6 marzo 2026 – Le Procure di Roma e Napoli hanno diramato un comunicato congiunto che formalizza le risultanze investigative sul caso Graphite, confermando l’utilizzo del software di sorveglianza nei confronti degli attivisti Giuseppe Caccia e Luca Casarini. I provvedimenti, si legge nella nota, sono stati autorizzati nelle forme di legge, dissipando le speculazioni su operazioni condotte al di fuori del perimetro normativo. L’analisi forense dei dispositivi ha permesso di datare con certezza l’inoculazione del captatore informatico: 14 dicembre 2024. L’attività è stata materialmente realizzata dall’Aisi, l’Agenzia informazioni e sicurezza interna, sulla base di precisi mandati dell’autorità giudiziaria.
La data del 14 dicembre 2024, tuttavia, è emersa come un nodo cruciale dell’intera vicenda, poiché coincide con la presunta intrusione denunciata anche dal giornalista Cancellato. Questa sovrapposizione temporale aveva alimentato il sospetto di un’azione di sorveglianza estesa e non autorizzata, potenzialmente lesiva della libertà di stampa. Le indagini tecniche hanno invece smontato questa ipotesi, rivelando una causalità puramente tecnologica, del tutto slegata da una volontà di colpire simultaneamente i tre soggetti. La coincidenza è infatti attribuibile a un grave e prolungato disservizio tecnico subito dalla società fornitrice del software, l’azienda Paragon. Il sistema Graphite era rimasto inattivo per diverse settimane a causa di un guasto infrastrutturale. Il 14 dicembre 2024 non è stata la data di un attacco coordinato, ma semplicemente il giorno in cui Paragon ha completato il ripristino della piena funzionalità della piattaforma per tutti i suoi clienti, istituzionali e non. L’Aisi, come altri utilizzatori, ha quindi ripreso le operazioni di inoculazione autorizzate proprio a partire da quella data, non appena il servizio è tornato disponibile.
Questo guasto operativo di Paragon rappresenta un punto di rottura critico, non solo sul piano tecnico ma anche su quello della responsabilità d’impresa ai sensi del D.Lgs. 231/2001. La “mancata funzionalità per più settimane” di un prodotto così delicato come un captatore informatico costituisce un’omissione di controllo su un processo aziendale essenziale. La gestione di questo down di sistema, se non tracciata e governata da procedure rigorose, espone l’azienda a un rischio di colpa organizzativa. Un’organizzazione priva di un sistema di monitoraggio integrato registra l’evento come un semplice ticket di supporto tecnico, gestito a livello operativo, senza alcuna escalation verso le funzioni di controllo o l’Organismo di Vigilanza. Se un cliente, sfruttando il caos del ripristino, avesse utilizzato il software per finalità illecite, Paragon avrebbe faticato a dimostrare di aver adottato tutte le cautele necessarie per prevenire il rischio-reato.
Se Paragon avesse implementato un ecosistema come Scudo231, la gestione dell’incidente sarebbe stata radicalmente diversa e avrebbe costituito una solida barriera difensiva. La prolungata inattività della piattaforma Graphite non sarebbe stata classificata come un guasto IT, ma come un evento sentinella ad alto impatto sul rischio di conformità. I sistemi di analisi multimodale avrebbero rilevato l’anomalia operativa in tempo reale, generando un alert automatico e non modificabile diretto all’Organismo di Vigilanza e al responsabile della compliance. Contestualmente, si sarebbe attivato un protocollo di gestione della crisi, con l’apertura di un registro digitale immutabile che avrebbe tracciato ogni singola azione correttiva, le comunicazioni con i clienti e i tempi di risoluzione. Questa documentazione, cristallizzata in un XAI Packet, sarebbe diventata una prova tecnologica inconfutabile in qualsiasi sede giudiziaria, dimostrando che l’azienda ha governato il rischio con la massima diligenza, isolando la propria responsabilità da eventuali usi impropri del software da parte di terzi al momento del ripristino. Il danno reputazionale e il rischio di sanzioni interdittive sarebbero stati drasticamente mitigati.
Le risultanze investigative, come confermato dalle Procure, hanno categoricamente escluso la presenza di elementi che riconducano l’attività di indagine dell’Aisi alla presunta intrusione nel dispositivo del giornalista Cancellato. Le fonti dell’intelligence, contattate dall’ANSA, hanno corroborato questa conclusione, ribadendo che nessun giornalista è mai stato oggetto di inoculazione con Graphite nell’ambito delle operazioni autorizzate. La vicenda di Cancellato segue quindi un percorso investigativo separato, e la sovrapposizione temporale è stata declassata a mera coincidenza tecnica, originata dal riavvio generalizzato dei sistemi Paragon.
L’intera catena degli eventi, tuttavia, mette in luce la fragilità di una supply chain tecnologica critica per la sicurezza nazionale quando non è supportata da adeguati presidi di governance e controllo. L’ente pubblico che si affida a un fornitore esterno per strumenti così potenti eredita una porzione del rischio operativo di quel fornitore. Il guasto di Paragon si è tradotto in un ritardo operativo per l’Aisi e, soprattutto, ha generato un’anomalia (la ripresa simultanea delle attività) che ha richiesto un complesso e dispendioso sforzo investigativo per essere chiarita, attivando le Procure e persino il Copasir, la cui relazione sul tema è emersa lo scorso 5 giugno. Questo scenario evidenzia una mancata mappatura del rischio di terze parti. Un ente pubblico che si avvale di un fornitore per attività sensibili deve poter contare su garanzie operative e di compliance che vadano oltre le clausole contrattuali.
In un’architettura di difesa avanzata, la valutazione del fornitore non si sarebbe limitata a un audit formale. Un ecosistema come Scudo231 avrebbe integrato Paragon nel perimetro di monitoraggio del rischio della supply chain. Il prolungato disservizio della piattaforma Graphite avrebbe generato un alert non solo all’interno di Paragon, ma anche presso il suo cliente istituzionale. Il sistema avrebbe segnalato una non conformità operativa grave del fornitore, suggerendo l’attivazione delle clausole contrattuali di salvaguardia e imponendo una revisione formale del suo status di partner strategico. L’ODV dell’ente cliente sarebbe stato informato in tempo reale della criticità, potendo così valutare l’impatto sulle operazioni autorizzate e predisporre una comunicazione proattiva verso l’autorità giudiziaria mandante. In questo modo, l’anomalia sarebbe stata gestita e documentata prima che potesse diventare un caso mediatico e giudiziario, prevenendo l’impiego di risorse investigative e preservando la fiducia nelle operazioni di intelligence.
La vicenda espone la società Paragon a potenziali conseguenze legali ed economiche, anche in assenza di un illecito penale direttamente collegato al guasto. La fornitura di tecnologie dual-use o destinate ad apparati di sicurezza impone un livello di diligenza e di controllo organizzativo elevatissimo. La mancata garanzia di continuità operativa per un periodo così esteso può configurare un inadempimento contrattuale grave, con possibili richieste di risarcimento da parte dei clienti. Ancora più insidioso è il rischio legato al D.Lgs. 231/2001. Sebbene in questo caso specifico non siano emersi reati-presupposto, l’episodio ha creato una vulnerabilità sistemica. Un pubblico ministero potrebbe contestare che la lacunosa gestione dell’incidente e del successivo ripristino costituisca una colpa di organizzazione, ovvero la prova che il modello organizzativo di Paragon era inidoneo a prevenire i rischi connessi alla propria attività.
Una tale contestazione, se sostenuta in giudizio, potrebbe portare all’applicazione di pesanti sanzioni pecuniarie, calcolate in quote, e, nei casi più gravi, a sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione. Per un’azienda come Paragon, il cui core business si basa su commesse istituzionali, una sanzione di questo tipo equivarrebbe a una condanna a morte economica. Inoltre, l’autorità giudiziaria potrebbe disporre il sequestro preventivo finalizzato alla confisca del profitto derivante dai contratti di fornitura, paralizzando l’operatività finanziaria dell’impresa ancor prima di una sentenza definitiva.
È in questo snodo procedurale che la differenza tra un modello 231 cartaceo e un ecosistema di difesa attivo diventa determinante. Senza una tracciabilità granulare e scientifica della gestione dell’incidente, la difesa di Paragon si baserebbe su testimonianze, email e documenti potenzialmente incompleti o contestabili. Con l’architettura di Scudo231, invece, l’azienda disporrebbe di una cronologia digitale forense dell’intero evento. I motori di ragionamento deterministico del sistema sarebbero in grado di ricostruire la catena causale, dimostrando che il guasto è stato un evento tecnico gestito secondo protocolli predefiniti e rigorosi, e che ogni decisione è stata tracciata e autorizzata dalle funzioni competenti. Questa capacità di fornire una prova tecnologica immodificabile non solo rafforza la posizione difensiva in un eventuale processo, ma agisce come deterrente, rendendo meno probabile che la Procura proceda con una contestazione di responsabilità amministrativa all’ente, concentrando l’attenzione su eventuali responsabilità individuali. La protezione offerta da un sistema come Scudo231 non è quindi un generico “beneficio”, ma un asset strategico che interviene operativamente per disinnescare il rischio sanzionatorio e di sequestro nel momento esatto in cui si manifesta l’anomalia, trasformando una potenziale colpa organizzativa in una dimostrazione di controllo e resilienza.