Il mercato dei dati delle armi - Cronache del Sottosopra

per i sistemi e per le persone

Cronache del Sottosopra

Maggio, Roma sta decidendo cosa essere, se primavera o estate e poiché, come è noto, nel mezzo la virtù, sceglie entrambe. La serata è umida e tiepida insieme, il che va bene se sei nella giungla, un poco meno se sei nel bar di Gigi a Trastevere con le porte aperte sul vicolo e quel trio di ventilatori a parete che spargevano odore di caffè e alcool misto ad anni che passano senza fretta.

Francesco era arrivato per primo. Camicia con le maniche arrotolate fino al gomito, cravatta allentata di quel tanto che basta a non sembrare una resa, capelli brizzolati cortissimi, il portatile aperto sul tavolino di sempre con l’aria di chi ha trovato qualcosa e non riesce a smettere di guardarla. Ogni tanto si guardava in giro ma in verità non guardava in giro. Guardava il portatile e poi guardava il vuoto davanti a sé, e nel vuoto c’era ancora il portatile.

Paolo arrivò dopo cinque minuti. Impeccabile completo grigio fumo, nessuna cravatta, la testa stile Montalbano come sempre. Si sedette senza salutare, che tra loro i saluti erano un’inutile formalità da anni, e disse soltanto, ti vedo strano, che cosa hai trovato, perché aveva imparato a riconoscere quell’espressione.

Rita arrivò per ultima, come quasi sempre, il che non era mai un ritardo ma una scelta, anche se lei non lo avrebbe mai ammesso. Aprì il taccuino prima ancora di sedersi, e i capelli rosso fiamma le scivolarono su una spalla mentre sistemava la penna. Francesco alzò gli occhi dallo schermo un momento prima del necessario, poi li abbassò. Paolo aveva sempre pensato, senza mai dirlo, che Rita avrebbe potuto scegliersi compagnie più giovani e più brillanti, e che probabilmente lo faceva, altrove, in altri bar, con altra gente, e che quando invece sceglieva il bar di Gigi e il tavolo di sempre non aveva mai capito perché, e aveva smesso di chiederselo perché alcune domande non migliorano con la risposta. La riflessione durò un secondo. Rita disse, parlate, sono in ritardo ma sono qui.

Francesco girò il portatile verso di loro.

Guardate questo, disse.

Sullo schermo c’era una conversazione con una IA. Non con un collega, non con una fonte, ma con un’intelligenza artificiale. Avevano cominciato a parlare di zero-day e di broker di dati legali, due argomenti che in apparenza non hanno nulla in comune, e nel mezzo della ricerca era emerso un dettaglio che Francesco non si aspettava, uno di quei dettagli che fanno la differenza, perché i dettagli fanno sempre la differenza.

Paolo lesse in silenzio, anche Rita lesse in silenzio.

Aspetta, disse Paolo, stai dicendo che hai usato una AI per trovare le fonti.

Sì, disse Francesco.

E le fonti le ha trovate.

Sì, disse Francesco di nuovo. Con Google cercavi parole. Con l’IA cerchi significati. Non è la stessa cosa. Il motore di ricerca sa che hai scritto “zero-day broker Dubai” e ti restituisce le pagine in cui compaiono quelle parole. L’IA capisce quello che intendi e costruisce il collegamento anche quando le parole non coincidono, anche quando il filo è sottile e passa attraverso fonti diverse in lingue diverse pubblicate in anni diversi.

Paolo si passò una mano sulla testa, gesto che aveva sostituito da anni quello di sistemarsi i capelli che non c’erano più. Viviamo in un’epoca strana, disse.

Rita alzò gli occhi dal taccuino. Lo era già prima, disse. Ma dipende da come fai le domande.

Cominciamo dall’inizio, disse Francesco, e con lo sguardo disse a Gigi di portare due spritz Aperol e uno al Campari per Rita. Gigi in quelle serate funzionava come una specie di casalinga di Voghera involontaria, un orecchio al bancone e uno al tavolo, senza mai riferire niente di ciò che sentiva, il che è forse la forma più alta di discrezione.

Come ben sapete, disse Francesco, esiste un mercato per le vulnerabilità informatiche. Ma quello che forse sfugge ai più è che non è un mercato nero, non c’entra nulla il dark web, e gli attori non sono criminali. Il mercato delle vulnerabilità ha sedi fisiche, siti web pubblici, comunicati stampa, interviste ai giornali. È un mercato in cui qualcuno trova un difetto in un sistema operativo che nessuno ha ancora scoperto, un difetto per cui gli sviluppatori hanno zero giorni per correre ai ripari prima che venga usato contro di loro, e questo qualcuno invece di segnalarlo al produttore lo vende al miglior offerente.

Zero-day, disse Paolo.

Esatto, disse Francesco. E i broker sono le società che comprano queste vulnerabilità dai ricercatori e le rivendono, tipicamente, a governi. A servizi di intelligence. A chi ne ha bisogno per operazioni che non vengono rese pubbliche.

Rita scrisse qualcosa nel taccuino e chiese, quanto vale una vulnerabilità su iPhone.

Fino a tre milioni di dollari, disse Francesco. Dipende da quanto è grave, da quanto è difficile da trovare, da quante persone espone. C’è persino un listino, aggiornato, pubblico, come quello di un fornitore di componenti elettronici.

Paolo rimase in silenzio per un momento. Tre milioni di dollari per un difetto in un software, disse infine, come se la frase avesse bisogno di essere pronunciata ad alta voce per essere creduta.

Per il difetto giusto, nel sistema giusto, al momento giusto, disse Francesco.

Gigi portò gli spritz, patatine e noccioline con il tempismo dei grandi professionisti. Nessuno dei tre lo ringraziò perché non era necessario, erano anni che funzionava così, quando, senza nessun preavviso, la porta del bar si aprì ed entrò qualcuno che conosceva tutti, o almeno così sembrava, perché salutò Francesco per nome e Paolo per soprannome e Rita con un sorriso che durava un secondo più del dovuto. Trascinò una sedia dal tavolo vicino, sotto uno sguardo di disappunto di Gigi, e si sedette senza aspettare che qualcuno lo invitasse.

Anche lui lavorava nel settore, diceva, anche se a ben guardare non era mai chiaro cosa facesse esattamente. Frequentava convegni, conosceva relatori, raccoglieva le slide dei panel e le ricombinava in presentazioni proprie che giravano nelle caselle email dei direttori come se fossero analisi originali. Quando arrivava un problema vero, un lavoro da fare, una decisione da prendere, trovava sempre qualcuno a cui smistarlo e poi ci metteva il nome sopra, il che è una forma di efficienza, a pensarci bene, anche se non è la forma che preferivano Francesco, Paolo e Rita. Era il tipo di collega che quando arrivava una mail con delle domande girava le domande nascondendo il contesto.

Francesco chiuse il portatile con la naturalezza di chi stava già per farlo.

L’uomo cominciò a parlare. Parlava bene, con scioltezza, con quella sicurezza di chi ha sentito le cose giuste dette dalle persone giuste e le ha fatte proprie con la stessa cura con cui si fa propria una giacca trovata su una sedia. Parlò di mercati, di trend, di ecosistemi. Usò la parola “paradigma” due volte in quattro minuti. Paolo lo ascoltava con l’espressione di chi sta aspettando che piovesse e non piove.

A un certo punto Paolo disse, e tu cosa fai nel tempo libero.

L’uomo si animò. Aveva molti hobby, disse. Il padel, i viaggi, le esperienze, e usò la parola esperienze con l’enfasi di chi la trova ancora nuova. Frequentava posti, vedeva gente, faceva cose. Il lavoro per lui era il mezzo, disse, non il fine. La vita vera stava fuori dagli schermi.

Capito, disse Paolo. E tornò a guardare il caffè.

Rita non aveva alzato gli occhi dal taccuino neanche una volta. Nemmeno quando l’uomo era entrato.

A un certo punto l’uomo non c’era più. Non se ne era andato in modo memorabile, era semplicemente evaporato come evaporano le cose che non lasciano traccia, e Gigi si avvicinò al tavolo, spostò la sedia di tre centimetri verso il muro, e tornò al bancone. Era un gesto minimo. Era anche un giudizio.

Francesco riaprì il portatile.

Uno dei broker più noti di questo mercato si chiama Zerodium¹, con sede a Washington, che pubblica i prezzi online come un negozio qualunque e il cui fondatore originario ha da tempo lasciato la guida della società. Un’altra, Crowdfense², aveva sede a Dubai e aveva scelto la trasparenza come tratto distintivo, dichiarando criteri di selezione dei clienti, politiche di vendita definite, la volontà di fare le cose diversamente. Il suo direttore ha lasciato il settore nel 2022, citando come ragione principale il fatto che i governi erano entrati pesantemente in partita e il mercato aveva smesso di essere quello che era.

Ma il mercato ha molti nomi, disse Francesco.

NSO Group³, israeliana, che ha sviluppato Pegasus, uno strumento capace di entrare in uno smartphone senza che l’utente faccia nulla, il cosiddetto zero-click, e che è finita in un tribunale californiano ed è stata condannata a pagare centosessantasette milioni di dollari a Meta per aver sfruttato vulnerabilità di WhatsApp. Paragon Solutions⁴, altra israeliana, che si pubblicizzava come l’alternativa etica alla concorrenza, con un sito che dichiarava di fornire ai clienti strumenti basati sull’etica, squadre e insight, fino a febbraio di quest’anno, quando il suo responsabile legale ha postato per errore su LinkedIn uno screenshot del pannello operativo con un numero di telefono ceco etichettato Valentina, log di intercettazione attivi, interfacce per monitorare WhatsApp in tempo reale. Il post è stato rimosso in pochi minuti. Era già ovunque.

Meraviglioso, disse Paolo, la società più sofisticata nel campo della sorveglianza invisibile è stata scoperta da un post su LinkedIn.

Sì, disse Francesco.

Dal bancone, senza alzare gli occhi, Gigi disse, anch’io ho LinkedIn.

Nessuno dei tre rispose, che non c’era niente da aggiungere.

Candiru⁵, sempre israeliana, continuò Francesco, Intellexa⁶ con il suo Predator, FinFisher⁷, Hacking Team⁸, ognuna con la propria storia, la propria geografia, la propria lista di clienti che preferisce non rendere pubblica. Oltre ottanta paesi hanno acquistato vulnerabilità, exploit, spyware sul mercato commerciale. Il mercato vale oltre cento miliardi di dollari. E questa, disse, è solo la parte visibile.

Rita smise di scrivere. Tutte dichiarano di vendere solo a governi verificati, disse. Di avere criteri etici. Di rifiutare i clienti sbagliati.

Sì, disse Francesco.

E poi, disse Rita.

E poi succede Valentina, disse Paolo.

C’è un dettaglio che riguarda anche noi, disse Francesco. Paragon è stata usata contro Francesco Cancellato, direttore di Fanpage.it, sito di giornalismo investigativo italiano noto per le inchieste sul partito di governo. Intercettato con uno zero-click exploit, il che significa che non ha fatto niente, non ha aperto nessun allegato, non ha cliccato su nessun link. Il telefono era semplicemente in tasca. E adesso Paragon non collabora con le autorità italiane che stanno indagando. L’Italia non è un caso isolato: Spagna, Grecia, Polonia, Messico. Democrazie, non solo regimi.

Paolo non disse niente. Guardò il bicchiere.

Per la prima volta da quando si traccia lo sfruttamento di zero-day, disse Francesco, i vendor commerciali di sorveglianza hanno superato i gruppi di spionaggio statali tradizionali nel numero di vulnerabilità sfruttate. È un sorpasso. Il mercato privato ha superato gli stati, o forse è più corretto dire che i confini tra i due hanno smesso di essere leggibili.

Rita scrisse qualcosa, lentamente. Poi disse, e allora chi controlla chi.

Nessuno rispose, che non era una domanda.

Poi c’è il caso Williams, disse Francesco.

Paolo aspettava.

Peter Williams, trentanove anni, australiano, lavorava per L3Harris⁹, una società americana di difesa che sviluppa strumenti offensivi classificati, venduti esclusivamente al governo degli Stati Uniti e agli alleati selezionati. Tra il 2022 e il 2025 ha rubato otto componenti di exploit zero-day dalla propria azienda e li ha venduti a Operation Zero¹⁰, un broker russo con sede a San Pietroburgo, di proprietà di Sergey Zelenyuk.

Ha preso un milione e trecentomila dollari in criptovaluta, disse Francesco. Con quei soldi ha comprato una casa, orologi di lusso, gioielli. A febbraio di quest’anno è stato condannato a ottantasette mesi di prigione. Gli americani hanno sanzionato Operation Zero e Zelenyuk.

Paolo guardò il caffè. Operation Zero, disse. Il nome è quasi elegante.

Il dettaglio elegante, disse Rita senza alzare gli occhi dal taccuino, è che Operation Zero dichiarava pubblicamente di vendere solo a paesi non-NATO. Il che significa che i clienti erano noti a priori. Non era un segreto. Era la proposta commerciale.

Francesco annuì. Esatto, disse. È un mercato. Con regole proprie, con segmenti di clientela definiti, con politiche di vendita dichiarate. La parte illegale nel caso Williams non era il mercato in sé. Era che gli otto exploit erano stati rubati, erano proprietà di un’azienda americana, erano classificati. Il reato era il furto, non la vendita.

Il mercato in sé, disse Paolo lentamente, non era il problema.

Non per la legge americana, disse Francesco. No.

Il problema dell’etica dichiarata, disse Paolo a un certo punto, è che non costa niente dichiararla.

Francesco annuì. NSO ha rifiutato trecento milioni di dollari di contratti per ragioni etiche, almeno così dice. Paragon si descriveva come l’alternativa responsabile. Tutti vogliono fare le cose diversamente. Il mercato però è quello che è.

L’etica praticata, disse Rita senza alzare gli occhi, è un’altra cosa.

Gigi passò con lo straccio sul bancone senza dire niente. Anche quello era una risposta.

Francesco allungò una mano verso il taccuino per indicare qualcosa, e Rita stava già scrivendo, e per un momento le loro mani occuparono lo stesso spazio senza toccarsi, come due traiettorie calcolate male o calcolate benissimo, dipende da dove ci si mette a guardare. La mano di lui era ferma, la penna di lei si era fermata, e in quel fermo c’era qualcosa che non aveva bisogno di muoversi per esistere. Il bancone di Gigi era uno sfondo. Paolo era uno sfondo. Il portatile era uno sfondo. C’era solo quello spazio stretto tra due mani che non si toccavano, geometrico e silenzioso come una fotografia in bianco e nero scattata da qualcuno che sapeva cosa stava guardando.

Poi lei disse una cosa sola, precisa come un bisturi, che cambiò l’angolazione di tutto quello che era stato detto fino a quel momento.

E Francesco la guardò.

La luce del bar di Gigi era quella luce gialla di fine sera che non perdona niente e non nasconde niente, e in quella luce i capelli di Rita erano rosso fiamma, un rosso che non chiedeva permesso, che scendeva su una spalla e lei non li sistemava mai come se non fosse una questione che meritasse attenzione. Il completo gessato aveva la giacca abbottonata fino al secondo bottone e poi smetteva, e le scarpe rosse col tacco dodici erano appoggiate sul pavimento con la precisione di chi sa esattamente dove mettere i piedi, anche quando il pavimento è quello antico e irregolare del bar di Gigi che zoppica da trent’anni. La penna era ferma tra le dita. Gli occhi erano sul taccuino, su quello che aveva scritto lei, come se la cosa importante fosse già lì e il resto del mondo (il bar, la sera, Roma fuori) fosse un dettaglio di contorno che non aveva chiesto di essere incluso nel quadro ma c’era lo stesso, prezioso e inutile come i dettagli che non servono e non si dimenticano.

Paolo stava dicendo qualcosa. Francesco non lo sentiva.

Rita chiuse il taccuino un momento, gesto raro, e Francesco la guardò come si guarda qualcosa che ha già trovato il suo posto nel mondo, silenziosamente, senza rumore. Rita guardò fuori dal vicolo. Una coppia passava lenta, mano nella mano, indifferente a tutto. Poi riaprì il taccuino e disse, e i dati personali.

Qui, disse Francesco, cambia la merce. Non si vendono vulnerabilità nei sistemi. Si vendono vulnerabilità nelle persone.

Spiegati, disse Paolo.

Esiste un mercato, anch’esso legale, in cui società specializzate raccolgono informazioni sulle persone e le rivendono a terzi. Si chiamano data broker. Comprano e aggregano dati da fonti diverse, costruiscono profili dettagliati su milioni di individui, e li vendono a chi li vuole comprare. Inserzionisti, aziende di marketing, ma anche governi, fondi di investimento, agenzie di intelligence straniere.

Straniere, disse Rita.

La California, disse Francesco, ha un registro pubblico obbligatorio dei data broker che operano sul suo territorio. A marzo di quest’anno è uscito l’aggiornamento per il 2026. Nel registro c’è una sezione nuova: i broker devono dichiarare se hanno venduto dati a entità in paesi stranieri considerati avversari degli Stati Uniti. Russia, Cina, Corea del Nord, Iran.

E, disse Paolo.

Trentatré broker hanno dichiarato di sì, disse Francesco.

Paolo rimase fermo.

Legalmente, disse Francesco. Non è vietato. La legge californiana impone la trasparenza, non il divieto. Trentatré società hanno scritto nel registro pubblico: abbiamo venduto dati di cittadini americani a entità in Russia, Cina, Corea del Nord o Iran nel corso del 2025.

Rita scrisse lentamente, con la stessa cura con cui si scrive qualcosa che non si vuole dimenticare. Poi disse, e che tipo di dati.

Quasi tutti i trentatré raccolgono identificatori di dispositivo, disse Francesco. Cinque raccolgono geolocalizzazione precisa. Che significa: sanno dove vai, quando, con quale frequenza. Se lavori vicino a una base militare. Se vai regolarmente in un certo edificio governativo. Se i tuoi spostamenti indicano qualcosa di interessante per qualcuno che non sai che ti sta guardando.

Gigi si avvicinò per ritirare i bicchieri e si fermò un momento in più del solito, la mano ferma sul vassoio. Poi tornò al bancone senza dire niente, che aveva imparato anche lui che certe conversazioni vanno lasciate finire da sole.

Allora il punto è questo, disse Paolo dopo un po’. Da una parte c’è chi compra vulnerabilità nei sistemi informatici. Dall’altra c’è chi compra vulnerabilità nelle persone. In entrambi i casi il cliente finale può essere la Russia, può essere la Cina, può essere chiunque abbia abbastanza soldi e abbastanza interesse.

E in entrambi i casi, disse Rita, parte dell’operazione è legale.

In entrambi i casi, disse Francesco, c’è qualcuno che ha trovato un modo per stare nel mezzo. Tra chi ha qualcosa da vendere e chi ha qualcosa da comprare. E quel qualcuno lavora in un posto dove il quadro normativo lo consente.

Paolo si appoggiò allo schienale.

Per gli zero-day, disse, non esiste una legge che li vieti. In nessun posto. Vendere una vulnerabilità è legale quasi ovunque, perché nessuno ha ancora deciso se gli exploit siano armi, merci, o linguaggio. C’è un accordo internazionale, si chiama Wassenaar, quarantadue paesi che hanno detto che bisognerebbe regolare il commercio di software offensivo. Volontario. Non vincolante. Ogni paese lo applica come gli pare, il che è un altro modo per dire che non lo applica.

E chi compra, disse Rita, senza alzare gli occhi.

Tutti, disse Paolo. Israele, Gran Bretagna, Russia, India, Brasile. Malaysia, Singapore. I servizi di intelligence del Medio Oriente. La Corea del Nord. E gli Stati Uniti, che sono stati i primi a entrare nel mercato e che comprano più di tutti. Non è un mercato di stati canaglia. È un mercato di stati.

Rita scrisse qualcosa.

Per i data broker, continuò Paolo, la geografia è più definita. Gli Stati Uniti non hanno una legge federale sulla privacy. Nessuna. La regolazione è affidata ai singoli stati, e la maggior parte dei singoli stati ha deciso che non è una priorità. L’Europa ha il GDPR, che è più severo, ma i broker trovano il modo di navigarci intorno, perché il GDPR protegge i dati degli europei in teoria meglio di quanto riesca a farlo in pratica. Il risultato è che i paradisi normativi per entrambi i mercati sono quasi sempre gli stessi: gli Emirati Arabi Uniti, Singapore, qualche isola offshore. E, per i dati personali, gli stessi Stati Uniti a livello federale.

Francesco lo guardò. Lo stesso posto, disse.

Spesso lo stesso posto, disse Paolo. Il che non è una coincidenza. È una scelta.

Gigi portò il conto di un altro tavolo, passando accanto ai tre senza guardarli, che aveva imparato da tempo che certe frasi non vogliono testimoni, o almeno non vogliono essere viste mentre le si ascolta.

Rita guardò quello che aveva scritto nel taccuino. Poi disse, l’AI ha trovato tutto questo.

Ha trovato i collegamenti, disse Francesco. I pezzi esistevano già, sparsi. Il caso Williams era su SecurityWeek, su The Hacker News, sul sito del Dipartimento di Stato americano. Le società erano su CyberScoop, su TechCrunch, su Lawfare. I trentatré broker erano nel registro pubblico della California. Non era materiale nascosto. Era materiale che richiedeva di sapere dove guardare e di avere il tempo di guardare.

Prima dell’AI non lo aveva nessuno, disse Francesco. Ti faccio un esempio. Hai letto come Israele ha seguito Khamenei prima di ucciderlo? Hanno hackerato quasi tutte le telecamere del traffico di Teheran, anni prima. Il flusso video arrivava cifrato a server in Israele. L’AI costruiva i profili comportamentali: chi erano le guardie del corpo, dove parcheggiavano, a che ora arrivavano, quali percorsi facevano. Una telecamera in particolare inquadrava il cortile del compound. Teheran ha centoventiduemila telecamere cittadine. Per monitorarle anche solo in parte, ventiquattro ore su ventiquattro, servirebbero trecento operatori in rotazione continua, solo per guardare. Per analizzare i pattern nel tempo, incrociare i dati, costruire i profili: altri centinaia di analisti, per mesi. L’AI lo ha fatto in automatico, per anni, senza sosta. Un funzionario israeliano ha detto al Financial Times: conoscevamo Teheran come conosciamo Gerusalemme.

È la stessa cosa, disse Francesco. L’AI diventa eccezionale quando tu sai fare una cosa e le chiedi di aiutarti a farla meglio, o più in fretta, o su una scala che da soli non potresti mai raggiungere. Non ti sostituisce. Ti moltiplica.

Rita chiuse il taccuino. Questa, disse, è anche una storia sull’AI. Non su come l’AI sostituisce il giornalismo. Su come lo rende possibile quando le connessioni sono troppe e il tempo è troppo poco.

Francesco non rispose subito. Fuori nel vicolo qualcuno stava chiudendo un negozio, il rumore metallico della serranda che scendeva, uno dei suoni di Roma che esistono da sempre indipendentemente da tutto il resto, indipendentemente dai mercati e dalle vulnerabilità e dalle leggi e da tutto quello che cambia.

I dettagli fanno la differenza, disse infine. Anche il dettaglio di come li trovi.

Sul tavolo era rimasto il portatile aperto. Sullo schermo la conversazione con l’AI scorreva ancora, domande e risposte, e in mezzo a tutto quel testo un filo sottile che andava da un broker russo sanzionato a un pannello di sorveglianza postato per errore su LinkedIn a un registro pubblico in California a una condanna di ottantasette mesi in un tribunale di Washington. Un filo che nessuno aveva tracciato prima, o forse sì, ma che adesso era lì, visibile, stampato su uno schermo in un bar di Trastevere alle undici di sera, mentre fuori Roma continuava a non dormire del tutto, come fa da sempre.

Gigi spense una delle luci in fondo alla sala, segnale che era tardi, che tra poco avrebbe chiuso, che il mondo fuori continuava per conto suo.

Rita rimise la penna in tasca. Paolo si alzò per primo. Francesco chiuse il portatile.

Il mercato, disse Paolo mentre si avviavano verso la porta, esiste da prima che noi ne parlassimo. Esisterà dopo.

Certo, disse Francesco.

Ma adesso qualcuno lo sa, disse Rita.

E uscirono nel vicolo, nel caldo umido di maggio, nella Roma che non dorme mai del tutto, ognuno con i propri pensieri, che erano poi tutti e tre lo stesso pensiero formulato in modi diversi, e questo è il meglio che si può sperare da una serata al bar di Gigi. Francesco rimase l’ultimo a varcare la soglia, un secondo appena, il tempo di niente.

Note

[1] Zerodium – Broker di vulnerabilità zero-day con sede a Washington DC. Fondato dal francese Chaouki Bekrar, già fondatore di VUPEN Security, azienda francese specializzata in exploit offensivi. Pubblica online un listino prezzi aggiornato per l’acquisto di vulnerabilità: fino a 2,5 milioni di dollari per un exploit zero-click su iOS. I clienti sono esclusivamente governi e agenzie di intelligence. Bekrar ha lasciato la guida della società.

→ Wikipedia: https://en.wikipedia.org/wiki/Zerodium → CyberScoop (contesto mercato): https://cyberscoop.com/crowdfense-zero-day-exploit-dubai-uae/

[2] Crowdfense – Broker di vulnerabilità zero-day con sede a Dubai, Emirati Arabi Uniti. Fondato da Andrea Zapparoli Manzoni, professionista italiano della cybersecurity. Si distingueva dalla concorrenza per una dichiarata politica di trasparenza e selezione dei clienti. Ha lanciato un fondo da 10 milioni di dollari per l’acquisto di exploit, con prezzi fino a 3 milioni di dollari per vulnerabilità su iOS e Android. Il fondatore ha lasciato il settore nel 2022, citando l’ingresso massiccio dei governi nel mercato come ragione principale.

→ CyberScoop: https://cyberscoop.com/crowdfense-zero-day-exploit-dubai-uae/ → LinkedIn Andrea Zapparoli Manzoni: https://www.linkedin.com/in/azmanzoni/

[3] NSO Group – Azienda israeliana fondata nel 2010 da Niv Carmi, Shalev Hulio e Omri Lavie (il nome è l’acronimo dei fondatori). Ha sviluppato Pegasus, spyware con capacità zero-click capace di compromettere iPhone e Android senza alcuna interazione da parte della vittima. Documentato su giornalisti, attivisti, capi di stato. Nel 2024 un tribunale californiano ha condannato NSO a risarcire Meta con 167 milioni di dollari per lo sfruttamento di vulnerabilità di WhatsApp. Nel 2025 è stata acquisita da investitori americani vicini all’amministrazione Trump.

→ TechCrunch, gennaio 2026: https://techcrunch.com/2026/01/08/critics-pan-spyware-maker-nsos-transparency-claims-amid-its-push-to-enter-us-market/ → Dark Reading, marzo 2026: https://www.darkreading.com/threat-intelligence/commercial-spyware-opponents-fear-us-policy-shifting → Wikipedia: https://en.wikipedia.org/wiki/NSO_Group

[4] Paragon Solutions – Azienda israeliana fondata nel 2019 da Ehud Schneorson, ex comandante dell’Unità 8200 dell’intelligence militare israeliana. Il suo spyware, Graphite, opera via WhatsApp con exploit zero-click. Si presentava come l’alternativa etica al mercato. A febbraio 2026 il suo general counsel ha postato per errore su LinkedIn uno screenshot del pannello operativo con intercettazioni attive. Non collabora con le autorità italiane che indagano sull’utilizzo del software contro giornalisti italiani.

→ TechCrunch, aprile 2026: https://techcrunch.com/2026/04/28/paragon-is-not-collaborating-with-italian-authorities-probing-spyware-attacks-report-says/ → Türkiye Today (LinkedIn OPSEC fail), febbraio 2026: https://www.turkiyetoday.com/business/israeli-spyware-firm-paragon-accidentally-exposes-surveillance-dashboard-on-linkedin-3214622

[5] Candiru (ora Saito Tech) – Azienda israeliana fondata nel 2014 da Eran Shorer e Yaakov Weizman. Il nome si riferisce al candiru, un piccolo pesce parassita del bacino amazzonico. Per anni senza sito web né presenza pubblica. Il logo aziendale è la sagoma del pesce a forma di C. Documentata contro giornalisti e attivisti in Medio Oriente, Asia ed Europa. Sanzionata dagli Stati Uniti nel 2021. Nel 2025 acquisita dalla società americana Integrity Partners per circa 30 milioni di dollari, con trasferimento di asset e dipendenti a una nuova entità non soggetta alle sanzioni.

→ Citizen Lab, luglio 2021: https://citizenlab.ca/research/hooking-candiru-another-mercenary-spyware-vendor-comes-into-focus/ → Wikipedia: https://en.wikipedia.org/wiki/Candiru_(spyware_company) → BankInfoSecurity, agosto 2025: https://www.bankinfosecurity.com/candiru-spyware-infrastructure-uncovered-a-29142

[6] Intellexa – Consorzio di aziende di sorveglianza fondato da Tal Dilian, ex ufficiale dell’intelligence militare israeliana. Operava inizialmente da Cipro e Grecia. Prodotto principale: Predator, spyware concorrente di Pegasus. Sanzionata dagli Stati Uniti nel 2024. L’amministrazione Trump ha parzialmente revocato le sanzioni a dicembre 2025.

→ Sekoia.io, settembre 2025: https://blog.sekoia.io/predators-for-hire-a-global-overview-of-commercial-surveillance-vendors/ → Dark Reading, marzo 2026: https://www.darkreading.com/threat-intelligence/commercial-spyware-opponents-fear-us-policy-shifting

[7] FinFisher / Gamma Group – FinFisher GmbH con sede a Monaco di Baviera, commercializzata dalla britannica Gamma Group. Prodotto principale: FinSpy, spyware venduto a governi documentato in uso contro attivisti in Bahrain, Etiopia, Turchia, Egitto. Hacked nel 2014 dallo stesso hacker che aveva poi colpito Hacking Team, Phineas Fisher, con pubblicazione di dati e liste clienti. Nel marzo 2022 ha dichiarato fallimento a seguito di un’indagine penale della Procura di Monaco per esportazione illegale verso la Turchia senza autorizzazione governativa. Nel maggio 2023 quattro ex manager sono stati rinviati a giudizio.

→ Wikipedia (IT): https://it.wikipedia.org/wiki/FinFisher → Citizen Lab: https://citizenlab.ca/2013/03/you-only-click-twice-finfishers-global-proliferation-2/ → ECCHR: https://www.ecchr.eu/en/case/surveillance-software-germany-turkey-finfisher/

[8] Hacking Team – Fondata a Milano nel 2003 da David Vincenzetti e Valeriano Bedeschi. È un’azienda italiana. Prodotto principale: Remote Control System (RCS), soprannominato Galileo. Al suo apice vendeva a 41 governi in tutto il mondo, tra cui Sudan, Etiopia, Arabia Saudita, Russia, Azerbaigian, e agenzie americane come la DEA. Nel luglio 2015 è stata violata da Phineas Fisher: 400 gigabyte di dati interni, email, codice sorgente e lista clienti pubblicati online. La vicenda ha rivelato vendite al Sudan in violazione delle sanzioni ONU. Acquisita nel 2019 e rinominata Memento Labs, di fatto inattiva. Nel novembre 2023 Vincenzetti è stato arrestato con l’accusa di tentato omicidio, colpendo con uno dei 195 coltelli da combattimento della propria collezione la moglie del cugino. La storia ha più strati di quanti ne servano.

→ Wikipedia (IT): https://it.wikipedia.org/wiki/Hacking_Team → Vice/Motherboard: https://www.vice.com/en/article/hacking-team-is-dead/ → TechCrunch, novembre 2023: https://techcrunch.com/2023/11/29/founder-of-spyware-maker-hacking-team-arrested-for-attempted-murder-local-media/

[9] L3Harris Technologies – Azienda americana della difesa con sede a Melbourne, Florida. Nata dalla fusione di L3 Technologies e Harris Corporation nel 2019. Tra i principali contractor del governo degli Stati Uniti in ambito difesa, intelligence e sicurezza. Sviluppa strumenti offensivi classificati riservati esclusivamente al governo americano e agli alleati selezionati. Fatturato 2024: circa 21 miliardi di dollari.

→ Wikipedia: https://en.wikipedia.org/wiki/L3Harris_Technologies

[10] Operation Zero – Broker russo di vulnerabilità zero-day con sede a San Pietroburgo, di proprietà di Sergey Zelenyuk. Dichiarava esplicitamente di vendere esclusivamente a clienti non-NATO, rendendo pubblica la propria politica commerciale. Sanzionato dagli Stati Uniti nel febbraio 2026 in seguito alla condanna di Peter Williams, il contractor che aveva venduto alla società otto exploit zero-day classificati sottratti a L3Harris.

→ SecurityWeek, febbraio 2026: https://www.securityweek.com/us-sanctions-russian-exploit-broker-operation-zero/ → U.S. Department of the Treasury (OFAC): https://home.treasury.gov/news/press-releases/sb0404

Fonti

Caso Williams / Operation Zero