La Mistificazione nel Giornalismo

Esiste un genere pseudo giornalistico che purtroppo conosciamo bene, specialmente all’epoca dei social: la mistificazione impaginata bene; detta anche una sostanziale disinformazione che affligge l’utente medio della rete. Lo stereotipo Homo Googlis.

Non parlo del falso grossolano che riconosce chiunque, ma la frase vera, estratta dal contesto, estrapolata, rivestita di un titolo che dice l'esatto contrario di quello che significava. È esattamente ciò che è successo a Mark Zuckerberg nel gennaio 2025, quando da un'ora e mezza di podcast con Joe Rogan è stata estratta ad arte una singola frase e trasformata in una rivelazione che lo stesso Zuckerberg non ha mai fatto.

I titoli, in poche ore, sono diventati unanimi: "Zuckerberg conferma: la CIA legge i tuoi messaggi WhatsApp". Circolati su X, ripresi da testate anche non marginali, la frase ha avuto la vita gloriosa di ogni bugia ben confezionata: verosimile, allarmante, condivisibile col pollice senza bisogno di leggere oltre il titolo.

Peccato che Zuckerberg non abbia detto quello che forzatamente gli è stato attribuito. Rogan aveva chiesto a Zuckerberg un commento sulle accuse di Tucker Carlson, secondo cui NSA e CIA avrebbero intercettato le sue comunicazioni prima di un'intervista a Putin, sventandola in anticipo.

Zuckerberg ha risposto con una spiegazione tecnica, non con una confessione: la crittografia end-to-end di WhatsApp fa esattamente una cosa: impedisce ai server di Meta di vedere il contenuto dei messaggi. Nessun dipendente di Meta, nessun server Meta, vede mai cosa scrivi. Questo è un dato di fatto verificabile, non un'opinione.

Ma, ha aggiunto, la crittografia protegge il canale, non il dispositivo. Se un'agenzia, di qualunque bandiera, ottiene accesso fisico o remoto al telefono, tramite sequestro, tramite spyware come Pegasus, esplicitamente citato da Zuckerberg, la crittografia del transito diventa irrilevante, perché il messaggio lo si legge già decifrato, direttamente sullo schermo del destinatario.

Distorsione delle Parole e Implicazioni Legali

Non ha nominato la CIA in relazione a un presunto backdoor. Ha nominato Pegasus, un software di sorveglianza israeliano, come esempio di compromissione dell'endpoint. Un fact-check indipendente di EUvsDisinfo lo ha certificato senza ambiguità: si tratta di una distorsione delle sue parole, non di una loro sintesi.

La differenza, per chi si occupa di diritto e non di clickbait, non è cosmetica. È l'intera differenza tra un sistema sicuro e un sistema violato. E qui si tocca il punto più imbarazzante per chi ha costruito il titolo sulla CIA e qualche “giornalista” o divulgatore” dovrebbe un minimo chiedere scusa o vergognarsi: non serviva Zuckerberg per saperlo.

Sarebbe bastato leggere la rassegna stampa giudiziaria di qualunque settimana, in qualunque paese, per verificare che le forze dell'ordine sequestrano smartphone nell'ambito di indagini penali e ne analizzano il contenuto, messaggi, chat, cronologia, con strumenti di digital forensics ormai standard nei protocolli investigativi.

Non è una tecnica segreta rivelata in un podcast: è la prassi ordinaria di ogni procura, di ogni squadra mobile, di ogni indagine su reati che vanno dal traffico di stupefacenti al terrorismo. Il dispositivo sequestrato non ha più bisogno di rompere alcuna crittografia, perché il contenuto, sul device, è già decifrato; lo stesso principio, identico, che Zuckerberg ha richiamato parlando di Pegasus.

La differenza fra il sequestro giudiziario e lo spyware non è tecnica ma procedurale: nel primo caso c'è un atto d'autorità e, nei sistemi che rispettano lo Stato di diritto, un controllo giurisdizionale. Nel secondo, l'accesso è occulto e unilaterale. Ma il meccanismo tecnico di fondo, vale a dire leggere ciò che il dispositivo ha già decifrato per l'utente, è identico in entrambi i casi, ed è pubblico da anni.

Il che rende la "rivelazione shock" sulla CIA non solo distorta, ma clamorosamente ridondante: si è gridato allo scandalo per una cosa che ogni cronista di giudiziaria racconta abitualmente, senza che nessuno gridi mai a un complotto.

Chi scrive di data protection per mestiere, e non per hobby polemico, sa che la disciplina del GDPR e delle normative sulla sicurezza informatica poggia esattamente su questa distinzione, che i titoli sensazionalistici cancellano con un colpo di spugna: la sicurezza del dato in transito (crittografia, art. 32 GDPR, misure tecniche adeguate) non coincide con la sicurezza del dato a riposo sul dispositivo, né tantomeno con la sicurezza dell'endpoint che lo genera e lo consuma.

È lo stesso equivoco, del resto, che porta molte organizzazioni a scambiare l'adempimento documentale, l'informativa pubblicata, il registro dei trattamenti compilato, per governance reale. Un errore che in Cybermetrica® ho chiamato distinzione fra IES e IDS: l'Indice di Esposizione Sistemica misura il rischio puntuale, la fotografia di un istante, la crittografia attiva oggi, mentre l'Indice di Deriva Sistemica misura quanto quella sicurezza si eroda nel tempo, silenziosamente, mentre l'organizzazione continua a dichiararsi conforme.

Un endpoint sicuro oggi e compromesso fra sei mesi da un aggiornamento mancato, da una policy BYOD lasca, da un dipendente che clicca il link sbagliato, non è un'eccezione: è la norma statistica. La sicurezza non è uno stato, è una derivata.

C'è poi un secondo livello, più antropologico che tecnico, che ho affrontato in Homo Googlis: la disponibilità dell'utente digitale a credere alla versione più allarmante e meno verificata di ogni notizia che riguarda la propria privacy. Non perché sia stupido, sarebbe la lettura pigra e sbagliata, ma perché il digitale ha eroso la capacità di distinguere fra la fonte primaria (un'ora e mezza di podcast) e la fonte derivata (un titolo di trenta caratteri).

L'Homo Googlis non legge la sentenza, legge la massima. Non ascolta l'intervista, legge lo screenshot con la frase isolata. E su quella frase isolata costruisce, con immotivata ma sincera buona fede, un intero edificio di sfiducia verso un sistema, in questo caso la crittografia end-to-end, che invece funziona esattamente come promesso.

Il paradosso è che la disinformazione, qui, ha finito per danneggiare proprio la fiducia nello strumento che proteggeva meglio l'utente. Chi ha letto solo il titolo penserà che WhatsApp sia un colabrodo aperto alla CIA. Non è così: è il suo telefono, se compromesso, a essere il colabrodo.

La differenza fra i due scenari è la differenza fra cambiare messaggistica e cambiare abitudini di igiene digitale: aggiornamenti, gestione dei permessi delle app, diffidenza verso i link. Ma la seconda soluzione richiede disciplina personale, mentre la prima richiede solo indignazione. Si capisce perché la seconda versione abbia vinto.

Zuckerberg, in tutto questo, ha detto una cosa tecnicamente ineccepibile e politicamente inutile ai fini della polemica: la crittografia protegge il messaggio, non il messaggero. Chi ha trasformato questa banalità in una rivelazione sulla CIA non ha commesso un errore di traduzione. Ha commesso un atto di giornalismo al contrario: partire dalla conclusione che si vuole far credere, e retrocedere fino a trovare la frase che, isolata, la sostenga.

È il mestiere dell'informazione cattiva, ed è sopravvissuto benissimo al passaggio dalla carta stampata al post virale. Cambia il supporto, non cambia la tecnica. La cattiva stampa non ha bisogno di mentire. Le basta scegliere bene dove tagliare la frase.