La posizione di un alto membro dell’amministrazione Trump coinvolto nella chat di gruppo su Signal che ha inavvertitamente condiviso piani di attacco segreti con un giornalista ha ulteriormente sollevato preoccupazioni su un potenziale incubo per la sicurezza nazionale.

L’inviato del Presidente Donald Trump per l’Ucraina e il Medio Oriente, Steve Witkoff, si trovava a Mosca mentre la chat di gruppo era attiva, ha riferito la Cbs, citando i dati del sito web di monitoraggio dei voli FlightRadar24.

Witkoff doveva incontrare il presidente russo Vladimir Putin e una manciata di altri funzionari russi durante il suo viaggio dal 13 al 14 marzo.

L’inviato fa parte di quella dozzina di funzionari dell’amministrazione Trump attivi in una chat di gruppo su Signal chiamata “Houthi PC small group” – che includeva inavvertitamente anche il caporedattore di The Atlantic Jeffrey Goldberg – dove sembra fossero condivise informazioni sensibili sul piano degli Stati Uniti di bombardare obiettivi Houthi in Yemen, come riportato dallo stesso The Atlantic.

Il governo statunitense ha esplicitamente evitato l’uso di Signal per la condivisione di informazioni riservate, mettendo in guardia dai tentativi di hacking da parte dei russi e dai problemi di sicurezza.

Witkoff, avvocato immobiliare diventato inviato speciale, ha lodato Putin come un “grande” leader e ha incontrato il presidente russo per discutere della fine della guerra, che sta andando avanti ormai da tre anni tra Russia e Ucraina.

Il periodo trascorso da Witkoff in Russia sembra intersecarsi con la divulgazione di informazioni altamente sensibili nella chat di gruppo. Come riporta la Cbs, stando a quanto emerso dal tracciamento del volo, Witkoff sarebbe arrivato a Mosca il 13 marzo intorno a mezzogiorno.

Secondo un post su Telegram dell’ex consigliere di Putin Sergei Markov, avrebbe incontrato Putin fino all’01:30 circa ora locale del giorno successivo. The Atlantic ha riferito che il direttore della Cia John Ratcliffe ha rivelato il nome di un ufficiale attivo della CIA nel flusso di testo intorno alle 17:24 (ET), ovvero circa mezzanotte in Russia.

Secondo una trascrizione dei testi condivisa da The Atlantic, Witkoff non avrebbe partecipato alla chat fino a dopo l’attacco, quando ha commentato con due emoji di mani che pregano, un emoji di braccia che si flettono e due emoji di bandiere americane in risposta a messaggi che parlavano di attacchi che avevano colpito gli obiettivi previsti.

L’addetto stampa della Casa Bianca, Karoline Leavitt, ha dichiarato in un post sui social media che a Witkoff era stata “fornita una linea di comunicazione sicura dal governo degli Stati Uniti, e quello era l’unico telefono in suo possesso mentre si trovava a Mosca”.

In un briefing per la stampa di mercoledì, Leavitt ha detto che Witkoff non aveva con sé né un telefono personale né uno in dotazione al governo e che gli era stato dato un dispositivo con un “server protetto classificato dal governo degli Stati Uniti ed è stato molto attento alle sue comunicazioni quando era in Russia”.

La Casa Bianca non ha risposto alla richiesta di commento di Fortune, anche se il portavoce del Consiglio di sicurezza nazionale Brian Hughes ha dichiarato a The Atlantic che il gruppo Signal “sembra essere una catena di messaggi autentica” e sta esaminando come Goldberg sia stato aggiunto alla catena.

Gli Stati Uniti avvertono della minaccia alla sicurezza russa

Nonostante l’amministrazione collabori con il Cremlino, il Pentagono ha espresso chiaramente le sue preoccupazioni in materia di sicurezza informatica nei confronti della Russia, pubblicando una nota il 18 marzo, in cui metteva in guardia dall’uso di Signal perché era stata identificata una “vulnerabilità” nell’applicazione, come riportato da Npr.

La nota è stata rilasciata pochi giorni dopo l’attacco degli Stati Uniti e circa una settimana prima che la presenza di Goldberg nella chat di gruppo fosse resa pubblica.

I gruppi di hacker professionisti russi stanno utilizzando le funzioni “dispositivi collegati” per spiare le conversazioni criptate”, si legge nella nota.

“Si prega di notare che le app di messaggistica third party (come ad esempio Signal) sono consentite dalla politica per esercizi di responsabilità/richiamo non classificati, ma non sono programmate per elaborare o memorizzare informazioni non pubbliche e non classificate”.

La nota rimarca una policy precedentemente stabilita dal governo degli Stati Uniti. Nel 2023, il Dipartimento della Difesa ha emesso una nota che classificava le app di messaggistica “non gestite”, come Signal e WhatsApp, dicendo che “non sono autorizzate ad accedere, trasmettere o elaborare informazioni non pubbliche del Dipartimento della Difesa”.

Il gruppo utilizzava anche una funzione di Signal che faceva sparire i messaggi dopo una settimana, come riportato da The Atlantic, che secondo alcuni esperti violava le leggi sui registri pubblici.

Un ex responsabile della sicurezza del governo, che ha voluto rimanere anonimo, ha dichiarato in precedenza a Fortune che tutti i funzionari che partecipavano alla chat di gruppo sarebbero stati obbligati per legge a conservare le registrazioni delle loro comunicazioni e nessun funzionario avrebbe potuto stabilire se i loro messaggi fossero o meno soggetti alle leggi sui registri pubblici.

Carenze di sicurezza

Nonostante il Dipartimento della Difesa abbia definito Signal una piattaforma di messaggistica vulnerabile, il vero rischio per la sicurezza non proviene dall’app, ma dal proprio telefono, secondo un esperto di sicurezza informatica.

“Signal è una delle migliori app in circolazione per la crittografia end-to-end e per la comunicazione”, ha dichiarato a Fortune V.S. Subrahmanian, professore di informatica alla Northwestern University e capo del suo laboratorio di AI e sicurezza. “Ma i telefoni non lo sono”.

Secondo Subrahmanian, il Pentagono avrebbe scelto Signal proprio per la sua popolarità, popolarità che però potrebbe renderlo un bersaglio maggiore per le minacce informatiche, ma ci sono rischi per la sicurezza per ogni app scaricata su un dispositivo personale.

Quando un’app viene scaricata, potrebbe innocua, ma potrebbe essere aggiornata automaticamente con un malware. Allo stesso modo, un malware su un telefono personale potrebbe prelevare i contenuti da qualsiasi cosa si trovi sullo schermo di un individuo, anche se sta utilizzando un’app crittografata.

Un modo per ridurre i rischi è invece quello di fornire al personale telefoni con un numero limitato di app che siano state accuratamente controllate.

Viaggiare con informazioni sensibili sul proprio telefono aumenta il rischio di sicurezza. Quando si viaggia, si corre il rischio di installare malware sul proprio dispositivo collegandolo a una presa di corrente. Sebbene un cavo possa caricare un dispositivo, può anche trasferire dati, ha spiegato Subrahmanian.

“C’è una nota classe di attacchi chiamata ‘juice jacking‘ che può utilizzare il cavo”, ha detto Subrahmanian. “Se può trasportare dati, può trasportare anche software, compreso il malware”.

Subrahmanian ha evitato di definire catastrofiche le conseguenze dei messaggi trapelati, ma è stato chiaro sul fatto che l’app di messaggistica non è responsabile della falla nella sicurezza. “Non si tratta di un errore di Signal o della sua tecnologia”, ha dichiarato. “È solo un errore umano”.

L’articolo originale è stato pubblicato su Fortune.com