Il ritorno di Hulio: Da creatore di Pegasus a salvatore della cybersecurity

Hulio, l’ex volto di NSO Group, torna nel mondo della cybersecurity non più come attaccante, ma come difensore, fondando una startup valutata un miliardo di dollari.

C’è una sorta di perversa eleganza nel modo in cui l’industria della sorveglianza digitale riesce a riciclarsi.

Se guardiamo al panorama della cybersecurity in questo fine 2025, la notizia non è tanto l’ennesima violazione di dati o il nuovo ransomware che ha paralizzato un ospedale, quanto piuttosto il ritorno trionfale degli architetti dell’insicurezza globale, ora vestiti con abiti nuovi e immacolati.

Shalev Hulio, l’uomo che per anni è stato il volto di NSO Group e del famigerato spyware Pegasus, è tornato. E questa volta, non è qui per hackerare i vostri telefoni, ma per “salvarli”.

O almeno, questo è quello che ci racconta la valutazione di mercato della sua nuova creatura.

La parabola di Hulio e del suo ex socio Omri Lavie è un caso di studio affascinante per chiunque scriva codice. Rappresenta la perfetta intersezione tra debito tecnico e debito morale. Dream Security, la nuova startup di Hulio fondata insieme all’ex cancelliere austriaco Sebastian Kurz, ha appena raggiunto lo status di “unicorno” con una velocità che farebbe impallidire qualsiasi sviluppatore della Silicon Valley abituato a lottare per ogni commit.

Ma dietro i numeri scintillanti si nasconde una realtà tecnica e politica molto più complessa, che merita di essere de-compilata con attenzione. Non stiamo parlando di un semplice “pivot” aziendale, ma di una ristrutturazione profonda del mercato delle vulnerabilità, dove la linea tra chi attacca e chi difende è diventata sottile quanto un buffer overflow mal gestito.

Per capire la gravità della situazione, bisogna guardare oltre i comunicati stampa e analizzare l’architettura di questo ritorno. Non è solo questione di soldi, è questione di accesso. Chi ha costruito le armi più sofisticate per penetrare le difese dei sistemi operativi mobili ora vende lo scudo per proteggersi da quelle stesse armi.

È il modello di business perfetto: creare il problema, vendere la soluzione, e nel frattempo mantenere il monopolio sulla conoscenza degli exploit zero-day.

L’ingegneria del riscatto

Dal punto di vista puramente tecnico, il passaggio dall’offensiva alla difensiva non è banale. Costruire uno spyware come Pegasus richiede una mentalità specifica: la ricerca ossessiva del punto di rottura, l’identificazione di quella singola riga di codice in una libreria di parsing delle immagini o nel gestore della baseband che, se sollecitata correttamente, fa crollare l’intero castello di carte della sicurezza di iOS o Android.

Difendere, invece, richiede una copertura al 100%.

L’attaccante deve avere ragione una volta sola; il difensore deve avere ragione sempre.

Tuttavia, la nuova azienda di Hulio ha raccolto 100 milioni di dollari in un round di serie B, convincendo gli investitori che chi ha saputo rompere il sistema sia l’unico in grado di ripararlo.

La proposta di valore di Dream Security si basa sull’uso dell’Intelligenza Artificiale per rilevare minacce complesse. Sulla carta, sembra la solita buzzword che sentiamo in ogni conferenza tech dal 2023. Tuttavia, qui c’è un dettaglio implementativo che fa la differenza: il dataset.

Per addestrare un modello difensivo efficace, hai bisogno di dati sugli attacchi reali, non simulazioni. E chi ha più dati sugli attacchi state-grade (di livello governativo) di chi li ha progettati per un decennio? Hulio sfrutta il suo passato non come una zavorra, ma come una feature non documentata.

“Fondando Dream, sapevo che avendo l’esperienza tecnologica di NSO, insieme ai migliori talenti nel settore cyber e AI, avremmo potuto sfruttarli per la missione di proteggere le nazioni dalle minacce informatiche più sofisticate.”

— Shalev Hulio, Co-fondatore di Dream Security

Questa narrazione è tecnicamente ineccepibile ma eticamente scivolosa. Hulio sta essenzialmente dicendo che l’unico modo per fermare un hacker governativo è assumere il suo ex capo. È un approccio che bypassa completamente la filosofia della sicurezza by design e open source, dove la trasparenza del codice è la garanzia di sicurezza, favorendo invece un modello “black box” dove ci fidiamo ciecamente di un fornitore che fino a ieri operava nell’ombra.

Ma c’è un altro livello di complessità. Mentre Hulio costruisce la sua arca di Noé digitale, la sua vecchia nave, NSO Group, non è affondata come molti speravano. Anzi, ha subito un refactoring societario.

Nonostante l’inserimento nella “Entity List” del Dipartimento del Commercio USA – una sorta di blacklist a livello kernel per le aziende che non possono commerciare con entità americane – NSO ha continuato a operare. Le sanzioni avrebbero dovuto soffocare l’azienda tagliandole l’accesso all’hardware e al software americano, ma il codice, come la vita, trova sempre una strada.

Il paradosso della Blacklist

La sopravvivenza di NSO e la rinascita dei suoi fondatori dimostrano che nel mondo della cyber-warfare, le regole sono scritte in JavaScript lato client: facilmente aggirabili se sai dove guardare.

La tecnologia alla base di Pegasus – sfruttare vulnerabilità zero-click (che non richiedono alcuna interazione dell’utente) – è troppo preziosa per essere lasciata morire. Parliamo di exploit chain che partono spesso da un messaggio invisibile inviato via iMessage o WhatsApp, che esegue codice arbitrario, esce dalla sandbox dell’applicazione e ottiene privilegi di root sul dispositivo.

Una roba tecnicamente sublime e terrificante.

Recentemente, la narrazione secondo cui NSO fosse un “paria” internazionale è stata smentita dai fatti. Un gruppo di investitori statunitensi ha acquisito la maggioranza di NSO Group, segnalando che Washington, o almeno il capitale privato americano, ha deciso che è meglio avere queste capacità sotto controllo diretto piuttosto che lasciarle fluttuare nel mercato grigio.

È qui che la distinzione tra “buoni” e “cattivi” va in segmentation fault. Omri Lavie, l’altro co-fondatore di NSO, ha gestito questa transizione, ripulendo la cap table (la struttura azionaria) dell’azienda per renderla appetibile agli investitori occidentali, nonostante il marchio tossico.

La comunità tecnica open source, che passa le notti a patchare le vulnerabilità sfruttate da aziende come NSO, guarda a queste acquisizioni con un misto di orrore e rassegnazione. Mentre noi sviluppatori ci preoccupiamo di implementare correttamente HTTPS e di validare gli input per evitare SQL injection, c’è un’industria parallela che fattura miliardi mantenendo aperte le porte di servizio.

La riabilitazione di Hulio passa anche attraverso le sue nuove partnership. Associarsi a una figura politica come Sebastian Kurz non è casuale. Serve a spostare la discussione dal livello tecnico (dove gli exploit sono armi) a quello politico (dove gli exploit sono strumenti di “sicurezza nazionale”).

“Dream è stata fondata due anni e mezzo fa dopo che ho lasciato NSO e ho incontrato Sebastian Kurz, che era l’ex primo ministro dell’Austria.”

— Shalev Hulio, CEO di Dream Security

Questo “rebranding” personale e aziendale funziona perché il mercato ha la memoria corta e una fame insaziabile di soluzioni di sicurezza “chiavi in mano”. Nessuno vuole sapere come viene fatta la salsiccia, o in questo caso, come viene addestrata la rete neurale che protegge la rete elettrica nazionale.

Basta che funzioni.

L’ecosistema chiuso

Il problema di fondo, che spesso sfugge nelle analisi puramente finanziarie, è l’impatto a lungo termine sull’ecosistema tecnologico. Quando aziende come Dream Security o la “nuova” NSO assorbono i migliori talenti nella ricerca di vulnerabilità, sottraggono risorse alla difesa collettiva.

Un ricercatore di sicurezza che scopre un bug critico in Android ha due strade: segnalarlo a Google per un bounty di qualche migliaio di dollari e una CVE (Common Vulnerabilities and Exposures) a suo nome, oppure venderlo a un broker di exploit o a un’azienda di sorveglianza per cifre a sei zeri.

Con valutazioni miliardarie, queste aziende possono permettersi di pagare stipendi e bonus che le università o i progetti open source non possono nemmeno sognare. Shalev Hulio spiega la transizione dall’offensiva alla difensiva come una missione per proteggere le nazioni, ma dimentica di menzionare che l’industria che ha contribuito a creare ha reso quelle stesse nazioni intrinsecamente più vulnerabili, incentivando il mantenimento delle falle software invece della loro risoluzione.

Siamo di fronte a una gentrificazione del malware.

Le tecniche che un tempo erano appannaggio di agenzie di intelligence oscure o criminali informatici sono ora impacchettate in dashboard eleganti con UX curata, vendute a governi e aziende con tanto di supporto clienti 24/7. È la normalizzazione dell’arma digitale. E mentre Hulio e Lavie incassano il successo della loro “redenzione”, il resto del mondo digitale rimane a chiedersi: se il pompiere è anche colui che vendeva i lanciafiamme, possiamo davvero dormire sonni tranquilli?

La risposta, purtroppo, è scritta nel codice sorgente di un sistema economico che premia l’efficacia brutale sopra l’etica della trasparenza. E finché le vulnerabilità zero-day saranno considerate asset strategici invece che bug da risolvere, continueremo a finanziare, direttamente o indirettamente, la nostra stessa sorveglianza.