Il buco nella rete telefonica: come una vulnerabilità rende chiunque (potenzialmente) geolocalizzabile - Riccardo Coluccini

Nonostante gli addetti ai lavori ne siano al corrente da anni, le vulnerabilità della rete telefonica continuano a non essere mitigate, permettendo ad attori malevoli di geolocalizzare un’utenza telefonica nel mondo

Nell’oscuro mondo della sorveglianza un segreto di pulcinella si tramanda fin dal 2008 e ciclicamente torna ad affacciarsi nei dibattiti di settore grazie a inchieste giornalistiche e al lavoro di ricercatori di sicurezza. Per localizzare una persona, ovunque essa si trovi nel mondo, potrebbe essere sufficiente conoscerne il numero di telefono. 

Ciò è possibile perché lo stesso sistema che permette agli operatori telefonici di comunicare tra loro per gestire il roaming – ovvero le comunicazioni tra operatori di diversi Paesi – può essere usato in maniera fraudolenta anche per scopi illegittimi, come sorvegliare o intercettare SMS e telefonate.

È per questa ragione che, a marzo del 2023, alcuni operatori telefonici sono stati convocati dalla commissione speciale Pega, istituita dal Parlamento europeo inizialmente per investigare sugli abusi compiuti da almeno tre Stati membri con lo spyware Pegasus, sviluppato dall’azienda israeliana Nso. Nel tempo la commissione aveva espanso il proprio raggio d’azione, monitorando le attività di sorveglianza all’interno dei confini comunitari.

L’INCHIESTA IN BREVE

·         Con qualche migliaio di dollari chiunque può comprare l’accesso alla rete telefonica e diventare titolare di servizi di gestione un tempo pensati solamente per i grandi operatori 

·         Tra questi servizi c’è anche l’accesso ai nodi di rete che comunicano con il protocollo SS7, una serie di istruzioni che facilitano anche il funzionamento di un’utenza telefonica in un Paese estero, nel caso del cosiddetto roaming

·         Sfruttando in modo illegittimo il protocollo SS7 un dispositivo mobile rischia di essere geolocalizzato ovunque nel mondo: è intorno a questa caratteristica che è sorto negli anni un vero e proprio mercato in cui le società di sorveglianza fanno da padroni

·         Purtroppo però nessuno sembra voler risolvere il problema: la rete è così configurata in quanto pensata per pochi attori affidabili ma l’accesso a soggetti terzi è aumentato con il tempo 

·         Nonostante il problema sia noto da anni non è chiaro quante compagnie telefoniche adottino misure di sicurezza adeguate e quante svolgano una corretta due diligence sui locatari a cui forniscono l’accesso

·         L’Agenzia dell’Unione europea per la cybersicurezza collaborerà con gli Stati membri per sensibilizzare su questo tipo di attacchi e garantire che gli operatori di telecomunicazioni adottino misure adeguate per prevenirli. 

L’idea però, come ha dichiarato l’europarlamentare olandese Sophie in ‘t Veld nell’audizione del 16 marzo 2023, non deve aver entusiasmato particolarmente gli operatori: nessuno ha risposto all’appello.

A partecipare a quella audizione è stato invece Rowland Corr, al tempo vice presidente di Enea, un’azienda che si occupa della sicurezza delle reti di telecomunicazione. Nel suo intervento ha spiegato che «gli spyware sono solo la punta dell’iceberg della sorveglianza» poiché molte altre vulnerabilità della rete telefonica sono sfruttate impunemente da attori malintenzionati.

E non da poco tempo. È dicembre del 2008 e a Berlino si sta tenendo il consueto Chaos Communication Congress, evento annuale che raduna hacker e informatici da tutto il mondo. Durante una presentazione pubblica il ricercatore Tobias Engels invita una persona del pubblico a condividere il proprio numero di telefono inserendolo in una scarna schermata web. Dopo pochi secondi sul monitor, alla voce “location”, compare una bandierina tedesca: «Germany, Berlin area».

Tutto ciò era possibile perché la configurazione della rete permette a chiunque ne abbia accesso di inviare comandi e richieste riguardo gli utenti degli operatori telefonici.

#SETELEFONANDO, L’INCHIESTA SULLE VULNERABILITÀ DELLA RETE TELEFONICA

Quando un problema è sotto gli occhi di tutti, è sufficiente che passi un buon lasso di tempo affinché questo venga dimenticato e lasciato dormiente. È questo il caso delle vulnerabilità nella rete telefonica, che da quasi vent’anni possono essere sfruttate in modo malevolo per geolocalizzare un bersaglio ovunque nel mondo.

A renderlo possibile è un problema di configurazione dell’architettura che governa i nostri smartphone e che risulta di difficile risoluzione: per questo gli operatori tendono a non volersene fare carico protetti dal fatto che “così fan tutti”. Ma nel silenzio generale, negli anni è sorto un mercato della sorveglianza proprio intorno a queste vulnerabilità, che IrpiMedia intende esplorare in questa e nelle prossime puntate della serie. 

Da quella prima rudimentale dimostrazione di sedici anni fa, i metodi per accedere alla rete si sono perfezionati e oggi includono la possibilità di intercettare telefonate e SMS. Il numero di aziende di sorveglianza che offre questo tipo di servizi è aumentato e con esso anche gli abusi: tra le vittime di questa localizzazione ci sono ufficiali del dipartimento di Stato degli Usa, giornalisti e dissidenti politici. Senza considerare poi che l’accesso al sistema di comunicazione degli operatori è finito in mano anche a criminali che lo hanno usato per compiere frodi.

Una questione di fiducia

La possibilità di localizzare un numero di telefono non è dovuta a una vera e propria vulnerabilità informatica ma piuttosto a una questione di fiducia e di design del sistema di interconnessione tra gli operatori telefonici.

Lo smartphone comunica costantemente con le celle telefoniche che si trovano intorno a noi e nel farlo invia dettagli sulla propria posizione. Quando un cellulare con Sim italiana, per esempio, si trova in un Paese estero – il cosiddetto roaming -, la sua posizione viene condivisa sia con i gestori della rete di quel Paese che con il proprio operatore nazionale.

Il motivo è duplice: da un lato il gestore deve poter indirizzare il traffico delle chiamate in arrivo verso il Paese in cui si trova l’utenza; dall’altro, l’operatore nel Paese straniero deve avere un modo per tenere traccia dei costi del roaming e garantire la ricezione. È lo stesso meccanismo per il quale quando si varca o ci si avvicina a un confine si riceve il tipico messaggio di benvenuto nel nuovo Paese, con il quale veniamo tipicamente informati sulle tariffe che scatteranno da quel momento.

A permettere questo scambio di informazioni è lo standard SS7 (Signalling System 7), un protocollo sviluppato fin dagli anni Settanta e utilizzato sia dalle reti 2G sia da quelle 3G, introdotte tra il 1991 e il 2000. Il sistema si fonda su dei nodi a cui è assegnato un numero univoco e internazionalmente riconosciuto che si chiama Global title (Gt).

Il problema è che – agli albori della telefonia – gli unici attori in grado di accedere alla rete erano gli operatori, giudicati affidabili, e dunque non si è pensato di implementare delle misure di sicurezza aggiuntive. Il problema non si è risolto nemmeno nel 2012 con l’introduzione del 4G e del protocollo Diameter, che svolge le stesse funzioni di SS7 ma ne eredita anche i problemi. Malgrado da tempo si stia puntando a dismettere le tecnologie più obsolete, queste continuano a operare in modo da assicurare a ciascun dispositivo di poter scalare da una connessione 4G a una precedente. In tutti i casi l’errore di configurazione della rete permane.

A essere evoluta, insieme alla complessità della rete telefonica, è la quantità di attori che possono accedere ai Global title. Non più soltanto gli operatori telefonici, ma chiunque paghi un canone a fronte dell’erogazione di un servizio. 

Basti pensare a chi offre servizi di autenticazione bancaria tramite SMS o funzioni di monitoraggio delle flotte aziendali. Inoltre, gli operatori telefonici possono decidere di affittare parte delle proprie Gt a soggetti terzi, beneficiando quindi economicamente di questo accordo. 

Lo ha dimostrato già nel 2017 un’inchiesta pubblicata dal The Daily Beast, quando un giornalista ha creato un’azienda fittizia spacciandosi per un piccolo cliente interessato all’acquisto di un Global title da parte di una società di telecomunicazioni europea. Il preventivo è arrivato dopo un rapido scambio di email durato una settimana: bastano poco più di 2mila dollari di pagamento iniziale e una successiva tariffa mensile di 6600 dollari.

Questa apertura del mercato poggia però sempre sull’assunto iniziale: che ci si possa fidare di tutti quelli che hanno accesso alla rete. Un approccio che può ricordare quanto avvenuto con le email, che nascono senza la possibilità di essere cifrate e lette quindi solo dalle persone che stanno comunicando.

Le aziende di sorveglianza sfruttano questa vulnerabilità concettuale per ottenere svariate Gt in affitto, fingendo di averne bisogno per impieghi legittimi, ma finiscono poi con inviare richieste sulla rete che permettono di localizzare un bersaglio con una precisione di metri, consentita dalla diffusione delle celle telefoniche sul territorio.

Una volta che un soggetto malintenzionato ottiene il Global title, può inviare una richiesta all’operatore telefonico della vittima chiedendone la posizione. In altri casi invece occorre prima inviare una richiesta per ottenere informazioni sul codice Imsi (International mobile subscriber identity): un codice che identifica in maniera univoca un’utenza telefonica, diverso dal numero di telefono, e sulla posizione generica dello Stato in cui si trova. Poi la Gt in mano all’attaccante può inviare una richiesta con questi dati per ottenere la posizione esatta della vittima.

IL GLOSSARIO DELLA SORVEGLIANZA SU RETI TELCO

Global Titles (Gt): si tratta di un indirizzo, simile a un numero telefonico univoco e internazionalmente riconosciuto, che identifica ogni componente della rete telefonica gestito da un operatore. Questo indirizzo è necessario per instradare i messaggi e le comunicazioni tra i vari operatori telefonici. 

Signalling System 7 (SS7): un protocollo sviluppato fin dagli anni Settanta e utilizzato sia dalle reti telefoniche 2G sia da quelle 3G. Permette la comunicazione tra le varie Global Titles degli operatori telefonici. Esistono messaggi SS7 che permettono di richiedere informazioni sull’utenza telefonica e anche dettagli sulla sua posizione. 

Imsi: L’International Mobile Subscriber Identity è un codice che identifica in maniera univoca un’utenza telefonica, ed è diverso dal numero di telefono. 

Codice di condotta per l’affitto delle Gt: introdotto dall’associazione internazionale degli operatori telefonici Gsma nel 2023, il codice prevede che chiunque conceda in affitto le proprie Gt riconosca di essere legalmente responsabile dell’utilizzo che ne fa il locatario, effettui i dovuti controlli sui soggetti a cui sta fornendo l’accesso e ne fornisca le generalità agli altri membri di Gsma.

L’Agenzia dell’Unione europea per la cybersicurezza (Enisa), ha inviato nel 2018 un questionario a 39 tra grandi e piccoli fornitori di comunicazioni elettroniche in tutta l’Unione europea, chiedendo dettagli sullo stato della sicurezza delle reti e informazioni sulle minacce. I risultati rivelano che circa un operatore su due ha avuto a che fare sulla propria rete con attacchi volti alla localizzazione. Anche se il dato, sottolinea l’agenzia, potrebbe essere sovrastimato perché è facilmente soggetto a falsi positivi. 

Un altro segnale allarmante è che solo il 28% degli operatori ha dichiarato di usare dei sistemi di protezione come i firewall, per filtrare e bloccare messaggi non autorizzati. Associazioni come la Gsma, che racchiude oltre mille operatori telefonici nel mondo, hanno fornito negli anni linee guida su come prevenire e gestire questi attacchi. Alcuni tipi di richieste tra operatori diversi, si legge nel documento, non dovrebbero essere permesse. Ma queste indicazioni hanno puro valore indicativo e non impongono l’adozione di misure. Infatti non tutti le implementano.

Malgrado il problema sia pubblicamente noto da almeno 15 anni, secondo i report di Enisa, le statistiche su questo tipo di incidenti sono ancora lacunose perché spesso gli operatori non ne tengono traccia in quanto non creano disservizi su larga scala e non impattano sugli utenti. 

Contattata da IrpiMedia, Enisa risponde di non possedere al momento dati più aggiornati e spiega che queste statistiche andrebbero richieste direttamente agli operatori telefonici.

Qualche informazione aggiuntiva la fornisce Enea, società che aiuta gli operatori telefonici a monitorare e difendersi da questi attacchi, la quale nel 2020 stimava che almeno lo 0,04% del traffico su protocollo SS7 fosse considerabile sospetto, anche se non tutto necessariamente malevolo. Di quella porzione infatti la maggior parte sarebbe riconducibile a errori di configurazione da parte degli operatori legittimi mentre l’1,37% risulta effettivamente malevolo. Per il 30% sono attacchi per localizzare un dispositivo e il 2% riguarda l’intercettazione di chiamate e SMS.

TELEFONI VIOLATI

L’azienda di sicurezza Enea aiuta gli operatori telefonici a monitorare e difendersi dagli attacchi SS7. Grazie a questo suo punto di vista privilegiato sulla rete telefonica riesce a raccogliere statistiche sulle tipologie di attacchi che si incontrano, offrendo un’analisi delle capacità delle aziende di sorveglianza

Traccia e localizza

Nel 2022 un’inchiesta di IrpiMedia e Lighthouse Reports ha svelato l’esistenza di un’azienda italiana che abusa dell’accesso alla rete telefonica per vendere software di localizzazione: Tykelab. A sua volta è controllata dall’azienda di intercettazioni Rcs ed entrambe sono state acquistate dal colosso della sorveglianza Cy4gate, che fa parte del gruppo Elettronica che annovera tra i suoi azionisti anche Leonardo.

Tykelab ha utilizzato reti telefoniche, spesso su isole remote del Pacifico, come punto di accesso per inviare decine di migliaia di “pacchetti di tracciamento” segreti in tutto il mondo. I dati riservati del settore delle telecomunicazioni ottenuti da Lighthouse Reports mostrano attacchi contro utenze in Paesi come Libia, Nicaragua, Malesia, Costa Rica, Iraq, Mali, Grecia e Portogallo, oltre che in Italia. La tecnologia di Tykelab è venduta da Rcs sotto il nome di Ubiqo, ma non è la sola in questo settore. 

A partire dal 2014 una serie inchieste giornalistiche hanno ripetutamente puntato i riflettori su chi offre questa capacità e sugli operatori telefonici che concedono accesso alla rete. Ad esempio il Washington Post ha svelato l’esistenza dei prodotti delle aziende di sorveglianza Verint e Defentek. Nel caso di Verint il prodotto si chiama SkyLock e, secondo documenti ottenuti dalla testata, è in grado di localizzare persone in vari Paesi tra cui Messico, Nigeria, Congo, Emirati Arabi Uniti. Defentek invece dichiarava sul proprio sito di essere in grado di «localizzare e rintracciare qualsiasi numero di telefono nel mondo».

Nel 2020 un’inchiesta del Bureau of Investigative Journalism ha svelato che lo stesso meccanismo è stato utilizzato per geolocalizzare la principessa Latifa Al Maktoum mentre cercava di sfuggire al padre, lo sceicco Mohammed bin Rashid Al Maktoum, sovrano di Dubai. 

Già rapita in precedenza da Cambridge e tenuta segregata in casa, Al Maktoum da tempo denuncia le condizioni in cui sono costrette a vivere le donne nel suo Paese. Dopo una nuova fuga, la principessa è stata oggetto di tentativi di localizzazione grazie a dei messaggi fittizi inviati al suo skipper, mentre navigava al largo dell’India. Su richiesta dello sceicco, il governo di Nuova Delhi ha inviato un commando che ha recuperato Al Maktoum riconsegnandola al padre. I messaggi usati nel tentativo di scoprirne la posizione sono passati attraverso le reti telefoniche degli operatori delle Isole del Canale, tra Regno Unito e Francia. 

Sempre nel 2020 i ricercatori del Citizen Lab, un laboratorio interdisciplinare dell’Università di Toronto, hanno analizzato l’infrastruttura dell’israeliana Circles. Originariamente fondata da Tal Dilian, nel 2014 Circles è finita sotto l’ombrello della Nso, la stessa che sviluppa lo spyware Pegasus. Dilian è lo stesso ex membro dell’intelligence di Israele che successivamente ha avviato l’azienda Intellexa, il cui spyware Predator è al centro di uno scandalo di intercettazioni in Grecia. 

Persino l’italiana Hacking Team (Ht), nota per il suo software di sorveglianza venduto a dittature in tutto il mondo, era entrata in contatto con Circles. A rivelarlo sono alcune email pubblicate da WikiLeaks dopo che Ht aveva subito un attacco da parte dell’hacktivista Phineas Fisher che aveva rilasciato online tutti i dati relativi ai clienti, ai software sviluppati e alle email. 

Grazie a una scansione dei server esposti su internet e collegabili a Circles, il Citizen Lab ha scoperto che tra gli acquirenti di queste tecnologie ci sono almeno 25 Paesi tra cui Belgio, Cile, El Salvador, Honduras, Indonesia, Israele, Kenya, Messico, Marocco, e Emirati Arabi Uniti. Molti di questi noti per le ripetute violazioni dei diritti umani. 

VIOLAZIONI TELEFONICHE, UNA STORIA LUNGA 15 ANNI

Dal 2008 esperti del settore e inchieste giornalistiche hanno ciclicamente sollevato il problema della vulnerabilità della rete telefonica usata in tutto il mondo. Negli anni sono emerse nuove aziende di sorveglianza ma i governi fanno ancora fatica a decidere come bloccare questa falla

Ma anche aziende che offrono servizi legittimi hanno concesso segretamente la possibilità di sorvegliare e localizzare una persona, come nel caso della svizzera Mitto. 

Il suo prodotto di punta era l’invio di codici di sicurezza per il login, servizio usato all’epoca anche da Google e Twitter. Ma un’inchiesta del 2021 del Bureau of Investigative Journalism ha svelato che il cofondatore dell’azienda gestiva in realtà anche un servizio parallelo per tracciare segretamente i telefoni cellulari offrendolo a varie aziende di sorveglianza. Tra queste c’era la TRG Research and Development, un’azienda con base a Cipro attiva nel settore delle intercettazioni. Tra le vittime ci sarebbe anche un numero di telefono associato a un alto funzionario del Dipartimento di Stato degli Stati Uniti d’America. 

A marzo 2023 l’Autorità svizzera per la protezione dei dati personali ha concluso un’indagine preliminare su Mitto segnalando però che dalle informazioni e dai registri delle attività dell’azienda non emerge alcuna prova che i sistemi fossero stati abusati come rivelato dall’inchiesta.

Nel 2023 un’inchiesta internazionale di Lighthouse Reports, Haaretz, Der Spiegel, Tages-Anzeiger, e Mediapart ha mostrato come un imprenditore svizzero, Andreas Fink, abbia offerto il proprio accesso alla rete telefonica ad aziende di sorveglianza come l’israeliana Rayzone Group. Fink ha anche fatto una dimostrazione della propria tecnologia in Congo, dove su richiesta degli ufficiali governativi avrebbe mostrato come localizzare il numero di telefono di una persona legata a un account anti-governativo su Facebook. 

L’infrastruttura di Fink sarebbe arrivata a operare anche in Messico, tracciando il cellulare di un giornalista che, il giorno seguente alla localizzazione, è stato ucciso. Fink ha negato di essere coinvolto in quest’ultimo caso.

In cerca di una soluzione

Malgrado gli operatori telefonici abbiano ignorato l’invito della commissione Pega, il report finale prodotto dall’organismo comunitario include comunque alcuni suggerimenti per gli attori del settore, ai quali si chiede di revocare le licenze di concessione delle Gt a tutti quei soggetti che ne facilitano l’uso illegale per scopi di sorveglianza. 

Un’ulteriore richiesta è che si aumenti la soglia di attenzione per rilevare utilizzi fraudolenti di questi accessi, oltre a chiedere che gli Stati membri garantiscano un controllo da parte delle autorità nazionali sul livello di resilienza dei fornitori di telecomunicazioni alle intrusioni non autorizzate. Queste raccomandazioni non stabiliscono però con precisione chi dovrebbe monitorare sulla loro corretta implementazione.

Come è evidente, molte di queste proposte fanno appello alle buone intenzioni degli operatori stessi che devono impegnarsi a implementarle. Inoltre il testo non è vincolante per gli Stati, in quanto si tratta di mere raccomandazioni. 

In contemporanea si sono già visti tentativi di autoregolamentazione, come il Codice di condotta per l’affitto dell’accesso alla rete, introdotto dall’associazione degli operatori telefonici Gsma nel 2023. Il codice prevede che chiunque conceda in affitto le proprie Gt riconosca di essere legalmente responsabile dell’utilizzo che ne fa il locatario, effettui i dovuti controlli sui soggetti a cui sta fornendo l’accesso e ne fornisca le generalità agli altri membri di Gsma.

Inoltre, i Paesi europei considerano già il settore delle telecomunicazioni un ambito strategico e di importanza nazionale, per questo gli aspetti legati alla sua sicurezza sono codificati in leggi specifiche. Il Codice europeo delle comunicazioni elettroniche adottato nel 2018 prevede infatti che gli Stati dell’Ue debbano garantire che gli operatori adottino adeguate misure di cybersecurity e segnalino gli incidenti significativi alle autorità nazionali. 

A rafforzare la sicurezza delle reti sono intervenute anche due direttive europee chiamate Nis1 e Nis2 (acronimo dall’inglese che sta per Network e Sistemi Informativi) pensate per garantire un alto livello di protezione contro gli attacchi informatici. Adottata a livello europeo a fine 2022, Nis2 dovrà essere implementata dagli Stati membri entro il 17 ottobre 2024, razionalizzando il quadro normativo in materia di cybersicurezza, aggiungendo i fornitori di reti pubbliche di comunicazione elettronica al settore delle «infrastrutture digitali» previsto dalla Nis1, e consolidando gli obblighi di segnalazione delle violazioni di sicurezza alle Autorità.

In Italia a monitorare sugli operatori di telecomunicazioni sarà l’Agenzia per la Cybersicurezza Nazionale (Acn) che già se ne occupa nell’ambito del Codice delle comunicazioni elettroniche. 

Acn ha respinto una richiesta di commento sullo stato della sicurezza degli operatori telefonici italiani, riguardo a eventuali statistiche sul numero di attacchi che sono stati notificati e su quanti operatori hanno introdotto firewall e sistemi per filtrare messaggi SS7 sospetti.

Enisa ha invece spiegato a IrpiMedia che l’agenzia si occupa da tempo del tema e ha già condiviso con gli esperti delle autorità competenti europee per la sicurezza delle comunicazioni elettroniche un elenco di punti da considerare per garantire la sicurezza delle reti.

Inoltre, il 21 febbraio 2024 gli Stati membri dell’Unione europea, con il supporto della Commissione europea e dell’Enisa, hanno pubblicato un rapporto sulla sicurezza informatica e la resilienza delle infrastrutture e delle reti di comunicazione. Inclusi negli scenari ad alto rischio ci sono anche gli attacchi che sfruttano le vulnerabilità del sistema SS7 perché potrebbero essere usate da uno stato nemico o dalla criminalità organizzata per intercettare le comunicazioni e geolocalizzare un bersaglio. 

Il testo invita gli Stati membri «a sensibilizzare su questo tipo di attacchi e a garantire che gli operatori di telecomunicazioni adottino misure adeguate per prevenirli», ha spiegato a Irpimedia Georgia Bafoutsou, esperta di cybersicurezza dell’agenzia Enisa. «Enisa collaborerà con gli Stati membri per attuare questa raccomandazione», ha aggiunto Bafoutsou.

Vodafone Italia ha spiegato a IrpiMedia di aver implementato una serie di misure per migliorare la resilienza della propria rete contro gli attacchi che sfruttano le vulnerabilità del protocollo SS7 e di lavorare a stretto contatto a livello globale con Gsma e con esperti di sicurezza per ridurre al minimo i rischi. Non ha però fornito dati sul numero di attacchi rilevati e sulle misure di difesa adottate.

Dello stesso tenore la risposta di Wind Tre che ha precisato che tali informazioni non vengono diffuse all’esterno dell’azienda. Tim e Iliad non hanno invece risposto alle domande inviate.

L’attenzione al tema arriva anche dagli Stati Uniti dove a marzo 2024, in parte a seguito delle pressioni del senatore democratico Ron Wyden, la Commissione federale per le comunicazioni degli Usa ha inviato una serie di richieste ai fornitori di servizi di comunicazione per capire, tra le altre cose, quali contromisure di sicurezza sono impiegate per impedire il tracciamento della posizione degli utenti e per avere dettagli su eventuali tentativi riusciti e non autorizzati di localizzazione.  

In un comunicato stampa Wyden ha accolto con soddisfazione le richieste della Commissione e ha aggiunto: «L’America deve rafforzare le proprie difese contro le società di sorveglianza mercenarie che aiutano i dittatori stranieri a minacciare la sicurezza nazionale degli Stati Uniti, i diritti umani e i giornalisti che si impegnano a denunciare gli illeciti». 

Ora non resta che vedere come agirà l’Unione europea perché, mentre gli sforzi degli operatori telefonici non sembrano ancora adeguati e i governi tentennano sulle soluzioni concrete da applicare, gli abusi della rete telefonica continuano ogni giorno in tutto il mondo anche grazie ad aziende europee. 

da qui

Serco, quando la detenzione diventa un business mondiale - Marika Ikonomu, Alessandro Leone, Simone Manda

  

Da decenni l’azienda è partner dei governi per l’esternalizzazione dei servizi pubblici in settori come sanità, difesa, trasporti, ma soprattutto nelle strutture detentive per le persone migranti. Nel 2022 ha acquisito Ors con l’idea di esportare il suo modello anche in Italia

 

«Ho l’orribile abitudine di camminare verso gli spari». Si descrive così al Guardian il manager Rupert Soames. Nipote dell’ex primo ministro del Regno Unito Winston Churchill, figlio di Christopher, ambasciatore in Francia e ultimo governatore della Rhodesia – odierno Zimbabwe – e fratello dell’ex ministro della difesa conservatore Nicholas, Rupert Soames per anni è stato il numero uno della multinazionale britannica Serco, quella che il quotidiano britannico chiama «la più grande società di cui non avete mai sentito parlare».

Serco (Service Company) è un’azienda business to government (B2G), specializzata in cinque settori: difesa, giustizia e immigrazione, trasporti, salute e servizi al cittadino. Opera in cinque continenti e tra i suoi valori principali dichiara: fiducia, cura, innovazione e orgoglio. Dai primi anni Novanta, è cresciuta prendendo in carico servizi esternalizzati dallo Stato a compagnie terze e aggiudicandosi in pochi anni un primato sulla gestione degli appalti privati. Sono arrivati poi indagini dell’antitrust inglese, accuse di frode in appalti pubblici e conseguenti anni di crisi dovuti alla perdita di diverse commesse, fino a quando il nipote di Churchill non è diventato Ceo di Serco, nel 2014. Da allora la società ha costruito un impero miliardario fornendo servizi molto diversi tra loro: dai semafori di Londra, al controllo del traffico aereo a Baghdad. La gestione dei centri di detenzione per persone migranti è di gran lunga il principale business di Serco nelle due macroaree “Europa e Regno Unito” e “Asia e Pacifico”. Ad oggi Serco ha all’attivo più di 500 contratti e impiega più di 50 mila persone in tutto il mondo. Nel 2022 ha totalizzato 4,7 miliardi di sterline in ricavi, un regalo ai suoi azionisti, tra cui i fondi d’investimento BlackRock e JP Morgan.

 

L'inchiesta in breve

·         Serco (Service Company) è una multinazionale britannica che fornisce diversi servizi ai governi, soprattutto nei settori della difesa, sanità, giustizia, trasporti e immigrazione, dalla gestione dei semafori di Londra fino al traffico aereo di Baghdad

·         Oggi la società ha all’attivo più di 500 contratti e impiega oltre 50 mila persone in tutto il mondo. Nel 2022 ha totalizzato 4,7 miliardi di sterline in ricavi e tra i suoi azionisti ci sono fondi d’investimento come BlackRock e JP Morgan

·         Il suo Ceo fino a dicembre 2022 era Rupert Soames, nipote di Winston Churchill, che ha risollevato la società dopo un periodo di crisi economica legato ad alcuni scandali, come i presunti abusi sessuali nel centro di detenzione per donne migranti Yarl’s Wood, a Milton Ernest, nel Regno Unito

·         Nelle macroregioni “Europa e Gran Bretagna” e “Asia e Pacifico” il settore dove l’azienda è più presente è l’immigrazione. Su dieci centri per l’espulsione presenti nel Regno Unito, Serco oggi ne gestisce quattro

·         In Australia, la multinazionale gestisce tutti i sette centri di detenzione per persone migranti attualmente attivi ed è stata criticata più volte per la violenza dei suoi agenti di sicurezza, soprattutto nella struttura di Christmas Island

·         L’obiettivo di Serco è esportare questo modello anche nel resto d’Europa. Per questo, a settembre 2022 ha acquisito la multinazionale svizzera Ors, entrando nel mercato della detenzione amministrativa anche in Italia, dove la sua filiale offre servizi nel settore spaziale

In otto anni, Soames ha portato il fatturato della società da circa 3,5 miliardi nel 2015 a 4,5 miliardi nel 2022, permettendo così all’azienda di uscire da una fase di crisi dovuta a vari scandali nel Regno Unito. Secondo il Guardian, dal 2015 al 2021 ha ricevuto uno stipendio di 23,5 milioni di sterline. «Sono molto ben pagato», ha ammesso in un’intervista. Ha lasciato l’incarico nel settembre 2022 sostenendo che fosse arrivato il momento di «esternalizzare» se stesso e andare in pensione. Ma a settembre 2023 è stato nominato presidente di Smith & Nephew, azienda che produce apparecchiature mediche. Al suo posto è arrivato Mark Irwin, ex capo della divisione Regno Unito ed Europa e di quella Asia Pacific di Serco.

Poco prima di lasciare l’incarico, Soames ha acquisito la multinazionale svizzera Ors, leader nel settore dell’immigrazione in Europa. L’operazione vale 39 milioni di sterline, a cui Serco aggiunge 6,7 milioni di sterline per saldare il debito bancario accumulato da Ors. L’acquisizione, per Serco, avrebbe consentito «di collaborare e supportare i clienti governativi in tutta Europa, che hanno un bisogno continuo e crescente di servizi di assistenza all’immigrazione e ai richiedenti asilo». Con Ors, società appena giunta anche nel sistema di gestione dei centri di detenzione in Italia, Serco vuole «rafforzare la nostra attività europea, raddoppiandone all’incirca le dimensioni e aumentando la gamma di servizi offerti».

In Europa i centri di detenzione per migranti sono infatti in aumento, soprattutto in Italia, dove, scrive in un report l’Agenzia dell’Unione europea per l’asilo (Euaa), i milioni previsti per queste strutture sono 5,5 nel 2023, 14,4 per il 2024 e 16,2 nel 2025. Degli scandali di Ors, abbiamo scritto in una precedente puntata: «Non accettiamo le accuse di “cattiva gestione” dei servizi offerti da Ors – scrive Serco via mail a IrpiMedia, rispondendo alla richiesta di commento per questa inchiesta -. I casi spesso ripetuti dai media e citati dalle ong risalgono a molto tempo fa e sono stati smentiti più volte». Serco tuttavia riconosce che «in un’azienda con più di 2.500 dipendenti, che opera in un settore così delicato come quello dell’immigrazione, di tanto in tanto si commettono degli errori. È importante riconoscerli rapidamente e correggerli immediatamente». A giudicare dalle inchieste giornalistiche e di commissioni parlamentari nel Regno Unito e in Australia, Paese dove gestisce tutte le strutture detentive per migranti, non è però quello che ha fatto Serco negli anni…

continua qui

Progetto Skye, il piano segreto usato da GKN per chiudere la fabbrica di Campi Bisenzio - Edoardo Anziano

  

Documenti interni dimostrano che la multinazionale, a differenza di quanto dichiarato pubblicamente, pensava di chiudere l’impianto fiorentino oltre un anno prima dell’annuncio. Ma lo ha sempre tenuto riservato

Non si decide di chiudere una fabbrica da un giorno all’altro. È un processo che richiede mesi, spesso anni, di pianificazione. Quando GKN Automotive, multinazionale della componentistica per automobili, comunica pubblicamente di voler chiudere il suo storico stabilimento di Chester Road a Birmingham, nell’Inghilterra centro-occidentale, è la fine di gennaio del 2021. Gli operai, oltre 500, non verranno licenziati prima di un anno, nel 2022. «La proposta prevede che GKN Automotive proceda a un’attenta chiusura del sito nell’arco di 18 mesi, per garantire una transizione ordinata e stabile delle attività e dare alle persone interessate il tempo di trovare un nuovo lavoro», si legge nel comunicato dell’azienda. «Supportare il nostro personale è la nostra prima priorità», scrivono i dirigenti, mentre gli operai tentano di opporsi scioperando.

Quello che è successo a Birmingham è parte della strategia di “spezzatino e vendita” del fondo speculativo britannico Melrose Industries Plc, che qualche anno fa ha acquistato GKN con l’intento di ridurre i costi e smembrare il gruppo, vendendo i singoli stabilimenti e distribuendo dividendi ai propri azionisti. Una strategia che ha colpito anche la fabbrica di Campi Bisenzio, in provincia di Firenze. La vendita dell’impianto toscano si è effettivamente conclusa a dicembre 2021. Rispetto al caso inglese, però, c’è una macroscopica differenza: tutti gli operai, più di 400, sono stati licenziati all’improvviso, con un messaggio di posta elettronica certificata, nell’estate del 2021. «La decisione è dolorosa. Abbiamo realizzato che nello scenario di mercato che si sta delineando non è possibile rendere l’impresa sostenibile», aveva spiegato, solo alcuni mesi dopo, l’amministratore delegato della fabbrica, Andrea Ghezzi. La decisione era stata presa a luglio, quando le proiezioni di mercato a medio termine indicavano ulteriori perdite. «La chiusura – aveva concluso Ghezzi – è stata una decisione conseguente e inevitabile». A questa ricostruzione si sono sempre opposti gli operai. Il 9 luglio 2021, giorno della chiusura, il rappresentante sindacale Dario Salvetti spiegava ai microfoni del Corriere Fiorentino che «l’azienda ha preparato tutto nei minimi dettagli, fingendo fino all’ultimo secondo e aspettando il momento più propizio per fare quello che ha fatto». Perché, appunto, una fabbrica non si chiude da un giorno all’altro. 

L'inchiesta in breve

·         Qualche anno fa il fondo speculativo Melrose ha acquistato la multinazionale di componenti per auto GKN, con l’intento di ridurre i costi e smembrare il gruppo, vendendo i singoli stabilimenti. Questa strategia, chiamata “spezzatino e vendita”, ha colpito anche la fabbrica di Campi Bisenzio, in provincia di Firenze

·         I lavoratori di GKN a Campi Bisenzio sono stati licenziati a luglio 2021, all’improvviso, con un messaggio di posta elettronica certificata. Una modalità mai vista per altri licenziamenti del gruppo. Prima della fine dell’anno, la fabbrica è stata venduta

·         Documenti interni, parte di un leak di cui IrpiMedia è venuta in possesso, dimostrano che il processo per decidere la chiusura non è stato né improvviso né improrogabile, al contrario di quanto dichiarato dall’azienda. Ci sono stati due piani – nomi in codice «Forest» e «Skye» – mai condivisi con i lavoratori

·         Il primo, Forest, aveva lo scopo di ridurre il numero di lavoratori, in diversi stabilimenti GKN. Il secondo, Skye, progettava addirittura di dismettere del tutto l’impianto fiorentino. Mentre i dirigenti valutavano la possibilità di lasciare Campi Bisenzio, continuavano a promettere ai lavoratori il loro impegno per sviluppare la fabbrica a Firenze e negavano lo scenario dei licenziamenti

·         GKN, nel settembre 2021, è stata costretta a bloccare i licenziamenti collettivi che aveva previsto, perché il Tribunale di Firenze ha ritenuto il suo comportamento «antisindacale». Nel rispondere all’esposto della FIOM, l’azienda aveva invece dichiarato al giudice di «non aver sottaciuto alcunché» ai sindacati….

·         Documenti interni, ottenuti da IrpiMedia, provano – per la prima volta – che Melrose stava valutando la chiusura di Campi Bisenzio fin da febbraio 2020, un anno e mezzo prima dell’annuncio ufficiale. Tuttavia, l’azienda ha comunicato ai dipendenti la sua decisione solo il giorno stesso, dopo aver tenuto i sindacati all’oscuro di tutto. Non c’è una spiegazione esplicita dei motivi di questa scelta, ma dai documenti emerge che, fin da prima dell’ingresso di Melrose, il management aveva pregiudizi verso i sindacati: ne temeva le azioni e li riteneva responsabili dei problemi di produzione.

·         In un vecchio documento di appunti, privo di data, si trova anche una cronistoria commentata dei rapporti sindacali nello stabilimento fiorentino, preparata per i manager internazionali. Nella prima parte si descrivono i miglioramenti nelle relazioni sindacali a partire dal 2007 (i contrasti dell’epoca erano in merito allo svolgimento dei turni). In una seconda, emergono invece le opinioni sulla leadership della «rossa» FIOM, la Federazione Impiegati Operai Metallurgici, sigla sindacale a cui aderiscono quasi tutti i lavoratori dello stabilimento toscano: è considerata «fortemente ideologica», con una linea, «a volte», «totalmente folle», nonostante spesso le rivendicazioni dei lavoratori di GKN Firenze siano in linea con quelle della FIOM in tutta Italia (per esempio in merito alle contestazioni sul Jobs Act o sul “modello Marchionne”) e rientrino a pieno titolo nella contrattazione in un Paese in cui i rapporti sindacali sono normati.

·         Per quanto presentata come improvvisa e inevitabile, la chiusura della GKN di Campi Bisenzio è l’esito di una strategia spregiudicata e di una totale mancanza di trasparenza da parte della dirigenza. I documenti trovati nel leak, che IrpiMedia ha condiviso con il settimanale Panorama, contengono infatti riferimenti a due progetti segreti, nomi in codice «Forest» e «Skye». Il primo, Forest, viene nominato in alcuni documenti per la gestione del personale e ha lo scopo di ridurre il numero di lavoratori in diversi stabilimenti GKN nel mondo. Il secondo, Skye, è menzionato come progetto «strettamente confidenziale» nelle clausole di accordi firmati dai vertici aziendali a inizio 2020, e si spinge fino a ipotizzare di chiudere completamente l’impianto di Campi Bisenzio. Lo si capisce da bozze di lavoro, memorandum interni e presentazioni PowerPoint, contenenti grafici, tabelle e linee del tempo, che IrpiMedia ha trovato nel leak…

continua qui

La polizia italiana vuole utilizzare finti profili social per monitorare la rete - Riccardo Coluccini

 

Prima erano solamente intelligence ed esercito, ma ora anche le forze dell’ordine guardano con sempre maggiore attenzione alle opportunità della sorveglianza sui social, tramite finti profili indistinguibili dai reali

Vanessa è una ragazza tedesca di 27 anni, pratica gli sport e le piace il calcio. È cresciuta in un quartiere benestante e al momento è single, dopo che il suo ragazzo, un elettricista, ha deciso di lasciarla. Le sue poche foto su Instagram raccontano della passione per la cucina e per i film di animazione di Miyazaki. Vanessa è una persona gentile ma può anche essere molto egoista e un po’ noiosa. Dettagli della sua personalità che nessuno potrebbe conoscere guardando solamente le poche foto postate online. Vanessa infatti non esiste, o meglio: è un profilo finto la cui biografia e i tratti caratteriali sono stati decisi interamente dall’azienda di sorveglianza italiana Cy4gate, come testimoniato da un documento individuato online da IrpiMedia, nel quale si pubblicizza un software per la gestione di avatar virtuali offerto alle forze dell’ordine per fingersi utenti reali e monitorare così le piattaforme social.

 

L'inchiesta in breve

·         Una notifica sul cellulare e una richiesta di amicizia possono essere l’inizio di un’attività di monitoraggio online da parte delle forze dell’ordine, sempre più interessate alla generazione di finti profili social in modo da seguire i propri bersagli anche sulle reti digitali

·         È quanto emerge da una serie di documenti e presentazioni individuate da IrpiMedia, che ha scoperto come alcune aziende di sorveglianza stiano spingendo nella promozione di software in grado di creare e gestire finti account social quasi automatici e difficilmente distinguibili da dei profili reali

·         Le aziende italiane Cy4gate e Area offrono questi prodotti, un tempo in mano solo all’esercito e alle agenzie di intelligence, anche alla polizia. Piattaforme simili, offerte da altre aziende internazionali, sono usate anche per inviare link per l’installazione di spyware

·         Un elemento chiave è l’utilizzo degli algoritmi di intelligenza artificiale, sempre più capaci di creare l’immagine di volti perfettamente credibili e difficilmente distinguibili da quello di una vera persona

·         Come scoperto da IrpiMedia, l’Agenzia delle Dogane e dei Monopoli è già dotata di questo tipo di tecnologia, anche se non è chiaro quale tipo di reati voglia indagare, mentre la Polizia postale ne ha preso in considerazione l’acquisto, sebbene sembra non si sia ancora concluso.

·         Queste piattaforme «possono davvero avere un effetto di controllo massivo sulle persone e sul modo in cui usano Internet» secondo l’esperta Ella Jakubowska, Senior Policy Advisor presso l’associazione che si occupa di diritti digitali European Digital Rights (EDRi)

In gergo si parla di “Vumint”, dalla contrazione del termine “virtual human intelligence”, ovvero della pratica che permette di usare finti profili sui social network per avvicinare un obiettivo, monitorarne le attività e le amicizie, e raccogliere informazioni sul suo conto. Il prodotto di Cy4gate, che si pone proprio questo obbiettivo, si chiama Gens.AI e persino la Polizia postale e delle Comunicazioni era intenzionata ad acquistarlo nel 2021, come emerge dall’analisi di un documento visionato da IrpiMedia.

Ma non sono gli unici a voler usare in Italia tecnologie simili: l’Agenzia delle Dogane e dei Monopoli ha già siglato un contratto con Area Spa, azienda che sviluppa tecnologie di sorveglianza e produttrice di un sistema simile a quello di Cy4gate. Mentre l’uso di questi strumenti, un tempo solo in mano alle agenzie di intelligence e all’esercito, si espande, gli esperti che si occupano di privacy temono per i rischi legati a una sorveglianza indiscriminata delle attività online, sopratutto se questa dovesse finire in mani sbagliate o impiegata per scopi non previsti.

Le mille facce dell’intelligence

Hai una nuova richiesta d’amicizia

Capita spesso di ricevere strane richieste di amicizia sui social da profili palesemente falsi o quantomeno stravaganti, ma gli strumenti di Virtual Human Intelligence sono fatti per non destare sospetti: algoritmi di intelligenza artificiale permettono di creare e gestire profili che sembrano in tutto e per tutto veri, completi di foto profilo, descrizioni, e con un’attiva condivisione di post. E così, dopo essere entrati nella cerchia degli amici, gli avatar dietro cui si cela un operatore umano possono iniziare a costruire un profilo sull’attività del bersaglio: controllare la lista degli amici, vedere le foto in cui è taggato e i post che condivide. Ma anche interagire direttamente con il target per ottenere maggiori informazioni.

In Italia già nel 2016 si parlava di queste tecnologie, come riporta un articolo de La Stampa riguardo l’evento Cyber Defence Symposium organizzato dal ministero della Difesa. Durante il simposio uno dei responsabili di Area Spa parla di questi avatar come delle classiche “barbe finte”: «Un agente può creare dieci identità […] due magari progrediscono nel tempo maturando un profilo più articolato, e altre otto fanno da contorno», spiegava. L’attenzione per questo tema non è di certo scemata in Italia, dove si continuano a organizzare conferenze dell’esercito nelle quali la Virtual Humint è considerata, secondo il titolo di un evento, «la nuova frontiera dell’Intelligence».

Ma all’estero questi finti avatar sono già finiti al centro di abusi e scandali. Come quelli recentemente rivelati da Forbidden Stories, dopo che il gruppo di giornalisti ha ottenuto una presentazione riservata fatta dall’azienda S2T Unlocking Cyberspace alle Forze armate della Colombia. Documenti trapelati grazie all’operato di un collettivo di hacktivisti noto come Guacamaya, che IrpiMedia ha potuto visionare, descrivono come questi strumenti vengano commercializzati per un potenziale uso contro giornalisti e attivisti. Non è chiaro se la S2T si sia aggiudicata la commessa.

Società che vendono e producono simili tecnologie sono state recentemente oggetto di provvedimenti da parte di Meta, proprietaria di Facebook. Nel 2021 il colosso ha rimosso circa 300 profili falsi riconducibili a due aziende di sorveglianza israeliane, Cobwebs e Cognyte. Gli account falsi venivano usati per raccogliere informazioni e spingere le vittime a rivelare dati personali. In diversi casi l’obiettivo era colpire – ancora una volta – giornalisti e attivisti. Meta ha anche avviato un’azione legale contro l’azienda statunitense Voyager Labs per aver creato finti profili Facebook e Instagram con cui raccogliere dati. Secondo le accuse di Facebook, Voyager ha utilizzato 38 mila account falsi e nascondeva la propria attività grazie a una rete di computer e network in diversi Paesi, in modo da far sembrare ogni profilo autentico.

Nei documenti visionati da IrpiMedia, anche Cy4gate dichiara che le identità virtuali create con Gens.AI «non possono essere ricondotte» a Cy4gate o «all’utente del software» ma le funzionalità non finiscono lì.

Barbe finte all’italiana

La Polizia postale ha stimato una spesa di 369 mila euro nel suo “Programma biennale di forniture e servizi” per gli anni 2021-2022 per l’acquisto di Gens.AI per attività sotto copertura. Malgrado altri dei prodotti indicati nella lista siano poi stati regolarmente acquistati, IrpiMedia non ha individuato il bando effettivo di gara per il prodotto di Cy4gate. A una richiesta di commento, l’ufficio stampa della polizia ha dichiarato che il prodotto «non è stato acquistato, né riproposto nella programmazione degli acquisti di beni e servizi successiva».

Già in passato la Polizia postale ha svolto attività sotto copertura online, non è chiaro però se effettuate in maniera manuale o grazie a software specifici che facilitano la gestione dei profili. Ma nelle sue relazioni annuali sottolinea l’incessante attività di monitoraggio dei profili social e dei forum nel cosiddetto Dark Web, un’infrastruttura web che rende tecnicamente impossibile risalire all’identità degli utenti che vi navigano.

In risposta alle domande inviate da IrpiMedia, la Polizia postale non ha chiarito per quali reati vengano utilizzati strumenti per operazioni sotto copertura né se sono in uso altri strumenti simili a quello di Cy4gate. Ha confermato però di svolgere «attività sottocopertura secondo i limiti e le prescrizioni della normativa vigente, anche in materia di protezione dei dati personali», con lo scopo di prevenire e contrastare i reati commessi in rete.

Sotto copertura vs agente provocatore

La normativa vigente, specie riguardo il controllo di questi strumenti, non è dettagliata. In generale le forze dell’ordine possono agire per il contrasto alla diffusione di immagini pedopornografiche online sia attivando siti esca sul web, da cui le persone possono ottenere o scambiare le immagini, sia navigando online con profili falsi usati dai propri agenti. La legge contro “lo sfruttamento della prostituzione, della pornografia, del turismo sessuale in danno di minori” specifica che queste attività possono essere svolte solo su richiesta motivata dell’autorità giudiziaria. Quello della pedopornografia è però un caso speciale: in generale le operazioni sotto copertura sono codificate dall’articolo 9 della legge 16 marzo 2006, n. 146 e non è necessaria l’autorizzazione di un’autorità giudiziaria, ma è sufficiente che la polizia avvisi preventivamente il pubblico ministero e l’autorità e che vi sia un’indagine in corso per uno dei reati per cui è prevista la possibilità di agire sotto copertura: dalla corruzione alla vendita di sostanze stupefacenti, includendo anche reati di terrorismo.

Quel che è certo, però, è che la Polizia postale è interessata all’impiego di uno strumento come Gens.AI. D’altra parte, nei documenti societari di Cy4gate, si legge che il software aiuta a monitorare e prevenire i crimini ed «è particolarmente efficace nella lotta al traffico di droga, alla pedopornografia, all’eversione e ai reati associativi».

Secondo altri documenti informativi della stessa azienda, Gens.AI semplifica la gestione delle identità virtuali «a partire dalla creazione del profilo digitale e dalla sua manutenzione, fino all’esecuzione di operazioni sotto copertura su Internet». Ogni avatar ha una propria biografia, interessi e personalità che possono attirare l’attenzione dell’utente sottoposto a sorveglianza, e gli avatar possono sia monitorare che interagire con un profilo.

 

Screenshot da un documento promozionale della piattaforma Gens.AI. Ogni avatar è munito di foto, una propria biografia, account social e contatti

Dallo screenshot presente in uno dei documenti, che sembra mostrare una demo del sistema, si vede come ogni avatar abbia a disposizione profili social su diverse piattaforme tra cui Facebook, Instagram, Linkedin e Twitter, una propria biografia, un numero di cellulare. Nel caso di Vanessa si tratta di un numero telefonico olandese, malgrado lei sia tedesca e viva a Monaco. A completare l’architettura del servizio c’è la predisposizione di indirizzi IP che sfruttano un servizio di Vpn (Reti Private Virtuali) che servono a mascherare la reale origine della connessione e rendere più difficile per le piattaforme online l’individuazione dei falsi profili. In un altro screenshot si vede come sia possibile impostare dei messaggi e post che possono poi essere pubblicati sui social a un orario stabilito.

In una spiegazione sull’utilizzo di Gens.AI, Cy4gate allude alla possibilità di usare come avatar una finta ragazza di 17 anni per poter così identificare un pedofilo che adesca le proprie vittime online. Un’applicazione che potrebbe essere d’aiuto alla Polizia postale nella sua attività di contrasto alla pedopornografia online.

Gens.AI è stato sviluppato tra il 2018 e il 2019 e «gli avatar sono creati, addestrati e gestiti attivamente (ad esempio, interrompendo o modificando le attività automatiche) da un operatore umano autorizzato di Cy4gate», si legge nei documenti. Ciò vuol dire che il processo dovrebbe essere sostanzialmente automatico salvo l’intervento umano che va a perfezionare i profili e la loro credibilità agli occhi degli utenti. Cy4gate chiarisce che l’uso è riservato alle forze di polizia italiane e straniere. In particolare, si legge sempre nei documenti, «in Italia il loro utilizzo è consentito esclusivamente per il contrasto di specifici gravi reati su disposizione dell’Autorità Giudiziaria, nel rispetto delle disposizioni del Garante della Privacy».

In risposta a una serie di domande inviate da IrpiMedia, una portavoce di Cy4gate ha chiarito che «il prodotto viene fornito al cliente e installato presso le proprie strutture» e quindi al personale dell’azienda «non è consentito in alcun caso svolgere attività operativa a supporto del cliente e, pertanto, non sono noti i target a cui le attività investigative sono destinate e non è in alcun modo possibile aver accesso ai dati da parte dei dipendenti del gruppo».

Un portavoce dell’Autorità garante per la protezione dei dati personali ha dichiarato a IrpiMedia che dalle verifiche effettuate non risultano pervenute richieste di verifica nel merito dell’impiego di tali tecnologie, aggiungendo però che l’Autorità «segue con particolare attenzione questi temi».

Per la creazione della foto del profilo, Gens.AI permette di ricorrere ad algoritmi di intelligenza artificiale, come rivela un’immagine che compare nella presentazione del software. Si vede infatti il procedimento di selezione che permette di scegliere foto definite «GAN Generated» ovvero prodotte usando l’approccio del Generative Adversarial Network (GAN) dove due algoritmi, uno di creazione dell’immagine e uno di verifica della sua qualità, si aiutano a vicenda per ottenere il risultato desiderato. Nell’immagine si vede come, una volta selezionato il range di età e il genere dell’avatar sia possibile scegliere tra diversi volti prodotti artificialmente.

 

Il generatore di foto profilo permette di selezionare un range d’età e il genere dell’avatar. In alto si può selezionare la tipologia di foto, in questo caso si legge: Gan Generated ovvero prodotte usando gli algoritmi di intelligenza artificiale di tipo Generative Adversarial Network (GAN)

Anche l’immagine profilo di Vanessa sembra essere stata creata usando questa tecnologia. Secondo Alberto Fittarelli, ricercatore a capo della ricerca sulla disinformazione presso il Citizen Lab, un laboratorio interdisciplinare dell’Università di Toronto, e che ha aiutato IrpiMedia nella verifica dell’immagine, la foto profilo mostra alcune caratteristiche che rivelano sia il prodotto di un’AI, tra cui imperfezioni della palpebra e pupilla, tratti innaturali dei capelli e del lobo dell’orecchio, e un colletto interno non visibile solamente da un lato del collo. Per l’occhio di un utente distratto, che apre la notifica di una richiesta di amicizia mentre è a fare la spesa o durante la pausa pranzo, la foto di Vanessa è però sufficientemente precisa da sembrare autentica. Solamente attraverso l’analisi di strumenti appositamente creati per individuare immagini create dalle macchine è possibile avere la certezza che il volto di Vanessa sia un falso, ma anche questa è una certezza destinata a scomparire. Gli algoritmi sono sempre più capaci di generare immagini prive di imperfezioni e dunque sarà sempre più difficile distinguere la realtà dalla finzione.

 

Le foto generate con l’AI possono presentare delle imperfezioni che ad un occhio attento non passano inosservate. In questo caso ci sono imperfezioni della palpebra e pupilla, tratti innaturali dei capelli e del lobo dell’orecchio

«Strumenti come questo sono progettati in un modo o, almeno, utilizzabili in un modo che potrebbe costituire una sorveglianza generalizzata o un monitoraggio generale di internet», ha dichiarato a IrpiMedia Ella Jakubowska, Senior Policy Advisor presso European Digital Rights (EDRi), un associazione europea che si occupa della protezione dei diritti umani online.

Finti profili social in grado di monitorare l’attività online di qualsiasi utente potrebbero infatti avere come rischio quello di incidere sulla libertà di espressione, invadere la privacy delle persone, creare la sensazione di essere osservati e monitorati tutto il tempo e, aggiunge Jakubowska, «può quindi davvero avere un effetto di controllo massivo sulle persone e sul modo in cui usano Internet».

Secondo quanto riportato da Cy4gate sarebbe richiesta un’autorizzazione giudiziaria per utilizzare questi strumenti, ma la legge che regola le attività sotto copertura parla solamente di notificare preventivamente l’inizio di un’operazione e non include dettagli specifici su come possano essere svolte le attività online.

«Se è possibile creare profili sintetici molto più adatti a esaminare, monitorare e tracciare su larga scala l’uso di Internet da parte delle persone, ciò suggerisce che stanno cercando di fare qualcosa su una scala che non è ristretta?», si chiede Jakubowska. L’idea alla base di questa tecnologia sembra infatti rispondere a un’esigenza di scalabilità dell’impiego di account falsi online apparentemente ipertrofica rispetto alle esigenze d’indagine dichiarate dalle autorità.

Dogane digitali

Se la Polizia postale ha espresso interesse negli strumenti di Virtual Human Intelligence, nel caso dell’Agenzia delle Dogane e dei Monopoli queste tecnologie sono già in uso almeno dal 2015.

È in quell’anno che, per la prima volta, si trova traccia di un acquisto in tal senso da parte dell’agenzia regolatoria del commercio transfrontaliero. Nello specifico, secondo quanto scoperto da IrpiMedia, si tratta del sistema Mcr Virtual Human Intelligence prodotto da Area Spa, «a supporto delle attività di investigazioni sotto copertura in ambito cibernetico». L’acquisto è stato finalizzato grazie al finanziamento pubblico per il progetto di Snellimento delle procedure di sbarco ed imbarco dei container per incrementare la sicurezza e la rapidità del trasporto delle merci nell’ambito del Programma Operativo Nazionale (Pon) Reti e Mobilità 2007-2013, un programma che aveva l’obiettivo di valorizzazione la posizione dell’Italia nel bacino del Mediterraneo grazie a una piattaforma logistica che l’avrebbe resa «una testa di ponte dell’Ue verso il sud del Mediterraneo».

Si tratta quindi di uno strumento di intelligence che viene però acquistato tramite un programma di finanziamento delle infrastrutture logistiche, e le motivazioni per l’acquisto non spiegano in alcun modo come possano aiutare con lo snellimento delle procedure di sbarco e imbarco dei container. Si legge infatti nei documenti dell’Agenzia che vi è la necessità di dotarsi di strumenti che consentano di ostacolare in misura sempre crescente «il traffico di sostanze stupefacenti nonché i traffici illeciti di rifiuti» e vi è «l’esigenza operativa di dotare i funzionari doganali di strumenti tecnologicamente d’avanguardia» per contrastare gli interessi della criminalità economica e della criminalità organizzata. Come facilmente immaginabile, non è sui social network che le narcomafie organizzano la logistica dei trasporti di stupefacente, come ampiamente documentato anche dalle inchieste di IrpiMedia.

Il progetto originario, di oltre 4,5 milioni di euro, ha visto una rimodulazione della proposta progettuale «limitandolo alla realizzazione del sistema di intelligence» per un importo complessivo pari a 2,4 milioni. Area, che è stata individuata come unica fornitrice, si aggiudica l’appalto per 2,3 milioni nel 2015.

I funzionari della dogana italiana svolgono funzioni di polizia giudiziaria e tributaria, operando sia negli spazi doganali sia su delega dell’Autorità giudiziaria sull’intero territorio. A utilizzare il sistema di Area sarebbe la Direzione centrale Antifrode e Controlli che, secondo il sito web ufficiale, svolge anche attività di intelligence sui flussi commerciali a rischio e coordina strategie di analisi, prevenzione e repressione degli illeciti, soprattutto quelli legati a riciclaggio internazionale e al finanziamento del terrorismo. Le azioni di prevenzione non sono però incluse nella legge sulle attività sotto copertura, che sono previste unicamente allo scopo di raccogliere indizi di reati e non prevenirli.

Il sistema di Area era già finito sotto i riflettori internazionali nel 2018, quando un articolo di Forbes ne aveva rivelato l’esistenza grazie a un opuscolo informativo diffuso dall’azienda durante un evento che si è svolto nel Regno Unito. La tecnologia da loro sviluppata, si legge nella brochure, non solo sarebbe in grado di infiltrare agenti sotto copertura nelle comunità online al fine di raccogliere informazioni, ma sarebbe anche di supporto per «psychological operations (Psyops)»: un’allusione alla possibilità di condividere post e notizie con l’obiettivo di manipolare l’opinione pubblica.

Operazioni simili sono state in passato il marchio di fabbrica della Internet Research Agency (Ira), la macchina della propaganda del Cremlino, che grazie a profili finti sui social cercava di influenzare l’opinione pubblica e le elezioni in giro per il mondo – anche nel contesto della guerra in Ucraina. Ora piattaforme per organizzare campagne di disinformazione simili a quelle dell’Ira sono offerte anche dai cosiddetti mercenari della disinformazione, al centro dell’inchiesta Story Killers guidata da Forbidden Stories. Il sistema commercializzato da Area permetterebbe anche l’installazione di spyware quando ci sono interazioni con gli indagati, ad esempio tramite l’invio di un link malevolo dopo che l’avatar ha stabilito un contatto e avviato una conversazione online, una capacità già descritta in prodotti di altre aziende, come quella rivelata da Forbidden Stories.

Nel caso di Area però questo aspetto non è chiaro e la stessa azienda non ha risposto a una richiesta di commento. Questa capacità sembra però diventata già uno standard tra i prodotti offerti dalle aziende di sorveglianza, come rivelano i documenti pubblicati dall’inchiesta Predator Files guidata da European Investigative Collaborations (Eic). Anche l’azienda Intellexa, coinvolta nello scandalo delle intercettazioni in Grecia, offre una piattaforma per la gestione di finti profili che possono interagire con le vittime e inviare link per l’installazione di spyware.

Le spese dell’Agenzia delle Dogane sul sistema Mcr Vh Intelligence sono proseguite negli anni: nel 2017 sono stati spesi 8.500 euro per una sessione formativa di due giornate e mezza. Questa spesa, si legge nei documenti ufficiali dell’appalto, aveva una particolare urgenza: nasce da una richiesta dell’Autorità di Audit del Pon a seguito di alcune verifiche condotte e quindi l’eventuale non accoglimento della richiesta «potrebbe determinare anche un definanziamento dell’importo già accreditato sul conto dell’Agenzia». A fronte di una richiesta di chiarimenti da parte di IrpiMedia, l’Agenzia non ha risposto né ha chiarito se l’Autorità Garante per la Privacy sia stata coinvolta per valutare l’impatto di questo tipo di attività.

Passati due anni, a gennaio del 2019, l’Agenzia delle Dogane invia una richiesta di ripristino dell’infrastruttura fornita da Area «a seguito delle innumerevoli sospensioni di energia elettrica». Importo della manutenzione: cinquemila euro. Vista l’urgenza, sembra quindi che il sistema sia attivamente utilizzato dall’Agenzia.

In origine l’impiego di strumenti avanzati come la Virtual Human Intelligence è in mano a reparti dell’esercito o alle agenzie di intelligence che possono effettuare un monitoraggio preventivo online. Con il tempo però questi strumenti di sorveglianza discendono nella scala degli utilizzatori fino a raggiungere le comuni forze dell’ordine e le agenzie preposte a specifici controlli come quella delle Dogane, diventando poi strumenti apparentemente indispensabili.

«È esattamente quello che diciamo da tempo su questi e altri strumenti di sorveglianza simili: una volta che sono in circolazione è molto difficile fermarne l’uso», ha spiegato Jakubowska. Inoltre, secondo l’esperta, la diffusione di queste tecnologie si inserisce in una questione più ampia: la linea di separazione sempre meno marcata tra sicurezza nazionale e pubblica sicurezza. «Vediamo ripetutamente gli Stati membri dell’Ue tirare fuori la carta della sicurezza nazionale per giustificare davvero qualsiasi cosa stiano facendo», spiega Jakubowska, ma «se si guarda alla giurisprudenza della Corte di giustizia, per esempio, le procedure che sono ammissibili sulla base di una giustificazione di sicurezza nazionale non sono ammissibili quando si tratta di sicurezza pubblica e pubblica incolumità».

Il fatto quindi che queste tecnologie vengano presentate a convegni e conferenze, e che vi siano aziende che le producono, non deve necessariamente spingere qualsiasi dipartimento di polizia ad acquistarle e impiegarle. Decine di Vanessa, tra una foto di una passeggiata e di un piatto di pasta, potrebbero essere lì sui social 24 ore su 24 a monitorare contemporaneamente i membri di una comunità musulmana o cercare di inserirsi all’interno di gruppi di attivisti ambientalisti per scoprire le loro prossime azioni, senza che queste operazioni sotto copertura prevedano sempre l’autorizzazione di un giudice.

da qui