La US Immigration and Customs Enforcement (ICE) ha recentemente riattivato un contratto da 2 milioni di dollari con Paragon Solutions, l’azienda israeliana produttrice dello spyware Graphite. Il contratto era stato originariamente firmato sotto l’amministrazione Biden nel settembre 2024, ma sospeso poco dopo per verifiche relative ai rischi di uso improprio e alla normativa sull’acquisto di spyware da fornitori esteri.
Graphite è uno dei software commerciali più potenti nel panorama della sorveglianza digitale. Una volta installato su un dispositivo mobile, permette il controllo quasi totale: accesso a messaggi, email, foto; infiltrazione in applicazioni cifrate come WhatsApp e Signal; estrazione di backup in cloud; attivazione nascosta del microfono; in certi casi anche compromissioni zero-click.
Come si è arrivati alla riattivazione
Acquisizioni e cambi di proprietà: Paragon è stata acquisita da un fondo statunitense, AE Industrial Partners, che l’ha poi fusa con REDLattice, un’azienda americana con legami con ex funzionari dell’intelligence. Questo cambio di proprietà ha permesso a ICE di considerarla “partner nazionale” piuttosto che fornitore estero, aggirando alcune restrizioni dell’Executive Order 14093 firmato da Biden.
L’esecutivo ordine Biden 2023: questo ordine impone che il governo statunitense non utilizzi spyware commerciali che comportano “significant counterintelligence or security risks” o che siano stati utilizzati da governi stranieri per reprimere oppositori.
Sospensione e revisione: il contratto è stato inizialmente posto in pausa per valutazioni sulla sua conformità all’ordine esecutivo. La sospensione è stata revocata il 29 agosto 2025, permettendo a ICE di procedere con l’uso.
Rischi e criticità
L’uso di Graphite espone a rischi reali di sorveglianza su larga scala, soprattutto per soggetti vulnerabili come migranti, attivisti, giornalisti. L’esperienza italiana dimostra che tali strumenti possono essere usati in modo improprio, colpendo la libertà di espressione e la protezione delle fonti.
Le condizioni contrattuali, i limiti d’uso, le responsabilità in caso di abuso non sono del tutto trasparenti. Non è chiaro quali garanzie legali ICE e Paragon debbano adottare per evitare uso scorretto o abuso.
Anche se Graphite viene presentato come strumento “selettivo” e destinato a governi “amici”, il fatto che GitHub, Citizen Lab e altri abbiano individuato usi fuori norma implica che vulnerabilità, exploit zero-day e veicoli di infezione remota possano essere sfruttati non solo dagli acquirenti ufficiali ma da terze parti o tramite compromissioni del fornitore.
Quando il medesimo spyware è utilizzato da differenti stati, governi o entità, ci sono rischi di reverse engineering, compromissione, intercettazione delle tecnologie stesse; inoltre, l’uso dello stesso prodotto da parte di entità ostili può fornire insight sulle capacità operative di Graphite.
Implicazioni per la sicurezza nazionale e per le politiche di cybersicurezza
Le agenzie statunitensi come ICE, già oggetto di critiche su abusi di potere, ora potranno applicare strumenti invasivi che ampliano enormemente l’insieme dei dati ai quali possono accedere. Questo richiede una forte supervisione interna, controlli giudiziari e politiche chiare di uso, auditing, revisione indipendente.
L’Executive Order 14093 diventa un punto critico: se la sua applicazione viene aggirata tramite cambi societari (“nazionalizzazione” della proprietà), c’è da chiedersi quanto efficaci siano le norme se bastano fusioni o acquisizioni per renderle inefficaci.
Per la comunità internazionale, il caso mette in evidenza quanto la regolamentazione dello spyware commerciale resti arretrata rispetto ai rischi concreti. L’UE e altri Stati europei dovrebbero considerare standard minimi, meccanismi di controllo, cataloghi delle vulnerabilità sfruttate e trasparenza nei contratti con forze dell’ordine.
Dal punto di vista tecnico, la resilienza dei sistemi operativi mobili, delle app di messaggistica cifrata e dei fornitori di servizi cloud sarà sempre più bersagliata. Aggiornamenti di sicurezza rapidi, mitigazioni contro exploit zero-click, modalità di lockdown e difese contro l’infiltrazione invisibile del microfono saranno componenti chiave per difendersi.
ICE che riattiva il contratto con Graphite non è solo una decisione amministrativa: è un punto di svolta nella sorveglianza digitale nella politica statunitense. Il fatto che un’entità come ICE, che si occupa di immigrazione e controllo delle frontiere, acceda a strumenti di hacking avanzato pone questioni urgenti di etica, legalità e sicurezza. Se da un lato lo Stato sostiene che questi strumenti servano a contrastare terrorismo, traffici illeciti e immigrazione clandestina, dall’altro il rischio di abuso, di sorveglianza indiscriminata e di violazioni dei diritti è troppo alto per essere ignorato.
Questo caso deve fungere da campanello d’allarme. Serve un dibattito pubblico, normative più stringenti, audit indipendenti, trasparenza nei contratti e limiti forti all’uso dello spyware commerciale, anche in democrazia.
Commenti
Posta un commento