Fin dal medioevo gli armaioli lombardi erano famosi per la loro bravura. Finita l’epoca delle spade e delle corazze, ancora oggi la zona del bresciano è rinomata per la produzione di pistole e fucili destinati ad essere esportati in tutto il mondo. Di recente sono emerse notizie che sembrano confermare la tradizione della Lombardia anche in un nuovo settore, quello del cyber-spazio.
La Hacking Team è un’azienda con sede a Milano specializzata nella produzione di software per lo spionaggio e il controllo di sistemi informatici, che vende a governi e forze di polizia di molti Stati. Non si può parlare tecnicamente di “armi cibernetiche”, ma di strumenti di “tecnologia offensiva” sì. Nata nel 2003 per iniziativa di David Vincenzetti e Valeriano Tedeschi, la società ha come propria attività principale la vendita di sistemi di controllo da remoto (Rcs), virus trojan che una volta infettato un telefono o un computer consentono di monitorare e registrarne l’intera attività senza che chi usa lo strumento possa accorgersene.
(guarda il video di presentazione di Rcs)
L’attività in sé è perfettamente lecita e, stando a quello che ha più volte ribadito Vincenzetti, amministratore oltre che fondatore di Hacking Team, «è tutta alla luce del sole». Secondo quanto riferisce l’azienda, prima di vendere Rcs il loro legal team fa accurati controlli sul Paese acquirente, valutandone la stabilità politica e la rispettabilità. Non si possono escludere imprevisti. «Se una volta che abbiamo venduto il software il governo diventa un regime, noi non possiamo farci niente», spiegava sempre Vincenzetti in un’intervista di qualche anno fa. Infatti una volta che il pacchetto Rcs è stato venduto ed è terminata la fase di formazione dell’acquirente (un paio di settimane), la società milanese perde il controllo sul proprio prodotto, non potendo sapere in che modo viene usato. E qui nascono i problemi.
Secondo un rapporto del 2014 elaborato dal laboratorio anti-sorveglianza “Citizien Lab” dell’Università di Toronto, il trojan Rcs sarebbe stato rintracciato in 21 Stati, alcuni dei quali decisamente non democratici. Si possono citare ad esempio Egitto, Etiopia, Kazakhstan, Arabia Saudita, Sudan e Uzbekistan. Il Sudan in particolare è anche oggetto di un embargo dell’Unione europea. Oltre al recente studio sugli Stati, il laboratorio di Toronto ha, nel corso degli ultimi anni, individuato anche alcuni casi di singoli individui o organizzazioni “controllati” grazie al Rcs di Hacking Team. La testata giornalistica marocchina “Mamfakinch”, critica dell’operato del governo del Marocco, si è scoperto nel 2012 che era oggetto di spionaggio. Un’altra vittima del trojan individuata da Citizien Lab è Ahmed Mansoor, importante attivista per i diritti umani, che negli Emirati Arabi è stato imprigionato con l’accusa di aver insultato il presidente. Nel 2014 è poi emerso un nuovo caso: questa volta ad essere spiata era la televisione satellitare etiope “Esat”, che trasmette da Amsterdam, ed è gestita da giornalisti in esilio che si oppongono al regime di Addis Abeba.
Alla luce di questi particolari inquietanti, Privacy International – una delle più importanti organizzazioni internazionali che si occupano di tutelare la privacy dei cittadini da governi e multinazionali, con sede a Londra – ha inviato una lettera al ministro per lo Sviluppo economico Federica Guidi, alla Direzione Generale per la politica commerciale internazionale dello stesso ministero, e al governatore della Regione Lombardia Roberto Maroni, oltre che a un centinaio di parlamentari italiani, chiedendo una serie di chiarimenti sul finanziamento, la commercializzazione e l’esportazione dei software prodotti da Hacking Team. In particolare si vorrebbe sapere se la vendita di alcuni software per il controllo da remoto sia soggetta a licenza; nel caso in cui così non sia, se il governo è pronto a richiedere la licenza per questa tecnologia che si presta a un “doppio uso” (sia scopi civili e legittimi, che militari e di spionaggio) appoggiandosi a una direttiva Ue; ma soprattutto perché nel 2007 la Regione Lombardia ha concesso, tramite un fondo controllato al 100%, un finanziamento di 1,5 milioni di euro a Hacking Team.
Il fondo in questione si chiama Next Fund, appartiene a Finlombarda Gestioni SGR Spa (FGSGR), che ha come solo azionista Finlombarda Spa, un’agenzia finanziaria pubblica il cui unico azionista è la Regione Lombardia. Scopo di Next è investire o in altri fondi o direttamente in imprese. In questo secondo caso gli investimenti si rivolgono a “piccole e medie imprese lombarde che si trovino nelle fasi iniziali del loro ciclo di vita (start up o early stage) e che operino in settori tecnologici ed innovativi”. Nel portfolio del fondo si trovano società biofarmaceutiche, biotecnologiche, società attive nel settore del cinema digitale, società che sfruttano nuove tecnologie per la refrigerazione degli alimenti, e Hacking Team, “una giovane azienda, attiva nel campo della sicurezza informatica (…) che sviluppa e commercializza prodotti innovativi di security intelligence, destinati a enti governativi e forze di polizia per contrastare il fenomeno dei crimini informatici”.
Il 2007, quando è stato dato il finanziamento pubblico, secondo diversi esperti di cybersecurity era un’altra epoca in quanto a consapevolezza dei rischi e dell’importanza del cyberspazio. Tuttavia che Hacking Team andasse a operare in un settore delicato, che fossero possibili utilizzi dei software per scopi diversi da quelli previsti e che i prodotti cibernetici dell’azienda potessero cadere nelle mani sbagliate – spesso le più interessate e quelle disposte a pagare meglio certa tecnologia – anche allora non era esattamente un mistero. Il manager del fondo che ha elargito un finanziamento di 1,5 milioni di euro, Alberto Trombetta, attualmente fa parte del board di Hacking Team, la società che ha ricevuto il finanziamento. Diversi tentativi di contattarlo non hanno avuto esito, né dal fondo FGSGR hanno mai fatto pervenire chiarimenti e risposte.
Per ora non risulta nemmeno una risposta del governo italiano alle sollecitazioni di Privacy International, la quale ha comunque specificato che il caso di Hacking Team non è affatto isolato, anzi. Si è però voluto concentrare l’attenzione mediatica sulla società milanese per sollevare la questione a livello generale. In un ambito – il cyberspazio – in cui la privacy sembra sempre più difficile da tutelare, pretendere la massima chiarezza procedurale e sostanziale da parte di enti istituzionali e società private è una garanzia minima e indispensabile. A maggior ragione se queste ultime sono finanziate con fondi pubblici.