--- title: "Paragon e l’Italia: quando è il fornitore di spyware a rescindere il contratto" description: "Le notifiche WhatsApp a novanta bersagli, l’ammissione del governo, la relazione COPASIR, la rescissione di Paragon: un anno di caso Graphite in Italia." url: https://csidia.com/note-operative/paragon-graphite-italia-un-anno-dopo/ lang: it date: 2026-02-05 label: "Osservatorio" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/paragon-graphite-italia-un-anno-dopo/ --- # Paragon e l’Italia: quando è il fornitore di spyware a rescindere il contratto Un anno fa, il 31 gennaio 2025, circa novanta persone in oltre venti paesi ricevettero una notifica da WhatsApp: il loro telefono era stato bersaglio di **Graphite**, lo spyware di **Paragon Solutions**, l’azienda israeliana che si presenta come il fornitore «etico» del settore — vende solo a democrazie, con un quadro d’uso vincolante. Nella lista c’erano il direttore di Fanpage.it Francesco Cancellato e attivisti dell’ong Mediterranea Saving Humans. Pochi giorni dopo, la prima conseguenza concreta non arrivò da un tribunale né dal Parlamento: arrivò dal fornitore, che chiuse il contratto con l’Italia. A dodici mesi di distanza vale la pena chiedersi cosa sia cambiato. Risposta breve: molto sul piano della trasparenza, quasi nulla su quello delle regole. ## I fatti, in ordine - **31 gennaio 2025**: WhatsApp notifica a circa novanta utenti — molti tra giornalisti e società civile — di essere stati bersaglio di Graphite tramite un attacco *zero-click*: un PDF malevolo recapitato in gruppi WhatsApp, nessun clic richiesto. Meta invia a Paragon una diffida. Tra i notificati italiani: Cancellato, poi Luca Casarini e Giuseppe Caccia di Mediterranea. - **Primi di febbraio 2025**: il Guardian rivela che Paragon ha rescisso il contratto con l’Italia, ritenendo violati i termini di servizio e il proprio «quadro etico». Il governo esclude il coinvolgimento dei servizi nello spionaggio dei giornalisti. - **12 febbraio 2025**: il governo conferma in Parlamento che l’Italia era cliente di Paragon e che l’intelligence ha usato Graphite «in più occasioni», sempre — sostiene — nel perimetro della legge. - **5 giugno 2025**: la relazione COPASIR, declassificata, conferma che AISE e AISI hanno impiegato Graphite. Casarini e Caccia sono stati sorvegliati con autorizzazione, nell’ambito del contrasto all’immigrazione irregolare: attività che il Comitato giudica legittima. Sul caso Cancellato la conclusione è netta: i servizi italiani non lo hanno spiato. Chi lo abbia fatto resta senza risposta. - **9 giugno 2025**: Paragon dichiara di aver offerto a governo e COPASIR un modo per verificare tecnicamente l’attacco a Cancellato e di aver terminato i contratti dopo il rifiuto. Le istituzioni replicano che la verifica avrebbe esposto metodi riservati; le versioni divergono perfino su chi abbia chiuso il contratto per primo. - **12 giugno 2025**: Citizen Lab pubblica la prima conferma forense di Graphite su iPhone: tra le vittime Ciro Pellegrino, caposervizio di Fanpage a Napoli, raggiunto da una notifica Apple il 29 aprile. - Le procure di Roma e Napoli hanno aperto indagini, tuttora in corso. Il bilancio a un anno è asimmetrico. È cambiata la trasparenza: un governo europeo ha ammesso l’uso di uno spyware commerciale, un organo parlamentare ha declassificato una relazione sul tema. Non è cambiato quasi nient’altro: non si sa chi ha attaccato il direttore di una testata nazionale, non risulta alcuna nuova norma sull’uso di questi strumenti da parte dello Stato, Graphite resta sul mercato. ## Lezione n. 1: «etico» è un aggettivo del fornitore, non una garanzia per chi compra Il paradosso del caso è che l’unico presidio scattato davvero è stato quello privato: non un giudice, non un’autorità — il venditore. Paragon ha applicato le proprie clausole e ha disconnesso un cliente sovrano. Che si creda o meno alla sua ricostruzione, lo schema è istruttivo per chiunque adotti tecnologia potente: **se le regole d’uso le scrive e le fa rispettare solo il fornitore, la governance sta fuori dalla vostra organizzazione**. E funziona in entrambe le direzioni: il fornitore che oggi vi certifica «etici» domani può rescindere, per ragioni sue, uno strumento da cui dipendete. Le policy d’uso — chi può fare cosa, su chi, con quale autorizzazione — [si scrivono in casa e si verificano](https://csidia.com/approccio), prima della firma. ## Lezione n. 2: il controllo umano si dimostra con i registri, non con le dichiarazioni Il COPASIR ha potuto ricostruire solo ciò che era autorizzato e tracciato: decreti, date, bersagli delle operazioni dei servizi. Tutto il resto — a partire dall’attacco a Cancellato — è rimasto fuori dalla portata di qualunque verifica. È la differenza tra uno strumento governato e uno strumento soltanto usato: catena di autorizzazione esplicita, registri d’uso opponibili, un responsabile con nome e cognome per ogni impiego. Vale per uno spyware di Stato come per un sistema di AI dentro [una pubblica amministrazione](https://csidia.com/settori/pubblica-amministrazione): quando arriva la domanda «chi l’ha autorizzato?», la risposta deve stare in un log, non in un comunicato. ## Lezione n. 3: la sovranità è la capacità di verificare Quando è servito accertare i fatti, l’Italia si è trovata davanti a un bivio sgradevole: accettare l’audit offerto dal fornitore estero, esponendo metodi riservati, o rinunciare alla verità tecnica. Le procure, intanto, dipendono dalla collaborazione di un’azienda fuori giurisdizione. È la definizione operativa di dipendenza: **se lo strumento è una scatola chiusa di un altro ordinamento, la verifica è una concessione, non un diritto**. Per le tecnologie critiche — di sorveglianza o di decisione — la domanda da fare prima dell’acquisto è una: dati, log e funzionamento sono ispezionabili da chi li usa, senza chiedere il permesso? [La conformità che regge](https://csidia.com/compliance) comincia lì. ## Cosa fare, se adottate tecnologie ad alto potenziale d’abuso 1. **Scrivete policy d’uso vostre**, più strette di quelle del fornitore: perimetro, bersagli leciti, esclusioni esplicite. 2. **Formalizzate la catena di autorizzazione**: ogni impiego ha un richiedente, un approvatore, un registro non modificabile. 3. **Negoziate diritti di audit reciproci**: voi dovete poter verificare lo strumento; il fornitore non deve poter ricostruire il vostro uso oltre il necessario. 4. **Preparate il piano di uscita**: cosa succede a operazioni e dati se il contratto salta — anche per iniziativa del fornitore. *Dovete adottare strumenti potenti senza cederne il controllo? [Mezz’ora con un nostro esperto](https://csidia.com/contatti) per una prima mappa di rischi e clausole.* ## Fonti - [TechCrunch — Spyware maker Paragon terminates contract with Italian government (6 febbraio 2025)](https://techcrunch.com/2025/02/06/spyware-maker-paragon-terminates-contract-with-italian-government-media-reports/) - [TechCrunch — Italian lawmakers say Italy used spyware against immigration activists, but not against journalist (6 giugno 2025)](https://techcrunch.com/2025/06/06/italian-lawmakers-say-italy-used-spyware-to-target-phones-of-immigration-activists-but-not-against-journalist/) - [The Citizen Lab — Graphite Caught: first forensic confirmation of Paragon’s iOS spyware (12 giugno 2025)](https://citizenlab.ca/research/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/paragon-graphite-italia-un-anno-dopo/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com