Trentasei milioni: tanti, decina più decina meno, sono in Italia gli uomini e le donne che hanno subito un furto. Cosa è stato rubato? Dati sensibili. I loro (i vostri, i nostri) nomi, cognomi, data e luogo di nascita, sono ora in mano a chi li vuole, disponibili su internet. Chi ha gli strumenti di calcolo necessari può utilizzarli per profilarci, e quindi ritagliarci addosso una campagna pubblicitaria (o elettorale, vedi Cambridge Analytica) su misura: cose già viste, in effetti. Ma, quel che è peggio, qualunque malintenzionato, volendo, è in grado di calcolare i codici fiscali di più di metà degli italiani, e magari di incrociarli con indirizzi e-mail e numeri di telefono. Rubati anche quelli.
Trentasei milioni è la quota italiana di vittime di un furto di dati riservati che, per dimensioni, ha del clamoroso. Derubati totali: oltre 533 milioni di uomini e donne, giovani e meno giovani, distribuiti in 106 Stati, da un capo all’altro del pianeta. Più di mezzo miliardo di persone. I loro (i vostri, i nostri) dati sono stati rubati a Facebook nel 2019, due anni fa, ma lo si è saputo solo di recente, all’inizio di aprile, grazie a un report di Business Insider. In Italia, in pratica, nove iscritti su Facebook su dieci sono stati derubati. L’azienda di Mark Zuckerberg ha spiegato di aver “turato la falla” subito dopo il furto. I dati, però, erano già stati presi. E sono online.
E fosse solo Facebook. A metà aprile si è saputo che altri 500 milioni di profili sono stati saccheggiati da LinkedIn: il database con nomi e cognomi e relative e-mail, numeri di telefono, dettagli legati alla propria attività professionale, è in vendita sul dark web per 1.800 dollari. Finito? Macché: gli hacker hanno anche messo le mani sui registri elettronici di 2.500 scuole italiane che si appoggiano alla piattaforma Axios (scelta da 4 istituti su 10 nel nostro paese). Dentro ci sono nomi e cognomi di centinaia di migliaia di studenti, voti, comunicazioni fra insegnanti e genitori, presenze e assenze. Anziché pagare il riscatto chiesto dai pirati informatici per sbloccare i registri, Axios ha sporto denuncia alla polizia postale e ha chiesto aiuto a due aziende specializzate statunitensi. “Non c’è stata divulgazione né perdita di dati”, ha garantito Axios: “La privacy degli studenti è salva”. Chissà. Intanto, per il sicuro, in Sardegna una delle scuole derubate, l’istituto comprensivo di Muravera, per alcuni giorni è tornata a utilizzare il vecchio ma sicuro registro cartaceo.
Ma tutti quei vostri, nostri dati in giro per la rete? Il rischio minimo, ora, è di essere esposti a tentativi di phishing, le tipiche truffe che viaggiano sulla posta elettronica: anche questa, ormai, roba già vista (per quanto ancora molti ci caschino).
Ma ci sono altri rischi. Il Garante della Privacy italiano, per esempio, ha chiesto a Facebook di creare un servizio che consenta agli iscritti di sapere se i loro dati sono tra quelli rubati o no. E ha anche lanciato un allarme: “Attenzione alle anomalie sull'utenza telefonica”. Che significa? Il Garante invita a far caso, per esempio, a “l’improvvisa assenza di campo in luoghi dove normalmente il cellulare ha una buona ricezione. Un tale evento potrebbe essere il segnale che un criminale si è impossessato del nostro numero di telefono per usarlo a scopo fraudolento”.
Che fare? In caso di anomalia, suggerisce il Garante, è bene contattare immediatamente il proprio “operatore telefonico per verificare le ragioni del problema e, in particolare, per verificare che terzi, fingendosi noi, non abbiano chiesto e ottenuto un trasferimento della nostra numerazione su un’altra Sim”.
Di che si tratta? È quello che viene chiamato “Sim swapping”: se il vostro numero di telefono è la chiave di autenticazione per accedere a certi servizi online, il rischio è che qualcun altro, trasferendo il vostro numero su una sua Sim, vi acceda spacciandosi per voi. Brutta prospettiva.
In attesa che Facebook decida se avviare il servizio richiesto dal Garante, è possibile sapere se siamo fra i 9 utenti su 10 derubati o rientriamo in quella piccola percentuale di fortunati? Sì. La testata CyberSecurity360 suggerisce il sito Have I Been Pwned? Creato dall’australiano Troy Hunt: all’indirizzo https://haveibeenpwned.com/ è possibile inserire il proprio indirizzo e-mail o il proprio numero telefonico (ovviamente preceduto dal prefisso internazionale: per l’Italia +39) per sapere se è fra i dati trafugati. Chi vi parla ha scoperto così che un suo indirizzo mail e un suo numero telefonico sono stati “ricettati” (pawned, in inglese). Se è successo anche a voi, meglio rinnovare la password e indicare un nuovo numero o un nuovo indirizzo e-mail come identificativo per eventuali servizi online. E magari, chissà, iniziare a considerare se la rete sia il posto migliore per conservare ciò a cui teniamo davvero.