Tech by VICE

L'italiano ostaggio di una vendita di spyware finita male

La storia di come il bodyguard Cristian Provvisionato è diventato vittima della corsa globale agli armamenti digitali.

di Lorenzo Franceschi-Bicchierai and Federico Formica
19 gennaio 2017, 7:39am

Illustration: Che Saitta-Zelterman

Read in English.

È la sera del 13 agosto 2015 e, dopo aver passato una giornata al mare in una località vicina a Genova, Cristian Provvisionato, 42 anni, una massiccia guardia del corpo dall'aspetto bonario, trova una chiamata persa del suo capo.

"Guarda ho un'urgenza, ho bisogno di qualcuno che vada in Mauritania," è il messaggio che Provvisionato dice di aver ricevuto da Davide Castro, una persona che lavora nella Vigilar, società che si occupa di security e investigazioni private.

Castro, 33 anni, assicura che sarà un lavoro facile. Provvisionato dovrà semplicemente sostituire un altro italiano che ha bisogno di tornare a casa. Poi dovrà accompagnare il tecnico di un'altra compagnia, la Wolf Intelligence, a un meeting con alcuni rappresentanti del governo locale. Lo scopo dell'incontro: presentare un prodotto che consentirà alla Mauritania di spiare il traffico internet e gli utenti che usano il cellulare.

"Tu comunque non ti preoccupare—scrive Castro in una mail successiva—io ci sono sempre e non sei da solo".

È un lavoro ben pagato: 1.500 euro a settimana più un bonus da 3.000 euro se la vendita va in porto. Nonostante si tratti di un Paese africano lontano e semi-sconosciuto, sembra un compito molto facile, tanto che la ragazza di Provvisionato lo spinge ad andare, dicendogli per scherzo: "Se non ci vai tu, ci vado io".

Non poteva sapere, Provvisionato, che quel lavoro così semplice in apparenza si sarebbe trasformato in un incubo.

La guardia del corpo italiana—a quanto pare in modo del tutto fortuito e senza averne mai saputo nulla—si è ritrovata infatti in mezzo a un intrigo internazionale pieno di ombre. Provvisionato sarebbe vittima di un accordo, a quanto pare mancato, che fa parte di un quadro più ampio: la corsa all'oro della sorveglianza digitale. Una competizione in cui compagnie di tutto il mondo vendono ad agenzie governative gli strumenti per hackerare e spiare criminali, terroristi e, a volte, dissidenti e giornalisti.

Sedici mesi dopo Provvisionato si trova ancora in Mauritania, trattenuto da un governo deluso dal fallimento di un accordo da diversi milioni di dollari. La guardia del corpo, comunque, non vive in una vera e propria prigione. È detenuto, non in cella, ma in una caserma in cui opera la polizia anti-terrorismo mauritana. Una condizione che il ministero degli Esteri italiano riassume in due parole, "custodia cautelare".

"Mi sono trovato nel momento sbagliato nel posto sbagliato" racconta a Motherboard Provvisionato dalla sua stanza, dove vive in attesa di capire se verrà prosciolto o rinviato a giudizio. Le accuse a suo carico sono associazione a delinquere, riciclaggio di denaro e truffa ai danni dello stato. "Sono stato mandato qua con l'inganno. Ero all'oscuro di tutto quello che c'era e ancora adesso è complicato capire cos'è successo veramente".

*

Una foto di Cristian Provvisionato e Alessandra Gullo scattata durante l'ultima visita della fidanzata in Mauritania, nei primi giorni del 2017. (Foto di Alessandra Gullo)

Negli ultimi anni molti governi in tutto il mondo hanno acquistato o negoziato l'acquisto di tecnologie per la sorveglianza molto simili a quella che Provvisionato avrebbe dovuto presentare in Mauritania. L'italiana Hacking Team, la tedesca FinFisher e l'israeliana NSO Group sono solo alcune aziende che forniscono i loro prodotti esclusivamente a governi. Queste società promettono software in grado di spiare malviventi e criminali in modo semplice e non troppo costoso. In diversi casi ben documentati, però, i governi di Paesi come Etiopia, Emirati Arabi Uniti o Messico hanno utilizzato questi strumenti—forniti da aziende private—per prendere di mira dissidenti, attivisti per i diritti umani e giornalisti.

La Mauritania, che si affaccia sull'oceano Atlantico nell'Africa occidentale, è quasi interamente occupata dal deserto del Sahara ed è, quindi, un Paese prevalentemente arido. Nonostante sia ampio più o meno quanto la California e il Texas messi insieme, il Paese ospita solo 3,6 milioni di persone, la maggior parte delle quali abitano nella capitale Nouakchott e a Nouadhibou, l'altra grande città.

Il presidente mauritano Mohamed Ould Abdel Aziz è stato eletto nel 2009. Un anno prima ha condotto un colpo di stato militare per deporre il leader precedente. Negli ultimi anni il governo di Aziz ha usato il pugno di ferro per combattere i terroristi di Al Qaeda nel Maghreb Islamico e l'ISIS, ma è anche stato accusato di torturare i prigionieri, di perseguitare gli attivisti anti-schiavitù e i blogger. Nonostante sia la 153esima economia del mondo secondo la Banca Mondiale, non sorprende che la Mauritania sia interessata a questa nuova ondata di strumenti di hackeraggio a buon mercato, considerato il clima politico che c'è nel Paese.

Avenue Charles de Gaulle a Nouakchott, Mauritania (Image: Bertramz/Wikimedia Commons)

Quello di Provvisionato è un caso isolato, ma dimostra come una persona normalissima possa diventare vittima—o subire i danni collaterali—della corsa agli spyware. Un'industria globale senza regole in cui spesso i principali beneficiari sono governi poco trasparenti, con cui le compagnie non si fanno scrupoli a fare affari.

"In questo nuovo mercato emergente della sorveglianza molti venditori alle prime armi agiscono con scarso riguardo per i diritti umani e la due-diligence dei loro potenziali clienti è minima o inadeguata" spiega Morgan Marquis-Boire, ricercatore e direttore della sicurezza a First Look Media. Marquis-Boire studia l'industria degli spyware da oltre cinque anni.

Alla fine del 2014 un esponente del governo mauritano aveva già contattato Hacking Team per avere informazioni sullo spyware prodotto dall'azienda italiana, noto come Remote Control System o RCS. Alla fine, comunque, non se ne fece nulla. Ahmed Bah dit Hmeida, un consigliere del presidente della Mauritania, rifiutò la proposta di Hacking Team giudicandola "troppo costosa", secondo quanto si legge dalle mail pubblicate da Wikileaks.

Hmeida, però, non si è dato per vinto e sembra che abbia continuato a sondare il mercato fin quando non si è imbattuto in Wolf Intelligence, un'azienda tedesca meno nota che sta cercando di emergere nel mercato della cyber-sorveglianza.

In una brochure, Wolf Intelligence pubblicizza soluzioni per sorvegliare persone sospette attraverso i loro indirizzi IP, email e programmi di messaggeria instantanea; ma anche per monitorare l'attività online, hackerare computer e telefoni cellulari e persino lanciare attacchi DDoS (Distributed Denial of Service).

"Cosa possiamo scoprire per te?" recita la brochure dell'azienda tedesca. "Terrorismo, corruzione, traffici di droga, contrabbando, pornografia minorile e molto altro ancora".

A giudicare dal materiale di marketing e da come ne parlano alcune fonti che abbiamo contattato, Wolf Intelligence è ancora una piccola azienda che sta tentando di farsi largo in un mercato di spyware che si fa sempre più affollato.

"Wolf Intelligence è una tipica società di spyware che è emersa in modo opportunistico approfittando del declino di di FinFisher e Hacking Team," spiega ancora Marquis-Boire a Motherboard.

"Se parliamo di prodotti, vende un sacco di porcate, mezze fregature."

Nonostante queste roboanti promesse Wolf Intelligence non sembra avere una buona reputazione tra gli addetti ai lavori. Il co-fondatore della società Manish Kumar (che appare in questo video promozionale) è "un delinquente della peggiore specie" secondo David Vincenzetti, CEO di Hacking Team che ha avuto a che fare con Manish alcuni anni fa. Motherboard ha parlato con altre tre persone che hanno fatto affari con Kumar nell'ambito della cyber-sorveglianza. Tutti ci hanno chiesto di non pubblicare il proprio nome per questioni di sicurezza, ma ognuno, senza conoscere il parere degli altri, ha descritto Kumar come "un truffatore".

"Se parliamo di prodotti, vende un sacco di porcate, mezze fregature," dice una di queste fonti.

Kumar, che su Skype si descrive come un "esperto di sicurezza informatica e hacking attraverso vulnerabilità non pubblicamente note," (chiamate "zero-day exploits" in gergo) non ha risposto alle diverse mail né alle telefonate che gli abbiamo fatto nell'ultimo mese per chiedergli un commento sulla vicenda.

*

GIF di Che Saitta-Zelterman

Agli inizi di dicembre 2014 la Mauritania e Wolf Intelligence raggiungono un accordo che prevede la fornitura di 13 soluzioni hardware e software per fare spionaggio, in cambio di 2,5 milioni di dollari. Nei mesi successivi Wolf Intelligence inizia a rilasciare i prodotti previsti dall'accordo e a ricevere i primi pagamenti. Questo, stando a una relazione scritta che Castro ha mandato al fratello di Cristian Provvisionato. Dalla mail che Cristian ha ricevuto da Castro il giorno prima della sua partenza per la Mauritania, sembra che Kumar avesse scelto la Vigilar di Castro come società intermediaria per vendere i prodotti di Wolf Intelligence in Europa e in Africa.

Castro non ha risposto alle diverse domande che gli abbiamo inviato via email, spiegando che la situazione "mi impone di collaborare esclusivamente con l'autorità giudiziaria per tentare di trovare una soluzione alla disgraziata situazione in cui si trova Cristian Provvisionato," ma non con giornalisti.

Secondo la relazione di Castro, il governo mauritano aveva già trattenuto i passaporti di alcuni impiegati di Wolf Intelligence come garanzia, al loro ingresso nel Paese nei primi mesi del 2015. Poi, il 2 febbraio del 2015, il rapporto tra il governo mauritano e la società tedesca inizia a guastarsi. Quel giorno, scrive Castro, Hmeida minaccia Kumar dicendogli che non avrebbe lasciato il Paese se prima non avesse rilasciato la tredicesima soluzione gratis.

Secondo un'altra fonte, un veterano nel settore del cyber-spionaggio che conosce i dettagli della vendita, dice che l'accordo era strutturato in 13 diversi rilasci perché Wolf Intelligence aveva pianificato di spacchettare il prodotto in diversi moduli. L'ultimo consisteva in uno strumento per hackerare da remoto telefoni cellulari, probabilmente Android. La fonte ha chiesto di restare anonima per motivi professionali.

Per qualche motivo, però, Kumar e Wolf Intelligence non rilasciano quest'ultima soluzione. Hmeida aveva risposto alla nostra prima telefonata, nella quale ci siamo presentati come giornalisti ma non siamo riusciti a sentire la sua voce. Da quel momento Hmeida non ha più risposto alle nostre telefonate né a due nostre email.

Xavier Lalanne-Tauzia/VICE

Nel frattempo Wolf Intelligence aveva già iniziato a collaborare con la Vigilar e Castro, che aveva anche aperto una nuova società in Spagna chiamata V-Mind (Vigilar Monitoring Intelligence Enforcement Division) a quanto pare proprio per lavorare con Kumar. V-Mind, secondo i registri della Camera di commercio spagnola, non esiste più. Castro sostiene di essere venuto a conoscenza dell'affare con la Mauritania solo nel momento in cui Kumar gli ha chiesto di mandare lì uno dei suoi uomini. Nella mail che ha mandato a Provvisionato, però, Castro spiega di aver ottenuto in esclusiva la gestione dell'Africa e dell'Europa per la vendita delle soluzioni prodotte da Wolf Intelligence.

Nel luglio 2015, quando Kumar chiede a Castro di mandare qualcuno dei suoi in Mauritania, Castro sceglie Leonida Reitano, un cittadino italiano che si presenta come giornalista ed esperto di open source intelligence (OSINT). Reitano ha svolto il ruolo di consulente occasionale in quattro occasioni, principalmente per attività di training a Davide Castro, secondo quanto ci spiega Reitano. I due si erano conosciuti a uno dei corsi di OSINT tenuti da Reitano, al quale Castro aveva partecipato.

Mentre è lì, Reitano pare preoccupato tanto che scrive a un'amica di non essere sicuro sulla data del suo ritorno perché "qua è tutto mezzo incasinato", a quanto si legge dallo screenshot di una chat ottenuta da Motherboard. (Reitano ha contattato Motherboard dopo la pubblicazione di questo articolo per precisare che non era, in realtà, preoccupato: "Quella frase semplicemente si riferiva ai ritardi relativi al meeting", ci ha scritto via mail.) A metà agosto, poi, Castro chiede a Provvisionato di sostituire Reitano, dicendo che quest'ultimo deve tornare in Italia per motivi personali. A quel punto, Reitano era rimasto in Mauritania per tre settimane senza che si fosse concluso l'affare. Nella sua relazione Castro scrive che la Mauritania non aveva pagato quanto previsto.

In quei giorni Castro era insieme a Manish Kumar nella città di Valencia in Spagna. Lo si evince dallo screenshot di una foto che i due hanno postato su Facebook. Foto che Castro ha condiviso con la fidanzata di Provvisionato per rassicurarla del fatto che conosceva bene Kumar.

Davide Castro (a destra) posa a Valencia, in Spagna, accanto a qualcuno che Castro aveva spacciato erroneamente per Manish Kumar.

Secondo la famiglia di Provvisionato, Castro sapeva in che guaio si stava mettendo la guardia del corpo e l'ha mandato in Africa con il preciso obiettivo di liberare Reitano.

La fidanzata di Provvisionato, Alessandra Gullo, ha rivelato a Motherboard: "Castro, qualche tempo dopo, ha detto: 'Ho litigato con i miei genitori perché volevo andarci io. Ci dovevo essere io al posto di Cristian".

"Che cosa gli impediva di andare?" si chiede Alessandra.

Reitano, da parte sua, dice di essere una "vittima" di questa storia.

"Per pura casualità la sorte toccata a lui non è toccata a me," dice Reitano a Motherboard in uno scambio di mail, aggiungendo di aver offerto alla famiglia Provvisionato una relazione di quanto accaduto, ma "se ne sono fottuti. Per cui per me il discorso finisce qui".

Reitano non ha accettato un'intervista telefonica o dal vivo né ci ha mandato la relazione, ma ha attaccato Castro dicendo che gli farà causa perché "chi mi ha cacciato dentro questa storia non è giusto che ne esca intatto".

In ogni caso Provvisionato prende il volo e arriva nella capitale mauritana Nouakchott il 16 agosto, dove viene accolto in aeroporto da Reitano e alcuni rappresentanti del governo locale che, dopo avergli preso il passaporto, lo portano nel suo appartamento. Alcuni giorni più tardi—ci racconta Provvisionato al telefono—mentre è in attesa del tecnico di Wolf Intelligence che si suppone debba incontrare, la guardia del corpo accompagna in aeroporto Reitano, di ritorno in Italia.

"Inizio a sentire puzza" scrive Provvisionato a suo fratello Maurizio in chat, secondo quando ci riferisce.

In una chat che Reitano ci ha fatto avere, successivamente alla pubblicazione di questo articolo, emerge che i due si erano sentiti, nei giorni in cui Cristian attendeva notizie dal suo appartamento di Nouakchott. Dall'Italia Reitano gli chiede se ci sono novità e, dal tono della conversazione, sembra che in quei giorni i rapporti tra i due fossero piuttosto cordiali. Nella chat Provvisionato scrive anche che è Kumar a proporre di andare in consolato per farsi restituire il passaporto e tornare al più presto in Italia.

"Lì ho scoperto che mi avevano fottuto alla grande."

Passati alcuni giorni nella vana attesa del fantomatico tecnico di Wolf Intelligence, "lasciato completamente solo in balia delle menzogne di Castro", come ci ha detto al telefono, Provvisionato prova a mettersi in contatto con il consolato italiano a Nouakchott, senza però trovare nessuno. È a quel punto che Hmeida si presenta nel suo appartamento.

Provvisionato ricorda bene le parole di Hmeida: "Non c'è nessun meeting". "O queste persone mi danno il prodotto che aspetto o i soldi indietro, oppure te non torni più in Italia, punto e basta".

"Lì ho scoperto che mi avevano fottuto alla grande", continua Provvisionato.

Dopo una telefonata con Castro, il quale prova a mediare e promette che risolverà tutto con Kumar, Hmeida continua a minacciare Provvisionato.

"Spero per te che sia vero perché se questi non mi danno il prodotto o i soldi indietro tu non torni più a casa", continua il mauritano secondo il racconto di Provvisionato.

Qualche giorno più tardi, il primo settembre, Castro incontra Kumar a Milano nel tentativo di sbrogliare la matassa, secondo la relazione scritta dallo stesso Castro. Lo stesso giorno, però, tre agenti di polizia mauritani, in vesti civili, raggiungono Provvisionato in appartamento e gli chiedono di seguirli. Contestualmente portano via il suo cellulare e il suo pc.

La guardia del corpo non fa resistenza e gli agenti non lo ammanettano neanche, ci dice Provvisionato, parlando da Nouakchott attraverso il cellulare che gli ha fornito il governo mauritano.

"Avevo capito cosa stava succedendo".

*

Ahmed Bah Dit Hmeida, il consigliere del presidente mauritano che ha negoziato l'accordo con Wolf Intelligence. Illustrazione di Che Saitta-Zelterman

Sedici mesi dopo Provvisionato è ancora lontano da casa sua, rinchiuso in una caserma di un'unità antiterrorismo mauritana, sempre in attesa che le autorità locali gli dicano qual è il suo destino.

Provvisionato, che soffre di diabete, dice di aver perso 30 chili durante la prima settimana successiva al suo arresto; tuttavia vive relativamente bene dalle autorità. Vive in una stanza con tre letti, anche se negli altri due non ci dorme nessuno e la sua famiglia gli manda delle scorte di cibo dall'Italia. Cristian utilizza uno scatolone come tavolino improvvisato, dove di solito appoggia un piatto, un bicchiere e un cruciverba, spiega la sua fidanzata Gullo che lo ha visitato diverse volte.

Gullo ricorda che la prima volta che è andato a trovare il fidanzato in Mauritania, il capitano della base l'ha persino rassicurata dicendo che Provvisionato "sta bene", aggiungendo: "Non ti preoccupare che torna a casa".

La famiglia di Provvisionato crede che la cortesia dei suoi carcerieri sia un segno del fatto che il governo mauritano sia ben consapevole che Provvisionato non ha commesso alcun crimine.

"Sanno che è innocente," dice il fratello della guardia del corpo.

Attraverso il ministero degli Esteri, il governo italiano ha dichiarato di lavorare da tempo per riportare Provvisionato a casa. Ma la famiglia dell'uomo pensa che il governo non abbia fatto abbastanza e ha sporto una denuncia in Procura, anche se le indagini—a quanto ci risulta—sono ancora ai primi passi.

Nel maggio del 2016 il fratello Maurizio è andato in Mauritania e, insieme col consigliere Paola Maria Russo, vicario dell'ambasciatore italiano in Marocco, hanno incontrato il ministro della Giustizia mauritano. Durante l'incontro, racconta Maurizio, il ministro gli ha detto: "Tuo fratello rimane qui finché qualcuno non ci risarcisce del danno che noi abbiamo subito".

"A me non me ne frega un cazzo di sapere cosa c'è stato. Non mi interessa. A me interessa che chi ha sporcato viene qua a pulire e basta."

Nel frattempo nessuno degli altri personaggi di questa storia ha voluto prendersi la responsabilità del ginepraio nel quale è finito Provvisionato.

Kumar sembra essere la chiave di volta di questa storia, ma nonostante Motherboard abbia provato più volte a contattarlo, non ha mai risposto, mantenendo un silenzio eloquente negli ultimi mesi. Eppure la storia di Provvisionato ha avuto diverse attenzioni da parte dei media italiani. In una delle sue poche dichiarazioni pubbliche sul tema, Kumar ha detto ad Africa Express che Provvisionato è stato "ingiustamente arrestato, perché non ha commesso nessun reato e non conosce neanche la faccenda".

Neanche Davide Castro ha risposto alla lunga lista di domande che Motherboard gli ha inviato via email, e ha declinato un'intervista telefonica.

Anche il padre di Castro, Francesco, che è il proprietario di Vigilar, ha rifiutato di rispondere alle nostre domande adducendo come motivazione alcune indagini in corso. Raggiunto al telefono, ci ha detto comunque che suo figlio è stato "raggirato".

"La Vigilar non c'entra assolutamente nulla, nulla. Mio figlio ha subito un grave, grosso raggiro da parte di questi maledetti indiani di Dubai, punto", ha spiegato Francesco Castro a Motherboard riferendosi a Wolf Intelligence e Kumar, che si sono rivelati "degli sfruttatori, dei millantatori, dei truffatori".

Francesco, a sinistra, e Davide Castro, a destra, ricevono un ospite negli uffici di Vigilar a Milano. (Foto: Vigilar/Facebook)

Francesco ha anche detto che "non ci sono mai stati" rapporti con Wolf Intelligence. Davide, però, aveva detto a Provvisionato in una email di aver fondato V-Mind in seguito a una serie di incontri con Wolf Intelligence a Milano, Dubai e in India e dopo essersi "conquistato la fiducia di Manish". Nella stessa email Davide aggiunge che Reitano aveva rappresentato Wolf Intelligence in una fiera sulla sicurezza in Sudafrica. Provvisionato ricorda anche che Davide gli aveva detto che Kumar per lui era "come un fratello",

A questo punto, il tipo di rapporto tra Vigilar e Davide Castro e Kumar e Wolf Intelligence risulta poco chiaro.

La famiglia di Provvisionato è convinta che i Castro abbiano mandato Cristian in Mauritania semplicemente per tirare fuori Reitano dal Paese. Provvisionato dice che dopo il suo arresto, né Davide né Francesco Castro lo hanno chiamato. "Neanche per scusarsi".

La madre di Provvisionato, Doina Coman, chiede: "Come lo chiama questo, se non uno scambio di prigionieri?".

Da destra a sinistra: i genitori di Provvisionato Doina Coman e Carmine Provvisionato e la fidanzata di Cristian Alessandra Gullo. (Foto di Lorenzo Franceschi Bicchierai/Motherboard)

È la fine di dicembre 2016. Mentre la gente corre ad acquistare gli ultimi regali di Natale, Motherboard incontra la fidanzata e i genitori di Provvisionato nel centro di Milano. Passeggiando attraverso le strade con la famiglia di Cristian, Doina con un profondo sospiro dice che le piacerebbe avere suo figlio a casa per le vacanze.

Alla fine, cosa sia realmente successo e chi abbia truffato chi, alla famiglia non importa.

"Alla fine io non vorrei neanche che me la dicessero [la verità]," dice Doina. "Vorrei che mi chiamassero e mi dicono: 'guarda che domani suo figlio rientra."

Com'è successo che una guardia del corpo si sia trasformato in una garanzia vivente in un affare multimilionario andato in fumo, passando mesi e mesi da detenuto in un Paese straniero, resta un mistero. L'unica cosa che sembra certa è che Provvisionato non ha nulla a che fare con tutto ciò.

"I veri, tra virgolette, criminali e truffatori sono tutti in giro a piede libero, l'unico che è stato truffato è quello che sta pagando," dice Provvisionato a Motherboard riferendosi a se stesso. "Se questa è giustizia," aggiunge mesto.

Ma neanche a Provvisionato sembra importare chi siano i veri criminali e truffatori.

"Secondo me la verità, in fondo, forse non verrà neanche mai fuori," aggiunge. "A me non me ne frega un cazzo di sapere cosa c'è stato. Non mi interessa. A me interessa che chi ha sporcato viene qua a pulire e basta. E me ne voglio tornare a casa alla mia vita."

Federico Formica è un giornalista freelance di Roma.

Una versione precedente di questo articolo identificava un uomo che posa accanto a Davide Castro in una foto di Facebook come Manish Kumar, ma in realtà è qualcun'altro. Ci scusiamo per l'errore.

Questo articolo è stato aggiornato per includere dei commenti e chiarimenti che Reitano ha mandato a Motherboard dopo la pubblicazione del pezzo.