Caso Exodus, i pm: «Software venduto almeno a cinque società» – Le carte

Nessun meccanismo di sicurezza, solo utente e password per accedere ad un server Amazon, in Oregon. Con l'app di spionaggio disponibilenello store Google Play per utentiche l'avrebbero scaricata e installata.

Sono quattro gli indagati che questa mattina – su ordine della procura di Napoli – hanno subito il sequestro di tutti i server e i macchinari delle aziende Stm e Esurv, gestore e creatore del software Exodus, in teoria destinato alle sole indagini di polizia giudiziaria ma finito di fatto nei cellulari anche di ignari cittadini.

Giuseppe Fasano, Salvatore Ansani, Marisa Aquino, Vito Tignanelli sono tutti responsabili a vario titolo di reati tra i quali intercettazione abusiva e frode informatica.

I quattro indagati sono, rispettivamente, l'amministratore legale e il direttore delle infrastrutture It della Esurv, la società con sede a Catanzaro produttrice dello spyware – che aveva ceduto il software a varie società e avrebbe infettato anche circa mille utenti estranei ad inchieste giudiziarie- e il rappresentante legale e l'amministratore della Stm srl, l’azienda che aveva ricevuto l’incarico di procedere alle intercettazioni ambientali da parte della procura di Benevento (che fino all’esplosione del caso neppure sapeva dell’esistenza della Esurv).

Ma tra le tante preoccupazioni che porta questa indagine ora ce n'è una in più: il software Exodus, si legge nel decreto di perquisizione, è stato venduto ad altre quattro società che dovevano usarlo in inchiestegiudiziarie e proposto anche a "privati".

Come nasce l'indagine

Ad accorgersi del fatto che qualcosa, nel sistema di intercettazione della procura di Benevento, non funzionava, sono stati gli agenti di polizia giudiziaria della Guardia di finanza, che all’ennesimo problema di server nel corso di una intercettazione hanno provato a digitare l’ip del server, con il programma di gestione dei trojan e l’accesso al materiale intercettato, da un normale cellulare.

Si sono accorti così che il sistema sviluppato dalla società Stm per le procure (Benevento e non solo) non aveva nessuna protezione particolare: bastavano user name e password e chiunque poteva entrare e leggere o ascoltare il materiale intercettato e registrato dalla piattaforma Esurv, senza lasciare traccia.

Il server Amazon

Quello che accade dopo ha, effettivamente, dell’incredibile. Il decreto di perquisizione di questa mattina da parte della procura di Napoli – che da tempo indaga sul comportamento della Stm – spiega che le indagini hanno confermato che Stm aveva semplicemente depositato i dati intercettati e dunque estremamente sensibili su una piattaforma Amazon.

Ansa|Una sede Amazon

“La caratteristica di indirizzo pubblico dell’ip su cui la piattaforma Exodus Esurv è offerta comporta che l’ip sia sempre raggiungibile da qualsiasi dispositivo connesso alla rete mondiale internet”

E ancora:

“Chiunque è in possesso degli estremi di autenticazione può liberamente accedere alla piattaforma e relativi dati delle utenze monitorate previste per l'account autorizzato”.

Non solo: il server presso la procura di Benevento, che in teoria doveva essere l’unico dispositivo detentore dei dati, era sconnesso e vuoto, inutilizzato, “un oggetto privo di qualunque funzione”, scrivono i pm di Napoli.

Ascoltato dagli investigatori, lo stesso Ansani ha ammesso che accedere ai dati era molto semplice. E ha spiegato pure di aver creato senza alcuna autorizzazione diverse App mascherate.

“Sono app apparentemente innocue, di comune utilizzo che consentivano di inserire il virus nei dispositivi di chiunque le avesse scaricate, ovvero le continui a scaricare”.

Quanti cellulari? Circa mille dicono le indagini. E non è neppure detto che non siano mai stati utilizzati.

Gli investigatori di Gdf e Ros hanno scoperto che nei file “demo” che avrebbero dovuto essere semplici dimostrazioni di cosa è in grado di fare Exodus si trovavano anche vere e proprie intercettazioni. Alcune provenienti dalle procure, con tanto di numero di fascicolo e reato.