Apple e WhatsApp contro gli spyware: gli utenti saranno sempre avvisati se qualcuno li spia
Due delle più potenti aziende di spyware al mondo, NSO Group e Paragon Solutions, stanno cercando di entrare nel mercato statunitense. Contano su contratti miliardari con agenzie governative e nuovi legami politici con l’amministrazione di Donald Trump. I loro spyware – Pegasus e Graphite – sono tra i più potenti strumenti di spionaggio digitale: possono leggere messaggi cifrati, ascoltare conversazioni, accedere alla fotocamera e localizzare ogni spostamento. Negli anni, questi software sono stati presentati come strumenti legittimi per combattere terrorismo e criminalità, ma in molti Paesi sono stati impiegati per spiare attivisti, oppositori politici, giornalisti, tra questi anche Francesco Cancellato, direttore di Fanpage.it.
Eppure le denunce sembrano passare in sordina. Paragon ha appena firmato un contratto da 2 milioni di dollari con l’agenzia federale per l’immigrazione (ICE), mentre l'ex ambasciatore americano David Friedman ha accettato di diventare presidente esecutivo della holding proprietaria di NSO. Due mosse che segnano un avvicinamento strategico alle istituzioni statunitensi.
Di fronte a questo scenario, Apple e WhatsApp hanno confermato la loro linea dura: informeranno sempre gli utenti qualora risultassero bersagli di spyware governativi, indipendentemente dal Paese in cui si trovano o dall’agenzia che li utilizza. La decisione rappresenta un segnale chiaro: le grandi aziende tecnologiche vogliono proteggere la privacy dei cittadini anche di fronte a pressioni politiche e contratti governativi.
La posizione di Apple e Meta
Apple ha dichiarato: "Le notifiche di minaccia sono progettate per informare e assistere gli utenti che possono essere stati presi di mira individualmente da spyware mercenaria e la localizzazione geografica non è un fattore per decidere a chi vengono inviate". WhatsApp, invece ha spiegato: "La nostra priorità è proteggere gli utenti interrompendo i tentativi di hackeraggio da parte di spyware mercenarie, costruendo nuovi livelli di protezione e avvisando chiunque — dovunque nel mondo — il cui dispositivo sia stato minacciato".
Le due aziende al centro della scena: NSO Group e Paragon
Fondata in Israele nel 2010, NSO Group è nota soprattutto per il software di sorveglianza Pegasus, che consente attacchi "zero click" : ovvero l’infiltrazione di uno smartphone senza che l’utente debba compiere alcuna azione. Nel novembre 2021 il Dipartimento del Commercio statunitense l’ha inserita nella cosiddetta Entity List – una “lista nera” che vieta l’esportazione di tecnologie statunitensi verso NSO – spiegando che l’azienda aveva "sviluppato e fornito spyware a governi stranieri che lo hanno usato in modo malevolo contro funzionari, giornalisti, imprenditori, attivisti e diplomatici".
Anche Paragon è un’azienda israeliana – ora con sede o controllata da investitori statunitensi – che produce uno spyware chiamato Graphite. Questo software promette l’accesso e la compromissione di dispositivi mobili, comprese applicazioni cifrate come WhatsApp, Signal o Telegram, senza che l’utente ne sia consapevole.
Nel gennaio 2025, Meta ha avvisato Francesco Cancellato, che il suo account era stato preso di mira con Graphite — anche in questo caso un software “zero-click”. Citizen Lab ha confermato che anche Ciro Pellegrino, capo redazione di Fanpage.it a Napoli, è stato oggetto dello stesso attacco. Paragon in seguito alle denunce ha interrotto i suoi rapporti con il governo italiano, insinuando che l'Italia avesse violato i termini di servizio che vietano l'uso dello spyware contro membri della società civile.
Spyware mercenari e diritti civili: l’allarme negli Stati Uniti
Nonostante i precedenti, l’ingresso di NSO e Paragon nel mercato statunitense prosegue. Nel caso ICE-Paragon, ciò che preoccupa è che l’accesso a uno spyware sofisticato venga dato a un’agenzia dell’immigrazione statunitense – già sotto accusa da parte dei gruppi per i diritti civili per le sue modalità operative. Il senatore democratico Ron Wyden è preoccupato che l’ICE possa usare Graphite "per calpestare i diritti degli americani e di chiunque Donald Trump etichetta come nemico". Nel 2023, l’amministrazione del presidente Joe Biden aveva imposto un ordine esecutivo (Executive Order 14093) in cui vietava all’amministrazione federale di acquistare spyware commerciali che fossero stati abusati da governi stranieri per repressione o violazioni dei diritti umani. Ma l’attivazione del contratto da 2 milioni con Paragon suggerisce un'inversione di rotta.
"Nessuno è protetto" quando si tratta di spyware mercenari, ha ammonito John Scott-Railton, ricercatore senior presso il Citizen Lab dell'Università di Toronto, uno dei massimi esperti mondiali nel monitoraggio e nell'interruzione dell'uso di strumenti spyware contro i membri della società civile in tutto il mondo.
"Le aziende americane non sono pronte a iniziare a rilevare e difendersi da questo tipo di minaccia in patria. E nemmeno nessun altro, tra l'altro. Né gli ospedali, né gli avvocati e i giudici, né i politici, e certamente nemmeno i cittadini comuni", ha affermato. "L'ultima cosa di cui l'America ha bisogno in questo momento è un'epidemia silenziosa di spyware".
Quando le notifiche non bastano: i limiti della tutela digitale
L’impegno pubblico da parte di Apple e WhatsApp di informare gli utenti presi di mira è significativo, ma non risolve da solo le questioni strutturali. Restano aperti interrogativi cruciali: chi decide quali spyware possono essere utilizzati, con quali criteri e controlli, e quali rimedi legali sono realmente accessibili alle vittime. Senza regole chiare e strumenti di controllo efficaci, il rischio di sorveglianza abusiva, in particolare contro giornalisti, attivisti e oppositori politici, rimane concreto.
Le notifiche post factum rappresentano uno strumento importante di trasparenza, ma non bastano a garantire diritti, sicurezza e fiducia in un contesto dove la tecnologia può trasformarsi in un’arma di controllo invisibile.
