Questo articolo è disponibile anche in versione podcast audio.

Ho già raccontato in una puntata molto recente di questo podcast, quella del 26 agosto scorso, gli incredibili e rapidissimi progressi dei programmi di intelligenza artificiale dedicati alla generazione di immagini, come Midjourney, DALL-E o Stable Diffusion, ma torno sull’argomento perché in queste ultime settimane quei progressi sono stati davvero straordinari, con novità su moltissimi fronti.

Se siete artisti digitali, o se il vostro lavoro è legato in qualche modo alle immagini, comprese quelle fotografiche e in movimento, è decisamente il momento di informarsi e riflettere seriamente su dove ci stia portando la tecnologia.

La prima novità è che è già crollata una delle più importanti barriere di accesso che citavo nel podcast solo tre settimane fa, ossia la difficoltà di installazione, che richiedeva computer potenti e spingeva molti utenti a rivolgersi a servizi online a pagamento o a rinunciare del tutto a sperimentare questi software. È uscito infatti Diffusion Bee, reperibile gratuitamente presso Diffusionbee.com, che è una versione di Stable Diffusion che si scarica e si installa con pochi clic su qualunque Mac dotato di processore M1 o M2.

Questo significa che moltissime persone possono cominciare a provare questi generatori, che creano immagini estremamente realistiche e artistiche partendo da un prompt, ossia da una semplice descrizione testuale in inglese del soggetto che si desidera, e lo possono fare gratuitamente e privatamente. 

[Il disegno di Scarlett Johansson in versione sirena mostrato qui sopra è un’immagine generata con il prompt “A beautiful portrait of scarlett johansson as a mermaid in a river of the amazon, ayahuasca, fantasy art, highly detailed, matte painting, visionary art” e pubblicata su Lexica.art.]

Diffusion Bee richiede molta memoria libera (16 GB sono consigliati), rallenta parecchio il computer e richiede tempo per generare una buona immagine sintetica, ma funziona e offre totale libertà creativa.

Inevitabilmente, questa libertà comporta delle conseguenze controverse. La più ovvia è che un’installazione sul proprio computer può essere facilmente modificata per togliere le restrizioni che nei generatori accessibili online impediscono di generare contenuti estremamente violenti o immagini fotorealistiche di celebrità o di minori in qualunque posa o situazione, soprattutto di natura intima. L’installazione locale inoltre permette di rimuovere i watermark o indicatori invisibili che rivelano che si tratta di immagini artificiali. 

Se temevate che i deepfake fossero un problema, non avete ancora visto cosa può fare un generatore di immagini quando gli vengono tolti i freni inibitori. Per esempio, c’è chi si indigna perché la Sirenetta nel prossimo film omonimo della Disney è di colore e quindi propone di usare questi software per creare una versione alternativa tutta bianca del film, indistinguibile da quella autentica.

Un’altra conseguenza controversa è che diventa possibile praticamente per chiunque creare dei falsi fotografici difficilmente distinguibili dalla realtà. In sostanza, non potremo più fidarci di un’immagine se non abbiamo una garanzia robusta della sua provenienza e autenticità.

Per esempio, in occasione dell’anniversario degli attentati alle Torri Gemelle e al Pentagono dell’11 settembre 2001 sono state diffuse su Twitter delle fotografie false, create da uno di questi generatori basati sull’intelligenza artificiale, che mostrano pompieri sorridenti che si fanno dei selfie davanti agli edifici in fiamme.

Lenny’s tweet is perhaps a joke, but the images are interesting. They are AI generated probably with Stable Diffusion.
There are several artifacts that are present in AI pics. I’m worried about the day when those signs are no longer visible. H/t @Valdevia_Art & @PicPedant pic.twitter.com/rrqwj4k5md

— HoaxEye (@hoaxeye) September 14, 2022

Per un osservatore non esperto, queste fotografie sintetiche di dubbio gusto sono indistinguibili da quelle reali. Per un complottista sono la conferma inoppugnabile delle sue teorie.

---

Senza arrivare a questi livelli di sovvertimento della realtà, le comunità degli artisti digitali sono agitatissime. In Colorado, un’immagine generata da Midjourney ha vinto il primo premio in un concorso d’arte, nella categoria degli artisti digitali emergenti. Molti artisti in carne e ossa si sono infuriati, ma Jason Allen, il creatore delle istruzioni testuali che hanno prodotto l’immagine vincente, ha risposto semplicemente che “È finita. L’intelligenza artificiale ha vinto. Gli umani hanno perso. L’arte è morta” (BBC).

Il fiume di immagini sintetiche generate da questi programmi ha spinto numerose comunità online di arte digitale a bandirle completamente; DeviantArt e ArtStation per ora resistono, ma sono invase da immagini generate.

Il problema, obiettano queste comunità, è che le intelligenze artificiali campionano il lavoro di altri artisti (umani) per creare le proprie immagini, e ne possono anche imitare lo stile. In alcuni casi ne imitano persino le firme.

Ma ci sono anche aspetti positivi in questa esplosione di immagini automatiche: diventa possibile una sorta di democratizzazione dell’arte, dove non è necessario saper disegnare o dipingere per fare arte o addirittura creare un intero album a fumetti in tre giorni, ma è sufficiente saper comporre i prompt, ossia le istruzioni che guidano la generazione delle immagini. L’intelligenza artificiale sarebbe quindi una sorta di assistente, un po’ come i normali programmi di grafica rendono facile produrre zone uniformemente colorate o sfumate.

Va detto che comporre questi prompt non è proprio facile e richiede una certa competenza e cultura, come hanno scoperto i primi aspiranti fumettisti che si sono lanciati nell’impresa. Per dare buoni risultati, i prompt devono essere frasi complesse e articolate, nelle quali la scelta di un singolo aggettivo può cambiare completamente il risultato che si ottiene.

[I prompt sono cose come questa: “Beautiful crying! female mechanical android!, half portrait, intricate detailed environment, photorealistic!, intricate, elegant, highly detailed, digital painting, artstation, concept art, smooth, sharp focus, illustration, art by artgerm and greg rutkowski and alphonse mucha”]

Se volete farvene un’idea, visitate Lexica.art, che è un grandissimo archivio di immagini sintetiche accompagnate dai prompt corrispondenti. 

Se si riesce a padroneggiare queste istruzioni si ottengono risultati notevolissimi.

Ma non è finita. Le applicazioni della generazione di immagini continuano ad aumentare. Per esempio, è stato proposto di usare questi generatori per assistere gli stilisti nella creazione di capi di abbigliamento. Una demo realizzata con il software DALL-E mostra un video di una modella che nella realtà indossa solo pantaloncini e una canotta di colore uniforme mentre si mette in posa, ma nell’elaborazione digitale indossa vestiti che cambiano in continuazione, seguendo i suoi movimenti e i cambiamenti dell’inquadratura. 

AI fashion show using dall-e to generate hundreds of outfits of the day after tomorrow. An interesting way to brainstorm costume and fashion design ideas.

Collab with @shyamagolden @OpenAI #dalle2 #dalle #aiart pic.twitter.com/Fewhk529r7

— Paul Trillo (@paultrillo) August 23, 2022

Oltre a essere un ausilio per la creatività degli stilisti, generando centinaia di varianti in pochi minuti, questo software permetterebbe di ridurre i tempi di lavoro delle modelle per i video promozionali, visto che non avrebbero più bisogno di svestirsi e rivestirsi e sfilare per ogni capo: sfilerebbero una volta sola e poi ci penserebbe l’intelligenza artificiale a fare tutto il resto.

E c’è un passo ancora più sofisticato. È uscito da poco Runway, un software che promette di creare intere scene animate o video fotorealistici partendo da semplici descrizioni testuali. Voi scriverete il copione e l’intelligenza artificiale genererà tutto il film, con gli attori e le musiche che volete voi.

Make any idea real. Just write it.

Text to video, coming soon to Runway.

Sign up for early access: https://t.co/ekldoIshdw pic.twitter.com/DCwXcmRcuK

— Runway (@runwayml) September 9, 2022

In un modo o nell’altro, insomma, nei prossimi anni verranno sovvertiti e rivoluzionati moltissimi settori della produzione artistica, e bisognerà inventarsi nuovi modelli commerciali e di copyright e nuovi sistemi di autenticazione per distinguere le immagini vere da quelle sintetiche. Tutti potranno diventare, potenzialmente, creatori di quantità infinite di arte. Oppure di ciarpame pseudoartistico senza originalità.

Fonti aggiuntive: Ars Technica, Ars Technica.

Questo articolo è disponibile anche in versione podcast audio.

È il 26 marzo 1976. Presso la sede del Royal Signals and Radar Establishment, un istituto di ricerca scientifica del Ministero della Difesa britannico situato a Malvern, nel Regno Unito e specializzato in telecomunicazioni, una donna si avvicina a un terminale connesso ad Arpanet, il precursore di Internet, e invia una mail con un testo molto complesso:

“This message to all ARPANET users announces the availability on ARPANET of the Coral 66 compiler provided by the GEC 4080 computer at the Royal Signals and Radar Establishment, Malvern, England. Coral 66 is the standard real-time high level language adopted by the Ministry of Defence.”

La donna, in altre parole, sta annunciando a tutti gli utenti di ARPANET che il compilatore per Coral 66, il linguaggio di programmazione realtime di alto livello standard adottato dal Ministero della Difesa del Regno Unito per i suoi computer, è disponibile online ed è fornito dal computer GEC 4080 presso l’istituto di ricerca stesso.

Un annuncio molto tecnico, insomma, che la donna firma usando il proprio nome utente: HME2. È l’acronimo di Her Majesty Elizabeth II, perché quel messaggio viene inviato appunto dalla regina Elisabetta II. Si tratta di una delle primissime mail mandate da un capo di stato. 

Intendiamoci, quel giorno la regina Elisabetta non ha rivelato di essere segretamente una hackeressa smanettona d’informatica: l’account e il messaggio sono stati preparati per lei da Peter Kirstein, l’uomo che era riuscito nell’impresa tecnica e politica non banale di collegare il Regno Unito, e specificamente l’Università di Londra, alla nascente rete informatica internazionale ARPANET nel 1973. 

Kirstein sarà poi uno dei principali artefici dell’adozione, una decina di anni più tardi, dei protocolli TCP/IP che permetteranno a computer di marche differenti di parlarsi usando una serie di regole condivise (un protocollo, appunto) e renderanno possibile Internet come la conosciamo noi. La sua vicenda è raccontata in dettaglio in un articolo di Wired del 2012, che include una foto della regina Elisabetta mentre manda questa fatidica prima mail.

Non sarà l’unico incontro della regina con la tecnologia: nel 1997 inaugurerà la prima versione del sito Web della famiglia reale (www.royal.uk), anticipando di vari anni persino molti giornali nazionali; nel 2007 lancerà il canale Youtube della famiglia (Youtube.com/c/TheRoyalFamilyChannel); nel 2010 arriverà su Facebook e nel 2014 manderà il suo primo tweet dall’account @RoyalFamily.

It is a pleasure to open the Information Age exhibition today at the @ScienceMuseum and I hope people will enjoy visiting. Elizabeth R.

— The Royal Family (@RoyalFamily) October 24, 2014

A marzo 2019 manderà il suo primo post su Instagram, dedicandolo nientemeno che al pioniere dell’informatica Charles Babbage.

Durante la pandemia da Covid-19, a giugno 2020 sarà la prima monarca del Regno Unito ad adottare le videoconferenze. 

---

Per dare un’idea di quanto sia cambiato il mondo nei suoi lunghi anni di regno, quando fu incoronata, a giugno del 1953, non esisteva la TV via satellite (anzi, non esistevano proprio i satelliti, visto che il primo, lo Sputnik, fu lanciato nel 1957). I segnali televisivi britannici non erano ricevibili nel continente americano se non in rare occasioni di riflessione sulla ionosfera e comunque con qualità scarsissima. 

Per far vedere alla TV americana e canadese la cerimonia della sua incoronazione con il minimo ritardo possibile, fu necessario realizzare una staffetta tecnica senza precedenti: le immagini televisive, rigorosamente in bianco e nero, furono riprese con una cinepresa, su pellicola 35 mm (perché all’epoca non esistevano i videoregistratori su nastro), e le pellicole furono caricate man mano su bombardieri militari Canberra della RAF. Le pellicole furono sviluppate durante il volo transatlantico e poi, una volta arrivate a terra, proiettate davanti a una telecamera per diffonderle ai telespettatori d’oltreoceano qualche ora dopo l’evento.

Oggi abbiamo non solo la TV via satellite ma anche lo streaming in tempo reale, a colori e in alta definizione, via Internet.

Può sembrare strano con gli occhi ipermediatici di oggi, ma all’epoca la trasmissione televisiva dell’incoronazione fu accompagnata da alcune polemiche, perché si riteneva poco dignitoso aprire al pubblico questo momento così rituale della monarchia. Alcuni membri del Parlamento e della famiglia reale britannica si opposero a questa presunta mancanza di rispetto e all’idea che qualche suddito potesse, per dirla con le parole di un membro del Parlamento, “assistere a questa Cerimonia solenne e significativa tenendo al gomito una tazza di tè” (Science Museum). Ma la regina in persona insistette per fare la diretta TV.

Mica male, per il fantomatico utente HME2.

Fonti aggiuntive: CBC, Pro Video Coalition, Bamagz, BBC, TV Insider. 

Pubblicazione iniziale: 2022/09/12 10:26. Ultimo aggiornamento: 2022/09/16 8:35.

In breve: La foto del manifesto che invita gli svizzeri a segnalare i vicini che tengono il riscaldamento a più di 19 gradi è un falso. Nessun manifesto o invito del genere è stato diffuso dalle autorità della Confederazione, che hanno formalmente smentito l’immagine.

Si tratta quasi sicuramente di un fotomontaggio realizzato inserendo digitalmente il falso manifesto in una fotografia stock di una bacheca per manifesti. 

In dettaglio: Sta circolando in maniera virale su Internet e in particolare sui social network l’immagine di un presunto manifesto che reca il logo ufficiale della Confederazione Svizzera, il numero del servizio stampa e informazioni dell’Ufficio Federale dell’Energia, la dicitura “Heizt der Nachbar über 19 Grad? Dann informieren Sie uns” (“Il vicino tiene il riscaldamento a più di 19 gradi? Allora avvisaci”) e la promessa di anonimato e di una ricompensa di 200 franchi (circa 200 euro).

L’Ufficio Federale dell’Energia ha dichiarato di non avere nulla a che fare con questa immagine e ne ha preso formalmente le distanze, secondo quanto riferito da 20min.ch e da Mimikama.at, che vi invito a leggere per i dettagli. Non si sa chi sia l’autore del falso, ma Mimikama nota che la sua prima apparizione è stata notata in un forum russo.

La Regione segnala che “Fra chi ci è cascato con tutte le scarpe, troviamo anche dei politici, come l’europarlamentare italiano, in quota Lega, Marco Campomenosi”. È troppo chiedere ai politici di essere più responsabili nell'uso dei social? Perché è difficile lottare contro le fake news se sono loro stessi a condividerle. 

 ---

21:20. L’indagine tecnica del collega David Puente, pubblicata su Open, ha trovato la fonte di entrambe le immagini usate per costruire quella falsa, rileva che il falso manifesto è stato promosso con forza dalla propaganda russa e che anche Maria Giovanna Maglie (opinionista ed ex giornalista Rai) ha condiviso la bufala.

---

2022/09/15 00:15. La Regione riferisce che la polizia federale svizzera ha “aperto ufficialmente un’inchiesta dopo aver ricevuto una denuncia per uso abusivo dello stemma e altri elementi della Confederazione.” Il Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni (DATEC) ha pubblicato sul proprio sito un avviso (copia permanente): “Notizia falsa - Da sabato circolano sui social media falsi post nei quali si invita a segnalare alla Confederazione i casi in cui un vicino riscalda la propria casa oltre i 19 gradi. La Confederazione non ha nulla a che fare con questo appello e ne prende le distanze in ogni forma. Il logo della Confederazione e il numero di telefono riportati sull'immagine sono stati utilizzati in modo abusivo. Non esistono manifesti né appelli di questo genere della Confederazione, si tratta ovviamente di un caso di manipolazione. La Confederazione ha avviato accertamenti a riguardo.”

Maggiori informazioni e analisi dettagliate sono su RSI e Swissinfo.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

L’ingresso al Festival è libero e gratuito; per alcune attività è necessaria la prenotazione e i biglietti si ricevono via mail.

Questa è la grafica, magnificamente sobria, del sito della BBC ieri, nel giorno dell’annuncio della morte della regina Elisabetta II, che ha regnato per settant’anni. 

La maggior parte dei suoi sudditi, e delle persone oggi viventi in qualunque paese del mondo, non ha nessun ricordo di un monarca britannico diversi da lei. Per il Regno Unito (sempre meno unito) è un momento atteso ma non per questo meno surreale: cambiano di colpo l’inno nazionale, le diciture su tutti i passaporti e tutti i documenti legali, i nomi dei tribunali e dei legali (il Queen’s Counsel diventa King’s Counsel), le buche delle lettere, le etichette dei prodotti, gli stemmi sui francobolli e sulle divise della polizia e mille altre sfaccettature della vita quotidiana.

Here is the moment Huw Edwards on BBC One announced the death of HM The Queen. pic.twitter.com/ar08Ox27Cr

— Scott Bryan (@scottygb) September 8, 2022

Come molti di voi sanno, sono cittadino britannico, nato a York, per cui la notizia mi tocca da vicino. Non sono mai stato un fan della famiglia reale e personalmente trovo che una monarchia sia una delle tante istituzioni insostenibilmente sfarzose e prive di senso nell’era moderna. Ma non posso che ammirare il garbo, la tenacia, la serietà e il pizzico di controllato umorismo con cui Elizabeth Alexandra Mary Windsor ha vissuto sotto i riflettori svolgendo per sette decenni un lavoro difficile che non si era neanche scelta.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

---

• Dati a spasso nel cloud: un’azienda italiana ha lasciato accessibili le scansioni dei documenti dei clienti
• Un ladro cerca di rubarmi l’account Instagram. Risate e tecniche di autodifesa

Questo articolo è disponibile anche in versione podcast audio. Ultimo aggiornamento: 2022/09/09 13:00.

Il cloud è bello. Permette di accedere ai propri dati da qualunque dispositivo in qualunque momento, consente la condivisione e la collaborazione, riduce i costi aziendali. Ma quando è fatto male e configurato peggio, apre la strada a disastri di sicurezza e i dati personali diventano accessibili e rubabili da chiunque. Oggi vi racconto uno di questi disastri.

Mi è arrivata la segnalazione confidenziale, tramite un’app di messaggistica sicura, di un’azienda italiana che ha un bucket Amazon completamente aperto e world-readable che causa un data leak gravissimo.

Traduzione: le scansioni dei documenti d’identità dei clienti di quell’azienda sono leggibili e scaricabili da chiunque usando un semplice programma di navigazione, senza dover digitare password o altro, in violazione di tutti i princìpi e le leggi sulla protezione dei dati personali. Nomi, cognomi, fotografie, tessere sanitarie, moduli con indirizzi di casa e date di nascita, insomma tutto quello che serve per un furto di identità di massa o per una serie di truffe online, è aperto e a disposizione di qualunque saccheggiatore.

Partiamo dalle basi. Un bucket è un contenitore di dati del servizio cloud di Amazon. Molti utenti comuni non lo sanno, ma Amazon, oltre a essere un immenso negozio online, è anche un grandissimo fornitore di servizi cloud. In pratica, numerosissime aziende di tutto il mondo affittano spazio sui server di Amazon e vi depositano i propri dati. Invece di costruirsi un cloud interno, con tutti i costi e le complicazioni del caso, creano un cloud sui computer di Amazon.

Il problema è che se questo cloud non viene impostato correttamente, i dati sono accessibili a chiunque, ossia sono leggibili da tutto il mondo: world-readable, appunto. Basta digitare in un qualsiasi browser il nome del bucket dell’azienda, che è facilmente reperibile o intuibile, seguito da .s3.amazonaws.com, e si ottiene un elenco di tutti i file presenti nel bucket.

A quel punto diventa banale creare un programma o script che legga questo elenco e si scarichi tutti i file del bucket della malcapitata azienda, creando una fuga di dati, ossia un data leak, di proporzioni epiche.

E in effetti il caso che mi è stato segnalato è particolarmente imbarazzante e grave. Ho verificato personalmente che i dati dei clienti dell’azienda, circa un migliaio di file, sono perfettamente accessibili. Non faccio il nome dell’azienda per ovvie ragioni di sicurezza e mi limito a dire che si tratta di un nome piuttosto noto nel settore della fornitura di energia elettrica e di gas in Italia.

Vedo per esempio la carta d’identità di Francesca, che abita a Casalecchio di Reno, e anche la sua patente e la sua tessera sanitaria. Vedo i documenti di Aurora, nata a Bologna nel 1997, e quelli parecchio sgualciti di Roberto, nato a Prato nel 1975. Di queste persone vedo date di nascita, indirizzi di casa, fotografie a colori. E ce ne sono tante, tante altre, inconsapevoli del fatto che i loro dati personali sono a spasso sul Web. Se vi siete mai chiesti come fanno i criminali ad aprire conti correnti o abbonamenti telefonici o altri servizi senza usare i propri dati personali e farsi tracciare, ora avete la risposta.

---

Ora che l’emorragia di dati è accertata, resta il problema di cosa fare. È impraticabile contattare i singoli utenti per avvisarli che le scansioni dei loro documenti sono accessibili via Internet e che quindi devono fare attenzione a eventuali attivazioni fraudolente di servizi a loro nome ed eventualmente denunciare l’azienda in questione per violazione delle norme sulla riservatezza dei dati. Gli utenti da contattare sarebbero troppi, e comunque molti di loro sarebbero diffidenti verso chiunque li contattasse con un avviso del genere.

Le vittime dell’errore informatico resteranno quindi, purtroppo, all’oscuro di tutto. Si potrebbe allora contattare l’azienda in questione e avvisarla. Ma chi mi ha segnalato il problema dice di averlo già fatto, senza ottenere risultato. L’ho fatto anch’io, trovando con fatica nel sito dell’azienda l’indirizzo di mail del responsabile per la protezione dei dati, e gli ho scritto avvisandolo che avrei raccontato pubblicamente la vicenda. Al momento in cui registro questo podcast non ho ancora avuto risposta. Ma un primo risultato sembra che ci sia: poco dopo l’invio della mia mail, i dati non risultano più accessibili. Forse la segnalazione ha avuto effetto.

Purtroppo capita spesso che le aziende facciano invece finta di niente e continuino a lasciare in bella vista i dati dei loro clienti nonostante siano state ampiamente avvisate. In casi come questi si finisce per fare una segnalazione al Garante per la privacy [in Svizzera si fa all’Incaricato Federale per la Protezione dei Dati], che prende poi i provvedimenti del caso, che possono includere sanzioni molto elevate.

Queste sanzioni per chi commette errori grossolani dovrebbero in teoria fare da deterrente e indurre le aziende a lavorare con più attenzione, ma non sempre è così. In ogni caso, le sanzioni non risolvono il problema che le informazioni personali degli utenti sono ormai disseminate su Internet e non c’è modo di riprenderle. E ovviamente dati come la data di nascita o il nome e cognome non sono modificabili in caso di furto come si fa con le password.

L’unica, magra consolazione è che almeno alcuni dei documenti hanno una data di scadenza, per cui fra qualche anno le loro scansioni non saranno utilizzabili. Nel frattempo, a noi utenti, ai quali viene chiesto continuamente di mandare scansioni di documenti per fare acquisti e attivazioni online di ogni genere, non resta che alzare la guardia, rifiutando se possibile queste scansioni e facendo attenzione a eventuali avvisi di attivazione di servizi o di acquisti sospetti.

---

Addendum post-podcast 1: Molti commentatori mi hanno giustamente chiesto come mai non ho segnalato alle autorità, per esempio alla Polizia Postale, questa violazione delle norme sulla protezione dei dati, dato che si tratta quasi sicuramente di un reato di cui ho notizia. La risposta è che ho scelto la strada che prometteva di tutelare più rapidamente le vittime di questa situazione, ossia i titolari dei documenti pubblicati online.

Se avessi fatto la segnalazione alla Postale o al Garante Privacy italiano, ci sarebbe stata l’incognita dei suoi tempi di intervento, oltre al tempo che avrei dovuto spendere per spiegare in dettaglio l’accaduto e per rispondere all’inevitabile domanda “Ma lei come ha fatto a scoprirlo?” che mi avrebbe portato a dover spiegare tutta la questione delle fonti confidenziali e della loro tutela giornalistica. Mandando una mail direttamente all’azienda, invece, c’era la speranza che ci sarebbe stato un intervento immediato, e stavolta è andata così. Se non ci fosse stato l’intervento, a quel punto avrei seguito la strada ben più lenta e tortuosa della segnalazione alle autorità competenti.

In questo caso è bastata una normale mail (neanche una PEC) molto concisa al DPO (data protection officer o responsabile per la protezione dei dati) dell'azienda. Questa:

Buongiorno, sono un giornalista informatico. Vi segnalo che un vostro
bucket Amazon è completamente aperto e accessibile a chiunque,
consentendo di accedere a scansioni di documenti personali.

Link di esempio:

https://[omissis].amazonaws.com/filled/[omissis].JPG

Sto preparando un articolo sulla vicenda, nel quale non citerò
esplicitamente il nome della vostra azienda per tutelare i vostri clienti.

Naturalmente è opportuno che provvediate a chiudere questa vulnerabilità.

Vi chiedo, se possibile, un commento pubblicabile sulla questione.
L'articolo sarà pubblicato tra circa due ore su Disinformatico.info.

Cordiali saluti

Paolo Attivissimo

Sono passate ormai quasi 24 ore da quando ho inviato la mail, ma non ho ancora ricevuto nessuna comunicazione da parte del DPO, nemmeno un semplice “grazie”. Presumo che non arriverà mai. 

---

Addendum post-podcast 2: Dai commenti arriva un suggerimento protettivo interessante: quando si fa una scansione/fotocopia di un documento di identità, apporre sopra l’immagine una dicitura del tipo “Scansione ad uso esclusivo di [NomeAzienda]”. In caso di fuga di dati, questo permette di tracciarne la fonte; in caso di uso fraudolento di una scansione o fotocopia, mette in allarme l’azienda alla quale viene inviata indebitamente.

Questo articolo è disponibile anche in versione podcast audio.

Non tutti i criminali informatici sono dei geni del male. Pochi giorni fa un aspirante truffatore ha tentato di prendersela con me e rubare il mio account Instagram. Non è andata come sperava, e la sua disavventura mi offre l’occasione di ripassare un paio di trucchi di sicurezza e di trappole di Instagram che è meglio conoscere per difendersi. Ma c’è anche parecchio da ridere.

Tutto comincia con una trappola classica. Un mio conoscente su Instagram mi manda un messaggio privato usando un italiano improbabile: “voglio disturbarti affatto, ma ho bisogno del aiuto per qualcosa, per favore”, condito con vari emoji di supplica. Gli chiedo come lo posso aiutare.

Lui risponde così: “Sto cercando di iscrivermi con il mio Instagram il mio nuovo telefono e Instagram non mi permette che mi hanno mostrato 2 amici che posso contattare per aiutarmi a ricevere un link. Per favore, se ricevi il link mandamelo così posso effettuare il login”.

Nei suoi messaggi successivi mi spiega insistentemente che dovrei ricevere tramite SMS un link, che dovrei poi mandargli subito. In effetti mi arriva sul telefonino un SMS che indica come mittente Facebook, dice “Tocca per accedere al tuo account Instagram” e prosegue con un link del tipo https://ig.me/ seguito da tante lettere e tanti numeri. Attenzione: è questa la trappola da evitare. Questo link non va dato assolutamente a nessuno, perché è un link temporaneo che permette a chi ce l’ha di prendere il controllo dell’account senza dover immettere password.

In pratica, un ladro di account ha preso il controllo dell’account Instagram del mio conoscente e mi sta contattando, fingendo di essere lui. Vuole rubare anche il mio account, e quindi è andato su Instagram, ha immesso il mio nome utente nella schermata di login e ha cliccato su “Hai dimenticato la password?”, e così Instagram lo ha portato alla schermata di reset della password.

Questa schermata è pensata per consentire a un utente di rientrare nel proprio account anche se non si ricorda la password: cliccando sul pulsante Invia il link di accesso, l’utente riceve sul proprio smartphone un SMS che contiene un link temporaneo di accesso diretto. Ma se l’utente manda quel link a qualcun altro, sarà quel qualcun altro a prendere il controllo del suo account Instagram.

Purtroppo Instagram commette il grave errore di non includere in questo SMS un avvertimento che dica chiaramente che il link non va mandato a nessuno. Le vittime di questa truffa ricevono l’SMS e la richiesta di quello che credono sia un loro amico che ha bisogno di aiuto e quindi mandano questo SMS all’impostore. E così si fanno rubare l’account Instagram.

Quindi mi raccomando: se ricevete un SMS contenente un link che invita a toccarlo per accedere al vostro account Instagram, non condividetelo con nessuno.

È chiaro, insomma, che sto interagendo con un ladro, e in particolare con un ladro particolarmente sprovveduto, perché nella mia bio su Instagram c’è chiaramente indicato che mi occupo di sicurezza informatica e quindi non sono un bersaglio facile.

A questo punto posso permettermi di giocare un po’ con l’aspirante ladro. Faccio finta di cadere nella trappola e gli mando un link leggermente alterato: al posto delle lettere e dei numeri che mi sono arrivati nell’SMS gli scrivo 1IcIVhfLkRicKR0LL. Qualunque ladro anche solo vagamente attento dovrebbe notare che le ultime lettere di questo link compongono la parola rickroll, che è il nome di una burla classica di Internet descritta in una puntata precedente di questo podcast. Non solo il ladro non se ne accorge, ma mi ringrazia anche con un cuoricino.

Passano alcuni minuti, durante i quali il truffatore evidentemente digita pazientemente il link falso e si rende conto che non funziona. Così mi chiede di mandargli uno screenshot, probabilmente perché pensa che io sia un imbranato.

A questo punto decido di dargli corda e fargli perdere tempo credendo di essere a un passo dal mettere a segno il furto di account. Parte un lungo dialogo: fingo di non essere esperto, e mi invento le scuse più bislacche. Cose del tipo “Non riesco, il telefono mi dice che ho il cirbione vagolato e manca la notifica di hotlinking. Cosa vuol dire? Non capisco”. E lui, pazientemente, risponde. "Non hai nulla di cui preoccuparti. Mandami il link dopo di che andrà tutto bene”.

“Sì, ma cos'è questo cirbione vagolato?” Sono due parole prese dal lessico fantastico del fumettista Jacovitti. Il truffatore non si rende conto che lo sto prendendo in giro.

“Non è niente. Mandami il link”, risponde. Gli chiedo scusa, dicendogli “Mamma mia scusami ma sono molto lento perché ho la malattia della tafazzite da quando avevo 13 anni ho solo due dita che funzionano”. Lui, imperterrito, insiste. Gli chiedo altre cose assurde: “Tu stai bene? Hai qualche malattia? Ti piacciono i film dei gladiatori? A me piace parlare con le persone ma non posso perché ho la tafazzite contagiosa”.

Niente. Neanche la citazione di malattie inesistenti come la tafazzite contagiosa o di battute celebri del film L’aereo più pazzo del mondo gli fa accendere la lampadina. Mi manda uno screenshot del mio profilo, dicendomi “Mandami uno screenshot di questa parte del tuo account Instagram ora”. È una mia impressione o il suo tono comincia a essere esasperato?

Il tempo passa e lo scambio di messaggi prosegue. Gli dico che mi sono spaventato perché temo che lui sia un hacker e questo mi ha causato problemi di incontinenza, e lui mi risponde “Oh, mi dispiace tanto. Ti aiuterò con 1.000€”, dimostrando così che è una persona in carne e ossa e non un bot o sistema automatico. Poi gli dico che faccio intervenire la mia inesistente figlia Giuditta e gli mando, finalmente, il link che continua insistemente a chiedermi. Ma il link che gli mando è un canary token, ossia un link speciale, che si può creare gratuitamente per esempio presso Canarytokens.org e che quando viene cliccato manda a chi l’ha creato delle informazioni su chi ha cliccato.

In altre parole, se il truffatore clicca sul link, riceverò le sue coordinate: il suo indirizzo IP, il tipo di telefono che sta usando, e altre informazioni interessanti. Ma il link è chiaramente riconoscibile, perché contiene il nome del sito Canarytokens, per cui non mi aspetto che ci caschi. Per confonderlo e come ulteriore presa in giro, gli dico che Giuditta, la mia figlia immaginaria che mi sta aiutando, gli ha mandato per errore il link alle sue foto intime e gli chiedo di non guardarle.

Ovviamente il truffatore non resiste alla tentazione e clicca sul link. Mi arrivano le informazioni su di lui. Risulta che usa un iPhone e che il suo indirizzo IP è svizzero, ma è quello di un servizio di VPN, per cui probabilmente l’aspirante ladro di account sta altrove [probabilmente in Nigeria, a giudicare dal parametro en_NG, che è il locale di quel paese; la dicitura “Instagram phisher” l’ho generata io come promemoria della funzione di questo token].

A questo punto l’ho già tenuto in ballo per oltre un’ora, e ho ottenuto tutto quello che mi serviva, per cui lancio la burla finale: “BUONGIORNO” gli scrivo “QUESTO È IL SERVIZIO SVIZZERO DI SICUREZZA DIGITALE. QUESTO ACCOUNT VIENE MONITORATO. SIGNOR MONI [è questo il nome dell’account rubato] LEI È PREGATO DI IDENTIFICARSI CON UNA IMMAGINE DI UN DOCUMENTO DI IDENTITÀ E DI PRESENTARSI ALLA CENTRALE DI SICUREZZA DI EGERKINGEN ENTRO 24 ORE PER UN INTERROGATORIO. FIRMATO AGENTE HUBER.”

Improvvisamente cala il silenzio. Il truffatore non si fa più vivo; non risponde ai miei messaggi successivi. Gli lascio un messaggio di congedo, nel quale gli spiego chi sono e che ho raccontato il suo tentativo di furto in diretta su Twitter per far divertire chi mi legge. Gli dico anche che so benissimo che lui è un criminale che sa bene che sta commettendo un reato e aggiungo che spero che la conversazione gli sia stata di lezione: le vittime, insomma, a volte sanno reagire.

Per me la vicenda sarebbe finita, ma a sorpresa, alcune ore più tardi, mi chiede ancora di mandargli il link. Probabilmente sta gestendo contemporaneamente vari tentativi di truffa e ha perso il filo del discorso.

Decisamente non tutti i criminali sono geni del male. Siate più svegli di loro.

Se vi interessa l’intera conversazione che qui vi ho riassunto, gli screenshot sono qui sotto. Buon divertimento e prudenza. 

Fonti aggiuntive: Punto Informatico, Mobileworld.it.

Ultimo aggiornamento: 2022/09/07 11:15.

L’ondata globale di rincari delle tariffe elettriche generata dalla crisi energetica ha ovviamente spinto gli hater della mobilità elettrica ai soliti gné gné sulla falsariga di “e adesso che la corrente aumenta non ti conviene più tanto l’auto elettrica, eh?”. Mi piacerebbe capire perché esistono gli hater delle auto elettriche ma non, che so, degli asciugacapelli o delle piastre di cottura a induzione, ma questa è un’altra storia.

Rispondo pubblicamente qui agli gné gné e ai curiosi con i dettagli del mio caso personale (spoilerone: sì, mi conviene tanto lo stesso). Magari possono interessare a qualcuno per fare paragoni o conoscere la realtà di un paese che ha da poco superato l’80% di consumo elettrico coperto da energie rinnovabili (68% idroelettrico). Al momento il cambio euro/franco è sostanzialmente alla pari, per cui scusatemi se non indico le conversioni.

Sono uscite da poco le tariffe 2023 del mio fornitore di energia elettrica (AIL); i dettagli sono indicati sul sito dell'AIL nel Rendiconto 2021 e nel Rapporto annuale integrato.

Io ho attualmente un contratto Casa tìacqua giorno-notte, che attualmente ha i seguenti costi, IVA 7,7% esclusa (in grassetto i costi 2023):

• un costo fisso di 3,30 CHF/A/anno (invariata; ho un contratto da 25A, quindi 82,5 CHF/anno)
  
• una tariffa di trasporto diurna (dalle 6 alle 22) di 6,75 CHF/100 kWh (7,40)
  
• una tariffa di trasporto notturna (dalle 22 alle 6) di 5,05 CHF/100 kWh (5,90)
  

A questo si aggiunge la tariffa di fornitura:

• diurna (6-22) di 7,75 CHF/100 kWh (13,80)
  
• notturna (22-6) di 6,20 CHF/100 kWh (11,75)
  

C’è anche un contributo all’ambiente:

• 0,60 CHF/100 kWh (a qualunque orario) (invariato)
  

Sul fronte fiscale, invece:

• Tassa prestazioni di sistema generale Swissgrid: 0,16 CHF/100 kWh (0,46)
  
• Contributo federale per le energie rinnovabili: 2,20 CHF/100 kWh (invariato)
  
• Risanamento ecologico impianti idroelettrici esistenti: 0,10 CHF/100 kWh (invariato)
  
• Tassa per l’utilizzo del demanio pubblico: 0,99 CHF/100 kWh (0,93, ridotto)
  
• Fondo cantonale per le energie rinnovabili: 1,20 CHF/100 kWh (invariato)
  

Se ho fatto bene i conti, questo porta a un costo complessivo (IVA inclusa) al kWh di 0,21 CHF di giorno e 0,18 CHF di notte. Un “pieno” della mia auto elettrica principale (una Tesla Model S da 62 kWh reali), pari a 330 km di autonomia a velocità autostradali, attualmente mi costa quindi 13,13 CHF se fatto di giorno e 10,96 CHF se fatto di notte sulla mia presa elettrica domestica. Il costo attuale per 100 km è 3,98 CHF per carica diurna e 3,32 CHF per carica notturna.

Con gli aumenti 2023, il costo complessivo al kWh passerà a 0,29 CHF/kWh di giorno e a 0,25 di notte e quindi lo stesso “pieno” verrà a costare 17,8 CHF se fatto di giorno e 15,4 se fatto di notte. Il costo per 100 km diventerà 5,38 CHF per carica diurna e 4,66 CHF per carica notturna.

Considerato che in un anno i consumi complessivi dell’abitazione (incluse le due auto elettriche) ammontano a circa 8.800 kWh (4.400 diurni, 4.400 notturni), la bolletta annua del Maniero Digitale (che non ha gas ma ha scaldabagno, forno e fornelli elettrici) dovrebbe passare da circa 1700 CHF a circa 2400 CHF, aumentando di circa 700 CHF. Spiacevole, ma sopportabile rispetto ai salassi che stanno colpendo tanti utenti privati e commerciali.

È ancora conveniente per me la carica dell’auto elettrica rispetto al carburante? Sì. Anche alla tariffa elettrica massima, spendo 5,38 CHF/100 km. La benzina, qui in Svizzera, attualmente costa 2,07 CHF/litro, per cui con quello che spendo per fare 100 km in auto elettrica potrei comprarne 2,6 litri. Il che significa che per pareggiare dovrei avere un’auto a carburante che fa 38,5 km/litro. Direi che conviene ancora.

E non per mettere il dito nella piaga, ma posso caricare gratis a IKEA e ho ancora 10.000 km di carica gratuita ai Supercharger Tesla. Entrambi si trovano a due chilometri dal Maniero, nel centro commerciale dove vado abitualmente. Sì, sono fortunato e me ne rendo conto.

Era una sera del 1995 (il 28 aprile, per la precisione). Alla Rai c’era Superquark, di cui ovviamente non mi perdevo mai una puntata. Vidi che Piero Angela stava parlando di Internet, che allora era una novità, come sentite dalle sue parole. Poi, a sorpresa, presentò il mio libro Internet per tutti. Un momento magico che ha contribuito tanto alla mia carriera. Grazie, Piero, e non solo di questo.

Fra l’altro, se volete leggere quel mio libro e farvi un tuffo nell’Internet di quasi trent’anni fa (con cose come archie, gopher e WAIS), è disponibile integralmente online.