😱 PARAGON e PEGASUS: cosa sono e perché ne parlano tutti

Nel 2013, quando Edward Snowden ha rivelato l'esistenza dei programmi di sorveglianza di massa della NSA, è diventato chiaro a tutti che i governi avevano iniziato a intuire le potenzialità della tecnologia per spiare avversari politici, dissidenti, criminali e anche cittadini comuni. Per un breve periodo dopo quelle rivelazioni è sembrato che la situazione potesse migliorare. Sembrava davvero che i governi avessero capito che la sorveglianza attuata rappresentava un abuso di potere inaccettabile. Eppure, Contemporaneamente, nei laboratori israeliani, dei ricercatori stavano lavorando a un software che avrebbe trasformato ogni smartphone in un agente segreto, ogni messaggio crittografato in un libro aperto, ogni vita privata in un fascicolo governativo. Stavano per nascere Pegasus e Paragon, due strumenti destinati a riempire i notiziari per molto, molto tempo. Ma per capire bene l'argomento dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Ho scelto di trattare congiuntamente i due argomenti Pegasus e Paragon perché sono strettamente legati, al punto che anche i giornali quando parlano dell'uno inevitabilmente menzionano anche l'altro. In realtà si tratta di due software creati da due diverse aziende, anche se entrambe israeliane, che si comportano in modo leggermente diverso. Partiremo da Pegasus, che è stato sviluppato per primo, e vedremo poi Paragon, che ha fatto più notizia in Italia e che come vedremo deve molto della sua filosofia ai successi e agli errori di Pegasus. Torniamo un attimo indietro al 2010. Barack Obama è presidente degli Stati Uniti, l'iPhone 4 ha appena rivoluzionato il concetto di smartphone, WhatsApp muove i primi passi come alternativa agli SMS e il mondo è appena stato scosso dalla scoperta di Stuxnet, un malware che come si scoprirà poi in seguito era stato creato da Stati Uniti e Israele come arma da usare contro l'Iran. In questo anno particolarmente interessante dal punto di vista tecnologico, un gruppo di ex membri dell'Unità 8200 dell'intelligence militare israeliana fonda una piccola azienda a Herzliya, una città costiera a nord di Tel Aviv. Giusto per capirci, l'Unità 8200 non è un'unità qualunque, è il cuore pulsante dell'intelligence tecnologica israeliana, è l'equivalente della NSA americana. Tanto che in effetti era stata proprio la collaborazione fra NSA da un lato e Unità 8200 dall'altro a portare alla nascita di Stuxnet. L'azienda che gli ex membri dell'Unità 8200 fondano nel 2010, che chiamano NSO Group— io la chiamerò anche NSO per comodità— nasce ufficialmente come fornitore di soluzioni di intercettazione legale. Una definizione, direi, quasi rassicurante, che evoca procedure giudiziarie trasparenti, controlli democratici. La in realtà si rivelerà poi ben diversa. Nel 2011 questa azienda sviluppa uno spyware che chiama Pegasus. Il software viene proposto alle autorità e ai governi dei vari stati come un prodotto pronto all'uso, chiave in mano, per intercettare e spiare criminali indagati. Il funzionamento era molto semplice e richiedeva un'interazione da parte del bersaglio veramente minima. La vittima riceveva un SMS contenente un link apparentemente innocuo, come una falsa notifica di una violazione dell'account, oppure oppure un messaggio che sembrava provenire da un servizio legittimo o addirittura da qualcuno che la vittima conosceva. Appena cliccava su questo link, il telefono diventava un vero e proprio strumento nelle mani degli investigatori, che potevano governare il malware da un'interfaccia simile a un centro di controllo. Tramite Pegasus potevano fare sul telefono letteralmente tutto quello che poteva fare l'utente, e anche qualcosa di più. Potevano leggere ogni messaggio inviato, ricevuto, anche quelli crittografati, perché avevano accesso direttamente allo schermo del telefono. Telefono, quindi li vedevano mentre venivano scritti, mentre venivano ricevuti. La crittografia contro una cosa del genere non poteva fare nulla. Potevano accedere a tutte le foto, anche quelle cancellate, perché questo spyware aveva funzioni che permettevano di scavare a fondo nella memoria del dispositivo e recuperare ogni traccia possibile. Poteva vedere la cronologia di navigazione, accedere ai dati del GPS per sapere esattamente dov'era stato l'utente e quando. Poteva attivare il microfono e registrare tutto quello che succedeva nell'ambiente circostante, attivare anche la fotocamera, scattare foto, registrare le telefonate, le videochiamate. Tutto questo in modo praticamente invisibile. Pegasus era progettato per non lasciare tracce. Non rallentava il telefono, non consumava batteria in modo anomalo, non causava comportamenti strani. Insomma, l'utente non aveva praticamente modo di accorgersene. Inizialmente il gruppo NSO commercializzò Pegasus come uno strumento per combattere il terrorismo e la criminalità grave. I primi clienti furono infatti governi approvati dallo Stato di Israele che avevano intenzione di utilizzarlo per operazioni antiterrorismo o anticriminalità legittime. Il problema era che per essere redditizio Pegasus doveva essere venduto a quanti più clienti possibile, e non tutti i clienti avevano le stesse intenzioni nobili. Piano piano la lista dei paesi autorizzati ad acquistare Pegasus si allungò: Arabia Saudita, Emirati Arabi Uniti, Marocco, Azerbaijan, India, Messico, Ungheria, Polonia. Alcuni di questi paesi erano seriamente intenzionati a utilizzarlo per scopi legittimi. Altri invece avevano scopi non esattamente in linea con il rispetto dei diritti umani o il concetto di indipendenza del sistema giudiziario. È qui che inizia la vera storia di Pegasus, nato come strumento di intercettazione di criminali e terroristi, due concetti comunque abbastanza manipolabili, dobbiamo dircelo, che diventerà in breve il simbolo della sorveglianza autoritaria globale. In ogni caso, nel primo periodo di commercializzazione di questo software, la lista dei paesi che avevano acquistato restò abbastanza limitata. La svolta commerciale di Pegasus fu segnata da due circostanze ben precise e collegate fra loro. La prima risale al 2013, quando Edward Snowden rivelò al mondo l'esistenza di programmi di sorveglianza di massa che fino a quel momento sarebbero sembrati frutto della mente di un complottista. Con strumenti come PRISM, X-Keyscore, di cui ho già parlato nel video dedicato proprio a Snowden, improvvisamente le persone, soprattutto in America, iniziarono a sentirsi costantemente spiate. Osservate. I giornali non mancarono di trovare analogie fra il quadro emerso dopo queste rivelazioni e il mondo distopico descritto nel libro 1984 di Orwell, alimentando in questo modo il clima di sfiducia nei confronti dei governi. La seconda circostanza che aumentò la diffusione di Pegasus in realtà è direttamente conseguente alle dichiarazioni di Snowden. Le aziende tecnologiche come Apple, Samsung, Google, WhatsApp, Meta, pressate dall'opinione pubblica e dalla volontà ovviamente di non perdere i propri utenti nei mesi e negli anni successivi alle dichiarazioni corsero ai ripari implementando varie soluzioni. WhatsApp ad esempio introdusse la crittografia end-to-end su tutti i messaggi, prima solo per Android e poi anche su iOS. Nacque Signal, l'app di messaggistica che dichiara di crittografare tutto, di non conservare nessun metadato degli utenti e di proteggere al 100% la privacy degli utilizzatori. I servizi email come Outlook, Gmail e compagnia bella iniziarono iniziarono a loro volta ad aumentare la riservatezza delle comunicazioni, e così via. In questo contesto di aumento della protezione, i governi si ritrovarono praticamente disperati. Non potevano più intercettare le comunicazioni come se niente fosse. Prendiamo ad esempio WhatsApp. Prima della crittografia end-to-end, i messaggi che transitavano sul server di WhatsApp erano in chiaro. Quindi se io voglio scrivere a mia mamma, mando un messaggio a mia mamma, il messaggio prima passa sui server di WhatsApp, e in quei server sono in chiaro, cioè è perfettamente leggibile ogni mio messaggio e poi dal server viene inviato a mia mamma. Se un governo avesse voluto spiarmi, gli bastava ordinare a WhatsApp di consegnare tutti i miei messaggi e in questo modo poteva leggere tutto quello che voleva. Con la crittografia end-to-end anche i messaggi che transitano sul server di WhatsApp sono cifrati, perché vengono cifrati già dal mio dispositivo e può decifrarli solo il dispositivo del destinatario. Quindi se io scrivo a mia mamma, il messaggio parte già cifrato, arriva sul server di WhatsApp in modo illeggibile, arriva nel cellulare di mia mamma e il cellulare di mia mamma è in grado di decifrare il messaggio, quindi lei è in grado di leggerlo. Con questo tipo di crittografia, anche se WhatsApp consegna i messaggi alle forze dell'ordine, queste non sono in grado di leggerli perché sono cifrati. Anche WhatsApp dichiara di non riuscire a leggerli. In linea generale, dopo l'introduzione di queste protezioni, i governi, le agenzie di intelligence, le forze dell'ordine, insomma tutte le autorità che possono svolgere attività di indagine, capirono a quel punto di non poter più fare affidamento sulle aziende tecnologiche tecnologiche per essere aiutati, perché le aziende stesse dichiaravano di non poter più mettere mano alle comunicazioni e ai dati degli utenti. Serviva quindi qualcosa di più, uno strumento più invasivo, che guarda caso esisteva già, ed era proprio il nostro caro Pegasus. Pegasus quindi, come dicevo, inizia ad avere una svolta commerciale, a essere acquistato in modo molto più massiccio da molti più governi, anche perché comunque la società aveva un po' lasciato andare le redini di controllo di chi lo acquistava. Quindi diciamo che chiudeva un occhio se un governo che voleva acquistarlo non era propriamente nella lista degli alleati di Israele, o comunque non era un paese democratico con leggi a protezione dei diritti umani. Chiaramente, se un software di questo tipo si diffonde, è scontato che inizi a essere usato anche per scopi meno etici. E se inizia a essere usato in modo massiccio per scopi poco etici, è scontato anche che qualcuno prima o poi si accorga di essere spiato. Ed è proprio quello che succede a luglio del 2016, quando Ahmed Mansour, un attivista per Diritti Umani degli Emirati Arabi Uniti riceve sul suo iPhone alcuni SMS che lo insospettiscono. Questi SMS contenevano un link. Invece di cliccarci sopra, decide di contattare i ricercatori di Citizen Lab, un laboratorio di ricerca dell'Università di Toronto specializzato nel monitoraggio delle tecnologie di sorveglianza. Dall'analisi di Citizen Lab viene fuori che quegli SMS contenevano una catena di 3 vulnerabilità di sicurezza, catena poi soprannominata Trident, che avrebbe permesso a chi li aveva inviati inviati di prendere il controllo completo dell'iPhone di Mansour senza che lui se ne accorgesse. Bastava che lui cliccasse sul link. Citizen Lab a quel punto inizia a indagare sulla provenienza degli SMS e alla fine, il 24 agosto 2016, pubblica un rapporto dettagliato che rivela al mondo l'esistenza di NSO Group e del suo spyware. Il problema ovviamente non era lo spionaggio governativo in sé, il problema era che Mansour era chiaramente nel mirino del governo degli Emirati per le sue attività attività di difesa dei diritti umani. Non era un terrorista, un criminale, era semplicemente qualcuno che osava criticare il proprio governo. E per questo avevano deciso di tenerlo d'occhio molto da vicino. A questo punto, l'azienda NSO, secondo voi, che cosa impara da questa vicenda? Impara che forse è meglio non fornire il software a cani e porci, ma assicurarsi che venga usato solo per scopi legittimi, rispettosi dei diritti umani? No, No, impara che è meglio che l'infezione del telefono avvenga in un modo più subdolo, perché questo caso aveva dimostrato che qualcuno poteva accorgersi che il link aveva qualcosa di strano e decidere quindi di non cliccare. A quel punto l'azienda inizia quindi a lavorare a una nuova versione di Pegasus, che passa dall'essere un malware one click, quindi che richiedeva una sola interazione dell'utente per funzionare, all'essere un malware zero click, in grado di infettare il telefono senza che l'utente facesse nulla. In pratica gli ingegneri della NSO avevano deciso di eliminare completamente l'elemento umano dall'equazione. D'altronde, perché dover dipendere dalla curiosità o dall'ingenuità della vittima quando si può installare il malware in modo diretto? Iniziano dunque a esplorare varie tecniche di exploit zero-click, quindi tecniche per sfruttare delle vulnerabilità ed entrare senza avere nessuna interazione dell'utente. Una di queste tecniche sfruttava una vulnerabilità di WhatsApp e nel 2019 riuscì a infettare circa 1.400 200 dispositivi in tutto il mondo. Bastava chiamare il bersaglio designato su WhatsApp, fare un solo squillo e interrompere la telefonata. Il telefono in questo modo veniva infettato immediatamente. Non scendo nei dettagli tecnici del funzionamento, che sono veramente molto sofisticati, avanzati, ma per farvi capire: quando chiamiamo qualcuno stiamo inviando delle informazioni a quel dispositivo dicendo, ad esempio, sono Veronica, ho questo numero e sto telefonando. Bene, le chiamate WhatsApp inoltrate da Pegasus contenevano, oltre a queste informazioni, quindi c'è questo numero che sta cercando di chiamare, anche un pacchettino che inoculava lo spyware nel dispositivo. Quindi il cellulare del bersaglio riceveva, oltre alle informazioni normali, anche un pacchettino in più che serviva appunto a installare lo spyware. Una volta dentro, la prima cosa che Pegasus faceva, ma nel giro veramente di una frazione di secondo, era eliminare la chiamata persa dal registro di WhatsApp. Cioè, vi rendete conto che nel giro di 3 secondi il bersaglio veniva infettato e non si poteva nemmeno accorgere di niente, neanche della chiamata persa perché veniva cancellata. Questo, come dicevo, era uno dei modi in cui si poteva installare Pegasus, ma non era l'unico. Un altro metodo prendeva di mira iMessage, che è il servizio di messaggistica di Apple, considerato uno dei più sicuri al mondo. E qui ribadisco quanto detto nell'ultimo video, quando vi ho detto: mi raccomando, non è che solo perché avete un iPhone siete automaticamente al sicuro da tutto. Anche gli iPhone hanno dei punti di accesso, delle vulnerabilità. La vulnerabilità di iMessage sfruttata è quella che serve per mostrare l'antenna anteprima di un file inviato via messaggio. Il bersaglio quindi riceve quello che sembra un SMS con un documento normale, quindi una fattura, un comunicato stampa, una foto. E nel momento stesso in cui iMessage si mette a elaborare in modo automatico il file per mostrare una piccola anteprima al destinatario, Pegasus si infiltra nel sistema. Per fare un'analogia un po' forte, ma che secondo me rende veramente tanto l'idea di invasività di Pegasus, è come se qualcuno riuscisse a entrare in casa vostra semplicemente spiando all'interno della vostra cassetta delle lettere. Pesante, eh? Questi due che ho citato sono i due exploit più noti, ma non sono gli unici. Sono state sfruttate vulnerabilità anche di Gmail, di Outlook, di Dropbox, di FaceTime, di Facebook, e probabilmente anche altre che non sono mai state scoperte. E ora vi starete chiedendo: ma scusa, se nel 2016 Pegasus era stato scoperto, nessuno ha fatto nulla per fermarlo? È andato avanti come se niente fosse? In realtà no, sono state avviate in effetti delle indagini, soprattutto da giornalisti organizzazioni indipendenti. Prima fra tutte proprio Citizen Lab. Unendo le forze, un gruppo di 17 testate giornalistiche internazionali coordinate da Amnesty International a luglio 2021 pubblica un'inchiesta che diventerà nota come Pegasus Project. Al centro dell'inchiesta c'è una lista di 50.000 numeri di telefono intestati a bersagli di Pegasus selezionati dai clienti di NSO in diversi paesi del mondo. La lista è composta fra gli altri dai numeri di giornalisti investigativi che che stavano indagando magari sulla corruzione governativa, di avvocati che difendevano prigionieri politici, di attivisti per i diritti umani che lavoravano in paesi autoritari, persino di capi di stato e membri di famiglie reali di paesi considerati alleati. Fra i nomi indicati nella lista, quello che forse fece più scalpore fu quello di Emmanuel Macron, già all'epoca presidente della Francia, che era nella lista presumibilmente in quanto bersaglio del Marocco. Oltre a lui, anche altri 14 capi di stato, per lo più africani, erano stati selezionati per di sorveglianza. Uno dei casi più eclatanti emersi dal Pegasus Project riguardò il Messico, che a quanto pare era uno dei migliori clienti del gruppo NSO. Il governo messicano aveva acquistato Pegasus per un valore di oltre 60 milioni di dollari e lo aveva usato in modo così sistematico da diventare un vero e proprio caso di studio dell'abuso di spyware da parte dei governi. Anche qui, ormai l'avrete capito, i bersagli includevano giornalisti che investigavano sulla corruzione, avvocati che rappresentavano famiglie di vittime di violenza, e— scienziati che studiavano l'impatto sanitario delle bibite gassate, dopo che avevano pubblicato magari delle ricerche che potevano danneggiare l'industria delle bevande. Se il Messico è l'emblema dell'abuso di Pegasus all'interno del paese, quindi per spiare cittadini messicani, l'Arabia Saudita è invece il simbolo dell'abuso dello spyware anche al di fuori dei confini nazionali, per tracciare e perseguitare degli oppositori che vivevano all'estero. Ricorderete sicuramente il caso di Jamal Khashoggi, il giornalista ucciso nel consolato saudita di Istanbul nell'ottobre 2018. Le indagini successive rivelarono che i cellulari di persone vicine a Khashoggi, inclusa la moglie, erano stati infettati da Pegasus nei mesi precedenti e successivi all'omicidio. Non sappiamo se i dati raccolti da Pegasus abbiano contribuito direttamente alla pianificazione del reato, ma la coincidenza temporale francamente lascia un po' poco spazio all'immaginazione. Non crediate in tutto questo che l'Europa sia rimasta a guardare mentre il resto del mondo acquistava Pegasus e lo usava per folleggiare con italiani, telefoni degli attivisti. Dal Pegasus Project è emerso senza ombra di dubbio che anche Polonia e Ungheria avevano usato lo spyware contro oppositori politici interni. È stato trovato Pegasus nel telefono di un senatore dell'opposizione polacca, fra l'altro proprio durante una campagna elettorale, e in quelli di giornalisti investigativi ungheresi che ancora una volta stavano indagando sulla corruzione governativa. In ogni caso, la pubblicazione del Pegasus Project scatenò un bel parapiglia. Gli stati coinvolti negarono, minimizzarono, promisero test, ma di fatto era venuto fuori ancora una volta, pochi anni dopo il caso Snowden, che i governi erano in grado di sorvegliare chi volessero e che usavano questo potere non solo contro veri criminali, veri indagati di reati gravi, ma anche contro persone che semplicemente erano scomode. A novembre del 2021 il Dipartimento del Commercio degli Stati Uniti inserì il gruppo NSO nella lista nera delle aziende, quella che contiene tutte le aziende considerate una minaccia per la sicurezza nazionale americana. È una mossa che di fatto taglio fuori NSO Group dal mercato tecnologico americano e in questo modo rese estremamente difficile per l'azienda accedere a tecnologie e componenti cruciali. Nel frattempo sia la società Facebook, che all'epoca forse era già diventata Meta o lo stava per diventare in quanto proprietaria di WhatsApp, sia la Apple avevano intentato cause legali contro il gruppo NSO, accusandolo di aver violato i loro sistemi e messo a rischio la sicurezza dei loro utenti. Apple rinuncerà poi alla causa nel 2024 nel 2004 per motivi non del tutto chiariti, ma apparentemente ricollegati alla volontà di evitare di rendere note informazioni anche tecniche relative alle misure di protezione dei sistemi. Mentre la causa fra Meta e NSO si è conclusa il 7 maggio di quest'anno a favore di Meta, con la condanna di NSO di versarle 167 milioni di dollari come risarcimento. Tornando al 2021, ovviamente le scoperte del Pegasus Project causarono un danno reputazionale non indifferente alla società che l'aveva L'azienda, con un valore superiore al miliardo di dollari, improvvisamente si trovò sull'orlo del fallimento. Licenziò centinaia di dipendenti, cercò disperatamente nuovi investitori e tentò di reinventare la propria immagine. Ma la sua reputazione e i suoi rapporti commerciali erano ormai compromessi per sempre. Anche perché i governi che avevano utilizzato Pegasus in passato stavano cercando di recuperare la fiducia dei cittadini, e gli altri si guardavano bene dall'essere coinvolti a loro volta in uno scandalo di questo tipo. Intervenne anche il governo israeliano, probabilmente anche per via di un po' di pressing da parte degli alleati occidentali, iniziò a rivedere le proprie politiche di export per le tecnologie di sorveglianza, riducendo drasticamente la lista dei paesi autorizzati ad acquistare spyware e prodotti simili all'esterno di Israele. Nel frattempo, nel 2019, in un momento in cui il gruppo NSO era ancora al culmine del suo successo ma i primi segnali di crisi iniziavano a farsi sentire, altre persone stavano iniziando a lavorare a un altro progetto praticamente identico. Questo gruppo era capitanato da due personalità molto importanti in Israele, ovvero Ehud Barak, ex primo ministro, ex ministro della difesa, uno dei politici più influenti nella storia di Israele, ed Ehud Shnerson, ex comandante dell'Unità 8200. Se vi ricordate, anche l'NSO Group era formato da ex membri dell'Unità 8200, che appunto è l'unità militare tecnologica israeliana. Bene, questo nuovo gruppo si accorge che Pegasus sta stanno andando molto bene, gli stati lo acquistano, l'idea funziona e decide di fare in pratica la stessa cosa, cioè commercializzare uno spyware da utilizzare per finalità di indagine contro criminali e terroristi. Non volendo però ripetere gli errori di Pegasus, perché se vi ricordate già nel 2016 era stato scoperto l'utilizzo di Pegasus anche per spiare degli attivisti per diritti umani, questo gruppo decide di fare una cosa leggermente diversa. Nasce così la società Paragon Solutions, che per differenziare il proprio spyware da quello dell'NSO Group decide di essere più selettiva con i suoi clienti e di dichiararsi più rigorosa nei controlli sull'utilizzo dello strumento. In pratica propone il proprio prodotto, che chiamerà Graphite, come un Pegasus più etico. Per rendere più credibile questa visione, la Paragon apre una filiale negli Stati Uniti e prende con sé anche degli ex dirigenti della CIA e di altre agenzie americane. La strategia commerciale sostanzialmente è quella di far passare la Paragon non tanto come un'azienda israeliana che vende spyware, ma come una parte dell'ecosistema di sicurezza occidentale. E in effetti si rivolge solo a determinati paesi democratici con leggi per la tutela dei diritti umani, per l'indipendenza della magistratura, per il corretto svolgimento delle indagini, come gli Stati Uniti, l'Italia, il Canada, Singapore, l'Australia, eccetera eccetera. Anche il funzionamento stesso del malware è diverso rispetto al prodotto di NSO Group. Graphite, almeno in inizialmente si presenta come più limitato rispetto a Pegasus. Mentre Pegasus può fare praticamente qualunque cosa con un telefono infetto, Graphite si concentra principalmente sull'accesso alle comunicazioni cifrate. Invece di mettere il telefono del bersaglio nelle mani del cliente e trasformarlo quindi anche in una cimice ambientale completa, Graphite si limita a estrarre messaggi, chat, email e dati di backup conservati in cloud. A livello di indagini, volendo fare un'analogia, se Pegasus è paragonabile a una perquisizione domiciliare completa, Graphite è paragonabile al semplice sequestro della corrispondenza. E questo era stato fatto anche per convincere i governi ad acquistarlo. Se vi ricordate, ho detto poco fa che dopo le rivelazioni di Snowden del 2013, le aziende tecnologiche avevano iniziato a introdurre strumenti per crittografare le comunicazioni, impedendo quindi la possibilità prima esistente per i governi di intercettare i messaggi e le comunicazioni email durante le indagini. La paragon con Graphite proponeva una soluzione a questo problema tornando semplicemente allo status quo precedente, cioè alla situazione per cui in caso di bisogno durante le indagini su crimini gravi e terrorismo i governi e le forze dell'ordine avevano la possibilità di leggere le comunicazioni inviate via messaggio e via mail dagli indagati. Quindi all'eventuale domanda "ma sarà legale infettare il telefono di un criminale con un malware per leggere le chat?" Paragon poteva rispondere rispondere: scusa, ma prima lo facevate pure, no? Se estrarre le chat di un criminale era legale prima, lo è anche adesso, perché il nostro malware non fa niente di più. La strategia di Paragon si rivelò vincente. Nel 2022 il New York Times rivela che la DEA, l'agenzia antidroga americana, aveva già utilizzato Graphite in operazioni di indagine anche all'estero. Nel 2023 poi emerse che anche la ICE, l'agenzia americana per l'immigrazione e le dogane, aveva firmato un contratto da 2 milioni di dollari con Paragon. Tutto questo nei 2 anni successivi al ban di Pegasus negli Stati Uniti. Quindi nel 2021, mentre la NSO Group era stata messa in lista nera, la Paragon diventava uno strumento di punta per le investigazioni condotte da agenzie americane. Cosa che fa capire quanto anche agli occhi dei governi fossero concepiti come 2 strumenti diversi. Scendendo un attimo nel tecnico, vi ho detto più o meno come funziona Graphite, cioè che si limita a estrarre le chat e non ha le funzionalità aggiuntive di Pegasus, tipo l'attivazione di fotocamera e microfono. Ma non vi ho detto come infetta i telefoni. Su questo non ha nulla da invidiare al cugino di NSO Group. Anche Graphite sfrutta vulnerabilità di tipo zero-click, quindi può insinuarsi nel telefono senza che il bersaglio debba fare nulla. Inoltre anche Graphite sfrutta una vulnerabilità di WhatsApp molto simile a quella utilizzata da Pegasus su iMessage. In pratica la vittima viene inserita in un gruppo WhatsApp in cui viene inviato un file PDF apparentemente innocuo, e quando WhatsApp elabora automaticamente il file per mostrare l'anteprima, Graphite si infiltra nell'app e da lì va nel resto del sistema. Una volta installato può estrarre tutti i messaggi da WhatsApp, Telegram, Signal e altre app di messaggistica, può accedere ai backup salvati in cloud e scaricare cronologie di messaggi che risalgono anche ad anni prima, e può chiaramente anche intercettare nuovi messaggi in tempo reale mentre arrivano. Tutto qui, giusto? E invece il gruppo di ricerca Citizen Lab inizia a indagare anche su Graphite e scopre che, guarda caso, il malware contiene funzionalità che vanno ben oltre la semplice estrazione delle chat. Analizzando il codice di Graphite è venuto fuori che lo spyware può anche attivare il microfono, scattare foto e raccogliere informazioni sulla posizione. In pratica le capacità limitate di Graphite si rivelano essere una differenza più di marketing che tecnica, nel senso che anche se Paragon lo propone come prodotto fatto solo per estrarre messaggi, di fatto l'acquirente può usarlo come se fosse un Pegasus 2.0. E il problema è proprio questo: non si può dare un'arma in mano a qualcuno e dirgli "oh però usala solo per sparare a delle lattine" e poi far finta di niente se con quell'arma qualcuno si fa male. Se consegni uno spyware in grado di fare di tutto su un telefono, non serve a niente dire "no ma come prodotto nasce solo per spiare le chat dei super criminali" perché il governo che lo acquista può 1) usarlo contro chi vuole e 2) usare anche le funzionalità aggiuntive che manco dovrebbero essere presenti. Ed è quello che apparentemente è successo in Italia all'inizio di quest'anno. E veniamo al clou della questione, cioè perché da noi si parla così tanto di Paragon. A gennaio 2025 WhatsApp fa un annuncio e dice pubblicamente di aver scoperto e bloccato lo spyware Graphite che aveva preso di mira circa 90 utenti in 20 paesi diversi. WhatsApp non si limita a questo, ma in collaborazione con Citizen Lab, invia anche notifiche alle vittime e pubblica i dettagli tecnici dell'attacco. Il problema qual è, dal momento che si tratta di uno spyware legittimo venduto solo a paesi democratici e usato solo per indagini lecite compiute nel pieno rispetto dei diritti umani? Il problema è che nella lista dei clienti di Paragon c'erano anche paesi a cui teoricamente Paragon non avrebbe mai dovuto vendere lo spyware. E fra le vittime, ancora ancora una volta c'erano attivisti per i diritti umani, giornalisti e membri di organizzazioni non governative. Esattamente il tipo di bersagli che Paragon aveva promesso di non colpire mai. Tra i 90 utenti a cui WhatsApp ha notificato l'attacco a gennaio 2025, 7 sono italiani. Alcuni di questi fanno un passo avanti e denunciano pubblicamente la cosa, dal momento che non essendo criminali e non essendo indagati, questa intercettazione è del tutto illegale. I 3 nomi che fanno più scalpore sono Francesco Cancellà, il direttore di fanpage.it, il sito di informazione online noto per le sue inchieste anche contro l'estrema destra italiana, e Luca Casarini e Beppe Caccia, che sono invece figure di spicco della ONG Mediterranea Saving Humans, che ha lo scopo di salvare migranti in difficoltà dispersi in mezzo al mare. Il punto è che tutti e tre hanno posizioni critiche nei confronti del governo di Giorgia Meloni, ed è per questo che immediatamente si sospetta una violazione della Costituzione, precisamente dell'articolo 21, che legittima libertà di pensiero e di critica. Perché va da sé che, anche se infettarli con un malware non equivale a censurarli, la cosa può passare un po' come una rappresaglia. Dopo alcune analisi tecniche, la conferma: i loro telefoni sono infetti da Graphite. La reazione iniziale del governo italiano è di negazione totale. L'ufficio della premier Giorgia Meloni diffonde una nota che dice categoricamente che né i servizi segreti né il governo hanno alcun ruolo nelle presunte intercettazioni ai danni del giornalista e i due attivisti. Le negazioni ufficiali non servono però a fermare lo scandalo. L'opposizione ovviamente inizia a premere e a chiedere spiegazioni. I giornalisti iniziano a scavare, la magistratura apre indagini preliminari. Per qualche mese resta tutto un po' fermo e in sospeso. Il governo continua a negare. Ancora una conferma ufficiale che lo spyware sia stato messo su ordine delle autorità italiane non c'è. Quindi si aspetta, si fanno congetture e si vive un po' nell'attesa che arrivi una risposta definitiva. Questa risposta arriva il 5 giugno 2025 e forse non era proprio quella che ci saremmo aspettati. In questa data il COPASIR, il Comitato Parlamentare per la Sicurezza della Repubblica, pubblica un rapporto che smentisce tutte le negazioni precedenti. Per la prima volta lo Stato italiano ammette ufficialmente di aver utilizzato lo spyware Graphite. In particolare viene fuori che effettivamente sono stati stipulati dei contratti con Paragon nel 2023 e nel 2024 per operazioni relative a ricerca di latitanti, contrasto all'immigrazione illegale, terrorismo, crimine organizzato, traffici di carburante e controspionaggio. Tutte operazioni per le quali, secondo la normativa italiana, l'intercettazione delle comunicazioni è ammessa. Nel rapporto c'è anche la conferma ufficiale che Luca Casarini e Beppe Caccia, i due attivisti della ONG Mediterranea, sono stati effettivamente sorvegliati con GraphEye. Però secondo il rapporto non in quanto attivisti per i diritti umani, ma in riferimento all'attività potenzialmente collegate all'immigrazione illegale, reato per cui è ammessa l'intercettazione anche mediante captatore informatico, che tradotto dal legalese significa spyware. Va detto che la normativa si riferisce a strumenti usati dalla magistratura, quindi sotto un controllo giudiziario, non a spyware usati dai servizi segreti in operazioni di intelligence. Quindi comunque anche su questo adesso il dibattito è ancora aperto, soprattutto per quanto riguarda l'utilizzabilità in giudizio delle eventuali prove raccolte grazie al graphite. Comunque, tornando alla nostra storia, il COPASIR pubblica il proprio rapporto, ammette che sono state spiate queste persone, ma dice che è stato fatto tutto nel rispetto della legalità, che erano indagati per reati per cui le intercettazioni sono ammesse, e quindi è tutto a posto. Anche questa ammissione comunque non ha dipanato tutti i dubbi, perché le persone si sono chieste: ma c'è per forza è un collegamento automatico fra le attività di soccorso in mare e l'immigrazione illegale? Mediterranea Saving Humans è una ONG che opera alla luce del sole, con operazioni documentate e pubbliche. Se vogliono portare qualcuno in Italia per curarlo, cose simili, normalmente lo dichiarano pubblicamente, non lo tengono nascosto. Quindi c'era davvero bisogno di installare un malware così invasivo sui telefoni di caccia e casarini? E qui chiaramente si è aperto un dibattito che è ancora aperto e probabilmente non si chiuderà mai fra le due fazioni, di chi ritiene che salvare vite umane venga soprattutto, e di chi ritiene che l'Italia abbia già avuto dei problemi con l'immigrazione irregolare e quindi ci dovrebbero essere delle barriere all'ingresso. Ma il dubbio più persistente è un altro. Ammettiamo di poter comprendere lo spionaggio di queste due figure, perché comunque appunto c'erano delle indagini in corso, è ammesso l'utilizzo di captatore informatico in caso di indagini per questi reati, e quindi questo lo possiamo anche capire. Ma come si giustifica la presenza di Graphite sul cellulare di Cancellato, il dell'autore di Fanpage. Il rapporto COPASIR dice che non c'è alcuna autorizzazione interna per lo spionaggio di Cancellato, e che non è stata infatti trovata nessuna traccia informatica e non che possa far pensare che effettivamente il giornalista fosse monitorato da un'autorità italiana. Sostanzialmente quindi il COPASIR dice: ok, Cancellato è spiato, ma non è spiato da noi, non è spiato dall'Italia, è spiato da qualcun altro. Le domande da porsi qui ovviamente sono due. La prima è: è vero quello che emerge dal rapporto? La seconda è: se è vero, chi sta spiando? Un'altra nazione? Per quale scopo? Oggi, 26 luglio 2025, una risposta ancora non ce l'abbiamo. Vedremo se col passare del tempo verrà fuori altro. Fra l'altro, il suo non è l'unico nome emerso come bersaglio di Graphite nell'ambito del giornalismo italiano, perché negli ultimi mesi sono venuti fuori anche i nomi di Ciro Pellegrino, che lavora sempre per Fanpage, e di Roberto D'Agostino, che è il direttore di DagoSpia. Anche su questi due nomi il COPASIR non ha dato una risposta, quindi rimangono aperti gli stessi dubbi che valgono per Cancellato. Ma in tutto questo la Paragon come si è comportata? La Paragon Solutions, che si era venduta come azienda super etica che forniva spyware solo a chi l'avrebbe usato in modo perfettamente legale, dopo lo scandalo italiano inizia un po' a traballare, visto quello che pochi anni prima era successo a Pegasus per motivi praticamente identici. A quel punto per salvarsi decide di prendere nettamente le distanze dal nostro paese e interrompe unilaterale unilateralmente il contratto di fornitura dello spyware, dicendo che l'Italia aveva violato i termini contrattuali che proibivano espressamente l'uso di Graphite contro giornalisti e membri della società civile. In realtà poi non si è capito benissimo chi ha interrotto il contratto, perché l'Italia sostiene di aver chiuso il contratto a seguito delle polemiche mediatiche, mentre Paragon afferma di aver smesso di fornire lo spyware non appena ricevuta la notizia del targeting di giornalisti e attivisti. È probabile che la verità stia nel mezzo. Secondo me Per me Paragon ha chiuso il contratto per proteggere la propria reputazione, ma il governo italiano ha accettato per evitare ulteriori imbarazzi diplomatici. Visto che ci avviciniamo alla chiusura del video, vorrei che ci lasciassimo con una riflessione che nasce proprio da un confronto fra Pegasus e Paragon, o meglio Graphite, visto che il prodotto si chiama così. Sono due software praticamente identici, nati entrambi in Israele, entrambi da aziende fondate da ex membri dell'Unità 8200, già nota per lo scandalo Stuxnet, entrambi pensati per fornire ai governi uno strumento per intercettare criminali e terroristi, ed entrambi usati in realtà per scopi meno etici rispetto a quelli per cui erano stati venduti. Eppure, da una parte Pegasus è stato ritenuto il mal assoluto, bannato dagli States, inutilizzabile nei paesi democratici. Anche la società che l'ha creato è ancora in piedi, ma un po' a stento. Paragon, dall'altra parte, è ritenuto l'emblema dello spyware etico, espressione che sembra un po' uno simoro in realtà, e si è salvato dagli scandali prendendo distanze da chi, a suo parere, aveva utilizzato male lo strumento. La questione si sposta sicuramente su un piano quasi filosofico. Da un lato, è ragionevole che degli stati, anche i più democratici, abbiano bisogno di uno strumento come Graphite per combattere il crimine organizzato e il terrorismo, che oggi usano tecnologie molto avanzate. Quindi, se vogliamo sperare che i buoni abbiano qualche chance di fermare chi compie crimini gravi, dobbiamo accettare che siano utilizzati anche degli strumenti così pervasivi. Positivi. Dall'altro lato, la natura stessa di questi software li rende estremamente difficili da controllare. Sono segreti per definizione, operano nell'invisibilità, sfuggono quindi alla supervisione pubblica. E viene da porsi la classica domanda: chi controlla i controllori? Chi ci dice che verranno sempre usati solo per scopi etici? Chi decide chi è un criminale contro cui si possono usare e chi invece non lo è? Bene, su questa nota interrogativa chiudo il video di oggi. Spero come sempre che vi sia piaciuto. Fatemi mi sapere nei commenti cosa pensate dell'argomento. Tutte le opinioni sono ben accette, ma vi prego solo di mantenere toni civili e pacati per favorire una discussione aperta ed educata. Noi ci rivediamo al prossimo video.