Trojan, l'allarme del generale della GdF: mani della mafia sui software spia

Tutti così impegnati a contenere il pericolo Coronavirus, ci siamo un po' dimenticati del tema intercettazioni. Il decreto firmato dal ministro Alfonso Bonafede è passato alla Camera senza colpo ferire, e a maggio diventerà operativo. Certo: il palazzo di Giustizia di Milano potrebbe chiudere causa Covid-19, e chissà se il contagio non investirà altre procure. Ma le intercettazioni tramite l'uso dei software spia sono ormai legge. Con tutti i rischi non calcolati che ne conseguono.

Il "cavallo di Troia" informatico sarà usato nelle indagini per mafia, terrorismo e reati contro la pubblica amministrazione, con meno limiti di quanti previsti dalla precedente legge: via libera alle captazioni all'interno delle abitazioni private (anche in assenza di un reato in flagranza) e all'uso delle intercettazioni anche in caso di reati connessi a quello per cui si sta indagando. Come rivelato dal Giornale, però, la nuova normativa sui trojan ha sollevato i dubbi di magistrati, garante della privacy e addetti ai lavori. Si tratta infatti di uno strumento potente, in grado di infettare un dispositivo portatile (computer, cellulare, tablet), di accenderne il microfono e fare molte altre cose. Sebbene la legge lo autorizzi solo per intercettare i dialoghi di un indagato, restano diverse zone oscure. Ombre che si annidano soprattutto in quelle "molte altre cose" che il sistema è in grado di operare sui dispositivi infettati (tipo copiare i dati, caricare materiale ad hoc o rubare le password). In particolare se gestito dalle mani sbagliate.

A lanciare l'allarme è Umberto Rapetto, generale della Guardia di Finanza in congedo. Di investigazioni tecnologiche se ne intende: ha lavorato, tra le altre cose, anche alle indagini per la cattura degli hacker entrati nel Pentagono e nella Nasa. Secondo l'ex fiamma gialla, l’introduzione dei trojan sta "solleticando gli appetiti degli imprenditori del settore dell’innovazione", ma anche quelli "del crimine organizzato". Il governo ha infatti deciso di affidare le indagini tramite captatori alle società private, permettendo alle procure di reperire sul mercato i software spia. Si prospettano grossi margini di guadagno, e la mafia è solita "afferrare al volo avvincenti occasioni di profitto".

A preoccupare non è però solo il rischio che si vadano ad ingrossare le casse dei mafiosi. Ma anche l’uso che organizzazioni criminali potrebbero fare dei trojan "venduti" alle procure. "Il prodotto confezionato per essere ragionevolmente ‘adottabile’ dall’Autorità Giudiziaria sul territorio - scrive Rapetto - potrà non corrispondere a quel che si profila all’acquirente o a chi opta per il noleggio di certi sistemi". Tradotto: potrebbe essere utilizzato per altri fini. La competenza, infatti, è tutta nelle mani dei tecnici delle società private. Chi vigilerà affinché gli invasivi virus-spia non vengano usati per 'caricare' materiale nei dispositivi all'insaputa del proprietario? Semplice: nessuno. Il ministero infatti se ne è lavato le mani, spostando la responsabilità sulle aziende. Chi farà un uso distorto del virus, verrà indagato e magari condannato. Ma non esiste un controllo “preventivo”, se non un meccanismo tecnico che (pare) permetterà ai procuratori di verificare le attività realizzate dalle ditte sui server. Nel frattempo, spiega Repetto, il trojan potrebbe "tenere comportamenti difformi rispetto alle aspettative di chi lo ha comprato". E se a produrlo fossero società affiliate alla mafia, l'effetto sarebbe ovviamente nefasto.

Facciamo un esempio. La legge prevede che tutti i file delle conversazioni catturate tramite trojan vengano riversati dalle società private in server dislocati nelle procure. Ci sono però alcuni problemi: primo, le stesse aziende non sono certe di poter garantire "l’autenticità" dei dati trasmessi; secondo, cosa accadrà nel passaggio tra il trojan e il server? "Il software in questione - scrive l'ex generale - potrebbe anche mandare (complice una specie di carta carbone virtuale) le medesime informazioni anche ad un altro sistema informatico governato dall'azienda produttrice per un reimpiego diretto o su commissione". Per i pm sarebbe quasi impossibile intercettare il traffico anomale di dati: intanto, "il fornitore non consegnerà mai i ‘codici sorgente’ del proprio software" e comunque non è detto che le procure sarebbero in grado di trovare l'inghippo.

Senza contare che "la stessa fase di ‘inoculazione’ è affidata ai tecnici del produttore del trojan", che conosceranno il nome della “vittima” e magari potranno piazzare “qui e là una backdoor” nel sistema, ovvero degli “invisibili ‘ingressi sul retro’ con cui accedere”. Se ha ragione Rapetto, si prospetta un quadro a tinte fosche.