Passa ai contenuti principali

L’Europa contro la crittografia, perché il “Chat Control” mette a rischio la sicurezza di tutti

Negli ultimi mesi l’Unione Europea ha ripreso a discutere una proposta tanto ambiziosa quanto pericolosa: quella conosciuta come “Chat Control”. Dietro questo nome apparentemente innocuo si nasconde l’idea di introdurre un sistema di sorveglianza generalizzata all’interno delle piattaforme di messaggistica, imponendo alle aziende tecnologiche di analizzare i contenuti privati degli utenti alla ricerca di materiale illegale, come abusi su minori o terrorismo. L’obiettivo dichiarato può sembrare nobile, ma il mezzo scelto rischia di distruggere uno dei pilastri fondamentali della sicurezza digitale: la crittografia end-to-end.

La proposta, infatti, si basa su una tecnica chiamata “client-side scanning”, ovvero l’ispezione dei messaggi direttamente sul dispositivo dell’utente, prima che vengano cifrati o inviati. In pratica, il software di messaggistica sarebbe costretto a controllare ogni foto, ogni messaggio, ogni allegato per confrontarli con database di contenuti sospetti. Se qualcosa venisse riconosciuto come potenzialmente illegale, verrebbe segnalato alle autorità o bloccato. A prima vista può sembrare una semplice scansione automatica, ma dal punto di vista tecnico e della sicurezza rappresenta un cambio di paradigma devastante.

La crittografia end-to-end è nata per garantire che solo mittente e destinatario possano leggere il contenuto di una conversazione. Neppure il provider del servizio — che gestisce i server e le infrastrutture — può accedere al contenuto cifrato. È questo che rende sicure le chat di Signal, WhatsApp, iMessage e di molti altri sistemi moderni. Con il client-side scanning, invece, la privacy verrebbe compromessa alla radice: il contenuto sarebbe analizzato prima di essere cifrato, introducendo un punto debole proprio nel momento in cui l’utente si aspetta il massimo livello di protezione. In altre parole, la crittografia diventerebbe una facciata: il messaggio è “protetto” solo dopo che è stato già controllato da un algoritmo di sorveglianza.

Le conseguenze tecniche e sociali di una simile architettura sono enormi. Innanzitutto, si aprirebbe una nuova superficie di attacco: i software di scansione dovrebbero essere installati sui dispositivi di miliardi di utenti, aggiornati costantemente e mantenuti sicuri contro exploit e manipolazioni. Qualunque vulnerabilità nel sistema di scanning potrebbe trasformarsi in un’arma per hacker, governi autoritari o gruppi criminali. Inoltre, la possibilità di errore negli algoritmi di riconoscimento è altissima. Un falso positivo potrebbe far finire nella rete dell’accusa un contenuto innocuo, mentre un falso negativo permetterebbe ai veri colpevoli di eludere il controllo.

Ma il rischio più grave è quello della normalizzazione della sorveglianza. Una volta introdotto il principio per cui ogni messaggio può essere analizzato preventivamente “per la nostra sicurezza”, sarà difficile porre limiti futuri al suo utilizzo. Oggi il controllo potrebbe riguardare materiale pedopornografico, domani disinformazione, poi dissenso politico o contenuti “sgraditi”. La storia insegna che ogni strumento di sorveglianza, una volta creato, trova sempre nuovi ambiti di applicazione. È il cosiddetto “mission creep”, l’espansione progressiva di un meccanismo di controllo nato per un fine limitato ma destinato a diventare universale.

Dal punto di vista legale, Chat Control solleva interrogativi profondi sui diritti fondamentali sanciti dall’Unione Europea stessa: il diritto alla privacy, alla libertà di espressione e alla presunzione di innocenza. Controllare ogni comunicazione privata, anche in assenza di sospetto, significa trattare tutti gli utenti come potenziali colpevoli. Ed è proprio questo che la Mozilla Foundation, insieme a numerose organizzazioni per i diritti digitali, denuncia nella sua campagna “Tell the EU: Don’t break encryption with Chat Control”. Secondo Mozilla, imporre il client-side scanning equivale a “mettere microfoni nelle case digitali di tutti i cittadini europei”.

Anche dal punto di vista economico e industriale la misura sarebbe disastrosa. Le aziende europee che offrono servizi di messaggistica o archiviazione dovrebbero implementare meccanismi complessi di scansione, con costi enormi e con un impatto diretto sulla fiducia degli utenti. Molti sviluppatori e ricercatori di sicurezza, inoltre, si rifiuterebbero di collaborare a progetti che violano principi basilari di riservatezza. Il risultato probabile sarebbe una fuga verso servizi extraeuropei o soluzioni decentralizzate, fuori dalla giurisdizione dell’UE, rendendo il controllo inefficace e controproducente.

In Italia il dibattito è ancora poco visibile, ma cruciale. Alcuni rappresentanti europei si sono già espressi contro la proposta, mentre altri la sostengono come misura necessaria alla lotta contro i crimini online. È fondamentale che il pubblico, i tecnici e i ricercatori prendano posizione e informino correttamente i cittadini. La difesa della crittografia non è un tema di nicchia: riguarda la libertà di stampa, la sicurezza delle comunicazioni bancarie, la tutela dei dati sanitari, e perfino la sicurezza nazionale.

Mozilla invita tutti i cittadini europei a firmare la petizione e a contattare i propri rappresentanti per chiedere il ritiro della proposta. Non è un gesto simbolico, ma un atto concreto di difesa del diritto alla riservatezza. Se l’Unione Europea davvero vuole proteggere i suoi cittadini, deve farlo rafforzando la crittografia, non distruggendola.

Commenti

Popolari

Attenzione all’Android Spyware che si spaccia per Signal

Negli ultimi mesi i ricercatori di sicurezza hanno scoperto campagne di spyware per Android che si travestono da versioni potenziate di applicazioni di messaggistica come Signal o ToTok, con l’obiettivo di ingannare gli utenti e ottenere il pieno controllo dei loro dispositivi. Due delle famiglie più attive sono state identificate come ProSpy e ToSpy e colpiscono in particolare nei Paesi del Golfo, con focus sul Medio Oriente e sugli Emirati Arabi Uniti. Queste app malevole non si trovano sugli store ufficiali ma vengono distribuite tramite siti creati ad arte che imitano plugin o release legittime con nomi come “Signal Encryption Plugin” o “ToTok Pro”. Una volta installate, richiedono permessi invasivi come l’accesso a contatti, SMS e file multimediali ed esfiltrano i dati silenziosamente. Per rafforzare l’illusione di autenticità, dopo la prima interazione l’utente viene spesso reindirizzato al sito ufficiale o all’app originale, mentre in altri casi l’icona del malware si maschera d...

Zimbra, lo zero-day nelle .ICS che ha preso di mira il mondo reale

Nei primi mesi del 2025 è stato scoperto e sfruttato in attacchi mirati un difetto di sicurezza nel client web “Classic” di Zimbra Collaboration: la vulnerabilità è stata tracciata come CVE-2025-27915 e consiste in una forma di Stored Cross-Site Scripting (XSS) legata al modo in cui Zimbra gestisce e renderizza il contenuto HTML presente in file iCalendar (.ICS). Il bug è stato impiegato in campagne che, secondo i primi report, hanno preso di mira organizzazioni sensibili (tra cui forze armate in Brasile) utilizzando calendari iCalendar appositamente costruiti per far eseguire codice nel contesto della sessione dell’utente. Tecnicamente l’exploit sfrutta la scarsa sanitizzazione del contenuto HTML contenuto in un file .ICS: quando il web client Classic importa o visualizza l’evento del calendario, porzioni di HTML malevolo inserite nell’ICS non vengono filtrate correttamente e finiscono per essere eseguite nel browser della vittima come se fossero parte dell’interfaccia di Zimbra. Ques...

Giappone senza birra, un cyberattacco congela i rubinetti dell’Asahi

Immagina l’Italia senza vino per una settimana o la Germania senza birra: un black-out digitale, un semplice attacco informatico, potrebbe rendere improvvisamente irreale quella situazione. Ebbene, in Giappone sta accadendo qualcosa di simile: l’azienda Asahi, uno dei maggiori produttori di birra e bevande del Paese, è stata colpita da un cyberattacco che ha paralizzato i suoi sistemi, sospendendo ordini, spedizioni e servizi clienti su scala nazionale. L’attacco, iniziato il 29 settembre secondo fonti aziendali, è stato identificato come ransomware: per evitare che il danno peggiorasse, Asahi ha isolato i server colpiti, avviando un’indagine interna e collaborando con esperti esterni. I sistemi di ordinazione automatica e di logistica sono al momento fuori uso, tanto che l’azienda ha iniziato a elaborare manualmente alcune consegne, ma sta dando priorità a cibi e bevande analcoliche: per la birra, al momento, molte richieste sono fermate.  Il risultato? Nelle ultime ore, ristora...