Intercettazioni via trojan alla prova della Cassazione

Mentre il cosiddetto premier sgomita – persino Mattarella e La Repubblica hanno storto il naso – per portare il suo ex padrone di casa a Palazzo Chigi come consigliere speciale per la “cybersicurezza”, l’offensiva governativo-poliziesca per installare liberamente trojan-spia su qualsiasi dispositivo elettronico (smartphone, tablet, pc, ecc) sembra arrivare a un punto di svolta. Tragico, per tutti i cittadini e soprattutto per gli oppositori politici del regime della Troika.

Questo articolo, pubblicato addirittura su La Stampa, chiarisce con nettezza i termini tecnici, giuridici e costituzionali di un’invasione poliziesca fuori controllo nella vita privata di chiunque.

Buona lettura e state preoccupati, almeno...

*****

Ha molti nomi pur restando invisibile ai più. Captatore informatico, agente intrusore, virus autoinstallante. Ma anche trojan o spyware. Sta di fatto che in questi mesi, per la prima volta dopo anni di utilizzo silenzioso, dalla Germania alla Gran Bretagna passando per l’Italia si è aperto un dibattito sull’utilizzo, da parte di Stati e forze dell’ordine, di questi strumenti informatici.

Tecnicamente sono software malevoli in grado di infettare un dispositivo (smartphone, tablet o pc) e di accedere a tutta la sua attività (comunicazioni telefoniche, mail, chat, foto, Skype, navigazione web, file) nonché di attivare microfono e videocamere per effettuare intercettazioni ambientali. Usati da anni e sempre di più dalle forze dell’ordine e dalle procure a fini investigativi.

Strumento potentissimo e dalle molte implicazioni su cui vige un tabù, nel senso che lo si usa ma nessuno (o quasi) ne parla. Raramente emerge nei processi. Il primo utilizzo documentato in Italia risale al 2004. Bisogna aspettare però il 2010 perché venga alla luce, attraverso una sentenza. Nel 2011 il tema esce sulla stampa italiana grazie all’inchiesta sulla cosiddetta P4 mentre nel 2011 il noto gruppo di hacker tedeschi Chaos Computer Club scopre l’uso di un trojan da parte della polizia federale in Germania. Nel 2012/13 il tema riemerge in Stati come il Bahrein, gli Emirati, l’Etiopia. Ma sembrerebbe restare un problema di utilizzo improprio da parte di Stati autoritari. Del loro utilizzo negli “Stati di diritto” non si fa cenno, se non in alcuni convegni per addetti ai lavori.

Nell’estate 2015 l’attacco informatico subito dal produttore italiano di spyware Hacking Team mostra come di fatto questi strumenti siano adottati da anni da servizi di intelligence e forze dell’ordine italiane per l’attività di indagine, anche su casi delicati, dalla criminalità organizzata al terrorismo. Resta però difficile capire, complessivamente e in pratica, come siano usati tali software.

«I trojan non hanno una loro regolamentazione specifica nel nostro codice di procedura penale», spiegano alla Stampa gli avvocati Francesco Micozzi e Giovanni Battista Gallus, che monitorano da anni l’argomento. «Tuttavia sappiamo che vengono utilizzati grazie a notizie di stampa o a qualche sporadica sentenza, queste ultime dell’ordine di una decina e se consideriamo l’ampio uso che ne viene fatto sembra abbastanza strano».

La corte di cassazione

Ora però in Italia il tema potrebbe arrivare molto presto, forse già in questi giorni, davanti alle Sezioni Unite della Corte di Cassazione. La questione non è da poco perché le sue decisioni costituiscono precedenti vincolanti. La ragione è che sui limiti dell’utilizzo dei trojan ci sono due sentenze della Corte in contrasto. La prima, più restrittiva (n. 27100 del maggio 2015), ritiene che l’uso dei captatori per registrare conversazioni attraverso l’attivazione del microfono di un dispositivo equivalga a una intercettazione ambientale, che richieda quindi per legge l’indicazione precisa dei luoghi in cui avverrà. E questo varrebbe anche per casi di mafia, come quello in considerazione.

La seconda, più recente ordinanza della Cassazione (dello scorso 10 marzo), adotta invece una posizione diversa, più possibilista, riferendosi a “intercettazioni tra presenti” che non richiederebbero indicazione preventiva dei luoghi, e prendendo atto del parere differente rispetto alla precedente sentenza ha deciso di rimettere la questione alle Sezioni Unite della Corte. A complicare il tutto, c’è il fatto che le sentenze si riferiscono a reati di criminalità organizzata, per i quali sono spesso applicati maggiori poteri investigativi e minori restrizioni.

Una legge controversa

Questo lo scenario legale. Che si inserisce in un vuoto legislativo, per alcuni un Far West che comunque starebbe bene a chi questi trojan li usa per le indagini, tenendo un basso profilo, e teme di dover rimettere in discussione il modo in cui sono utilizzati; alle poche aziende che i trojan li vendono in condizioni di quasi monopolio; a chi non li vorrebbe perché li ritiene inaccettabili e teme che una qualsiasi proposta di legge possa solo legittimarli.

Quest’ultima posizione ha le sue ragioni: nel marzo 2015 c’è mancato un soffio che il decreto antiterrorismo del governo includesse anche un via libera generalizzato dell’uso dei captatori per tutti i reati “commessi mediante l’impiego di tecnologie informatiche o telematiche” (quindi anche reati come la diffamazione o la violazione del copyright) e non solo per quelli di estrema gravità quali il terrorismo. Le norme erano state poi stralciate dal premier Renzi anche in seguito alla levata di scudi di tecnici e politici, tra cui il professore di informatica e deputato del Gruppo Misto Stefano Quintarelli, che aveva scritto come “l’uso di captatori informatici ... è controverso in tutti i Paesi democratici per una ragione tecnica: con quei sistemi compio una delle operazioni più invasive che lo Stato possa fare nei confronti dei cittadini”.

Ma i trojan per tutti sono rientrati dalla finestra qualche mese dopo attraverso una nuova proposta di legge presentata dalla deputata Pd Maria Gaetana Greco che ricalcava di fatto la norma precedentemente stralciata. «Questo strumento è usato da tempo come fonte anonima», commenta a La Stampa l’avvocato penalista, docente di informatica e diritto Stefano Aterno. «Spesso si usano decreti di intercettazione ambientale e/o telematica senza lasciare scritto che in realtà si è usato il trojan. Mentre l’indagato deve sapere, quando va a processo, che gli hanno messo un captatore informatico. Inoltre il loro utilizzo deve essere limitato solo ad alcuni tipi di reati gravi».

Ma per alcuni il problema sta proprio nelle potenzialità tecniche del mezzo. «Se è vero che le intercettazioni e le perquisizioni restano strumenti necessari, i captatori, per come sono realizzati tecnicamente oggi, hanno potenzialità troppo ampie e indiscriminate», commenta a La Stampa Stefano Quintarelli. «È possibile pensare a una serie di strumenti captatori mirati e specifici? Uno per l’intercettazione ambientale, uno per la corrispondenza, uno per le telefonate? Ed è possibile fare in modo che la difesa possa verificare il codice usato, e che questo sia depositato insieme alle prove? Per assicurare le garanzie costituzionali, ci deve essere una omologazione degli strumenti ed un processo di verifica, certificabile e documentato, su tutta la catena».

Preoccupazioni che non sono solo italiane. Negli scorsi mesi la Germania è tornata a parlare di captatori informatici quando è emerso che il governo avrebbe adottato una diversa versione di trojan più compatibile con quanto previsto dalla legge tedesca. Il nuovo software quindi può essere usato solo per leggere email e chat o per ascoltare telefonate. Inoltre l’indagato deve essere sospettato di crimini gravi, che minacciano “la vita o la libertà”. Un importante tagliando a questo strumento che però non convince i suoi oppositori.

«Si è cercato di rendere i trojan compatibili con gli standard della legge tedesca», commenta alla Stampa Linus Neumann, noto hacker del Chaos Computer Club. «E di usarli di fatto come equivalenti di una intercettazione telefonica. Ad esempio, si cerca di fare in modo che registrino solo quando è attiva una chiamata Skype. Ma il punto è che, secondo noi, non è proprio tecnicamente possibile. Si tratta di strumenti che, una volta installati, possono alterare il pc”.

Almeno la Germania ha messo dei paletti. La Gran Bretagna, con la sua proposta di legge sui poteri investigativi nota come IP Bill, sembra voler dare un via libera incondizionato all’hacking di Stato, usandolo anche su persone non direttamente indagate ma utili per ottenere informazioni su altri e appoggiandosi direttamente ai fornitori di connettività internet (Isp). Tanto da aver indotto varie organizzazioni per i diritti digitali a creare una campagna per fermare la legge.

Fonte

Database genetico e trojan per il controllo totale

Difendere la libertà con tutti i mezzi, anche eliminando la libertà. È questa, ridotta all’essenziale, la reazione del potere europeo agli attenti di Bruxelles e alla minaccia – la certezza, dice anche il più banale buon senso – di un aumento di attentati man mano che la macchina bellicista va a colpire altri paesi del Medio Oriente e del Nordafrica (la Libia è lì lì, se solo fossero stati trovati complici locali giusti).

Il governo ha dato ieri il via libera al regolamento per la costituzione di un immenso database genetico in mano alle forze di polizia. Si tratta di una banca dati destinata a raccogliere, dicono al ministro dell’interno, i profili genetici di tutti i condannati. Se così fosse, si tratterebbe di una banca dati inutile rispetto al fine dichiarato (la “lotta al terrorismo”), peraltro estremamente indeterminato. Se comprendesse davvero, infatti, soltanto il Dna dei “condannati” per qualche reato sarebbe uno strumento utilizzabile unicamente per verificare la “recidiva”, ossia la commissione di un nuovo reato da parte della stessa platea di persone. Buono per ladri e rapinatori, dunque, e tutta una serie di figure che hanno nella ripetizione dello stesso comportamento un tratto caratteristico.

Le cronache parigine e belghe ci hanno in effetti posto davanti a diverse tipologie di jihadisti, alcuni dei quali con un passato da piccoli delinquenti metropolitani. Ma non se ne può certo trarre una regola generale applicabile, ossia che solo gli extralegali di piccolo o grande cabotaggio siano suscettibili di trasformarsi in stragisti.

Quindi lo scopo di questa immensa biblioteca non può essere quello dichiarato. E la tipologia degli schedati sarà certamente più vasta, comprendendo tutti i “fermati” (il prelievo di capelli non sarebbe certo complicato), per qualsiasi ragione. In primo luogo, per dimensione, tutti gli immigrati e i profughi che arrivano in questo paese, e a seguire soprattutto i protagonisti delle manifestazioni d’opposizione sociale e politica.

Non è un sospetto, ma una certezza. In buona parte confermata dallo stesso ministro Alfano: «Si tratta di uno strumento di formidabile potenza dal punto di vista informatico. Insieme al ministro Andrea Orlando, abbiamo realizzato un passo in avanti che ha pochi precedenti in Europa e che consentirà l’archiviazione di dati, dal punto di vista scientifico e del Dna, che saranno importantissimi sia nella lotta al terrorismo che nella lotta all criminalità organizzata e nel contrasto all’immigrazione irregolare».

“Terroristi” (e come si fa a sapere chi lo è prima che agisca come tale?), criminali e migranti. Tutti insieme nella stessa lista di sospettati a prescindere. Senza forse neppure l’esatta consapevolezza di aver dato vita a una mostruosità, lo stesso ministro si è lasciato scappare che si tratta, appunto, di una misura che «ha pochi precedenti in Europa». Ci deve essere un motivo, se “ha pochi precedenti”. Ma basta non dirlo, vero?

Ma non è l’unica misura partorita dalle fervide menti della security italiana e dell’Unione Europea, reduci da un veloce consiglio straordinario dei ministri di Interno e Giustizia europei, in cui i Ventotto si sono impegnati su un maggiore scambio di informazioni e hanno esortato il Parlamento europeo a dare un via libera rapido a una banca dati dei passeggeri aerei.

Una circolare del capo della polizia, Alessandro Pansa, prevede l’attivazione di «mirati e frequenti posti di blocco», nonché «l’intensificazione dei controlli su strade e autostrade, soprattutto in prossimità di caselli, barriere e snodi stradali maggiormente congestionati». Come hanno rilevato tutti gli esperti di tecniche militari (anche gli attentati lo sono, se non ci si ferma alla giaculatoria), si tratta di “messe in scena” della sicurezza che servono più a intimorire la popolazione che non a impedire azioni stragiste.

Per una più articolata demistificazione di questa “reazione securitaria” consigliamo la lettura dell’articolo di Simon Jenkins, apparso nei giorni scorsi su The Guardian.

Perché “la libertà non emerge mai dal nido di un cobra”. E qualsiasi strumento il potere costruisce, servirà a proteggere il potere, contro la popolazione che pretende di controllare. A nient’altro.

Paranoie? Non sembra proprio. Basta leggere questo altro articolo, apparso stamattina sul confindustriale IlSole24Ore, per rendersi conto che il “controllo totale” è l’unica vera ossessione del potere. Il quale sta usando come sempre un momento di crisi – in questo caso gli attacchi dell’Isis – per dotarsi degli strumenti più avanzati di spionaggio. Interno.

Il primo paragrafo ci sembra già sufficiente...

*****

Intercettazioni, apertura sui «Trojan»

di Donatella Stasio

La notizia è di quelle che fanno illuminare il viso degli investigatori, soprattutto all’indomani degli attentati terroristici di Bruxelles: si è incrinato il muro alzato dalla Cassazione un anno fa contro il «Trojan horse», il virus informatico autoinstallante attivato su computer, smartphone, tablet, che può “intercettare” ogni forma di comunicazione (whatsapp, skype, telegram, facebook, instagram, oltre e-mail ed sms) ma anche videoregistrare l’indagato ovunque vada, con valore di prova a prescindere dalla preventiva individuazione dei luoghi in cui effettuare l’intercettazione. Il muro era stato alzato il 26 maggio dell’anno scorso con la sentenza n. 27100, che aveva escluso, appunto, la possibilità di usare come prova queste “intercettazioni ambientali” anche nei procedimenti di criminalità organizzata, perché troppo invasive della riservatezza. Ma quindici giorni fa – il 10 marzo – la VI sezione penale della Corte non si è allineata a quell’altolà, ritenendolo troppo restrittivo, e, preso atto del contrasto insanabile, ha chiesto l’intervento delle Sezioni unite. In vista del quale sono stati poi congelati altri analoghi processi.

Dunque, si apre un varco all’uso di uno strumento che ha un’enorme invasività della sfera privata ma anche un’enorme efficacia nella prevenzione e repressione della criminalità. In particolare, il terrorismo di matrice jihadista ha dimostrato di saper sfruttare ogni piega delle tecnologie più avanzate per pianificare attentati, costruire reti di supporto, fare proselitismo. Le comunicazioni telefoniche sono diventate residuali mentre si moltiplicano quelle in rete o ambientali. Perciò per magistrati, polizia e intelligence è grave bloccare o limitare il valore probatorio di queste captazioni.

L’assegnazione alle Sezioni unite spetta al primo presidente della Cassazione Gianni Canzio, che la valuterà nei prossimi giorni, non appena sarà depositata l’ordinanza della VI sezione con la relativa richiesta. Ma il suo via libera dovrebbe essere scontato, tanto più dopo la strage di Bruxelles e la “chiamata alle armi” dell’Europa, che impone anche all’Italia – per quanto ben attrezzata – di aggiornare e affinare una serie di strumenti investigativi, a cominciare dalle intercettazioni, compatibilmente con il rispetto delle garanzie.

I tempi di decisione delle sezioni unite non saranno immediati (si parla di maggio-giugno) e la sentenza non è scontata. Ma questa prima “apertura” della VI sezione, tanto più se confermata a sezioni unite, potrebbe fare anche da apripista a un eventuale intervento legislativo sul contestato Trojan, superando gli ostacoli che si frapposero alla sua introduzione con il decreto legge antiterrorismo, un anno fa: allora il governo provò a modificare, senza successo, l’articolo 266 bis del Codice di procedura penale con una norma che consentiva le intercettazioni «anche attraverso l’impiego di strumenti o di programmi informatici per l’acquisizione da remoto delle comunicazioni e dei dati presenti in un sistema informatico». «Troppo invasivo» fu la risposta del Parlamento e anche del Garante della privacy.

Stiamo infatti parlando di un virus informatico che viene installato (per esempio con una e-mail o con un sms) in un pc, in uno smartphone o in un tablet e che oltre a clonare il computer è in grado di effettuare – con attivazione da remoto – registrazioni e videoriprese tra presenti. Ovunque. Proprio a causa di questa ubiquità dell’“intercettazione”, a maggio 2015 la Cassazione parlò di violazione dell’articolo 15 della Costituzione, sulla tutela della libertà e segretezza delle comunicazioni.

In sostanza, il cellulare (ormai un’appendice di chi lo possiede) si trasforma in registratore e videocamera, e il virus è capace di controllare tutti gli spostamenti e le comunicazioni del “bersaglio”, ovunque vada. Secondo la sentenza del 2015, questo tipo di registrazioni configura un’intercettazione ambientale che, per essere legittimamente autorizzata, presuppone che il giudice individui i luoghi in cui dovrà essere effettuata. Quanto alla telecamera, la Corte disse che l’attivazione da remoto va fatta in modo da escludere videoregistrazioni nei luoghi di «privata dimora», pena la loro illiceità e, quindi, inutilizzabilità. Insomma, una barriera, persino nelle indagini su criminalità organizzata e terrorismo, sebbene per questa tipologia di reati esista il cosiddetto “doppio binario” (paletti meno rigidi rispetto ai reati comuni).

A un processo di mafia si riferisce anche la diversa decisione della Corte del 10 marzo scorso. In quell’udienza, l’Avvocato generale Nello Rossi ha messo in discussione l’interpretazione del 2015 là dove colloca il Trojan nella “categoria” delle “intercettazioni ambientali” mentre avrebbe dovuto dare rilievo al fatto che la legge parla solo di intercettazioni «tra presenti», senza alcun riferimento ai luoghi, salvo il caso dell’articolo 614 Cp, ovvero i luoghi di «privata dimora», dove l’intercettazione è consentita solo se lì si stia svolgendo un’attività criminosa (limite peraltro non previsto per la criminalità organizzata). Pertanto, secondo Rossi, poiché l’intercettazione “tra presenti” non richiede l’indicazione preventiva dei luoghi, quella effettuata mediante virus intrusivo su smartphone o tablet può ben essere autorizzata sia per la generalità dei luoghi sia per il domicilio del portatore dell’apparecchio. Il collegio della VI sezione (presidente Domenico Carcano, relatore Giorgio Fidelbo) ha probabilmente condiviso quest’impostazione (i motivi si conosceranno con il deposito dell’ordinanza), ovvero la possibilità di usare il Trojan, con valore probatorio, senza indicazione preventiva dei luoghi. Ora la parola passa alle sezioni unite.

Fonte