Pochi giorni fa Sanyam Jain, un ricercatore indipendente americano, ha individuato online un database contenente oltre 419 milioni di voci riferite ad account Facebook privati. Il database non era criptato né protetto da password, quindi chiunque fosse riuscito a scoprirne l’indirizzo avrebbe avuto libero accesso ai dati contenuti.

Contattata GDI Foundation, una no-profit che si occupa di sicurezza informatica, Jain ha avviato una ricerca per risalire al proprietario del database, con scarsi risultati: i dati sono stati rimossi e l’ID disattivato. Non è chiaro quindi chi abbia raccolto i dati dal social network, violando la privacy di diversi milioni di persone, e per quale motivo.

Esposti numeri di telefono e altri dati personali

Le voci contenevano numerosi ID Facebook, le stringhe numeriche univocamente associate ai profili social, insieme ai numeri di telefono personali di tutti gli utenti. In molti casi erano presenti anche nome e cognome degli interessati, sesso e provenienza geografica, anche se sembra che circa la metà delle voci fossero duplicate (in tal caso, il numero di account a rischio scenderebbe a circa 250 milioni).

Poco importa che Facebook, interpellata dalle autorità privacy, abbia affermato che “non ci sono prove di intrusioni nei profili social degli interessati”: la mancata protezione dei dati sensibili degli utenti li ha comunque esposti a chiamate spam e truffe. Si pensi al recente rischio di hacking della SIM, tramite il quale chi ha un po’ di dimestichezza informatica può collegarsi ai nostri account che usano il numero di telefono come fattore di autenticazione.

La risposta di Facebook

TechCrunch, prima a dare la notizia, ha riportato anche un’altra dichiarazione di Jay Nancarrow, portavoce dell’azienda di Mark Zuckerberg, secondo cui il database in questione contiene dati obsoleti, probabilmente raccolti prima delle modifiche alla privacy policy attuate dal social network l’anno scorso.

Nancarrow si riferisce all’adeguamento GDPR che ha portato Facebook, nell’aprile 2018, a limitare l’accesso ai numeri di telefono degli utenti. Fino a quel momento, infatti, per chiunque (non necessariamente iscritto al social network) era possibile risalire a un account semplicemente a partire dal numero di telefono corrispondente. Dopo lo scandalo Cambridge Analytica Facebook, sotto l’inquisitoria lente d’ingrandimento delle autorità di tutto il mondo, si è visto costretto a rinforzare questa policy.

Che i dati siano “vecchi” e siano stati raccolti in precedenza, quindi, è possibile, fermo restando comunque che sono quasi tutti corretti.

Nuove norme di sicurezza privacy in arrivo?

Il social network, dopo due anni difficili (ultimo scandalo era stata la scoperta di app sviluppate da terze parti, ma integrate nella piattaforma, che acquisivano automaticamente i dati personali degli utilizzatori) prova a mettere un punto alla vicenda promettendo una nuova stretta sulla privacy e controlli più approfonditi.

Nel frattempo è bene ricordare che, se nei primi anni poteva avere senso condividere il numero di telefono con i propri amici virtuali, da quando Facebook è divenuto un fenomeno globale (e la cerchia di “amici” si è sempre più estesa) i nostri dati sono in generale più esposti e meno controllabili. In questo scenario, come sempre, la scelta migliore è quella di limitare le informazioni personali caricate online tutelando noi per primi la nostra privacy.

Vuoi qualche consiglio per proteggere i tuoi dati sul web? Leggi qui