Il caso Paragon è stato uno degli argomenti di cronaca sulle pagine dei giornali ed il nome che i media hanno utilizzato per descrivere lo scandalo del presunto spionaggio di giornalisti e attivisti. La questione ha sollevato molte critiche sia al governo da parte degli interessati e delle opposizioni, ma ha fatto luce anche sui limiti e i pericoli di strumenti così avanzati, che nelle mani sbagliate, o semplicemente dell’essere umano, possono provocare molti danni.
Dietro questa tecnologia si cela un complesso intreccio di innovazioni tecniche, contratti governativi, vicende giudiziarie e tensioni politiche, nonostante l’azienda avesse posto strette condizioni d’uso e venduto solo a governi democratici. Lo scandalo, infatti, non è stato evitato e anche in Paesi democratici sono emersi casi controversi di utilizzo di questi strumenti.
Facciamo un passo indietro però per analizzare quanto è successo partendo da cos’è di preciso questo spyware che sarebbe stato installato negli smartphone di alcuni giornalisti. Il Paragon Graphite è uno spyware creato dall’azienda israeliana Paragon Solutions. Il tool è pensato per il controllo remoto di dispositivi mobili con un’elevata segretezza, in grado di riprodurre ogni informazione del dispositivo che va ad infettare. Ciò che rende Graphite particolarmente insidioso è proprio la capacità di infettare i dispositivi senza alcuna interazione dell’utente: i cosiddetti zeroclick attacks. A differenza dei tradizionali malware che richiedono un’azione da parte dell’utente come, ad esempio, cliccare un link o scaricare un allegato, può sfruttare vulnerabilità di dispositivi e applicazioni senza richiedere necessariamente l’interazione dell’utente.
Una volta dentro il dispositivo lo spyware Graphite ottiene un accesso molto esteso ai dati che può copiare, anche quelli criptati, può tracciare la posizione GPS e persino captare i dati biometrici. Inoltre, questo spyware rende complessa anche la rilevazione di un’intrusione in sede di analisi forense. Una tecnologia molto potente ma anche pericolosa se utilizzata non per fini di sicurezza.
Il caso dei giornalisti e attivisti italiani infatti ha fatto scattare l’indagine del Copasir. Alcuni giornalisti di Fanpage.it e attivisti della Mediterranea hanno scoperto la presenza dello spyware Graphite sui loro telefoni dopo essere stati avvisati dallo stesso smartphone che segnalava un’intrusione. Le successive indagini hanno però restituito un quadro più complesso: il Copasir ha accertato attività informativa dei servizi italiani nei confronti di alcuni attivisti, mentre ha escluso che Cancellato e don Ferrari fossero stati spiati dall’intelligence italiana. La questione ha sollevato una polemica a livello politico, con le opposizioni che hanno accusato il governo di una “grave violazione dello stato di diritto” per aver spiato cittadini comuni.
L’accaduto ha spinto anche l’intervento del Garante per la Protezione dei Dati Personali, che ha ricordato che questo spyware può essere usato solo per i fini consentiti altrimenti comporterebbe gravi sanzioni. La bufera ha portato l’azienda Paragon a interrompere definitivamente il rapporto contrattuale con le autorità italiane per il mancato rispetto del quadro etico della parte in causa.
Il caso Paragon però non riguarda soltanto l’Italia o il governo italiano e non si tratta di un evento isolato, ma purtroppo questa è una tendenza globale crescente a causa del prolifico mercato dei mercenary spyware. Oltre a NSO Group con Pegasus e Intellexa con Predator, numerosi altri attori – spesso con legami con ex servizi segreti – propongono tecnologie di sorveglianza. La linea sottile tra il controllo informatico e a contrasto degli atti terroristici e invece un sistematico controllo della popolazione da parte dei governi si assottiglia sempre di più. Questa sorveglianza digitale solleva sempre più preoccupazioni e criticità perché si diffonde a macchia d’olio in un quadro normativo ancora frammentato, in assenza di vincoli internazionali definiti. Quello che manca inoltre, e che è mancato anche nel caso Paragon, è un adeguato sistema di verifica da parte dei vendor. Una volta affidati questi strumenti nelle mani dei governi che rispondono ai requisiti indicati, non si premurano infatti di attivare un sistema di controllo e verifica costante che eviterebbe un abuso del prodotto. C’è da dire inoltre che il limite di vendere e comprare solo a paesi democratici non evita i rischi. Cosa ci dice che un paese democratico si limiterà ad utilizzare lo spyware nei confini degli usi legittimi? Si tratta di un doppio standard che nella tecnologia sta proliferando in ogni ambito. Tutto ciò risulta in una mancanza di trasparenza e incentiva abusi da parte dei fruitori, perché appunto non controllati e forti del fatto di rispondere a determinati standard. È emblematica la vicenda italiana perché mostra come anche istituzioni democratiche con organi di controllo funzionanti, come il Garante Privacy, il Copasir ecc, possano cadere nella trappola delle operazioni segrete di intelligence condotte da strumenti di altissima tecnologia.
La vicenda Graphite solleva domande cruciali: fino a che punto uno Stato può spingersi nella raccolta di intelligence e nel contrasto di minacce reali, senza compromettere i diritti fondamentali? Quali garanzie si possono porre a tutela della libera informazione e della privacy dei cittadini? L’esperienza italiana mostra come l’utilizzo di questi strumenti richieda garanzie e meccanismi di controllo adeguati, anche quando viene effettuato nell’ambito di attività di intelligence autorizzate. Occorre dunque una legislazione europea che disciplini l’uso di spyware, con audit indipendenti, limiti stringenti all’export e un sistema chiaro di responsabilità per decisioni illegittime.
Conclusioni
Graphite di Paragon Solutions rappresenta un salto tecnologico nel campo degli spyware, offrendo capacità di raccolta dati senza precedenti. Tuttavia, la sua diffusione e il suo utilizzo possono mettere a rischio cittadini e diplomazia. La sfida per questi strumenti consisterà nel trovare un equilibrio che assicuri l’efficacia nella lotta al crimine e al terrorismo, preservando al contempo i principi fondamentali di democrazia, trasparenza e tutela dei diritti umani. Solo attraverso una cooperazione multilaterale e meccanismi di vigilanza trasparenti sarà possibile arginare gli abusi e costruire una nuova era della sicurezza cibernetica in rispetto dei diritti fondamentali. Il caso italiano mostra che anche nei sistemi democratici l’utilizzo di strumenti così potenti richiede controlli e garanzie adeguati. Non dobbiamo nasconderci dietro la narrazione delle differenze tra governi democratici e autocratici. I rischi ci sono in ogni caso e i potenziali abusi sono dietro l’angolo, in particolar modo se parliamo di strumenti che danno così tanto potere. Il messaggio qui è chiaro e ci mostra che in assenza di tutele efficaci, strumenti ideati per la sicurezza possono trasformarsi in leve di sorveglianza e pressione, minando la libertà di stampa e la società civile.
