Ron Wyden vuole vederci chiaro sull’uso di hacking tool e spyware da parte delle agenzie federali

Il motivo della richiesta

Il 21 agosto 2026 il senatore democratico Ron Wyden, dell’Oregon, ha chiesto al Government Accountability Office (GAO) — l’organo del Congresso statunitense che controlla e valuta l’operato del governo federale — di avviare una revisione completa e non classificata sull’uso di strumenti di hacking e spyware da parte di quattro agenzie: FBI, Drug Enforcement Administration (DEA), Homeland Security Investigations (HSI) dell’Immigration and Customs Enforcement (ICE) e Secret Service. 712

La richiesta nasce, secondo Wyden, da un problema di trasparenza che dura da anni. Le forze dell’ordine federali usano tecniche di intrusione informatica come strumenti investigativi da oltre venticinque anni, ma Congresso e opinione pubblica non dispongono delle informazioni di base disponibili per altre forme di sorveglianza. 712

Il divario rispetto alle intercettazioni tradizionali

Per intercettazioni telefoniche, pen register e sistemi trap-and-trace — strumenti che possono registrare, rispettivamente, le comunicazioni o i dati relativi a chiamate e connessioni — le agenzie pubblicano report annuali. Per le operazioni di hacking, invece, non esiste una rendicontazione pubblica equivalente. 167

Di conseguenza, restano difficili da valutare aspetti fondamentali: quante volte vengono impiegati questi strumenti, per quali motivi, contro quali dispositivi e con quali effetti collaterali. Wyden sostiene inoltre che il Dipartimento di Giustizia e l’FBI abbiano respinto più volte le richieste del Congresso per ottenere maggiore trasparenza. 712

Cosa dovrebbe verificare la GAO

La revisione richiesta dovrebbe chiarire:

• se agenti o investigatori abbiano usato hacking tool e spyware senza autorizzazione o per finalità personali;
• quali controlli tecnici e procedure di supervisione siano in vigore per prevenire abusi;
• come le agenzie acquistino, conservino e proteggano questi strumenti da furti e fughe di dati;
• se le vulnerabilità sfruttate siano sottoposte al processo governativo che valuta quando comunicarle alle aziende tecnologiche, così da permetterne la correzione;
• come i tribunali vengano informati sulle capacità degli strumenti quando viene richiesto un mandato;
• se ai giudici siano illustrati in modo adeguato i rischi di colpire dispositivi appartenenti a persone non identificate o innocenti. 67

Il punto non riguarda soltanto la privacy individuale. Un software capace di penetrare in un dispositivo può esporre messaggi, file, password e altri dati personali; se viene sottratto o gestito male, può inoltre diventare una risorsa per criminali o governi stranieri.

Il precedente L3Harris e una storia che parte dal 1999

Wyden ha richiamato anche i rischi legati alla custodia di strumenti di livello governativo. Il caso dell’ex dirigente di L3Harris Peter Williams, accusato di aver sottratto e venduto strumenti avanzati poi utilizzati da operatori stranieri e criminali, è stato citato come esempio di come queste capacità possano sfuggire al controllo. 610

L’hacking investigativo federale, inoltre, non è una novità recente. Nel 1999 l’FBI impiegò un malware in grado di registrare i tasti premuti durante l’indagine sul mafioso di Filadelfia Nicodemo S. Scarfo, per accedere a prove protette dalla crittografia PGP. 712

Per Wyden, però, l’evoluzione delle tecniche non è stata accompagnata da meccanismi altrettanto solidi di supervisione e trasparenza. È questo il motivo per cui ha chiesto a un organismo indipendente del Congresso di produrre un rapporto pubblico, corredato da conclusioni e raccomandazioni.

In sintesi, la richiesta punta a stabilire se l’uso di strumenti di sorveglianza estremamente invasivi sia davvero limitato da garanzie adeguate: dalla scelta degli obiettivi alla sicurezza del software, dalla gestione delle vulnerabilità alle informazioni fornite ai tribunali.