Paragon, la perizia dei pm svela l’agente “anderdog” e la sequenza degli attacchi nella stessa notte

07/03/2026 INTERNO Preferisci Informazione.News su Google

Redazione Interno   -   L’intricata vicenda dello spionaggio informatico che ha visto coinvolti giornalisti e attivisti italiani si arricchisce di un nuovo, significativo tassello processuale. I consulenti tecnici nominati dalle procure di Roma e Napoli, che procedono per i reati di accesso abusivo a sistema informatico e intercettazione illecita, hanno depositato una relazione che offre una ricostruzione minuziosa di quanto avvenne nelle prime ore del 14 dicembre 2024. Al centro dell’analisi, le cui conclusioni sono state anticipate e poi confermate in una nota congiunta degli uffici inquirenti, ci sono i telefoni di Francesco Cancellato, direttore di Fanpage, e degli attivisti di Mediterranea Giuseppe Caccia e Luca Casarini.

La perizia non solo certifica la presenza di tracce riconducibili a un malware sui tre dispositivi Android, ma ne identifica anche un elemento operativo di dettaglio: il nome in codice dell’agent, ovvero il programma che una volta installato opera all’interno del dispositivo compromesso, sarebbe “anderdog”, scritto con la “a” alla romana. Un particolare, questo, che emerge dalla disamina dei dati e che contribuisce a delineare la fisionomia dell’infrastruttura utilizzata per gli attacchi. I tecnici hanno individuato anomalie nei database dell’applicazione WhatsApp di tutti e tre i telefoni, riscontrando interazioni compatibili con le modalità operative del software Graphite, lo spyware prodotto dalla società israeliana Paragon.

Una campagna di infezione concentrata in poche ore

Uno degli elementi di maggior rilievo, sottolineato dai consulenti, riguarda la tempistica. Gli accessi abusivi ai dispositivi non furono eventi sporadici e isolati, ma si concentrarono in una finestra temporale molto ristretta. L’attacco al telefono di Cancellato sarebbe avvenuto intorno all’una e diciassette di notte, mentre quelli ai danni di Caccia e Casarini si collocano a poche ore di distanza, sempre nel cuore della notte tra il 13 e il 14 dicembre. Questa sequenza serrata ha portato i periti a formulare un’ipotesi precisa: “L’esecuzione in serie di tre attacchi nella stessa notte suggerisce che essi possano essere stati parte di una medesima campagna di infezione”.

Una circostanza, questa, che rende il quadro investigativo ancora più complesso. Se da un lato l’Aisi (Agenzia informazioni e sicurezza interna) ha ammesso di aver utilizzato il software Graphite, con le debite autorizzazioni, per monitorare le attività di Caccia e Casarini nell’ambito di indagini legate al contrasto dell’immigrazione irregolare, dall’altro ha sempre negato qualsiasi intervento riguardasse il direttore di Fanpage. La magistratura, proprio per fugare ogni dubbio e verificare la posizione dei servizi segreti, ha effettuato un accesso ispettivo presso i server dell’Aisi. L’esito di questo accertamento, condotto ai sensi dell’articolo 256-bis del codice di procedura penale, è netto: l’analisi dei dati ha confermato le operazioni contro i due attivisti di Mediterranea, ma non ha “consentito di rilevare tracce di operazioni riferibili a Francesco Cancellato”.

Il mistero dell’identità degli attaccanti e la posizione dei servizi

La consulenza, quindi, sgombera il campo da un sospetto, quello di un coinvolgimento diretto dell’intelligence italiana nello spionaggio ai danni del giornalista, ma ne apre contestualmente un altro. Se non è stata l’Aisi, chi ha orchestrato l’attacco informatico contro Cancellato? E perché le sue tempistiche coincidono così perfettamente con quelle di due operazioni condotte invece da un’agenzia governativa? La stessa nota delle procure, nel prendere atto dell’assenza di elementi che riconducano l’attività illecita ai servizi segreti, specifica che “le indagini proseguono al fine di identificare gli autori del tentativo di accesso abusivo e di intercettazione illecita”.

L’ipotesi che prende, stando agli elementi tecnici, è che possa essersi trattato di una campagna coordinata, ma portata avanti da un attore diverso, magari straniero, che ha agito in sincronia con i servizi italiani o che ha sfruttato una vulnerabilità nel sistema nello stesso momento in cui l’Aisi conduceva le sue operazioni lecite. Fonti dell’intelligence, interrogate sullo strano coincidere delle date, hanno parlato di un guasto tecnico al sistema Graphite, che sarebbe rimasto inattivo per settimane e riattivato proprio il 14 dicembre per tutti i clienti, spiegando così la ripresa simultanea delle attività. Una versione, questa, che cozza però con la scoperta che uno dei tre attacchi, quello a Cancellato, non risulta autorizzato né riconducibile all’Italia.

Il quadro che emerge dalla perizia, dunque, è quello di un’operazione di spionaggio digitale complessa e stratificata. Da un lato, l’utilizzo istituzionale e legittimo (seppur segreto) di strumenti offensivi come Graphite da parte dello Stato nei confronti di cittadini italiani. Dall’altro, l’ombra di un’entità non identificata che, nella medesima notte, ha preso di mira un giornalista, sollevando interrogativi inquietanti su possibili reti di sorveglianza parallele o su attività condotte da potenze straniere sul suolo nazionale. La relazione tecnica, con il suo linguaggio asciutto e i suoi dati, ha inchiodato i fatti: tre telefoni violati, un unico schema d’attacco, ma un solo, grande mistero da risolvere. E mentre la procura continua a indagare contro ignoti, la certezza è che nella notte del 14 dicembre qualcuno, muovendosi nell’ombra digitale, ha colpito più bersagli con la stessa arma.