Livorno 13 giugno 2026 Finalmente videosorveglianza in piazza della Vittoria, approvata mozione Guarducci (FI) Piazza della Vittoria sarà finalmente controllata da un sistema di telecamere. Il Consiglio comunale, nella seduta di lunedì scorso, ha infatti approvato la mozione del consigliere Alessandro Guarducci (Forza Italia) avente per oggetto “l’nstallazione di un sistema di videosorveglianza in Piazza …
A pochi giorni dal Consiglio europeo del 18-19 giugno e del vertice Nato di inizio luglio, la presidente del Consiglio Giorgia Meloni ha detto in Aula che in Ucraina il fronte non avanza perché «completamente circondato da droni» e che un carro armato da milioni di euro può essere distrutto da un drone che ne costa 20.000. Da qui l’idea che il dibattito sulla difesa non dovrebbe più riguardare solo quanto si spende, ma per cosa. L’osservazione, presa da sola, è corretta. L’uso che se ne fa, però, rischia di essere fuorviante.
Il dato sui droni è fondato. Tra il 2022 e il 2025 la produzione ucraina di droni FPV (con visuale in prima persona) è cresciuta di circa mille volte; l’obiettivo di Kyjiv per l’anno in corso è superarne gli otto milioni di pezzi. Una «dronizzazione senza militarizzazione», per usare la formula di Lesia Bidochko, con un prodotto interno lordo pari a un dodicesimo di quello russo e un bilancio della difesa quattro volte inferiore.
Ma quei droni risolvono un problema preciso: bloccare l’avanzata di un esercito di terra lungo un fronte stabile di oltre mille chilometri, in una guerra di logoramento dei mezzi corazzati. È la guerra che l’Ucraina è costretta a combattere. Non è, almeno per ora, la minaccia con cui l’Italia deve fare i conti.
Il problema dei droni che riguarda davvero l’Italia ha un’altra forma. Nell’autunno scorso sciami non identificati hanno chiuso l’aeroporto di Monaco, sorvolato basi militari in Belgio e diversi scali in Danimarca e Norvegia: episodi che i governi coinvolti hanno definito come operazioni di matrice professionale all’interno di una campagna ibrida. A fine maggio un drone Geran-2 attribuito alla Russia ha colpito un palazzo residenziale a Galați, in Romania – «alleato e membro dell’Unione europea», ha ricordato la stessa Meloni.
Sono due storie diverse. Nella prima il drone è un’arma d’attacco a basso costo che compensa l’inferiorità in mezzi corazzati. Nella seconda è uno strumento di ricognizione, intimidazione e sabotaggio che si muove sotto la soglia della guerra aperta, ovvero nella «zona grigia». Nel primo caso il problema è procurarsi droni d’attacco economici. Nel secondo è costruire una capacità di sorveglianza e neutralizzazione, lo «scudo anti-drone» che lo stesso governo indica come priorità nei fondi Safe. Sono capacità diverse, filiere industriali diverse: non si comprano con la stessa riga di bilancio.
C’è poi un secondo equivoco, più politico. Nello stesso discorso, Meloni ha annunciato che l’Italia arriverà al vertice Nato con una spesa per «difesa e sicurezza» al 2,8% del Pil, in crescita dello 0,71% «garantito soprattutto dalle spese legate alla sicurezza sul proprio territorio» – e qui c’è il tentativo di tenere assieme il tema della credibilità internazionale e le pressioni “da destra” di Roberto Vannacci. Il target Nato fissato all’Aia prevede il 5% entro il 2035, diviso in 3,5% di spesa militare in senso stretto e 1,5% di sicurezza allargata. Ma sui due strumenti che dovrebbero tradurre quelle percentuali in capacità – i 14,9 miliardi di prestiti Safe, ancora senza contratti ammissibili, e l’attivazione della clausola di salvaguardia nazionale, la Nec, che scomputerebbe fino all’1,5% di Pil di spesa militare dai vincoli europei – il governo non ha deciso nulla, rinviando tutto a dopo l’uscita dell’Italia dalla procedura per disavanzi eccessivi. Si esibiscono le percentuali, si tace sulle leve che le renderebbero vere.
È su questo terreno – duro, costoso, poco fotogenico – che si gioca davvero la partita. Dire che «per cosa» conta più di «quanto» è di per sé un argomento legittimo: i target in percentuale di prodotto internazionale sono uno strumento grezzo, e diversi analisti lo ripetono da anni. Un altro elemento decisivo, per esempio, è l’interoperabilità. Ma se l’esempio scelto è un drone economico al posto di un carro armato costoso, la formula rischia di servire soprattutto a rendere indolore, agli occhi dell’opinione pubblica, una discussione che indolore non può essere.
Le lezioni utili che l’Ucraina offre all’Italia esistono, e non stanno sugli scaffali dei droni. Riguardano la capacità di un’industria della difesa di passare dal prototipo alla produzione di massa in mesi, non anni, attraverso reti di piccole imprese, non solo grandi gruppi. Riguardano il ritorno d’esperienza dei sistemi Samp/T italo-francesi, già impiegati a difesa dei cieli ucraini, utile per l’ammodernamento della difesa aerea nazionale. Riguardano, infine, la resilienza della società di fronte ad attacchi che non somigliano a un’invasione ma a un logoramento quotidiano – la stessa zona grigia in cui, non in Donbass, si gioca oggi la sicurezza dell’Italia.
Il vertice Nato è la sede giusta per la discussione che la presidente del Consiglio vuole aprire. Ma se la mappa resta quella del fronte ucraino, l’Italia rischia di prepararsi alla guerra sbagliata. O, peggio, di usare l’esempio sbagliato per non prepararsi affatto.
A volte le vulnerabilità più efficaci spuntano fuori da funzionalità che fanno esattamente quello che è previsto. È questo il caso di HTTP/2 Bomb, un attacco denial-of-service (DoS) remoto pubblicato dal gruppo di ricerca Calif che colpisce le configurazioni predefinite dei principali web server: nginx, Apache httpd, Microsoft IIS, Envoy e Cloudflare Pingora. Partiamo subito...
Quanti di voi ascoltano con attenzione le direttive date dagli assistenti di volo in materia di sicurezza? Il risultato è sorprendente. Non tutti lo sanno, ma c’è una preoccupante tendenza dei passeggeri a recuperare i bagagli anziché evacuare l’aereo in caso di emergenza. Il dato sta allarmando il settore dell’aviazione. Una nuova campagna dell’Associazione Internazionale del Trasporto Aereo (IATA), intitolata “Salva una vita, non una borsa”, sta cercando di sensibilizzare i viaggiatori a lasciare tutti i bagagli a bordo e a dirigersi rapidamente verso l’uscita di emergenza più vicina e utilizzabile.
Se la campagna di sensibilizzazione non dovesse avere successo, gli esperti del settore affermano che potrebbero essere necessarie misure più drastiche. “L’approccio iniziale del settore sarà quello di verificare se riusciamo a educare i passeggeri e se questo influisca sul loro comportamento”, ha dichiarato Nick Careen, vicepresidente senior per le operazioni, la sicurezza e la protezione della IATA, durante l’assemblea annuale dell’organizzazione a Rio de Janeiro l’8 giugno, secondo quanto riportato dal quotidiano britannico The Times.
E ancora: “Se non vedremo i cambiamenti comportamentali che ci aspettiamo, dovremo adottare misure un po’ drastiche, che potrebbero includere sanzioni, anche qualcosa di semplice come un meccanismo di chiusura di sicurezza per le cappelliere. Le sanzioni sono in qualche modo efficaci, ma se non vengono applicate in modo coerente, perdono la loro efficacia”.
Una recente indagine commissionata dalla IATA ha messo in luce una preoccupante lacuna nella consapevolezza dei passeggeri aerei riguardo alle procedure di emergenza. Lo studio, condotto su un campione di viaggiatori provenienti da Stati Uniti, Regno Unito, Singapore ed Emirati Arabi Uniti, ha evidenziato che ben quattro passeggeri su dieci ignorano di dover abbandonare i propri effetti personali a bordo dell’aereo in caso di evacuazione d’emergenza.
Il dato più allarmante emerge dal confronto tra percezione e realtà: se l’80% degli intervistati dichiara di sapere come comportarsi in una situazione di emergenza, soltanto il 61% ha fornito la risposta corretta, confermando di dover lasciare tutti i bagagli a bordo.
Un divario significativo che ha spinto la IATA a lanciare una campagna di sensibilizzazione mirata, con l’obiettivo di informare i passeggeri sull’importanza di seguire correttamente le procedure di sicurezza, contribuendo così a salvaguardare l’incolumità di tutti i presenti a bordo.
Se dopo le intense scorse settimane vi erano mancate le CVE sul Kernel Linux, eccovene un’altra: si chiama CIFSwitch, è nascosta nel codice dal 2007, e sotto le giuste condizioni permette a un utente senza privilegi di ottenere accesso root completo al sistema. Questa volta però non parliamo di qualche trucco sulla page cache, ma...
Il Consiglio di Sicurezza delle Nazioni Unite è l’organo internazionale responsabile del mantenimento della pace e sicurezza nel mondo. Istituito dopo la Seconda guerra mondiale, esso è composto di cinque membri permanenti – Stati Uniti, Russia, Regno Unito, Francia e Cina – e dieci membri non permanenti, eletti ogni due anni.
Fra questi, due seggi sono attribuiti al raggruppamento “Europa Occidentale e Altri” per la quale la Germania ha fino ad ora presentato la sua candidatura, sempre con successo, per sei volte. Il 3 giugno, tuttavia, raggiungendo solo 104 voti, è stata superata da Portogallo (134 voti) e Austria (131 voti). Nonostante questo esito, il ministro Wadephul, dopo essersi congratulato con i vincitori, afferma che la Germania continuerà ad impegnarsi nell’ONU per il mantenimento della pace e multilateralismo. Nello stesso tempo, tale sconfitta porta anche alla necessità di comprendere i motivi di quanto avvenuto.
La corsa alla candidatura
Nel candidarsi, la Germania non era certo partita con grandi vantaggi. Infatti, se Austria e Portogallo avevano iniziato a organizzarsi in tal senso già, rispettivamente, nel 2011 e il 2013, la Germania le ha raggiunte con un ritardo notevole, nel 2019. Una corsa alla candidatura, dunque, che si è fatta particolarmente intensa in questi ultimi mesi, durante i quali le dichiarazioni del ministro Wadephul – espresse in occasione dei suoi diversi viaggi alle Nazioni Unite – mostrano i punti principali con cui la Germania intendeva proporsi come membro non permanente.
Con il motto “Rispetto – Giustizia – Pace”, la Germania avrebbe posto al centro del suo mandato la prevenzione dei conflitti, la risoluzione della crisi, il clima e la sicurezza. A tali scopi, e in un contesto geopolitico instabile, la Germania era quindi “pronta ad assumersi ancora più responsabilità come voce forte, affidabile e indipendente all’interno delle Nazioni Unite” e agendo non da sola, bensì “assieme ai nostri partner”.
Assieme agli obbiettivi, si menzionano poi gli elementi di forza che avrebbero sostenuto l’azione della Germania durante il suo mandato. Sia sul lato della credibilità del Paese, delle esperienze finora maturate, e del proprio peso economico, si afferma infatti che la Germania “ha molto da offrire”. Il Paese ha infatti mostrato più volte un “impegno incrollabile” nei confronti della Carta delle Nazioni Unite e del diritto internazionale, come pure nell’utilizzo della diplomazia e del dialogo nella gestione delle controversie; può offrire la sua notevole esperienza accumulata nei diversi mandati precedenti; e ha a disposizione un’ampia rete di ambasciate in tutto il mondo. Sul piano economico, si sottolinea l’importanza della Germania non solo come una fra le maggiori potenze economiche a livello mondiale, ma anche in quanto secondo donatore delle Nazioni Unite – elemento non irrilevante, visto l’attuale stato di crisi finanziaria in cui versa l’ONU, dovuto in larga parte al disimpegno, anche economico, degli Stati Uniti.
Il seggio mancato
Tuttavia, questo non è bastato a garantire il tanto desiderato seggio nell’unico organismo che – pur notevolmente indebolito dagli sconvolgimenti degli ultimi anni e dai limiti decisionali posti dal diritto di veto dei membri permanenti – prende decisioni di primaria importanza su questioni di pace e sicurezza, e che poi gli stati membri sono obbligati a rispettare.
Pur nella consapevolezza di essere partiti svantaggiati, prima delle votazioni Wadephul aveva manifestato un certo ottimismo rispetto alla possibilità di raggiungere il quorum di due terzi, fino a constatare la presenza di una “certa simpatia di fondo per la Germania”. Tuttavia, si sbagliava. Ma a stupire è soprattutto la chiarezza e velocità con cui ciò avviene: immediatamente, al primo turno. Stupore che emerge anche dalle dichiarazioni del ministro appena dopo le votazioni, il cui risultato rappresenta un’“amara sconfitta”.
Accanto a ciò, Wadephul mostra consapevolezza dei punti critici della candidatura della Germania: dal ritardo nella presentazione della candidatura, alle questioni internazionali su cui la Germania ha sempre preso una posizione chiara e che “non tutti i membri dell’ONU condividono”. Fa quindi poi riferimento alla campagna fatta dalla Russia contro la Germania – la cui presenza al Consiglio di Sicurezza sarebbe infatti stata scomoda, visto il suo forte sostegno all’Ucraina – ma anche il dovere della Germania di assumere una “responsabilità speciale” nei confronti di Israele rispetto al conflitto in Medio Oriente.
Questi gli ostacoli principali riconosciuti dal ministro, che afferma successivamente: “abbiamo dovuto combattere con venti contrari, che erano talmente forti, che alla fine non ce l’abbiamo fatta”. Tuttavia, sottolinea chiaramente che, anche senza un seggio all’interno del Consiglio di Sicurezza, la Germania continuerà ad impegnarsi per la pace e la sicurezza a livello globale, e che farà la propria parte nella promozione del multilateralismo: “questo è nel DNA della nostra politica estera e dei nostri interessi”. Adottando poi una prospettiva più nazionale sottolinea che “la voce della Germania nel mondo anche per la sicurezza, libertà e prosperità del nostro Paese si farà sentire, anche senza un seggio al Consiglio di Sicurezza”.
Relativizzazione del diritto internazionale
Tuttavia, pare che ciò che ha pesato maggiormente in questa sconfitta sia stato l’approccio della Germania rispetto al diritto internazionale e la sua postura poco chiara in politica estera. Soprattutto negli ultimi anni, il Paese avrebbe infatti mostrato una sua “relativizzazione” e l’adozione di standard diversi caso per caso. Nello specifico, si evidenzia che, mentre la condanna alla Russia per l’attacco all’Ucraina è stata immediata, lo stesso non è avvenuto nei confronti di Israele e Stati Uniti. Si rimprovera quindi la riluttanza della Germania nel condannare Israele per le vittime civili causate negli attacchi a Gaza e Libano, come pure l’atteggiamento di Merz rispetto all’attacco di Trump in Iran. Pur di fronte a un caso di violazione del diritto internazionale, infatti, il cancelliere aveva qui parlato di un “dilemma”. Le misure di diritto internazionale fino ad allora utilizzate contro l’Iran erano state infatti inefficaci, di qui, la difficoltà di questa situazione per cui non era il momento di “dare lezioni” ai propri partner e alleati. Similmente, anche di fronte alla cattura del presidente Maduroda parte di Trump, Merz aveva evitato di descriverla in termini di violazione di diritto internazionale.
Tirando le somme
Quanto è avvenuto porta a riflessioni su più piani. Per quanto riguarda la politica interna, questa ulteriore sconfitta non giova sicuramente al governo – già in notevoli difficoltà – soprattutto dato che uno degli obiettivi del cancelliere era proprio il rafforzamento del ruolo della Germania nella politica internazionale. Nello specifico, inoltre, a Merz si rimprovera di non essersi mai presentato alle Nazioni Unite, cosa che, ulteriormente, non avrebbe favorito la candidatura della Germania.
In termini di politica estera, si nota poi un contrasto fra ambizioni e realtà. Mentre infatti negli ultimi anni la Germania ha intrapreso diverse iniziative volte ad aumentare il proprio ruolo a livello internazionale (fra cui l’incremento della spesa militare, l’introduzione del nuovo sistema di leva, la formulazione della prima strategia militare), questa sconfitta mostra quanto, allo stesso tempo, molti Stati non le attribuiscano il ruolo che essa cerca. Inoltre, simili iniziative non possono supplire alle criticità prima menzionate rispetto alla postura mostrata della Germania in merito alle guerre degli ultimi anni. A ciò, inoltre, si aggiunge la preoccupazione di molti governi europei rispetto al piano per il rafforzamento del Bundeswehr. Se la Germania vuole esercitare un peso maggiore a livello internazionale, in linea con i principi esposti nella sua candidatura per il 3 giugno, dovrà dunque mostrare maggiore chiarezza – a parole e fatti – nell’elaborare una politica estera coerente, che dia fiducia agli alleati e credibilità internazionale, risolvendo quindi le criticità recentemente mostrate.Nel frattempo, Merz ha già annunciato un nuovo tentativo di candidatura per il biennio 2035/2036: resta quindi da vedere se le iniziative che la Germania intraprenderà nei prossimi otto anni le consentiranno di raggiungere un esito diverso per questo appuntamento.
Project Lightwell è un'iniziativa di Big Blue che vuole mettere intelligenza artificiale e 20.000 ingegneri al servizio della sicurezza, una sorta di task force che (a pagamento) proteggerà le supply chain delle aziende.
Solo il cielo sa quanto ce ne sia bisogno, perché Aikido Security nel frattempo ha scoperto un worm presente nelle librerie ufficiali npm di Red Hat che ruba tutto quello che si può rubare in termini di informazioni riservate.
Analisi della vulnerabilità Fragnesia: come un bug nel sottosistema ESP-in-TCP permette la scrittura arbitraria nella page cache di Linux per ottenere i privilegi di root.
Immagine in evidenza rielaborata con intelligenza artificiale (ChatGPT)
L’applicazione dell’intelligenza artificiale nella cybersicurezza genera, da sempre, sentimenti contrastanti. Le potenzialità dell’AI rappresentano, da una parte, un’opportunità per migliorare il livello di automazione nelle attività di rilevamento e risposta agli attacchi dei criminali informatici. L’altra faccia della medaglia è rappresentata dalla possibilità che gli stessi cybercriminali ne sfruttino le capacità per aumentare l’efficacia degli attacchi.
È qualcosa che sta già accadendo e che viene messo nero su bianco, per esempio, nel Global Threat Report 2026 di CrowdStrike. Stando ai dati pubblicati dalla società di cybersecurity, gli attacchi portati utilizzando l’AI sarebbero aumentati dell’89% anno su anno.
Ma l’impatto dell’AI non si esaurisce negli attacchi veri e propri. La stessa tecnologia che li accelera sta mettendo sotto pressione, in particolare, l’ecosistema che fino a oggi ha garantito l’attività di identificazione e analisi delle vulnerabilità software. In altre parole, l’AI sta rompendo gli equilibri che per anni hanno permesso di mitigare il rischio di attacchi informatici.
Come funziona la vulnerability discovery
Per comprendere l’impatto dell’AI in questo particolarissimo settore è indispensabile comprenderne i meccanismi. La vulnerability discovery è infatti una macchina complicata, in cui si intrecciano interessi diversi e convivono varie contraddizioni.
Il concetto alla base del sistema è quello di individuare eventuali falle di sicurezza di software e sistemi operativi prima che questi vengano scovati dai cyber criminali. Un’attività che vede impegnate centinaia (migliaia) di aziende e ricercatori indipendenti, spesso all’interno dei cosiddetti programmi di bug bounty, cioè processi controllati attraverso i quali gli sviluppatori ricompensano economicamente chi segnala una nuova vulnerabilità potenzialmente pericolosa, permettendo loro di correggerla attraverso patch di aggiornamento.
L’importanza del fattore tempo emerge proprio nella fase finale del processo di responsible disclosure, quando vengono rilasciati l’aggiornamento e i dettagli della vulnerabilità. È in questo momento che si apre una finestra temporale particolarmente delicata: quella in cui un cybercriminale può sfruttare la vulnerabilità creando un exploit (la tecnica che permette di portare un attacco) in grado di “bucare” i sistemi non aggiornati.
Fino a oggi, il tempo necessario per realizzare il codice che sfrutta una falla di sicurezza per portare un attacco era, nella maggior parte dei casi, di settimane o al massimo di qualche giorno. Un margine sufficiente perché gli aggiornamenti venissero distribuiti. Di conseguenza, il rischio che qualcuno rimanesse “scoperto” era relativamente basso.
A causa degli strumenti basati su intelligenza artificiale generativa, però, le cose sono cambiate. Utilizzando l’AI è possibile realizzare un exploit con una velocità prima impensabile. Secondo i ricercatori di sicurezza Efi Weiss e Nahman Khayet, autori di un progetto dedicato, per creare un exploit con l’AI partendo da una vulnerabilità nota sarebbero sufficienti anche solo 15 minuti.
Un’ondata di segnalazioni
Lo scorso 7 aprile, un comunicato ufficiale di Anthropic ha scosso il settore della cybersecurity. Oggetto dell’annuncio era il nuovo large language model Claude Mythos Preview, che gli sviluppatori dell’azienda californiana hanno sostanzialmente classificato come uno strumento troppo pericoloso per essere distribuito pubblicamente. Il motivo? Il nuovo LLM sarebbe in grado di individuare vulnerabilità all’interno dei software con un’efficacia senza precedenti. Rilasciarlo pubblicamente, di conseguenza, sarebbe troppo rischioso.
L’azienda ha quindi deciso di avviare un progetto, battezzato con il nome di Project Glasswing, che coinvolge un numero limitato di soggetti come Microsoft, Apple, Google, AWS, Cisco, Nvidia e Linux Foundation. Qualche controindicazione, però, è emersa quasi subito. Lo stesso giorno dell’annuncio, il 7 aprile, un gruppo riunito in un forum Discord privato è riuscito ad accedere a Mythos — non con un attacco sofisticato, ma combinando le credenziali del dipendente di un fornitore terzo con un’ipotesi azzeccata sull’URL del modello. La vicenda è emersa pubblicamente circa due settimane dopo, grazie a un’inchiesta di Bloomberg. Considerato che Mythos era stato tratteggiato come una sorta di “arma fine di mondo”, con accesso soggetto a strettissime restrizioni, non si tratta proprio di un esordio rassicurante.
Al netto del sensazionalismo dell’annuncio, che secondo molti rappresenta un marchio di fabbrica del marketing di Anthropic, la vicenda di Claude Mythos Preview si inserisce in un fenomeno più ampio, che gli esperti di sicurezza informatica stanno segnalando da tempo come estremamente problematico: la crescita esponenziale del numero di vulnerabilità segnalate.
In sintesi, il problema non è tanto la possibilità che i gruppi dediti al cyber crimine riescano a sfruttare gli LLM avanzati per individuare nuove vulnerabilità zero-day (falle di sicurezza ancora sconosciute), quanto il fatto che l’implementazione di strumenti automatizzati per l’analisi dei software sta generando troppe segnalazioni rispetto a quelle che gli sviluppatori sono in grado di gestire.
Una cosa, infatti, è individuare una falla. Un’altra è correggere il codice per eliminare il rischio che la vulnerabilità venga sfruttata per portare un attacco. Qualsiasi aggiornamento di un software o – a maggior ragione – di un sistema operativo richiede infatti una serie di verifiche e test per validarne l’efficacia e, non ultimo, escludere eventuali conflitti o “effetti collaterali” indesiderati nel suo funzionamento. Insomma: rimediare a una vulnerabilità richiede più impegno e più tempo rispetto a sfruttarla per scopi malevoli.
Il fattore tempo
A livello intuitivo, si potrebbe pensare che questo squilibrio tra il numero di segnalazioni e la capacità di elaborarne il contenuto possa avere come conseguenza un semplice rallentamento delle operazioni. Non è così.
Per prassi consolidata, infatti, il processo di responsible disclosure prevede che al destinatario della segnalazione sia concesso un termine – solitamente di 60-90 giorni – entro il quale deve rilasciare l’aggiornamento. Trascorso il termine, chi ha inviato la segnalazione è autorizzato a rendere pubblici i dettagli della vulnerabilità.
Si tratta di un accorgimento che ha un duplice obiettivo. Il primo è quello di evitare che lo sviluppatore possa “snobbare” la segnalazione, anche solo per negare il meritato compenso del ricercatore che l’ha effettuata. La seconda è quella di ridurre il rischio che qualcun altro scopra la falla o che questa diventi pubblica per un qualsiasi motivo prima che l’aggiornamento sia disponibile.
Anche se piuttosto rari, in passato si sono verificati casi in cui gli sviluppatori non sono riusciti a rispettare la scadenza e si sono trovati di fronte a una pubblicazione dei dettagli di una vulnerabilità quando non avevano ancora preso le dovute contromisure. Nel nuovo scenario, in cui le segnalazioni piovono a una velocità impressionante, rispettare le scadenze rischia di diventare molto più difficile.
I primi scricchiolii
La cronaca recente conferma tutti i timori legati al massiccio impiego dell’AI nell’individuazione delle vulnerabilità. La società di cybersecurity HackerOne ha sospeso il suo programma Internet Bug Bounty (IBB), attività finanziata in crowdfunding che gestisce dal 2013. Il motivo? L’eccessivo numero di segnalazioni stava mettendo in difficoltà chi ha il compito di correggere il codice del software. E questo soprattutto in ambito open source, dove la gestione dei progetti è spesso affidata a programmatori che prestano la loro opera a titolo volontario.
La pagina web di HackerOne è un perfetto riassunto dei problemi che vive il settore. Nelle sue policy, spiega che ricompenserà solo quelle vulnerabilità che “siano state segnalate in modo responsabile, riconosciute, analizzate (triage), risolte e divulgate tramite un Security Advisory o una CVE (Common Vulnerabilities and Exposures, un sistema di catalogazione pubblico e standardizzato delle vulnerabilità di sicurezza informatica note – ndR). Se una vulnerabilità viene segnalata da più persone ed è riconosciuta all’interno del security advisory, solo il primo segnalatore (come identificato dai maintainer del progetto) avrà diritto alla ricompensa”.
In questo passaggio si leggono tutte le criticità legate a un ecosistema che è ormai andato fuori controllo. Traducendo dal “politically correct” adottato nelle policy, HackerOne ammette di trovarsi in una situazione in cui vengono segnalate vulnerabilità che non sono state sufficientemente approfondite, che in molti casi vengono scovate da più soggetti e per le quali non viene fornita una soluzione. Insomma: si trova ad avere a che fare con troppo “pattume” generato dall’AI. Motivazioni simili hanno indotto la piattaforma Bugcrowd a introdurre una serie di regole e restrizioni per contrastare il fenomeno che hanno battezzato come “sloptimism” (segnalazioni basate su AI inviate con troppa fiducia e poca verifica).
L’AI trova vere vulnerabilità?
Guardando più nel dettaglio il fenomeno, emerge anche un altro dato. A gennaio 2026 i volontari che gestiscono cURL – software open source che gestisce lo scambio di dati con Internet e che, pur sconosciuto al grande pubblico, è installato in miliardi di dispositivi (telefoni, automobili, TV) – hanno annunciato che dal mese successivo avrebbero smesso di accettare segnalazioni tramite HackerOne. In un aggiornamento pubblicato ad aprile, il creatore Daniel Stenberg ha diffuso un grafico da cui emerge una tendenza abbastanza chiara: nonostante da febbraio non sia stata accettata alcuna segnalazione, il totale del 2026 era già arrivato a 87.
Al di là della crescita esponenziale di segnalazioni, spicca il fatto che nel 2025 sono stati registrati numerosi report classificati come “likely AI slop” (probabile pattume AI), cioè vulnerabilità di bassissimo impatto o inventate dall’intelligenza artificiale. Il loro numero, però, è diminuito percentualmente nel corso dell’anno successivo.
Prima di considerare questi dati come confortanti, è però opportuno considerare un altro aspetto: non tutte le vulnerabilità validate rappresentano un reale rischio di sicurezza. Come spiega Naz Bozdemir in un post sul blog di HackerOne, delle 22 vulnerabilità individuate da Claude Opus 4.6 nel codice di Mozilla Firefox – 14 delle quali ad alta gravità – soltanto due si sono rivelate effettivamente sfruttabili per costruire un exploit. In altre parole: erano tutte difetti reali, ma solo due rappresentavano un rischio imminente e concreto.
L’idea che una maggiore efficienza porti automaticamente a più sicurezza, alla fine, si sta rivelando un’illusione. L’uso intensivo dell’AI sta dimostrando esattamente il contrario: senza la capacità di selezionare, comprendere e intervenire, rischia di generare semplicemente caos.
Quanto è difficile parlare di cybersicurezza con le aziende. E ciò vale anche per quelle dei trasporti: un settore in apparenza lontano dagli attacchi dei cracker, ma che mostra invece parecchie vulnerabilità oltre a un ampio potenziale di rischio. Provare ad affrontare il tema della sicurezza informatica con alcune delle più grandi realtà del paese produce come minimo un irrigidimento; nel peggiore dei casi, il silenzio. Mail senza risposta, telefoni che squillano a vuoto, repliche vaghe: quasi nessuno si presta a rispondere alle domande del cronista, e molti si eclissano dopo un primo contatto di prammatica.
La cybersicurezza delle autostrade italiane
Prendiamo Autostrade per l’Italia (ASPI), la stessa società che qualche anno fa (non molti: era il 2018) finì sotto la lente di ingrandimento per il caso del ponte Morandi, crollato a Genova a metà agosto. Un disastro che aveva sollevato interrogativi profondi sui sistemi di controllo e sulla cultura della sicurezza del gruppo. Ci si aspetterebbe che queste procedure, fisiche e cyber, siano diventate il fiore all’occhiello del gruppo. E che – stando così le cose – non sia un problema comunicarlo all’esterno. Sbagliato. Svariati tentativi di contatto via email sono caduti nel vuoto. Non va meglio al telefono, con l’apparecchio dell’ufficio stampa che squilla senza che nessuno risponda. Quando si attiva la segreteria, lo fa solo per rimandare al medesimo indirizzo di posta elettronica, che rimane muto.
La società Movyon si definisce il “centro di eccellenza per la ricerca e innovazione del gruppo ASPI” e offre “soluzioni tecnologiche end-to-end per gestori di infrastrutture stradali e autostradali, pubbliche amministrazioni e service provider, supportandoli nella creazione di una mobilità più intelligente, accessibile, sostenibile e sicura a favore della comunità”. Il logo si trova, per esempio, sulle sbarre che si alzano e si abbassano ai caselli.
Sembra la porta giusta a cui bussare per parlare di cybersicurezza con ASPI. Del resto, la stessa Movyon sviluppa applicazioni tecnologicamente avanzate come quelle per il monitoraggio delle merci pericolose in viaggio sulla rete, il cosiddetto V2X (vehicle to everything): un sistema che, si legge nella presentazione, “monitora in tempo reale i veicoli che trasportano materiali pericolosi e avvisa i conducenti di eventuali situazioni di pericolo, come la presenza di altri veicoli con merci pericolose nelle vicinanze o situazioni anomale lungo la strada”. Il sistema non si limita al minimo indispensabile, ma, viene spiegato, arricchisce i messaggi con informazioni aggiuntive rispetto agli standard di settore. Lecito chiedersi: cosa succederebbe se venisse attaccato?
Estendendo il discorso, ci sono altre domande da porsi. Cosa accadrebbe se qualcuno tentasse di azzerare tutti i pedaggi, rubare i dati delle carte di credito degli automobilisti, o cambiare i messaggi nei cartelli a led che puntellano la rete, magari consigliando di effettuare deviazioni non necessarie al solo scopo di creare il caos? È già accaduto in passato? Quali misure sono state prese? Chi è il responsabile della sicurezza? Domande la cui risposta possiamo soltanto immaginare, perché neanche Movyon ha risposto alla nostra richiesta di contatto.
Le Ferrovie dello Stato
Anche il trasporto ferroviario non è esente da rischi cyber. Che possono riguardare gli apparati di gestione elettronica della rete e dei convogli, ma anche il sistema dei pagamenti. Nel mese di novembre 2025 un attore malevolo ha rubato e diffuso online 2,3 terabyte di dati di Almaviva (un provider di servizi web) e Ferrovie dello Stato, che a esso si appoggiava.
L’attacco è stato confermato dalla stessa Almaviva in una nota, dopo essere trapelato alla stampa. Secondo la rivendicazione dei cracker, il leak conterrebbe repository aziendali condivisi e documentazione tecnica riservata, inclusi contratti. Ma ci sarebbero anche dati personali dei passeggeri e dei dipendenti di quasi tutte le società del gruppo FS, da Mercitalia a Rete Ferroviaria Italiana, da Trenitalia a Italferr (da poco ribattezzata FS Engineering).
“L’episodio che ci riguarda è riconducibile a un accesso non autorizzato che ha interessato un vecchio data center in dismissione della società Almaviva”, rispondono le Ferrovie dello Stato a una richiesta di informazioni da parte di Guerre di Rete. “L’attenzione è concentrata sull’accertamento tecnico dei fatti, sulla tutela delle informazioni e sulla piena collaborazione con Almaviva, società obiettivo dell’attacco, e le autorità competenti”. Le FS non forniscono ulteriori dettagli “per rispetto delle indagini”, ma aggiungono che sono in corso “attività di verifica tecnica e monitoraggio di tutti i nostri sistemi”. Almaviva, viene spiegato dalle Ferrovie, ha “informato anche gli organismi competenti per la protezione dei dati personali, mentre il Gruppo FS collabora per ciò che riguarda tutti i profili di propria competenza”.
Che provvedimenti sono stati presi? “Appena emersa la vicenda, il Gruppo FS, grazie alla sinergia tra FS Security e FS Technology e in coordinamento con Almaviva e con le autorità, ha attivato tutte le misure di sicurezza e mitigazione necessarie”, risponde la società. “Sono stati predisposti backup alternativi, rafforzate le attività di monitoraggio e continuità operativa e condivise le azioni da intraprendere con le strutture di Security del gruppo e con gli organismi di vigilanza competenti. Parallelamente, prosegue il monitoraggio del web e dei canali specializzati per intercettare tempestivamente eventuali pubblicazioni di materiali riconducibili all’attacco. Anche Almaviva ha dichiarato di aver isolato l’attacco, attivato il proprio team specializzato e garantito la continuità dei servizi critici”.
FS definisce “fondamentale” il presidio dell’intera filiera tecnologica – considerando che tutti i grandi gruppi si avvalgono di fornitori che possono essere “bucati” – e ammette che non è sufficiente monitorare i sistemi interni. “I fornitori e i partner tecnologici sono tenuti a rispettare requisiti stringenti sul piano della sicurezza informatica, della protezione dei dati, della continuità operativa e della gestione degli incidenti. Tali presidi sono definiti nell’ambito dei rapporti contrattuali, dei processi di qualifica e delle verifiche periodiche, con livelli di attenzione coerenti con la criticità dei servizi affidati”. L’errore è sempre possibile, ed è in queste lunghe catene di fornitura che provano a infilarsi i cattivi della rete.
Il trasporto aereo
Già, il problema delle filiere. Sempre più complesse, e, per questo, sempre più vulnerabili. Pensare a un attacco al sistema ferroviario può spaventare, ma immaginare che sia il sistema di controllo di un aeroplano a essere bucato scatena il terrore. Guerre di Rete ha provato a contattare Ita Airways, compagnia di bandiera (o forse non più: dipende dai punti di vista) italiana. Alla nostra richiesta di intervista, gli uffici hanno opposto un no-comment. Non è stato possibile, dunque, parlare con il CISO (chief internet security officer, cioè il capo della sicurezza informatica) né domandare che tipo di procedure di sicurezza, almeno a livello basilare, siano prese a tutela dei viaggiatori.
Ma perché questa paura di parlare, quando si tratta di cybersecurity? A rispondere è l’ENAC, l’Ente nazionale per l’aviazione civile, che fa capo al governo ed è l’autorità che fissa le regole del settore in Italia basandosi su normative europee (come la NIS2) e nazionali. “La sicurezza, in generale, sta alle spalle dei processi operativi: per questo è prassi comune che non se ne parli, e che le misure prese non vengano condivise”, riflette l’ingegnere Sebastiano Veccia, a capo della sicurezza dell’ENAC. Nella sua interpretazione, “non è ritrosia, ma una forma di cultura di sicurezza: si fa, ma non si dice”.
Resta il fatto che il pubblico ha domande sul rischio di volare, soprattutto in tempi di guerre asimmetriche che coinvolgono obiettivi non militari. Chiediamo se è possibile far cadere un aereo per mezzo di un attacco informatico. “Mi sento di escluderlo”, risponde Veccia. “Certo, un caso molto diverso come quello dell’11 settembre insegna che tutto è possibile, ma si tratta di una probabilità estremamente bassa”. È possibile invece inserirsi nei sistemi di comunicazione con i piloti? “I sistemi di comunicazione tra l’aeromobile e la torre di controllo sono avanti anni luce”, risponde il dirigente.
E se invece qualcuno riuscisse a infiltrarsi nelle ditte che producono gli aeroplani, e quindi anche il software che li governa, per inserire codice malevolo? In fondo gli incidenti del Boeing 737 Max paiono legati a sensori difettosi e software. “È il problema ben noto dei cosiddetti insider nell’industria. In Italia e in Europa, per le figure che entrano a contatto con aree e attività sensibili, viene richiesto alle forze di polizia un controllo dei precedenti penali del soggetto. Per ruoli di particolare criticità si richiede, in aggiunta, un background check rafforzato, che non si limita ai precedenti penali, ma guarda anche agli ambienti e alle compagnie che la persona frequenta”. Indagini di intelligence che servono a capire se il soggetto è radicalizzato, o vicino ad aree politiche pericolose. “La prevenzione si fa a monte, e lo stesso approccio degli aeroporti vale anche per i costruttori aeronautici e chi fa manutenzione degli aeromobili. Anche per chi è incaricato di caricare i dati sui pc di bordo c’è una procedura blindata”.
Veccia è consapevole che la sicurezza è un gioco tra guardie e ladri: l’inseguimento è costante. Si prova a isolare i dispositivi critici dal mondo esterno. “Le chiavette di manutenzione vengono controllate, sterilizzate e infine distrutte. Non solo: in aviazione le stesse attività di controllo si espletano in loco e non, come spesso accade oggi, da remoto. La programmazione degli interventi di sicurezza è importante, così come lo è preparare una matrice dei rischi: perché il 90% delle emergenze è dovuto a cattiva pianificazione. Faccio comunque notare che energia nucleare e aeronautica sono sempre stati i due settori più controllati”.
La visione di Veccia è confermata da una nostra fonte interna al settore. Che, al tavolo di un ristorante, racconta come “negli ultimi trent’anni non ci sono mai stati due incidenti aeronautici per lo stesso motivo, e questo perché ogni volta che ne accade uno lo si analizza nei dettagli e si corre ai ripari. Questo, in altri settori dove le procedure sono molto più lasse, viene preso per eccesso di pignoleria”. Un esempio è quello dei trasporti marittimi, con i porti che rappresentano la via di ingresso privilegiata per le merci che finiscono sugli scaffali, per il petrolio, ma anche per molto altro.
La sicurezza informatica dei porti
Sarebbe sbagliato sottovalutare l’importanza della cybersicurezza nei porti: quantità enormi di merci viaggiano via mare. Ma ci sono anche droga, armi, materiale illegale. E persone. Si comincia dai controlli all’ingresso per camion e autoveicoli. Entrare liberamente nell’area portuale significa avere una sorta di lasciapassare, utilissimo se si sa dove mettere le mani. Sistemi di controllo esistono, certo. Ma, come racconta la nostra fonte, le maglie sono larghe: “Quando si fanno le gare di appalto, per esempio per le telecamere da installare, solitamente si sceglie il prodotto che ha il prezzo più basso, che di norma è cinese. Queste telecamere possono avere delle backdoor, delle porte software nascoste che sono in grado di esfiltrare i dati e che cambiano a ogni aggiornamento. In sostanza, non controllando la tecnologia che usiamo potremmo offrire a un paese straniero la possibilità di fare intelligence sulle nostre informazioni”. Pechino è la principale indagata.
Ma c’è di più. L’andirivieni di un porto è basato su un sistema di riconoscimento delle targhe automobilistiche: camion di autotrasportatori noti trovano porte aperte e sbarre alzate ai varchi. I controlli sono a campione. Facile capire come, con un attacco mirato, sia facile far entrare anche chi non sarebbe autorizzato. Basta inserire una targa in più nel gestionale e il gioco è fatto. Le procedure manuali sarebbero più efficaci, ma sono troppo lente per i volumi di traffico dei grandi hub. Senza considerare che gli spazi sulle banchine sono affittati e gestiti tramite un software gestionale estremamente complesso, che sa esattamente chi e dove farà cosa con mesi di anticipo: anche in questo caso, un cybercriminale che riuscisse a entrare nel sistema potrebbe creare il caos operativo, paralizzando le attività. Guerre di Rete ha contattato il porto di Gioia Tauro, principale scalo merci italiano: nessuna risposta, neanche dopo svariati tentativi telefonici e via mail. Ha risposto, invece, l’autorità portuale di Genova.
“In merito alla richiesta pervenutaci, siamo nella necessità di non poter aderire all’iniziativa proposta”, afferma la replica pervenuta tramite posta elettronica. “La cybersecurity costituisce un ambito di particolare sensibilità per le infrastrutture critiche nazionali, categoria alla quale i sistemi portuali appartengono a pieno titolo. La normativa vigente in materia, unitamente alle linee guida emanate dall’Agenzia per la Cybersicurezza Nazionale (ACN), raccomanda la massima prudenza nella comunicazione pubblica relativa a sistemi, procedure e strategie di protezione informatica. La policy dell’Ente prevede pertanto di non rilasciare interviste su tali tematiche al di fuori dei canali istituzionali preposti”. Insomma, nulla da dichiarare.
Tutto bene?
Il breve viaggio intrapreso offre un quadro allarmante. E le contromisure non possono essere solo tecniche. Veccia, dirigente dell’ENAC, sottolinea quanto la cultura aziendale giochi un ruolo centrale: “La formazione del personale è importante. C’è ancora chi lascia le proprie password attaccate al PC con dei post-it. Per questo va ribadito: anche se fare corsi può sembrare noioso ai dipendenti, quest’attività si rivela utile quando ci si trova di fronte a un caso sospetto, e si torna con la mente alle lezioni in aula per sapere come reagire”.
Ci sono anche altre questioni, più difficili da affrontare. Come spiega la nostra fonte, “molte delle soluzioni di cybersecurity nel nostro paese vengono vendute dallo stesso gruppo di persone, poche decine di soggetti che si conoscono tra loro e che possono essere avvicinati senza grossi problemi da chi è dotato di argomenti convincenti, e di una certa disponibilità economica”. Accade di continuo, spiega. Ma questo è un tema per un altro giorno.
Una domanda necessaria: perchè, tra tutte le piattaforme di comunicazioni disponibili, qualcuno dovrebbe sceglierne una piuttosto banale, fornita da un’azienda di data mining (ossia raccolta, elaborazione e vendita di informazioni personali) potente e pericolosa come Facebook?
I software di chat esistono da prima che Whatsapp esistesse ed hanno offerto praticamente gli stessi servizi se non addirittura di più, ma quest’ultimo si é imposto grazie a due soli motivi: una fortissima campagna promozionale (già nei primi cinque anni e soprattutto dopo che é stato acquistato da Facebook nel 2014) ed il fatto che fosse utilizzabile immediatamente senza dover creare alcun account, cosa che ne ha permesso l’adozione da parte di chiunque senza dover pensare a cose come nome utente, password, ecc.
Non solo esistono decine di strumenti di chat che offrono infinitamente più sicurezza di Whatsapp e che non diffondono le tue informazioni in modo da poter alterare più efficacemente l’opinione pubblica, ma negli ultimi tempi é stata pure sviluppata Matrix, una piattaforma che presenta caratteristiche notevoli sotto diversi punti di vista e si presta perfettamente a diventare il software di riferimento tra quelli alternativi a Whatsapp.
Ma Matrix non si limita a possedere delle caratteristiche diverse da Whatsapp: é strutturalmente tutta un’altra cosa! La natura stessa della piattaforma Matrix, come si vedrà in questo post, é talmente diversa da Whatsapp, Telegram, Signal, Wire o qualsiasi altra piattaforma commerciale centralizzata da far sì che nessuna di queste potrà mai fornire tutto ciò che Matrix permette (e promette) di fare (e anche NON fare). In questo post vengono descritte per sommi capi proprio queste caratteristiche di Matrix con cui Whatsapp non potrà mai, per sua natura, competere.
Software F.L.O.S.S.
1. SOFTWARE APERTO E VERIFICABILE
Il software utilizzato dai server Matrix é F.L.O.S.S. ossia aperto, libero e verificabile da chiunque. Qualsiasi persona capace di programmare può verificare ciò che il software Matrix fa, esattamente come un meccanico che può aprire un cofano, vedere il motore, trovarne i difetti, metterci le mani e migliorarlo. Whatsapp al contrario usa software proprietario e ciò che avviene sui suoi server é un segreto industriale.
2. NON VENDE LE MIE INFORMAZIONI PERSONALI
Il software Matrix non monitora tutto quel genere di informazioni che invece vengono registrare da Whatsapp o da piattaforme sociali correlate come Instagram o Facebook: non calcola chi secondo lui potrebbe diventar mio amico/a. Non registra i millisecondi su cui mi soffermo su un’immagine, gli errori di battitura, i like, il tasso di engagement o il tipo di relazione che intercorre tra me ed un altro utente, quale sia il mio lavoro, i luoghi che visito o i miei spostamenti. Sappiamo che non monitora nulla di tutto ciò proprio perché é software F.L.O.S.S. Come vedremo, Matrix manco mi chiede come mi chiamo e non mi obbliga nemmanco a comunicargli tutti i numeri nella mia Rubrica. Inoltre, come vedremo, puoi far sì che non sia in grado di leggere quel che tu scrivi. Il software Matrix, insomma, raccoglie giusto le informazioni tecniche necessarie a funzionare. [*A FINE ARTICOLO C’É UNA NOTA IMPORTANTE SU QUESTO PUNTO!].Whatsapp é parte di Facebook, il cui modello di business ruota intorno a profilazione degli utenti e commercializzazione dei loro dati a fini di propaganda commerciale e/o politica. La quantità di informazioni che vengono trasmesse ai server di Facebook per essere analizzate é eccezionalmente superiore a ciò che gli utenti medi solitamente concepiscono.
3. POSSO CAMBIARE SERVER
Se creo un account Matrix sul server “A” e poi scoprissi che é inaffidabile, applica delle policy con cui non mi trovo d’accordo o sospettassi che vende informazioni a terzi, posso tranquillamente passare al server “B”senza perdere alcuno dei miei contatti. E’un pò come mollare hotmail o gmail per passare a Protonmail. Whatsapp invece é una bolla chiusa e se esci da Whatsapp perdi tutti i tuoi contatti Whatsapp.
4. POSSO ADDIRITTURA FARMI IL MIO SERVER MATRIX PERSONALE
Chi ha un server proprio può installarci Matrix ed avere così il proprio server chat personale, un pò come si può avere una mail aziendale, in modo da avere il controllo totale sui propri dati. Non ti fidi di nessun server pubblico che non sia gestito da te? Basta un server da qualche centinaio d’euro per essere totalmente indipendente! Whatsapp é invece utilizzabile solo attraverso i server di Facebook.
5. POSSO CAMBIARE APP
Attualmente per usare la propria chat Matrix da smartphone si usa quasi esclusivamente l’app Riot.im. Alcuni provider Matrix tuttavia hanno realizzato la propria versione dell’app Riot personalizzandone alcune caratteristiche. Alcuni esempi sono l’app Librem (per i possessori di un device Purism), SMIchat o Tchap (la piattaforma Matrix realizzata dal governo francese per il dialogo interno tra personale amministrativo). Su computer fisso invece oltre ad utilizzare Riot da browser o l’app Riot, si possono già utilizzare Wheechat, o Quaternion, Nheko o Fractal. Applicazioni diverse con caratteristiche, funzioni, vantaggi e svantaggi diversi applicati allo stesso servizio. Un pò come scegliere se usare Thunderbird o Outlook per la propria casella email. Al momento Riot é l’applicazione standard migliore per l’utente comune, essendo le altre più “specialistiche”. Tuttavia nulla impedisce che possano essere realizzate nuove versioni alternative di Riot o app del tutto diverse per utilizzare Matrix. Al contrario per usare Whatsapp sono obbligato ad utilizzare il software ufficiale di Whatsapp che, ovviamente, é sempre software chiuso. Qualche applicazione “alternativa” per Whatsapp esiste, ma data la natura chiusa del software di Whatsapp e la limitatezza delle sue funzioni, queste app alternative non potranno mai offrire granché di diverso rispetto a quella ufficiale.
6. POSSO AVERE PIÙ ACCOUNT CONTEMPORANEAMENTE
Su Matrix nulla t’impedisce di avere account multipli. Puoi dunque differenziarli, ad esempio usare un account pubblico, uno per pochi intimi ed un’altro solo per lavoro, magari pure registrandoli su server diversi. Al momento attuale la versione per smartphone di Riot.im non supporta ancora gli account multipli, ma si tratta di una funzionalità che si prevede di rendere disponibile a breve. Su browser invece puoi già usare diversi account Matrix contemporaneamente. Whatsapp invece ti obbliga ad avere un unico account legato al tuo telefono ed alla tua persona.
7. POSSO USARLO ANCHE SENZA TELEFONO
Matrix non é legato a doppio filo al tuo telefono, per cui puoi accederci anche se il telefono l’avessi perso o distrutto. In effetti si può benissimo usare Matrix senza nemmeno averlo mai avuto un telefono. No telefono = no Whatsapp.
8. NON SONO OBBLIGATO A DARE IN GIRO IL MIO NUMERO DI TELEFONO PRIVATO
Il fatto che Matrix non sia legato alla tua identità, al tuo device o al tuo telefono fa sì che tu possa avere un account Matrix pubblico senza dover necessariamente comunicare il numero di telefono dello smartphone da cui lo utilizzi. Puoi dunque usare un account Matrix aziendale anche sul telefono privato, oppure fare l’esatto contrario. Puoi continuare ad accedere al tuo account anche se avessi perso o distrutto tutti i tuoi device. É dunque possibile fare conversazioni audio o videochiamate con qualcuno tramite Riot/Matrix senza essere obbligati a fornirgli il proprio numero personale. Whatsapp invece non permette di avere un account scollegato dal proprio numero di telefono.
9. DIALOGO TRA PIATTAFORME
Matrix é pensato per poter interagire con altre piattaforme e seppur si tratti di un qualcosa ancora in via di sviluppo, già é possibile con qualche sforzo chattare tra Matrix, IRC, Slack, Gitter, Discord, Telegram ed altre piattaforme ancora. La cosa non funziona ancora del tutto ma il progetto é quello di permettere ad ogni utente di dialogare con Matrix restando sulla piattaforma che preferisce. Con un pò di sforzo é già possibile un’unica stanza chat in cui possono interagire utenti che stanno su diverse piattaforme: Scrive Marta da Telegram, gli rispondono Sara da Slack e Luigi da Matrix; poi intervengono Anna da IRC e Michele da Rocketchat mentre Nicoletta posta una domanda da Discord e Bruno le risponde da XMPP e Riccardo fa altrettanto da Mastodon. Una volta reso più immediato e funzionale il dialogo tra Matrix e Mastodon si potrà inoltre avere un’unica, grande meta-rete federata in cui decine di piattaforme social potranno dialogare tra loro e con Matrix. Seguono invece una filosofia del tutto opposta sia Whatsapp che tutti i software di comunicazione commerciali, che tendono a far di tutto perché tu non utilizzi software diverso dal proprio.
10. POSSO USARE MATRIX… SENZA AVERE MATRIX
É una conseguenza del punto precedente: il fatto che Matrix dialoghi con altre piattaforme fa sì che, ad esempio, io possa accedere ad una chat Matrix ed interagire con i suoi membri utilizzando le App per IRC, XMPP, Telegram, Discord ecc. Volendo é possibile anche far interagire Matrix con l’email e gli sms. Di conseguenza tutto il “parco macchine” delle piattaforme che dialogano con Matrix (i diversi client/app, ecc) possono essere utilizzati per interagire con utenti Matrix. Non é cosa da poco! Hai una email? Puoi comunicare con Matrix. Hai un account XMPP? Puoi comunicare con Matrix. Sul telefono hai un’app per IRC? Puoi comunicare con Matrix! É pure possibile creare stanze Matrix pubbliche leggibili online da chi non utilizza nemmeno una sola delle piattaforme che interagiscono con Matrix. Come detto sopra, invece, Whatsapp non fa che obbligare gli utenti a legarsi ai propri servizi e solo a quelli.
La stanza resta viva fintanto che almeno un server attivo ne ospiti una copia su di sé.
11. FUNZIONA SEMPRE
Essendo Matrix una rete decentralizzata di server indipendenti e non un’unica piattaforma centralizzata, se il server a cui mi appoggio avesse dei problemi io potrei accedere alla chat semplicemente scegliendo un server diverso. Perché ciò sia possibile é necessaria una minima accortezza da parte di almeno un utente della chat ma é piuttosto banale e realizzabile da chiunque. Il fatto é che il contenuto é slegato dal singolo server e può dunque essere replicato all’infinito, rimanendo eterno. Quando c’é un #WhatsAppDown invece non puoi far altro che aspettare che venga ripristinato. Se Whatsapp avesse un problema al server e perdesse i tuoi dati, non avresti modo di recuperarli.
12. POSSO CRIPTARE I MIEI MESSAGGI PER DAVVERO
Con Matrix posso criptare i miei messaggi in modo tale che siano leggibili solo da me e dalla persona con cui mi scrivo, usando un sistema di cifratura End-to-End molto potente ed efficace che scavalca lo stesso server ospitante. I software commerciali invece di solito non permettono una vera cifratura e quando lo fanno… considerano sé stessi come destinatari, perché devono leggere quel che scrivi, a chi ecc.
13. NESSUNA PUBBLICITA’
Per come é stata realizzata, Matrix é una piattaforma del tutto inadatta all’uso pubblicitario. Questo a causa della sua struttura decentrata, della mancata raccolta di informazioni sugli utenti, del software aperto e delle capacità di cifratura. Se invece Facebook decidesse di introdurre pubblicità in Whatsapp, i suoi utenti non potrebbero far altro che subirla.
14. IMPOSTAZIONI DETTAGLIATE
Accedendo a Matrix da un client desktop si ha modo di impostare tutta una serie di settaggi e preferenze molto minuziose. É ad esempio possibile far si che un certo membro della stanza possa solo leggere senza intervenire o nominare diversi “amministratori” ma con livelli di potere e compiti assai differenziati fra loro. Si possono aggiungere Widget alle stanze, bot ed altre funzioni. Matrix dunque può essere personalizzato in modo molto specifico. Whatsapp invece, puntando ad un utilizzo ipersemplificato, ingabbia l’utente in una serie assai limitata di opzioni.
15. NON SONO OBBLIGATO A FORNIRE LA MIA IDENTITÀ
Quando crei un account Matrix non c’é alcun obbligo a collegarlo al proprio nome, alla propria email o al proprio numero di telefono. Gli account Whatsapp invece sono legati a dei numeri di telefono. Siccome quando ti iscrivi a Whatsapp gli consegni tutta la tua rubrica, Facebook sa con che nome, cognome e soprannome hanno registrato in rubrica il tuo numero i tuoi conoscenti ed essendo tutto integrato nei database di Facebook la tua identità gli é nota anche se tu non gliel’hai mai fornita direttamente. In sostanza: se sei su Whatsapp regali a Facebook informazioni non solo su di te, ma anche sui contatti che hai salvato.
16. ESTENSIONI, MODIFICHE, MIGLIORAMENTI
Essendo software F.L.O.S.S. qualsiasi programmatore può facilmente sviluppare estensioni, strumenti aggiuntivi, bot, modifiche e miglioramenti alle app esistenti. Questo fa si che attorno a Matrix si sviluppi un intero ecosistema con numerosi elementi aggiuntivi capaci di personalizzare ulteriormente la chat alle tue esigenze. Già esistono dei widget capaci di inserire in una stanza matrix funzionalità di Wikipedia, pad di scrittura collaborativa, grafici, immagini stock, feed RSS e non é difficile immaginare per il futuro personalizzazioni di skin, applicazioni per backup selettivi, bot di ogni genere, traduttori automatici. Anche attorno a Whatsapp in effetti si é sviluppato un ecosistema di applicazioni di supporto, ma data la natura chiusa del software usato e la non-volontà di Facebook di cedere troppo facilmente le informazioni che ha raccolto sui suoi utenti, le app aggiuntive sono ben poca cosa: perlopiù addon di gif e sticker.
___________________________________
NOTA FINALE: POCHISSIMI CAPISCONO DAVVERO LE IMPLICAZIONI DEL NON CEDERE I PROPRI DATI PERSONALI
Quando si parla di privacy e vendita di dati, di solito il pensiero comune va a due soli scenari: la commercializzazione pubblicitaria e l’indagine poliziesca mirata su di sé. Nel primo caso viene ritenuta tuttalpiù un fastidio mentre la seconda, dato i sempre più onnipresenti dispositivi di monitoraggio e controllo, viene ritenuta come scontatamente inevitabile.
In realtà sfugge che gli utilizzi dei propri dati personali sono molto più variegati di questi due scenari estremi. Estremi perché il primo rappresenta il grado minimo mentre il secondo il grado massimo di utilizzo dati personali, tralasciando la profilazione politica a fini propagandistici.
Facebook, Google, Youtube ed Instagram ad esempio insistono nel mostrarti con più frequenza certi profili, certe notizie, certi video e lo fanno in modo nient’affatto casuale. Se la profilazione social su di te ha mostrato paura o debolezza emotiva verso certi tipi di notizie, questo dato può essere usato da chi vuole propagandare determinate politiche affinché tu, e solo tu tra tutta la tua cerchia di amici, legga un certo tipo di articoli.
Se utilizzi le piattaforme sociali commerciali sappi che quel che ti passa davanti agli occhi é stato personalizzato su di te, per colpirti maggiormente e “venderti” meglio una certa idea da parte di chi ha comprato i servizi di profilazione. E ciò é possibile perché sei proprio tu a fornire informazioni utili a profilarti e targhetizzarti meglio.
Sei un pò razzista? Facebook può essere usato (e viene usato!) per consolidare il tuo razzismo. Sei più moderato? Facebook é in grado di selezionare un mix di fonti ambigue per alimentare dubbi sugli stranieri e virare i tuoi riferimenti sempre più a destra attraverso una selezione mirata di post adatti a colpire le tue paure più accentuate.
Sei sensibile alle violenze sugli animali? Ti verranno messi sotto gli occhi diversi articoli con stranieri che fanno male ad animali. Hai paura delle malattie? Vedrai post sui migranti che portano la peste medievale.
Sei sgrammaticato e non metti alcun like a fonti culturali? Vuol dire che hai una bassa istruzione e nella tue Timeline verranno fatti scorrere contenuti falsi ma dal linguaggio semplice.
Hai una preparazione scolastica media-buona ma non sei quel che si chiama un “divoratore di libri”? Ti piacciono il calcio ed i film di supereroi? Non vedrai molti post ignoranti ma invece tanta roba giustificazionista e qualunquista del tipo “eh, ma in fondo Salvini non ha tutti i torti”.
I noti avvenimenti di Facebook nello scandalo Cambrydge Analytica; l’influenza di Facebook nella Brexit e nell’elezione di Trump hanno reso evidente che le campagne politiche mirate e targhetizzate al singolo utente sono una realtà molto più pervasiva e difficile da monitorare di quanto il grosso della popolazione sospetti. Il ruolo di Facebook nella Brexit, per esempio, é stato tutt’altro che secondario e questo é stato possibile perché chi ha voluto diffondere sul social network delle informazioni false l’ha potuto fare in modo estremamente mirato.
“Se uno vuole monitorarti può farlo anche su Matrix”. A parte il fatto che non é affatto così immediato come spiare un profilo Facebook (basta che la persona su cui indagare abbia un account segreto diverso da quello conosciuto e delle stanze matrix criptate per rendere quasi impossibile ogni ricerca); quel che va ribadito é che nell’utilizzare una piattaforma libera non si cerca solo e soltanto uno strumento di comunicazione sicura, ma anche uno strumento che permetta all’utente di non alimentare quei meccanismi che influenzano con più efficienza l’utente stesso.
Basta fare un breve esperimento ed osservare come grazie all’utilizzo di reti sociali libere, metamotori di ricerca indipendenti, ed un paio d’accortezze nel browser come l’utilizzo di alcuni Ad-Blocker e plugin, fa sì che la propria esperienza online ed i contenuti-fuffa propagandistici possano ridursi drasticamente.
Nel momento in cui Facebook e Google non sanno più chi sei e cosa pensare di te, non sono più in grado di personalizzare il loro contenuto e la qualità dell’informazione a cui sei esposto aumenta molto velocemente.
Detto in altro modo:
Più sono le informazioni personali che fornisci ai big del data mining, più sono le chiavi che gli consegni affinché possano modificare la tua percezione del mondo.
VUOI SAPERNE DI PIÙ?
Se l’articolo ha attirato la tua curiosità, é possibile saperne maggiormente leggendo anche altri articoli di questo blog:
Cos’é Matrix.(Il post espone in dettaglio cos’é la piattaforma Matrix e la sua enorme differenza da tutte le altre piattaforme di comunicazione esistenti)
Matrix – Chattare anche se il server é esploso.(Le chat Matrix non sono necessariamente legate ad un solo server e quindi se anche uno smettesse di funzionare… basta usarne un’altro senza perdere contatti e messaggi)
Matrix bridge: connettersi a tutti i social da una sola App. (Sono in via di sviluppo dei bridge Matrix che permettono di avere un’unica chat in cui può dialogare contemporaneamente gente da Matrix, Telegram, IRC ed altre piattaforme ancora)
Primi passi con Riot/Matrix.(Una semplice guida passo-passo su come creare un account Matrix da Riot ed iniziare ad usarlo)
VUOI GIÀ CREARTI UN ACCOUNT MATRIX?
Per creare un account Matrix é necessario scegliere un server Matrix pubblico (o crearsene uno proprio, ma in quel caso si presume tu ne capisca già di informatica/programmazione/sistemistica).
Scegliere il server Matrix é come scegliere se farsi l’email su Gmail, Hotmail o Protonmail: son tutti più o meno simili ma hanno a loro volta delle caratteristiche un pò diverse.
Il server più utilizzato é matrix.org, che é quello dei creatori originali della piattaforma Matrix. Tuttavia é preferibile che gli utenti non si appoggino tutti solo e soltanto su quell’unico, grosso server perché se questo avvenisse, verrebbe meno proprio il senso della decentralizzazione della rete.
Alcuni server che possono essere utilizzati sono i seguenti:
Se ci riflettiamo un attimo troviamo una similitudine tra Internet e l’oceano: entrambi hanno uno strato superficiale maggiormente noto ed uno strato profondo ed oscuro, per la maggior parte inesplorato. In questo articolo daremo un’occhiata al Surface Web, al Deep Web ed al Dark Web e descriveremo brevemente le differenze tra loro. Cos’è il Surface… Leggi tutto »Differenze tra Deep Web e Dark Web: cosa dobbiamo sapere
Per la maggior parte degli utenti di Internet il mondo online inizia e finisce con Google.com. Tuttavia Google non è in grado di trovare proprio tutto sulla rete perché esiste un Web profondo (“deep“), invisibile (“invisible“) ed oscuro (“dark“) non accessibile da Google. Per questo motivo è necessario utilizzare motori di ricerca ad hoc, che… Leggi tutto »Deep Web – Gli 11 migliori motori di ricerca per trovare quello che Google non può
Android ha un’applicazione per qualsiasi cosa. Se siete amministratori di rete, tester professionisti o aspirate a diventare dei white hat hacker potete usare anche il vostro dispositivo Android per eseguire scansioni e test sia di base che completi per raccogliere informazioni ed identificare vulnerabilità. Eccovi una lista aggiornata (rispetto al nostro articolo del 2019) di… Leggi tutto »9 tra le migliori applicazioni di hacking per Android
L’invio di credenziali di accesso, di informazioni sugli account, di numeri di carta di credito o di altre informazioni sensibili via Internet, e-mail o un’applicazione di messaggistica spesso non sarebbe l’idea migliore, ma a volte può essere l’unico modo di procedere. In questi casi ci viene in aiuto la crittografia su cui si basano i… Leggi tutto »Come inviare informazioni sensibili su Internet in modo sicuro
Accedi
