La giornalista australiana Sharri Markson, conduttrice dell’emittente News24, è stata presa di mira da un’operazione di spionaggio informatico attribuita all’Iran, durata circa due mesi e conclusa con l’accesso degli aggressori al suo Google Drive e alle sue email personali. Lo ha confermato il direttore generale dell’ASIO, il servizio di intelligence interno australiano, Mike Burgess, che ha definito l’attacco a Sharri Markson «una campagna di social engineering relativamente sofisticata e mirata». La giornalista ha raccontato la vicenda martedì 27 ottobre.
Come è stata ingannata Sharri Markson
Secondo il racconto pubblicato dalla stessa Markson, tutto è iniziato il 18 agosto con un messaggio su X da parte di un ex funzionario dell’amministrazione Trump con cui aveva già lavorato. L’account era autentico, ma era stato infiltrato da un operatore iraniano tramite la funzione di delega di X, che consente a terzi di gestire un profilo. Il finto contatto l’ha invitata a incontrare il suo team presso il think tank statunitense Hudson Institute e l’ha messa in contatto con una donna presentata come «Cathleen Batz», che le ha scritto su Signal.
L’8 ottobre la giornalista ha provato a collegarsi a una riunione su Google Meet, senza riuscirci. Quando la presunta interlocutrice ha rifiutato di parlare al telefono, Markson ha verificato con l’ex funzionario attraverso altri canali: lui non sapeva nulla dell’incontro e, provando ad accedere al proprio account X, ha scoperto che la password era stata cambiata. Secondo la ricostruzione, l’operatore aveva iniziato a infiltrare quell’account già il 7 luglio, usando un profilo bot chiamato «Shannon Butler». A quel punto, però, gli aggressori avevano già avuto accesso al Google Drive della giornalista.
L’attribuzione all’Iran e a Charming Kitten
Sei giorni dopo, racconta Markson, Burgess le ha comunicato che dietro l’operazione c’era l’Iran e non la Cina, come inizialmente ipotizzato. Secondo The Nightly, gli esperti di sicurezza di News Corp hanno attribuito l’attacco a Charming Kitten, gruppo di cyberspionaggio sostenuto dallo Stato iraniano e legato al Corpo delle Guardie della Rivoluzione islamica (IRGC). L’analisi dei link e degli indirizzi IP rilevati nei successivi tentativi, falliti, di accedere ad altri account della giornalista ha confermato la conclusione dell’ASIO.
Burgess ha spiegato che la tecnica porta «il segno di un’agenzia di intelligence professionale», basata sull’adescare la vittima e indirizzarla verso un link che esegue codice e concede l’accesso. Il capo dell’ASIO ha inoltre confermato che anche Michael Kroger, ex presidente del Partito liberale del Victoria, compariva in una lista di obiettivi dell’intelligence iraniana: in questo caso l’agenzia ha individuato l’operazione e lo ha avvisato prima che i suoi account venissero compromessi. Sulla vicenda indagano l’ASIO, la polizia del Nuovo Galles del Sud e il Dipartimento per la Sicurezza interna degli Stati Uniti.
Perché giornalisti e profili pubblici sono nel mirino
Secondo Burgess, Markson è stata scelta per il suo profilo mediatico, il sostegno a Israele, le critiche all’Iran e la sua rete di contatti. Il caso mostra come gli attacchi più efficaci non sfruttino necessariamente vulnerabilità tecniche, ma la fiducia: un account reale compromesso, un’istituzione prestigiosa usata come esca e settimane di conversazioni per rendere credibile l’invito. Lo stesso schema di phishing mirato e paziente emerge in altri episodi recenti, dal falso supporto IT su Microsoft Teams all’attacco alle email di alcuni deputati della Camera.
Come difendersi da inviti e contatti falsi
Chi lavora con fonti, contatti istituzionali o informazioni sensibili può ridurre il rischio con alcune abitudini:
- Verificare richieste di incontro o di collaborazione inattese tramite un canale diverso da quello da cui arrivano, per esempio una telefonata a un numero già noto.
- Diffidare di link a riunioni o documenti che non si aprono correttamente o che chiedono di accedere di nuovo all’account: l’accesso fallito può essere esso stesso parte dell’attacco.
- Proteggere gli account Google e di posta con l’autenticazione a più fattori, preferibilmente passkey o chiavi di sicurezza fisiche, e controllare periodicamente dispositivi, sessioni attive e app collegate.
- Sui social, verificare chi ha accesso delegato ai propri profili e revocare le autorizzazioni non più necessarie.
- In caso di sospetto, cambiare subito le password, avvisare i contatti coinvolti e rivolgersi a esperti di sicurezza.
Fonti: news.com.au, The Nightly, News24.
