Perché Facebook e Google valgono centinaia di milioni di dollari pur offrendo servizi gratuiti? Perché il vostro ipermercato, la libreria preferita o il grande negozio di profumi in centro vi regalano una card con cui avere degli sconti? Perché in cambio di ricerche, post e acquisti regalate i vostri dati personali.

Ogni italiano è iscritto mediamente a 14 piani fedeltà, attraverso i quali consegna in maniera più o meno consapevole informazioni il cui utilizzo è ormai fondamentale per il marketing. «Conoscere il comportamento dei propri clienti permette di fare offerte promozionali mirate oppure di modificare l’assortimento delle merci sulla base degli acquisti effettuati in uno specifico punto vendita», spiega Giovanni Covassi, docente di Web marketing all’Università Cattolica di Milano. Insomma, io ti offro gli sconti e tu in cambio mi dici cosa compri.

«Il problema è che si accumula una quantità di informazioni impressionante», sottolinea Covassi. Nascono così enormi database in cui gli acquisti sono aggregati in classi quali, per esempio, “consumatore di libri” oppure “consumatore di cosmetici”. I dati aggregati vengono poi affidati a società esterne per gli scopi più disparati: si va dalle aziende di marketing che fanno campagne pubblicitarie mirate a quelle che hanno l’incarico di spedire il premio. 

Ma «il consumatore non sa quali siano queste società terze», dice Covassi. Anche se la legge sulla privacy prevede che sia richiesto il consenso alla diffusione dei propri dati a società terze, «la norma viene facilmente aggirata: per ritirare il premio che hai ottenuto con i punti, si deve fornire il consenso per affidare i dati a terzi, perché il premio lo spedirà un’altra società. Quando si accetta, queste informazioni possono essere poi cedute a chiunque, perché non c’è nessun obbligo di specificare a quale società saranno affidati».

Quanto valgono i dati?
«Il valore di queste informazioni - racconta l’avvocato Stefano Mele, specializzato in diritto delle tecnologie - è inestimabile. Basta guardare quante sono le compagnie nate nell’ultimo decennio, come Google o Facebook, che fanno della profilazione degli utenti la loro principale, se non l’unica, forma di guadagno». Lo scopo di questi servizi è quello di raccogliere più informazioni possibile sui propri utenti e in questa competizione il primato spetta a Facebook. «Se prima gli utenti erano restii a condividere informazioni personali - sottolinea Mele - con i social network è invece entusiasta: Google sa che film sono andato a vedere, Facebook sa anche se il film mi è piaciuto o no». Molti utenti sanno che con i social network rinunciano ad un’ampia fetta di privacy, ma continuano lo stesso ad utilizzarli, applicando un ragionamento antico: la denegazione, ovvero ci diciamo: "Lo so, è pericoloso, potenzialmente compromettente, ma lo faccio lo stesso". Anche perché uscire, sebbene sia possibile, non è affatto consigliato: «Sottrarsi da questi spazi è percepito come scorretto, poco gentile. Devi stare al gioco, allontanarsi significa scomparire. L'esposizione agli altri è sempre più forte, così diventa più difficile difendersene», spiega Ruggero Eugeni, docente di Semiotica dei media all’Università Cattolica di Milano.

Non tutte le informazioni personali hanno, però, lo stesso valore. Da un lato ci sono i dati pubblici, cioè quelli che forniamo quando sottoscriviamo una carta fedeltà o che diamo involontariamente quando pubblichiamo preferenze o gusti sui social network. «L’intero flusso di informazioni presenti sui social network viene preso in maniera grezza da due aziende statunitensi, Datasift e Gnip, che lo vendono a società di marketing per una cifra che si aggira intorno ai 40-70mila euro l’anno», spiega Gaetano Zappulla, capo ufficio tecnologico di Dual Risk Management, azienda di consulenza per la sicurezza informatica. Il valore di questi dati è relativamente basso, essendo facilmente reperibili sul mercato.

Dall’altro lato, invece, ci sono i dati privati: «Sono le informazioni sul nostro comportamento possedute solo da aziende che offrono servizi nevralgici, come i motori di ricerca, le aziende telefoniche e le grandi catene di distribuzione che sanno cosa acquistiamo», dice Cristina Ziliani, docente di Database marketing dell’Università di Parma. Sono dati che consentono di conoscere in profondità i propri clienti.

Il mercato nero
Più cresce il valore di queste informazioni, però, più aumentano le persone che ricorrono a meccanismi illegali per rubarle e rivenderle a servizi di intelligence, aziende oppure organizzazioni criminali. «Si stima che il mercato nero dei dati valga 1,2% del Pil europeo», sostiene Zappulla. Delle aziende concorrenti potrebbero, ad esempio, assoldare un team di hacker criminali (cracker) per rubare questi magazzini virtuali di informazioni preziose. «Lo spionaggio informatico è uno dei principali motori del mercato nero – racconta Zappulla - dove si vendono interi database con informazioni altamente personali sui clienti». La tecnica più in voga per colpire grandi compagnie è l’Advanced Persistent Threats (APT): «I programmatori creano un software ad hoc, che non è quindi riconosciuto dagli antivirus», spiega Davide Dante Del Vecchio, esperto di sicurezza informatica. Una volta pronto, basta inviarlo. «Posso mandarlo via mail da un indirizzo sconosciuto ma con un nome plausibile – prosegue Del Vecchio - facendoti credere che l’allegato sia un documento importante. Se apri il file, sei fregato».

Un’operazione del genere richiede molto lavoro e costa. Per preparare un APT servono diversi mesi di programmazione. L’obiettivo, quindi, deve valere l’impresa. «Ad esempio, per sottrarre un database come quello di Telecom, che da solo vale circa 12-13 milioni di fatturato, un cracker può essere pagato oltre 150 mila euro in contanti», dice Zappulla.

Le informazioni non servono solo a fini di spionaggio industriale. Dentro il database di una grossa azienda ci sono anche le password di accesso e i codici della carta di credito, «il bene più ricercato sul mercato nero», racconta Davide Veneziano di Symantec. Sul web si possono comprare un blocco di 40 carte a 715 euro di cui almeno il 50% sono attive con una disponibilità media di spesa di 800 euro. Oppure un passaporto falso per 450 euro e un biglietto aereo in business class intestato a un nome falso per 3300 euro. «Non bisogna sottovalutare la situazione perché questo tipo di dati solitamente viene acquistato da organizzazioni criminali per riciclare denaro o acquistare beni illegali, oppure dai terroristi per viaggiare sotto falso nome», avverte Veneziano.

In questo contesto il nostro Paese sconta due grosse lacune. La prima è la mancanza di trasparenza. «La diffusione dei crimini informatici è molto difficile da quantificare in Italia, perché non c’è una legge che obbliga le aziende a denunciare se i loro database sono stati violati», dice Mele. L’altra grande anomalia, forse persino peggiore, riguarda l’arretratezza tecnologica. «Qualsiasi database è “bucabile” in Italia: dalle aziende pubbliche, perché hanno dei protocolli vecchissimi, alle grandi aziende che hanno una complessità di infrastrutture in cui si posso trovare delle falle – conclude Zappulla - Se un cracker ha tempo e fondi, può bucare qualsiasi cosa».

• Denis Rizzoli
  
• Francesca Sironi