di Red.

Un allarme lanciato in diretta

A L’Aria Che Tira, il programma di La7, l’ex numero due del controspionaggio italiano Marco Mancini ha pronunciato una frase destinata a far discutere: parlando del caso Paragon – lo spyware israeliano Graphite finito al centro di un’inchiesta parlamentare del Copasir per l’uso contro giornalisti e attivisti – Mancini ha spiegato che questi strumenti potrebbero non solo spiare un telefono, ma inserirvi materiale compromettente a insaputa del proprietario, ad esempio foto, per poi far scattare un arresto basato sul solo possesso di quel materiale.

In un’intervista successiva, tornando sullo stesso tema, l’ex 007 ha precisato che Graphite è uno strumento particolarmente insidioso proprio perché difficile da individuare, e che oltre alle sue funzioni di sorveglianza può servire anche a scopi ricattatori: chi riceve involontariamente certi contenuti rischia l’arresto e si trova poi nella posizione di dover dimostrare la propria innocenza. Ha aggiunto, con una punta di paradosso politico, che se davvero si volesse usare questo tipo di strumento contro qualcuno, i bersagli naturali sarebbero altri – non i giornalisti finiti sotto controllo nel caso italiano.

Nella stessa cornice di dichiarazioni, discutendo sempre del caso Paragon, Mancini ha sottolineato che lo spyware avrebbe già intercettato un centinaio di persone e che, con questi strumenti, si può risalire potenzialmente a qualunque cosa – da qui la sua richiesta che i servizi segreti italiani chiariscano pubblicamente chi ha autorizzato cosa.

Non è fantascienza: la logica tecnica del rischio

L’affermazione di Mancini non è un’invenzione né un’esagerazione da salotto televisivo. È un timore condiviso da anni dalla comunità internazionale della cybersicurezza, a partire dai lavori (ad esempio Citizen Lab), che hanno documentato in dettaglio il funzionamento di spyware analoghi come Pegasus di NSO Group.

Il principio tecnico è semplice quanto inquietante: uno spyware di livello statale, capace di accesso profondo e persistente a un dispositivo, non ha per costruzione una direzione univoca. Un sistema in grado di leggere dati da un telefono – messaggi, foto, posizione, microfono, fotocamera – è quasi sempre in grado anche di scriverli. Non esiste una barriera tecnica che imponga allo strumento di limitarsi alla sola sorveglianza passiva: la capacità di manipolare il contenuto del dispositivo è insita nello stesso livello di accesso che serve per spiarlo.

Questo significa che il rischio segnalato da Mancini non riguarda un’ipotesi remota, ma una conseguenza diretta delle caratteristiche tecniche di questi strumenti. La domanda vera non è “è possibile?”, ma “chi controlla chi lo fa, e con quali garanzie?”.

Il nodo degli enti privati

Qui si apre il problema più delicato, che va oltre la singola dichiarazione televisiva. Strumenti come Graphite (Paragon) o Pegasus (NSO Group) non sono sviluppati da apparati statali, ma da aziende private che li vendono a governi clienti in tutto il mondo. Questo crea una zona grigia di responsabilità:

  • Chi controlla materialmente lo strumento? Spesso il produttore privato mantiene un ruolo attivo in manutenzione, aggiornamenti e, in alcuni casi, nell’operatività tecnica del sistema anche dopo la vendita a un governo. La linea tra controllo statale e controllo aziendale non è sempre nitida.
  • A chi viene venduto? Le inchieste giornalistiche del “Pegasus Project”, condotte da un consorzio di testate internazionali, hanno documentato l’uso di questi strumenti da parte di governi contro giornalisti, avvocati, dissidenti in decine di Paesi.

Se un ente privato – mosso da logiche commerciali più che da un controllo democratico – può vendere questa capacità a chiunque abbia le risorse per acquistarla, il rischio di abuso si moltiplica.

Difendersi in tribunale: una battaglia impari

Ammettere che la manipolazione delle prove digitali sia tecnicamente possibile porta a una domanda pratica e scomoda: come si difende, concretamente, chi ne fosse vittima?

Il diritto processuale italiano prevede strumenti di tutela, ma con limiti significativi. Il Codice di Procedura Penale (artt. 234 e seguenti) disciplina la raccolta e l’ammissibilità delle prove informatiche, e la Legge 48/2008 impone alla polizia giudiziaria protocolli rigorosi di acquisizione, con l’obbligo di documentare in modo dettagliato la catena di custodia digitale. In teoria, l’imputato può nominare un consulente tecnico di parte per contestare la genuinità della prova.

Il problema è che la prova digitale è per sua natura fragile: una volta alterata la sua integrità, spesso non c’è più modo di dimostrare la manomissione, perché il dato originale non è più disponibile per un confronto. La giurisprudenza ha riconosciuto da tempo che un accesso scorretto al dispositivo può compromettere irrimediabilmente la genuinità della prova, lasciando la difesa priva di strumenti per dimostrarne la difformità dall’originale.

A complicare ulteriormente le cose, gli spyware più sofisticati sono progettati per essere difficili da rilevare e spesso non persistenti: molte infezioni non lasciano tracce visibili dopo un semplice riavvio del dispositivo, il che significa che anche una perizia tecnica accurata potrebbe non trovare nulla – non perché lo spyware non ci fosse mai stato, ma perché è “evaporato” prima dell’analisi.

Il costo della difesa: un problema di risorse, non solo di diritto

Esiste uno strumento gratuito e open source, il Mobile Verification Toolkit (MVT), che permette di cercare tracce di compromissione su un dispositivo. È utile per capire se si ha un problema, ma richiede competenze tecniche avanzate (uso di riga di comando, sistemi Linux o macOS) e, soprattutto, non ha alcun valore probatorio in tribunale se non accompagnato da una perizia formale, con catena di custodia documentata e un perito abilitato a testimoniare.

Una perizia forense spendibile in giudizio – copia bit-a-bit certificata del dispositivo, analisi con strumenti professionali, relazione tecnica difendibile in aula – ha costi che possono variare sensibilmente a seconda della complessità del caso, ma che realisticamente si collocano in un ordine di grandezza di alcune migliaia di euro, fino a superare facilmente le decine di migliaia nei casi più complessi. Si tratta di cifre fuori dalla portata di molte persone comuni.

Questo squilibrio economico aggrava il problema di fondo: chi dispone di risorse – uno Stato, un’azienda strutturata, un ente con mezzi tecnici e finanziari – può permettersi di colpire; chi ne è vittima spesso non può permettersi di difendersi allo stesso livello tecnico.

Il processo come pena, a prescindere dall’esito

C’è infine un ultimo elemento, forse il più inquietante, emerso proprio ragionando su questo scenario: anche se un’eventuale vittima riuscisse infine a dimostrare la propria innocenza, il danno sarebbe già stato inflitto. Arresto, perquisizioni, sequestro dei dispositivi, esposizione mediatica e danni reputazionali spesso irreversibili si verificano indipendentemente dall’esito finale del procedimento. È quanto in criminologia viene talvolta descritto come la “pena del processo”: per chi volesse colpire un bersaglio scomodo – un giornalista, un magistrato, un avvocato – non sarebbe nemmeno necessario ottenere una condanna. Basterebbe innescare il meccanismo.

Conclusione

È importante essere precisi su un punto: a oggi non risulta alcun caso pubblico, giudizialmente accertato o giornalisticamente documentato, in cui uno spyware di questo tipo sia stato effettivamente usato per impiantare prove false su un dispositivo. Quella descritta da Mancini resta una capacità tecnica plausibile e riconosciuta dagli esperti di sicurezza – non un abuso già avvenuto.

La dichiarazione però non va derubricata a semplice provocazione da salotto televisivo. Descrive un rischio tecnicamente fondato, riconosciuto da anni dalla comunità internazionale della cybersicurezza, e reso ancora più concreto dal fatto che gli strumenti in grado di generarlo sono prodotti e venduti da soggetti privati.

Il vero nodo, però, non è solo tecnologico: è di accountability. Chi decide chi colpire, chi verifica che non ci siano abusi, e quali garanzie reali ha un cittadino comune – privo di risorse economiche paragonabili a quelle di uno Stato – per difendersi da un attacco di questo tipo? Finché queste domande resteranno senza una risposta istituzionale chiara, l’esistenza stessa di questi strumenti rimarrà un problema di sicurezza collettiva, non solo un’ipotesi da talk show.

Seguite Radio Spada su: