I messaggi intercettati dalla polizia francese durante una sofisticata operazione di hacking nella rete telefonica crittografata EncroChat, non possono essere utilizzati come prova, ha rilevato un tribunale tedesco.
Il tribunale regionale di Berlino ha stabilito che i dati ottenuti da a operazione congiunta di francesi e olandesi raccogliere milioni di messaggi di testo dagli utenti di EncroChat era in violazione della legge tedesca.
La decisione del tribunale, che può essere impugnata, è la prima volta che un tribunale tedesco ha ritenuto giuridicamente inammissibile una prova di EncroChat.
Se la decisione del tribunale di Berlino verrà confermata, i processi di centinaia di sospetti in Germania accusati di traffico di droga potrebbero essere messi in dubbio.
La decisione del 1° luglio 2021 arriva mentre i tribunali di Regno Unito, Francia e Olanda devono affrontare simili situazioni contestazioni legali sull’ammissibilità di prove dalla rete telefonica EncroChat, che secondo la polizia britannica è stata quasi interamente utilizzata da gruppi di criminalità organizzata.
Avvocato difensore, Oliver Wallasch ha detto a Computer Weekly che il caso era “della massima importanza” per difendere i diritti alla privacy dei cittadini tedeschi.
La decisione di Berlino “dimostra che esistono sostanziali diritti umani e garanzie procedurali anche se la polizia e l’accusa vorrebbero concentrarsi solo sull’ottenere potenziali criminali dietro le sbarre”, ha affermato.
Il tribunale ha rilasciato un imputato accusato di 16 reati di traffico di droga dopo aver scoperto che l’unica prova contro di lui consisteva in messaggi intercettati dalla polizia francese da un telefono crittografato EncroChat.
La corte ha affermato che l’uso dei dati degli utenti di EncroChat sul territorio tedesco, senza alcun motivo concreto di sospetto nei confronti delle persone interessate, era in violazione della legge tedesca.
Nuova operazione di hacking
In una nuova operazione di hacking, le gendarmerie francesi Centro per la lotta alla criminalità digitale (C3N) ottenuto l’accesso ai server di EncroChat, ospitati presso il provider di datacenter francese OVH a Roubaix ad aprile 2020.
I francesi, in collaborazione con la polizia olandese e la National Crime Agency del Regno Unito, sono stati in grado di raccogliere messaggi crittografati dalla rete EncroChat.
Più di 32.000 utenti di telefonia in 122 paesi sono stati colpiti, indipendentemente dal fatto che gli utenti fossero criminali o meno, ha rilevato il tribunale di Berlino.
Gli specialisti di C3N hanno raccolto i messaggi, li hanno trasmessi a Europol, che li ha impacchettati in base al paese di origine e li ha condivisi con le forze di polizia in Germania, Regno Unito e altri paesi.
Utente dell’intercettazione non giustificato dalla legge tedesca
Il tribunale di Berlino ha tuttavia ritenuto che l’intercettazione rappresentasse una grave violazione del diritto alla privacy degli individui.
Anche se l’operazione di intercettazione era legale secondo la legge francese, l’uso dei dati nei procedimenti penali tedeschi non era giustificato, ha affermato il giudice del tribunale regionale Behrend Reinhard.
“Il TAR ritiene incompatibile con il principio di proporzionalità in senso stretto la sorveglianza di 30.000 utenti di EncroChat. Ciò significa che le misure erano illegali”, ha scritto in una sentenza di 22 pagine.
La corte ha rilevato che i francesi non avevano fornito informazioni su come hanno intercettato i dati dai telefoni EncroChat e che le autorità francesi non erano disposte a fornire ulteriori informazioni.
I telefoni EncroChat – telefoni Android con hardware e software modificati – sono stati venduti attraverso una rete di rivenditori tra € 1.000 e € 2.000 per un tipico contratto di sei mesi.
La polizia francese ha avviato indagini preliminari su EncroChat nel 2016 e nel 2017 dopo aver recuperato una serie di telefoni EncroChat in possesso di trafficanti di droga.
Gli investigatori delle forze dell’ordine sono riusciti a rintracciare i server utilizzati da EncroChat in un data center gestito da OVH a Roubaix, in Francia.
Nel gennaio 2020 un tribunale di Lille ha autorizzato l’installazione di un impianto software mirato ai telefoni Android BQ Aquaris X2 utilizzati da oltre 32.000 utenti di EncroChat in 122 paesi.
L’impianto, fornito dall’agenzia di intelligence francese, DGSE, ha inizialmente raccolto dati storici dalla memoria del telefono, inclusi messaggi di chat memorizzati, rubriche, note e il numero IMEI univoco di ciascun telefono.
Nella seconda fase, l’impianto ha intercettato i messaggi di chat in entrata e in uscita, probabilmente prendendo screenshot o chiavi di registrazione, e li ha trasmessi a un server gestito da C3N.
La polizia tedesca ha ricevuto download giornalieri di dati dai telefoni di Europol tra il 3 aprile 2020 e l’interruzione dell’operazione contro EncroChat il 28 giugno 2020.
Un tribunale francese di Lille ha approvato un ordine di indagine europeo, emesso dai pubblici ministeri tedeschi il 13 giugno 2020, che autorizza i tribunali tedeschi a utilizzare i dati di EncroChat nei procedimenti penali.
Il tribunale di Berlino ha ritenuto che i dati intercettati fossero stati ottenuti in violazione del diritto dell’UE che disciplina l’uso di Ordini di indagine europei.
Nessun motivo di sospetto
Secondo la sentenza non esistevano motivi di sospetto quando l’OEI è stato ordinato e attuato.
Secondo il diritto dell’UE, gli Stati membri sono tenuti a informare le autorità tedesche prima di intercettare le telecomunicazioni di persone sul territorio tedesco.
Ciò include la fornitura di tutte le informazioni necessarie, inclusa una descrizione dell’operazione di intercettazione per valutare se l’intercettazione sarebbe autorizzata ai sensi della legge tedesca e se il materiale può essere utilizzato in procedimenti legali.
“Secondo le informazioni finora note, si presume che non vi sia stata alcuna richiesta da parte dello Stato francese e nessuna revisione da parte dell’autorità tedesca competente in questo caso”, ha affermato Reinhard.
Non c’era alcun sospetto concreto che i reati penali fossero stati compiuti dagli utenti dei telefoni EncroChat presi di mira, ha rilevato il tribunale.
“Al momento dell’ordinanza e dell’esecuzione, non vi era alcun sospetto di reato contro gli utenti dell’apparecchiatura terminale [handsets] ciò avrebbe giustificato la sorveglianza”, ha affermato la sentenza.
I criminali spesso preferiscono canali di comunicazione difficili da monitorare, come i telefoni Voice over IP o il browser Tor sicuro.
Ma il semplice utilizzo di un telefono criptato, anche con un alto livello di sicurezza, non è di per sé un motivo per concludere che si sia verificata una condotta criminale.
Cesoie
Usando un’analogia, il semplice possesso di strumenti utilizzati nei furti con scasso, come barre di porco o tagliabulloni, non fornisce motivi sufficienti per un mandato di perquisizione.
Il governo federale tedesco sta incoraggiando attivamente l’uso della crittografia, attraverso l’agenda digitale del governo federale, ed è stato riluttante a obbligare le società di telecomunicazioni e Internet a implementare “porte di servizio”.
Le tecnologie di crittografia sono state supportate anche dal Consiglio dell’Unione europea, che supporta la tecnologia per proteggere la sicurezza digitale dei governi, dell’industria e della società.
“Un comportamento fondamentalmente voluto da uno Stato – la protezione dei propri dati dall’accesso straniero – non può diventare il punto di partenza per misure coercitive in ambito penale”, ha affermato il tribunale.
L’uso di EncroChat non era criminale
La corte ha riscontrato che, sebbene le caratteristiche di sicurezza di EncroChat lo rendessero particolarmente attraente per i criminali, non era diverso da qualsiasi altro servizio crittografato.
EncroChat era ugualmente attraente per giornalisti, attivisti politici che temevano la persecuzione statale o dipendenti di aziende che volevano proteggersi dalla persecuzione statale.
L’alto costo dei telefoni EncroChat non giustifica la conclusione che possano essere pagati solo attraverso attività criminali.
Non c’erano prove concrete che i 60.000 utenti di telefoni EncroChat in tutto il mondo facessero parte di una “rete criminale”, ha rilevato il tribunale.
Secondo la polizia tedesca, i clienti di EncroChat hanno contattato i rivenditori in forma anonima tramite e-mail, che hanno consegnato i telefoni in cambio di contanti durante le riunioni in luoghi pubblici.
“Questa procedura si adatta agli standard di sicurezza particolarmente elevati rivendicati da EncroChat e ad un bisogno di sicurezza particolarmente pronunciato da parte dei clienti”, ha rilevato il tribunale. “Ma non consente di trarre alcuna conclusione sullo scopo dell’uso criminale”.
Giustificazione retrospettiva
Tra gli utenti francesi, la percentuale di sospettati di criminalità è stata solo del 67,3%, pari a 317 individui, un numero irrisorio rispetto ai 60.000 utenti registrati su EncroChat.
La successiva scoperta di attività criminali dopo l’inizio della sorveglianza non può essere utilizzata per giustificare retroattivamente l’operazione di intercettazione.
Le grandi quantità di droga sequestrate durante le indagini sui messaggi di EncroChat in tutto il mondo – e la spettacolare scoperta di una camera di tortura usata dai trafficanti di droga nei Paesi Bassi – non possono essere utilizzate per giustificare la presunzione che la rete sia stata utilizzata prevalentemente da criminali.
Al 14 aprile 2021, secondo una comunicazione della Commissione Europea, a quasi un anno dalla fine dell’operazione, erano state avviate solo 1.500 indagini e 1.800 persone arrestate, pari a appena il 5,4% degli utenti di EncroChat posti sotto sorveglianza.
La legge tedesca non consente la sorveglianza delle telecomunicazioni per stabilire il sospetto di un reato.
I vaghi sospetti e le indicazioni generali non sono sufficienti a giustificare lo “spionaggio a tappeto” di tutti gli utenti del servizio di chat, ha rilevato il tribunale.
Tobias Singelnstein, presidente di criminologia presso la Ruhr-Universität Bochum ha dichiarato a Computer Weekly che la decisione del tribunale di Berlino è significativa.
È il primo a prendere in considerazione i gravi problemi legali inerenti all’acquisizione di prove da EncroChat, ha affermato.
I pubblici ministeri tedeschi hanno detto che avrebbero impugnato la decisione.
More Stories
Risultati salutari sull’allentamento del Covid
Ukrtelecom e Iskratel lanciano l’espansione della rete in fibra da 12 milioni di euro in Ucraina
L’acquisizione di tecnologia per le forze dell’ordine richiede un esame più approfondito