IL MITO DELLA CYBERSECURITY

Il telefono in tasca è una porta aperta

Intervista al dott. Riccardo Benzi Cipelli, medico chirurgo, a cura di Giulio

Maniscalco

Dottore, cosa significa davvero che qualcuno può spiare il nostro telefono?

Significa leggere i vostri messaggi, anche su WhatsApp e Signal, quelli che credete

cifrati e al sicuro. Ascoltare le conversazioni attraverso il microfono con lo schermo

spento, vedere dalle fotocamere, sapere sempre dove siete, con chi parlate, cosa

cercate. Tutto questo senza che abbiate aperto un link, scaricato un allegato, o fatto

qualsiasi cosa di sbagliato. Senza che il telefono mostri il minimo segnale. È

sorveglianza totale, silenziosa, invisibile, documentata in tribunale, in decine di paesi,

su decine di migliaia di dispositivi.

Sembra fantascienza. È davvero possibile?

È la descrizione tecnica di Pegasus, lo spyware sviluppato dal 2011 dall’israeliana

NSO Group e documentato con prove forensi in almeno 45 paesi. Ma Pegasus è solo

il capostipite di una famiglia. Oggi esistono almeno altri sette o otto sistemi analoghi

ed anche più avanzati, venduti a governi di tutto il mondo, usati sistematicamente

contro giornalisti, avvocati, attivisti, oppositori politici. Tutte queste aziende si

chiamano aziende di cybersecurity. Nessuna esclusa. Sono le stesse aziende che

vendono protezione a vendere intrusione. Spesso agli stessi governi, spesso sugli

stessi cittadini.

Come entrano nei telefoni senza che l’utente faccia nulla?

Attraverso i cosiddetti zero-click exploit: vulnerabilità che non richiedono nessuna

azione della vittima. Lo spyware sfrutta falle nel modo in cui il sistema operativo

elabora dati in arrivo, messaggi, chiamate, i pacchetti di rete, prima ancora che

l’utente possa vederli. Il software si installa, accede a tutto, trasmette in silenzio. Il

bersaglio non lo scopre da solo: lo scopre, forse, anni dopo, quando un ricercatore

analizza il dispositivo con strumenti forensi. Nel frattempo ha trasmesso tutto.

Ci sono esempi concreti?

Nel 2019, WhatsApp scoprì che Pegasus sfruttava una falla nelle videochiamate:

bastava riceverla, anche senza rispondere. Circa 1.400 persone in 51 paesi. Nel 2021,

Apple rilasciò una patch d’emergenza per ForcedEntry, una vulnerabilità capace di

aggirare BlastDoor, il sistema progettato esplicitamente per prevenire questo tipo di

attacco. Nel 2025, Paragon usava Graphite per infettare telefoni attraverso iCloud,

con punteggio di rischio 9.8 su 10. Ogni volta che una vulnerabilità viene chiusa, la

versione successiva è già pronta. Il ciclo non si interrompe mai.

Chi acquista questi strumenti, e con quali risultati?

Tra il 2011 e il 2023, almeno 74 governi. Carnegie Endowment li ha contati: 44

autocrazie e 30 democrazie, Grecia, Spagna, Polonia, India, Messico, Italia. In Grecia

è stato spiato il leader dell’opposizione e un giornalista investigativo. In Polonia il governo precedente ha monitorato Donald Tusk prima che tornasse al potere. In Italia

il COPASIR ha confermato nel 2025 l’uso di Graphite contro sette persone: due

giornalisti di Fanpage.it, i fondatori di Mediterranea Saving Humans e di Refugees in

Libya. Tutti critici delle politiche migratorie del governo in carica.

Paragon ha interrotto i rapporti con l’Italia parlando di “uso improprio”. Che

ne pensa?

Che è una formula costruita per spostare la responsabilità senza assumerla. Il governo

italiano non aveva usato Graphite in modo diverso da quello per cui è progettato: lo

aveva usato esattamente per sorvegliare chi disturba chi governa, senza mandato

giudiziario, senza che le vittime lo sapessero. Questo agli occhi del mercato non è un

uso improprio: è il caso d’uso tipico. Paragon ha rescisso il contratto per tutelare sé

stessa, non le vittime. I procuratori italiani hanno chiesto spiegazioni per via

diplomatica all’inizio del 2025. A un anno di distanza, Paragon non ha ancora

risposto. NSO non risponde sul Messico, Paragon non risponde sull’Italia, Cytrox non

risponde sulla Grecia. Questo non è imbarazzo, è architettura!

Come si è evoluta questa industria nel tempo?

Prima di Pegasus c’erano FinFisher, venduto nel 2010 a governi in Bahrain, Egitto,

Etiopia, Vietnam, e il Remote Control System di Hacking Team, azienda milanese

che spiava per Sudan, Arabia Saudita, Marocco, Kazakistan. Il suo erede RCS Lab ha

prodotto Hermit, documentato in Italia e Kazakhstan nel 2022. Poi Candiru, spyware

israeliano su Windows, sei milioni di euro per cento dispositivi simultanei. Poi

Predator, che sopravvive al riavvio del dispositivo: una volta dentro, rimane. Nel

2026 sono arrivati DarkSword e Coruna, già in uso presso il crimine organizzato, con

il codice pubblicato su GitHub. Il mercato non si è democratizzato: si è proletarizzato

verso il basso.

Che ruolo ha oggi l’intelligenza artificiale?

Cambia la natura del problema, non solo la scala. Prima erano necessari operatori

altamente qualificati per ogni fase: scegliere il bersaglio, analizzarne il dispositivo,

selezionare il vettore di attacco, gestire l’estrazione. Costoso, lento, limitato nella

scala. L’AI ha smantellato questo collo di bottiglia: i sistemi moderni automatizzano

l’intera ricognizione, sistema operativo, versione, app installate, e selezionano

autonomamente l’exploit più efficace, in tempo reale, senza intervento umano, su

migliaia di bersagli in parallelo. È una pipeline a ciclo chiuso che opera a velocità-

macchina: nessun collo di bottiglia umano, nessuna esitazione, nessun errore di

stanchezza. I numeri lo confermano: +29% di attacchi su smartphone nel primo

semestre 2025. Circa 100 paesi con capacità commerciali di spyware. Nel 2025, i

principali acquirenti di vulnerabilità zero-day sono stati i fornitori di spyware

commerciali, davanti agli stessi attori statali cinesi.

L’AI non ha inventato lo spyware. Ha fatto qualcosa di più pericoloso: ha trasformato

uno strumento artigianale in un sistema industriale, capace di operare su scala di

massa senza supervisione umana.

Lei contesta anche il termine “cybersecurity”. Perché?

Perché il nome non è neutro: è il prodotto più raffinato che queste aziende abbiano

mai sviluppato. NSO Group si descriveva come “cyber-intelligence contro il

crimine”. Paragon come l’alternativa “etica”. Hacking Team vendeva “lawful

interception”. Ogni entità in questa genealogia ha usato il linguaggio della sicurezza

per vendere strumenti di attacco. Chiamarla cybersecurity non è imprecisione: è

architettura del consenso, un alone positivo che copre un’industria il cui prodotto

principale è l’intrusione. La linea tra cybersicurezza e cyberspionaggio non è sottile:

semplicemente non esiste. Sono le due facce allo specchio della stessa industria.

Perché cita il caso Cyberealm e il gruppo MaticMind?

Cyberealm ha mostrato come questo ecosistema sia già dentro le nostre istituzioni.

L’inchiesta di Report del 2023 ha rivelato che il senatore Gasparri presiedeva, senza

averlo dichiarato al Parlamento, una società collegata all’italo-israeliano Leone

Ouazana, con un prodotto chiamato Achille: un trojan iOS e Android per

“profilazione di intelligence completa”. Struttura funzionale identica a Pegasus.

Cliente potenziale: la Pubblica Amministrazione italiana. MaticMind controlla SIO

S.p.A., che dal 1992 sviluppa sistemi di monitoraggio per intercettazioni “legali”

destinati ad agenzie della PA e Dipartimenti Speciali. Tutto “legale”. Ma la distanza

tra ciò che è legale e ciò che è lecito, in questo settore, è spesso sottile quanto una

firma su un contratto governativo.

E il Fascicolo Sanitario Elettronico 2.0: quale pericolo rappresenta?

Il FSE 2.0 è il dispositivo di controllo sociale più pervasivo mai costruito in Italia, e

lo stiamo installando da soli, convinti di modernizzare la sanità. Il PNRR ne impone

la piena operatività entro giugno 2026. Raccoglie l’intera storia clinica di ogni

cittadino: diagnosi, terapie, vaccinazioni, ricoveri. Il decreto istitutivo del 2022 lo

definisce esplicitamente “il mezzo principale di sorveglianza del sistema

sanitario“. Sorveglianza: parola di legge, non mia interpretazione. Il medico di

medicina generale, nelle Case della Salute, diventa terminale di un sistema

centralizzato in cui compliance del paziente, adesione alle terapie, alle

vaccinazioni, ai protocolli, è visibile, classificabile, confrontabile con i parametri

attesi dalla politica sanitaria del momento. Prima il medico viene affiancato dall’AI

come supporto decisionale. Poi sostituito dall’AI come decisore. La relazione

fiduciaria tra medico e paziente, fondata su riservatezza e autonomia clinica, si

dissolve in un nodo di raccolta dati la cui governance appartiene a chi scrive i

parametri del sistema.

Uno spyware come Pegasus colpisce un bersaglio alla volta. Il FSE2.0 integrato con

AI opera su cinquantotto milioni di cittadini in simultanea, senza autorizzazioni caso

per caso, senza tracce visibili. È la stessa pipeline a ciclo chiuso, ma applicata

all’intera popolazione attraverso il sistema sanitario.

Qual è il messaggio finale per i nostri lettori?

Che dare alle cose il loro nome corretto è il primo atto di resistenza. Il nostro telefono

è vulnerabile per costruzione, in un sistema dove la capacità di entrarvi esiste, viene

comprata regolarmente, e diventa ogni anno più economica e automatizzata. La

nostra cartella clinica racconta la stessa storia con altri mezzi. Cybersecurity,fascicolo sanitario, transizione digitale: tutti nomi rispettabili per un unico processo,

la costruzione di un sistema di conoscenza asimmetrica in cui lo Stato sa tutto di noi e

noi non sappiamo nulla di quello che fa con ciò che sa. La consapevolezza non

risolve il problema, ma senza consapevolezza non si comincia nemmeno a porselo.

Conoscere i fatti è il primo passo per poterli valutare criticamente e difendere la

propria libertà. E in un mondo che non prevede certezze la speranza della libertà è già

un grande traguardo.