Il nuovo report sul caso Paragon: ci sono le prove dell’uso di Graphite per spiare Ciro Pellegrino

Graphite è stato usato per spiare almeno due giornalisti in Italia. Il primo caso è stato svelato lo scorso gennaio. La vittima era Francesco Cancellato, direttore di Fanpage. Il secondo è stato chiarito ora e coinvolge Ciro Pellegrino, capo area della redazione di Napoli. Sempre Fanpage. A scriverlo, in un nuovo rapporto che Fanpage.it ha potuto visionare in anteprima e di cui vi anticipiamo il contenuto, sono i ricercatori di Citizen Lab, il gruppo di analisti dell’Università di Toronto che ha seguito il caso dal Capitolo 0. Vi lasciamo il documento con l'analisi completa.

Graphite è uno spyware sviluppato dalla società israeliana Paragon Solutions. Parliamo di un prodotto sofisticato, in grado di infettare uno smartphone con un attacco che in gergo viene definito zero-click. Tutto parte da un pdf. Il file viene mandato al bersaglio, viene ricevuto dallo smartphone e inizia subito l’attacco. Non serve nemmeno aprirlo.

Le prove dell'attacco con Graphite

Nel nuovo report Citizen Lab spiega che nelle sue analisi ha trovato le prove della presenza dello spyware Graphite anche nello smartphone del nostro giornalista Ciro Pellegrino. Per essere più precisi, l'analisi forense dei ricercatori canadesi ha permesso di individuare le tracce dell’account iMessagge identificato come ATTACKER1 che viene associato a un tentativo di infezione con Graphite.

Come saprete, iMessagge è il servizio di messaggistica sviluppato da Apple. L’attacco su Pellegrino è avvenuto su un iPhone, quello a Cancellato su uno smartphone con un sistema operativo Android (e infatti mentre la segnalazione dell'attacco al direttore è arrivata da Meta, quella a Pellegrino direttamente da Apple).

L'azienda statunitense era del resto stata chiarissima nel messaggio con cui avvisava il caposervizio dell'area Napoli di Fanpage.it: “Apple ha rilevato un attacco spyware mercenario mirato contro il tuo iPhone. […] È probabile che questo attacco ti stia prendendo di mira specificamente per via della tua identità o delle tue attività”.

Curiosamente, la posizione di Ciro Pellegrino non era stata analizzata dal Copasir, il Comitato parlamentare per la sicurezza della Repubblica che, dopo la segnalazione degli attacchi a Cancellato e agli attivisti di Mediterranea, aveva indagato sulla vicenda. Pubblicando, come vi abbiamo raccontato, una relazione finale in cui ratificava lo spionaggio delle nostre unità d'intelligence ai danni di Luca Casarini e Beppe Caccia (di Mediterranea), ma allo stesso tempo sanciva che non ci fossero certezze circa l'attacco al direttore di Fanpage.it.

Nel resoconto finale, approvato all'unanimità, i membri del Copasir citavano proprio Citizen Lab, riconoscendone l'autorevolezza, ma stabilendo che non ci fossero evidenze sufficienti a confermare la notifica che Meta aveva inviato al direttore del nostro giornale. Di più, il Copasir riferiva di aver verificato l'assenza del nominativo di Cancellato nel database dei servizi, assolvendo definitivamente la nostra intelligence da possibili responsabilità.

Il cluster Fanpage: “Gli attacchi non sono una coincidenza”

È evidente che il nuovo report di Citizen Lab è destinato a cambiare le cose. Non solo perché precisa nuovamente i termini della questione relativamente all'attacco a Francesco Cancellato, chiarendo che "data la natura dei Log sui dispositivi Android, l’assenza del ritrovamento di BIGPRETZEL su un particolare device non significa che non sia stato hackerato con successo, ma semplicemente che log rilevanti possono non essere stati catturati o essere stati sovrascritti". Che il direttore di Fanpage.it fosse un target di Paragon, del resto, lo aveva confermato proprio John Scott Railton, di Citizen Lab, in audizione in Commissione Libe al Parlamento Europeo.

Soprattutto, ora i ricercatori scrivono che gli attacchi a Francesco Cancellato e a Ciro Pellegrino non sono una coincidenza. Riportiamo le loro parole: “L’identificazione di un secondo caso in cui Paragon colpisce un membro dello staff di Fanpage.it suggerisce che le tracce di attacchi contro questo giornale italiano non siano una coincidenza. C’è la possibilità che ci sia un cluster”.

Il governo italiano sceglie di non rispondere

Di fronte alle nuove prove, fornite da ricercatori la cui autorevolezza è riconosciuta dal Copasir e i cui riscontri su Caccia e Casarini sono stati confermati ufficialmente dai servizi segreti italiani, abbiamo chiesto una replica al governo italiano. Il portavoce di Palazzo Chigi, però, ha preferito non rilasciare alcuna dichiarazione.

Il Case 1: un altro giornalista spiato in Europa

Nel report di Citizen Lab emerge anche un terzo caso chiamato Case 1. Un altro giornalista, oltre a Ciro Pellegrino e Francesco Cancellato, è stato spiato con il software Graphite. Non ci sono dati sulla sua identità. Vuole restare anonimo, o anonima. Anche nel suo caso tutto parte da una notifica ricevuta da Apple: l'alert è arrivato il 29 aprile.

Il suo dispositivo è stato attaccato tra gennaio e inizio febbraio. I ricercatori di Citizen Lab hanno trovato nei dati analizzati diversi collegamenti tra il dispositivo e un server collegato a Paragon. L'attacco è stato della categoria zero-click ed è avvenuto tramite iMessage.