Dalla rimozione dei repository GitHub al nuovo equilibrio tra cybersicurezza, privacy e controllo delle comunicazioni

Una semplice applicazione di messaggistica è riuscita ad aprire uno dei dibattiti più delicati della cybersicurezza contemporanea. Il caso BitChat dimostra come le reti decentralizzate stiano ridefinendo il rapporto tra sicurezza nazionale, privacy, innovazione tecnologica e libertà digitale.

Introduzione

Può uno Stato impedire la diffusione di un’applicazione che, per sua natura, sfugge alle tradizionali infrastrutture di comunicazione?

È la domanda posta dal recente caso BitChat, l’applicazione di messaggistica decentralizzata sviluppata da Jack Dorsey, fondatore di Twitter (oggi X), che è finita al centro di un acceso confronto tra il governo indiano, la comunità open source e le organizzazioni impegnate nella tutela dei diritti digitali.

La vicenda, tuttavia, va ben oltre il destino di un singolo software.

Essa rappresenta uno dei primi casi concreti in cui emergono tutte le tensioni che caratterizzano la nuova governance del cyberspazio: sicurezza nazionale, libertà di comunicazione, resilienza delle reti, investigazioni digitali e sviluppo delle tecnologie decentralizzate.

Il caso BitChat si inserisce in un contesto internazionale più ampio, in cui la governance permanente del cyberspazio promossa dalle Nazioni Unite mira a definire regole condivise per la sicurezza e la stabilità dell’ecosistema digitale.

---

Che cos’è BitChat

BitChat è un’applicazione di messaggistica progettata per funzionare senza ricorrere a Internet, alle reti cellulari o a server centrali.

La comunicazione avviene attraverso una rete mesh Bluetooth, in cui ogni dispositivo funge contemporaneamente da terminale e da nodo di instradamento dei messaggi.

In questo modo le comunicazioni possono continuare anche in assenza di connettività tradizionale, purché i dispositivi siano all’interno della portata della rete mesh.

Dal punto di vista tecnologico, si tratta di una soluzione estremamente innovativa, destinata ad assumere un ruolo sempre più importante nei contesti di emergenza, nelle aree colpite da calamità naturali e, più in generale, in tutte le situazioni in cui le infrastrutture di comunicazione risultino indisponibili.

---

Il caso indiano

La questione è esplosa in seguito alle recenti proteste tenutesi a Nuova Delhi.

Secondo numerose fonti giornalistiche, durante alcune manifestazioni sarebbero state imposte limitazioni temporanee alla connettività a Internet in determinate aree urbane.

In questo contesto, alcuni manifestanti avrebbero iniziato a utilizzare BitChat e altre applicazioni mesh per continuare a comunicare anche in assenza di rete.

La risposta delle autorità non si è fatta attendere.

L’Indian Cyber Crime Coordination Centre (I4C), organismo facente capo al Ministero dell’Interno, ha disposto la rimozione dei repository su GitHub che contengono il codice dell’applicazione.

Secondo il Governo indiano, strumenti di questo tipo possono rendere estremamente complessa l’intercettazione legale delle comunicazioni, consentire l’elusione delle restrizioni di rete e offrire nuove opportunità operative a organizzazioni criminali e gruppi terroristici.

Le preoccupazioni espresse dalle autorità indiane trovano riscontro anche nel Rapporto Europol 2026 sul terrorismo nell’Unione europea, che evidenzia il crescente ricorso a tecnologie resilienti, comunicazioni cifrate e strumenti decentralizzati.

---

Una questione che va oltre l’India

Ridurre questa vicenda a un semplice confronto tra il Governo e gli sviluppatori significherebbe coglierne soltanto l’aspetto più superficiale.

Il vero tema riguarda il rapporto tra l’evoluzione tecnologica e la capacità degli Stati di esercitare le proprie funzioni fondamentali di sicurezza.

Negli ultimi anni il paradigma investigativo è già stato profondamente modificato dalla diffusione della crittografia end-to-end, delle VPN, della rete Tor e delle piattaforme decentralizzate.

BitChat rappresenta un ulteriore passo in questa evoluzione.

Se con Signal o WhatsApp le comunicazioni transitano comunque attraverso le infrastrutture di Internet, nel caso delle reti mesh viene meno lo stesso presupposto dell’esistenza di una rete centrale.

È una trasformazione destinata ad avere profonde implicazioni giuridiche e operative.

Tecnologie come BitChat impongono una conoscenza continua del rischio, basata su monitoraggio dinamico, intelligence e aggiornamento costante delle capacità analitiche.

---

Sicurezza nazionale e libertà digitale: un equilibrio sempre più delicato

Il caso BitChat ripropone uno dei temi più complessi della contemporaneità.

Da una parte vi sono esigenze difficilmente contestabili:

• contrasto al terrorismo;
• prevenzione della criminalità organizzata;
• tutela dell’ordine pubblico;
• possibilità di effettuare intercettazioni legalmente autorizzate.

Dall’altra emergono valori altrettanto rilevanti:

• tutela della privacy;
• libertà di comunicazione;
• resilienza delle infrastrutture;
• sviluppo del software open source;
• innovazione tecnologica.

La difficoltà consiste nel costruire un equilibrio che non sacrifichi integralmente uno di questi interessi a favore dell’altro.

---

Le implicazioni per l’intelligence e le investigazioni

Dal punto di vista investigativo, tecnologie come BitChat non eliminano la possibilità di svolgere attività di intelligence.

Ne modificano però profondamente il paradigma.

In un contesto operativo di polizia giudiziaria, il caso BitChat non è soltanto una sfida tecnica, ma l’emblema della necessità di un profondo cambiamento nell’approccio metodologico alle attività investigative.

A mio parere, infatti, le attuali metodologie d’indagine appaiono in parte fossilizzate su strumenti tradizionali (come le intercettazioni telematiche presso i provider) che, in taluni contesti criminali radicati, risultano ormai poco efficaci a causa della crescente decentralizzazione tecnologica.

Quando le comunicazioni avvengono tramite Bluetooth mesh, viene meno il presupposto stesso di una rete centrale monitorabile, rendendo i classici decreti di intercettazione dei flussi quasi obsoleti in assenza di un server di transito.

Questo scenario impone un’evoluzione delle strategie di contrasto che deve basarsi su:

• Intelligence Multidisciplinare: è fondamentale superare la logica del singolo strumento a favore di un’integrazione tra HUMINT (per mappare i nodi fisici sul territorio), attività sotto copertura e analisi forense “live”.
• Digital Forensics sul terminale: poiché i dati risiedono solo sul dispositivo e possono essere cancellati istantaneamente (funzione Emergency Wipe), la tempestività del sequestro e dell’analisi dei database locali (e dei relativi metadati geohash) diventa il fulcro dell’acquisizione probatoria.
• Cooperazione e OSINT: il monitoraggio dello sviluppo del software open source e la collaborazione internazionale per colpire le infrastrutture di supporto (come i relay di Nostr) sono essenziali per colmare il vuoto lasciato dalle intercettazioni tradizionali.

In sintesi, il progresso tecnologico sta mettendo costantemente alla prova gli strumenti giuridici e investigativi.

L’innovazione tecnologica non riguarda soltanto le comunicazioni, ma anche le modalità di movimentazione dei fondi, come dimostra il fenomeno del money muling, sempre più utilizzato per occultare la provenienza delle risorse finanziarie.

La consapevolezza che l’attuale paradigma debba essere superato per mantenere l’efficacia dell’azione investigativa è un punto focale che verrà affrontato in un apposito articolo di approfondimento, dedicato all’analisi dei limiti dei sistemi attuali alla luce delle architetture serverless e dell’evoluzione operativa delle consorterie criminali.

La diffusione di strumenti decentralizzati conferma la necessità di aggiornare costantemente le metodologie investigative e i sistemi di prevenzione, come evidenziato anche dai nuovi indicatori UIF sulle frodi informatiche.

---

La mia esperienza in India

Avendo svolto per diversi anni il mio incarico presso l’Ambasciata d’Italia a Nuova Delhi, ho avuto modo di conoscere da vicino il contesto istituzionale e le particolari esigenze di sicurezza che caratterizzano un Paese vastissimo, contraddistinto da profonde differenze territoriali, tensioni sociali, minacce terroristiche e sfide geopolitiche di straordinaria complessità.

Questa esperienza induce a leggere le decisioni, come quella assunta nei confronti di BitChat, con uno sguardo equilibrato, evitando valutazioni semplicistiche.

Le autorità indiane sono chiamate a confrontarsi quotidianamente con problematiche di ordine pubblico e di sicurezza nazionale che richiedono strumenti efficaci di prevenzione e di risposta.

Allo stesso tempo, ogni intervento limitativo sulle tecnologie di comunicazione deve confrontarsi con il principio di proporzionalità, con la tutela delle libertà fondamentali e con il rischio di creare precedenti suscettibili di incidere sull’innovazione e sullo sviluppo del software open source.

È proprio in questa ricerca di equilibrio che si gioca una delle sfide più significative della governance digitale contemporanea.

---

Una sfida destinata a diventare globale

Il caso BitChat dimostra che la cybersicurezza non può più essere affrontata esclusivamente con strumenti normativi nazionali.

Le reti decentralizzate, la crittografia avanzata, l’intelligenza artificiale e le nuove architetture distribuite stanno progressivamente modificando il rapporto tra cittadini, imprese e autorità pubbliche.

Non è un caso che anche le Nazioni Unite, attraverso il nuovo Global Mechanism, abbiano individuato la governance permanente del cyberspazio tra i temi strategici della sicurezza internazionale.

In questo scenario, gli Stati saranno chiamati a sviluppare modelli di regolazione capaci di coniugare innovazione, resilienza e tutela dei diritti fondamentali, evitando sia il rischio di un controllo eccessivo sia quello di un vuoto regolatorio.

L’evoluzione delle reti decentralizzate rappresenta un ulteriore tassello della più ampia convergenza tra cyber-crime e riciclaggio, che sta profondamente modificando gli strumenti di prevenzione e di contrasto.

---

Conclusioni

Il caso BitChat non riguarda soltanto una controversia relativa a un’applicazione di messaggistica.

È il simbolo di una trasformazione molto più ampia, nella quale il progresso tecnologico mette costantemente alla prova gli strumenti giuridici e investigativi tradizionali.

La vera sfida non consiste nel decidere se una tecnologia debba essere consentita o vietata, ma nel costruire un modello di governance capace di garantire, al contempo, sicurezza nazionale, libertà individuali e sviluppo dell’innovazione.

In definitiva, il dibattito aperto in India anticipa una domanda destinata a coinvolgere tutte le democrazie: come governare reti di comunicazione sempre più autonome, distribuite e difficilmente controllabili senza compromettere i principi dello Stato di diritto?

---

FAQ

Approfondimenti

1. Cos’è BitChat e come funziona la messaggistica Bluetooth mesh?

BitChat è un’applicazione di messaggistica decentralizzata peer-to-peer sviluppata da Jack Dorsey, co-fondatore di Twitter (ora X).

La sua caratteristica distintiva è la capacità di operare in modo completamente autonomo, senza necessità di connessione a Internet, di server centrali o di reti cellulari.

Funzionamento della messaggistica Bluetooth mesh

Il funzionamento dell’app si basa sulla tecnologia Bluetooth mesh, che trasforma radicalmente il modo in cui i messaggi vengono scambiati rispetto alle app tradizionali:

• Dispositivi come nodi: in una rete mesh, ogni smartphone che esegue BitChat funge contemporaneamente da terminale utente e da nodo di instradamento (relay).
• Connessione diretta: i dispositivi che si trovano in prossimità fisica si connettono direttamente tra loro tramite Bluetooth Low Energy (BLE).
• Relay multi-hop: un messaggio non deve necessariamente essere inviato direttamente dal mittente al destinatario; può viaggiare attraverso una catena di telefoni vicini, effettuando molteplici “salti” (hops), finché non raggiunge la destinazione.
• Rete ad hoc: questo sistema crea reti di comunicazione spontanee che non dipendono da provider di servizi o da infrastrutture fisse.

Vantaggi e Caratteristiche Principali

• Resilienza: la rete rimane operativa durante blackout, disastri naturali, proteste o in aree remote in cui i servizi Internet tradizionali sono indisponibili o limitati.
• Privacy e Anonimato: BitChat non richiede numeri di telefono, indirizzi email né la creazione di un account. I messaggi sono protetti da crittografia end-to-end e, per massimizzare la privacy, vengono archiviati solo sui dispositivi degli utenti e cancellati automaticamente dopo un breve periodo.
• Resistenza alla censura: poiché le comunicazioni non passano attraverso server centrali monitorabili, la tecnologia è intrinsecamente difficile da bloccare o intercettare per le autorità statali.
• Architettura Duale: alcune versioni (come quella per Android) integrano anche il protocollo Nostr per consentire la comunicazione globale quando è disponibile una connessione a Internet.

2. Perché il governo indiano ha ordinato la rimozione di BitChat?

Il governo indiano, attraverso l’Indian Cyber Crime Coordination Centre (I4C), un organismo del Ministero dell’Interno, ha ordinato a GitHub di rimuovere i repository di BitChat principalmente per motivi di sicurezza nazionale e di ordine pubblico.

Le motivazioni specifiche addotte dalle autorità includono:

• Aggiramento delle restrizioni di rete: il governo teme che l’app possa essere utilizzata per eludere i blocchi di Internet (Internet shutdown) imposti dalle autorità in situazioni di emergenza o di tensione sociale.
• Ostacolo alle intercettazioni legali: la natura decentralizzata e l’assenza di server centrali rendono estremamente difficili, se non impossibili, per le forze dell’ordine effettuare intercettazioni legali, identificare gli utenti o monitorare le comunicazioni.
• Coordinamento di attività illecite: c’è la preoccupazione che BitChat possa essere sfruttata per organizzare “assemblee illegali”, diffondere disinformazione o facilitare le operazioni di organizzazioni criminali e gruppi terroristici in modo non tracciabile.
• Mancanza di registrazione: a differenza delle app tradizionali, BitChat non richiede numeri di telefono né account, rendendo l’investigazione digitale e l’analisi dei metadati molto più complesse per gli inquirenti.

Contesto e basi legali

L’ordine è stato emesso il 23 luglio 2026, con un termine di sole tre ore per l’esecuzione, nel pieno delle proteste del Cockroach Janta Party (CJP) a Nuova Delhi.

Durante queste manifestazioni, erano state imposte limitazioni alla rete mobile e le autorità avevano notato l’interesse dei manifestanti per strumenti alternativi di comunicazione mesh.

Dal punto di vista giuridico, la richiesta si basa su:

• Sezione 79(3)(b) dell’Information Technology Act, 2000: impone agli intermediari (come GitHub) di rimuovere il materiale illegale dopo aver ricevuto una notifica formale.
• Regole IT del 2021: impongono alle piattaforme di collaborare con il governo per rimuovere contenuti che minacciano l’ordine pubblico.

Mentre il governo vede in BitChat una minaccia alla capacità di controllo dello Stato, organizzazioni come Internet Freedom Foundation (IFF) hanno criticato la mossa, definendola una restrizione incostituzionale all’accesso al software open source.

3. Cos’è il protocollo Nostr e come si integra con BitChat?

Il protocollo Nostr (Notes and Other Stuff Transmitted by Relays) è un protocollo di comunicazione basato su Internet che BitChat utilizza per estendere le proprie capacità al di là dei limiti fisici della rete Bluetooth.

Mentre il Bluetooth mesh consente comunicazioni locali e offline, Nostr fornisce a BitChat una portata globale e funzionalità aggiuntive quando è disponibile una connessione a Internet.

L’integrazione tra BitChat e Nostr avviene attraverso i seguenti meccanismi:

Architettura a Doppio Trasporto

BitChat adotta un’architettura duale che seleziona in modo intelligente il miglior metodo di invio:

• Bluetooth LE Mesh: utilizzato per i messaggi locali e quando si è offline.
• Relay Nostr: utilizzati per la messaggistica basata su Internet, consentono di raggiungere utenti in tutto il mondo tramite relay pubblici.

Funzionalità integrate tramite Nostr

• Canali basati sulla posizione: BitChat crea stanze di chat geografiche utilizzando le coordinate geohash trasmesse tramite i relay di Nostr. In queste aree geografiche si utilizzano chiavi effimere per garantire la riservatezza.
• Fallback per messaggi privati: se due utenti si sono scambiati i “preferiti” (mutual favorites) e la rete mesh Bluetooth non è disponibile, l’app ripiega automaticamente sul protocollo Nostr per recapitare i messaggi privati.
• Instradamento Intelligente: un componente interno, chiamato MessageRouter, gestisce lo smistamento dei messaggi tra la rete mesh e Nostr, occupandosi anche della coda di invio e dei tentativi di riconnessione in caso di peer non raggiungibile.

In sintesi, Nostr funge da infrastruttura di supporto che garantisce a BitChat la resilienza di una rete mesh senza rinunciare alla connettività globale tipica delle app di messaggistica tradizionali.

4. Quali sono le principali vulnerabilità di sicurezza scoperte in BitChat?

Le principali vulnerabilità di sicurezza scoperte e analizzate dai ricercatori in BitChat includono difetti di progettazione iniziali e criticità tecniche specifiche:

• Attacchi Man-in-the-Middle (MitM): è stata dimostrata la possibilità di condurre attacchi di tipo Man-in-the-Middle sfruttando un sistema di autenticazione dell’identità compromesso. Questa falla consentirebbe a un utente malintenzionato di impersonare contatti di fiducia all’interno della rete.
• Limiti della Forward Secrecy: l’applicazione non raggiunge gli standard industriali più elevati, come il protocollo Double Ratchet adottato da app come Signal. Sebbene BitChat offra la forward secrecy a livello di sessione, le chiavi di crittografia rimangono statiche per tutta la durata della sessione, anziché cambiare per ogni singolo messaggio.
• Buffer Overflow: nelle prime fasi del rilascio, è stata identificata una vulnerabilità di buffer overflow. Lo sviluppatore ha risposto rapidamente rilasciando una patch correttiva in meno di quattro ore dalla segnalazione.
• Assenza di sistemi di trasparenza delle chiavi: in quanto sistema decentralizzato e serverless, BitChat manca di un’infrastruttura centrale in grado di gestire i registri di trasparenza delle chiavi (key transparency). Questo rende la verifica delle chiavi su larga scala molto più complessa rispetto a quella delle piattaforme centralizzate, in cui tali sistemi contribuiscono a prevenire gli attacchi di impersonazione.
• Immaturità del codice iniziale: lo stesso Jack Dorsey ha riconosciuto che, sebbene le funzionalità di base dell’app fossero state sviluppate in un solo weekend, l’implementazione della sicurezza iniziale non era “per nulla robusta o sufficientemente progettata“.

Per rispondere a queste critiche, il progetto è stato aggiornato adottando il Noise Protocol framework (nello specifico il pattern XX con X25519 e ChaCha20-Poly1305), volto a rafforzare l’autenticazione e la gestione delle sessioni crittografate.

Nonostante questi miglioramenti, gli esperti di sicurezza suggeriscono di non fare affidamento sull’app per comunicazioni estremamente sensibili finché il software non avrà raggiunto una maggiore maturità e non avrà subito audit completi.

Vincenzo Tuzi è consulente in materia di compliance, antiriciclaggio, antifrode e tutela della legalità economica. Già Generale di Brigata della Guardia di Finanza e insignito della Medaglia d’Argento al Valor Civile, ha maturato una lunga esperienza nelle investigazioni economico-finanziarie, nella proprietà intellettuale, nel contrasto alla contraffazione e nella cooperazione internazionale. Su Regolo pubblica analisi e approfondimenti dedicati ai temi della compliance, del rischio, della legalità economica, dell’ambiente, della geopolitica e della storia.