La lettera aperta, che trovate in calce all’articolo, è stata pubblicata e diffusa ieri, 19 giugno 2025, da Access Now, insieme ad altre organizzazioni per i diritti umani e la libertà di stampa, ed è rivolta a Paragon Solutions e al suo investitore AE Industrial Partners. Fa seguito allo scandalo delle intercettazioni illegali dei giornalisti italiani ed europei. Una parte di queste intercettazioni sono state ammesse dal governo italiano, che ha però negato le altre. La procura di Roma ha ordinato accertamenti tecnici sui cellulari in uso a 7 persone: gli attivisti di Mediterranea Luca Casarini, Giuseppe Caccia, don Mattia Ferrari, e i giornalisti Eva Vlaardingerbroek, Francesco Cancellato, Ciro Pellegrino e Roberto D’Agostino.
L’incarico verrà conferito lunedì prossimo, il 23 giugno. Nell’indagine si procede, al momento contro ignoti, per accesso abusivo a sistema informatico e quanto previsto all’articolo 617 del codice penale su reati informatici, cognizione, interruzione o impedimento illecito di comunicazioni o conversazioni telegrafiche o telefoniche e installazioni abusiva di apparecchiature atte a intercettare. L’Odg e la Fnsi, costituitisi nel procedimento, potranno nominare loro consulenti per questi accertamenti.
“Le novità emerse oggi dalla magistratura italiana sono clamorose: ad essere intercettati illegalmente sarebbero almeno 5 giornalisti, quattro identificati dalla procura di Roma, e un giornalista europeo, accertato da Citizen Lab che ha chiesto di rimanere anonimo. A Cancellato e Pellegrino di Fanpage si è aggiunta la blogger Eva Vlaardingerbroek, e poi il fondatore di Dagospia, Roberto D’Agostino. È inaccettabile che giornalisti vengano intercettati illegalmente”. Così in una nota congiunta Sandro Ruotolo responsabile Informazione nella segreteria Pd ed europarlamentare, Debora Serracchiani capogruppo Pd commissione giustizia della Camera e Stefano Graziano capogruppo Pd commissione difesa della Camera.
“La presidente Meloni e il sottosegretario Mantovano non possono più tacere. Se i servizi segreti italiani continuano a sostenere la loro estraneità nell’intercettare i giornalisti, il Governo deve dirci chi è stato. Chi ha avuto accesso ai loro telefoni? Chi ha installato lo spyware? E con quali finalità? Il caso non è chiuso, si sta allargando”, concludono.
Nella Relazione sullo Stato di diritto dell’Ue, approvata ieri all’Europarlamento, si condanna esplicitamente l’uso di spyware contro giornalisti e società civile. Nel report, il Parlamento europeo “esprime profonda preoccupazione per l’abuso di spyware e per la mancanza di garanzie sufficienti contro la sorveglianza illegale dei giornalisti”.
Paragon Solutions, l’azienda israeliana che produce lo spyware Graphite, con cui sono stati spiati il direttore di Fanpage.it Francesco Cancellato e alcuni attivisti dell’ong Mediterranea Saving Humans, ha accusato il governo italiano di non aver fatto abbastanza per andare a fondo alla vicenda del monitoraggio illegale di un giornalista.
Con una nota al quotidiano israeliano Haaretz, Paragon ha chiamato in causa il Copasir italiano, mettendo in discussione la relazione conclusiva dell’indagine interna. Paragon ha comunicato attraverso Haaretz che il governo italiano non ha mostrato interesse nel ricevere supporto tecnico per individuare la provenienza degli attacchi, pur avendo Paragon offerto cooperazione.
Il Copasir sembra intenzionato a desecretare l’audizione dei rappresentanti dell’azienda di Tel Aviv resa nei giorni scorsi. Come da procedura, ha messo a disposizione a Paragon il testo sbobinato perché possa ricontrollarlo. E poi scegliere se dare o meno il via libera a renderlo pubblico. Al momento, l’azienda israeliana sembra non aver ancora fissato una data per venire a Roma a leggere il documento dell’audizione.
Secondo il report tecnico del Citizen Lab, lo spyware Graphite di Paragon colpisce sia iOS che Android, sfruttando vulnerabilità zero-click via iMessage e WA Business. La desecretazione della testimonianza di Paragon da parte del Copasir e la scadenza del 3 luglio per una risposta formale potrebbero segnare le prossime tappe decisive di questo caso.
Il testo della lettera aperta:
Michael Greene, Co-CEO
David Rowe, Co-CEO
Tess Sprechman, Relazioni con gli investitori
AE Industrial Partners, LP
John Fleming, CEO
Catherine Gray, Direttore operativo
Paragon Solutions US, Inc.
Oggetto: Recenti scoperte dello spyware Paragon che prende di mira la società civile e i giornalisti
Noi, sottoscritti, organizzazioni ed esperti per i diritti umani e la libertà di stampa, scriviamo alla luce delle recenti scoperte pubblicate dal Citizen Lab , che confermano l’uso dello spyware Graphite di Paragon Solutions contro i giornalisti, aggiungendosi alle precedenti scoperte che rivelavano come la tecnologia dell’azienda fosse utilizzata per colpire attori della società civile in Italia, inclusi gli operatori umanitari. Queste rivelazioni, unite al rapporto del Comitato Parlamentare per la Sicurezza della Repubblica (COPASIR) e alle precedenti rivelazioni di Meta, sollevano urgenti preoccupazioni in merito alle pratiche di due diligence di Paragon, ai meccanismi di controllo post-vendita e alla fornitura di accesso ai rimedi per le persone colpite.
La situazione attuale dimostra che la strategia di Paragon di vendere esclusivamente a governi democratici come misura di mitigazione del rischio non offre di per sé una protezione sufficiente contro l’uso improprio delle tecnologie di sorveglianza. L’Italia, Stato membro dell’Unione Europea, firmatario del Codice di condotta per gli Stati di Pall Mall e soggetto all’European Media Freedom Act , ha tuttavia distribuito spyware contro individui impegnati in attività umanitarie e non ha fornito risposte soddisfacenti in merito alla presa di mira dei giornalisti in Italia. Questi sviluppi sottolineano che i quadri normativi volontari che si basano principalmente sulla valutazione degli utenti finali di spyware come attori responsabili e non irresponsabili sono inadeguati in assenza di solide garanzie, meccanismi di supervisione e applicazione.
Tra gli ultimi obiettivi dello spyware Paragon, confermati da analisi forensi del Citizen Lab, figurano il giornalista Ciro Pellegrino e un importante giornalista europeo anonimo. Sono stati presi di mira e confermati anche Luca Casarini e Giuseppe Caccia, individui coinvolti in operazioni di ricerca e soccorso nel Mediterraneo. La loro sorveglianza solleva significativi interrogativi sull’impiego di spyware con vaghe o eccessive giustificazioni di sicurezza nazionale, come indicato nel rapporto del COPASIR in merito a Casarini, Caccia e altre vittime italiane.
Nel caso del giornalista Francesco Cancellato , Meta aveva informato Cancellato che il suo dispositivo era stato preso di mira dallo spyware Graphite. Ad oggi, non sono state fornite informazioni su quale governo abbia distribuito lo spyware e Francesco Cancellato rimane senza risposte o rimedi. Nel frattempo, Paragon ha affermato di aver offerto al governo italiano un mezzo tecnico di verifica e di essere “pronta a fornire assistenza in qualsiasi indagine, qualora le autorità italiane ne facessero richiesta ufficiale”.
Sebbene il contratto con l’Italia sia stato segnalato come risolto, ciò non esonera Paragon dalla responsabilità per i danni già causati. La sospensione reattiva del contratto a seguito di esposizione pubblica non sostituisce la supervisione proattiva, la trasparenza o la responsabilità. L’apparente assenza di un processo di notifica alle vittime, di un quadro di ricorso o di una segnalazione pubblica degli abusi da parte dei clienti indica fortemente un fallimento sistemico nella gestione dei rischi associati alle tecnologie di sorveglianza.
Paragon si propone come un’alternativa più etica rispetto ad altri fornitori di spyware, come NSO Group. Tuttavia, le rivelazioni in corso sull’uso della tecnologia Paragon da parte dell’Italia contro la società civile e i giornalisti sollevano seri dubbi sulla conformità dell’azienda alle norme internazionali sui diritti umani o alle aspettative delineate nei Principi Guida delle Nazioni Unite su Imprese e Diritti Umani (UNGP) . Tra questi, l’obbligo di fornire riparazione in caso di danno e di adottare misure significative per prevenire futuri abusi.
Il mancato rispetto di tali norme può avere anche notevoli ripercussioni legali e finanziarie per Paragon, così come per i suoi investitori aziendali. Ad esempio, da quando le rivelazioni su Pegasus di NSO Group sono emerse per la prima volta nel 2016 , l’azienda è stata perseguitata da sanzioni governative , acquisizioni fallite e diversi casi legali, culminati più recentemente con una giuria californiana che ha ritenuto NSO Group responsabile di 447.719 dollari di danni compensativi e la sbalorditiva somma di 167.254.000 dollari di danni punitivi per aver preso di mira l’infrastruttura di WhatsApp con lo spyware Pegasus. Nel 2021, mentre le inchieste giornalistiche richiedevano un ulteriore esame delle operazioni dell’azienda, il fondo attraverso il quale NSO Group era stata acquisita due anni prima è stato liquidato . Novalpina Capital Partners, la società di private equity che aveva guidato il fondo, ha avviato a sua volta una procedura di liquidazione nel 2023.
In questo contesto, e alla luce dei casi confermati di sorveglianza, chiediamo rispettosamente una risposta alle seguenti richieste:
A seguito della risoluzione del contratto con l’Italia, quali azioni specifiche intraprenderà l’azienda per porre fine a questo rapporto?
Quali processi e meccanismi vengono messi in atto per garantire che il governo non sia più in grado di utilizzare lo spyware Graphite di Paragon dopo la risoluzione del contratto?
Quali procedure e misure di sicurezza tecniche e legali sono state messe in atto per garantire che Paragon sia in grado di rilevare, monitorare e segnalare gli abusi non appena si verificano?
Paragon si impegnerà a effettuare audit indipendenti dei suoi registri e di altre informazioni pertinenti in caso di sospetto uso improprio della sua tecnologia?
Quali protocolli utilizza l’azienda per indagare su potenziali usi impropri dei suoi prodotti segnalati internamente o esternamente da organizzazioni della società civile?
Quali dati vengono estratti e archiviati dal dispositivo di un individuo una volta che viene preso di mira dallo spyware di Paragon? In quali giurisdizioni e attraverso quali giurisdizioni? Come e dove vengono conservati? Chi controlla i privilegi di accesso?
Quali misure vengono adottate per porre rimedio ai danni causati alle vittime recentemente identificate in Italia?
In che modo e quando Paragon provvederà o collaborerà alla riparazione delle vittime di sorveglianza che sono già state colpite dall’abuso documentato della sua tecnologia?
Quali parti interessate saranno consultate dall’azienda nella progettazione e nell’implementazione di un processo di bonifica?
L’azienda creerà un meccanismo di reclamo per monitorare gli impatti negativi in corso sulle comunità e sugli individui?
Paragon fornirà agli obiettivi confermati del suo spyware tutte le informazioni necessarie per cercare un rimedio, soprattutto nel caso di Francesco Cancellato?
AE Industrial pubblicherà una politica sui diritti umani che affronti l’uso dello spyware e le relative responsabilità, approvata dal Consiglio di amministrazione e dai dirigenti aziendali?
Quali programmi di due diligence sui diritti umani (HRDD) e relative politiche sono attualmente in vigore presso Paragon e Red Lattice?
Paragon pubblicherà un elenco dettagliato della sua attuale clientela, nonché l’elenco di tutti i clienti, oltre all’Italia, con cui Paragon ha rescisso i contratti a causa del mancato rispetto degli standard sui diritti umani?
Quali criteri vengono utilizzati per determinare se un paese o un regime è idoneo a utilizzare la vostra tecnologia?
Con quale frequenza rivalutate se i paesi sono ancora idonei?
Quali meccanismi sono in atto per rispondere ai cambiamenti nei contesti nazionali, come ad esempio la nuova leadership governativa?
È stata condotta una revisione di questo tipo dopo le rivelazioni italiane?
In che modo il programma HRDD è progettato per identificare, prevenire, mitigare e tenere conto in modo efficace dei rischi emergenti e dell’uso improprio dei vostri prodotti da parte dei clienti?
L’azienda effettua periodicamente audit indipendenti di terze parti sul programma di due diligence sui diritti umani per verificarne l’efficacia?
L’azienda dispone di un sistema di segnalazione delle irregolarità da parte dei dipendenti, in base al quale è vietata qualsiasi ritorsione nei confronti dei segnalanti e ne viene tutelata la riservatezza?
Gli individui e le comunità presi di mira in questo caso esercitavano diritti fondamentali e svolgevano un’attività che contribuiva a sostenere i diritti fondamentali e i pilastri della democrazia.
Invitiamo Paragon e AE Industrial Partners a cogliere questa opportunità per dimostrare un impegno significativo nei confronti degli standard internazionali sui diritti umani, impegnandosi in modo trasparente, fornendo rimedi laddove giustificati e implementando solide misure di salvaguardia per impedire che tali situazioni si ripetano.
Restiamo in attesa di vostre notizie e vi chiediamo di fornirci una risposta entro il 3 luglio 2025.
Firmatari
Organizzazioni :
Accedi ora
Amnesty International
Centro per la democrazia e la tecnologia in Europa (CDT Europe)
Diritti sui dati
Fondazione per i diritti digitali
Reporter Senza Frontiere (RSF)
Centro informazioni sulla privacy elettronica (EPIC)
Fondazione Frontiera Elettronica (EFF)
Fondazione Acceso
Iniziativa Heartland
MEDITERRANEA Salvare gli esseri umani
Istituto per la diversità dei media – Armenia
RESIDENT.ONG
Centro di Belgrado per la politica di sicurezza (BCSP), Belgrado, Serbia
Osservatorio Balcani Caucaso Transeuropa (OBCT)
Individui
Ron Deibert (OC, O.Ont.), professore e direttore del Citizen Lab presso la Munk School of Global Affairs and Public Policy dell’Università di Toronto
Hinako Sugiyama, Senior Counsel e Digital Rights Fellow presso l’International Justice Clinic della Facoltà di Giurisprudenza dell’Università della California, Irvine
