Il COPASIR non ha chiarito del tutto le responsabilità sul caso Paragon

Aggiornamento 10 giugno, ore 14: Con una nota diffusa nella serata del 9 giugno, il COPASIR ha negato la versione rilasciata dalla società Paragon Solutions e pubblicata sul giornale Haaretz. Inoltre, il COPASIR ha detto che potrebbe decidere di «desecretare, in via straordinaria, il resoconto stenografico» dell’audizione dei rappresentanti della società Paragon «anche a tutela della serietà del lavoro svolto».

Aggiornamento 9 giugno, ore 13: Con una dichiarazione pubblicata sul quotidiano israeliano Haaretz l’azienda Paragon Solutions ha detto di avere rescisso i contratti con il governo italiano dopo il rifiuto dello stesso governo di collaborare a capire chi e come avesse spiato il direttore di Fanpage Francesco Cancellato. «La società ha offerto sia al governo italiano che al parlamento un modo per determinare se il suo sistema fosse stato utilizzato contro il giornalista e poiché le autorità italiane hanno scelto di non procedere con questa soluzione, Paragon ha risolto i suoi contratti con l’Italia», si legge su Haaretz.

La versione di Paragon è in contrasto con quanto è emerso dalla relazione del Comitato parlamentare per la sicurezza della Repubblica (COPASIR) approvato il 4 giugno sull’uso dello spyware Graphite. Nella relazione, infatti, il COPASIR ha detto di non aver trovato prove che lo spyware fosse stato utilizzato dai servizi segreti italiani contro Cancellato. Inoltre, secondo il COPASIR, Paragon, AISI e AISE avrebbero deciso di comune accordo di sospendere il contratto. Secondo la dichiarazione di Paragon, invece, sarebbe stata Paragon a interrompere i rapporti.

***

Il 4 giugno il Comitato parlamentare per la sicurezza della Repubblica (COPASIR) ha approvato una relazione sull’uso dello spyware Graphite, cioè un software che raccoglie informazioni senza il consenso dell’utente, da parte dei servizi segreti italiani. Negli ultimi mesi si è parlato molto dello spyware Graphite e della società che lo produce, la Paragon Solutions, dopo che alcuni giornalisti e attivisti hanno denunciato di essere stati spiati.

Le aziende che producono spyware come Paragon Solutions vendono i propri servizi solitamente ai governi, che li utilizzano per attività di protezione della sicurezza nazionale. Nei giorni successivi alle denunce, il COPASIR, la commissione bicamerale del Parlamento che vigila sull’operato dei servizi segreti italiani, ha iniziato gli approfondimenti. In breve: secondo la relazione finale del COPASIR, i servizi segreti italiani hanno effettivamente svolto alcune intercettazioni nei confronti di tre attivisti, tra cui il cofondatore della ONG Mediterranea Saving Humans Luca Casarini. Le intercettazioni sono state autorizzate in modo legale dal secondo governo di Giuseppe Conte, quello sostenuto tra gli altri dal Partito Democratico e dal Movimento 5 Stelle, tra il 2019 e il 2021. Invece, per il COPASIR, non sarebbero state svolte intercettazioni da parte dei servizi segreti italiani nei confronti del direttore di Fanpage.it Francesco Cancellato e del parroco di Mediterranea Saving Humans don Mattia Ferrari, pur essendo stati coinvolti nel caso Paragon.

Il caso Paragon è iniziato a fine gennaio, quando un portavoce di Whatsapp ha fatto sapere che la società Paragon Solutions aveva spiato alcune persone con lo spyware Graphite. Paragon Solutions è stata fondata nel 2019 da un gruppo di ex ufficiali dell’intelligence israeliana e dall’ex primo ministro israeliano Ehud Barak, e a metà dicembre 2024 è stata venduta a un gruppo di investimento statunitense.

Tra le persone spiate attraverso Graphite ci sono per l’appunto il direttore di Fanpage Cancellato, Casarini, il cappellano di Mediterranea don Mattia Ferrari e gli attivisti Giuseppe Caccia e David Yambio. Come ha spiegato lo stesso Cancellato nel suo podcast “Direct”, nel pomeriggio del 30 gennaio Whatsapp l’ha informato di aver interrotto le attività di uno spyware sul suo cellulare. Sul dispositivo era stato installato Graphite, uno “spyware zero-click”, ossia un software avanzato che si installa sul cellulare senza che l’utente faccia nulla. Il direttore di Fanpage ha detto di essere stato probabilmente inserito in un gruppo Whatsapp in cui è stato inviato un documento PDF. È bastato che lui entrasse in quel gruppo per innescare inconsapevolmente l’attività di spionaggio e di controllo del suo dispositivo. La versione di Cancellato è stata confermata dal COPASIR nella sua relazione conclusiva, secondo cui però non è stato possibile determinare con certezza il momento in cui sono iniziate le prime intrusioni con l’uso di Graphite.

In questi mesi il COPASIR ha svolto otto audizioni. Tra le persone sentite ci sono i direttori dell’Agenzia informazioni e sicurezza esterna (AISE), dell’Agenzia informazioni e sicurezza interna (AISI) e dell’Agenzia per la cybersicurezza nazionale (ACN), oltre a rappresentanti della società di Paragon Solutions e al sottosegretario alla presidenza del Consiglio Alfredo Mantovano. AISE e AISI sono le strutture del governo che controllano i servizi segreti italiani, mentre l’ACN è l’ente del governo per la tutela della sicurezza nazionale in ambito informatico. In più, il COPASIR ha fatto sapere di aver chiesto informazioni sull’eventuale uso di Graphite ai vertici delle forze di polizia.

Nella relazione del COPASIR, si legge che lo spyware Graphite è stato utilizzato solo da due agenzie italiane: l’AISI e l’AISE, rispettivamente dal 2023 e dal 2024. Nessuna Procura italiana né altre forze dell’ordine hanno mai acquistato o usato il software. Con due sopralluoghi presso l’AISI e l’AISE, il COPASIR ha escluso «che vi siano stati utilizzi non conformi alla normativa vigente». Anche la società Paragon ha confermato di avere rapporti esclusivamente con i servizi di intelligence e di vendere i suoi strumenti solo a governi che rispettano diritti e libertà fondamentali, escludendo espressamente l’uso nei confronti di giornalisti e attivisti per i diritti umani. Nonostante l’uso conforme del software, dopo il clamore mediatico suscitato dalla vicenda, il 14 febbraio 2025 Paragon, AISI e AISE hanno prima sospeso e poi annullato il contratto con la società.

Per quanto riguarda le persone coinvolte nelle intercettazioni, il COPASIR ha confermato che Luca Casarini «è stato, negli anni, oggetto di interesse da parte dei servizi di informazione». In particolare, Casarini è stato controllato con intercettazioni telefoniche una prima volta dalla fine del 2019 a marzo 2020, con una delega rilasciata dall’allora presidente del Consiglio Giuseppe Conte, ma senza il ricorso allo spyware Graphite. La normativa italiana prevede che in alcuni casi il presidente del Consiglio possa infatti delegare i direttori dei servizi di informazione per la sicurezza a richiedere l’autorizzazione all’intercettazione, che poi deve essere approvata al procuratore generale presso la Corte d’Appello di Roma. L’obiettivo in quel caso era «l’accertamento della legittimità di un’attività di gestione dei flussi migratori». La seconda volta era finalizzata «a prevenire la minaccia alla sicurezza nazionale da parte di individui sospettati di svolgere attività di favoreggiamento dell’ingresso di soggetti stranieri nel territorio nazionale». Anche in questo caso l’autorizzazione è stata rilasciata il 26 maggio 2020 dall’allora presidente del Consiglio Giuseppe Conte, ma le intercettazioni sono durate più a lungo, fino a maggio 2024, quindi pure durante il governo Meloni. 

Secondo il COPASIR, in quest’altro caso Casarini è stato prima intercettato telefonicamente e poi, su autorizzazione del sottosegretario alla presidenza del Consiglio Alfredo Mantovano in data 5 settembre 2024, con il software Graphite. In questa seconda operazione è stato sottoposto a intercettazioni Giuseppe Caccia, armatore di Mediterranea. In tutti questi casi il COPASIR ha evidenziato che la normativa in materia di intercettazioni è stata rispettata. Casarini e Caccia, infatti, «sono stati sottoposti ad attività intercettiva non in qualità di attivisti per i diritti umani, ma in riferimento alle loro attività potenzialmente relative all’immigrazione irregolare».

Per il COPASIR, il presidente della ONG Refugees in Lybia David Yambio è stato invece oggetto di attività di intercettazione dal 24 luglio 2023 all’8 aprile 2024, ma su un’utenza intestata a don Mattia Ferrari. In ogni caso, l’intercettazione è stata autorizzata il 26 maggio 2020, sotto il secondo governo Conte, ma non è stato utilizzato lo spyware Graphite.

Per il COPASIR, invece, Don Ferrari non è stato intercettato dai servizi segreti italiani, pur essendo tra le persone segnalate da Whatsapp come vittima di spionaggio tramite Graphite. In più, rimangono dubbi pure sullo spionaggio ai danni del direttore di Fanpage. In base agli approfondimenti del comitato parlamentare, infatti, Francesco Cancellato non è stato intercettato dai servizi italiani, né attraverso Graphite né con altri strumenti. 

La notifica ricevuta da WhatsApp rimane dunque l’unico indizio di un possibile attacco, ma non risultano disponibili prove né documenti che confermino un’operazione di controllo riconducibile ai servizi italiani. Il laboratorio dell’Università di Toronto CitizenLab, che ha svolto un’analisi sui dispositivi colpiti da Graphite, ha detto che pubblicherà gli esiti dell’indagine forense eseguita sul dispositivo di Cancellato non appena saranno disponibili. Nel caso di don Ferrari e di Cancellato una delle possibili ipotesi è che siano stati spiati da servizi segreti stranieri. Durante le audizioni al Copasir Paragon Solutions ha dichiarato infatti «di fornire i propri servizi a operatori governativi presenti in numerosi Stati», senza restrizioni «sulla possibilità di utilizzare il citato spyware con riferimento a utenze aventi prefisso italiano».