La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Crypto Wars e sorveglianza globale: il caso Paragon in Italia e il dilemma della Privacy
Alessio Stefan : 19 Marzo 2025 07:09
Politica, informatica e privacy. Una triade alla continua ricerca di equilibrio con una storia di conflitti che ha origini dall’introduzione dei personal computer a livello consumer. I tentativi del governo USA nell’evitare l’accesso a cittografia “strong enough” per i cittadini e stati esteri sono stati numerosi dal 1990 in poi. Sopranominate come “Crypto Wars”, tali tentativi avevano l’obiettivo di mantenere un livello accettabile da garantire potenziale decryption da parte di agenzie governative per motivi di publica sicurezza.
Da questo contesto nacque il software Pretty Good Privacy (PGP) che permetteva authenticazione e comunicazioni private. L’utilizzo di PGP venne ampiamente adottato da una grossa fetta di utenti da tutto mondo, dai chiperpunks ai dissidenti politici. Il creatore Phil Zimmermann venne messo sotto indagine da parte del governo USA nel Febbraio del 1993 per “esportazione di munizioni senza licenza”, dove per “munizione” si intendeva qualsiasi schema crittografico contenente chiavi con più di 40 bit di grandezza (PGP ne utilizzava non meno di 128). Le accuse si attutirono negli anni seguenti concludendosi in un nulla di fatto ma dimostrando come innovazioni che mirino all’ottenimento di comunicazioni sicure e private siano giudicate diversamente da enti pubblici.
Ulteriori scandali nel 2010 con i leaks dell’ex-agente NSA Snowden dove tra i vari documenti sono trapelate documentazioni riguardo all’operazione Bullrun che aveva come unico scopo di permettere all’agenzia di crackare diversi algoritmi di crittografia usate nelle comunicazioni online (l’infiltrazione nei sistemi informatici era presente tra gli approcci permessi). Tra gli utilizzi della rottura della crittografia ci sarebbe il monitoraggio real-time di connessioni VPN, lettura di file protetti e intercettazione di comunicazioni End-2-End. Ad oggi gli sforzi dell’NSA [1] permetterebbero alle forze governative USA di poter decriptare traffici massici online[2] mettendo ad alto rischio le comunicazioni anche al di fuori dei confini USA.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00. Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Certamente prendere ciò che hanno fatto gli Stati Uniti d’America è a mero scopo illustrativo visto le alte capacità e risultati dei loro servizi di intelligence, sono stati molti altri gli stati che agiscono con gli stessi interessi degli USA. Attualmente l’UK sta pressando Apple per ottenere accesso ai dati presenti su iCloud dei loro clienti, la Russia sta gradualmente tentando di evitare l’accesso a Tor all’interno dei suoi confini, La Cina forza i suoi cittadini ad utilizzare applicazioni contenenti backdoor per la lettura delle comunicazioni e, come vedremo in questo articolo, clienti governativi Italiani dell’azienda Paragon utilizzano lo spyware Graphite contro giornalisti ed attivisti.
Molti si sono stupiti della notizia riguardante la recessione del contratto tra Paragon e il governo italiano quando quest’ultimo avrebbe, secondo l’azienda Israeliana, violato i terms of service utilizzando il loro spyware su target non autorizzati tra i quali il direttore di Fanpage. La realtà e gli avvenimenti dagli anni 90 in poi invece ci dimostrano che non dovrebbe stupirci più di tanto tale operazione, ovviamente si tratta di una violazione a danni di diritti civili che governi democratici dovrebbero difendere ma è innegabile come tale notizia sia solo un anello di una lunga serie.
Quando si parla di privacy in occidente si può notare una tendenza a sminuire il fenomeno interno (nel nostro caso in Europa) e a paragonare la fetta di mondo ad ovest con quello che accade in stati come Iran, Cina, Russia o persino Nord Corea. Ovviamente ci troviamo in contesti diversi ma ciò non può (e non deve) automaticamente concludersi con un falso senso di sicurezza supportato solamente dal paragone con situazioni peggiori (o meglio, più evidenti) della nostra. Proprio perchè noi riconosciamo il non rispetto della privacy in altre regioni del mondo porta a far sì che i nostri governi non si comportino con le stesse modalità agendo in maniera differente e permettendo di passare in secondo piano ottenendo gli stessi risultati. La privacy, come la sicurezza, non è una questione di leggi o regolamenti ma bensì di approccio e giusto riconoscimento delle minacce.
In questa sede si cercherà di fare una analisi sul caso Paragon in italia partendo dai fatti accaduti per poi ampliare la discussione a fatti accaduti in passato. L’obbiettivo è porre delle riflessioni sul ruolo degli enti governativi nei confronti della privacy andando oltre la mera indignazione che è prevalsa da tale notizia negli ultimi giorni.
Vista la natura dei soggetti in questione è importante sottolineare l’approccio seguito durante la scrittura di questo articolo. Non c’è nessuna motivazione politica nell’affrontare i temi in questione, tutti gli avvenimenti posti sono affrontati indipendentemente dalla posizione politica o governativa basandosi su ciò che è pubblicamente accessibile con una visione oggettiva e super-partes. Non c’è nessun interesse se non quello di descrivere situazioni ed eventi per quello che sono (o sono stati) lasciando al lettore libertà di analisi ed interpretazione.
Paragon – (N)on (S)top (O)perations
Partiamo dagli eventi recenti, lo scandalo Paragon in Italia. Gli eventi sono iniziati il 31 Gennaio quando il team di WhatsApp (Meta) ha individuato con “alta confidenza” che 90 utenti sono stati soggetti ad un “possibile” attacco informatico distribuito tramite la condivisione di allegati all’interno dell’app di messagistica. Non è stato dichiarato il come Meta abbiamo individuato tale campagna (si tratta di una vulnerabilità zero-click che non richiede interazione da parte della vittima) nè l’identità delle vittime limitandosi a contattarli direttamente su WhatsApp con il loro profilo ufficiale WhatsApp Support. Come dichiarato dal direttore di Fanpage.itFrancesco Cancellato che ha provveduto a pubblicare lo screen del messaggio con tanto di consiglio su contattare Citizen Labs, centro di studi indipendente responsabile della scoperta della campagna.
Il The Guardian è stato tra i primi a pubblicare la notizia confermando che il software utilizzato è uno spyware sviluppato da Paragon Solutions. Sempre stando alle dichiarazioni di Cancellato sono stati individuati 7 individui tra giornalisti ed attivisti (senza farne esplicitamente il nome) in Italia lasciando più di 80 persone non pubblicamente riconosciute come vittime. Nei giorni seguenti sono stati confermate le seguenti persone targhettate dal malware di Paragon :
Francesco Cancellato: Direttore del giornale Fanpage.it che ha ricevuto molte attenzioni dalle elezioni del 2022 per inchieste pubblicate su YouTube riguardanti influenze di estrema destra all’interno del partito di Fratelli D’Italia (partito attualmente in maggioranza alla quale appartiene Giorgia Meloni attuale primo Ministro).
Luca Casarini: Fondatore della NGOMediterranea Saving Humans attiva dal 2018 che si occupa del salvataggio di migranti nella tratta meditteranea con la quale ha ricevuto più di un attrito con le autorità italiane durante le loro operazioni. [1]
Beppe Caccia: Co-fondatore di Mediterranea Saving Humans. [2]
David Yambio: Rifugiato originario del Sudan del Sud attualmente residente in Italia e presidente del gruppo Refugees In Libya. Yambio ha chiesto asilo politico lanciando accuse contro Osama Elmasry Njeem che avrebbe maltrattato lui ed altri migranti africani, Yambio ha confermato di aver ricevuto una notifica simile a quella del direttore di Fanpage direttamente da Apple. [3]
Husam El Gomati: Attualmente residente in Svezia si è esposto più volte sul rapporto Italia-Libia riguardante il traffico di immigrati nel Mediterraneo. El Gomati è stato notificato con le stesse modalità di Cancellato. Non è stata dichiarata la data esatta della notifica ma è stato sottolineato che è avvenuta dopo un breve periodo dal quale El Gomati avrebbe ottenuto accesso a documenti sensibili del governo libico dichiarando di essere preoccupato per le fonti libiche che gli hanno permesso di ottenere tali documenti. [4]
Prima di conoscere Paragon e le sue origini dobbiamo coprire le risposte pubbliche date dal governo e dagli enti in questione. Fin dall’inizio il governo italiano ha negato, tramite una nota ufficiale di Palazzo Chigi (5 Febbraio 2025), di aver sottoposto ad attività di spionaggio operatori dell’informazione italiane ed ha dichiarato che l’Agenzia per la Cybersicurezza Nazionale (ACN) si sia messa in contatto con WhatsApp che ha confermato ben 7 individui italiani come vittime della campagna spyware. E’ stato poi confermato che Meta abbia individuato altri paesi (unicamente in UE) nella quale lo spyware sarebbe stato utilizzato : Belgio, Grecia, Lettonia, Lituania, Austria, Cipro, Repubblica Ceca, Danimarca, Germania, Paesi Bassi, Portogallo, Spagna, Svezia e, ovviamente, Italia.
Il giorno successivo (6 Febbraio 2025) sempre il The Guardian grazie a fonti anonime interne a Paragon Solutions ha smentito le dichiarazioni di Palazzo Chigi svelando che il produttore dello spyware Graphite avrebbe reciso il contratto per violazione del codice etico che limiterebbe esplicitamente il non utilizzo su giornalisti e attivisti sociali. Tale notizia è stata confermata dopo poco dal giornale Israeliano Haaretz che avrebbe confermato non solo la presenza di un contratto tra Paragon e governo Italiano ma specificando ulteriormente che gli enti che avrebbero avuto accesso al software siano un’entità delle forze dell’ordine ed un corpo di intelligence italiano.TechCrunch ha infine dichiarato di aver richiesto commenti sia ad ACN che all’ufficio del Primo Ministro senza però ricevere risposta a riguardo della situazione.
Purtroppo non si hanno, alla scrittura di quest’articolo, informazioni su ulteriori vittime dovendosi quindi basare solamente sui 5 individui che sono stati esposti pubblicamente. Tralasciando Francesco Cancellato è impossibile non notare una congruenza per quanto riguarda soggetti coinvolti nel traffico di migranti, in particolare il caso di El Gomati e di Yambio potrebbero essere correlati con un’ulteriore scandalo riguardante Osama Elmasry Njeem (conosciuto tramite la stampa come “Elmasri”) che è stato estradato dall’Italia in Libia nonostante il mandato di arresto internazionale rilasciato dalla Corte Penale Internazionale (ICC). Questo caso è ancora in via di indagini con evoluzioni continue che non verranno coperte in questa sede ma va tuttavia sottolineato come le vittime di spyware e il caso di Elmasri abbiano in comune il traffico di migranti Africa-Italia.
Paragon Solutions è l’altro protagonista di questi eventi, sviluppatore di strumenti per il contrasto di minacce che offre le sue soluzioni unicamente a 32 stati compresi gli USA ed i suoi alleati (senza però meglio specificare chi sia incluso nella definizione di “alleati”). Proprio negli USA nel 2024 è stato firmato un contratto di $2MLN tra l’azienda e le forze dell’ordine ICE (Immigration and Customs Enforcement), il contratto prevede un anno di formazione, hardware ed accesso allo spyware commerciale Graphite. Paragon non ha nascosto di avere nella sua lista di clienti il governo USA specificando inoltre di avere dei criteri di selezione sulla vendita dei loro prodotti tra i quali “l’essere uno stato democratico”.
Le origini della azienda hanno inizio nel 2019 quando iniziando il suo percorso nell’industria digitale israeliana come startup e competitor di NSO anche essa sviluppatrice di spyware ed altre soluzioni offensive a disposizione di governi occidentali. Non si sa molto sulla struttura interna dell’azienda (tipico delle “stealth companies”) ma si hanno alcuni nomi conosciuti nel settore intelligence israeliano tra i fondatori [5].
Ehud Schneorson: Direttore di Paragon Solutions, carriera passata in Unit 8200 branchia di intelligence della IDF (Israelian Defense Forces).
La fondazione nel 2019 non sembra essere casuale, lo scandalo “WhatsApp Snooping” riguardante sempre l’applicazione WhatsApp e l’azienda NSO (sviluppatrice di Pegasus Spyware) ha avuto inizio nel Ottobre del 2019 dopo che software sviluppati da NSO sono stati usati su giornalisti, politici e enti della magistratura indiana a poche settimane dalle elezioni.
Meta ha successivamente indagato trovando più di 1400 dispositivi infetti [6] e facendo causa all’azienda. Da quel momento in poi una serie di ulteriori scandali [7][8][9] riguardante l’utilizzo illecito di Pegasus (per illecito si intende qualsiasi obbiettivo non legato a crimini o rischi di sicurezza nazionale). Nel 2021 l’amministrazione Biden ha blacklistato Pegasus Spyware vietandone l’utilizzo da parte di enti americani [10] e dopo circa un mese di distanza dall’attuazione del ban ai danni di NSO lo stesso spyware è stato utilizzato su diplomatici USA che si trovavano al di fuori dei confini USA.
In un articolo precedente abbiamo coperto le dichiarazioni del CEO di NSO che dopo il 7 Ottobre 2023, attacco terroristico da parte di Hamas in territorio Israeliano, ha rilasciato un rapporto sulla trasparenza riguardante lo spyware Pegasus. Il CEO Yaron Shoat ha affermato che tali attacchi sono facilitati dalla tecnologia E2E e soluzioni come Pegasus debbano essere utilizzate con un framework etico ferreo per tutelare la salvaguardia dei civili e dei loro diritti civili.
Attualmente l’azienda ha come prodotto di punta lo Spyware Graphite (lo stesso utilizzato nella campagna di attacchi individuata da Meta) che, secondo esperti, può essere utilizzato su WhatsApp, Telegram e Signal. Non si ha modo di accedere al codice etico citato dall’azienda che va a discriminare quali soggetti possono essere colpiti da Graphite ne altri termini dei contratti se non l’impegno di Paragon ad avere zero tolleranza ai clienti che non rispettano i termini d’utilizzo. Secondo fonti di Forbes lo spyware non darebbe controllo completo ai device delle vittime ma solo all’applicazione di messaggistica con la quale il malware è consegnato riuscendo a bypassare la E2E, non si hanno ne conferme ne smentite riguardo le capacità dello spyware una volta installato sui device.
Meta ha mosso il suo team legale contro Paragon Solutions inviando una diffida all’azienda israeliana. Sempre Meta ha dichiarato il suo impegno nel salvaguardare le comunicazioni degli utenti nella sua piattaforma tralasciando dettagli di come la campagna spyware sia stata identificata, come il software di Paragon sia stato riconosciuto e come sia riuscito ad individuare i singoli utenti affetti da Graphite.
Thalassa, la dea dell’acqua – WaterGate greco
Purtroppo, come detto nell’introduzione, non c’è da stupirsi sugli eventi accaduti ad inizio Febbraio. Come mostrato sono stati molteplici gli usi illeciti di strumenti che, sulla carta, dovrebbero servire al contrasto di crimine e terrorismo per la sicurezza degli stati (nello specifico, visti i requisiti, quelli considerati democratici).
Rimanendo nei confini Europei ci sono stati altri casi recenti sempre riguardante l’utilizzo di spyware su civili e politici, l’esempio più grande è stato PredatorGate anche soprannominato il WaterGate Greco.Cytrox è un’altro fornitore di spyware governativi con sede nella Macedonia del Nord e facente parte di un cluster per la produzione di questo tipo di malware con sedi e R&D in Europa nata per competere con il gigante NSO[11]. Cytox è stata fondata da un ex membro dell’intelligence israeliana chiamato Tal Dilian
Nel 2022 lo spyware Predator (equivalente di Graphite e Pegasus) è stato utilizzato per una infenzione di massa su personalità politiche (in particolare della opposizione) e giornalisti greci. Oltre allo spyware ha avuto un ruolo attivo il servizio di intelligence greco EYP che è stato messo sotto controllo diretto del primo ministro Kyriakos Mitsotakis in seguito alla sua vittoria elettorale nel 2019 (legge 4622/2019).
Per dare il giusto contesto politico è importante riportare che in seguito alla crisi economica greca del 2010 uno dei problemi del governo greco era quello della corruzione all’interno delle istituzioni e Mitsotakis ha sempre esplicitato, sopratutto in campagna elettorale, di voler sconfiggere sia la corruzzione che l’elitarismo presente nei palazzi del potere in Grecia.
Tra i dispositivi controllati spicca quello del principale oppositore del governo Nikos Androulakis ed altre 91 persone tra enti del governo, militari e giornalisti tramite Predator. Il caso è stato portato alla luce dell’opinione pubblica quando i giornalisti Stavros Michaloudis e Thanassis Koukakis hanno, nel 2022, accusato il governo di aver wiretappato le loro comunicazioni portando il politico Androulakis ad esporsi pubblicamente con le stesse accuse. L’EYP ha poi confermato di aver intercettato le comunicazioni di Koukakis ma negò di aver utilizzato Predator, inoltre non venne data disponibilità di offrire prove per confermare o negare le accuse di utilizzo dello spyware di Cytrox.
Panagiotis Kontoleon, direttore dell’EYP, ha firmato le sue dimessioni nell’Agosto del 2022 e nel mese di Settembre una investigazione indipendente ha trovato Predator installato nel suo smartphone portando cosi il caso alla Corte Suprema greca[12]. Le azioni dell’intelligence greca si estesero oltre i confini nazionali andando a colpire Artemis Seaford, security policy manager di Meta con doppia cittadinanza Greca-USA, in un periodo non meglio specificato tra il 2020 e 2022. Citizen Labs ha poi confermato di essere stata sottoposta a intercettazioni tramite spyware per almeno due mesi nel 2021.
La situazione del WaterGate Greco ha fatto rivalutare di molto le posizioni dei giornalisti all’interno dell’unione europea mettendola all’ultimo posto tra i paesi membri (fino al 2023) per il trattamento della libertà di stampa e circolazione di informazioni. Caso simile a quello italiano e che non sembra essersi attutito vista la presenza di bersagli greci all’interno della recente campagna Graphite[13].
Predator ha una curiosa condivisione con Pegasus (NSO) quando un ulteriore politico dell’opposizione Ayman Nour egiziano è stato infettato da entrambi gli spyware operanti da due diversi enti nazionali nello stesso momento[14]. Inoltre Cytrox ha dato una licenza di Predator all’ente paramilitare Rapid Supported Forces (RSF) sudanese[15] accusati di crimini contro i diritti umani quali la tortura e omicidio di manifestanti.
La (vera) eccellenza Made-In-Italy
Il pubblico italiano non deve preoccuparsi sul singolo evento spyware di questo Febbraio bensì la preoccupazione va posta sul trend che da tempo è impresso nei confini del nostro paese. Quando si parla di violazione della privacy viene subito in mente FBI, NSA, GRU, FSB ed altre agenzie di intelligence al di fuori del bel paese ignorando però come le stesse attitudini sono presenti in Italia.
HackingTeam è la NSO Made in Italy con sede a Milano che può permettersi di esporre un curriculum estremamente valido avendo avuto rapporti nel 2013 con l’Arabia Sudita riguardo alle sue capacità di bloccare una centrale nucleare in Iran (descrizione molto simile a Stuxnet). Con l’Arabia Saudita è noto che ci sia stata una trattativa di acquisto da parte di quest’ultima concludendosi con un nulla di fatto per assenza di accordo tra le due parti riguardo ai dividendi[16].
HackingTeam offriva i propri software ad enti governativi italiani e non, il più famoso è Remote Control System (RCS)[17]. Tra i clienti abbiamo la procura di Milano alla quale hanno offerto dei servizi utili per la lotta alla Mafia e traffico di droga. Durante il caso di cronaca nera di Yara Gambirasio, HackingTeam ha ottenuto accesso del computer di Bossetti con il loro sistema “Galileo”[18].
Nei 400GB leakati erano presenti prove evidenti della vendita dei loro prodotti a regimi autoritari quali Egitto, Sudan ed Arabia Saudita riuscendo a bypassare le imposizioni dell’EU riguardo l’esportazione di questa tipologia di software[19][20][21][22].
Lighthouse Reports nel 2022 ha scoperchiato un altro vaso di Pandora scoprendo le attività di un’altra azienda di spyware chiamata Tykelab dove ha tracciato bersagli sia fuori che dentro l’Italia sfruttando vulnerabilità delle reti per dispositivi mobile. L’azienda madre di Tykelab si chiama RCS responsabile della creazione dello spyware Hermit scoperto nel 2022 da Google. Le capacità di Hermit sono simili a quelle di Pegasus permettendo accesso per dispositivi Android e iOS.
Stando al report di Google[23] ha mostrato una collaborazione tra gli ISP e gli attaccanti particolarmente marcata nelle operazioni all’interno dei confini italiani. Secondo una relazione della camera del 2021 lo spyware in questione sarebbe stato utilizzato in maniera illecita da parte delle forze dell’ordine durante operazioni anti-corruzione e in maniera massiccia nella regione del Kazakhstan. RCS ha avuto delle collaborazioni con HackingTeam sempre secondo le email interne leakate da Fishers[24]. Tra le vittime di Hermit abbiamo nuovamente giornalisti, politici ed accademici nelle diverse regioni nella quale è stato adoperato da parte di forze governative.
Caso ancora più recente (2024) quello dell’azienda Equalize accusata di lavorare in collaborazione con i servizi del Vaticano e dello stato di Israele rubando informazioni di diverse persone tra politici, musicisti, atleti (tra i quali, recentemente pubblicato, Marcell Jacobs) ed imprenditori italiani [25]. Carmine Gallo (ex-poliziotto) ed Enrico Pazzali (manager di Fieramilano ed associato di Equalize) sono stati considerati di essere il braccio di Equalize, sia Gallo che Pazzali avevano accesso a database statali contenenti dati di aziende e cittadini.
Il servizio offerto da Equalize aveva vari clienti tra i quali l’ENI oil-company statale italiana la quale veniva citata spesso nei documenti investigativi riguardo l’accesso illecito ai database[26]. Anche Heineken Italia si sarebbe affidata all’azienda facendo uso di spyware su due dei suoi dipendenti. Tra le vittime dello scandalo si hanno nomi come Sergio Mattarella (attuale Presidente della Repubblica) ed l’ex Presidente del Consiglio Matteo Renzi[27].
L’intero schema sarebbe stato capitanato da Nunzio Samuele Calamucci il quale avrebbe ricevuto influenze da paesi esteri quali Israele e Vaticano la quale avrebbero usufruito dell’accesso illecito da parte di Equalize con l’apparente motivo di ottenere informazioni su asset Russi. secondo le indagini poste dalla magistratura sarebbe stato almeno uno l’incontro tra i vertici di Equalize e quelli del Mossad e diversi “report” inviati allo stato Vaticano[28].
A confermare l’intreccio tra Equalize e parte delle forze dell’ordine italiane ha a che fare con Ignazio La Russa, attuale presidente del Senato. Nella primavera del 2023 è stata iniziata da parte della procura un’indagine dopo una accusa di molestie sessuali a carico del figlio del presidente assieme ad altre persone che sarebbero coinvolte, tale indagine non era ancora notizia di publico dominio. Secondo recenti sviluppi dell’indagine Equalize[29], La Russa avrebbe contatto direttamente Enrico Pazzali e che quest’ultimo avrebbe poi iniziato a “verificare” la famiglia del presidente (non meglio specificati quali e quanti membri) tramite il trojan Beyond. Inoltre lo stesso Pazzali avrebbe ricevuto una chiamata da un carabiniere quale nome non è ancora pubblico (ne tantomeno il grado che esso ricopriva) che avrebbe chiesto al socio di Equalize informazioni sulla casa di La Russa (dalle intercettazioni ascoltate dagli inquirenti entrambi citano esplicitamente il nome “Ignazio”). Sempre in un’altra conversazione Pazzali durante l’inizio delle verifiche avrebbe detto “Ignazio La Russa del 1953, no ha settantacinque anni lui” e “e metti anche un altro, come si chiama l’altro figlio?”.
Per i più scettici a riguardo l’esistenza di questo panorama opaco presente nel nostro paese consigliamo la lettura del report di Riccardo Coluccini chiamato Italian spyware on the international market[30] dove ha mostrato investimenti del bilancio pubblico in questo settore spiegando come ogni ente di sicurezza pubblica abbia almeno un contatto di riferimento per ottenere spyware ed ogni azienda nel settore ha un soddisfacente giro d’affari facendo si che l’industria rimanga attiva all’interno del nostro paese.
Nello stesso report viene citato il caso dello spyware Exodus create dalla compagnia eSurv distribuito sul Play Store di google per conto di enti governativi italiani[31]. Questo tipo di campagna può potenzialmente colpire tutti i fruitori di Play Store indiscriminatamente. Il report da anche delle statistiche interessanti mostrando come dal 2010 al 2020 questo tipo di operazioni siano quadruplicate e solamente nel 2021 le autorizzazioni sono state 2896 (in Germania, nel 2020, ammontano a 48). Inaspettatamente l’industria spyware Italiana ha una persistente presenza nel mercato internazionale facendo concorrenza a realtà più conosciute come Paragon e NSO.
“Un governo non lo farebbe mai”
Come abbiamo affrontato in Italia, come in tutta Europa, è presente un ecosistema di spyware governativi da non sottovalutare con operazioni sia dentro che fuori i confini geopolitici europei. Come mostrato non è una novità il mal utilizzo di questi strumenti per fini diversi da quelli della sicurezza nazionale, contrasto alle minacce terroristiche o prevenzione del traffico di droga.
La parola “privacy” ha subito lo stesso trattamento di “AI” o “CyberSecurity” ottenendo un valore più come buzzword commerciale che come principio. Molti si ricorderanno la proposta di legge di “Chat Control” fatta in sede EU che avrebbe portato alla totale rottura di encryption E2E all’interno dell’Europa per poter “tutelare i minori online” grazie ad una scansione indiscriminata dei messaggi per poter identificare materiale pedopornografico. Tralasciando tutti i tecnicismi del caso (l’EU avrebbe accettato un error rate del 10%[32]) il punto da affrontare sono state le varie argomentazioni sia di politici che di cittadini a riguardo di tale proposta.
Il tipico argomento “Non ho nulla da nascondere” è principe quando la politica cerca di aumentare il loro grado di sorveglianza sui cittadini cammufandolo da soluzione anti-crimine (analogo al discorso degli spyware). Tale argomento è fallace su due punti fondamentali : la totale fiducia rispetto ad enti pubblici/governativi e la natura “egoista” dell’argomento stesso.
Affrontare la buona fede di governi rispetto alle loro misure di sorveglianza digitale richiede attenzione e sensibilità, basta poco per cadere nell’anarchismo fine a se stesso o giudicare che chi affronti il discorso sia un cripto-anarchico con un odio per gli enti pubblici a prescindere (che portano sempre al “guarda al paese X”). Per poter affrontare il discorso è importante che tutte le parti si spoglino delle loro credenze politiche basandosi su fatti e principi.
Come detto nell’introduzione è da anni che diversi stati tendono ad ottenere backdoor (ad esempio il caso UK-Apple che è divenuta realtà recentemente[33]) o strumenti per la sorveglianza attiva senza limiti (spyware governativi) ma nonostante ciò tendiamo ad offrire un velo di “buona fede” nelle scelte delle istituzioni togliendoci ogni spirito critico come cittadini. Prendiamo come esempio il GDPR che ha fatto parlare di se dalla sua attuazione fino ad oggi sia come reale efficacia per la privacy che come presenza ingombrante a livello economico per aziende europee e di fiducia nei consumatori nel trattamento dei loro dati [34][35]. Tale normativa è stata venerata come esempio a dimostrazione della tutela dei cittadini da parte di enti pubblici.
Tralasciando di come l’EU stessa sia stata scoperta a non rispettare la sua stessa legge all’interno delle istituzioni[36][37] (il che dovrebbe per lo meno dare il beneficio del dubbio) come è possibile che una realtà come quella della commissione Europea non abbia ancora creato un framework per l’addozione di spyware (o operazioni similari) dei paesi membri? Perchè una totale reticenza politica rispetto a strumenti che da anni sono presenti nel territorio con utilizzi molto lontani dal contrasto del crimine[38][39]?
Non si sta affermando una malafede da parte dell’ente in questione ma più una inadeguatezza sul tema (voluta o meno), ciò che è successo con Paragon non è nulla di nuovo ma sopratutto è uno degli attacchi più seri su tutto il territorio Europeo (ricordiamoci che sono 90 le vittime distribuite su 14 stati membri) e la commissione si rifiuta di investigare perchè “le autorità nazionali sono responsabili in questi casi”[40].
Inoltre questa smisurata fiducia si estende anche ad enti nazionali (law enforcements, governo locale, ecc…) con l’idea che un accesso ai dati encrypted su un ristretto numero di persone sia lecito nonostante tutto. In realtà un qualsiasi accesso (per quanto ristretto) a qualsiasi fonte di dati è sinonimo di “broken encryption” mettendo a rischio le comunicazioni che devono by design essere lette solamente tra gli endpoint previsti. Stesso concetto vale per l’utilizzo degli spyware.
Come “backdoor” si intende sia il concetto tecnico (che aggiunge un grave layer di rischio, vedasi Salt Typhoon[41]) che legislativo dove enti pubblici spingono aziende private a rompere l’encryption offrendo i dati in chiaro alle autorità. Il vero problema sta nella non comprensione di quanto sia (relativamente) semplice per dei criminali creare il loro canale di comunicazioni crittografate lasciando spazio a molti dubbi sulla reale efficacia di tali misure.
Rimanendo nelle nostre realtà non scordiamoci le numerose proposte (anche da politici italiani[42]) dell’implementazione di identità digitale in piattaforme social e pornografiche, ironicamente sempre marcando come tali misure servano per la tutela dei minori. Queste (gravi) proposte tendono a minare alla base l’anonimato e l’interesse di alcuni gruppi nel far valere le loro attività online sopra la loro identità reale ed è qui che si affronta la natura egoista del “non ho nulla da nascondere” perchè anche fosse vero ciò non toglie che altri soggetti hanno bisogno di mantenere il loro anonimato (o la loro privacy) intatta sia da aziende private che da enti pubblici. Tralasciando le implicazioni che un data breach potrebbe avere se una piattaforma avesse dati sull’identità reale dei suoi utenti il vero punto è la conoscenza di “chi fa cosa” online da parte di corpi pubblici. Non è difficile ipotizzare, visto l’alto interesse su giornalisti ed attivisti, scenari dove tale pratica creerebbe danni irriversibili : se uno stato volesse profilare tutte le persone pro-aborto, movimenti che vanno contro la maggioranza in sede parlamentare o o cittadini che hanno precise preferenze politiche potrebbe farlo con conoscenza diretta degli inividui in questione.
Dati inconfutabili ci dimostrano che l’uso dei social network è pericoloso per la #privacy e la #salute mentale e fisica dei bambini. Esistono regole europee, primo su tutti il #GDPR, che limitano la possibilità di dare consenso al trattamento dei propri dati, e quindi… pic.twitter.com/xoHf3LWJlp
In conclusione, il non affidarsi ad un governo per quanto concerne la privacy di società democratiche non corrisponde automaticamente in un loro giudizio negativo per teorizzare la cattiva fede ma anche per l’inadeguatezza di alcune pratiche o proposte (eg:/ leggi poste in buona fede ma con conseguenze diametralmente opposte). Il vero punto è che la privacy non viene dall’alto, non si instaura con le singole leggi e, sopratutto, non la si ottiene affidando la totale fiducia in un qualsivoglia ente. La privacy è questione di scelte individuali, sul cosa e sul cosa non si utilizza e su approcci proattivi e critici che vadano a beneficiare la nostra privacy o quella altrui. Continuare ad affermare che la privacy (come la security e l’anonimato) si ottiene con scelte politiche è un ossimoro, mentre lo stato della privacy deve rimanere fisso nel tempo quello della politica è in continuo cambiamento.
La democrazia non è un qualcosa che una volta ottenuto permane per sempre ma bensì è un qualcosa alla quale ognuno di noi, indifferentemente dalla sua posizione, deve coprire ogni giorno con le proprie scelte individuali e collettive. Affermare che lo stato è un’ente alla quale possiamo affidarci totalmente o il disinteresse al come la nostra privacy viene trattata perchè in prima persona non ne diamo il giusto valore è un minare le società democratiche alla base. Dobbiamo comprendere che questo “scandalo Paragon” non è l’ecezzione ma bensì la conferma di una tendenza che gli stati tutti hanno dagli anni 90 in poi. Quello che si intende con zero-trust riguarda anche lo stato stesso e che affermare ciò non si intende che venga classificato come nemico ma bensì si comprenda il ruolo della politica ed i suoi limiti comprendendo che alcuni valori necessitano unicamente della collettività. In democrazia non si può sperare in cambiamenti radicali se non cambiamo la società sottostante con l’informazione e la comprensione dei problemi con le loro conseguenze.
If today we see the principle of communications privacy as fundamental to the Fourth Amendment, we have postal policymakers to thank, for it was through the post office, not the Constitution or the Bill of Rights, that early Americans first established that principle.
Anuj C. Desai
Mythbusters
Dopo aver spiegato l’intera industria dello spionaggio digitale governativo presente dentro e fuori l’Italia e su come la salvaguardia della vendita a soli stati democratici non sia sufficente a proteggere la privacy dei cittadini è probabile che lo scetticismo abbia la meglio ed è comprensbile vista l’apparente complessità del tema. Esplicitiamo 2 luoghi comuni più popolari e cerchiamo di affrontarli offrendo una visione più oggettiva possibile.
“Non ho niente da nascondere” = Tema gia affrontato nella sezione precedente ma che richiede ulteriore approfondimento. Prima cosa quando si parla di privacy è sbagliato definirla come semplice “nascondere” ma bensì come controllo dei dati e di chi ne ha accesso o utilizzo. Comunque la si pensi il non consenso su questo argomento è una violazione importante che può ritorcesi contro sia in maniera diretta che indiretta (vedasi data breach) e questo perchè anche se non si ha nulla da “nascondere” non esclude che si abbia molto (se non tutto) da proteggere. Visto che ultimamente si parla di mantenere intantatta la democrazia dopo il caso Paragon bisogna anche capire che dati collezzionati da brokers privati sono uno strumento di valore per poter controllare le opinioni politiche o civili delle persone[43][44]. Inoltre ciò che non è necessario nascondere ora potrebbe essere necessario in futuro e trovarsi di fronte a questa necessità senza aver creato un insime di abitudini e usi consapevoli potrebbe essere troppo tardi. La sorveglienza non è uno strumento che viene usato esclusivamente per il contrasto al crimine, in tutto l’articolo sono stati portati esempi di come strumenti per la sorveglianza hanno esondato i limiti etici e democratici mettendo la prevenzione al primo posto in qualsiasi parte del mondo ci si trovi. Infine l’utilizzo di strumenti di privacy o di uso consapevole non devono necessariamente essere di interesse per chi ha necessità di “nascondersi”, supportare chi cerca di offrire tali servizi offre benefici sia a chi lo usa e sia a chi ne ha bisogno. Giornalisti, attivisti e politici non devono in nessun modo essere vittima di rottura della loro privacy (anche se le nostre idee vanno contro quella di questi soggetti) per mantere viva la libertà di informazione, stampa e contrasto politico che se venissero meno avrebbe ripercussioni anche sui singoli cittadini che sottovalutano la questione. Ricordiamoci che l’utilizzo di uno spyware mette a rischio anche la privacy di chi non è stato vittima avendo accesso a parte delle loro conversazioni dove possono esserci dati sensibili che possono portare al silenziare giornalisti o rendere ricattabili politici. Avere una conoscenza distribuita sul rischio e sul cosa fare per potersi tutelare è la base della prevenzione da parte di tutti.
“La privacy è morta” = Questo argomento è tra i piu fallaci, in primo luogo anche fosse vero ciò non conclude che sia inutile riportarla in vita ed anzi darebbe più valore a chi afferma che bisogna avere un approccio proattivo. In secondo luogo chi afferma ciò tende ad avere una visione della privacy come “100% o 0%” cercando di sminuire o disincentivare l’altra parte, il percorso richiede molti sforzi, tempo e persone che aiutino a mantenere lo stato della privacy adatto a contrastare lo stato dele minacce attuale. È utile ricordare che “la privacy” non è universale per tutti, come per la security varie misure ed utilizzi vanno adottate in base al Threat Model (Modello della Minaccia) che cambia da persona a persona (eg:/ proteggersi da data brokers e proteggersi da attachi mirati richiedono modalità diverse di approccio) e definire “morta” un qualcosa che è diverso da persona a persona sottointende una mancanza di conoscenza a riguardo. La privacy è “morta” se si continua ad adottare indiscriminatamente piattaforme, applicazioni o qualsivoglia servizio online che è risaputo abbia poche tutele su questo principio[45][46][47]. Tale percorso deve accettare imperfezioni ed errori di percorso per migliorarsi ma ciò non implica che la il danno alla privacy sia irriversibile.
Snake Oil – Questo articolo è sponsorizzato da…
La parola “privacy” (come già detto nelle sezioni precedenti) è diventata una buzzword e diverse realtà la hanno usata per pubblicità fine a se stessa, molto comune imbattersi in “soluzioni per la privacy” con un marketing aggressivo e persistente. Tipicamente si tratta di servizi VPN che promettono “no log policy”, “protezione da spyware” e una difesa immunitaria contro un profilo di minaccia estremamente esagerato per quanto riguardo le reti pubbliche. Con l’appoggio di influencer e di sconti con una durata indefinita tali soluzioni tendono a portare dalla loro parte una clientela che è si preoccupata per la loro privacy ma da un threat model fallato e una conoscenza al più superficiale del termine “privacy”.
Per essere chiari, non esistono soluzioni singole che offrono privacy ed anonimato ma bensì che supportano gli utenti ad ottenere tali obbiettivi. Inoltre molte di queste compagnie sono state multate per marketing aggressivo o ingannevole[47][48], condivisione di dati con terze parti e/o forze dell’ordine[49][50] o insufficente sicurezza nei loro software[51].
Purtroppo alcune aziende tengono di più al lucro che al vero servizio offerto, con una pubblicità invasiva e continuativa nel tempo permettendo di ottenere una buona fetta di mercato con affermazioni false o fuorvianti sapendo benissimo come il pubblico non sappia distinguere termini come “anonimato” o “privacy” usati come sinonimi/rafforzativi nelle loro pubblicità.
Proprio perchè il tema è importante non si sta affermando di abbandonare tali prodotti ma bensì di (1) valutare le proprie opzioni al di fuori delle pubblicità o raccomandazioni da parte di figure pubbliche online e (2) di informarsi con proprie ricerche in base alle proprie necessità tenendo a mente che con uno shift di fiducia non aumenta la propria privacy. Visione critica di questi contenuti con approfondimenti autonomi e da fonti verificabili vi porteranno ad avere una visione ampliata dalla mera pubblicità di diverse aziende e prodotti che siano esse VPN, servizi di hosting o e-mail. Per quanto riguarda le VPN una fonte dalla quale iniziare può essere la VPN Relationships map dove membri della community collaborano a schedare diversi servizi con fonti allegate.
What now?
Se il caso Paragon vi ha stupito ma volete andare oltre la mera indignazione attivandovi per iniziare a preservare la vostra privacy che voi siate giornalisti, attivisti o semplici persone che danno il giusto valore al loro diritto di “privatus” è importante capire che ad oggi è più facile del passato. Sono presenti molte fonti dalla quale iniziare a comprendere l’argomento senza dover per forza essere dei tecnici informatici o esperti di crittogafia. La seguente lista non è da considerarsi come sufficente nè tantomeno necessaria per poter informarsi sul tema privacy, avviate sempre delle ricerche autonome e sopratutto mantenete un grado di tolleranza prima di affidarvi a consigli su prodotti/servizi.
Privacy Guides = Progetto community-driven con tatno di articoli ed aggiornamenti nel mondo privacy, il loro sito offre la sezione Knowledge Base che permette a novizi di avere conoscenze sufficenti per poter navigare il tema tra i quali Threat modelling per comprendere quali sono le minacce dalle quali una persona/organizzazioni deve difendersi e quale contromisure sono le più adatte
The New Oil = Simile a Privacy Guides ma più schematico e tecnico con guide su come rendere più sicuri i propri device ma sopratutto perchè è importante farlo
EFF Privacy = La sezione “privacy” della Electronic Frontier Foundation offre articoli quasi quotidiani sul tema con un focus sul mondo USA/UK. Sono presenti contenuti sia per totali novizi che per utenti con un background consolidato, EFF porta avanti anche delle campagne per tutelare la privacy in sedi legali.
The Hitchhiker’s Guide to Online Anonimity = Questa guida è più per chi necessita nel loro threat model un cero grado di anonimato, nonostante ciò offre spiegazioni sull’utilizzo di diversi strumenti come criptovalute, sistemi operativi e spiegazioni degli strumenti usati dalle diverse minacce (tra i quali gli spyware) il tutto condito da fonti in continuo aggiornamento.
Terms of Service Didn’t Read = È comune schierarsi dietro la scusa del “i terms of service sono appositamente complicati per forzare gli utenti ad accettarli” ma con TOSDR il tutto sarà più semplice per comprendere davvero come le diverse piattaforme agiscono quando un utente accetta di utilizzarle. Il tutto viene gestito dalla community che esegue delle letture periodiche (sia manuali che automatiche) dei ToS delle varie piattaforme, ogni claim fatto dal sito ha il suo corrispettivo nei ToS rilasciati dalla piattaforma in questione.
Privacy International = Organizzazione per informarsi, imparare ed approfondire diverse tematiche nel mondo privacy. Il sito contiene sia letture lunghe e diluite che semplici notizie, l’organizzazione ha nascita negli anni 90 con diversi risultati nella sensibilizzazione e divulgazione
The Great Privacy Awakening = Ottimo video di sensibilizzazione di Jack Rhysider con diverse argomentazioni sul perchè tutelare la nostra privacy e quella altrui.
Per ottenere il massimo dalle varie risorse che si hanno a disposizione è importante il confronto con l’ambiente circostante per comprendere quanto il tema sia sentito o sia in cambiamento per potersi adattare adeguatamente. L’importante non è convincere nessuno a cambiare i propri usi dell’online ne tantomeno da persuadere l’uso di una piattaforma rispetto ad un’altra, il vero obiettivo è dare conoscenza, e quindi consapevolezza, di come diversi attori esterni hanno interesse ad ottenere dati e le loro motivazioni. Siate voi stessi in prima a persona a decidere come agire in merito con conoscenza delle cause ed effetti delle proprie scelte.
No rest for the wicked
Il caso Paragon ha riportato alla luce quello che forse in Europa, ed in Italia, non è stato adeguatamente capito. Ci sono enti governativi con un interesse attivo ad ottenere informazioni su cittadini e giornalisti senza che questi ultimi abbiano compiuto atti a giustificare l’uso di spyware. È importante sollevarci dalla indignazione e informarsi sull’ambiente che ricopre le cosidette “nazioni democratiche” e come tale etichetta non le renda reduci da azioni tutt’altro che democratiche, quest’articolo ha voluto (1) far capire come ci sia una vera industria prolifica per la vendita di malware con modalità non diverse da quelle che incontriamo nel mondo criminale e (2) ampliare il termine “privacy” oramai abusato (sia in cattiva che buona fede) e di come avvenimenti come quello dell’ultimo mese debbano portarci a riflettere su cosa ogni cittadino può e dovrebbe fare per proteggere la cosidetta “società democratica” in un ambiente digitale ed interconnesso.
Se vogliamo davvero che libertà di stampa, di politica e di opinione rimanga intatta dando il nostro contributo che oltre ad aiutare noi stessi è di supporto per chi ne ha più bisogno. Non si può chiedere il rispetto per la propria privacy e allo stesso tempo utilizzare piattaforme che da tempo utilizzano i dati degli utenti senza precauzioni o conoscenza come non ci si può aspettare tutele (reali) agli stessi organi che abusano di strumenti per lo spionaggio in maniera indiscriminata.
Se siete giornalisti, attivisti o qualunque altra figura che necessita protezione da minacce atte a minare la privacy altrui dovete seriamente prendere in considerazione delle tutele per voi, per chi vi circonda e sopratutto per le vostre attività. Bisogna far si che questo (ennesimo) caso spyware in Europa porti ad un cambiamento e non a mere lamentele chiedendo che sia qualcun’altro a mantenere integra un lato sensibile come la privacy. Se così non fosse ci troveremo davanti all’enesimo scandalo che va a sgonfiarsi nel tempo senza nuove tutele o consapevolezza da parte degli utenti finali.
Grazie a chiunque abbia letto l’articolo nella sua interezza.
Alessio Stefan Membro del gruppo di Red Hot Cyber Dark Lab. Studente magistrale di AI & Cybersecurity e CTF player con la passione per l’ethical hacking che lo accompagna sin da giovane età. Trascorre le sue giornate immerso nello studio e scoperta di nuovi metodi di attacco con la giusta dose di pratica. Convinto che l’hacking sia una cultura ne applica i principi non solo nel mondo digitale ma anche alla vita quotidiana nell’attesa di trasformare la sua dedizione in carriera.
Politica, informatica e privacy. Una triade alla continua ricerca di equilibrio con una storia di conflitti che ha origini dall’introduzione dei personal computer a livello consumer. I tentativ...
L’essere umano nella vita quotidiana ha avuto sempre la necessità di essere riconosciuto ed identificato per usufruire di servizi e prestazioni. Ciò è stato possibile utilizzando...
Una bug recentemente scoperto su Apache Tomcat è sfruttato attivamente a seguito del rilascio di una proof-of-concept (PoC) pubblica, 30 ore dopo la divulgazione ufficiale Si tratta del ...
Che siano cybercriminali responsabili di migliaia di vittime in cinque anni di attività è un fatto indiscutibile, e questo deve restare ben impresso nelle nostre menti. Tuttavia, questa stor...
Negli ultimi mesi, il panorama dell’hacktivismo cibernetico ha visto un’intensificazione degli scontri tra gruppi di hacktivisti con orientamenti geopolitici opposti. In particolare, abb...
