Paragon colpisce ancora: anche l’ad di Unicredit tra i bersagli

La comunicazione arriva a valle di un complesso lavoro di indagine svolto dal Citizen Lab di Toronto in collaborazione con Apple. Pochi mesi prima proprio Citizen Lab aveva collaborato con Whatsapp all’individuazione di una vulnerabilità: in comune tra i due casi c’è che sia Apple sia Whatsapp erano esposti a diverse falle sfruttate da Paragon per installare il proprio spyware sui telefoni dei bersagli, senza che questi potessero accorgersene.

Ulteriori analisi su dispositivi notificati da Apple – tra i quali proprio quello di Pellegrino – hanno permesso di confermare che contenevano tracce dello spyware israeliano.

Messaggi insidiosi

L’attacco al dispositivo di Orcel è avvenuto tramite iMessage, app proprietaria di Apple con la quale gli iPhone gestiscono e smistano i messaggi sms (nel caso di Caltagirone, invece, l’inoculazione era passata da Whatsapp). Una vulnerabilità a lungo sconosciuta di tale applicazione, ma scoperta da Paragon, permetteva di forzare le misure di sicurezza di un iPhone facendo sì che si collegasse ai sistemi dell’azienda israeliana per scaricare e installare lo spyware. Il tutto tramite un banale messaggio contenente un file immagine corrotto.

Non era necessaria alcuna interazione o click da parte dell’utente.

Il messaggio-attacco, secondo fonti di IrpiMedia, sarebbe stato inviato sul dispositivo di Orcel tra la fine del 2024 e l’inizio del 2025.  È di gennaio del 2025 invece il messaggio di compromissione inviato da Whatsapp ai bersagli che erano stati colpiti tramite una vulnerabilità della popolare app di messaggistica. Sono novanta nel mondo e sette in Italia. Tra questi anche Caltagirone. Orcel e gli altri utenti Apple dovranno invece aspettare aprile per scoprire di essere a sua volta un bersaglio di Paragon.

Che lo spyware abbia poi funzionato, nel caso di Orcel come in quello di Caltagirone, non è possibile determinarlo. Analisi forensi di questo tipo sono particolarmente complesse in quanto gli spyware sono programmati per nascondere se stessi e non lasciare alcuna traccia. In aggiunta, il tempo è un fattore chiave nel rilevare eventuali indicatori di compromissione prima che questi vengano sovrascritti dal sistema operativo del telefono.

Contattata da IrpiMedia, Unicredit non ha immediatamente risposto a una richiesta di commento.

Il risiko bancario e il golden power del governo

Nell’ultimo anno e mezzo, il governo italiano è intervenuto nel sistema bancario con l’intento di favorire la nascita di un “terzo polo” alternativo a Intesa e Unicredit, le prime due banche del Paese. Questo anche per contrastare almeno un anno di operazioni e acquisizioni da parte della banca dell’ad Orcel che avrebbero potuto ostacolare i piani del governo.

Da un lato, Unicredit si è rafforzata raggiungendo il 26% delle quote della banca tedesca Commerzbank; dall’altra ha tentato di acquisire il controllo del Banco popolare di Milano (Banco Bpm) con un’offerta pubblica giudicata sfavorevolmente dal cda del medesimo istituto. Entrambe le iniziative hanno indispettito i rispettivi governi. Tuttavia solo uno di questi ha un contratto con Paragon: l’Italia.

Proprio sul tentativo di Unicredit di acquistare Banco Bpm il governo italiano aveva deciso di esercitare il golden power, istituto giuridico di tutela che dà al governo il potere di veto sulla vendita di asset giudicati strategici per il Paese.

È il 18 aprile 2025 quando attraverso un Decreto del presidente del Consiglio dei ministri (Dpcm) il governo impone condizioni molto stringenti alla vendita, tanto da indurre Unicredit a ritirare l’offerta di pubblico scambio (ops).

Tre mesi dopo Unicredit «annuncia il ritiro dell’offerta per Banco Bpm, in quanto la condizione relativa all’autorizzazione golden power non è soddisfatta».

Nei mesi precedenti si erano già aperti vari fronti legali. Uno su richiesta di Unicredit al Tar del Lazio, dove i giudici, ad aprile, avevano deliberato che alcune misure richieste dal Dpcm travalicavano l’interesse nazionale. L’altro con la Commissione europea, che si può esprimere a tutela del mercato unico europeo.

Ieri, il 10 ottobre, l’agenzia di stampa Reuters ha riportato che Bruxelles potrebbe esprimersi contro il Dpcm con due diversi procedimenti.

L’esecutivo di Giorgia Meloni non ha invece esercitato il golden power nell’ops attraverso cui il Monte dei Paschi di Siena (Mps), dove lo Stato detiene l’11,7% attraverso il ministero dell’Economia, ha acquisito il controllo di Mediobanca.

Come nel caso del Banco Bpm, anche Mediobanca ha rigettato l’offerta in quanto «non concordata e fortemente distruttiva di valore». Ma in questo caso l’operazione sarebbe stata un tassello della costruzione del terzo polo bancario alternativo a Intesa e Unicredit e quindi un’operazione gradita al governo.

Tra gli azionisti di entrambi gli istituti coinvolti in questa operazione c’è Francesco Gaetano Caltagirone, l’altro businessman il cui telefono è stato bersaglio dello spyware Graphite. A settembre Mps ha raggiunto il 62,29% di Mediobanca, Caltagirone ha aumentato le sue quote in Mps raggiungendo quasi il 10% in aprile. Stesso mese, altra banca: Generali, altro importante elemento in ballo nel risiko bancario del Paese. Si votava per il nuovo consiglio di amministrazione. Mediobanca, prima azionista di Generali, è riuscita a ottenere la nomina dei vertici che voleva, ma Caltagirone è riuscito a piazzare tre consiglieri anche grazie all’inaspettato aiuto di Unicredit, salita al 6,7%. Un cambio di strategia rispetto alla linea solitamente seguita da Unicredit per le questioni di Generali.

Almeno fino a che non si saprà il futuro di Banco Bpm, comunque, il risiko bancario è ancora tutto da giocare.

Tocca al Copasir

Non è possibile stabilire chi abbia usato Graphite contro i due protagonisti dei riassetti bancari dell’ultimo anno, a meno di un interessamento delle autorità o del Copasir, Comitato parlamentare per la sicurezza della Repubblica, incaricato di monitorare il comportamento dei servizi segreti.

Secondo quanto spiegato dalla stessa Paragon, Graphite è venduto esclusivamente a governi o organi di polizia per finalità di indagine, e solamente a «governi democratici», precisano.

Un’altra clausola posta dalla società è che il proprio software non venga utilizzato per spiare giornalisti e attivisti: è questa la ragione per la quale, nei primi mesi dell’anno e all’indomani delle rivelazioni del direttore di Fanpage Francesco Cancellato e degli attivisti dell’ong Mediterranea – i primi ad autodenunciarsi come vittime della tentata inoculazione dello spyware – Paragon aveva annunciato l’intenzione di voler rescindere unilateralmente il proprio rapporto con il governo italiano. 

Proprio un’indagine del Copasir aveva permesso di accertare l’impiego di Graphite ai danni degli attivisti, anche se i servizi segreti l’avevano giustificato con l’esigenza di monitorare la sicurezza dei confini nazionali.

Sulla compromissione dei dispositivi di Cancellato e Pellegrino non è mai arrivata una conferma ufficiale e anzi, il sottosegretario Alfredo Mantovano, che ha la delega ai servizi, ha respinto a più riprese l’accusa di aver spiato anche i giornalisti. Di tale attività non sono effettivamente emerse tracce durante l’indagine del Copasir sui server che contengono il centro di controllo dello spyware e i cui registri di utilizzo – ha ripetuto a più riprese Paragon – non possono essere cancellati.

Qui si entra allora nel campo delle ipotesi, e lo spessore delle vittime coinvolte finora impone la massima urgenza nel trovare una risposta.

È possibile che i servizi italiani abbiano utilizzato Graphite e poi eliminato ogni prova del suo utilizzo? Oppure si tratta di operazioni compiute da altri Paesi ai danni di cittadini italiani?

Spetta al Copasir chiarire tali circostanze, tanto più all’indomani della scoperta che due dei più importanti uomini d’affari italiani sono stati a loro volta bersaglio di uno strumento tanto invasivo. Di certo, però, ai telefoni con prefisso della Germania non sono mai arrivate notifiche di compromissione per mezzo dello spyware Paragon, né da Metà né da Apple.

Articolo aggiornato alle ore 10:42