Articolo Pubblicazioni

Criptofonini Sky ECC ed EncroChat: cosa hanno deciso le Sezioni Unite

di · Pubblicato l’8 luglio 2024

Abstract

Con due sentenze depositate il 14 giugno 2024 le Sezioni Unite della Cassazione hanno stabilito come possono essere usate nel processo penale italiano le chat dei telefoni cifrati Sky ECC ed EncroChat, raccolte dalle autorità francesi e trasmesse con ordine europeo di indagine. L’articolo descrive la tecnologia e le operazioni che hanno portato all’acquisizione dei dati, riassume i principi delle Sezioni Unite e della Corte di giustizia e indica le verifiche tecniche che la difesa e il consulente possono chiedere.

Vincenzo Calabrò | Criptofonini Sky ECC ed EncroChat: cosa hanno deciso le Sezioni Unite
 

I criptofonini

Sky ECC ed EncroChat erano servizi di comunicazione cifrata venduti su dispositivi modificati, spesso telefoni con fotocamera, microfono e GPS disattivati, che potevano comunicare solo con altri dispositivi dello stesso servizio. Gli abbonamenti costavano migliaia di euro l’anno e prevedevano funzioni come la cancellazione automatica dei messaggi e la cancellazione remota del dispositivo. Le indagini di diversi paesi europei hanno concluso che una larga parte degli utenti apparteneva a organizzazioni criminali.
Tra il 2020 e il 2021 le autorità francesi, in collaborazione con altri Stati e con il supporto di Europol ed Eurojust, sono riuscite ad accedere ai server dei due servizi, situati in Francia, e a raccogliere grandi quantità di messaggi, in parte in tempo reale e in parte già conservati. I dati sono stati poi condivisi con le autorità di altri paesi, tra cui l’Italia, che li ha richiesti con ordini europei di indagine.

Il problema giuridico

I giudici italiani si sono divisi sulla qualificazione di queste prove. Secondo un orientamento si trattava di documenti, acquisibili ai sensi dell’articolo 234-bis del codice di procedura penale. Secondo un altro si trattava di risultati di intercettazioni, soggetti alle relative garanzie. Le difese contestavano inoltre l’impossibilità di conoscere il modo in cui i dati erano stati raccolti e decifrati, coperto in Francia dal segreto di difesa nazionale. La questione è arrivata alle Sezioni Unite, che si sono pronunciate all’udienza del 29 febbraio 2024.

I principi delle Sezioni Unite

Le sentenze n. 23755 e 23756, depositate il 14 giugno 2024, affermano questi principi:
  1. l’acquisizione dei messaggi tramite ordine europeo di indagine riguarda la trasmissione di prove già raccolte da un’altra autorità e non richiede l’autorizzazione preventiva di un giudice italiano, perché il pubblico ministero può emettere l’ordine;
  2. l’articolo 234-bis non è applicabile, perché riguarda l’acquisizione di documenti e dati con il consenso del legittimo titolare;
  3. l’utilizzabilità va valutata secondo le regole sulla circolazione delle prove tra procedimenti, cioè l’articolo 238 e l’articolo 78 delle disposizioni di attuazione, e l’articolo 270 quando si tratta di intercettazioni;
  4. il giudice che utilizza la prova esercita un controllo successivo sul rispetto dei diritti fondamentali;
  5. vige una presunzione, che può essere superata, di conformità dell’attività svolta all’estero ai diritti fondamentali, con onere di allegazione a carico della difesa;
  6. l’impossibilità di conoscere l’algoritmo usato per decifrare i messaggi non comporta di per sé una violazione dei diritti fondamentali.

La Corte di giustizia

Il 30 aprile 2024 la Corte di giustizia dell’Unione europea, nella causa C-670/22 relativa a EncroChat, ha risposto a domande di un giudice tedesco. Ha stabilito che un ordine europeo di indagine per trasmettere prove già raccolte può essere emesso da un pubblico ministero, quando un pubblico ministero potrebbe disporre la stessa acquisizione in un caso interno analogo. Ha precisato che l’intercettazione di telecomunicazioni di persone che si trovano nel territorio di un altro Stato va notificata a quello Stato. Ha aggiunto che il giudice nazionale deve escludere le prove se la persona accusata non è in grado di svolgere osservazioni efficaci su di esse e se queste possono influire in modo preponderante sulla valutazione dei fatti.

Le verifiche tecniche

Le sentenze lasciano alla difesa l’onere di indicare elementi concreti di violazione. Per farlo servono argomenti tecnici, e il consulente può chiedere e verificare:
  • il formato in cui i dati sono stati trasmessi all’Italia, con i valori di hash dei file ricevuti e la documentazione della catena di custodia;
  • la corrispondenza tra gli identificativi dei dispositivi e le persone a cui vengono attribuiti, con i criteri usati per l’attribuzione;
  • la coerenza interna dei dati, come sequenze dei messaggi, orari, fusi orari e identificativi dei dispositivi;
  • la presenza di lacune o duplicazioni che possano indicare problemi di estrazione o di conversione;
  • i dati di localizzazione eventualmente presenti e il modo in cui sono stati raccolti.
Spesso i messaggi arrivano nel processo come fogli di calcolo o report elaborati dalla polizia giudiziaria, molto lontani dai dati originali. Ogni passaggio di trasformazione può introdurre errori. Chiedere l’accesso ai file nella forma in cui sono stati ricevuti dall’autorità straniera è il primo passo per una verifica seria.

Il problema dell’attribuzione

Un criptofonino è registrato con un nome di fantasia, scelto dall’utente o assegnato dal servizio. L’attribuzione a una persona si basa quindi su indizi, come i contenuti dei messaggi, le fotografie inviate, le posizioni registrate, gli incontri documentati da altre indagini. Questa parte del lavoro è spesso la più delicata e la più contestabile. Una relazione tecnica dovrebbe indicare per ogni attribuzione gli elementi su cui si fonda e il loro grado di affidabilità.

La decifratura

Sul piano tecnico resta poco noto il metodo con cui le autorità francesi hanno ottenuto i messaggi in chiaro. Le informazioni pubbliche parlano di un programma installato sui dispositivi tramite i server del servizio, capace di raccogliere i messaggi prima della cifratura o dopo la decifratura. Se così fosse, l’operazione avrebbe la natura di un’intercettazione con captatore su larga scala, e la distinzione tra messaggi raccolti in tempo reale e messaggi già memorizzati diventerebbe ancora più rilevante.

Che cosa resta aperto

Le sentenze chiudono il contrasto sulla qualificazione giuridica, ma lasciano aperte domande sul controllo concreto della genuinità dei dati. Il rapporto tra la presunzione di conformità affermata dalla Cassazione e il requisito della Corte di giustizia, secondo cui la difesa deve poter commentare le prove in modo efficace, sarà probabilmente al centro dei prossimi processi.
 
Vedi anche: l’articolo del 2024 Intercettazioni telefoniche e telematiche, l’articolo del 2023 Chat ed email sono corrispondenza: la sentenza 170/2023 e l’articolo del 2001 La Convenzione di Budapest.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn