Paragon Solutions e il caso Graphite: nuove frontiere e rischi dello Spyware di Stato

Uno degli ultimi sviluppi nel panorama della cybersecurity e della sorveglianza digitale riguarda Paragon Solutions, un’azienda israeliana fondata nel 2019, il cui spyware Graphite si distingue per le sue avanzate capacità di infiltrazione nei dispositivi mobili e per il controverso posizionamento etico che la società sostiene di adottare. Questo articolo analizza le operazioni di Paragon, le sue implicazioni globali e il recente coinvolgimento in casi di sorveglianza mirata in diversi paesi, tra cui l’Italia e il Canada.

Paragon Solutions: struttura e mission

Fondata da Ehud Barak (ex primo ministro israeliano) e Ehud Schneorson (ex comandante dell’Unità 8200 dell’IDF), Paragon Solutions ha rapidamente guadagnato attenzione nel mercato degli spyware per il suo prodotto di punta, Graphite. A differenza di software come Pegasus della NSO Group, che garantisce il controllo completo di un dispositivo infetto, Graphite si concentra esclusivamente sull’accesso alle applicazioni di messaggistica istantanea.

Paragon afferma di vendere esclusivamente a governi che “rispettano i diritti umani e le norme internazionali”, evitando di collaborare con regimi autoritari. Tuttavia, il recente report del Citizen Lab dell’Università di Toronto ha sollevato dubbi su queste affermazioni, evidenziando l’utilizzo di Graphite in contesti problematici.

Mappatura dell’infrastruttura e distribuzione

Le indagini di Citizen Lab hanno permesso di individuare una parte significativa dell’infrastruttura di Graphite, composta da server cloud e da nodi di comando e controllo (C2) situati in paesi come Australia, Canada, Cipro, Danimarca, Israele e Singapore.

Uno degli aspetti più interessanti dello studio riguarda l’identificazione di clienti governativi potenziali. In Canada, l’Ontario Provincial Police (OPP) è stata individuata come possibile utilizzatrice di Graphite, sollevando preoccupazioni sulla proliferazione dello spyware tra le forze dell’ordine canadesi. Il fenomeno si inserisce in un contesto più ampio di crescente interesse delle forze di polizia per strumenti di sorveglianza avanzata, spesso senza adeguate garanzie di trasparenza e accountability.

Il caso italiano e le implicazioni per i Diritti Civili

Un aspetto particolarmente delicato dello studio riguarda l’uso di Graphite in Italia, dove Meta (WhatsApp) ha notificato a oltre 90 utenti di essere stati presi di mira da uno zero-click exploit di Paragon. Tra i soggetti coinvolti figurano giornalisti e attivisti impegnati nella difesa dei diritti umani e nella gestione delle crisi migratorie nel Mediterraneo.

In particolare, i dispositivi di Luca Casarini (Mediterranea Saving Humans) e del giornalista Francesco Cancellato (Fanpage.it) hanno mostrato segni di infezione. Anche Giuseppe Caccia, co-fondatore di Mediterranea Saving Humans, è risultato tra gli obiettivi del malware. Questi episodi sollevano interrogativi sul ruolo delle istituzioni italiane: il governo, dopo iniziali smentite, ha dovuto ammettere l’esistenza di un contratto con Paragon, generando un acceso dibattito politico.

L’intervento del Garante Privacy e le indagini in corso

Paragon Solutions è recentemente finita al centro del dibattito nazionale e internazionale, tanto che il Garante per la Protezione dei Dati Personali è intervenuto con un monito severo. Il 14 febbraio 2025, l’Autorità ha emesso una nota ufficiale avvertendo che l’uso di spyware come Graphite potrebbe violare il Codice Privacy italiano. Il comunicato ha specificato che tali attività, se svolte al di fuori degli usi consentiti dalla legge, possono comportare sanzioni fino a 20 milioni di euro o il 4% del fatturato annuo.

Nel frattempo, il Comitato parlamentare per la sicurezza della Repubblica (Copasir) ha annunciato un’audizione sull’uso di Graphite in Italia. Secondo indiscrezioni, due clienti italiani sarebbero un’agenzia di intelligence e un corpo di polizia, che avrebbero utilizzato lo spyware per scopi investigativi. Tuttavia, a seguito delle rivelazioni di Meta e Citizen Lab, Paragon avrebbe deciso di rescindere il contratto con l’Italia, sostenendo la violazione delle clausole contrattuali che escludono l’uso contro soggetti non implicati in reati.

Parallelamente, l’Agenzia per la Cybersicurezza Nazionale (ACN) sta conducendo una due diligence per verificare eventuali violazioni normative. Questa vicenda ha riportato alla luce il delicato equilibrio tra esigenze di sicurezza nazionale e tutela della privacy dei cittadini.

Strategie di attacco e sfide per la Digital Forensics

Uno degli aspetti più innovativi di Graphite riguarda la sua capacita di mascherarsi all’interno di applicazioni legittime, evitando così di lasciare tracce evidenti nei sistemi infettati. Questa tecnica rende estremamente complesso il rilevamento del malware attraverso strumenti tradizionali di analisi forense.

Il team di Citizen Lab ha identificato un marker forense denominato BIGPRETZEL, associato alla presenza di Graphite su dispositivi Android. Tuttavia, i tentativi di infezione su iPhone non hanno ancora una chiara attribuzione, sebbene l’attacco subito da David Yambio, attivista per i diritti dei migranti, presenti elementi compatibili con le metodologie di Paragon.

Risposta Internazionale e Regolamentazione

Le rivelazioni su Paragon si inseriscono in un contesto di crescente pressione internazionale per regolamentare il mercato degli spyware mercenari. Negli Stati Uniti, il governo ha recentemente bloccato contratti tra Paragon e agenzie federali, mentre in Canada le associazioni per i diritti civili chiedono maggiore trasparenza sull’uso di questi strumenti da parte delle forze dell’ordine.

L’Unione Europea, dal canto suo, si trova di fronte a una sfida complessa: se da un lato l’Italia ha una lunga storia nella produzione di spyware (Hacking Team, RCS Lab, Cy4gate), dall’altro emergono sempre più prove dell’uso di queste tecnologie contro giornalisti e attivisti.

Conclusioni

Il caso Paragon evidenzia come anche aziende che si dichiarano “responsabili” nel settore degli spyware possano finire coinvolte in casi di sorveglianza indiscriminata. L’illusione di uno spyware “a prova di abuso” viene smentita dalla realtà dei fatti: anche in democrazie consolidate, la tentazione di utilizzare queste tecnologie in modo improprio è forte.

Le rivelazioni su Graphite rappresentano un monito per governi e aziende tecnologiche: la lotta contro lo spyware mercenario richiede non solo strumenti di difesa avanzati, ma anche una chiara volontà politica di prevenire e sanzionare gli abusi. Nel frattempo, l’ecosistema di esperti, giornalisti e organizzazioni per i diritti civili continuerà a svolgere un ruolo cruciale nel portare alla luce questi casi e nel chiedere maggiore trasparenza e responsabilità da parte di governi e aziende del settore.