Ізраїльська компанія Paragon Solutions за понад рік так і не відповіла на офіційний запит італійських прокурорів, які через дипломатичні канали вимагали пояснити, як її шпигунське ПЗ Graphite опинилося на телефонах журналістів і активістів у грудні 2024 року. Про це повідомив TechCrunch 28 квітня 2026 року з посиланням на матеріали розслідування прокуратур Рима й Неаполя. Мовчання настало вже після того, як італійські слідчі криміналістично підтвердили факт зараження, а сама компанія розірвала контракт із двома розвідками країни.
- Що показала експертиза телефонів
- Хто збудував Graphite і хто ним володіє
- Слід у шести країнах, від Оттави до Сінгапура
- Дві розвідки, два прокурори і звіт COPASIR
- Мовчання, що триває рік
- Graphite у ряду з Pegasus
- Post List
- США сім років блокують Китаю доступ до передових чипів
- Paragon не відповідає прокурорам Італії у справі Graphite
- Resist.UA запустила фонд на €50 млн для оборонтеху України
- Frontex і пушбеки в Егейському морі: справа дійшла до суду
- Симанду запрацював через 15 років після хабарів Штайнмеца
- Трамп зумовив ядерну угоду з Ер-Ріядом визнанням Ізраїлю
Що показала експертиза телефонів
Історія почалася наприкінці січня 2025 року, коли WhatsApp розіслав попередження близько 90 користувачам у понад десятку країн. Компанія Meta повідомила, що ці люди стали цілями зараження через Graphite — продукт Paragon, який проникає у телефон без жодної дії власника. Атака була «нульового кліку»: жертві не треба переходити за посиланням чи відкривати файл. Достатньо надіслати спеціально сформований документ у груповий чат месенджера — і код виконується сам, а власник телефона нічого не помічає.
Серед італійців, які отримали сповіщення, був Франческо Канчеллато — головний редактор видання Fanpage.it. У квітні 2025 року вже Apple розіслала власні попередження про державне шпигунство ще низці людей. Одне з них отримав Чіро Пеллеґріно, журналіст і керівник неапольської редакції того ж Fanpage.it. Побачивши сповіщення Apple, Канчеллато написав колезі коротке: «Отже, і з тобою теж».
Пеллеґріно згодом публічно розповів читачам, що його пристрій зламали. Для журналіста це не абстрактна загроза, а втрата контролю над усім робочим інструментарієм одразу.
«Телефон — це чорна скринька вашого життя. Ви робите телефоном усе. Як журналіста, те, що ваш апарат із контактами, джерелами, фото і відео опиняється в чужих руках, дуже злить».
Чіро Пеллеґріно, журналіст Fanpage.it, в інтерв’ю Reuters Institute, 2025
Технічну експертизу провела дослідницька група Citizen Lab при Університеті Торонто. Аналітики Білл Марчак і Джон Скотт-Рейлтон під керівництвом професора Рональда Дейберта відновили ланцюг зараження. У звіті «Graphite Caught», опублікованому 12 червня 2025 року, вони описали спільний акаунт iMessage, з якого йшли атаки на різні пристрої, і сервер із адресою 46.183.184[.]91, орендований у провайдера EDIS Global. Саме перетин цих технічних слідів дозволив пов’язати окремі зараження з одним оператором.
«Наш аналіз знаходить криміналістичні докази, що з високою впевненістю підтверджують: і відомий європейський журналіст, який просить про анонімність, і італійський журналіст Чіро Пеллеґріно стали цілями найманого шпигунського ПЗ Graphite від Paragon».
Citizen Lab, звіт «Graphite Caught», 12 червня 2025
Пізніше Apple закрила використану вразливість. Їй присвоїли ідентифікатор CVE-2025-43200 — помилку в обробці повідомлень iMessage, що дозволяла виконати код на iPhone з iOS 18.2.1 без відома власника. Уже у березні 2026 року прокуратури Рима й Неаполя оприлюднили власний технічний висновок: телефон Канчеллато й пристрої кількох активістів були заражені в перші години 14 грудня 2024 року — за півтора місяця до того, як WhatsApp узагалі розіслав свої попередження. Тобто зараження працювало непоміченим щонайменше сорок днів.
Роль Meta у цій історії окрема. Саме WhatsApp наприкінці 2024 року виявив і перервав кампанію Graphite, а в січні 2025-го напряму сповістив постраждалих — тих самих близько 90 користувачів у понад двадцяти країнах. Для компанії це не перший конфлікт із індустрією найманого шпигунського ПЗ. Ще у 2019 році Meta подала позов проти NSO Group в американському суді за експлуатацію вразливості у WhatsApp, і у 2025-му присяжні зобов’язали NSO виплатити понад 167 мільйонів доларів відшкодування. Apple свого часу подавала аналогічний позов, хоч згодом і відкликала його, побоюючись розкриття власних методів захисту.
Технічно виявлення таких атак лишається важким саме тому, що вони не потребують помилки жертви. Немає підозрілого посилання, на яке хтось клікнув, немає завантаженого вручну файлу. Слід лишається хіба у службових журналах пристрою й на серверах оператора — і часто зникає після перезавантаження чи оновлення системи. Тому кожне підтверджене зараження, як у справі Канчеллато, — це радше виняток, що вцілів завдяки збігу обставин і роботі криміналістів, ніж правило. Скільки заражень лишилися невиявленими, не знає ніхто.
Хто збудував Graphite і хто ним володіє
Paragon Solutions заснували 2019 року двоє людей із самого ядра ізраїльського безпекового істеблішменту. Один із співзасновників — Егуд Барак, колишній прем’єр-міністр Ізраїлю. Другий — Егуд Шнеорсон, який у 2013–2017 роках командував Підрозділом 8200, елітною структурою радіоелектронної розвідки Армії оборони Ізраїлю. До засновницької групи входять також Ігор Богудлов, Ліад Авраам і Ліран Елькаям, а виконавчим директором компанії став Ідан Нурік.
Продукт компанії з самого початку позиціонували як «чисту» альтернативу сумнозвісній NSO Group і її Pegasus. Paragon наголошувала, що продає інструмент лише демократіям і лише для боротьби з тероризмом і тяжкою злочинністю. На сайті компанії йшлося, що вона надає клієнтам «етично обґрунтовані інструменти, команди й аналітику». Італійський випадок показав, чого вартий цей маркетинг на практиці: серед задокументованих цілей опинилися не терористи, а редактор і рятувальники мігрантів.
У грудні 2024 року Paragon купила американська приватна інвесткомпанія AE Industrial Partners. За даними ізраїльських ділових видань, угода передбачала 500 мільйонів доларів одразу і ще до 400 мільйонів за досягнення бізнес-показників — тобто до 900 мільйонів сумарно. Серед попередніх інвесторів компанії були американський фонд Battery Ventures та ізраїльський Red Dot. Частка Егуда Барака оцінювалася в 10–15 мільйонів доларів до сплати податків. Угоду закрили ще до фінального схвалення ізраїльським Міноборони, що само собою викликало питання в Кнесеті.
Американська прописка власника — не деталь. Ще у 2023 році президент США Джо Байден підписав виконавчий указ 14093, який обмежував купівлю урядом США комерційного шпигунського ПЗ. Експерти тоді читали документ як удар по NSO Group із залишеним простором для компаній на кшталт Paragon, що продавали технологію лише найближчим союзникам Вашингтона. Згодом адміністрація Байдена все ж заборонила державні закупівлі й у самої Paragon — через задокументовані зловживання. При цьому американські силові структури від продукту не відмовилися: директор імміграційної служби ICE публічно захищав використання Paragon для боротьби із зашифрованими комунікаціями.
Слід у шести країнах, від Оттави до Сінгапура
Paragon завжди наполягала, що продає лише перевіреним демократіям — і саме це твердження стало предметом окремого розслідування Citizen Lab. У звіті «Virtue or Vice» дослідники, відштовхнувшись від підказки колеги про єдиний домен із характерними самопідписаними TLS-сертифікатами, розгорнули карту серверної інфраструктури Graphite. Вони виявили близько 150 пов’язаних сертифікатів у пошуковику Censys, приблизно половина з яких активно обслуговувалася на реальних IP-адресах.
Аналіз побудований на трьох рівнях. Перший — хмарні командні сервери, що безпосередньо працюють із зараженими телефонами. Другий — ймовірні вузли клієнтів на локальних телеком-провайдерах. Третій — пов’язані сертифікати. За цими слідами Citizen Lab назвав шість країн із ймовірними розгортаннями Paragon: Австралію, Канаду, Кіпр, Данію, Ізраїль і Сінгапур. Дослідники підкреслюють, що це лише частина картини, і метод не дозволяє перелічити всіх клієнтів.
Одна знахідка особливо промовиста. Адреса одного з клієнтських вузлів у Канаді збіглася з реєстрацією «Ontario Provincial Police – General Headquarters» — головного управління провінційної поліції Онтаріо. У США, за даними New York Times ще від 2022 року, Graphite використовувало Управління боротьби з наркотиками DEA. Контракт із імміграційною службою ICE наприкінці 2024 року, за повідомленнями, призупинили на час перегляду Білим домом.
Ця географія руйнує головний рекламний аргумент компанії. Список ймовірних клієнтів — не диктатури, а члени НАТО, ЄС і Співдружності. Кіпр і Данія — держави Євросоюзу, Канада й Австралія — партнери по розвідувальному альянсу Five Eyes. Проблема, як показує італійський випадок, не в тому, кому продають, а в тому, що навіть демократія бере інструмент проти журналістів і активістів, а потім не може або не хоче назвати замовника конкретної атаки.
Дві розвідки, два прокурори і звіт COPASIR
Італія була одним із клієнтів Paragon. Контракти на Graphite мали дві спецслужби — зовнішня розвідка AISE і внутрішня контррозвідка AISI. Координує їх Департамент безпекової інформації DIS. Коли скандал вибухнув, парламентський комітет із контролю за спецслужбами COPASIR провів власне розслідування і 5 червня 2025 року оприлюднив звіт.
Висновок комітету був подвійним і незручним. З одного боку, COPASIR підтвердив, що італійські розвідки справді застосовували Graphite проти Луки Казаріні та Джузеппе «Беппе» Каччі — активістів організації Mediterranea Saving Humans, яка рятує мігрантів у Середземному морі. Комітет визнав це стеження законним, оскільки воно нібито велося в межах розслідувань про сприяння нелегальній міграції.
Картина ускладнюється, коли додати інших фігурантів. Комітет також розглядав справу Маттіа Феррарі — капелана рятувального судна Mediterranea — і Девіда Ямбіо, співзасновника організації Refugees in Libya. Щодо Феррарі слідів стеження не знайшли. Щодо Ямбіо COPASIR визнав, що він був законною ціллю спостереження, але не через Paragon, а іншими методами перехоплення. Тобто держава підтвердила саму практику стеження за активістами, розмежувавши лише інструменти.
А от щодо журналіста Канчеллато комітет заявив, що не знайшов слідів: жодних записів у базах спецслужб, у журналах аудиту чи в запитах прокуратури. Тобто офіційно італійська розвідка Канчеллато не замовляла. А телефон його при цьому був заражений — це згодом підтвердила криміналістика прокуратури. Справу Пеллеґріно COPASIR узагалі не розглядав. Так утворилася прогалина, яку неможливо закрити з наявних офіційних документів.
Саме ця прогалина найбільше турбує дослідників. Якщо не італійські спецслужби стежили за редактором Fanpage.it — то хто? Джон Скотт-Рейлтон із Citizen Lab сформулював проблему прямо.
«Це робить неможливим відмахнутися від справи і одразу порушує серйозні питання про те, чому жодного підтвердження не було виявлено в попередніх офіційних розслідуваннях італійської влади».
Джон Скотт-Рейлтон, старший дослідник Citizen Lab, 2026
Контекст цільового вибору важливий. Fanpage.it — не абстрактне видання. У 2024 році його журналіст під прикриттям проник у молодіжне крило партії «Брати Італії» прем’єрки Джорджі Мелоні — організацію Gioventù Nazionale — і зафіксував, як її члени виконують фашистські пісні, гасла та вітання. Розслідування вдарило по правлячій партії. Через кілька місяців телефони двох ключових людей цього ж видання виявилися зараженими. Прямого доказу зв’язку між цими подіями немає, але збіг у часі задокументований.
Мовчання, що триває рік
На початку 2025 року італійські прокурори надіслали Paragon офіційний запит про інформацію — через ізраїльський уряд, дипломатичними каналами. Вони просили компанію пояснити, як саме її продукт застосували проти журналістів і активістів, і хто був замовником. За рік слідства, як зафіксував TechCrunch у квітні 2026 року, відповіді так і не надійшло.
Сама Paragon подала конфлікт інакше. Компанія заявила, що розірвала контракт із Італією, бо італійська влада нібито відмовилася скористатися технічною процедурою, яка мала б підтвердити, чи справді Graphite застосовували проти Канчеллато. Італійська сторона в особі DIS відповіла, що відхилила цю пропозицію через ризики національній безпеці — розкриття такої процедури означало б показати виробнику деталі роботи власних спецслужб. Іншими словами, постачальник шпигунського ПЗ представив припинення співпраці як власне етичне рішення, а держава-клієнт — як захист секретності. Замовник конкретної атаки в цьому обміні заявами так і лишився невидимим.
Amnesty International, яка окремо документувала зараження, назвала італійський випадок доказом системного явища. Радниця організації з питань цільового стеження Еліна Кастільйо Хіменес була різкою в оцінці.
«Відкриття, що надзвичайно інвазивне шпигунське ПЗ Graphite від Paragon незаконно застосували проти ще одного журналіста в Італії, Чіро Пеллеґріно — на додачу до списку інших цілей — підтверджує стрімке поширення й системний характер зловживань шпигунським ПЗ в Італії та інших країнах Європи».
Еліна Кастільйо Хіменес, радниця Amnesty International з питань цільового стеження, 13 червня 2025
Amnesty вимагає від італійської влади повністю розкрити деталі операцій стеження, забезпечити механізм відшкодування для жертв і повністю заборонити Graphite. Правозахисники наголошують на структурній ваді всієї індустрії: коли ПЗ продають через закриті державні контракти, а виробник відмовляється співпрацювати навіть із прокуратурою держави-клієнта, встановити замовника конкретної атаки майже неможливо. Компанія посилається на комерційну таємницю й міждержавні угоди, замовник — на секретність спецслужб, а жертва лишається без відповіді.
Пеллеґріно публічно висловив те, що відчувають більшість фігурантів справи.
«Я вражений і стривожений мовчанням, яке досі зберігає італійський уряд щодо всієї цієї справи».
Чіро Пеллеґріно, журналіст Fanpage.it, 2025
Graphite у ряду з Pegasus
Італійська справа не поодинока — вона лише свіжий епізод у ширшій історії найманого шпигунського ПЗ, яке продають держави одна одній. Найвідоміший приклад — Pegasus компанії NSO Group, яким, як задокументовано, стежили за журналістами й опозиціонерами від Мексики до Марокко. Про механіку одного з таких контрактів ми докладно писали в матеріалі про те, як ексагент марокканської розвідки DGST підтвердив стеження через Pegasus.
Технологія змінюється, логіка лишається тією самою, що й у державних систем масового перехоплення. Десятиліттями розвідки читали чужу пошту й дзвінки через власні канали — від альянсу Five Eyes із його ECHELON і PRISM до історії, коли ЦРУ і BND через фірму Crypto AG десятиліттями читали шифри 120 держав. Комерційний шпигунський софт лише зробив цю здатність товаром, який може купити майже будь-який уряд — без власного Підрозділу 8200 чи АНБ. Ринок демократизував стеження, і саме тому воно розповзлося по країнах ЄС.
Італія — далеко не перший спайверний скандал у ЄС. Ще у 2022 році Європарламент створив спеціальний комітет PEGA, який задокументував зловживання шпигунським ПЗ у кількох країнах-членах. У Греції справа «Predatorgate» показала, що через ПЗ Predator стежили за журналістом Танасісом Кукакісом і лідером опозиційної партії ПАСОК, євродепутатом Нікосом Андрулакісом — скандал дійшов до оточення прем’єра Кіріакоса Міцотакіса. У Польщі попередній уряд партії PiS застосовував Pegasus проти опозиції, зокрема проти сенатора Кшиштофа Брейзи під час виборчої кампанії 2019 року.
В Іспанії розслідування Citizen Lab під назвою «CatalanGate» виявило щонайменше 65 осіб, пов’язаних із каталонським рухом за незалежність, чиї телефони заражали Pegasus або спорідненим ПЗ Candiru. Паралельно з’ясувалося, що жертвами стеження стали й самі іспанські урядовці, включно з прем’єром Педро Санчесом. Кожен із цих епізодів завершувався однаково: гучними заявами, парламентськими слуханнями — і майже нульовою кількістю вироків. Виробник щоразу лишався поза досяжністю, а держава-замовник ховалася за секретністю. Італійська справа з Paragon рухається тією самою колією.
Європа, яка любить називати себе простором приватності, тут виглядає суперечливо. З одного боку, Брюссель роками веде дебати про захист персональних даних; з іншого — той самий регуляторний апарат просуває ініціативи, що розширюють моніторинг. Ми розбирали, як тривав спір навколо сканування приватних чатів у межах Chat Control, і як працює ринок, де брокери даних торгують деталями життя мільйонів. Приватний Graphite і державні бази стеження — це два кінці однієї труби.
Для читача в Берліні чи Варшаві висновок простий і неприємний: заражений телефон журналіста в Неаполі — це не італійська локальна історія. Той самий продукт, той самий механізм нульового кліку і той самий брак відповідальності однаково працюють у будь-якій країні ЄС. Ба більше, дедалі частіше межа між державним і приватним стеженням стирається, як показує і торгівля генетичними даними через комерційні ДНК-бази. Український емігрант, що читає новини з iPhone у метро, захищений тими самими оновленнями Apple, що й італійський редактор — і так само беззахисний перед наступною вразливістю нульового дня.
Для журналістики наслідки виходять за межі двох заражених телефонів. Коли редактор і керівник бюро видання, що розслідувало правлячу партію, дізнаються, що їхні пристрої були під контролем, під загрозою опиняються всі їхні джерела. Людина, яка передала Fanpage.it матеріали про молодіжне крило «Братів Італії», не має жодної гарантії, що її не ідентифікували. Ефект застрашення працює навіть без арешту: наступний потенційний інформатор двічі подумає, перш ніж написати журналістові. Саме тому міжнародні організації захисту преси розглядають зловживання шпигунським ПЗ не як технічний інцидент, а як пряму атаку на свободу слова.
Італійський випадок цінний саме тим, що вперше зламав звичну непроникність цієї індустрії: незалежна криміналістика Citizen Lab, підтвердження державної прокуратури й публічний парламентський звіт зійшлися в одному досьє. Відмова Paragon відповідати на запит суверенної держави-клієнта — не юридична дрібниця, а демонстрація того, що виробник найманого шпигунського ПЗ вважає себе непідзвітним навіть тим, кому продає. Поки цю модель не зламано в суді, кожне «етичне» гасло на сайті таких компаній лишається лише рядком маркетингу.
Станом на середину 2026 року розслідування прокуратур Рима й Неаполя триває без відповіді від Paragon. Особа замовника зараження телефону Франческо Канчеллато офіційно не встановлена. Наступний крок за італійськими слідчими, які мають вирішити, чи зможуть пред’явити звинувачення без співпраці виробника — і чи погодиться ізраїльський уряд посприяти запиту, який рік лежить без руху.
Незалежні новини від News Group – Дякує Вам за підтримку та активність, ми цінуємо кожного, та хвилюємось за Вас, якщо ви бажаєте підтримати наш проєкт або додати пропозицію.
Для звʼязку переходьте за посиланнями:
Приєднуйтесь до соціальної мережі для інвесторів та підприємців VIR.GROUP — live-стрічка проектів, ескроу-угоди, VIR AI аналітика і Matrix-чат.
VIR.GROUP is available on Google Play VIR.GROUP is available on the App Store
Наша захищена Мережа Mastodon
