Caso Paragon, i pm: “Uso autorizzato per Caccia e Casarin, non chiaro per Cancellato”

06/03/2026 INTERNO Preferisci Informazione.News su Google

Redazione Interno   -   Le indagini coordinate dalle procure di Roma e Napoli, sotto la direzione della Direzione Nazionale Antimafia e Antiterrorismo, hanno portato al deposito di una consulenza tecnica che chiarisce, almeno in parte, il mosaico delle responsabilità nell’ambito del cosiddetto caso Paragon. Gli accertamenti peritali, condotti in contraddittorio tra le parti come prevede l’articolo 360 del codice di procedura penale, hanno confermato la presenza di tracce inequivocabili dello spyware Graphite, il prodotto della società israeliana Paragon Solutions, su tre dispositivi Android. Quei telefoni, è emerso, appartengono agli attivisti di Mediterranea Saving Humans, Giuseppe Caccia e Luca Casarini, e al giornalista Francesco Cancellato, direttore di Fanpage. L’elemento di novità, tuttavia, non risiede tanto nella conferma dell’attacco informatico – già prefigurata dalle notifiche ricevute dai querelanti tramite Meta – quanto nella netta distinzione che gli inquirenti hanno potuto tracciare circa la paternità di quegli stessi attacchi.

Il nodo della notte del 14 dicembre e il ruolo dell'Aisi

Le verifiche compiute dagli investigatori si sono spinte fino all’analisi dei server che ospitano il software Graphite in uso all’Agenzia Informazioni e Sicurezza Interna (Aisi), un accesso reso possibile dalle disposizioni del codice in materia di acquisizioni probatorie presso i servizi segreti. Dalla relazione del Copasir, approvata lo scorso giugno, risultava già che l’Agenzia per la sicurezza interna avesse fatto ricorso a quello specifico strumento di sorveglianza, naturalmente nelle forme autorizzate dalla legge, per condurre operazioni di esfiltrazione dati e intercettazione nei confronti di Caccia e Casarini. La notte tra il 13 e il 14 dicembre 2024, stando a quanto ricostruito, i due attivisti di Mediterranea finirono nel mirino di queste attività. La stessa notte, tuttavia, anche il telefono di Cancellato mostrò segni di compromissione, e da qui la necessità di comprendere se si trattasse della stessa mano. L’ispezione dei database dell’Aisi, spiegano i procuratori aggiunti Sergio Colaiocco e Vincenzo Piscitelli, ha riscontrato senza ambiguità le operazioni condotte verso i due esponenti di Mediterranea, ma non ha permesso di rilevare alcuna traccia riconducibile al giornalista di Fanpage, escludendo quindi un coinvolgimento diretto dei servizi segreti italiani in quella specifica intrusione.

La campagna coordinata e il mistero sul terzo attacco

A rendere la vicenda giudiziariamente complessa, oltre che politicamente delicata, è la natura coordinata che gli attacchi sembrano aver assunto. I consulenti tecnici hanno infatti rilevato che il periodo di presumibile compromissione dei tre dispositivi è temporalmente circoscritto alle prime ore del 14 dicembre 2024, sottolineando come l’esecuzione in serie di tre attacchi nella stessa finestra temporale suggerisca l’ipotesi che essi fossero parte di un’unica, più ampia, campagna di infezione. Da fonti vicine all’intelligence filtra una ricostruzione che attribuirebbe la coincidenza delle date a un disservizio tecnico: il sistema Graphite, si spiega, sarebbe rimasto non funzionante per diverse settimane, venendo ripristinato dalla società israeliana proprio il 14 dicembre per tutti i clienti, il che avrebbe concentrato in quel giorno le operazioni rimaste in sospeso. Una tesi, questa, che spiega la contestualità ma non risponde all’interrogativo principale, ovvero chi abbia agito contro il terzo obiettivo. Le procure, procedendo contro ignoti per i reati di accesso abusivo a sistema informatico e intercettazione illecita di comunicazioni, continuano le ricerche per identificare i responsabili dell’attacco ai danni di Cancellato, un attacco che, allo stato degli atti, non trova una collocazione certa nei registri dell’Aisi.

Anomalie nei database e conferme peritali

Il lavoro dei consulenti non si è limitato a stabilire un collegamento o a escluderlo con i server dei servizi segreti, ma ha approfondito la natura delle tracce lasciate dal malware. Nei database dell’applicazione WhatsApp, su tutti e tre i dispositivi Android esaminati, sono state individuate una serie di anomalie, descritte come interazioni compatibili con il funzionamento tecnico del software Graphite e con quanto già riportato nei report di sicurezza inviati da Meta ai diretti interessati. La conferma della natura dell’attacco arriva quindi da più livelli: da un lato la prova strumentale della presenza del codice malevolo, dall’altro la corrispondenza di quelle tracce con le modalità operative dello spyware israeliano. Per quanto riguarda Caccia e Casarini, l’utilizzo del software da parte dell’Aisi è avvenuto in un quadro di legalità, supportato dalle necessarie autorizzazioni, e gli stessi attivisti, va ricordato, sono stati rinviati a giudizio in un procedimento che ipotizza per loro il reato di favoreggiamento dell’immigrazione irregolare. Resta da chiarire, invece, chi abbia voluto colpire il direttore di Fanpage e con quali modalità, in un’inchiesta che, di fatto, presenta due filoni distinti: uno definito e circoscritto all’operato dei servizi, l’altro ancora aperto e privo di responsabilità accertate.