Passa ai contenuti principali

Chat Control 2.0, il veto della Germania blocca la sorveglianza preventiva sulle chat

Nel mio precedente articolo avevo analizzato i rischi e le implicazioni della proposta europea nota come Chat Control 2.0, un regolamento che avrebbe introdotto la sorveglianza preventiva delle comunicazioni private online. Avevo sollevato dubbi sulla compatibilità con i principi di privacy, crittografia end-to-end e libertà digitale.

Oggi torno sull’argomento perché qualcosa di importante è successo: la Germania ha posto il veto, bloccando l’approvazione del testo nella sua forma originaria. Vediamo insieme cosa cambia, quali modifiche sono state proposte e cosa significa tutto questo per il futuro della cybersecurity in Europa.

Chat Control 2.0 è il nome informale della proposta di regolamento europeo 2022/0155 (COD), nota ufficialmente come Child Sexual Abuse Regulation (CSAR). L'obiettivo dichiarato era combattere la pedopornografia online attraverso strumenti di sorveglianza automatizzata, applicati direttamente sui dispositivi degli utenti prima della cifratura dei messaggi.

Le app coinvolte sarebbero state tutte le principali piattaforme di comunicazione: WhatsApp, Telegram, Signal, Gmail, Facebook Messenger e altre. Il sistema prevedeva l'uso di algoritmi e intelligenza artificiale per analizzare i contenuti privati, con poteri investigativi attribuiti alle autorità nazionali.

Il 14 ottobre 2025, il Consiglio dell'Unione Europea avrebbe dovuto votare la proposta. Tuttavia, la Germania ha espresso un chiaro veto, impedendo il raggiungimento della maggioranza qualificata necessaria (55% degli Stati membri rappresentanti almeno il 65% della popolazione UE).

Anche Belgio, Italia, Svezia e Lettonia hanno mostrato indecisioni o cambi di posizione. Di conseguenza, il voto è stato annullato e la proposta è stata rimandata per una revisione profonda.

A seguito del veto, è stato presentato un nuovo testo che introduce garanzie più forti per la privacy:

- Il controllo tramite AI potrà avvenire solo in presenza di un “rischio specifico, documentato e verificabile”.
- I dati saranno trattenuti per meno tempo e gli utenti avranno più tempo per impugnare le decisioni giudiziarie.
- Le piattaforme non dovranno più scansionare tutte le conversazioni, ma solo quelle richieste esplicitamente dalle autorità.
- L’ultima parola spetterà a un giudice, non più alle autorità amministrative.
- Gli strumenti di analisi non potranno compromettere la crittografia con backdoor permanenti.
- Il Centro europeo contro l’abuso sessuale su minori (ECLAG) avrà solo un ruolo di verifica e coordinamento tecnico, senza fornire direttamente tecnologie di rilevazione.

Le associazioni per la tutela della privacy e i garanti nazionali hanno denunciato il rischio di sorveglianza di massa sotto il pretesto della protezione dei minori. Il caso britannico dell’Online Safety Act 2.0, entrato in vigore ad agosto, ha mostrato come simili normative possano portare alla censura di contenuti critici verso i governi.

Inoltre, aziende come Signal e Meta hanno minacciato di abbandonare il mercato europeo qualora il regolamento fosse stato approvato nella sua forma originaria

Il dietrofront della Germania è stato salutato da molti come una vittoria per i diritti digitali dei cittadini europei. Tuttavia, il dibattito resta aperto: la Commissione Europea potrebbe tornare alla carica con una versione riveduta del regolamento, cercando di bilanciare sicurezza e libertà.

Commenti

Popolari

ClayRat, lo spyware Android che trasforma il telefono della vittima in hub di diffusione

Negli ultimi mesi è emerso uno spyware Android con capacità di propagazione aggressiva chiamato ClayRat, segnalato inizialmente come una minaccia rivolta a utenti russi ma che ora mostra segni di evoluzione e diffusione più ampia. Il nome “ClayRat” deriva dalla console C2 (command-and-control) utilizzata dagli attaccanti per gestire i dispositivi compromessi. La campagna di attacco sfrutta un insieme di tecniche di social engineering e ingegneria web per ingannare gli utenti: vengono creati siti phishing che imitano app popolari come WhatsApp, TikTok, Google Photos o YouTube, con interfacce quasi indistinguibili, testimonianze false, conteggi di download gonfiati e persino fasi di istruzione guidata per persuadere la vittima a scaricare un file APK esterno. In molti casi il flusso parte da canali Telegram gestiti dagli attaccanti, che fungono da repository “ufficiale” per distribuire i droppers. Molti esemplari di ClayRat agiscono da dropper: l’app visibile non è affatto l’agent spia, ...

Violazione su Discord, rubati dati e documenti d’identità dal sistema di supporto clienti. Compromesso un partner esterno

Discord ha confermato di aver subito una violazione dei dati, ma a differenza di quanto molti temevano, l’attacco non ha colpito direttamente i suoi server o infrastrutture principali. L’origine dell’incidente è stata individuata in un fornitore esterno di supporto clienti, probabilmente il sistema di ticketing gestito da Zendesk, che avrebbe rappresentato il punto d’ingresso per gli attaccanti. Attraverso la compromissione di questo servizio, i criminali informatici sono riusciti ad accedere a informazioni relative agli utenti che avevano contattato l’assistenza Discord. I dati esposti comprendono nomi, username, indirizzi email, indirizzi IP, conversazioni con il supporto e alcune informazioni di pagamento, come il tipo di carta e le ultime quattro cifre. Discord ha anche confermato che una parte delle immagini di documenti d’identità utilizzate per la verifica dell’età, come passaporti o patenti, è stata inclusa nella violazione. Secondo l’azienda, circa 70.000 utenti potrebbero ave...

Stealit sfrutta la nuova feature “Single Executable Application” di Node.js per veicolare malware

Negli ultimi giorni è emersa una nuova campagna malware che adotta un approccio sofisticato per distribuire un stealer denominato Stealit, sfruttando la modalità Single Executable Application (SEA) di Node.js per eludere rilevamenti e semplificare la diffusione. Secondo il report di Fortinet FortiGuard Labs, l’attacco in corso introduce una variazione rispetto alle versioni precedenti, che impiegavano Electron o altri bundle Node.js più tradizionali. La campagna Stealit si diffonde principalmente tramite file installer fasulli mascherati da giochi o applicazioni VPN, resi disponibili su piattaforme di file sharing come Mediafire o Discord. Il metodo utilizzato consiste nel confezionare script Node.js e risorse correlate all’interno di un unico eseguibile, in modo che l’esecuzione non richieda un runtime Node.js già presente sul sistema bersaglio. Questo approccio permette all’attaccante di ridurre le dipendenze visibili e aggirare controlli che si focalizzano su scenari “classici” di ...