C’è un modo giusto e un modo sbagliato di proteggere i dati delle persone. E poi c’è una FAMOSA AZIENDA DI TRASPORTI della mia provincia, che qualche anno fa ha deciso di non proteggerli affatto, e di lasciarli lì, su internet, come una ciotola di caramelle fuori dalla porta ad Halloween.

Facciamo un gioco. Hai un abbonamento dell’autobus. Nome, cognome, indirizzo, numero di telefono, mail, data di nascita: tutta roba che hai dato all’azienda per avere in cambio il diritto di stare in piedi su un mezzo in ritardo. Ti fidi, perché c’è una cosa che si chiama Codice della privacy, un decreto del 2003 pieno di articoli seri che dicono, più o meno: questi dati custoditeli bene, cifrateli, mettete una password, non lasciateli in giro.

La FAMOSA AZIENDA DI TRASPORTI il decreto l’ha letto. Lo so perché lo cita pure, sul suo sito, nella sua bella informativa sulla privacy. “Adottiamo idonee misure tecniche.” Idonee.

NON LA CERCAVO, CI SONO INCIAMPATO

Non è che una mattina mi sono svegliato con la voglia di frugare nei server di un’azienda di autobus. Avevo perso l’abbonamento. Vado allo sportello, mi fanno un foglio sostitutivo, uno di quei fogli provvisori che valgono finché non ti ristampano la tessera. Su quel foglio, in un angolo, c’è un QR code.

E i QR, si sa, sono fatti per essere scannerizzati. Salgo sull’autobus, inquadro, e intanto che il mezzo parte comincio a guardare dove mi porta. Arrivato alla fine della corsa avevo già i miei dati in bella vista sullo schermo del telefono. Non su un’app protetta, non dietro una password. Su internet, in una pagina aperta, raggiungibile da me esattamente come da chiunque altro avesse voglia di guardare.

E la domanda sorge spontanea: se questi sono i miei, e sono qui così, dove sono quelli degli altri?

COME FUNZIONAVA, SENZA GIRI DI PAROLE

Da qualche parte sui suoi server, l’azienda teneva acceso un piccolo servizio web. Non il sito con cui compri l’abbonamento, ma la roba dietro: uno di quei portali di servizio che di solito parlano solo con l’app ufficiale e con nessun altro. Solo che questo rispondeva a chiunque, senza chiedere chi fossi.

Funzionava così. Il servizio si aspettava un numero: quello della tua tessera. Tu gli passavi un numero di tessera, lui ti restituiva la scheda completa di quella tessera. In chiaro, senza login, senza cifratura, su una connessione normale. Nome, cognome, città, indirizzo, numero civico, telefono, mail, data di nascita: tutto impacchettato in un oggetto JSON, cioè un blocco di testo ordinato che un programma legge al volo. E sulla stessa pagina c’era pure la documentazione, la guida che spiegava quali domande fare e come farle. Gentilissimi.

Qui sta il primo errore. Un dato così, la scheda di un cliente, dovrebbe essere raggiungibile solo da chi ha fatto il login come quel cliente. Invece il numero di tessera faceva da chiave e da password insieme: se conoscevi il numero, avevi i dati. E chiedere “dammi la scheda della tessera 12345” non richiedeva di essere il titolare della 12345. Non richiedeva di essere nessuno.

Il secondo errore è quello che trasforma una fuga di un singolo dato in una fuga di tutti. I numeri di tessera non erano codici segreti lunghi e casuali. Erano numeri, e per giunta vicini tra loro: se la tua è la 12345, da qualche parte esistono la 12344 e la 12346. Non devi indovinarli, basta contare. E siccome il servizio rispondeva a tutti, quante volte volevi, senza mai dire “basta, troppe richieste”, a quel punto il salto è ovvio: invece di chiedere una scheda alla volta a mano, scrivi quattro righe di programma che le chiedono tutte, una dopo l’altra, in ordine. Lo lasci girare, vai a fare altro, e quando torni hai l’anagrafe degli abbonati di mezza città in un file.

Non ho dovuto bucare niente. Non c’era niente da bucare. È come denunciare un furto con scasso in una casa senza né porta né muri. E tecnicamente nemmeno illegale: raccogliere informazioni che un sito pubblica da solo è la stessa cosa che fa Google ogni mattina quando passa a indicizzare le pagine. L’illegale, semmai, era metterle lì.

LA PARTE CHE FA RIDERE, SE HAI LO STOMACO

Il bello è il contrasto. Da una parte il decreto, gli articoli, i commi, le “idonee misure”, il Responsabile del trattamento con tanto di nome e cognome sul sito, tutto l’apparato solenne della conformità. Dall’altra la realtà: una porta aperta con sopra scritto “PRIVATO — NON ENTRARE” che si apre da sola appena la sfiori.

Non è nemmeno cattiveria, ed è questo il punto. È peggio. È indifferenza. È qualcuno che ha spuntato la casella “privacy: sì” in una riunione e poi è andato a prendere il caffè, convinto che bastasse dirlo. I dati non te li rubano i geni del male col passamontagna. Te li perde la FAMOSA AZIENDA DI TRASPORTI che non ha messo la password, e che l’ha scoperto leggendo una mail educata di uno che glielo faceva notare.

E INDOVINA DI CHI ERA LA MAIL

Quella mail era la mia. Ho preso i miei dati trovati per caso, non quelli degli altri, e ho scritto all’azienda: guardate che il vostro sistema restituisce i dati personali dei clienti a chiunque li chieda, forse è il caso di mettere una password.

La risposta, in sintesi, è stata che quello che stavo facendo era illegale.

Illegale.

È come se un amico ti presta la bicicletta, e tu invece di metterci il lucchetto la vai a nascondere in un vicolo buio. Poi, quando inevitabilmente qualcuno te la incula, non ti chiedi perché non l’hai legata: ti arrabbi con quello che è passato di lì e ti ha fatto notare che la bici stava in mezzo alla strada. Il ladro, in questa storia, sarei io che te lo dico. Il vicolo buio, invece, va benissimo così.

E se tutta la roba di prima ti è sembrata arabo, immaginatela così. L’azienda tiene i dati dei clienti in un armadietto, uno sportello per ogni cliente, e ogni sportello ha un numero. Le regole dicono: lo sportello si apre solo con la tua chiave, e la chiave ce l’hai solo tu. Quello che aveva fatto l’azienda, invece, era un corridoio di sportelli senza serratura, in mezzo alla strada, con un cartello all’ingresso che spiegava come trovare lo sportello che volevi. Dici un numero, quello si apre, dentro c’è nome, indirizzo, telefono e data di nascita di uno sconosciuto. E siccome gli sportelli erano numerati in fila — 1, 2, 3, 4 — per svuotarli tutti non dovevi scassinare niente: bastava camminare lungo il corridoio e aprirli uno dopo l’altro. Ecco. Tutto qui. Niente hacker incappucciati, niente film. Solo un corridoio che non doveva stare in strada.

La prossima volta che un’azienda ti chiede i dati “per la tua comodità”, ricordati che la tua comodità è un conto, e la loro voglia di proteggerli è un altro. E che a volte l’unico motivo per cui i tuoi dati non sono già in mano a uno sconosciuto è che quello sconosciuto, quel pomeriggio, aveva di meglio da fare.

--
BY XOR-NAND