Comunicazioni cifrate sotto assedio: lo spyware di Stato diventa realtà. Ecco dove

Negli ultimi mesi tanti Paesi europei si stanno progressivamente allineando a una tendenza ormai evidente: l’espansione dei poteri di sorveglianza delle forze dell’ordine nel contesto delle comunicazioni digitali. Anche l’Irlanda, con la proposta del Communications (Interception and Lawful Access) Bill, non si limita ad aggiornare una normativa obsoleta, ma ridefinisce in profondità il rapporto tra Stato, tecnologia ed esercizio dei diritti fondamentali.

Il governo irlandese giustifica l’iniziativa con la necessità di superare il Postal Packets and Telecommunications Messages Regulation Act del 1993, una legge concepita in un’epoca in cui Internet, la messaggistica istantanea e l’Internet of Things erano, di fatto, inesistenti. Da questo punto di vista, l’argomentazione appare tecnicamente fondata: l’attuale ecosistema delle comunicazioni digitali non rientra più negli schemi concettuali del legislatore di 30 anni fa. Tuttavia, il problema non è tanto l’aggiornamento normativo in sé, quanto l’ampiezza e la natura dei poteri che si intende attribuire alle Autorità.

Crittografia nel mirino: quando la politica ignora i limiti tecnici

Il nuovo disegno di legge mira esplicitamente a consentire l’intercettazione di qualsiasi forma di comunicazione elettronica, includendo email, piattaforme di messaggistica, dispositivi IoT e servizi cifrati end-to-end.

È proprio quest’ultimo punto a costituire il nodo più controverso. L’affermazione secondo cui le comunicazioni potranno essere intercettate “whether encrypted or not” lascia intendere un approccio che, almeno sul piano politico, non accetta l’idea di limiti tecnici invalicabili.

Perché non esistono backdoor sicure

L’utilizzo della crittografia end-to-end non ammette compromessi selettivi. O è integra, oppure non lo è. Qualsiasi meccanismo che consenta a un soggetto terzo di accedere ai contenuti, anche in presenza di autorizzazione giudiziaria, introduce di fatto una vulnerabilità strutturale. Non esistono “backdoor sicure”, perché ogni punto di accesso aggiuntivo diventa, inevitabilmente, un potenziale vettore di abuso o compromissione.

I precedenti europei: dal caso Apple a Chat Control

L’esperienza di altri Paesi europei rafforza queste preoccupazioni. Il caso britannico, con le pressioni esercitate su Apple per indebolire la protezione avanzata di iCloud, ha dimostrato come le richieste di accesso “eccezionale” possano tradursi in un arretramento concreto delle garanzie di sicurezza per milioni di utenti.

Analogamente, il dibattito europeo sul regolamento noto come “Chat Control” ha evidenziato quanto sia difficile conciliare la lotta ai reati gravi con il rispetto della riservatezza delle comunicazioni private. Oltretutto, quando si pensava che l’idea alla base di Chat Control fosse ormai tramontata, a novembre 2025 è arrivata la doccia fredda con un’incredibile apertura dell’Europa alla sorveglianza di massa.

Nel contesto irlandese, il governo promette un “robusto quadro giuridico” e adeguate tutele per privacy e sicurezza, oltre a una cooperazione tecnica rafforzata tra Stato e fornitori di servizi.

Dalla rete agli endpoint: dove avviene davvero l’intercettazione

Tuttavia, resta volutamente vaga la spiegazione di come, sul piano pratico, le intercettazioni delle comunicazioni cifrate dovrebbero avvenire senza minare l’integrità dei sistemi. Questo silenzio tecnico è significativo e alimenta il sospetto che la soluzione sia spostata dal livello dell’infrastruttura di rete a quello degli endpoint, ovvero i dispositivi degli utenti.

È in questo spazio che si colloca l’altro pilastro della riforma: la legalizzazione esplicita dell’uso di spyware da parte delle forze di polizia. Seguendo le linee guida delineate dalla Commissione Europea nel 2024, l’Irlanda intende consentire l’impiego di software di sorveglianza solo in casi di “stretta necessità”, con autorizzazione giudiziaria e sistemi di controllo rafforzati.

In termini tecnici, ciò significa aggirare la cifratura non spezzandola, ma intercettando i dati prima che siano cifrati o dopo che sono stati decifrati sul dispositivo bersaglio.

L’approccio, pur coerente con le possibilità tecnologiche, apre interrogativi profondi sul piano dei diritti. Lo spyware non è uno strumento neutro: consente l’accesso esteso a contenuti, metadati, microfoni, fotocamere e talvolta all’intero ecosistema digitale di una persona. Anche se autorizzato per indagini su reati gravi, il rischio di espansione progressiva dell’uso è tutt’altro che teorico, come dimostrano numerosi precedenti internazionali.

A ciò si aggiunge l’intenzione di introdurre poteri per la scansione elettronica mirata di aree fisiche, attraverso tecnologie come gli IMSI catcher, capaci di identificare dispositivi e relazioni tra soggetti presenti in un determinato luogo. Si tratta di strumenti che, pur non intercettando direttamente i contenuti delle comunicazioni, permettono una mappatura estremamente dettagliata delle reti sociali e dei movimenti delle persone coinvolte, incluse quelle estranee alle indagini.

Un ecosistema di sorveglianza integrata

Le preoccupazioni espresse dall’Irish Council for Civil Liberties appaiono più che fondate. L’organizzazione sottolinea come l’accumulo dei poteri di sorveglianza, tenda a erodere gradualmente il perimetro delle libertà civili. La storia della legislazione antiterrorismo e antimafia dimostra che misure introdotte come eccezionali finiscono spesso per essere applicate a fattispecie sempre meno gravi, spinte da esigenze operative e da pressioni istituzionali.

Il quadro si completa con il Recording Devices Bill, che prevede un uso più esteso di tecnologie biometriche, inclusa la possibile adozione su larga scala del riconoscimento facciale, sia in tempo reale sia retrospettivo. Se combinata con intercettazioni, spyware e strumenti di identificazione elettronica, questa infrastruttura crea un ecosistema di sorveglianza integrata senza precedenti nella storia irlandese.

In definitiva, la riforma proposta non riguarda solo l’efficienza investigativa, ma solleva una questione di primo piano: fino a che punto uno Stato democratico può spingersi nel controllo delle comunicazioni digitali senza compromettere i principi di proporzionalità, necessità e tutela della vita privata?