Spiati dai governi con spyware israeliani: perché in Europa nessuno paga

Quasi cinque anni: tanto ci è voluto a Thanasis Koukakis, giornalista greco, per ottenere una sentenza che riconoscesse quello che aveva subito. Qualcuno lo aveva spiato con Predator, un software spia che, una volta installato sul suo telefono, aveva messo a disposizione di chi lo sorvegliava contatti, documenti e messaggi, permettendogli anche di attivare la telecamera e il microfono.

Una prima vittoria arrivata il 26 febbraio scorso con la condanna di quattro manager legati a Intellexa, l’azienda che vendeva il software. Tra loro il fondatore, Tal Dilian, ex comandante di un’unità dell’intelligence militare israeliana. Devono scontare fino a otto anni di carcere per accesso illecito a sistemi informatici, violazione dei dati personali e della segretezza delle telecomunicazioni.

È la prima condanna penale di questo tipo in Europa, ma si tratta di un’eccezione. Come dimostrano le interviste realizzate da IrpiMedia a cinque vittime di spyware in cinque Paesi europei: Grecia, Spagna, Polonia, Ungheria e Italia. 

Tutto inizia nel 2021, quando un’inchiesta internazionale coordinata da Forbidden Stories rivela che i dispositivi di decine di attivisti, politici e giornalisti europei erano stati presi di mira con Pegasus, uno spyware sviluppato dal colosso israeliano Nso Group che dichiara di vendere solo ad agenzie di intelligence governative e a forze dell’ordine.

Poi sono emerse nuove aziende. E nuovi casi. Uno degli ultimi risale al 2025, quando le analisi del Citizen Lab, laboratorio dell’università di Toronto, hanno rivelato che tra i bersagli del software sviluppato da Paragon Solutions, una società israeliana poi acquisita da un fondo statunitense, c’erano anche alcune utenze italiane.

Cambiano le imprese che producono gli spyware e cambiano i governi che ne dispongono l’utilizzo. Ma fatta eccezione per la Grecia, in nessun altro caso si è arrivati a una sentenza penale. Anzi. In Spagna e in Ungheria, le vittime denunciano di non aver potuto nemmeno ottenere informazioni di base sulla sorveglianza subita. «Sicurezza nazionale», è la motivazione. 

Rebecca White, ricercatrice del Security Lab di Amnesty International, il laboratorio che protegge la società civile dalle nuove forme di sorveglianza, parla di una «doppia vittimizzazione». «Prima sei preso di mira con una delle tecnologie più invasive al mondo, subendo una violazione enorme della tua privacy e dei tuoi diritti. Poi sei vittimizzato di nuovo quando, cercando giustizia e riparazione, trovi un vicolo cieco dopo l’altro», dice White a IrpiMedia.

E aggiunge: «Continuiamo a parlare di regole e garanzie, che ovviamente sono fondamentali. Ma nel concentrarci sulla prevenzione dimentichiamo le tante vittime che non hanno accesso a rimedi adeguati. Per loro c’è pochissimo: possono rivolgersi ai tribunali dei rispettivi Stati, oppure fare ricorso agli organismi istituiti dai trattati internazionali, come la Corte europea dei diritti dell’uomo. Ma procedimenti di questo tipo durano anni e richiedono molte risorse. Anche quando il denaro non è un problema, e lo è quasi sempre, resta il peso psicologico di una ricerca estenuante di una qualsiasi forma di riparazione, mentre l’accesso alla giustizia continua a essere ostacolato».

Il fallimento della commissione Pega

Eppure, le raccomandazioni della commissione d’inchiesta parlamentare europea istituita dopo lo scandalo Pegasus, e approvate il 15 giugno 2023, prevedevano misure anche per le vittime di questa forma di sorveglianza.

Alla Commissione europea si chiedeva di presentare proposte legislative e attivare strumenti di assistenza: un fondo europeo per coprire le spese delle cause e un laboratorio indipendente capace di offrire assistenza legale e tecnica gratuita, esaminare i telefoni e produrre analisi forensi per le indagini giudiziarie.

Agli Stati si chiedeva di rafforzare le garanzie, indagare sugli abusi e assicurare l’accesso alla giustizia. Il Parlamento raccomandava anche di informare le persone sorvegliate, garantire ricorsi effettivi e consentire a organismi indipendenti di accedere ai dati necessari per accertare gli abusi. 

A tre anni di distanza, «non è stato fatto nulla, non c’è stato ancora alcun seguito da parte della Commissione europea né degli Stati membri. Questo è stato il più grande fallimento», denuncia Saskia Bricmont, parlamentare europea dei Verdi, che ha fatto parte della commissione Pega. «Nascondendosi dietro la sicurezza nazionale, gli Stati membri non vogliono rispettare regole di trasparenza né introdurre ulteriori garanzie o restrizioni all’uso di spyware commerciali così invasivi». 

Per Sophie in ’t Veld, già relatrice della commissione Pega, la situazione è persino peggiorata. «Quando i governi nazionali hanno capito che non ci sarebbero state conseguenze per gli abusi degli spyware o per le esportazioni illecite, perché avrebbero dovuto preoccuparsi? Dopo l’inchiesta Pega si sono verificati altri casi, in particolare in Italia. È chiaro che si sentono al sicuro, intoccabili».

Per lei non è una sorpresa: «Già durante l’inchiesta dell’europarlamento i governi nazionali si sono rifiutati di collaborare. La loro posizione era: è una questione di sicurezza nazionale, non riguarda l’Unione europea, tanto meno il Parlamento europeo. Tutti i governi hanno difeso quella che considerano una loro prerogativa: usare gli spyware o meno». Il suo giudizio sulla Commissione europea è netto: «È stata debole e codarda, si è schierata con i governi nazionali e si è rifiutata di agire».

Vittorie a metà

«Il sistema non è progettato per aiutare le vittime: mancano trasparenza e procedure chiare», conferma Krzysztof Brejza, europarlamentare polacco del gruppo del Partito popolare europeo. Un’esperienza che ha vissuto in prima persona. Quando il suo telefono è stato infettato con Pegasus, Brejza guidava la campagna elettorale contro Diritto e giustizia, l’allora partito al governo in Polonia.

«Hanno avuto accesso a 85mila messaggi, gli ultimi dieci anni della mia vita privata e professionale. Poi, dato che non hanno trovato nulla contro di me, si sono spinti oltre, manipolando le mie conversazioni. Scambi falsati che sono stati pubblicati dalla tv nazionale per screditarmi. L’obiettivo era interferire sulle elezioni, indebolendo la democrazia», racconta Brejza a IrpiMedia.

A chiedere la sorveglianza era stato il Cba, l’Ufficio centrale anticorruzione del Paese. Un’operazione a lungo presentata come legittima perché motivata da un’indagine sul padre di Brejza per presunte irregolarità nell’amministrazione del comune di cui era sindaco. Un’audit della procura di Danzica ha poi accertato l’infondatezza delle accuse e l’indagine è stata archiviata. «È stato solo un pretesto per giustificare la sorveglianza», dice l’eurodeputato. 

A ottobre 2026 la commissione d’inchiesta parlamentare, istituita in Polonia dopo l’insediamento di Donald Tusk per indagare sull’uso di Pegasus sotto il precedente governo, ha stabilito che lo spyware era stato acquistato illegalmente e utilizzato contro gli oppositori politici.

Ma finora le sole vittorie ottenute dall’eurodeputato sono state in sede civile: la tv che aveva pubblicato i messaggi manipolati è stata condannata a scusarsi e a risarcirlo. Le indagini penali sono ancora in corso. «In Polonia, il ministro della Giustizia è anche procuratore capo. Fino a che c’era il precedente governo non si è mosso nulla, ora si va avanti molto lentamente», dice Brejza. Intanto, l’ex ministro della Giustizia ha prima ottenuto asilo politico in Ungheria e poi si è trasferito negli Stati Uniti.

In realtà, anche quella di Koukakis è una giustizia parziale. Non solo perché la pena è al momento sospesa, in attesa dell’appello, ma soprattutto perché il tribunale non ha stabilito chi abbia ordinato la sorveglianza. «Abbiamo documentato l’uso dell’arma e individuato l’assassino, ma non abbiamo ancora accertato il mandante», sintetizza Koukakis.

Durante le audizioni del processo, di cui IrpiMedia ha potuto consultare i verbali, è emerso che quasi un terzo delle persone prese di mira con Predator tra il 2020 e il 2021 era stato sottoposto anche a intercettazioni telefoniche tradizionali da parte dei servizi segreti greci. 

Per Koukakis non è una correlazione casuale: «Era la stessa operazione. Per installare lo spyware sul telefono – spiega il giornalista – era necessario che la vittima cliccasse su un link contraffatto. Prima ci hanno spiato per capire le nostre abitudini e poi hanno inviato i messaggi esca».

Un’ex manager di Facebook, per esempio, aveva prenotato una vaccinazione anti-Covid quando ha ricevuto un falso sms relativo all’appuntamento. Mentre per Koukakis l’esca erano messaggi che lo invitavano a leggere degli articoli. 

Secondo il giornalista, specializzato in economia, il movente sarebbe da ricercare nelle sue inchieste del 2020 per la Cnn greca e il Financial Times, dedicate alle modifiche introdotte dal governo greco al codice penale e alla legislazione fiscale, che avrebbero favorito persone coinvolte in reati economici.

Tuttavia, le autorità greche continuano a negare di aver utilizzato Predator. «Non vogliono dirlo perché all’epoca non c’era alcuna legge che ne regolasse l’uso, quindi era illegale», motiva il giornalista. Con la sentenza del 26 febbraio, il tribunale di primo grado di Atene ha trasmesso gli atti ai pubblici ministeri per accertare ulteriori responsabilità e possibili reati più gravi, incluso lo spionaggio.

Ma il 27 aprile il procuratore della Corte suprema ha deciso di non riaprire l’indagine. Koukakis ha contestato la decisione e, lo scorso agosto, ha presentato un ricorso alla Corte europea dei diritti dell’uomo contro la Grecia, sostenendo che le autorità giudiziarie nazionali non abbiano indagato a fondo e in modo imparziale.

«Questo percorso giudiziario – racconta Koukakis – richiede un enorme investimento di energie, tempo e denaro, anche personale. Devi continuare a occuparti della tua vita quotidiana e, allo stesso tempo, essere presente in tribunale. È come dover lavorare 24 ore su 24, sette giorni su sette. Questa è stata la mia realtà negli ultimi anni».

Informazioni negate

Per le vittime di spyware, uno dei principali ostacoli alla ricerca di giustizia, già denunciato dalla commissione Pega, è il ricorso delle autorità statali alla sicurezza nazionale per imporre la segretezza e sottrarsi alle proprie responsabilità. Anche su questo il Parlamento europeo chiedeva di intervenire, definendo a livello europeo i confini della sicurezza nazionale. Le autorità statali dovrebbero dimostrare la necessità, la proporzionalità e la legalità della sorveglianza, mettendone le motivazioni a disposizione di un organismo nazionale di controllo. Ma le storie raccontano un’altra verità. 

«Nel 2021, le analisi condotte sul mio telefono da Amnesty Security Lab e da Citizen Lab hanno provato che sono stato spiato con Pegasus per sette mesi, tra l’aprile e il novembre del 2019. Il software ha scaricato e caricato sul mio dispositivo circa 100 megabyte di dati. Questo è tutto quello che so», dice Szabolcs Panyi, giornalista investigativo ungherese che a lungo ha indagato l’influenza russa sul governo di Viktor Orbán, leader della destra nazionalista alla guida dell’Ungheria dal 2010 al maggio 2026.

Una scoperta che ha avuto un profondo impatto sulla sua vita privata e professionale. Da allora, con il supporto dell’organizzazione ungherese per i diritti civili Hungarian Civil Liberties Union, ha cercato di ottenere risposta ad alcune domande di base.

«Siamo riusciti solo a sapere che l’agenzia governativa di intelligence civile detiene informazioni classificate su di me, ma non sappiamo che tipo di dati siano, quando siano stati raccolti né come. Tutte le richieste sono state bloccate invocando ragioni di sicurezza nazionale», spiega Panyi, precisando: «È una sensazione terribile sapere che il tuo stesso Stato ti considera un rischio per la sicurezza nazionale e usa contro di te uno strumento così invasivo». 

Per il giornalista, la legge in Ungheria è così permissiva che «chiunque può essere spiato nel rispetto della legge. Ad autorizzare la sorveglianza motivata dalla sicurezza nazionale è il ministro della Giustizia, quindi un componente del governo. Chi viene preso di mira senza giustificazione non ha rimedi: proprio perché tutto è legale abbiamo pochissime possibilità di contestare quanto accaduto».

Eppure, anche in Spagna e in Italia si è verificato lo stesso problema. Elena Jiménez, responsabile internazionale e legale di Òmnium Cultural, organizzazione impegnata nella promozione della lingua e della cultura catalana e del diritto all’autodeterminazione della Catalogna, regione autonoma della Spagna, è netta: «Il problema in Spagna non è stata la mancanza di un adeguato quadro giuridico: le leggi sono piuttosto restrittive. Per sorvegliare le comunicazioni, il servizio di intelligence spagnolo deve ottenere l’autorizzazione preventiva di un giudice del Tribunale supremo».

Queste garanzie non hanno messo al riparo i telefoni delle persone legate a Òmnium Cultural da Pegasus. Un rapporto pubblicato da Citizen Lab il 18 aprile 2022 ha documentato attacchi spyware contro almeno 65 persone legate al movimento indipendentista catalano, avvenuti quasi tutti tra il 2017 e il 2020. Tra loro c’erano quattro esponenti di Òmnium Cultural, compresa Jiménez. Una sorveglianza portata avanti in un preciso momento storico.

L’allora presidente dell’organizzazione, Jordi Cuixart, era stato posto in custodia cautelare il 16 ottobre 2017, due settimane dopo il referendum sull’indipendenza catalana: una consultazione a cui, nonostante la sospensione disposta dal Tribunale costituzionale spagnolo, avevano partecipato più di due milioni di persone.

«Le persone spiate – dice Jiménez – facevano parte della cerchia ristretta di Cuixart e si occupavano del suo caso. Io ero in contatto con i suoi avvocati ed ero la responsabile delle relazioni internazionali: parlavo con rappresentanti del Consiglio d’Europa, delle Nazioni Unite e delle organizzazioni internazionali per i diritti umani. Uno era il vicepresidente dell’organizzazione, Marcel Mauri. Un altro era il segretario del consiglio direttivo, anche lui avvocato, che andava a trovare Cuixart in carcere. Poi c’era la moglie di Cuixart, che è anche giornalista».

A lungo l’iter giudiziario si è arenato sulla richiesta di una nuova perizia sui dispositivi delle vittime, nonostante le infezioni fossero state già accertate da un team internazionale di ricercatori: «Ci hanno chiesto di consegnare i nostri telefoni, ma sarebbe stato come consegnare le nostre vite alla polizia una seconda volta: un paradosso. Abbiamo chiesto aiuto al Citizen Lab e abbiamo preparato copie contenenti solo una parte dei dati, ma le hanno rifiutate».

Secondo Òmnium, proprio la mancata consegna dei dispositivi ha portato all’archiviazione della causa lo scorso febbraio. Una decisione ribaltata in seguito al ricorso dell’associazione. Solo a ottobre scorso è stato annunciato un nuovo passo in avanti: la richiesta al governo spagnolo di desecretare i documenti che potrebbero fare chiarezza sulla sorveglianza.

«Fino a ora non c’è stata quasi alcuna indagine. Da una parte, c’è la mancanza di volontà da parte della procura, che avrebbe l’obbligo di indagare. Dall’altra, quando ci prova, non arriva una risposta perché tutto è bloccato dalla legge sul segreto di Stato», denuncia Jimenez.

Minacce per la sicurezza nazionale

A maggio 2022 il Defensor del Pueblo, l’autorità pubblica indipendente spagnola incaricata di tutelare i diritti fondamentali, ha accertato che i servizi segreti spagnoli avevano sorvegliato, con l’autorizzazione di un giudice, 18 esponenti del movimento indipendentista catalano.

Nell’elenco, di Òmnium Cultural c’erano Mauri e un’altra persona. Ma per Jiménez la sorveglianza non è ammissibile anche nel caso di un’operazione autorizzata. «Stiamo parlando dello spionaggio del vicepresidente di un’organizzazione culturale. Non basta dire che è per la sicurezza nazionale per renderla legale per gli standard internazionali». 

«Questo – conclude Jiménez – è un caso grave, che dovrebbe renderci tutti consapevoli di una cosa: non solo i governi di destra, ma anche quelli progressisti possono spiare i cittadini quando mettono in discussione il loro potere. La sorveglianza ha esposto la strategia legale e il lavoro di un’organizzazione della società civile. È stato un attacco alla nostra capacità di esercitare i diritti fondamentali».

Dall’altro lato del Mediterraneo, a spiare sono i servizi segreti italiani. «Sono stato classificato una minaccia per la sicurezza nazionale, ma perché e in base a quali elementi?», si chiede Luca Casarini.

Attivista e cofondatore di Mediterranea Saving Humans, ong impegnata nel soccorso dei migranti nel Mediterraneo, Casarini è stato sottoposto a sorveglianza a partire dal 2019, insieme a Beppe Caccia, anche lui tra i fondatori dell’ong.

Per entrambi il governo di Giorgia Meloni ha autorizzato l’impiego di Graphite, lo spyware di Paragon di cui hanno scoperto di essere stati bersaglio nel gennaio 2025 grazie a una notifica di WhatsApp.

Le attività di intelligence nei loro confronti erano già iniziate durante il governo Conte II, sostenuto da Movimento 5 Stelle, Partito democratico, Italia Viva e Liberi e Uguali, per poi proseguire sotto i governi di Mario Draghi prima e di Meloni poi. La motivazione ufficiale riguarda il presunto favoreggiamento dell’immigrazione clandestina in Italia.

Ma secondo Casarini l’obiettivo era la loro raccolta di testimonianze e documenti sui crimini contro i migranti commessi in Libia e Tunisia. E, in particolare, sugli abusi nel carcere di Mitiga al centro delle accuse contro Osama Almasri, il dirigente libico ricercato dalla Corte penale internazionale per crimini di guerra e contro l’umanità. Almasri è stato arrestato a Torino nel gennaio 2025, per poi essere scarcerato e rimpatriato in Libia con un volo di Stato italiano senza essere consegnato alla Corte.

Tra chi ne ha denunciato le responsabilità c’è David Yambio, rifugiato sudanese e presidente dell’ong Refugees in Libya, anche lui finito nel mirino degli 007 italiani. Tuttavia, il Copasir, l’organismo parlamentare che controlla i servizi segreti italiani, ha concluso che la sorveglianza di Casarini, Caccia e Yambio è stata regolare e autorizzata dal procuratore generale della Corte d’appello di Roma, come previsto dalla legge. «Se è lecito spiare gli attivisti politici per cinque anni, significa che siamo uno Stato di polizia», ribatte Casarini, lanciando un allarme sulla «sorveglianza di massa».

Nel suo ufficio a Bruxelles, Wojciech Wiewiórowski, garante europeo della protezione dei dati, tiene sul tavolino un libro: Ethics and the Future of Spying [Etica e il futuro dello spionaggio]. «A oggi in Europa mancano le garanzie necessarie affinché gli spyware siano utilizzati nel rispetto del diritto alla privacy delle persone sorvegliate, soprattutto prodotti come Pegasus, progettati per sfruttare tutte le possibilità tecniche e raccogliere il maggior numero possibile di informazioni», spiega Wiewiórowsk a IrpiMedia.

Ma non crede che una moratoria possa funzionare. «Gli Stati Ue non rinunceranno mai a queste capacità. Dobbiamo cercare una soluzione che combini il diritto europeo con le decisioni dei Paesi membri». 

Anche Koukakis è realista. «Gli spyware — dice a IrpiMedia il giornalista — possono essere utili per affrontare minacce reali, come il terrorismo o la criminalità. Ma dobbiamo avere gli strumenti per identificare l’utilizzatore finale del prodotto, in modo che, quando è necessario, sia possibile risalire a chi ha ordinato e a chi ha eseguito la sorveglianza, anche in tempo reale». Una tracciabilità che, per Koukakis, va «imposta a livello europeo».

Rosita Rijtano è Bertha Challenge Fellow 2026. Questa inchiesta è stata realizzata con il supporto della Bertha Challenge Fellowship.

Le inchieste e gli eventi di IrpiMedia sono anche su WhatsApp. Clicca qui per iscriverti e restare sempre aggiornat*. Ricordati di scegliere “Iscriviti” e di attivare le notifiche.