A novembre dello scorso anno, un rapporto pubblicato dal programma di notizie tedesco Panorama 3 ha rivelato che diverse estensioni stavano vendendo le cronologie dei propri utenti al miglior offerente. Quello che abbiamo ora è una sorta di continuazione di quel rapporto, presentata dalla giornalista Svea Eckert e dal ricercatore Andreas Dewes all'ultima conferenza DEF CON di Las Vegas. In termini semplici, sono riusciti ad accumulare tre miliardi di indirizzi URL appartenenti a tre milioni di utenti tedeschi, e tutto ciò che hanno fatto è stato creare una società fittizia dedicata al marketing.
«Se non paghi per un servizio, il prodotto sei tu»
Questo è ciò che hanno dimostrato la giornalista Svea Eckert e il ricercatore Andreas Dewes nell'ultima edizione della conferenza DEF CON. Il primo passo è stato creare una società fittizia, che in teoria si occupava di marketing. Molte immagini, un profilo LinkedIn impeccabile del suo «CEO» e un «portale di carriera» per unirsi al team, così convincente che hanno persino ricevuto alcune candidature. L'ultimo progetto dell'azienda era un algoritmo basato sull'apprendimento profondo che poteva migliorare il posizionamento dei prodotti, a condizione che si addestrasse con un ampio pacchetto di dati. Il processo si è rivelato un po' più lungo del previsto perché la 'società' era interessata solo alle informazioni degli utenti tedeschi, ma alla fine l'hanno ottenuta gratuitamente, per gentile concessione di un broker interessato a valutare l'algoritmo.
La parte peggiore è che Dewes è riuscito a «de-anonimizzare» una buona parte degli utenti. Un esempio lampante arriva da chi visita la sezione analitica di Twitter: l'indirizzo contiene il nome dell'account e si suppone che solo l'utente possa vederlo, quindi è automaticamente collegato. Nel peggiore dei casi, appena dieci indirizzi sarebbero sufficienti per identificare qualcuno, e a dire il vero lo hanno già fatto. Non dimentichiamo che Netflix è stata citata in giudizio per una situazione simile nel 2009, e ha dovuto raggiungere un accordo privato.
