Un recente report dei ricercatori di Arctic Wolf, diffuso il 6 agosto 2026, rivela un'allarmante evoluzione dello spyware LightSpy. Originariamente identificato nel 2018 e ritenuto legato a hacker sostenuti dallo Stato cinese, LightSpy si è trasformato in una sofisticata piattaforma con funzionalità commerciali avanzate. È ora capace di operare in almeno 13 Paesi, inclusi Stati Uniti e diverse nazioni europee, con la potenziale inclusione dell'Italia, sebbene non esplicitamente menzionata.
Da strumento statale a piattaforma commerciale
LightSpy era inizialmente conosciuto come strumento modulare per lo spionaggio statale.
Il nuovo studio ne evidenzia la trasformazione in una vera e propria piattaforma spyware commerciale, completa di branding personalizzato, sistemi di billing e demo per attrarre potenziali clienti. Questi includono governi, aziende e forze armate, segnalando un passaggio strategico dalla sfera esclusiva degli attori statali a una diffusione più ampia e mercificata della sorveglianza digitale.
Espansione globale e tecniche multi-piattaforma
La piattaforma LightSpy è attualmente attiva in Europa, negli Stati Uniti e in altri undici Paesi, raggiungendo un totale di 13 aree geografiche coinvolte. Non si esclude la sua presenza in Italia, considerando la pervasività delle reti NATO e la vulnerabilità di molti router.
LightSpy, infatti, è in grado di colpire i router per estendere la sua visibilità sull'intera rete locale, aumentando significativamente la minaccia.
Funzionalità avanzate: furto dati e distruzione remota
Tra le sue capacità più preoccupanti, LightSpy può compromettere una vasta gamma di dispositivi, inclusi smartphone, sistemi Apple, Linux e Windows. Le sue attività malevole comprendono il furto di dati sensibili – come posizione precisa, messaggi, password e registrazioni dello schermo – e azioni distruttive quali il wipe remoto o il brick (blocco irreversibile) del dispositivo infettato.
I router come nuovi vettori di spionaggio
Un aspetto particolarmente critico è la capacità di LightSpy di infettare i router, garantendo l'accesso a qualsiasi dispositivo connesso alla medesima rete.
Alcuni degli apparati compromessi sono stati individuati in Paesi membri della NATO, un fattore che potrebbe amplificare la minaccia su scala geopolitica e richiedere maggiore attenzione alla sicurezza delle infrastrutture di rete.
L'infrastruttura dietro gli hacker
Arctic Wolf ha stimato l'utilizzo di almeno 117 server, distribuiti in diverse nazioni, a supporto dell'operazione spyware. Un dettaglio singolare è che, da uno dei pannelli amministrativi di LightSpy, un operatore ha commesso un errore, ordinando un pasto da una nota catena di fast food usando il proprio nome e indirizzo d'ufficio. Questo ha involontariamente facilitato l'identificazione di un operatore della piattaforma, fornendo uno spaccato inatteso sulle "vite reali" dietro le operazioni di spionaggio.
Lo scenario delineato conferma che la proliferazione degli spyware non è più confinata a laboratori segreti, ma si sta diffondendo nella sfera commerciale, amplificando i rischi di sorveglianza e attacchi digitali globali. Questa evoluzione del malware, dall'origine statale al mercato privato, evidenzia una crescente ibridazione tra intelligence, cybersecurity e settore commerciale. Tale tendenza solleva interrogativi cruciali su regolamentazioni, strumenti di difesa e responsabilità transnazionali.
Per l'Italia, l'avviso è chiaro: anche le infrastrutture domestiche, come i router di casa o aziendali, possono diventare punti vulnerabili per la sorveglianza. Le contromisure necessarie non sono più solo di natura tecnica, ma richiedono anche interventi operativi e normativi per proteggere efficacemente la privacy e la sicurezza digitale.
