IT EN
Avvia una prova

Note operative Osservatorio

Lo spyware sospeso è tornato operativo: in mezzo, il fornitore ha cambiato proprietario

7 min di lettura

Uno smartphone dallo schermo spento appoggiato su un piano di legno scuro, in bianco e nero
La sospensione riguardava il fornitore. Poi il fornitore ha cambiato proprietario.

Il 23 luglio 2026 il senatore Gary Peters (D-MI), il membro di minoranza più anziano della commissione Homeland Security and Governmental Affairs del Senato USA, scrive al segretario alla Homeland Security Markwayne Mullin una lettera che chiede conto di un contratto dell’Immigration and Customs Enforcement (ICE) da 2 milioni di dollari: quello per Graphite, lo spyware capace di prendere il controllo di un telefono — messaggi, foto, posizione — senza che il bersaglio clicchi nulla. Chiede contratti, valutazioni d’impatto sulla privacy, revisioni sui diritti civili e policy di sicurezza, entro il 7 agosto. Non è la prima volta che quel contratto finisce in un atto ufficiale: era già stato sospeso, per gli stessi motivi che Peters rimette oggi sul tavolo. In mezzo è successa una cosa sola, ed è quella che conta per chi valuta un fornitore critico: l’azienda che vende Graphite ha cambiato proprietario.

I fatti, in ordine

  • 27 settembre 2024: ICE firma con Paragon Solutions, azienda di cyberintelligence israeliana, un contratto sole-source da 2 milioni di dollari per l’uso di Graphite.
  • Ottobre 2024: l’amministrazione Biden sospende il contratto con un ordine di stop-work, per decidere se rispettasse l’Executive Order 14093 (27 marzo 2023), che vieta alle agenzie federali di acquistare spyware commerciale che comporti un rischio significativo per la sicurezza degli Stati Uniti o un rischio di uso improprio da parte di governi stranieri. Quella verifica non risulta mai conclusa pubblicamente.
  • Dicembre 2024: i media israeliani riportano che AE Industrial Partners, private equity con sede in Florida, ha acquisito Paragon Solutions, integrandola in REDLattice, integratore di cyberintelligence in Virginia. Sull’importo le fonti divergono; sul passaggio di proprietà no — a luglio 2026 la CBS descrive Graphite come strumento «ora di proprietà di REDLattice». L’azienda israeliana diventa, sulla carta, americana.
  • 31 gennaio 2025: WhatsApp notifica circa novanta utenti in più paesi — giornalisti e società civile, incluso il caso italiano che avevamo già raccontato — di essere stati bersaglio di Graphite. Citizen Lab e la procura italiana hanno poi confermato che tra i bersagli c’erano giornalisti e attivisti italiani.
  • Agosto 2025: lo stop-work order viene revocato e il contratto da 2 milioni torna attivo. Non risulta pubblica una nuova valutazione tecnica a corredo della revoca.
  • 22 maggio 2026: il Department of Homeland Security dichiara a NPR che ICE «non ha alcun rapporto con Paragon Solutions, Inc. né con la società che l’ha acquisita» — una frase che può restare letteralmente vera anche se l’uso dello strumento, sotto la sigla REDLattice, continua.
  • 23 luglio 2026: Peters scrive la lettera che riapre il caso, definendo l’acquisto «una delle espansioni più significative delle ambizioni di sorveglianza di DHS e ICE fino a oggi» e annotando che «l’uso improprio di Graphite non è ipotetico». Chiede se il software sia stato usato sul territorio americano, contro chi e con quale base giuridica; segnala che il suo staff aveva chiesto un briefing al DHS a dicembre 2025 e a ICE a gennaio 2026, senza risposta nel merito. Peters non sostiene che ICE abbia usato Graphite contro giornalisti o manifestanti: chiede di sapere se sia stato usato e contro chi. Un alto funzionario del Dipartimento risponde alla CBS che la tecnologia serve «a supporto di indagini e attività di contrasto», nel rispetto «delle libertà civili e degli interessi di privacy». Peters, essendo di minoranza, non ha il potere di imporre una risposta entro il 7 agosto che ha fissato.

Lezione n. 1: la sovranità di un fornitore si compra, non si dichiara

Un ordine esecutivo federale vieta alle agenzie di acquistare spyware commerciale che comporti un rischio per la sicurezza nazionale o sia stato usato in modo improprio da governi stranieri. Il contratto con Paragon, azienda israeliana, viene sospeso proprio per decidere se ricadesse in quella casistica. Undici mesi dopo lo stesso spyware, verosimilmente con lo stesso codice, torna operativo nello stesso ente. Nel frattempo nessuna verifica indipendente nota ha accertato che il prodotto sia cambiato: l’unica cosa che risulta cambiata è la casella «proprietario» nel registro societario. Se sia stata quella a sbloccare il contratto non lo sappiamo — nessuna delle due amministrazioni ha reso pubblica la motivazione — e non serve saperlo per trarne la lezione. Per chi valuta un fornitore critico — di sorveglianza, di AI, di infrastruttura — la nazionalità del capitale non è un proxy affidabile del controllo reale: conta chi scrive il codice, chi ha accesso alle chiavi, dove risiedono i dati e chi può vederli, non la sede legale della holding che li possiede questo mese. È il principio su cui costruiamo la nostra architettura per la sovranità tecnologica: si dimostra con il controllo diretto dell’infrastruttura, non con un cambio di ragione sociale.

Lezione n. 2: un divieto ha una scadenza politica, non tecnica

Il testo dell’EO 14093 non è cambiato tra ottobre 2024 e agosto 2025. È cambiato chi lo applica: un’amministrazione lo ha usato per sospendere il contratto, la successiva ha revocato la sospensione senza che risulti pubblica una nuova valutazione tecnica — stessa norma, esito opposto, e in mezzo un solo fatto noto: un nuovo titolare della società. Chi si affida a un divieto esterno, normativo o contrattuale, come garanzia di sicurezza costruisce su una base che può ribaltarsi al cambio di amministrazione, non di rischio reale. La domanda da farsi prima di escludere un fornitore perché «vietato altrove», o di sceglierne uno perché «autorizzato», è sempre la stessa: cosa succederebbe se cambiasse solo l’interpretazione, non il rischio?

Lezione n. 3: una smentita può essere vera in senso stretto e fuorviante nella sostanza

A maggio 2026 il Dipartimento nega un «rapporto» con Paragon Solutions Inc. o con chi l’ha acquisita: una frase costruita sul nome della società, non sull’uso effettivo dello strumento. A luglio lo stesso Dipartimento difende, in termini generali, l’uso di «tecnologia» per le indagini. Le due dichiarazioni non si contraddicono nella lettera, ed è proprio questo il problema: una negazione ancorata alla ragione sociale, non alla funzione, lascia intatta la sostanza e cambia solo l’etichetta. Per chi redige o valuta clausole su fornitori terzi — «nessun rapporto con l’azienda X» — la lezione è verificare sempre la continuità operativa dietro un cambio di ragione sociale, non fermarsi al nome che compare in un comunicato.

Cosa fare

  1. Verificate la proprietà effettiva, non la sede legale dichiarata, di ogni fornitore critico — e ripetete la verifica a ogni cambio di controllo societario.
  2. Non trattate un divieto o un’autorizzazione normativa come definitivi: mappate se si fondano su un rischio tecnico, politico, o entrambi, e cosa li farebbe cadere.
  3. Nelle clausole su terze parti, definite «rapporto» in termini di prodotto e infrastruttura, non di ragione sociale: una negazione vera sul nome può essere falsa sulla sostanza.
  4. Distinguete l’uso legittimo dichiarato dal rischio strutturale residuo: possono coesistere, e trattarli come alternativi porta a decisioni sbagliate su entrambi i fronti.

Le organizzazioni che vogliono verificare — non solo dichiarare — chi controlla davvero i propri dati possono farlo in due modi, sempre entrambi disponibili: on-premise, nel perimetro del cliente, oppure in un cloud dedicato CSIDIA — ambiente riservato al singolo cliente, accesso via VPN dedicata, data center in Italia, locali presidiati direttamente da noi. In entrambi i casi il controllo resta verificabile da chi usa il sistema, non concesso da chi lo vende.

Dovete valutare un fornitore critico senza fermarvi alla sua sede legale o alla sua ultima acquisizione? Mezz’ora con un nostro esperto per una prima mappa di rischi sulla catena di fornitura.

Fonti