Una campagna di cyber-spionaggio attribuita da Regno Unito, Stati Uniti e Paesi Bassi ad attori collegati allo Stato iraniano utilizza una famiglia di malware denominata CHOSEN BRICK per acquisire informazioni da dissidenti, attivisti e giornalisti. L’attività, documentata dalle autorità di sicurezza occidentali almeno dal 2025, combina tecniche di ingegneria sociale e spear-phishing attraverso piattaforme come WhatsApp e Telegram. L’obiettivo è ottenere l’accesso ai dispositivi delle vittime e alle informazioni in essi conservate, estendendo la raccolta a comunicazioni, contatti, account e contenuti audiovisivi.
L’accesso attraverso l’ingegneria sociale
La prima fase della catena operativa punta sulla costruzione di un rapporto di fiducia con il destinatario. Gli operatori individuano il bersaglio sulle piattaforme di messaggistica e adattano il contatto alle sue attività o ai suoi interessi, arrivando a impersonare persone conosciute o interlocutori apparentemente affidabili. Una volta stabilito il contatto, la vittima viene indotta a scaricare e aprire un file malevolo presentato come un documento o un’applicazione legittima.
Tra gli strumenti utilizzati come esca figurano falsi documenti medici, compresi risultati contraffatti di risonanze magnetiche, oltre a file che imitano applicazioni e servizi software conosciuti. Secondo l’AIVD, CHOSEN BRICK prende di mira specificamente i sistemi Windows e può mantenere la propria operatività anche dopo il riavvio del dispositivo. Il malware consente quindi agli operatori di acquisire informazioni presenti sul terminale e di intervenire sulle impostazioni di sicurezza.
Un impianto di sorveglianza sul dispositivo
Dopo la compromissione, CHOSEN BRICK può raccogliere dati relativi ai contatti, alla posta elettronica e alle comunicazioni presenti sugli account social. Le capacità descritte dalle autorità comprendono inoltre la cattura dello schermo e l’accesso al microfono, fornendo agli operatori una visibilità estesa sulle attività svolte attraverso il dispositivo. La raccolta delle informazioni può quindi consentire di ricostruire relazioni, comunicazioni e parte delle abitudini operative della persona interessata.
L’architettura della minaccia comprende anche meccanismi destinati a mantenere l’accesso al sistema e a ridurre l’efficacia delle difese locali. L’AIVD segnala infatti che il malware può modificare o disabilitare alcune impostazioni di sicurezza. La combinazione tra accesso persistente, acquisizione dei dati e capacità di sorveglianza trasforma il dispositivo compromesso in una fonte continuativa di informazioni per gli operatori.
Dal cyber-spionaggio alla diffusione dei dati
La dimensione dell’operazione non si limiterebbe alla sottrazione di informazioni. Secondo il NCSC, dati personali appartenenti ad alcune vittime sono successivamente comparsi su siti utilizzati per la diffusione di materiale attribuito ad ambienti filoiraniani. L’FBI ha inoltre collegato l’impiego di CHOSEN BRICK al Ministero dell’Intelligence e della Sicurezza iraniano, il MOIS, indicando tra le finalità individuate la raccolta di informazioni, la pubblicazione di dati sottratti e l’impatto reputazionale sui bersagli.
L’advisory del 15 settembre aggiorna una precedente segnalazione statunitense pubblicata nel marzo 2026 relativa ad attività cyber attribuite al MOIS. NCSC, FBI e AIVD affermano che l’Iran utilizzi, con un grado di probabilità indicato come “quasi certo”, operazioni cibernetiche anche nell’ambito delle attività rivolte contro persone considerate una minaccia dalle autorità iraniane. Le agenzie non hanno tuttavia reso pubblico il numero complessivo delle persone colpite né una distribuzione geografica completa delle vittime. L’ambasciata iraniana a Londra non ha fornito nell’immediato una presa di posizione ufficiale sulle accuse formulate dalle autorità occidentali.