First Wap, la pioniera delle società di sorveglianza di cui non avete mai sentito parlare

Mostrano l’interfaccia del software da un computer. «Inserisci qui il numero di telefono e ti restituisce l’area in cui si trova il sospettato o il tuo target», spiega Rudolph. Altamides, aggiunge un altro manager, ascolta le chiamate in entrata e in uscita, legge gli sms e monitora anche il traffico internet. Nelle brochure di presentazione, Altamides è indicato come un prodotto per governi e agenzie di sicurezza.

First Wap ha approfittato delle regole permissive dell’Indonesia per costruire in quasi vent’anni un impero del tracciamento dei telefonini di cui non si conosceva nulla. Fino a quando, nel 2024, la redazione investigativa di Lighthouse Reports ha ottenuto e condiviso con un consorzio di giornalisti – di cui IrpiMedia per l’Italia – un archivio segreto in cui sono contenuti i numeri di telefono tenuti sotto traccia dall’azienda, ma anche dati che geolocalizzano gli spostamenti dei bersagli e informazioni in merito a coloro che hanno incontrato.

Una miniera di informazioni che permette di rivelare per la prima volta dall’interno i segreti di una delle più longeve società che forniscono strumenti di tracciamento dei telefoni.

First Wap è stata fondata da Joseph Fuchs, un austriaco emigrato in Indonesia negli anni Novanta, in precedenza ha lavorato come ingegnere alla Siemens. Inizialmente, l’azienda si occupava di messaggistica via sms, poi è diventata una dei pionieri del tracciamento della posizione dei cellulari, in qualsiasi zona del mondo essi si trovino.

Contattata dai giornalisti, l’azienda nega ogni coinvolgimento nella violazione dei diritti umani. E aggiunge: «First Wap vende i propri prodotti solo a enti governativi che dispongono di un mandato legale chiaro e verificato per l’acquisto e l’utilizzo di tali prodotti. Tutti questi prodotti sono gestiti dai clienti e, dopo l’installazione, First Wap non ha alcun accesso agli stessi».

I bersagli di First Wap

Tra gli obiettivi di First Wap ci sono giornalisti, politici, manager, personaggi famosi. In Italia, ad esempio, c’è il giornalista Gianluigi Nuzzi, il cui telefono è stato agganciato da Altamides nel 2012, durante la pubblicazione del libro Sua Santità, una delle inchieste che ha realizzato sulle finanze del Vaticano.

C’è anche Roberto Casula, ex manager di Eni, i cui movimenti sono stati tracciati nel 2013, dopo che le ong ReCommon, Heda, The Corner House e Global Witness hanno depositato un esposto negli Usa e in Regno Unito in cui accusavano la società petrolifera di corruzione internazionale in Nigeria. Dall’esposto poi è scaturito un processo anche in Italia, chiusosi con l’assoluzione con formula piena di tutti gli imputati.

All’estero, il sistema è stato utilizzato per tracciare anche un giornalista di Tempo, media indonesiano che fa parte di Surveillance Secrets, che nel 2014 stava lavorando sul calcio-scommesse nel sud-est asiatico. Ci sono poi l’ex primo ministro del Qatar, la moglie dell’ex presidente della Siria Bashar al-Assad, star della musica come Jared Leto e dirigenti aziendali di alto livello, tra cui Anne Wojcicki, co-fondatrice dell’azienda 23andMe ed ex moglie di uno dei co-fondatori di Google. Wojcicki ha riferito di non essere a conoscenza dei tentativi di sorvegliarla.

C’è persino un gruppo di una ventina di dipendenti della Red Bull, inclusi dirigenti. Ma c’è anche il monitoraggio dell’autista e guardia del corpo dell’ex capo dell’intelligence del Ruanda, quest’ultimo era un membro del partito di opposizione in esilio in Sudafrica e in seguito è stato assassinato.

Non sempre è possibile stabilire chi abbia ingaggiato First Wap. In alcuni casi, grazie alla ricostruzione con le fonti e ai dati dell’archivio della società, si trovano riferimenti a governi e forze di polizia. In altri, si ritrovano investigatori privati, in altri ancora aziende.

Ad esempio, ci sono rivenditori autorizzati di First Wap che testano i prodotti su di sé mentre offrono dimostrazioni in giro per il mondo a potenziali clienti. Spesso, a pochi minuti di distanza dai rivenditori, vengono localizzati nello stesso posto numeri di telefono appartenenti a poliziotti, militari o membri dell’intelligence di quel Paese.

I rivenditori di First Wap viaggiano in Guinea Equatoriale, Turkmenistan, Yemen, Oman e Giordania. 

Il Far West delle regole

Il 2006-2007, quando First Wap ha iniziato a vendere Altamides, era la preistoria in termini di consapevolezza del pubblico dei rischi della sorveglianza tecnologica. Per alcuni esperti sentiti per l’inchiesta, il sistema di First Wap era strabiliante e si è rivelato, con il senno di poi, in anticipo sui tempi.

Nel 2013 le rivelazioni di Edward Snowden, l’analista dell’Agenzia per la sicurezza nazionale (Nsa) statunitense, svelano al grande pubblico l’arsenale di tecnologie a disposizione degli Stati Uniti per sorvegliare e monitorare le comunicazioni mondiali. È il momento in cui si cominciano ad aggiornare i regolamenti per l’impiego di queste tecnologie, sia nel settore pubblico sia in quello privato.

In Italia alcune sentenze della Cassazione avevano già stabilito che il tracciamento di un cellulare può essere usato esclusivamente dalle forze dell’ordine per monitorare una persona indagata. Avevano anche previsto che non fosse necessaria l’autorizzazione di un giudice in quanto si trattava ancora di un’operazione preliminare all’inizio delle indagini vere e proprie.

L’impiego da parte di investigatori privati era invece una zona grigia che beneficia del far west in fatto di privacy. Anche oggi che la normativa è molto più avanzata, vedi il regolamento europeo sulla privacy, casi come Equalize a Milano dimostrano che il problema non è risolto. E che ci sono privati che cercano ancora di sfruttare le falle delle leggi. Oggi che le capacità di sorveglianza delle aziende private sono di pubblico dominio e gli scandali continui hanno spinto all’istituzione di organismi come la Commissione Pega (il cui mandato è scaduto nel 2023), il rischio è focalizzarsi esclusivamente sugli spyware tralasciando tutta una serie di tecnologie parallele che sono comunque utili ai fini della sorveglianza.

«Una zona grigio scuro»

«Non c’erano limiti riguardo i Paesi a cui vendere». Lo afferma uno dei dieci ex dipendenti intervistati nel corso dell’inchiesta. Porsi dei limiti rispetto a chi sono i clienti è un elemento fondamentale per le aziende che vendono prodotti sensibili, dalle armi alle tecnologie di sorveglianze. Anche in precedenti episodi che hanno riguardato colossi del settore, lo scandalo è deflagrato nel momento in cui si sono certificati i legami commerciali con regimi autoritari o con governi che sfruttano la tecnologia per colpire dissidenti e oppositori.

Nel caso di First Wap, è stato possibile stabilire che ha avuto clienti in Nigeria, Malesia, Singapore, gli Emirati Arabi Uniti, Indonesia, Uzbekistan, Arabia Saudita e Bielorussia. «Un elenco di Paesi autoritari che violano i diritti umani», commenta Ron Deibert, professore di scienze politiche dell’università di Toronto e direttore e fondatore del laboratorio di analisi sui sistemi di sorveglianza The Citizen Lab. First Wap ha affermato di «non aver offerto né venduto» i propri prodotti a regimi repressivi e che «anche i nostri clienti e rivenditori sono stati obbligati a rispettare tutti i requisiti legali e normativi nell’utilizzo della soluzione».

Anche durante le conversazioni con i giornalisti sotto copertura, i dirigenti di First Wap suggeriscono di addentrarsi in quella che chiamano «zona grigio scuro»: la costruzione di una serie di scappatoie per schermare l’utilizzatore finale della tecnologia, suggeriscono di creare un’azienda ad hoc a cui concedono la licenza di rivendere una sola volta, ma poi l’utilizzatore finale non viene specificato nel contratto. Quindi si lascia all’azienda margine per fare ciò che vuole del sistema acquistato.

Aggiungono che l’interesse dei media ha costretto le aziende che producono spyware a porsi il problema etico di chi usa una tecnologia. Nel loro caso, il problema non si pone perché la società non produce strumenti del genere, quindi è rimasta fuori dai radar. Però, in caso di richieste dei clienti, possono indirizzare verso aziende produttrici.

Con i giornalisti sotto copertura, i dirigenti di First Wap suggeriscono di rivolgersi a Candiru. In fatto di spyware, dicono, quelli di Candiru sono «attualmente i migliori, se non avete problemi con i prodotti israeliani». Nel 2021 gli Stati Uniti hanno imposto sanzioni a Candiru perché il suo spyware è stato usato contro funzionari governativi, giornalisti, imprenditori, attivisti, accademici e dipendenti delle ambasciate.