Copasir contro Paragon: “In audizione hanno dato un’altra versione, la desecretiamo”

AGGIORNAMENTO: Svolta nel caso dello spionaggio ai danni di attivisti e giornalisti, tra cui il direttore di Fanpage.it, Francesco Cancellato, e l'attivista Luca Casarini. La relazione del Copasir sull'uso dello spyware Graphite da parte dell'intelligence è stata smentita oggi dall'azienda israeliana Paragon Solutions, che fornisce il software spia ad agenzie governative di stati democratici. I punti critici, come vi abbiamo spiegato qui, sono più di uno.

L'azienda israeliana Paragon Solutions ha fatto sapere di aver rescisso tutti i suoi contratti con il governo italiano dopo il rifiuto di quest'ultimo di collaborare a verifiche e controlli per scoprire chi avesse spiato Cancellato e come. Sarebbe stata questa la miccia della fine di ogni rapporto, ha fatto sapere l'azienda in una nota, spiegando che la ricostruzione fornita dalla relazione pubblicata dal Copasir nei giorni scorsi sostanzialmente contiene delle imprecisioni.

Graphite, come era spiegato nella relazione, era in dotazione di due agenzie di intelligence: l'Aise, per l'estero, e l'Aisi, per i servizi interni. Una volta esploso il caso, i contratti di fornitura con i servizi italiani erano stati in un primo momento sospesi e poi definitivamente rescissi.

Da quanto è emerso, Paragon si sarebbe messa a disposizione, offrendo la sua piena collaborazione al governo italiano, per risalire all'origine degli spionaggi ai danni dei giornalisti di Fanpage.it. Ma il governo avrebbe declinato l'offerta. "L'azienda – si legge nella nota di Paragon – ha offerto al governo e al parlamento italiano un modo per determinare se il suo sistema fosse stato usato contro il giornalista in violazione della legge italiana e dei termini contrattuali". Ma visto che le autorità italiane si sono chiamate fuori, Paragon ha rescisso i suoi contratti in Italia", ha ricostruito l'azienda.

Il punto però è che il Copasir aveva messo nero su bianco un'altra versione dei fatti: nel rapporto rilasciato pochi giorni fa, c'è scritto che Paragon non potrebbe sapere se una persona è vittima di spionaggio o no. Nella sua relazione infatti, il Comitato spiegava che "la società non avrebbe alcun ruolo nell’utilizzo che il cliente fa del sistema e, in particolare, non avrebbe accesso e non sarebbe a conoscenza dell’identità dei soggetti che vengono presi di mira dai clienti o dei dati che vengono registrati dal suo dispositivo".

Ma c'è un'altra questione che è stata completamente ribaltata dalla nota di Paragon. Sempre il Copasir ha detto che sono stati i Servizi italiani, e non viceversa, a interrompere i contratti con Paragon. "A seguito del clamore mediatico suscitato dalla vicenda, il 14 febbraio 2025 Paragon, AISI e AISE hanno concordemente deciso – secondo quanto chiarito in sede di audizioni al Comitato – di non impiegare, dunque di sospendere temporaneamente, le capacità del software Graphite su nuovi target", si legge nel rapporto. Le cose secondo la società israeliana però sono andate diversamente, e sarebbe stata sua la decisione di interrompere qualunque rapporto con l'Italia dopo che è esploso il caso.

I Servizi smentiscono la versione di Paragon

"Non vi è mai stato alcun rifiuto, o opposizione, da parte del Governo e dei Servizi italiani, di prestare collaborazione al predetto Comitato: il Copasir ha potuto effettuare accertamenti sui log delle inoculazioni realizzate dalle Agenzie, operazione di verifica che non ha precedenti, riscontrando la conformità a quanto dichiarato da queste ultime", hanno fatto sapere fonti del Dis, in merito alle polemiche sul caso Paragon.

Il 14 febbraio scorso le Agenzie di intelligence e Paragon Solutions "decisero di comune accordo la sospensione dell'uso dello spyware Graphite. La notizia ebbe grande evidenza mediatica, senza incontrare mai rettifica o smentita da alcuna delle parti. Fra Agenzie di intelligence e Paragon in data 12 aprile 2025 si è poi pervenuti alla decisione di siglare il ‘documento che conclude le relazioni commerciali fra le parti, senza ulteriori richieste o incombenze'. Quindi, non vi è mai stata rescissione unilaterale a seguito di presunte condotte illegali delle Agenzie di intelligence italiane", hanno precisato le stesse fonti.

Che non vi sia stata rescissione unilaterale, ha sottolinea il Dipartimento delle informazioni per la sicurezza, "è riportato anche dalla relazione del Comitato parlamentare per la sicurezza della Repubblica, approvata all'unanimità, dopo un articolato e complesso accertamento. Non vi è mai stato alcun rifiuto, o opposizione, da parte del Governo e dei Servizi italiani, di prestare collaborazione al predetto Comitato: il Copasir ha potuto financo effettuare accertamenti sui log delle inoculazioni realizzate dalle Agenzie – operazione di verifica che non ha precedenti -, riscontrando la conformità a quanto dichiarato da queste ultime".

"Il Comitato, in particolare – ha aggiunto il Dis – ha avuto accesso ai sistemi Graphite installati presso Aisi e Aise e ha posto in essere tutti i test che ha ritenuto necessari. Inoltre, il Copasir ha verificato presso il Dis la documentazione relativa alle attività captative effettuate con Graphite, che per legge deve essere custodita nell'archivio segreto del Dipartimento, entrando nei database. Si è trattato di una attività di controllo esaustiva, compiuta dall'unico organismo legittimato a tanto dalla legge 124/07, in quanto rappresentativo del Parlamento".

L'intelligence italiana non ha "ritenuto accettabile la proposta di Paragon di effettuare una verifica sui log di sistema delle piattaforme Graphite in uso ad Aise e Aisi, in quanto pratiche invasive, non verificabili nell'ampiezza, nei risultati e nel metodo e, pertanto, non conformi alle esigenze di sicurezza nazionale. Ove tali verifiche fossero state realizzate da un soggetto privato e straniero, avrebbero severamente compromesso la reputazione delle Agenzie italiane nella comunità intelligence internazionale ed esposto dati per loro natura riservati", hanno fatto sapere fonti di intelligence, dopo che Paragon ha denunciato la mancanza di collaborazione delle autorità italiane, per trovare "un modo per determinare" se Graphite "fosse stato utilizzato contro il giornalista" Francesco Cancellato.

"Quanto alla disponibilità di un'azienda privata, qual è Paragon, a installare un proprio software su server di strutture che si occupano della sicurezza nazionale – ha spiegato il Dipartimento delle informazioni per la sicurezza – va precisato che gli strumenti di controllo che erano stati offerti dalla società israeliana si limitavano alle seguenti due opzioni: l'analisi delle attività di inoculazione (e perciò dei log di sistema) tramite un software proprietario della stessa società, oppure l'analisi diretta da parte di personale Paragon presso le sedi e i sistemi dei Servizi italiani". Una proposta ritenuta inaccettabile dalle Agenzie. "Vi è stata invece la concreta disponibilità, raccolta dal Copasir, a far effettuare gli accessi informatici prima indicati", ha aggiunto il Dis.

Il Copasir respinge le ricostruzioni di Paragon e promette di desecretare i contenuti dell'audizione

Il Comitato parlamentare per la sicurezza della Repubblica "prende atto, con stupore, del contenuto delle dichiarazioni attribuite alla società Paragon Solutions dal giornale israeliano Haaretz secondo le quali la società avrebbe deciso di rescindere i propri rapporti contrattuali con le Agenzie di intelligence italiane in quanto il governo e il parlamento, a loro dire, avrebbero rifiutato di utilizzare i servizi dalla stessa offerti per verificare se il giornalista Francesco Cancellato fosse stato sottoposto ad attività di captazione attraverso lo spyware Graphite", hanno scritto in una nota firmata all'unanimità i componenti del Copasir.

"Nel corso dell'audizione, svoltasi il 9 aprile 2025, i rappresentanti della società Paragon hanno affermato, anche in risposta a vari quesiti posti dai componenti del Comitato, che, per acquisire la certezza della sottoposizione o meno di un'utenza a captazione attraverso lo spyware Graphite, sarebbe stato necessario procedere attraverso una interrogazione diretta del database e del registro di audit presso la sede dei clienti, cioè i Servizi, oppure, in alternativa, utilizzare, di concerto con le Agenzie di intelligence, il servizio offerto dalla stessa società Paragon. Tali opzioni, in risposta a domanda precisa posta da componenti del Comitato, sono state definite come assolutamente equivalenti da parte degli auditi".

"In questo senso, come ampiamente descritto nella relazione pubblicata lo scorso 5 giugno, il Comitato ha interrogato direttamente, nel corso dei sopralluoghi effettuati presso le sedi di Aisi e Aise il 7 maggio 2025 nell'esercizio dei poteri conferiti dalla legge, sia i database che i registri di audit, non cancellabili unilateralmente da parte del cliente-utilizzatore, con gli esiti noti già riportati nella stessa relazione", hanno aggiunto i membri del Copasir.

"Il Comitato si riserva di desecretare, in via straordinaria il resoconto stenografico della citata audizione anche a tutela della serietà del lavoro svolto la cui ampiezza e livello di approfondimento, senza precedenti, si sono spinti ben oltre le consuete attività di verifica e hanno visto, per la prima volta, un riscontro personale diretto da parte dei componenti del Copasir che hanno potuto interrogare, peraltro, il sistema usato per le captazioni".