Avvia una prova

Note operative Osservatorio

Paragon e l’Italia: quando è il fornitore di spyware a rescindere il contratto

5 min di lettura

Silhouette di un traliccio per telecomunicazioni contro un cielo carico di nuvole al tramonto, in bianco e nero
L’infrastruttura che porta le comunicazioni è la stessa che, a certe condizioni, permette di intercettarle.

Un anno fa, il 31 gennaio 2025, circa novanta persone in oltre venti paesi ricevettero una notifica da WhatsApp: il loro telefono era stato bersaglio di Graphite, lo spyware di Paragon Solutions, l’azienda israeliana che si presenta come il fornitore «etico» del settore — vende solo a democrazie, con un quadro d’uso vincolante. Nella lista c’erano il direttore di Fanpage.it Francesco Cancellato e attivisti dell’ong Mediterranea Saving Humans. Pochi giorni dopo, la prima conseguenza concreta non arrivò da un tribunale né dal Parlamento: arrivò dal fornitore, che chiuse il contratto con l’Italia. A dodici mesi di distanza vale la pena chiedersi cosa sia cambiato. Risposta breve: molto sul piano della trasparenza, quasi nulla su quello delle regole.

I fatti, in ordine

  • 31 gennaio 2025: WhatsApp notifica a circa novanta utenti — molti tra giornalisti e società civile — di essere stati bersaglio di Graphite tramite un attacco zero-click: un PDF malevolo recapitato in gruppi WhatsApp, nessun clic richiesto. Meta invia a Paragon una diffida. Tra i notificati italiani: Cancellato, poi Luca Casarini e Giuseppe Caccia di Mediterranea.
  • Primi di febbraio 2025: il Guardian rivela che Paragon ha rescisso il contratto con l’Italia, ritenendo violati i termini di servizio e il proprio «quadro etico». Il governo esclude il coinvolgimento dei servizi nello spionaggio dei giornalisti.
  • 12 febbraio 2025: il governo conferma in Parlamento che l’Italia era cliente di Paragon e che l’intelligence ha usato Graphite «in più occasioni», sempre — sostiene — nel perimetro della legge.
  • 5 giugno 2025: la relazione COPASIR, declassificata, conferma che AISE e AISI hanno impiegato Graphite. Casarini e Caccia sono stati sorvegliati con autorizzazione, nell’ambito del contrasto all’immigrazione irregolare: attività che il Comitato giudica legittima. Sul caso Cancellato la conclusione è netta: i servizi italiani non lo hanno spiato. Chi lo abbia fatto resta senza risposta.
  • 9 giugno 2025: Paragon dichiara di aver offerto a governo e COPASIR un modo per verificare tecnicamente l’attacco a Cancellato e di aver terminato i contratti dopo il rifiuto. Le istituzioni replicano che la verifica avrebbe esposto metodi riservati; le versioni divergono perfino su chi abbia chiuso il contratto per primo.
  • 12 giugno 2025: Citizen Lab pubblica la prima conferma forense di Graphite su iPhone: tra le vittime Ciro Pellegrino, caposervizio di Fanpage a Napoli, raggiunto da una notifica Apple il 29 aprile.
  • Le procure di Roma e Napoli hanno aperto indagini, tuttora in corso.

Il bilancio a un anno è asimmetrico. È cambiata la trasparenza: un governo europeo ha ammesso l’uso di uno spyware commerciale, un organo parlamentare ha declassificato una relazione sul tema. Non è cambiato quasi nient’altro: non si sa chi ha attaccato il direttore di una testata nazionale, non risulta alcuna nuova norma sull’uso di questi strumenti da parte dello Stato, Graphite resta sul mercato.

Lezione n. 1: «etico» è un aggettivo del fornitore, non una garanzia per chi compra

Il paradosso del caso è che l’unico presidio scattato davvero è stato quello privato: non un giudice, non un’autorità — il venditore. Paragon ha applicato le proprie clausole e ha disconnesso un cliente sovrano. Che si creda o meno alla sua ricostruzione, lo schema è istruttivo per chiunque adotti tecnologia potente: se le regole d’uso le scrive e le fa rispettare solo il fornitore, la governance sta fuori dalla vostra organizzazione. E funziona in entrambe le direzioni: il fornitore che oggi vi certifica «etici» domani può rescindere, per ragioni sue, uno strumento da cui dipendete. Le policy d’uso — chi può fare cosa, su chi, con quale autorizzazione — si scrivono in casa e si verificano, prima della firma.

Lezione n. 2: il controllo umano si dimostra con i registri, non con le dichiarazioni

Il COPASIR ha potuto ricostruire solo ciò che era autorizzato e tracciato: decreti, date, bersagli delle operazioni dei servizi. Tutto il resto — a partire dall’attacco a Cancellato — è rimasto fuori dalla portata di qualunque verifica. È la differenza tra uno strumento governato e uno strumento soltanto usato: catena di autorizzazione esplicita, registri d’uso opponibili, un responsabile con nome e cognome per ogni impiego. Vale per uno spyware di Stato come per un sistema di AI dentro una pubblica amministrazione: quando arriva la domanda «chi l’ha autorizzato?», la risposta deve stare in un log, non in un comunicato.

Lezione n. 3: la sovranità è la capacità di verificare

Quando è servito accertare i fatti, l’Italia si è trovata davanti a un bivio sgradevole: accettare l’audit offerto dal fornitore estero, esponendo metodi riservati, o rinunciare alla verità tecnica. Le procure, intanto, dipendono dalla collaborazione di un’azienda fuori giurisdizione. È la definizione operativa di dipendenza: se lo strumento è una scatola chiusa di un altro ordinamento, la verifica è una concessione, non un diritto. Per le tecnologie critiche — di sorveglianza o di decisione — la domanda da fare prima dell’acquisto è una: dati, log e funzionamento sono ispezionabili da chi li usa, senza chiedere il permesso? La conformità che regge comincia lì.

Cosa fare, se adottate tecnologie ad alto potenziale d’abuso

  1. Scrivete policy d’uso vostre, più strette di quelle del fornitore: perimetro, bersagli leciti, esclusioni esplicite.
  2. Formalizzate la catena di autorizzazione: ogni impiego ha un richiedente, un approvatore, un registro non modificabile.
  3. Negoziate diritti di audit reciproci: voi dovete poter verificare lo strumento; il fornitore non deve poter ricostruire il vostro uso oltre il necessario.
  4. Preparate il piano di uscita: cosa succede a operazioni e dati se il contratto salta — anche per iniziativa del fornitore.

Dovete adottare strumenti potenti senza cederne il controllo? Mezz’ora con un nostro esperto per una prima mappa di rischi e clausole.

Fonti