Le procure di Roma e Napoli, coordinate dalla Direzione Nazionale Antimafia e Antiterrorismo, hanno fatto un passo avanti significativo nell’indagine sul caso Paragon, lo scandalo legato all’uso dello spyware Graphite prodotto dalla società israeliana Paragon Solutions.

Una consulenza tecnica collegiale, depositata a febbraio e condotta in contraddittorio ai sensi dell’art. 360 c.p.p., ha confermato la presenza di tracce di malware su tre dispositivi Android: quelli in uso agli attivisti di Mediterranea Saving Humans Giuseppe Caccia e Luca Casarini, e al giornalista Francesco Cancellato, direttore di Fanpage.it.

Gli esperti – tra cui specialisti della Polizia Postale e docenti universitari – hanno rilevato «una serie di anomalie nei database WhatsApp di tutti e tre i dispositivi», compatibili con il funzionamento del software Graphite descritto nei report di Meta. La compromissione dei telefoni risalirebbe alle prime ore del 14 dicembre 2024. Particolarmente significativo è il timing: «L’esecuzione in serie di tre attacchi nella stessa notte suggerisce che essi possano essere stati parte di una medesima campagna di infezione».

Le indagini, aperte contro ignoti per i reati di accesso abusivo a sistema informatico e intercettazione illecita di comunicazioni, sono scattate in seguito alle querele presentate dagli interessati dopo le notifiche ricevute da Meta, che segnalavano una possibile infezione dei dispositivi.

A seguito dei risultati della perizia, i pm hanno effettuato un accesso ispettivo – ai sensi dell’art. 256-bis c.p.p. – presso l’Agenzia informazioni e sicurezza interna (Aisi). L’operazione era necessaria alla luce della relazione del Copasir approvata il 4 giugno 2025, che aveva accertato l’uso autorizzato di Graphite da parte dei servizi segreti italiani per attività di esfiltrazione dati e intercettazione nei confronti di Caccia e Casarini.

L’analisi dei server Graphite in uso all’Aisi ha confermato le operazioni condotte la notte del 14 dicembre sui dispositivi dei due attivisti di Mediterranea, ma «non ha consentito di rilevare tracce di operazioni riferibili a Francesco Cancellato», confermando allo stato «l’assenza di elementi che riconducano l’attività di indagine ad Aisi».

Le procure proseguono le indagini per identificare gli autori del tentativo di intrusione ai danni del giornalista di Fanpage.it.

Fonti dell’intelligence, contattate dall’Ansa, hanno precisato che la coincidenza della data di infezione per i tre dispositivi «è attribuibile alla mancata funzionalità per più settimane del sistema Graphite fornito dall’azienda Paragon, la quale ha ripristinato il sistema solo a partire dal 14 dicembre 2024, e per tutti i clienti». Pertanto, quella data rappresenterebbe «esclusivamente la ripresa di funzionamento per chiunque avesse in uso Graphite», e non indicherebbe un’operazione coordinata contro il giornalista.

Il caso Paragon ha già provocato tensioni significative: nel giugno 2025 il Copasir aveva confermato l’uso legittimo (secondo le autorizzazioni di legge) dello spyware contro gli attivisti, escludendo però il coinvolgimento di Cancellato da parte dei servizi italiani. Paragon, da parte sua, aveva interrotto i contratti con il governo italiano dopo le polemiche sull’opacità delle indagini.

Luca Casarini ha commentato la notizia sottolineando l’inquietudine per la contemporaneità degli attacchi: «È evidente che l’indagine dovrà chiarire chi ha ordinato e realizzato queste operazioni. Questa è un’indagine sulla sorveglianza di massa e sulle pratiche utilizzate contro oppositori politici e giornalisti».

Le procure di Roma e Napoli, con il coordinamento della Dna, intendono fare piena luce sulla vicenda, che solleva interrogativi su possibili abusi nell’uso di strumenti di sorveglianza avanzati e sul rispetto delle garanzie per giornalisti e attivisti.