15.
L’hacker. La blockchain

Gianroberto Casaleggio, quando doveva illustrare la parabola del Movimento, era solito citare, testualmente, un’espressione celeberrima che riportava alla storia della Cina, all’ascesa al potere di Mao Zedong: «Sarà una lunga marcia», diceva. Ha raccontato Davide, suo figlio, in che senso il padre concepisse quel riferimento, così denso e quasi soverchiante, culturalmente e storicamente: «Mi piace citare una frase che diceva sempre mio padre: sarà una lunga marcia. Abbiamo sempre fatto tutto per passi. Per quello non abbiamo corso alle politiche nel 2008 nonostante ci fosse già un forte consenso popolare. È stato un percorso lungo e non bisogna avere fretta per arrivare dove si vuole». Ecco, ma dove si vuole arrivare? Qual è, e dov’è l’endgame del Movimento, la fine e l’obiettivo di questa «lunga marcia» da movimento a governo? O la natura del Movimento, iperflessibile e fungibile a tutto, trascolora in un grande vuoto che alla fine divora tutto, compreso sé stesso?

A detta dell’uomo che possiede tutte le chiavi della macchina, i dati e, secondo alcune testimonianze parlamentari M5S, il controllo sui social network di molti eletti, vero oro nero per l’ascesa dei Cinque stelle e dell’azienda che li ha generati, in un futuro per niente lontano il Movimento potrebbe non servire più. Mai frase confermò la natura di mero strumento del Movimento più di questa: «Oggi possiamo conquistare grandi obiettivi e sono fiducioso che tra dieci anni magari non ci sarà nemmeno più la necessità di un Movimento perché la partecipazione dei cittadini sarà già intrinseca nello Stato». Come l’Ukip di Nigel Farage (e Arron Banks e Liz Bilney) si autodissolse dopo la vittoria nel referendum sulla Brexit – salvo poi (desiderare di) tornare, accusando Theresa May e i Tories di aver dilapidato quel patrimonio con una trattativa troppo soft con l’Unione europea –, sorte analoga potrebbe toccare al Movimento? Una sorta di auto-spegnimento, pianificato dalla stessa cellula che ha progettato e dato il la a questa storia: la cellula dei Casaleggio (il padre ieri, il figlio oggi)? Certo, la morte del contenitore potrebbe generare una sorta di altri ambigui eventi a catena, come nel Contesto di Leonardo Sciascia: un giudice viene ammazzato, ma le indagini sulla sua scomparsa vengono accompagnate da altri omicidi, e dal sospetto dell’investigatore che tutto sia orchestrato dal potere costituito al semplice scopo di mantenersi. La morte e il caos come esperimento di perpetuazione di un assetto sociale.

Nato da un esperimento informatico sulle reti, il Movimento può trovare nel governo a tutti i costi la sua esecuzione, che però è anche un’autoesecuzione capitale. Il presidente della Camera Roberto Fico – che un equivoco coltivato dalla scarsa conoscenza, o dalle speranze di rapida ricollocazione al potere di parte della dirigenza del Pd, ritiene «l’anima di sinistra» con la quale si potrebbe disarticolare il Movimento dei Casaleggio – è in realtà, da sempre, una delle voci attraverso cui echeggiavano, sia pure in lontananza, proprio frasi ascoltate da Gianroberto Casaleggio (Casaleggio disse una volta, ha raccontato il suo ex collaboratore Nicola Biondo: «Sto umanizzando gli avatar»). E così ha un senso particolare che anche Fico abbia profetizzato una volta: «Per me il Movimento deve essere un progetto a termine: noi siamo nati con una missione che era quella di cambiare le istituzioni e far ricongiungere Stato e cittadini. Una volta assolta questa funzione, il Movimento avrà compiuto la sua strada». Era sincero, nello svelare che il Movimento è un progetto a termine; il resto faceva parte di una propaganda talmente ripetuta da essere stata alla fine introiettata da quel bravo ragazzo napoletano ma carente di coraggio, come è sempre rimasto, anche al potere.

Il Movimento non è mai stato un fine, tanto meno un normale partito, ma un mezzo per prendere il potere e andare al governo, a qualunque costo politico. Uno strumento che negli anni ha interagito con (ed è stato utilizzato da) diversi orizzonti geopolitici, non per forza sempre gli stessi, fungibile per obiettivi di volta in volta cangianti, al limite anche opposti, o apparentemente contraddittori. Ciò che contava era il mezzo, non il fine; era la costruzione di una macchina di consenso, potere e reti (informatiche, dunque reti di relazioni), non i contenuti specifici delle politiche, che venivano propugnate dalla macchina e implacabilmente spinte dalla propaganda con cui, nei momenti di massima potenza, quella macchina è arrivata a coincidere.

Il Movimento come strumento a termine, qualcosa da utilizzare o far utilizzare, e al tempo stesso come un “tutto”, una totalità, da vivere dentro una visione organicistica. Era questo il senso autentico del riferimento di Gianroberto a Jean-Jacques Rousseau, una teoria assolutistica della società, molto più che una reale fede nell’inveramento imminente della democrazia diretta. Era questo, anche, il senso di frasi che possono suonare inquietanti come questa del figlio: «la partecipazione dei cittadini sarà già intrinseca nello Stato». Rientrava in questa logica la creazione di un «ministero per la democrazia diretta», un curioso paradosso del governo Lega-Movimento: un ministero, cioè una forma della mediazione e della rappresentanza politica, che deve tuttavia presiedere al proprio stesso abbattimento, attraverso la democrazia diretta.

Proprio espressioni come questa di Davide è sembrato che implicassero ormai apertamente un Movimento inteso come prodotto di marketing, qualcosa che in linea teorica potrebbe essere messo sul mercato, mutare forma, passare di mano, cambiare direzione politica in Italia e persino nazione. La piattaforma Rousseau, nel nuovo statuto del Movimento redatto con il supporto dell’avvocato Luca Lanzalone a fine 2017, viene finanziata con 300 euro mensili da ciascun parlamentare eletto: 338 deputati e senatori che alla fine della legislatura devolveranno all’Associazione Rousseau una cifra superiore ai 6 milioni (la cifra non comprende eventuali denari dai fondi del gruppo parlamentare). Ciò che conta, quella piattaforma è stata una delle forme più visibili di questa aspirazione: più che il simulacro della democrazia diretta, ha rappresentato quanto Casaleggio riteneva di poter immettere nel mercato politico internazionale, nel quadrato fondamentale dei nostri anni: politica-marketing-uso dei dati-pubblica amministrazione. E ovviamente commercio e affari.

Lo strumento tanto propagandato della presunta partecipazione veniva presentato come la vera ragione del successo dei Cinque stelle. In diverse circostanze Casaleggio jr ha esposto questa natura transnazionale del progetto, anche se poi è stato sempre estremamente avaro di dettagli. Alla fine di luglio 2018 spiegò che «le persone che collaborano a Rousseau sono distribuite in tutta Italia e qualcuna anche all’estero». Gli abbiamo domandato più volte, in pubblico: all’estero chi, e dove? Era una domanda che interessava non solo per conoscere a che condizioni contrattuali ciò poteva avvenire, ma non è purtroppo arrivata risposta. «La Rete – disse sempre in quell’occasione Casaleggio – consente a persone che si trovano in luoghi molto distanti tra loro di collaborare a un unico progetto».

Che stesse parlando di un unico Movement internazionale? Anche qui Casaleggio non ha mai fornito risposte più precise, dunque non possiamo sapere se avesse in mente qualcosa di simile a quello che, appena due mesi dopo, esporrà Steve Bannon al «New York Times» dopo aver incontrato a settembre 2018 Matteo Salvini: un accordo con la Lega per fornire agli amici populisti italiani il sostegno tecnico di sondaggi, analytics, dati per la campagna europea del 2019, quelli che Bannon – già vicepresidente di Cambridge Analytica – chiamò in quella circostanza «the fundamental building blocks for winning», le fondamenta per vincere le elezioni. Gli stessi servizi forniti a Jair Bolsonaro, il presidente ultradestrorso che vincerà di lì a poco le elezioni in Brasile – una ricerca di DFRLab dell’Atlantic Council mostrerà come a spingere sui social il nuovo presidente brasiliano ci fossero nell’autunno 2018 account alt-right Usa e altri russi e italiani. Bannon dirà a Silvia Borrelli di «Politico» che «League-5Star coalition is an Experiment that, if it works, will change global politics», la coalizione Lega-Movimento cinque stelle è un esperimento che, se funziona, cambierà la politica globale.

Certo è che l’esperimento non coincide con la piattaforma, ma coincide con l’uso dei dati e dei social network. La piattaforma ne è solo la superfetazione commerciale. L’esecuzione è il trasferimento dei dati dal possesso privato del proprietario di un’associazione privata e di un’azienda, alla sfera pubblica dell’amministrazione dello Stato. Il sogno di Davide Casaleggio – per molti, in realtà, l’incubo – di Rousseau nella pubblica amministrazione dello Stato italiano. Il ministro «per la democrazia diretta», Riccardo Fraccaro, ha rassicurato al «Corriere della Sera»: «Non vogliamo assolutamente importarla [la piattaforma Rousseau] nello stato». Che debba dirlo suona però due volte allarmante: perché un ministro della Repubblica si deve occupare del prodotto, privato, di una piattaforma detenuta da un’associazione presieduta da un privato?

Lo stesso conflitto d’interessi è emerso numerose volte, anche in forme gravi, nella stagione dei Cinque stelle al potere. «La Stampa» scopre che il consigliere giuridico del vicepremier Luigi Di Maio per la comunicazione e l’innovazione digitale, Marco Bellezza, è stato avvocato di Facebook in alcune cause, tra cui una (persa con sentenza del Tribunale civile di Roma nel febbraio 2019) contro Mediaset sul diritto d’autore. Nel frattempo il Movimento è schierato in Europa (proprio come Facebook) contro il celebre articolo 13 della proposta di direttiva sul copyright, che attribuisce responsabilità anche alle piattaforme online come appunto Facebook, Google, Youtube per violazioni del diritto d’autore. Il Movimento, per fare un altro esempio, ha creato con la legge finanziaria per il 2019 un «Fondo per la blockchain e l’Internet delle cose», dotato di 45 milioni in tre anni, 15 all’anno. Senonché spingere la blockchain in Italia è la grande battaglia relazionale di questi anni della Casaleggio Associati, che non produce tecnologia blockchain, ma è chiaramente percepita, ormai anche all’estero, come l’azienda cruciale in Italia da cui passare. Proprio nei giorni dell’istituzione del Fondo – gestito dal ministero di Di Maio – alla Casaleggio si è tenuto un megaevento con vari player commerciali del settore blockchain in Italia, quello del 13 novembre 2018, a cui era invitato, tra gli altri, Giuseppe Perrone, capo dell’Hub Med per la blockchain di Ernst & Young, di Londra. A prescindere dalle tante fondatissime stroncature dei principali informatici nel mondo sulla reale sicurezza e sull’anonimità (non) garantite dalla blockchain, non è singolare che sia spinta in Italia da un partito così legato a un imprenditore impegnato proprio nel mercato delle consulenze su quella materia?

Un’altra storia si impone poi all’attenzione nell’autunno del primo anno di governo giallonero: nella stagione dell’esecuzione nasce a Malta quello che i suoi creatori definiscono «il primo fondo d’investimento regolato al mondo dedicato a società quotate e prodotti finanziari basati sulla tecnologia blockchain e sulle principali criptovalute»: l’Autorità di sicurezza finanziaria di Malta ha concesso la licenza per la costituzione di ConsulCoin Cryptocurrency Fund, un progetto che nasce da Magiston Funds Sicav Plc, una società di investimento a capitale variabile regolata e con sede a Malta. A promuovere il fondo è stata Consulcesi Tech (una fintech attiva nell’ambito della blockchain e della cybersecurity, che ha finanziato – assieme a Poste Italiane – anche il rapporto 2018 della Casaleggio Associati proprio sulla blockchain). Consulcesi Tech utilizza un team di analisti delle criptovalute che comprende quattro soggetti: due società svizzere, Core Asset Management e Aurum Trust & Finance; la fintech Mashfrog spa di Edoardo Narduzzi (socio storico – e amico – di Gianroberto Casaleggio in Webegg e in Netikos, all’inizio degli anni Duemila); e la Link Campus University (che incrociamo sempre nell’età del Movimento al governo). Esiste un qualche conflitto tra queste attività e un governo che tra l’altro crea un fondo di venture capital, nella legge finanziaria, proprio per finanziare altri fondi e startup che mettono al centro l’innovazione?

Il successo, per la famiglia che ha fondato il Movimento, si è giocato su questo labile confine pubblico-privato, e risiedeva nel possesso dei dati, e nelle relazioni, più che nella piattaforma Rousseau in sé. O meglio: stava anche nella piattaforma, ma come uno degli strumenti di raccolta di dati. Risultavano tuttavia ancora più rilevanti i dati potenzialmente derivanti dal controllo come admin di account social con un altissimo numero di follower – un controllo legittimamente acquisito, col consenso dei soggetti interessati che a volte lo hanno raccontato. Se Gianroberto Casaleggio era stato geniale nell’inventare un esperimento di potenziale ingegneria del consenso tanti anni prima che tutto questo diventasse corrente nella politica globale, il figlio Davide non si rivelerà altrettanto abile nel costruire una piattaforma informatica solida, eventualmente appetibile commercialmente, e resistente agli attacchi informatici, almeno quelli elementari. Gianroberto Casaleggio investì una piccola quota simbolica in azioni di un’azienda della Silicon Valley, Soshoma Inc, specializzata in ricerca su algoritmi e intelligenza artificiale. Quell’azienda ha poi cambiato nome nel 2012 in Loop AI Labs Inc, di Gianmauro Calafiore, e ha partecipato al programma di ricerca Calo, sostenuto dal Darpa, il Dipartimento di ricerca della Difesa americana, sull’intelligenza artificiale.

La Casaleggio di Gianroberto non era solo efficace come azienda di web marketing, ma era anche connessa a un mondo di ricerca. Eppure negli anni del Movimento al governo si conferma non essere mai stata un’azienda di programmazione informatica. Mi ha raccontato un dirigente ai massimi livelli attuali dello Stato italiano, proveniente dai ranghi della Guardia di finanza, che Gianroberto Casaleggio conosceva bene il codice di Arpanet, la rete realizzata nel 1969 dal Darpa, antecedente storico di Internet, e all’inizio degli anni Novanta tenne anche corsi sulla materia, in Francia. I suoi eredi non sono stati altrettanto intellettualmente interessanti. «Il codice della piattaforma Rousseau è scritto coi piedi», ha scritto su Twitter Stefano Zanero, professore di cybersecurity al Politecnico di Milano, una delle massime autorità italiane nella materia. Lo stesso giudizio condiviso da quasi tutti gli esperti di sicurezza informatica italiani, da Matteo Flora a Fabrizio Carimati, da Stefano Fratepietro a Fabio Pietrosanti, da Andrea Stroppa a Paolo Attivissimo.

Sono estremamente rari – per usare un eufemismo – esperti di informatica che sostengano il contrario. Ma il problema non è solo la piattaforma Rousseau: sono tutti gli strumenti informatici attraverso i quali vengono ricevuti dati dagli iscritti ed eletti Cinque stelle. Nel febbraio 2019, a denunciarlo pubblicamente è una deputata del Movimento, Gloria Vizzini, che lancia un’accusa molto forte allo staff M5S per i dati che i parlamentari dovrebbero caricare sul sito tirendiconto.it (quello per le restituzioni): «I documenti che dovremmo caricare – spiega all’Adnkronos – contengono informazioni sui nostri familiari: sono dati che non intendo condividere con Davide Casaleggio. Mi dicano quanto devo dare e io restituisco tutto, infatti i bonifici li ho effettuati. Ma non tocchino la mia privacy». Un dettaglio che definire allarmante sarebbe riduttivo.

Sarebbe inutile tornare sugli elementi di vulnerabilità quasi grotteschi della piattaforma Rousseau, ma forse occorre farlo perché Davide Casaleggio la indica come il futuro della democrazia. Già il blog di Grillo aveva i certificati di sicurezza scaduti. Già entrare in un sito come quello, senza crittografia, significa essere di per sé esposti a vulnerabilità serie (tipo MITM, Men-In-The-Middle), come quando entriamo in un wireless non sicuro in albergo. Del tutto discutibile è l’uso di Movable Type in una vecchissima versione 4.2, che ormai quasi nessuno usa (e conosce) nel mondo informatico attuale. Le password erano decifrabili perché usano una crittazione arcaica (DES / Crypt). Una sentenza dell’Authority italiana per la privacy e l’uso dei dati ha già sanzionato Casaleggio e Grillo (con 32mila euro di multa a testa) per uso illecito dei dati degli iscritti a Rousseau, mancata protezione, e tra l’altro per una cessione di dati a parti terze (almeno Wind e Itnet, secondo il garante) senza consenso. Gli atti del provvedimento dell’Authority sono pubblici, e abbiamo richiesto l’accesso, ottenendolo.

Eppure ogni altra osservazione o sentenza sembra ancora poca cosa, se confrontata con un mero fatto della stagione dei Cinque stelle al potere: la ripetuta violazione della piattaforma. Un hacker, a fine estate 2018, bucherà di nuovo la piattaforma Rousseau mettendo fortemente in dubbio la solidità della pretesa del suo presidente. Casaleggio, nel momento in cui scrivo, è di nuovo sotto ispezione dell’Authority per la protezione dei dati, con gli ispettori informatici dell’Authority che fanno visita alla Casaleggio Associati: ma questa volta le sanzioni possono arrivare fino a 10 o 20 milioni, perché nel frattempo è entrato in vigore il nuovo Gdpr, il regolamento europeo su dati e privacy nell’Unione.

L’hacker che mette in ginocchio Casaleggio si chiama Rogue_0, e ovviamente non conosco chi sia, dove sia, se sia un uomo, una donna, se sia da solo o in gruppo. Nell’anonimato concesso dalla chat diretta su Twitter l’ho intervistato a lungo, gli ho fatto domande che pensavo potessero servire a capire i dettagli informatici dell’hacking subìto da uno strumento così decantato e pubblicizzato dal primo partito politico in Italia in quel momento. «Trattare la vicenda come politica», mi ha spiegato l’hacker, «non è un buon modo per comprenderla veramente». Siamo nei giorni di settembre 2018, quelli del secondo hacking. «Tutte le domande che mi vengono fatte sulle votazioni dentro Rousseau mi hanno davvero rotto, anche quelle sulle tabelle [del database]», mi dice. Davide Casaleggio vanta spesso, in uscite pubbliche che sono avvenute persino dentro aule del Senato italiano – manifestazione plastica del conflitto d’interessi privato-pubblico dietro il Movimento –, che in Rousseau «nei due anni dalla sua nascita abbiamo sviluppato 11 funzioni e, a oggi, Rousseau conta 100mila iscritti certificati». Sostiene che in due anni sulla piattaforma sono avvenute 232 votazioni (almeno fino a settembre 2018), ossia una giornata di voto ogni 20 giorni, dal 2012 a oggi. Quelle votazioni, domando all’hacker Rogue_0, danno luogo a profilazioni, per quello che lui ha visto? La risposta di Rogue_0 è secca: «Quello a mio parere di sicuro. Lo hanno solo reso difficile e noioso. Parlo delle profilazioni, e del dirottamento delle votazioni. Non serve nulla, gli basterebbe [a Davide] anche solo creare mille profili e votare con quelli “legalmente”, dato che i documenti li verifica il buon Davide». E sempre Rogue_0 aggiunge: «Queste sono opinioni mie, e va precisato anche che non me ne importa nulla della politica, quindi non spreco tempo a farlo».

Non posso verificare quest’ultima affermazione dell’hacker. La ritengo però importante come documento di questa fase politica, che sono obbligato a riportare. «In ogni caso – dice l’hacker – a me questi aspetti poco interessano. Le motivazioni [che mi muovono] sono sempre le stesse, [alla Casaleggio] sono incompetenti, spocchiosi e truffatori. Ad ogni modo è diventato un po’ come un rituale. Ogni anno passo da queste parti a vedere come siamo messi, ogni anno mi porto a casa il bottino. È un luna park ormai».

In quei giorni l’hacker pubblica tabelle recenti di Rousseau, cellulari e password di big Cinque stelle (tra cui quelli di Di Maio, Di Battista, Toninelli, Raggi e dello stesso Davide Casaleggio). Gli chiedo se la backdoor – la porta nel sistema Rousseau da cui è entrato nel settembre 2018 – sia la stessa dell’agosto 2017. Risponde così: «Ne ho trovata una nuova appena loro hanno chiuso quella vecchia, se quindi intendi chiedere se sono ininterrottamente dentro dallo scorso attacco, no. Ci sono stati alcuni giorni in cui ero fuori. Mi hanno chiesto se ho i privilegi di scrittura nel sistema. L’accesso è sempre lo stesso, quindi sì, in uno dei tweet ho scritto nome e tipo di user e i suoi privilegi, è pubblico. La nuova backdoor ora è chiusa, forse, data la vulnerabilità. Ma non sto più provando niente perché se non hanno ancora fixato stanno aspettando me che gli mostro dove farlo». Insisto ancora con una domanda, riformulandola in modo più tecnico: hai evidenze attraverso qualche log di MySql? O sul server? «Sono aspetti che non mi interessano. E quindi non spreco neanche il tempo, ho solamente dato un occhio dentro quelle tabelle [di voto di Rousseau], ma per me si sono rivelate inutili».

A gennaio del 2019 il debunker David Puente ha rilevato alcune falle grossolane ancora del tutto evidenti in Rousseau. Il file “mt-check.cgi” esponeva pubblicamente, e in modo indiscriminato, informazioni su versioni e moduli installati sulla piattaforma. In sostanza mettendo chiunque (non per forza un hacker espertissimo) in grado di scoprire con relativa facilità le vie giuste per introdursi nel sistema Rousseau. Mesi prima, Rogue_0 mi aveva spiegato di non aver «trovato nulla di rilevante politicamente perché nulla ho cercato, politicamente. Solo le implicazioni “politiche” che possono avere le loro tecnologie scadenti». Ma per caso Davide Casaleggio potrebbe conoscere l’hacker, senza saperlo? Risposta di Rogue_0: «Intendi dire se mi conosce, o se è a conoscenza che io sia Rogue_0?».

L’hacker mi domanda se ricordo hackeraggi passati subìti dalla Casaleggio. Ne ricordo due, nel 2013 e nel 2014. Il primo passato nelle cronache come un hackeraggio di Anonymous, e come tale glielo cito; il secondo – l’hackeraggio dell’account Twitter della Casaleggio, con beffe indirizzate a Maurizio Benzi, uno dei soci della srl, nonché formalmente il fondatore del primo meetup nella storia dell’esperimento, quello di Milano – avvenuto per firma di un’immagine sarcastica di LulzSec. Rogue_0 mi corregge: «Non Anonymous, antisec», ossia una comunità di hacker che si battono contro lo sfruttamento economico e commerciale dei tool di sicurezza cibernetica. Racconta – non ho modo di verificarlo – di aver bucato tutta la famiglia Casaleggio. Chiama Benzi «benzinaio». Ricorda la password dell’account Casaleggio che fu hackerata anni fa: «Santorsola».

Prima di salutare e sparire si concede una battuta (tutto il suo stile è molto sarcastico): «Prometto che se li bucherò ancora e non mi avranno preso mi costituisco». Gli chiedo come mai abbia deciso di rispondere alle mie domande con questa precisione, a volte essendo lui a cercare me. Mi risponde che conosce un mio libro, L’esperimento, e ha seguito gli attacchi che ho subìto per alcuni articoli sgraditi a Casaleggio. Forse è ora, a questo punto della conversazione, di tornare ciascuno a casa propria.