PROTEGGIAMO LA NOSTRA PRIVACY

Paragon Solutions è una società israeliana specializzata nello sviluppo di software di cybersicurezza, incluso uno spyware chiamato Graphite.

Prima di parlare di questo software e di cosa è capace di fare, occorre fare un passo indietro, partendo da quanto rappresentato dal Deputato Federico Fornaro nel corso delle interrogazioni a risposta immediata; di seguito il resoconto stenografico dell’Assemblea seduta n. 427 del 12 febbraio u.s. per un eventuale approfondimento.

Ebbene nella propria interrogazione il Deputato Fornaro faceva riferimento al dottor Francesco Cancellato, direttore della testata Fanpage, e al fatto che questi avesse ricevuto dal servizio di sicurezza WhatsApp la notizia che il suo cellulare era stato attaccato da un software spia, in grado di entrare nel telefono e di sottrarre tutti i dati. Secondo quanto sostenuto dall’interrogante, successivamente, il Governo ha smentito con una sua nota che siano stati sottoposti a controllo da parte dell’intelligence, e quindi del Governo, giornalisti o soggetti simili, mentre risulta che siano stati attaccati, con la stessa procedura che ha subito Francesco Cancellato, altri 7 cittadini italiani, tra cui alcuni dirigenti di ONG. Nel prosieguo della sua interrogazione il Deputato faceva un riferimento appunto a tale spyware dell’azienda Paragon e di come stesse minando la libertà di comunicazione e di informazione.

Nel proprio riscontro il Ministro dei Rapporti con il Parlamento, Luca Ciriani,  ha evidenziato che come tutte le intelligence del mondo, anche i servizi italiani, per arginare le organizzazioni terroristiche e criminali e tutelare la sicurezza nazionale, da molti anni fanno ricorso a strumenti come quelli prodotti e forniti dall’azienda Paragon Solutions. A seguire il Ministro sottolineava che il Governo non aveva spiato alcun giornalista, ma, casomai, era riuscito a salvarne più di uno, aggiungendo inoltre di voler denunciare chiunque in questi giorni abbia direttamente accusato di avere spiato i giornalisti.

Nella sostanza il Ministro Ciriani ammette l’utilizzo di spyware da parte dei servizi di intelligence, al pari di omologhi degli altri paesi, smentendo che giornalisti o altri soggetti siano stati sottoposti a monitoraggio da parte di qualsivoglia spyware, assumendo una posizione difensiva e minacciando le vie legali contro chiunque osi dire il contrario.

Cos’è uno spyware e come funziona

Gli spyware sono strumenti di sorveglianza molto potenti che possono infettare dispositivi mobili (principalmente smartphone) e accedere ad una vasta gamma di dati personali. Questo include comunicazioni criptate su app come WhatsApp e Signal, registrazioni audio ambientali, screenshot, file personali (foto, video, documenti) e localizzazione GPS in tempo reale.

Una delle caratteristiche più allarmanti dello spyware Graphite è la sua capacità di infettare i dispositivi con una interazione spesso inconsapevole dell’interessato, la cui sfera privata non potrà più definirsi tale. Graphitesfrutta vulnerabilità nel sistema operativo del telefono (spesso chiamate “zero-day exploits” – tecnica di cyberattacco che utilizza al meglio una falla di sicurezza sconosciuta o non risolta nel software, nell’hardware o nel firmware di un computer) per ottenere l’accesso.

In realtà il caso dello spyware Graphite per alcuni versi si può accostare a quanto vissuto nel periodo dei cd. “trojan di Stato” e dei captatori informatici. La denominazione tecnica del captatore informatico è “Trojan horse”, vale a dire un malware che viene inoculato in un device (ad esempio: smartphone, computer, tablet) della persona sottoposta alle indagini. Tale strumento permette il controllo da remoto di tutte le attività mediante il dispositivo target, violando eventuali difese ed introducendosi nello stesso. Una volta installato, il captatore informatico assumerà la gestione dell’intero sistema, superando i privilegi necessari al dialogo con l’hardware.

Differenze tra spyware e trojan

Sia spyware che trojan sono malware (software dannosi) e possono causare gravi problemi di sicurezza e privacy; lo spyware “spia” l’utente e ruba i suoi dati, mentre il trojan “apre la porta” a minacce esterne e può eseguire diverse azioni dannose, a danno del malcapitato interessato che non potrà più disporre della propria riservatezza.

Già all’epoca (2019) dei captatori informatici e del caso “Exodus” era emerso che l’utilizzo del captatore informatico può sconfinare in una vera e propria “cattiva gestione”, capace di arrecare danni e pregiudizi ai soggetti coinvolti ledendo la privacy di numerosi cittadini, a causa di un malfunzionamento del captatore.

Exodus era un malware utilizzato come captatore dal Ministero degli Interni e dai servizi segreti, noto alla cronaca a seguito di un’inchiesta del programma televisivo Report del 18 novembre 2019.

Intervenuto nel merito di Exodus, il Garante per la protezione dei dati personali aveva evidenziato come “…la notizia dell’avvenuta intercettazione di centinaia di cittadini del tutto estranei ad indagini giudiziarie, per un mero errore nel funzionamento di un captatore informatico utilizzato a fini investigativi, desta grande preoccupazione e sarà oggetto dei dovuti approfondimenti, anche da parte del Garante, per le proprie competenze. La vicenda presenta contorni ancora assai incerti ed è indispensabile chiarirne l’esatta dinamica”.

Sul caso di specie di Paragon e dello spyware Graphite il Garante Privacy è intervenuto nuovamente con un comunicato che non lascia spazio a fraintendimenti poiché rivolge un chiaro avvertimento “a tutti coloro che dovessero utilizzare lo spyware “Graphite”, della società israeliana Paragon Solutions ltd, o sistemi analoghi, o dovessero utilizzare le informazioni raccolte tramite questi software…(…)…L’Autorità ribadisce che le intercettazioni di comunicazioni elettroniche che non rientrano nelle finalità di sicurezza della Repubblica e di prevenzione, indagine, accertamento e perseguimento di reati, devono rispettare la normativa in materia di protezione dei dati personali.”

Mancanza di Trasparenza e Responsabilità

Strumenti come spyware e malware possono ragionevolmente porsi in quell’area grigia dal punto di vista legale ed etico; la mancanza di trasparenza nelle loro operazioni rende difficile stabilire gli esatti confini del funzionamento di questi software e una valutazione sulle responsabilità delle società che li creano o degli utilizzatori, per eventuali abusi.

La capacità di sorvegliare segretamente le comunicazioni e le attività digitali di individui può portare a gravi abusi di potere. Facilmente intuibile come le informazioni raccolte tramite Graphite potrebbero essere utilizzate per ricattare o intimidire le vittime, diffamare o screditarle pubblicamente, influenzando processi politici e comprimendo la libertà di espressione.

Paragon e rapporti con il Governo italiano

Nonostante le iniziali smentite della Autorità italiane, il contratto tra Paragon Solutions e il governo italiano risulta, allo stato attuale, sospeso per una serie di accertamenti sulla due diligence da parte dell’Agenzia per la Cybersicurezza Nazionale (ACN) e il Comitato Parlamentare per la Sicurezza della Repubblica (COPASIR); va ricordato che il COPASIR è un organo del Parlamento della Repubblica Italiana che esercita il controllo parlamentare sull’operato dei servizi segreti italiani ai sensi dell’articolo 31 della Legge 3 agosto 2007, n. 124 mentre l’ACN assicura la sicurezza cyber del nostro paese.

Nel merito della “due diligence”  si evidenzia che è un’attività di controllo tesa ad approfondire dati e informazioni relativi all’oggetto di una trattativa. Il fine di questa attività è valutare la convenienza di un affare, identificandone i relativi rischi e problemi connessi. Nelle fitte trame della vicenda emerge una certezza: Paragon Solution e Governo italiano avevano stipulato un contratto.