E ora chi pagherà per lo scandalo Hacking Team? In questi giorni, interi team di esperti forensi, attivisti, giornalisti stanno esaminando i file per cercare di capire cosa faceva esattamente il trojan “Rcs” e chi potrebbe aver preso di mira. Quella sofisticata tecnologia di sorveglianza, creata e commercializzata dalla Hacking Team di Milano, aveva o no una backdoor che permetteva all’azienda di controllare a distanza come il trojan veniva usato dai clienti? E conteneva una backdoor che consentiva di piantare false prove nei computer delle persone prese di mira? Oppure questo scenario è solo una possibilità teorica, come ha rivelato il caso del Bundestrojaner, ovvero il trojan di stato tedesco, scoperto nel 2011 a Berlino?
In attesa delle analisi tecniche, le email interne dell’azienda,rese disponibili da WikiLeaks , aprono un rarissimo squarcio su un business segreto e impenetrabile come quello del software per la sorveglianza e su un mondo altrettanto segreto e impenetrabile come quello delle esportazioni di queste tecnologie.
Fuori controllo
«Ciao a tutti, alla luce di quanto sta succedendo in medio oriente (isis, iraq etc…) sarebbe forse utile capire con Simon qual è la situazione con il cliente Condor e cosa fare per prevenire che, malauguratamente, l’installazione finisca nelle mani sbagliate. Per tutelare noi, oltre che il cliente stesso. Che ne pensate?».
E’ il 5 novembre 2014 quando i tecnici della Hacking Team sembrano preoccuparsi che la loro tecnologia possa finire in pessime mani . «Abbiamo incontrato il cliente per un training a Milano un mese e mezzo fa», risponde il manager della Hacking, Marco Bettini, all’email del collega che gli faceva presente il rischio, «hanno già avuto Isis a 20 km dalla loro città ad agosto e sono preparati per qualsiasi evenienza. Stiamo parlando di National Security».
Poche email fotografano bene l’affaire Hacking Team, come questo scambio di messaggi. Fin da quando “l’Espresso” ha rivelato nel 2011 il caso Hacking Team, grazie agli Spy Files di WikiLeaks, l’azienda si è sempre trincerata dietro comunicati ufficiali e un portavoce che rassicuravano come le denunce e gli allarmi degli attivisti fossero ingiusti e infondati e come l’azienda fosse nel pieno controllo della sua potente tecnologia.
Quanto tutto andasse bene l’abbiamo visto la notte di domenica 6 luglio, quando l’azienda ha subìto un attacco devastante, con la fuga di almeno un milione di file interni e con il rischio che ora la tecnologia Hacking Team sia fuori controllo. In un primo comunicato l’impresa milanese ha messo nero su bianco questo rischio: «L’abilità di controllare chi usa questa tecnologia è persa. Terroristi, estorsori e altri possono usarla come vogliono, se hanno l’abilità tecnica di farlo». Poi, però, in un’intervista a “ La Stampa”, l’amministratore delegato, Davide Vincenzetti, ha fatto marcia indietro. Dunque l’iniziale dichiarazione catastrofica era solo frutto di una reazione emotiva o il rischio è reale e si cerca di minimizzarlo?
Ma il punto è che l’immagine di sicurezza e controllo che l’impresa ha ostentato, fin da quando è finita sotto i riflettori nel 2011, ha vacillato più volte. In soli tre anni, dal 2012 al 2014, un laboratorio come il “Citizen Lab” di Toronto, che ha indagato sulla sorveglianza elettronica del Dalai Lama, è riuscito a scovare tre casi in cui il trojan Hacking Team è stato usato in modo a dir poco controverso: contro l’organizzazione giornalistica marocchina “Mamfakinch” critica del governo, contro un attivista per i diritti umani di alto profilo, Ahmed Mansoor, che denunciava abusi in Arabia Saudita, contro la televisione satellitare etiope, “Esat”, gestita da giornalisti che si oppongono al regime in Etiopia. Tre casi in tre anni. E’ pura sfortuna o è un dato di fatto che questa tecnologia si presti ad abusi? Il business aggressivo della Hacking Team – proprio quell’aggressività che ha messo l’azienda sullo schermo radar di tanti attivisti per i diritti umani – fa da amplificatore a questo rischio? In una fame insaziabile di nuovi clienti, l’azienda, stando alle email, è arrivata anche a proporlo alla Gendarmeria vaticana . Dopo il trojan di Stato, il trojan di Dio. L’Espresso ha contattato il colonnello Costanzo Alessandrini della Gendarmeria, che però non ha voluto rispondere.
Il mantello dei servizi
Se c’è una cosa chiara che emerge dalle email interne è la pressione dell’azienda sui nostri servizi, in particolare sul generale Antonello Vitale della presidenza del Consiglio dei ministri.
A Vitale, l’amministratore delegato Vincenzetti non si rivolge solo per ottenere di sbloccare la pratica con il ministero dello Sviluppo Economico, che nel novembre 2014 ha rischiato di far saltare il business estero dell’azienda, ma si rivolge anche per segnalare la concorrenza di un’altra azienda temibile, che porta avanti il business della sorveglianza : la Maglan .
Basata a Milano come la Hacking Team, dove ha il quartier generale europeo, ma con sedi in Nigeria, Kenya, Singapore, Svizzera, e Israele, di santi in paradiso la Maglan sembra averli: nell’advisory board siede il vice ammiraglio Ferdinando San Felice di Monteforte e il professore Umberto Gori, presidente del comitato scientifico dell’ “Intelligence and Security Studies” della Link Campus University di Roma.
Maglan è fin dal 2010 la forza propulsiva di una importante conferenza sulla cyberguerra, patrocinata dalla presidenza del Consiglio dei Ministri e che quest’anno si è sdoppiata con un’edizione Expo, patrocinata dalla Regione Lombardia e con un’agenda che andava da Roberto Maroni al generale Luigi Ramponi.
Sulla Maglan, l’amministratore di Hacking Team, Davide Vincenzetti, sembra avere qualche dubbio, tanto da rivolgersi al generale Antonello Vitale segnalando che «secondo la mia modesta opinione, la nostra tecnologia dev’essere portata avanti al più presto e declinata secondo le esigenze del Governo Italiano. Cominciano infatti a circolare annunci da parte di aziende di computer security e/o defense circa tecnologie simili. Una di queste aziende è l’israeliana NICE, nostro partner».
Vincenzetti, però, si dice sicuro che, nonostante sia loro partner, l’impresa israeliana Nice sia indietro rispetto a loro, perché non hanno risolto problemi importanti sulle comunicazioni criptate e Hacking Team sta volutamente negando aiuto alla Nice su quei problemi. Diverso sembra invece il caso della Maglan. A preoccuparlo, stando alle mail, è il fatto che Maglan affermi di essere in grado di intercettare e guadagnare intelligence dalle comunicazioni che viaggiano su Tor, il sistema di navigazione anonima in rete. Ma Vincenzetti si dice «piuttosto scettico al riguardo». Tuttavia, mette in guardia il generale Antonello Vitale: «E’ ovvio che c’è un mare di differenza tra una tecnologia sviluppata in Italia da un’azienda sotto la vostra supervisione e una tecnologia israeliana che potrebbe essere disegnata con finalità multiple e oscure».
Dunque in Italia operano sotto il manto di protezione della nostra presidenza del Consiglio aziende che costruiscono cyber-armi per penetrare nei sistemi informatici, tipo il trojan della Hacking Team, che però potrebbero avere finalità “oscure”, come scrive Vincenzetti? Oppure l’ad di Hacking Team avanza dubbi solo per un naturale antagonismo con la concorrenza? Nelle email, Vincenzetti insiste per un incontro con Vitale proprio per discutere di questo tema, gli spiega di essere «disposto anche a entrare nel vostro organico, se ciò ha senso ed è possibile».
Il guinzaglio corto del Ministero
Se c’è un racconto che emerge nitido dalle email interne della Hacking Team è quanto sia corto il guinzaglio dell’indipendenza per il Ministero dello Sviluppo Economico (Mise), che deve vigilare sull’esportazione all’estero di queste tecnologie e assicurarsi che non finiscano nelle mani di regimi sotto embargo.
Quando nel novembre 2014, dopo tre anni di denunce della stampa e degli attivisti, il ministero si decide a sottoporre a un controllo sistematico le esportazioni del trojan Hacking Team, usando un meccanismo chiamato “clausola catch-all”, Vincenzetti perde l’imperturbabilità del businessman adrenalinico e in un’esplosione emotiva, contatta tutti. «Si stanno interessando alla cosa Aisi, CC/Ros e Aise. Attendo un riscontro concreto della Guardia di Finanza», scrive l’ad di Hacking Team. Il generale Antonello Vitale promette: «Parleremo anche noi con Teti», riferendosi ad Amedeo Teti, il direttore generale per la politica commerciale internazionale del Mise e, stando ai cablo della diplomazia americana pubblicati da WikiLeaks, un interlocutore prezioso della diplomazia Usa all’interno del Mise (da notare che Hacking Team è una delle società del settore innovazione su cui ha scommesso il fondo di venture capital “Innogest” e il presidente dell’Advisory Board di Innogest è l’ex ambasciatore americano a Roma, Ronald Spogli).
Quando le cose con il Mise non sembrano risolversi abbastanza velocemente, il generale Vitale promette il bis: «Proveremo a fare un ulteriore intervento su Teti». E, a quanto pare, gli interventi devono aver funzionato, se Vincenzetti qualche giorno dopo scrive: «Teti patrocinerà la nostra causa».
Quinto Potere: WikiLeaks e giornalismo
Stando alle email, il ministero dello Sviluppo Economico, nella persona di Amedeo Teti, sarebbe stato disponibile anche a incontrare Vincenzetti, innervosito dalle rivelazioni de “l’Espresso” sulla Hacking Team, basate sui file di WikiLeaks e sul lavoro degli esperti del Citizen Lab e di Privacy International .
Le email rendono conto del serio fastidio dell’azienda. Le domande rivolte da l’Espresso a Hacking Team vengono definite «un vero e proprio interrogatorio di polizia », mentre in un’email Vincenzetti descrive un incontro tenutosi al Mise per discutere gli articoli del nostro giornale e le domande di Privacy International, che nel marzo 2014, aveva scritto proprio al Mise e al presidente della regione Lombardia, Roberto Maroni, per chiedere chiarimenti sulle esportazioni e sui finanziamenti dell’azienda milanese.
Dopo un attacco al lavoro giornalistico de l’Espresso, Vincenzetti spiega che: «siamo considerati [dalle autorità presenti all’incontro al Mise, ndr] come ‘il loro campione nazionale’, un’azienda modello, che dà lavoro a 50 persone in Italia, che sviluppa una tecnologia avanzatissima e utilissima e unica al mondo. Il loro obiettivo è quello di proteggerci da eventuali nuovi attacchi dei media o di altro tipo». Vincenzetti millanta, equivoca? L’Espresso ha chiesto spiegazioni sia alla Hacking Team che al Ministero. Non hanno risposto.