Privacy Letters #43
Analisi approfondita sul Chat Control .
Questa settimana nella tua dose di privacy digitale” – perché sapere è l’unico vero antivirus:
Chat Control: il bivio della privacy europea
Carte SIM anonime: il mercato grigio che prospera nell’ombra europea
Italia e Spyware
Boot:
Il dibattito sul Chat Control segna un momento cruciale per il futuro digitale dell’Unione Europea. La proposta, formalmente nota come Child Sexual Abuse Regulation (CSAR), viene presentata come uno strumento per combattere un crimine odioso: l’abuso sessuale online sui minori. Ma dietro questa veste di tutela si cela un rischio sistemico che non possiamo ignorare: l’introduzione di una infrastruttura di sorveglianza preventiva senza precedenti nella storia democratica europea.
La crittografia end-to-end è stata uno dei pilastri della sicurezza digitale. Garantisce che solo mittente e destinatario possano leggere un messaggio, proteggendo comunicazioni sensibili di cittadini, giornalisti, avvocati, aziende e istituzioni.
Con il client-side scanning, cuore del Chat Control, questa promessa si spezza: i messaggi verrebbero analizzati sul dispositivo stesso, prima della cifratura. In altre parole, lo smartphone si trasformerebbe in un controllore governativo permanente, pronto a ispezionare ogni immagine, ogni conversazione, ogni scambio.
Questa non è più lotta mirata alla criminalità: è sorveglianza di massa legalizzata.
Sorvegliare preventivamente tutti significa violare il principio di presunzione di innocenza. È una trasformazione culturale profonda: da cittadini con diritti, a soggetti costantemente monitorati “nel caso” che commettano un reato.
Gli effetti a catena sono evidenti:
indebolimento della fiducia nei servizi digitali europei;
rischio di abusi da parte di governi futuri meno democratici;
legittimazione internazionale di pratiche di sorveglianza che regimi autoritari non tarderanno a rivendicare.
Proteggere i minori è un dovere assoluto. Ma ridurre il dibattito a una scelta binaria “o sicurezza dei bambini o privacy” è una falsa dicotomia.
Le alternative esistono:
potenziare le unità investigative specializzate;
rafforzare la cooperazione internazionale per colpire i network criminali;
investire in educazione digitale e prevenzione;
rendere più efficace la rimozione dei contenuti illeciti dai server.
Nessuna di queste soluzioni richiede di violare le comunicazioni private di centinaia di milioni di europei.
La partita politica è ancora aperta. Alcuni Stati membri come Austria, Belgio, Paesi Bassi, Repubblica Ceca e Polonia hanno espresso la loro netta contrarietà. Altri, come Francia, Italia e Spagna, spingono invece per l’approvazione. La Germania resta in bilico, e il suo voto sarà probabilmente decisivo.
Il rischio è che, spinti dall’urgenza emotiva di “fare qualcosa”, i governi finiscano per legittimare una misura sproporzionata, che comprometterà per decenni la sicurezza e la libertà dei cittadini europei.
Chat Control: il bivio della privacy europea
Un’analisi approfondita sul regolamento UE che potrebbe cambiare per sempre la crittografia e le nostre libertà digitali.
La Commissione Europea lo presenta come uno strumento necessario per combattere l’abuso sessuale online sui minori, ma il cosiddetto Chat Control formalmente Child Sexual Abuse Regulation (CSAR) rappresenta, nei fatti, una delle minacce più gravi mai avanzate contro la cifratura end-to-end e la riservatezza delle comunicazioni digitali.
Il dibattito entra nel vivo: entro ottobre 2025 gli Stati membri dell’UE dovranno decidere se trasformare questa proposta in legge vincolante. Una scelta che avrà ripercussioni non solo per i criminali, ma per ogni cittadino europeo che utilizza un servizio di messaggistica, un’email sicura, un cloud storage o semplicemente uno smartphone.
Che cos’è il Chat Control
Ne ho parlato molte volte ma è giusto fare un piccolo recap. Il regolamento CSAR prevede che i provider digitali dalle big tech ai piccoli servizi open source siano obbligati a implementare sistemi di scansione dei contenuti inviati dagli utenti.
Il dettaglio cruciale: la scansione avverrebbe sui dispositivi stessi, prima che i messaggi vengano cifrati (client-side scanning).
In altre parole:
ogni foto, messaggio o file verrebbe analizzato da algoritmi automatici;
i contenuti considerati “sospetti” sarebbero segnalati alle autorità competenti;
la crittografia end-to-end diventerebbe un guscio vuoto, aggirato da una backdoor imposta per legge.
Si tratta di un approccio di sorveglianza preventiva e generalizzata, che equipara ogni cittadino ad un potenziale sospetto.
Stato dell’iter legislativo
Il tempo stringe ed entro oggi ( vi aggiornerò degli sviluppi tramite una nota AGGIORNAMENTI CHAT CONTROL) gli Stati membri devono fissare le proprie posizioni; il voto finale in Consiglio UE è atteso poi per il 14 ottobre 2025.
Il panorama è frammentato:
Contrari: Austria, Belgio, Paesi Bassi, Repubblica Ceca, Polonia;
Indecisi: Germania, Estonia, Grecia, Lussemburgo, Romania, Slovenia;
Favorevoli: Francia, Italia, Spagna e circa 12 altri governi.
Il ruolo della Germania è cruciale: se si opporrà, il regolamento potrebbe arenarsi; se sosterrà il testo, Chat Control ha alte probabilità di diventare legge.
Le critiche degli esperti
La voce della comunità scientifica
Oltre 400 ricercatori e accademici hanno firmato una lettera aperta indirizzata ai decisori europei. I punti chiave:
incompatibilità giuridica: la scansione preventiva viola i principi di proporzionalità e necessità del diritto europeo;
inaffidabilità tecnica: i sistemi di rilevamento producono alti tassi di falsi positivi, con conseguenze devastanti per cittadini innocenti;
vulnerabilità sistemica: imporre backdoor mina la sicurezza informatica complessiva, aprendo la porta ad abusi e attacchi da parte di attori malevoli.
Attivisti e organizzazioni per la privacy
Il collettivo Fight Chat Control denuncia come il regolamento trasformerebbe ogni smartphone in una macchina di sorveglianza obbligatoria, invitando i cittadini a contattare i propri parlamentari per opporsi.
Anche PrivacyGuides sottolinea l’asimmetria del progetto: alcuni funzionari UE hanno chiesto che le loro comunicazioni siano escluse dalla scansione, creando un doppio standard inaccettabile privacy per i governi, sorveglianza per i cittadini.
I provider
Servizi come Tuta Mail hanno preso posizione netta: se approvato, Chat Control distruggerà la fiducia degli utenti nei servizi europei, spingendoli a rivolgersi a provider extra-UE.
Perché è un pericolo reale
Fine della crittografia end-to-end: il controllo sul client svuota di significato la cifratura, aprendo falle strutturali.
Sorveglianza di massa legalizzata: ogni comunicazione verrebbe esaminata, senza distinzione tra sospetti e innocenti.
Falsi positivi devastanti: famiglie e minori rischiano di essere incriminati per contenuti innocui, distogliendo risorse dalle vere indagini.
Precedente geopolitico: l’UE rischia di legittimare pratiche di sorveglianza che regimi autoritari potrebbero replicare.
Perdita di fiducia: la percezione di “occhi governativi” nei dispositivi personali minerebbe irreversibilmente il rapporto tra cittadini e tecnologia europea.
Alternative concrete
Contrastare l’abuso minorile online è un imperativo. Ma esistono approcci più mirati e meno intrusivi:
potenziare le unità specializzate delle forze di polizia;
rafforzare la cooperazione internazionale contro i network criminali;
sviluppare sistemi di segnalazione e rimozione mirati ai server e non alle chat private;
investire in educazione digitale e prevenzione, piuttosto che nella sorveglianza generalizzata.
Cosa può fare la community
Azioni politiche: contattare eurodeputati e governi nazionali prima del voto di ottobre.
Diffusione di consapevolezza: spiegare in modo semplice e tecnico perché Chat Control è un errore, soprattutto a chi non conosce i dettagli.
Sostegno ai servizi sicuri: continuare a utilizzare e finanziare provider che difendono la crittografia senza compromessi.
Partecipazione attiva: unirsi a campagne coordinate come quella di Fight Chat Control
Conclusione
Chat Control viene presentato come uno strumento di protezione dei minori, ma nella sua architettura rappresenta un attacco frontale alla privacy, alla sicurezza e ai diritti fondamentali dei cittadini europei.
La sfida è chiara: scegliere se costruire un’Europa che difende i propri valori digitali o un’Europa che introduce, per la prima volta, un’infrastruttura di sorveglianza preventiva.
La partita si gioca ora, e ogni voce conta. La crittografia, la riservatezza e la libertà digitale sono conquiste fragili. Difenderle significa difendere la democrazia stessa.
Carte SIM anonime: il mercato grigio che prospera nell’ombra europea
Un piccolo oggetto, un numero e l’accesso a servizi che ormai governano la nostra vita digitale. Le carte SIM anonime non sono più solo strumenti per chi vuole proteggere la propria privacy in viaggio: sono diventate la valuta di un mercato parallelo, efficiente e sempre più professionalizzato, che attraversa i confini europei e genera profitti ricorrenti.
Come funziona il sistema
In alcuni paesi le verifiche sull’identità al momento dell’acquisto sono deboli. Lì le SIM prepagate si acquistano a prezzi bassissimi e poi vengono rivendute o affittate. I fornitori installano centinaia di queste SIM in dispositivi gestiti da remoto e offrono accesso via API. Il cliente non vede mai la SIM fisica. Ottiene soltanto la possibilità di ricevere o inviare SMS attraverso numeri temporanei, apparentemente non tracciabili.
Il valore economico
Il prezzo di una SIM anonima dipende dalle regole locali: dove è richiesto un documento costa di più, dove i controlli sono minimi costa meno. Ma il vero guadagno è ricorrente: chi affitta le SIM incassa mensilmente per l’accesso ai servizi SMS. È una rendita che rende il business sostenibile e facilmente scalabile.
Usi legittimi, ma limitati
Esistono applicazioni lecite: test di servizi, attività giornalistiche sotto copertura, situazioni in cui la privacy è necessaria. Tuttavia questi impieghi rappresentano solo una piccola parte del volume complessivo. La maggioranza delle operazioni riguarda l’attivazione di account temporanei, campagne di spam, frodi basate sugli OTP, phishing mirato e altre attività illecite che sfruttano l’anonimato fornito dai numeri usa e getta.
Un’industria organizzata
Non si tratta più di singoli venditori in forum. La filiera si è evoluta in reti strutturate che curano approvvigionamento, logistica e automazione. Broker digitali e reseller gestiscono grandi parchi di SIM come risorse cloud: provisioning automatico, rotazione dei numeri e monitoraggio continuo. È un’industria digitale che sfrutta le disomogeneità normative tra paesi.
Il problema europeo
L’Europa non ha regole uniformi su questo tema. Quando uno Stato inasprisce i controlli, l’offerta migra verso nazioni più permissive. Finché non ci sarà un coordinamento europeo e uno scambio rapido di informazioni tra operatori e forze dell’ordine, il fenomeno continuerà a trovare spazi di manovra.
Cosa si può fare
Servirebbero misure coordinate che uniscano tutele e efficacia investigativa. Cooperazione transfrontaliera più stretta, controlli tecnici sulle infrastrutture che gestiscono grandi numeri di SIM, obblighi di trasparenza per chi offre API che utilizzano numeri di terzi e strumenti di intelligence digitale per individuare pattern di abuso senza intaccare utenti legittimi. È una strada complessa ma necessaria.
Pericoli per la sicurezza e la privacy
L’anonimato offerto dalle SIM usa e getta facilita frodi, furti d’identità e attacchi che sfruttano i codici di verifica via SMS. Per le vittime, le conseguenze possono essere la perdita di denaro, l’usurpazione di account e un lungo travaglio burocratico per dimostrare la propria innocenza. Per la collettività, la diffusione di questi servizi complica le indagini e abbassa la fiducia nei sistemi di autenticazione basati sul telefono. Allo stesso tempo, misure troppo rigide per contrastare l’abuso rischiano di colpire chi ha motivi legittimi per proteggere la propria privacy, creando un dilemma che richiede soluzioni mirate e bilanciate.
Conclusione
Una carta SIM può sembrare insignificante, ma in questo contesto diventa una leva potente. Per affrontare il fenomeno serve più metodo che panico: armonizzare le regole, migliorare la cooperazione e mettere in campo contromisure tecniche che colpiscano gli abusi senza soffocare lo spazio legittimo per la privacy. Senza questo equilibrio, il mercato grigio continuerà a prosperare nell’ombra.
Italia e spyware: un centro silenzioso della sorveglianza digitale
Negli ultimi mesi il dibattito internazionale sullo spyware ha riportato al centro la posizione dell’Italia, non solo come utilizzatrice di strumenti di sorveglianza, ma come vero e proprio hub finanziario e operativo. Un settore che cresce in silenzio, muove capitali importanti e pone interrogativi profondi su sicurezza, politica e diritti civili.
Aziende italiane sotto i riflettori
Diversi colossi tecnologici hanno individuato la presenza di società italiane attive nella produzione e commercializzazione di spyware, accusate di utilizzare reti di account falsi, app ingannevoli e strumenti di sorveglianza sofisticati.
Cy4Gate: collegata a tecnologie capaci di creare avatar digitali tramite intelligenza artificiale e reti di profili falsi, strumenti che possono essere usati per operazioni di social engineering e raccolta di dati sensibili.
Negg Group: segnalata per lo sviluppo di spyware in grado di sfruttare vulnerabilità nei sistemi operativi mobili, con attività riscontrate non solo in Italia ma anche all’estero.
IPS Intelligence: meno nota al grande pubblico, ma citata per la capacità di raccogliere informazioni attraverso identità digitali fittizie e operazioni di sorveglianza su richiesta.
Queste aziende respingono le accuse di abusi, sostenendo di agire in conformità con la legge e al servizio di autorità legittimate, ma il sospetto di un uso esteso oltre i confini della sicurezza nazionale rimane.
I casi concreti
Le inchieste degli ultimi anni hanno mostrato come giornalisti, attivisti e ONG possano finire nel mirino di software pensati, almeno sulla carta, per contrastare criminalità e terrorismo. Alcuni esempi riguardano campagne condotte tramite profili falsi che spingevano le vittime a scaricare documenti infetti, in grado di rivelare la posizione e altre informazioni sensibili del dispositivo.
In altri episodi, spyware sofisticati sono stati utilizzati contro membri di organizzazioni non governative impegnate nel Mediterraneo, alimentando dubbi sul reale obiettivo di queste tecnologie. La linea sottile tra tutela della sicurezza e controllo politico appare sempre più sfocata.
Italia hub europeo dello spyware
L’Italia non è solo produttrice: è anche uno dei principali poli di investimento in questo settore in Europa. Fondi e aziende nazionali alimentano un mercato in espansione che attira capitali e commesse governative. Il risultato è un ecosistema in cui business, politica e sicurezza si intrecciano, con margini di opacità che rendono difficile distinguere il legittimo dal sospetto.
Sicurezza e privacy a rischio
L’emergere di nuove tecniche basate su intelligenza artificiale, la creazione di avatar digitali indistinguibili da persone reali e l’uso di vulnerabilità nei sistemi più diffusi mostrano come la sorveglianza digitale sia ormai entrata in una fase industriale. Per i cittadini, questo significa un rischio crescente per la privacy, la libertà di espressione e la sicurezza personale.
Un crocevia per l’Italia
Oggi l’Italia si trova davanti a una scelta cruciale: consolidarsi come potenza del settore, rischiando però di diventare un modello di abusi, oppure puntare a una maggiore trasparenza, regolamentazione e supervisione democratica. La posta in gioco non riguarda solo la sicurezza nazionale, ma anche la credibilità internazionale del Paese e la tutela dei diritti fondamentali.
Blink News
Una nuova falla di sicurezza mette sotto i riflettori il mondo delle app di intelligenza artificiale generativa. La società Vyro AI, sviluppatrice di applicazioni popolari come ImagineArt, Chatly e Chatbotx, ha esposto online oltre 116 GB di log sensibili a causa di un database non protetto.Il database conteneva:
i prompt inviati dagli utenti alle app, token di autenticazione che avrebbero potuto consentire accesso diretto agli account, informazioni tecniche sugli user agent (dispositivo, sistema operativo, browser).
La presenza di token attivi avrebbe potuto permettere a malintenzionati di prendere il controllo degli account, accedere alle cronologie delle chat, alle immagini generate e persino effettuare acquisti di crediti AI.Solo ImagineArt supera i 10 milioni di installazioni su Google Play. Nel complesso, le app di Vyro AI contano oltre 150 milioni di download. Questo significa che l’impatto potenziale della fuga di dati è enorme e potrebbe aver coinvolto milioni di utenti in tutto il mondo.Il database era già visibile sui motori di ricerca per dispositivi IoT da febbraio 2025, e i ricercatori hanno rilevato l’esposizione in aprile. Ciò significa che per mesi dati sensibili sono stati accessibili pubblicamente, senza protezioni adeguate.Le fughe di dati legate a chatbot AI non si limitano a informazioni tecniche: includono conversazioni private, dati personali impliciti e tracce delle abitudini digitali degli utenti. Questo incidente dimostra quanto spesso la corsa alla crescita e alla diffusione delle app AI avvenga a scapito della sicurezza e della privacy.
Secondo un nuovo rapporto dell’Atlantic Council, gli investitori statunitensi hanno quasi triplicato i loro interessi nelle aziende che sviluppano spyware. Nel 2023 erano 11, nel 2024 sono diventati 31.
Lo studio ha analizzato oltre 560 entità legate allo spyware in 46 paesi, includendo produttori, partner e intermediari. Ne emerge un quadro chiaro: gli Stati Uniti restano il centro finanziario più importante per questo settore, seguiti da Israele e Italia.Alcuni casi emblematici:
La società Paragon, creatrice dello spyware “Graphite” usato contro utenti WhatsApp, è stata acquistata dal fondo americano AE Industrial Partners.
Integrity Partners, sempre dagli USA, ha sostenuto Saito Tech (Candiru), un’azienda già sanzionata dal governo statunitense e inserita nella lista nera del Dipartimento del Commercio.
Il mercato non si limita più a pochi paesi tradizionali: nuove realtà sono emerse anche in Giappone, Malesia e Panama, mentre proliferano broker e rivenditori che agiscono da copertura, rendendo più difficile tracciare chi controlla davvero queste tecnologie.
Nonostante restrizioni e sanzioni, la crescita degli investimenti dimostra come lo spyware resti un business redditizio e in espansione. E questo apre interrogativi sulla coerenza delle politiche di sicurezza con gli interessi economici in gioco.
Un’inchiesta coordinata dalla Procura di Catania ha smantellato una vasta rete di IPTV illegali che distribuiva Sky, DAZN e altri contenuti, coinvolgendo oltre 22 milioni di utenti in Europa.
DAZN ha chiesto al tribunale di ottenere i dati degli abbonati ai servizi pirata, con l’obiettivo di costituirsi parte civile e richiedere risarcimenti. Sky e la Lega Serie A sostengono l’iniziativa.
Le sanzioni previste per chi ha usato le piattaforme illegali variano da 150 euro fino a diverse migliaia, a seconda della gravità dell’infrazione.
Un caso concreto è quello di Napoli, dove più di 6.000 utenti sono stati identificati e multe già notificate. L’operazione sottolinea come la pirateria digitale continui a essere un rischio concreto per utenti e piattaforme, con conseguenze economiche e legali significative.