys ha ricostruito il funzionamento dell'implant e ha trovato corrispondenze con le prove digitali inviate in tutta Europa.
- Migliaia di casi nel Regno Unito sono stati giudicati senza spiegazione sul metodo di acquisizione dei dati, classificato dalle autorità francesi come segreto di sicurezza nazionale.
Il metodo dell'attacco: CVE-2019-2215 e il "trampoline" sui messaggi
Il report tecnico della società ceca Invasys, analizzato dal Sussex Centre for Law and Technology e ottenuto da Computer Weekly, documenta che l'implant francese si appoggiava a CVE-2019-2215, noto come Bad Binder bug. La vulnerabilità, una use-after-free nel binder driver IPC di Android, permetteva escalation locale a privilegi di root. Secondo il record NVD, la severità è CVSS 3.1 7.8 HIGH con vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.
Il codice dell'exploit era disponibile pubblicamente su GitHub per circa due anni, lasciando vulnerabili circa 2,5 miliardi di dispositivi Android prima che la patch diventasse diffusa. I tecnici francesi lo hanno copiato e adattato per creare un implant persistente sui telefoni EncroChat, che utilizzavano Guardian ROM, una derivazione Android del Guardian Project con messaggistica Off-the-Record.
L'intercettazione avveniva tramite API hooking con una tecnica descritta come "trampoline": i messaggi venivano "agganciati" e copiati quasi immediatamente agli investigatori prima che il processo di crittografia end-to-end li rendesse illeggibili. Questo meccanismo ha permesso di raccogliere comunicazioni in tempo reale senza dover violare la crittografia stessa, aggirando invece il sistema operativo sottostante.
La qualità del malware: un "progetto studentesco" senza contromisure anti-forensic
Felix Freiling, professore di forensics alla Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU), ha esaminato il report di Invasys e ha definito il codice dell'implant "looks like a student project". La ricostruzione tecnica mostra un software "poorly written, prone to repeated failure, and lacked elementary countermeasures to avoid detection" — privo di contromesse anti-forensic di base che avrebbero potuto ostacolare il reverse engineering.
Questa mancanza di sofisticazione ha reso possibile la ricostruzione dettagliata operata da Invasys, che ha poi trovato corrispondenze digitali con le prove inviate dalle autorità francesi in tutta Europa. Il paradosso è evidente: uno stato nazionale ha usato codice open-source di bassa qualità per infiltrarsi in una rete criminale, e proprio quella scarsa qualità ha permesso di smascherare il metodo sei anni dopo.
Le conseguenze legali: migliaia di processi a rischio riapertura
L'Operazione Venetic della National Crime Agency britannica ha portato al sequestro di armi e centinaia di milioni di sterline in droga e contanti, basandosi sui dati estratti dai telefoni hackerati. Tuttavia, nel Regno Unito migliaia di casi sono stati giudicati e condannati senza che fosse fornita alcuna spiegazione sul metodo di acquisizione: le autorità francesi avevano imposto il segreto di sicurezza nazionale sulla tecnica d'intercettazione.
Matthew Ryder KC, avvocato leader del primo processo EncroChat nel Regno Unito, ha definito la rivelazione una "landmark breakthrough". Secondo Ryder, "dopo sei anni, potremmo finalmente conoscere i dettagli dell'intercettazione da parte delle autorità francesi. Questo avrà conseguenze sulle argomentazioni legali in corso e sui principi giuridici relativi a intercettazione e interferenza informatica".
Il caso è attualmente in sospeso da più di due anni all'Investigatory Powers Tribunal britannico, l'organo che supervisiona le attività di intelligence e sorveglianza. La pubblicazione del metodo tecnico potrebbe riavviare le udienze e mettere in discussione la validità delle prove raccolte.
"We can't simply say 'we trust the data' while not being able to do proper research into the manner of obtaining it. That is vital to providing suspects with fair trials. We have been asking for that information for six years." — Justus Reisinger, avvocato penale olandese, European defence legal team
Il contesto europeo: EncroChat come caso di studio sulla sorveglianza statale
EncroChat operava con un modello commerciale mirato: telefoni con un sistema operativo customizzato, messaggistica cifrata end-to-end, cancellazione automatica entro 14 giorni e costi di oltre 1.000 dollari per un contratto semestrale. Lanciata nel 2014 con circa 50 clienti iniziali, la rete è cresciuta fino a interessare decine di migliaia di utenti in Europa, prevalentemente associati a criminalità organizzata ma con un'utenza che includeva anche professionisti legittimi preoccupati per la privacy.
La rivelazione del metodo francese solleva questioni che travalicano il singolo caso. Justus Reisinger, avvocato penale olandese, ha affermato che le informazioni saranno "vitali per i processi e i ricorsi EncroChat", sottolineando come la difesa non possa operare senza conoscere le modalità tecniche di acquisizione delle prove. L'asimmetria informativa tra accusa e difesa — accentuata dalla classificazione del metodo come segreto nazionale — ha caratterizzato anni di giurisprudenza europea su questo caso.
Il dossier non specifica se il report completo di Invasys sarà reso pubblico o rimarrà riservato alle difese legali. Non emerge nemmeno se le autorità francesi confermeranno o smentiranno la ricostruzione tecnica del reverse engineering.
Perché è importante
Il caso EncroChat dimostra che la "security through obscurity" fallisce quando il reverse engineering riesce a ricostruire i metodi di sorveglianza statale, anche anni dopo. Per le aziende cybersecurity, il dato rilevante è che gli operatori statali possono ricorrere a codice open-source non sofisticato, con conseguenze impreviste sulla segretezza dell'operazione.
Per il settore legale, la rivelazione espone i limiti di un sistema che ha permesso condanne basate su prove di provenienza non verificabile. La tensione tra efficacia investigativa e stato di diritto rimane aperta: quando le autorità usano malware di qualità discutibile per catturare criminali, i diritti dei sospettati a un processo equo rischiano di essere compromessi in modo strutturale.
Per i fornitori di tecnologia criptata, l'episodio evidenzia che la vulnerabilità può risiedere nel sistema operativo sottostante piuttosto che nell'applicazione di messaggistica. La crittografia end-to-end non protegge se il dispositivo è già compromesso a livello di root.
FAQ
Qual è la differenza tra l'hacking di EncroChat e altri casi di sorveglianza come Pegasus?
Il caso EncroChat si distingue perché l'implant era installato sui dispositivi tramite un exploit Android generico, non attraverso un'applicazione specifica come Pegasus di NSO Group. Inoltre, la rivelazione del metodo avviene a distanza di anni e attraverso reverse engineering indipendente, non tramite inchiesta giornalistica su un vendor commerciale.
Perché il codice copiato da GitHub è rilevante per i processi?
La fonte del codice è rilevante perché dimostra che il metodo di intercettazione non era basato su una tecnologia proprietaria sofisticata, ma su un exploit pubblicamente disponibile. Questo solleva questioni sulla proporzionalità e sulla segretezza dell'operazione, elementi centrali nelle argomentazioni legali sulla validità delle prove.
Cosa succede ora al caso all'Investigatory Powers Tribunal?
Il dossier non documenta una data specifica per la ripresa delle udienze. Il caso è in aggiournamento da più di due anni e la pubblicazione del report tecnico potrebbe costituire il presupposto per riavviare l'esame della legalità delle tattiche di polizia nel contesto EncroChat.
Fonti
- https://www.computerweekly.com/news/366649396/Revealed-Cyber-spies-used-malware-from-GitHub-to-hack-EncroChat-cryptophone-network
- https://thecyberwire.com/podcasts/daily-podcast/2617/notes
- https://securityaffairs.com/197728/breaking-news/security-affairs-newsletter-round-591-by-pierluigi-paganini-international-edition.html
- https://www.indesignmarketingservices.com/revealed-cyber-spies-used-malware-from-github-to-hack-encrochat-cryptophone-network/
- https://securityaffairs.com/197728/breaking-news/security-affairs-newsletter-round-591-by-pierluigi-paganini-international-edition.html?amp
- https://nvd.nist.gov/vuln/detail/CVE-2019-2215
- https://www.wilderssecurity.com/threads/guardian-rom-secure-android-os.348416/
- https://securityaffairs.com/197610/security/polands-cert-warns-of-active-exploitation-of-critical-zimbra-collaboration-suite-flaw.html
- https://www.bleepingcomputer.com/news/security/cisa-windows-task-host-flaw-now-exploited-by-ransomware-gangs/
- https://www.securityweek.com/300000-wordpress-sites-potentially-exposed-to-hacking-due-to-form-plugin-flaw/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.