di Manuel Spataro*

Dal caso delle chat riservate di Fratelli d’Italia alle riflessioni del ministro della Difesa Guido Crosetto: nelle comunicazioni istituzionali la sicurezza del dato dipende dal controllo dell’intero dispositivo, non dalla sola crittografia del canale.

 La pubblicazione del libro Fratelli di chat del giornalista e scrittore Giacomo Salvini, del Fatto Quotidiano, ha riportato al centro dell’attenzione il contenuto di numerose conversazioni interne a Fratelli d’Italia. Le chat, relative a gruppi ai quali partecipavano parlamentari e altri esponenti del partito, hanno fatto emergere discussioni e giudizi riservati, provocando un significativo caso politico.

Al di là delle conseguenze politiche e della provenienza del materiale utilizzato nel libro, la vicenda offre un punto di partenza per una riflessione che riguarda direttamente la sicurezza delle comunicazioni istituzionali.

La domanda, infatti, non è soltanto come una determinata conversazione sia arrivata nelle mani di un giornalista. Quando si parla di istituzioni, Difesa e informazioni strategiche, la questione è soprattutto un’altra: quanto controllo abbiamo realmente sull’informazione dopo che questa è stata distribuita a persone e dispositivi autorizzati ad accedervi?

Un’organizzazione può adottare una piattaforma di comunicazione cifrata, utilizzare protocolli crittografici robusti e proteggere efficacemente il traffico di rete. Eppure può perdere il controllo di un’informazione nel momento stesso in cui questa viene visualizzata sullo smartphone di uno degli utenti autorizzati.

La sicurezza della comunicazione e la sicurezza dell’informazione, quindi, non sono necessariamente la stessa cosa.

Smartphone consumer e telefono cifrato: non sono la stessa cosa

Uno smartphone consumer e un telefono cifrato non si distinguono semplicemente per il livello di sicurezza. Rappresentano due modelli differenti.

Lo smartphone consumer è un dispositivo generalista, sul quale l’utente può installare applicazioni, utilizzare servizi cloud, sincronizzare e condividere dati. Anche quando impiega una messaggistica con cifratura end-to-end, il contenuto viene comunque decifrato sul dispositivo del destinatario.

Il telefono cifrato parte invece da un presupposto diverso: il dispositivo stesso fa parte dell’architettura di sicurezza. La protezione deve quindi estendersi oltre il canale di comunicazione e riguardare anche il sistema operativo, le applicazioni, i dati e l’integrità dell’endpoint.

La differenza è particolarmente evidente nelle comunicazioni sensibili.

Primo esempio: una comunicazione riservata

Su uno smartphone consumer, due persone possono utilizzare un’applicazione con cifratura end-to-end. La comunicazione è protetta durante il transito, ma, una volta arrivato, il messaggio rimane disponibile sul telefono del destinatario. Se il dispositivo viene compromesso, l’attaccante può cercare il contenuto direttamente sullo smartphone.

Un telefono cifrato può invece integrare ulteriori meccanismi di protezione del dispositivo. Se dispone anche di tecnologie in grado di rilevare una compromissione e identificare malware o spyware, la sicurezza non protegge più soltanto la comunicazione, ma anche il dispositivo che contiene i dati. In questo contesto può assumere particolare importanza un antivirus per smartphone in grado di ricercare le minacce direttamente sul dispositivo.

Secondo esempio: le applicazioni installate

Su un telefono consumer, l’utente può installare numerose applicazioni, ciascuna con proprie autorizzazioni e possibilità di interazione con il sistema. Anche quando la comunicazione è cifrata, l’ambiente rimane quello di uno smartphone generalista.

In un telefono destinato alle comunicazioni sensibili, il principio è diverso: ridurre e controllare ciò che può essere installato, eseguito e autorizzato sul dispositivo.

Terzo esempio: un messaggio riservato

Su uno smartphone consumer, il destinatario può leggerlo, copiarlo, fotografarlo oppure utilizzare la funzione “inoltra” per inviarlo a un’altra persona. La cifratura non impedisce necessariamente nessuna di queste operazioni.

Questo è il punto fondamentale: proteggere il trasferimento del messaggio non significa controllare ciò che accade al messaggio dopo che è stato decifrato.

Un telefono cifrato deve quindi essere considerato non come uno smartphone consumer dotato di un’applicazione più sicura, ma come un dispositivo progettato e gestito come parte di un’architettura di sicurezza.

In sintesi:

• smartphone consumer + applicazione cifrata = comunicazione protetta su un dispositivo generalista.
• telefono cifrato = dispositivo integrato in un’architettura progettata per proteggere comunicazioni, dati ed endpoint.

La differenza riguarda quindi soprattutto il perimetro della sicurezza e il livello di controllo esercitato sul dispositivo.

Il vero perimetro della sicurezza è l’endpoint

Lo smartphone è diventato uno dei principali endpoint dell’ecosistema informativo moderno. Non è più soltanto un telefono: contiene comunicazioni, documenti, fotografie, contatti, credenziali, token di autenticazione, account cloud, dati di localizzazione e informazioni sulle attività dell’utente.

Per un’organizzazione questo significa che il perimetro di sicurezza non termina necessariamente presso il proprio data center o il proprio server di comunicazione.

La sicurezza di un dispositivo mobile deve quindi essere valutata anche in termini di configurazione, aggiornamento, gestione e capacità di rilevare eventuali compromissioni. La Mobile Device Cybersecurity Checklist for Organizations di CISA raccomanda, tra l’altro, dispositivi aggiornati, configurati secondo gli standard dell’organizzazione, non sottoposti a root o jailbreak e continuamente monitorati; in assenza di queste condizioni, il dispositivo dovrebbe essere considerato non affidabile.

Se il dispositivo viene compromesso, l’attaccante può cercare di acquisire il dato direttamente sull’endpoint, prima che venga cifrato oppure dopo che è stato decifrato. Non è quindi necessariamente necessario violare il protocollo crittografico: può essere sufficiente raggiungere il dispositivo.

È una delle ragioni per cui spyware e malware mobili rappresentano una minaccia particolarmente insidiosa: spostano il punto di attacco dalla rete al terminale dell’utente.

Cosa deve proteggere realmente un telefono criptato

Un telefono criptato non dovrebbe essere considerato semplicemente uno smartphone sul quale è installata un’applicazione capace di cifrare chiamate e messaggi.

Se il dispositivo è l’endpoint nel quale l’informazione viene decifrata, visualizzata e utilizzata, la sicurezza deve riguardare anche il dispositivo stesso: sistema operativo, applicazioni, dati, credenziali e integrità dell’endpoint.

In questa prospettiva, il telefono deve poter essere verificato, le minacce rilevate e, in caso di compromissione, l’organizzazione deve poter intervenire.

La cifratura protegge la comunicazione. Un telefono criptato deve contribuire a proteggere anche l’endpoint che custodisce il dato.

ENISA, nel Hardware Threat Landscape and Good Practice Guide, inserisce i dispositivi mobili e i sistemi embedded all’interno di un più ampio panorama di minacce hardware, sottolineando l’importanza delle buone pratiche di progettazione, sviluppo e implementazione nella protezione dei dispositivi.

Esfiltrazione e propagazione del dato: quando il perimetro si rompe

Nel linguaggio della cybersecurity, l’esfiltrazione viene normalmente associata al trasferimento non autorizzato di informazioni da un sistema compromesso verso l’esterno. Dal punto di vista della sicurezza dell’informazione, però, conta soprattutto il risultato.

Un’informazione riservata può uscire dal perimetro perché un malware la trasferisce automaticamente verso un server remoto, perché un’applicazione dispone di permessi eccessivi o perché viene sincronizzata con un servizio cloud.

Ma può anche essere fotografata, copiata manualmente o inoltrata deliberatamente a un’altra persona.

Nei primi casi siamo davanti a una compromissione tecnica; negli altri, a comportamenti che possono essere perfettamente legittimi dal punto di vista dell’applicazione, ma incompatibili con il livello di riservatezza richiesto.

Non tutte le perdite di informazioni sono cyberattacchi. E non tutte possono essere risolte con una tecnologia di cifratura.

La funzione “inoltra”: la logica consumer applicata alle informazioni sensibili

Le normali applicazioni di messaggistica sono progettate per rendere semplice la comunicazione. Rispondere, copiare, condividere e inoltrare sono funzioni normali nel mercato consumer.

Il problema emerge quando lo stesso modello viene utilizzato per informazioni sensibili.

Una conversazione nata all’interno di un gruppo ristretto può essere rapidamente propagata oltre il perimetro originario. Il destinatario non deve necessariamente esportare un database o compiere un’operazione sofisticata: può semplicemente condividere ciò che vede sullo schermo.

Non è un difetto della funzione “inoltra”. È una conseguenza del modello consumer.

La questione, per un’organizzazione che tratta informazioni strategiche, è quindi se sia opportuno affidare la propagazione del dato alle funzionalità di un’applicazione progettata per la comunicazione generalista.

Il fattore umano e la minaccia insider

La tecnologia può rendere molto difficile un’intercettazione. Può cifrare il traffico, proteggere le chiavi, verificare l’identità dell’utente e cercare di individuare un dispositivo compromesso.

Non può però eliminare il fatto che qualcuno possa avere accesso legittimo all’informazione.

Questa è la dimensione dell’insider threat. L’insider non è necessariamente una persona che agisce con intenzione malevola: può trasferire un’informazione oltre i confini previsti per errore, negligenza o scelta consapevole.

In un sistema di comunicazione composto da molte persone, ogni nuovo partecipante rappresenta anche un nuovo endpoint e un nuovo punto nel quale l’informazione può essere copiata o trasferita.

Per questo la sicurezza non può basarsi soltanto sulla fiducia. Servono compartimentazione, controllo degli accessi, principio del minimo privilegio e politiche chiare sulla gestione delle informazioni. Un utente autorizzato rappresenta comunque una superficie di rischio.

Il problema degli smartphone consumer nelle comunicazioni istituzionali

È qui che il problema degli smartphone consumer assume una dimensione strategica.

Non significa affermare che uno smartphone destinato al mercato di massa sia automaticamente insicuro. I moderni sistemi operativi mobili incorporano numerose tecnologie di protezione.

Il punto è un altro: quanto controllo ha l’organizzazione sul dispositivo?

Chi decide quali applicazioni possono essere installate? Chi verifica lo stato di aggiornamento? Chi controlla l’integrità dell’endpoint? Chi può intervenire in caso di compromissione? Quali dati possono essere copiati o trasferiti?

Sono domande particolarmente rilevanti quando uno smartphone personale o consumer viene utilizzato per comunicazioni politiche, governative, militari o industriali.

In quel momento il dispositivo smette di essere soltanto un oggetto personale. Diventa una componente dell’infrastruttura informativa dell’organizzazione.

 Dalla sicurezza della messaggistica alla sicurezza dell’ecosistema

Ridurre la sicurezza alla scelta dell’applicazione di messaggistica sarebbe quindi un errore.

Attorno alla comunicazione esistono il sistema operativo, le applicazioni installate, le autorizzazioni, l’identità digitale dell’utente, i servizi di sincronizzazione, le reti, i server e soprattutto il dispositivo sul quale il contenuto viene visualizzato.

La sicurezza deve quindi essere considerata come una catena. Se uno degli anelli è significativamente più debole degli altri, la protezione complessiva dell’informazione può diminuire.

La cifratura del messaggio rimane una componente fondamentale, ma non può sostituire la sicurezza dell’endpoint e la governance dell’informazione. Le Mobile Communications Best Practice Guidance di CISA sottolineano inoltre la necessità di proteggere le comunicazioni mobili, considerando a rischio le comunicazioni tra dispositivi mobili e servizi Internet.

La domanda corretta non è quindi soltanto: “quale app utilizziamo?”

È: quale sistema complessivo utilizziamo per impedire che un’informazione strategica perda il proprio perimetro di sicurezza?

Dal singolo smartphone alla sicurezza nazionale

Quando il dispositivo appartiene a un privato, la gestione del rischio è principalmente una questione individuale.

Quando lo stesso dispositivo viene utilizzato da un ministro, un parlamentare, un funzionario pubblico, un militare o un dirigente di un’azienda che opera in un settore strategico, il problema assume una dimensione diversa.

Le informazioni trattate possono riguardare decisioni politiche, programmi industriali, infrastrutture critiche, operazioni militari, relazioni internazionali o attività di intelligence.

La compromissione di un singolo endpoint può quindi produrre conseguenze ben oltre il suo proprietario. È questo il salto concettuale: dal dispositivo personale all’asset strategico.

Uno smartphone utilizzato per comunicazioni sensibili deve essere considerato parte del sistema che protegge quelle comunicazioni.

Non è più sufficiente chiedersi se il telefono sia moderno o se l’applicazione sia cifrata. Bisogna sapere se il dispositivo sia governabile, verificabile e, quando necessario, isolabile. Questo principio è coerente con l’approccio Applying Zero Trust Principles to Enterprise Mobility indicato da CISA.

Difesa e sovranità digitale: proteggere l’informazione, non soltanto la comunicazione

Per la Difesa il problema è ancora più evidente. Le comunicazioni operative non possono essere considerate sicure soltanto perché viaggiano attraverso un canale cifrato. La protezione deve estendersi all’intero ciclo di vita dell’informazione: creazione, accesso, trasmissione, elaborazione, conservazione, condivisione e cancellazione.

Questo significa anche interrogarsi sulla dipendenza da dispositivi, applicazioni, sistemi operativi, servizi cloud e infrastrutture che l’organizzazione non controlla direttamente. La sovranità digitale non significa necessariamente costruire ogni componente in casa. Significa mantenere un livello di controllo sufficiente sugli elementi critici della propria infrastruttura informativa.

Se un’organizzazione non può sapere con ragionevole certezza se un endpoint sia integro, quali applicazioni abbiano accesso ai dati o dove quei dati possano essere trasferiti, la sicurezza complessiva rimane condizionata da fattori esterni.

Per la Difesa questo non è soltanto un problema tecnologico. È un problema di resilienza.

La lezione strategica della vicenda di Giacomo Salvini

La vicenda raccontata da Giacomo Salvini non dimostra, e non è necessario sostenere che dimostri, un attacco informatico alle chat. Il suo interesse dal punto di vista della sicurezza è un altro. Mostra quanto possa essere difficile mantenere il controllo di un’informazione quando questa viene distribuita tra numerosi utenti e dispositivi.

Una volta che un contenuto è stato visualizzato da un utente autorizzato, esistono molte modalità attraverso le quali può uscire dal perimetro originario: alcune tecniche, altre organizzative, altre ancora legate al comportamento umano.

La sicurezza di una comunicazione, quindi, non può essere misurata esclusivamente chiedendosi se qualcuno possa intercettarla durante il transito.

Bisogna anche chiedersi chi può accedere al dato, da quale dispositivo, con quali strumenti e con quali possibilità di trasferirlo altrove.

La nuova frontiera è il controllo dello smartphone

Per anni il perimetro della sicurezza informatica è stato identificato con la rete aziendale, il firewall, il data center e i server. Quel modello non è più sufficiente. Oggi il perimetro arriva fino al dispositivo mobile utilizzato dalla persona che possiede l’informazione.

È lì che il messaggio viene scritto e letto. È lì che può essere copiato o fotografato. È lì che può essere intercettato da un dispositivo compromesso. Ed è lì che un utente autorizzato può decidere di trasferirlo altrove.

La lezione strategica è semplice: proteggere una comunicazione non significa soltanto cifrarla. Significa proteggere il dato, il dispositivo, l’identità dell’utente e l’intero ecosistema attraverso il quale quell’informazione viene gestita.

Per le comunicazioni ordinarie può essere sufficiente affidarsi alla sicurezza incorporata nei dispositivi e nelle applicazioni consumer. Per informazioni strategiche, istituzionali o militari la domanda deve essere più esigente: chi controlla realmente il telefono che custodisce il dato?

Perché, se la risposta non è chiara, la crittografia del canale potrebbe essere soltanto una parte della sicurezza che manca.

Conclusioni

La vicenda delle chat finite nel libro di Giacomo Salvini porta quindi a una considerazione che va oltre il singolo caso: nelle comunicazioni istituzionali la sicurezza non può essere affidata soltanto alla protezione del canale, ma deve comprendere il dispositivo e il comportamento di chi lo utilizza.

Per istituzioni e Difesa questo significa considerare lo smartphone parte integrante dell’architettura di sicurezza e valutare non soltanto come viene trasmessa un’informazione, ma quanto sia possibile mantenerne il controllo durante il suo intero ciclo di vita.

La domanda strategica non è quindi soltanto “quanto è sicura questa comunicazione?”, ma: “quanto controllo abbiamo sul dato dal momento in cui viene creato fino al momento in cui viene cancellato?”

È da questa domanda che dovrebbe partire qualsiasi architettura moderna per la protezione delle comunicazioni istituzionali e militari.

Bibliografia e fonti

• Giacomo Salvini, Fratelli di chat. Storia segreta del partito di Giorgia Meloni, PaperFIRST, 2025.
• CISA – Cybersecurity and Infrastructure Security Agency, Mobile Device Cybersecurity Checklist for Organizations.
• CISA – Cybersecurity and Infrastructure Security Agency, Mobile Communications Best Practice Guidance.
• ENISA – European Union Agency for Cybersecurity, Hardware Threat Landscape and Good Practice Guide.
• CISA – Cybersecurity and Infrastructure Security Agency, Applying Zero Trust Principles to Enterprise Mobility.

• Guida alla sicurezza del telefono — Telefono criptato

*Manuel Spataro è uno specialista IT nel campo della sicurezza informatica. Da anni lavora nel settore delle comunicazioni sicure e cerca di sensibilizzare gli utenti ad un uso consapevole degli strumenti che offre il mercato.

È possibile contattare Manuel Spataro tramite Linkedin all’indirizzo https://www.linkedin.com/in/manuel-spataro-89482537 o tramite email [email protected].