Da un’indagine del Washington Post è recentemente emerso un data breach della app Whispers che ha esposto i dati di circa 900 milioni di “sussurri” riconducibili a centinaia di milioni di utenti.
Whispers è un social network anonimo, il cui carattere distintivo è la possibilità di pubblicare anche senza alcuna iscrizione un post (un “whisper” o sussurro), consentendo ad altri utenti di aggiungere like, commenti e condividerne i contenuti, nonché la possibilità di inserire la localizzazione. Il punto di forza, comprensibilmente, deriva propria dalla pubblicazione anonima di segreti e dall’offerta di un confronto totalmente libero, rispondendo da un lato al bisogno di sfogo e dall’altro fornendo la possibilità di poter trovare ascolto o confrontarsi senza eccessivi filtri o timori. Per questo motivo molti sussurri riguardano confidenze intime, confronti su tematiche spesso di carattere sessuale o imbarazzanti, il più delle volte inconfessabili.
Alcuni esempi. Un sussurro confessa: “Mio figlio è stato concepito in un momento in cui tradivo suo padre…spero solo che non lo scoprirà mai”. Un altro, scritto da una ragazza di 16 anni: “Ho veramente veramente veramente veramente bisogno del consiglio di una mamma in questo momento.”.
Nella stessa presentazione dell’app viene posta particolare enfasi sulla possibilità di condividere i propri pensieri più intimi, potendo esprimere in modo libero tutte le proprie confessioni e i propri segreti, promuovendo così un’elevata aspettativa circa la tutela della riservatezza degli utenti, la cui età minima per l’iscrizione e la partecipazione al social è fissata a 13 anni.
Dei ricercatori indipendenti hanno però segnalato al Washington Post che il database con circa 900 milioni di sussurri risultava esposto al web e pubblicamente accessibile, dal momento che l’assenza di una password per l’accesso era dovuta al fatto di essere stato progettato per funzioni che non prevedevano query di ricerca. Per quanto sia stato rimosso in seguito alla segnalazione dell’anomalia, è stato presumibilmente pubblicamente consultabile per anni, con la possibilità di accesso anche ad ogni account ivi inclusi tutti i messaggi scambiati dagli utenti, nonché i dati relativi all’ultima connessione e, sempre stando alla segnalazione, anche le coordinate di geolocalizzazione. Su tale ultimo punto, però, la società madre di Whispers MediaLab aveva anche in passato smentito la raccolta di coordinate in assenza di autorizzazione da parte dell’utente, confermando la raccolta del solo indirizzo IP.
Il database contiene anche i nickname degli autori, età, etnia, genere, città natale e appartenenza a gruppi tematici, molti dei quali idonei a rivelare orientamento e abitudini di vita sessuale. La possibilità di collegare le informazioni così ottenute con altri dati può esporre ad un elevato rischio gli utenti, dal momento che ne consente un’identificazione indiretta.
Un data breach di questa portata è utile per comprendere il valore del mantenimento della sicurezza (in questo caso, sotto il profilo della confidenzialità) dei dati personali e la necessità di dover analizzare i rischi sin dalla fase di progettazione tenendo conto dei potenziali impatti che un data leak può produrre nei confronti degli interessati i quali ora rischiano, ad esempio, non solo di vedere esposte le proprie più intime confessioni ma anche di subire furti di identità o di credenziali nonché veri e propri ricatti aventi ad oggetto la non divulgazione di segreti scomodi.
Contrariamente a quanto sostiene la società madre di Whispers, MediaLab, il carattere facoltativo del conferimento di tali informazioni non può essere un elemento idoneo per applicare una sorte di caveat emptor in capo all’utente né solleva da alcuna responsabilità in ordine a progettazione e monitoraggio della sicurezza dei sistemi.
