Il primo rimedio ai furti dei dati sui social si chiama Registro pubblico delle opposizioni

La legge che permetterebbe di non ricevere telefonate fastidiose di telemarketing per ora giace inattuata, a 4 anni dall’approvazione: eppure consentirebbe di tamponare le conseguenze di data breach come quello di Facebook

Un miliardo di vittime in appena pochi giorni danno la misura della sicurezza in cui versano i dati degli utenti dei social network, che da merce pagata soldi sonanti sono diventati qualcosa di non troppo dissimile dalle figurine da scambiare. Oggi per sapere il numero di telefono di chiunque basta un click, e l’assuefazione da attacchi informatici ci ha fatto dimenticare anche le piccole cose che potremmo fare per tutelarci: come il Registro pubblico delle opposizioni. Ma andiamo con ordine. 

Prima è stata la volta di Facebook, che a causa di un errore di configurazione (corretto nel 2019), ha permesso a ignoti di acquisire nomi, email, luoghi di residenza e numeri di telefono di circa 533 milioni di utenti, di cui 35 milioni in Italia. Ma poche ore dopo è arrivata la breaking news: su un forum nel dark web – la rete informatica accessibile solo tramite specifici software e generalmente più sicura di internet – è ora in vendita un nuovo archivio, contenente i dati di 500 milioni di utenti Linkedin, il social network dedicato ai professionisti. L’hanno scoperto i ricercatori di CyberNews, che hanno potuto analizzare un campione di 2 milioni di record, offerto per la cifra simbolica di 2 dollari: secondo quanto promesso dal venditore anonimo sul forum, l’intero archivio è disponibile al migliore offerente: “Scrivetemi in privato per conoscere il prezzo” – si legge nell’annuncio – “4 cifre $ $ $ $ è il prezzo minimo”.

Al momento non è possibile stabilire con certezza se i 500 milioni di dati Linkedin siano reali e aggiornati, come precisa CyberNews, e il social non ha risposto a una loro richiesta di commento. Ma il problema è il medesimo di due mesi fa, quando i dati di Facebook erano stati offerti in vendita, prima di finire pubblicamente online, nella disponibilità di chiunque. Non è da escludere dunque che, tra qualche tempo, sarà possibile scaricare liberamente anche le informazioni personali del 67% degli utenti di Linkedin (che dichiara di averne complessivamente 740 milioni). 

Ma a chi servono questi dati, ordinati, completi e geolocalizzati? Non solo a truffatori e attaccanti informatici che li usano per condurre campagne malevole al fine di ingrassare le loro tasche truffando gli utenti. “Informazioni di tale precisione sono molto utili anche alle aziende di marketing, che comprano e vendono liste di utenti alla ricerca di potenziali clienti”, spiega a Wired Lorenzo Romani, analista di open source intelligence di Ifi Advisory, società di intelligence e gestione del rischio. “Il valore aggiunto di archivi di questo tipo è nella qualità dei dati, che include nomi e informazioni sulla residenza particolarmente preziose per promuovere beni o servizi” – chiosa Romani. “Sono anche gestibili con semplicità e permettono di isolare i numeri di telefono di tutte le persone che vivono in una data zona con appena due comandi da terminale”. Certamente uno scenario meno insidioso rispetto a quello del phishing, con il quale si induce un utente a cliccare su indirizzi web apparentemente legittimi, salvo poi utilizzarli come vettore per infettare i dispositivi e, magari, diffondere un malware. “Per la gran parte degli attacchi di questo tipo è sufficiente enumerare tutte le possibili combinazioni di numeri di telefono”, spiega Romani. Ma pur sempre fastidioso, soprattutto perché nella gran parte dei casi, il cittadino in Italia non ha modo di tutelarsi.

Eppure dovrebbe: più di un anno fa, a dicembre del 2017, il Senato ha approvato la norma che rende possibile l’estensione del registro pubblico delle opposizioni anche ai telefoni cellulari. L’Rpo è la lista – attualmente riservata alle utenze telefoniche fisse sugli elenchi telefonici – nella quale il cittadino può richiedere l’inserimento in modo da non essere disturbato dalle offerte di telemarketing. Una soluzione in stile opt-out: per non ricevere telefonate fastidiose che promuovono prodotti verso i quali non ho interesse, devo muovermi attivamente per negare il mio consenso. 

La legge del 2017 promette di cambiare tutto ciò, estendendo la lista ai telefoni cellulari e al contempo annullando anche tutti i consensi precedentemente prestati dagli utenti. Un modo per fare tabula rasa e ripartire da zero. In vigore dal 4 febbraio, il provvedimento dispone una scadenza perentoria: “Entro novanta giorni dalla data di entrata in vigore della presente legge, sono apportate le opportune modifiche alle disposizioni regolamentari vigenti che disciplinano le modalità di iscrizione e funzionamento del registro delle opposizioni”. Di giorni ne sono passati 1159. 

La norma rimane dunque inattuata e, a oggi, nessun cittadino ha la possibilità di affermare la propria volontà di non essere infastidito nel bel mezzo di una pennichella o di una riunione di lavoro, con continue telefonate che promuovono occasioni imperdibili o succedanei. Questo perché “non è stato ancora approvato dal ministero dello Sviluppo economico un regolamento attuativo che disponga le modalità e i tempi di attuazione della legge”, osserva Federconsumatori. 

Oggi sembra che l’iter per l’approvazione dei regolamenti attuativi con i quali la Fondazione Bordoni, che dal 2010 è incaricata di gestire l’Rpo, sia in procinto di dare compimento alla norma. Tuttavia, osserva Federconsumatori, le modifiche escluderanno la possibilità di revocare il consenso prestato in precedenza nell’ambito di contratti ancora attivi, oppure cessati da meno di un mese. “Ciò significa quindi che l’iscrizione al Registro delle opposizioni non impedisce a gestori e operatori di telefonia, luce, acqua, gas e altri servizi di continuare ad utilizzare i dati dei propri clienti per finalità commerciali nel caso in cui gli utenti coinvolti abbiano in passato acconsentito a tale operazione”, precisa l’organizzazione. Di buono c’è che i fornitori di servizi con i quali abbiamo un contratto non hanno dovuto acquisire i nostri dati da internet, o grazie all’intervento di qualche trafficante. Per tutti gli altri, l’Rpo non sarà una soluzione, ma quantomeno è un aiuto.