L'Italia cliente e bersaglio: il caso Graphite svela i limiti…

Il 18 luglio 2026 Luca Cadonici ha ricostruito il caso Graphite: l'Italia ha acquistato spyware Paragon dal 2023, ma la stessa licenza la lascia esposta a

Il 18 luglio 2026, alla Cyber Crime Conference 2026, l'investigatore forense Luca Cadonici ha presentato una ricostruzione integrale del caso Graphite che smonta l'idea di un controllo nazionale sulla sorveglianza digitale. L'Italia ha pagato Paragon Solutions per spiare, ma il contratto le ha negato il controllo totale dei log e le ha lasciato la porta aperta: la stessa licenza che autorizza AISE e AISI a intercettare non vieta a Paragon di vendere la stessa capacità a intelligence estere per colpire utenze italiane. Il risultato è una nazione simultaneamente cliente e potenziale bersaglio dello stesso fornitore.

Punti chiave

AISE ha firmato contratto con Paragon il 13 dicembre 2023, attivazione iOS 23 gennaio 2024 e Android 8 febbraio 2024
Il vettore tecnico è CVE-2025-27363, exploit zero-click su anteprima PDF in chat di gruppo WhatsApp, individuata l'11 dicembre 2024 e patchata sei giorni dopo
Cinque bersagli italiani pubblicamente noti: Francesco Cancellato, Luca Casarini, Giuseppe Caccia, don Mattia Ferrari e David Yambio; per i primi tre nessuna evidenza di intercettazione da parte dei Servizi italiani
La licenza italiana esclude microfono, fotocamera e galleria fotografica, ma consente a Paragon di vendere a terzi la capacità di colpire numeri italiani

Il contratto del dicembre 2023 e la struttura dello spyware

AISE ha siglato l'accordo con Paragon Solutions il 13 dicembre 2023. L'attivazione è avvenuta in due fasi: i sistemi iOS sono entrati in funzione il 23 gennaio 2024, quelli Android l'8 febbraio 2024. AISI ha utilizzato Graphite con contratto in scadenza il 7 novembre 2025, articolando le operazioni su due binari: l'intercettazione dinamica, autorizzata dal Procuratore Generale di Roma, e l'estrazione delle chat residenti, disciplinata dall'articolo 18, comma 2, della legge 124/2007.

La licenza italiana impone limiti precisi. Non consente l'attivazione remota di microfono e fotocamera, esclude la sorveglianza ambientale in tempo reale e blocca l'accesso alla galleria fotografica. Quello che autorizza è l'intercettazione delle comunicazioni cifrate, inquadramento normativo del decreto-legge 144/2005, e l'estrazione di conversazioni archiviate sul dispositivo. Tuttavia, la stessa licenza che vincola l'Italia non vincola Paragon: l'elenco dei Paesi esclusi dal targeting non include l'Italia. Paragon può vendere la stessa piattaforma a intelligence estere per colpire utenze italiane senza violare il contratto con AISE.

Graphite opera con una separazione tecnica tra dati esfiltrati e tracciabilità. Il malware convoglia le informazioni verso un comando e controllo ospitato presso il cliente, richiede autenticazione dell'operatore per ogni azione e registra le operazioni su due livelli: un database cancellabile dal cliente e un audit log non cancellabile accessibile a Paragon. Questa architettura fa emergere una domanda che il dossier lascia senza risposta conclusiva: chi detiene davvero la prova dell'uso.

CVE-2025-27363: sei giorni tra scoperta e patch

Il vettore di infezione è identificato con precisione. CVE-2025-27363, con punteggio CVSS 8.1 HIGH secondo il record NVD, sfrutta l'anteprima di un PDF malevolo inserito in una chat di gruppo WhatsApp. L'exploit è zero-click: non richiede interazione dell'utente, né apertura del file né download esplicito. Meta ha individuato la vulnerabilità l'11 dicembre 2024 e completato la patch il 17 dicembre 2024, un intervallo di sei giorni che lascia una finestra notevole per la messa in opera.

Il 31 gennaio 2025 Meta e WhatsApp hanno notificato circa 90 utenti in oltre 20 Paesi dell'avvenuta compromissione. Tra i bersagli italiani pubblicamente accertati figurano Francesco Cancellato, direttore di Fanpage.it, l'attivista Luca Casarini, Giuseppe Caccia, don Mattia Ferrari dell'ONG Mediterranea Saving Humans, e David Yambio di Refugees in Libya. Per Yambio la notifica non è arrivata da Meta: il 13 novembre 2024 Apple gli aveva già segnalato un attacco con "mercenary spyware", con messaggio che recitava: "probabilmente per ciò che sei o per ciò che fai".

Le conclusioni del COPASIR e il buco giudiziario

La Commissione parlamentare per il controllo dei servizi di intelligence e di sicurezza e per il segreto di Stato ha condotto un'attività intensiva: otto audizioni, dieci sessioni interne e quattro sopralluoghi tra il 4 gennaio e il 4 giugno 2025. La relazione approvata il 4 giugno 2025 documenta che AISI ha impiegato Graphite su Casarini e Caccia in un'operazione iniziata nel settembre 2024, con monitoraggio attivo sui due soggetti dal 2019. Per Cancellato, don Ferrari e Yambio il COPASIR non ha trovato evidenze di intercettazione spyware condotta dai Servizi italiani.

Il controllo è andato oltre le dichiarazioni. I parlamentari hanno inserito direttamente il numero di Cancellato nel sistema Paragon presso le agenzie e non hanno rilevato né tracce di intercettazione né decreti di autorizzazione. Per Yambio è emersa invece un'intercettazione tradizionale su un'utenza intestata a don Ferrari, un dato che complica la ricostruzione senza chiarirla.

A marzo 2026 le procure di Roma e Napoli, coordinate dalla Procura Nazionale Antimafia e Antiterrorismo, hanno disposto una consulenza tecnica sul caso. Il testo della fonte primaria si interrompe su questo punto, lasciando ignoto l'esito. Ciò che si sa con certezza, grazie a Wired del 28 aprile 2026, è che a oltre un anno dallo scandalo Paragon non ha ancora fornito risposte alla giudizia italiana.

Perché è importante

Il caso Graphite mette in luce una tensione strutturale che il dossier non risolve. L'Italia ha costruito una capacità di sorveglianza tecnica su piattaforme commerciali straniere, ma il contratto le nega il controllo completo dei log e non le garantisce protezione da utilizzi paralleli dello stesso fornitore. La fonte non specifica se Paragon abbia fornito o meno audit log completi alle autorità italiane. Il brief non documenta misure correttive contrattuali o tecnologiche adottate dopo la rescissione del contratto il 6 febbraio 2025, né indicazioni operative per i soggetti potenzialmente esposti.

Per professionisti della sicurezza, il caso conferma che le piattaforme di messaggistica cifrata restano vulnerabili a exploit zero-click anche senza errore umano, e che la supply chain di spyware governativi introduce rischi di contromisure insufficienti. Per il settore istituzionale e giuridico, evidenzia come la sorveglianza autorizzata e l'accountability transnazionale possano entrare in conflitto quando il fornitore elude l'oversight nazionale. La fonte non chiarisce chi abbia ordinato gli attacchi a Cancellato, don Ferrari e Yambio se non i Servizi italiani, né se la vulnerabilità CVE-2025-27363 sia stata scoperta da Meta, da Paragon o da terzi.

"L'Italia è cliente e, contemporaneamente, possibile bersaglio" — Luca Cadonici, Cyber Crime Conference 2026

La lettura che emerge dal dossier non è quella di uno scandalo concluso, ma di un'architettura di potenza incompleta. L'Italia ha pagato per vedere, ma non ha ottenuto la garanzia di non essere vista dagli stessi occhi commerciali. La persistenza dell'indagine giudiziaria e il silenzio di Paragon lasciano aperta una questione che riguarda la sovranità digitale non come slogan, come bilancio: cosa si compra, cosa si controlla, cosa resta in mano al venditore.

Domande frequenti

Che differenza c'è tra intercettazione dinamica ed esfiltrazione chat residenti?

L'intercettazione dinamica cattura le comunicazioni in tempo reale mentre transitano o vengono generate sul dispositivo, ed è autorizzata dal Procuratore Generale. L'esfiltrazione delle chat residenti estrae invece i contenuti già archiviati in memoria, con base legale nell'articolo 18 della legge 124/2007.

Perché il COPASIR ha escluso i Servizi italiani su alcuni bersagli ma non su altri?

La relazione parlamentare documenta impiego confermato di Graphite su Casarini e Caccia dal settembre 2024. Per Cancellato, don Ferrari e Yambio l'inserimento dei numeri nel sistema Paragon non ha rilevato evidenze di intercettazione spyware da parte dei Servizi, ma non esclude che altri attori possano aver condotto gli attacchi.

Qual è lo stato attuale del contratto AISE-Paragon?

Il 6 febbraio 2025 The Guardian ha riportato che Paragon ha rescisso il contratto con l'Italia per violazione delle clausole che vietano il targeting di giornalisti e attivisti. La scadenza originaria del contratto AISI era fissata al 7 novembre 2025.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti