😱 ASHLEY MADISON, il sito che ha rovinato 37 milioni di vite

Immaginate per un solo secondo di aver deciso di cercare un pizzico di avventura nella vostra vita ed aver intrapreso una relazione extraconiugale. Siete tranquilli che la cosa non verrà mai fuori perché anche la persona con cui state tradendo vostro marito o vostra moglie è sposata e ha il vostro stesso interesse a tenere tutto segreto. La cosa va avanti per qualche tempo, poi vi pentite e decidete di chiudere la storia e di concentrarvi sul vostro matrimonio. Cancellate ogni traccia del tradimento e piano piano ricominciate a dormire tranquilli la notte. Improvvisamente, un giorno, tutti i telegiornali parlano del vostro tradimento e di tutti i dettagli di quello che avete fatto. Non è l'inizio di un film horror, ma è la realtà vissuta da milioni di persone nell'estate del 2015, quando uno dei più devastanti data breach della storia colpì Ashley Madison, il sito di incontri extraconiugali più famoso al mondo. Uno tsunami digitale che ha sconvolto vite, famiglie, carriere e ha lasciato dietro di sé una scia di divorzi, licenziamenti, cause legali milionarie e persino suicidi. La storia di Ashley Madison è molto più di un semplice attacco hacker. È un caso che tocca le corde più profonde dell'etica, della privacy, della sicurezza dei dati e delle conseguenze reali, a volte anche tragiche, che possono scaturire quando il nostro mondo online crolla come un castello di carte. Ma andiamo con ordine. Ciao a tutti e benvenuti in questo nuovo video. Questo caso, quando l'ho approfondito alcuni mesi fa, mi ha sconvolta così tanto che è stata la molla che mi ha fatto decidere di aprire questo canale. Lo trovo veramente incredibile e sono sicura che quando avrete finito di vedere il video sarete d'accordo con me. La storia di oggi inizia nel 2002 quando un imprenditore canadese di nome Darren Morgenstern decideva di lanciare un sito web destinato a far discutere mezzo mondo. "La vita è breve, concediti un'avventura". Questo era lo slogan del sito web Ashley Madison, nome scelto fondendo due dei nomi più popolari in quel momento in Nord America, cioè appunto Ashley e Madison. Dietro questo nome apparentemente innocuo si nascondeva un'idea di business a dir poco audace: creare una piattaforma dedicata specificamente a persone sposate o impegnate che che cercavano relazioni extraconiugali. Non era un sito di incontri qualsiasi quindi, ma una piattaforma pensata esplicitamente perché le persone tradissero. L'intuizione di Morgenstern nacque in modo quasi casuale. Stava leggendo un articolo sul sito di incontri LavaLife e scoprì che circa un terzo degli utenti di LavaLife, un sito di incontri come Tinder, era sposato. Questo dato lo colpì a tal punto che Morgenstern pubblicò persino un annuncio in cui offriva $50 a chiunque avesse avuto una relazione extraconiugale e fosse disposto a raccontare un po' la propria esperienza. Da queste interviste Morgenstern capì che quello che la gente cercava era un posto sicuro in cui cercare delle relazioni extraconiugali con una certezza quasi granitica di privacy e riservatezza, quindi con la certezza di non essere scoperti. E fu così che nacque quindi Ashley Madison. Lo scopo dichiarato del sito era quello di creare appunto un ambiente sicuro e discreto dove le persone potessero esplorare i propri desideri non proprio etici, o Ovviamente fin dall'inizio il progetto scatenò enormi polemiche. Per molti Ashley Madison era semplicemente un'attività che lucrava sul tradimento e sulla distruzione dei matrimoni. Questo fece sì che il sito nei suoi primi anni di vita non avesse i risultati che Morgan Starr sperava. Le persone si vergognavano di entrare su Ashley Madison, c'era ancora molta diffidenza rispetto al mondo di internet in generale, quindi giustamente la gente temeva di rovinare la propria vita o anche solo la propria reputazione e quindi se ne teneva un po' alla larga. Nel 2007 la situazione cambia quando entra in scena un nuovo personaggio, l'avvocato Noel Biderman, che divenne l'amministratore delegato della società che gestiva Ashley Madison, ovvero la Avid Life Media. Biderman decise di puntare tutto sulla propria immagine, si presentava come il re degli infedeli e spesso appariva proprio nei telegiornali e in generale nei media per difendere la filosofia del sito. Ironicamente nelle interviste lui sosteneva di essere felicemente sposato e di non aver mai tradito sua moglie, che anzi esso partecipava alle interviste proprio anche lei per difendere la filosofia del sito. Lui definiva il tradimento come un'industria miliardaria di cui voleva semplicemente prendere una fetta, un qualcosa che non aveva creato lui e che sarebbe andato avanti anche senza Ashley Madison. Sotto la guida di Biderman, la piattaforma conobbe un'espansione internazionale veramente impressionante. Dal Canada, dove era nato, si diffuse negli Stati Uniti, poi in Europa, Australia, Giappone, Hong Kong, Sudafrica e così via. Nel 2011 sbarcò anche in Italia, dove nel giro di pochi anni avrebbe raccolto oltre 700.000 iscritti, facendo del nostro paese il terzo mercato europeo dopo Regno Unito e Spagna. Il successo era innegabile. Nel 2015 Ashley Madison contava circa 37 milioni di utenti in oltre 40 paesi. Il sito si vantava di avere un fatturato annuo di circa 100 milioni di dollari ed era pianificata persino la quotazione in borsa della società, che aveva un valore stimato di circa 1 miliardo di dollari. Ma già allora dietro questo enorme successo si nascondevano alcuni segreti. Ashley Madison si fondava sulla promessa fatta ai suoi utenti di una assoluta discrezione e un totale anonimato. Il sito si vantava di utilizzare tecnologia all'avanguardia per proteggere i dati dei propri iscritti. Sulla homepage spiccava persino un logo che rappresentava un lucchetto con la scritta Trusted Security Award, quindi mostrava di aver ricevuto anche in qualche modo dei premi per il livello di sicurezza del sito. Ma era davvero così? Nel 2012 il Chief Technology Officer, che è colui che in un'azienda si occupa della parte informatica o tecnologica, aveva già avvertito il consiglio di amministrazione che il sito Ashley Madison non aveva un livello di sicurezza sufficiente a renderlo invulnerabile ad attacchi informatici. Le sue preoccupazioni tuttavia non vennero ascoltate. Oltre alle evidenti vulnerabilità, Ashley Madison utilizzava anche delle pratiche commerciali quantomeno discutibili. I guadagni del sito si fondavano sugli utenti che pagavano per avere crediti che servivano per scrivere ad altre persone e quindi riuscire a tradire il proprio coniuge. Per evitare che il sito fosse frequentato solo da uomini e incentivare quindi la partecipazione delle donne, le donne non pagavano, potevano scrivere a chi volevano quando volevano e gli uomini per rispondere dovevano invece comprare dei crediti. Nonostante questo la percentuale di donne sul sito restava veramente molto bassa per cui la società di Morgenstern iniziò a creare dei profili femminili finti. I cosiddetti fembots, per attrarre gli utenti maschili e farli pagare per messaggiare con questi bot, sperando in incontri che in realtà poi non sarebbero mai esistiti. Il sito permetteva ovviamente anche di cancellarsi dalla piattaforma. Se però volevi cancellare ogni singola traccia dei tuoi dati e di quello che avevi fatto, della tua carta di credito, dei tuoi messaggi inviati, dovevi pagare tramite un servizio chiamato Full Delete, ovvero cancellazione completa, che prometteva di eliminare totalmente i dati degli utenti dai server per soli $19. Quindi anche la discrezione che il sito prometteva in realtà era molto fragile, perché l'unico modo di ricevere una qualche garanzia che tutto sarebbe stato cancellato era pagare. Ultima cosa comunque grave era che il sito non verificava gli indirizzi mail al momento della registrazione, quindi permetteva a chiunque di creare dei profili usando l'indirizzo mail di un'altra persona senza alcuna verifica. Insomma, se guardiamo con gli occhi di oggi, Ashley Madison era la tempesta perfetta. Era impensabile che tutto sarebbe sempre filato liscio. E infatti il 12 luglio 2015 tutto smise di filare liscio. Quel giorno alcuni dipendenti di Ashley Madison accesero il loro computer trovando un messaggio a dir poco inquietante. Lo schermo si accendeva ma il computer restava bloccato e mostrava solo una schermata fissa con la canzone degli AC/DC Thunderstruck sparata a tutto volume. Era evidente che stava succedendo qualcosa, però ancora non era chiaro se si trattasse di un errore, di uno scherzo o di qualcosa di più grave. La conferma che fosse qualcosa di molto più grave arrivò qualche giorno dopo, il 19 luglio 2015. Quel giorno un gruppo hacker fino ad allora sconosciuto che si faceva chiamare The Impact Team annunciò pubblicamente di aver violato i server di Ashley Madison e di aver rubato i dati di milioni di utenti. Non si trattava però di un attacco come tanti altri, gli hacker avevano un intento dichiaratamente moralistico. Nel loro comunicato iniziale dissero che la Avid Life Media, quindi la società proprietaria di Ashley Madison, aveva ricevuto istruzioni di chiudere il sito completamente e per sempre, altrimenti gli hacker avrebbero rilasciato tutti i dati dei clienti: nomi, cognomi, foto, indirizzi, carte di credito, i dettagli dei profili che indicavano anche ad esempio le preferenze di partner e di pratiche sessuali, i messaggi scambiati, gli acquisti fatti e così via. Insomma tutto. È un attacco hacker difficile da inquadrare, può essere da un certo punto di vista considerato un ransomware perché anche nei ransomware c'è la minaccia di cancellare o diffondere dei dati, ma lo scopo del ransomware è ricevere in cambio un riscatto, una somma di denaro. Qua l'unica richiesta degli hacker era di chiudere il sito, punto. Non volevano soldi, non volevano nient'altro. La principale critica mossa dall'Impact Team era relativa al servizio di cancellazione completa offerto da Ashley Verizon, come dicevo prima, al prezzo di $19, che teoricamente doveva eliminare completamente i dati dell'utente dal sistema. In realtà, secondo gli hacker, si trattava di una bugia. I dati non venivano mai cancellati. Pagare o non pagare era esattamente la stessa identica cosa. Il profilo veniva chiuso, ma tutti i dati restavano nel server. E l'Impact Team diceva di poterlo provare, perché aveva messo le mani anche sui dati di chi aveva pagato per la cancellazione completa. Il 20 luglio 2015 la società proprietaria di Ashley Madison emise un comunicato stampa in cui riconosceva di essere stata effettivamente oggetto di un tentativo di accesso non autorizzato, ma diceva anche di aver già messo in sicurezza il sito e chiuso ogni punto di ingresso. Quindi fondamentalmente hanno minimizzato un po' l'impatto dell'attacco che c'è stato. Inoltre Ashley Madison offrì agli utenti in modo gratuito la cancellazione completa dell'account, quindi era possibile cancellare completamente l'account senza pagare la tariffa di $19 normalmente prevista. Un gesto che col senno di poi sembra un po' un tentativo disperato di salvare la faccia. L'Impact Team si innervosì parecchio leggendo questa dichiarazione e il giorno dopo, quindi siamo al 21 luglio 2015, rilasciò i dati personali di oltre 2500 utenti come antipasto. Volevano mandare un messaggio chiarissimo: non stiamo scherzando, abbiamo veramente messo le mani sui dati dell'azienda, chiudete il sito o renderemo pubblici anche i dati di tutti i 37 milioni di utenti. Nonostante questa prima fuga di dati, Ashley Madison decise di non piegarsi alle richieste degli hacker e continuò a operare come se nulla fosse. Anche perché, come accennavo, era imminente la quotazione in borsa, quindi Noel Biderman non aveva nessuna intenzione di fermarsi. Per circa un mese non successe più nulla, il silenzio completo. Il consiglio di amministrazione della società Avid Life Media iniziò a pensare che forse si era trattato di un bluff. Magari gli hacker avevano messo le mani solo sui dati di quelle 2.500 persone, una frazione minima rispetto ai 37 milioni di utenti del sito. E poi, ovviamente, il cataclisma. Il 18 agosto 2015 l'Impact Team rilasciò oltre 60 GB di dati sottratti dai server di Ashley Madison. Se pensate che i dati di una persona possono pesare massimo 3-4 KB, avete idea di quante persone fossero state violate. Stiamo parlando di 60 GB. Non si trattava solo di nomi, indirizzi email, ma di dati estremamente sensibili e dettagliati di tutti i 37 milioni di utenti, fra cui nomi e cognomi completi, indirizzi email personali e di lavoro, indirizzi fisici di casa e dell'ufficio, password di accesso, numeri di telefono, dettagli delle carte di credito e tutta la cronologia delle transazioni per 7 anni, preferenze quali fantasie personali, quelle descritte dagli utenti al momento della registrazione, la cronologia anche delle chat private fra i clienti, documenti interni dell'azienda e tutto il resto su cui erano riusciti a mettere le mani. I dati vennero pubblicati sul dark web firmati dagli hacker con delle chiavi PGP che servono a garantire l'autenticità dei file, quindi serviva anche per dire che li avevano effettivamente rubati e che erano autentici. I dati vennero accompagnati da un messaggio dell'Impact Team in cui il gruppo accusava la società di Ashley Madison di avidità, di inganni e anche di stupidità. Il colpo più devastante per la reputazione dell'azienda arrivò però quando si scoprì che fra i dati c'erano anche effettivamente quelli degli utenti che avevano pagato il servizio di cancellazione completa. La promessa di Ashley Madison era una bugia, proprio come sostenevano gli hacker. I dati non erano mai stati realmente cancellati, era solo una manovra volta a ottenere ancora più profitto che faceva leva sulla paura degli utenti di essere scoperti in modo da spillare ulteriore denaro. È stato stimato che il servizio full delete portasse all'azienda circa 2 milioni di fatturato all'anno e loro in realtà non cancellavano niente. Nel giro di poche ore i 60 GB di dati furono scaricati e replicati su decine di siti web, sul web normale. Quindi anche se inizialmente erano stati pubblicati sul dark web, divennero molto presto accessibili anche attraverso i normali motori di ricerca. Nacquero persino dei siti web che permettevano a chiunque di verificare se un indirizzo mail fosse presente nel database rubato, in modo che le mogli e i mariti traditi avessero una prova dell'infedeltà del loro coniuge. Due giorni dopo, mentre il mondo era ancora sconvolto dalla marea di persone esposte dall'attacco hacker, venne rilasciata dall'Impact Team una nuova ondata di dati, questa volta riguardante proprio il personale di Ashley Madison. Vennero pubblicate tutte le mail interne dell'azienda, compresa la corrispondenza dell'amministratore delegato Noel Biderman, da cui si capiva che i dirigenti in realtà erano perfettamente consapevoli delle vulnerabilità del sistema e di quanto molte delle loro pratiche commerciali fossero, diciamo appunto, discutibili. La reazione del pubblico fu immediata e sconvolgente. I media di tutto il mondo diedero ampissimo spazio alla notizia. Sui social network esplose un mix di indignazione, curiosità morbosa e anche un po' compassione per le vittime. Anche perché si era scatenata una vera e propria caccia alle streghe, con persone che cercavano freneticamente fra i dati per scoprire se i propri partner, i propri amici, i propri colleghi fossero fra gli iscritti del sito. Fu in quel momento che iniziò a essere compresa la vera portata della catastrofe. Questo non era solo un attacco informatico ad Ashley Madison, ma era un evento che avrebbe avuto conseguenze devastanti sulla vita reale di milioni di persone. La prima conseguenza fu immediata e forse anche un po' scontata: ci fu un'ondata di separazioni e divorzi. Nel Regno Unito fu registrato quello che i media definirono il primo divorzio per infedeltà virtuale, quando una donna trovò i dettagli del marito fra i dati rilasciati. Marito che non aveva incontrato nessuno, ma aveva chattato con moltissime donne, vere o finte che fossero. Ma fu solo l'inizio comunque di una lunga serie. Pensate che anche in Italia il 2016 ad oggi è l'anno con più divorzi assoluto. Se calcolate che il data breach c'è stato ad agosto del 2015, capiamo che è realistico che molti dei divorzi derivassero proprio dalla scoperta dell'infedeltà tramite il data breach di Ashley Madison. Molti utenti sostenevano di essersi iscritti solo per curiosità, senza aver mai fatto nulla di grave. Altri ancora affermavano addirittura di non essersi mai registrati, ipotizzando che qualcuno avesse usato le loro mail senza permesso per fare un dispetto, uno scherzo. Questa era una cosa tecnicamente possibile? Dato che il sito non verificava gli indirizzi email, ma la realtà fu che comunque moltissimi matrimoni crollarono a causa della fuga di dati, o meglio, crollarono a causa dei tradimenti che la fuga dei dati aveva esposto. Le conseguenze più drammatiche furono quelle che coinvolsero le persone più vulnerabili o quelle per cui la scoperta poteva avere delle ripercussioni devastanti sulla carriera o sulla reputazione. La quantità di posti di lavoro persi a causa dell'attacco hacker non si conta. Le aziende non volevano avere a che fare con persone coinvolte in questo scandalo, soprattutto negli Stati Uniti dove la politica dei licenziamenti è di manica molto più larga rispetto ai paesi europei. Furono confermati anche almeno 3 atti estremi di persone che si tolsero la vita adducendo come motivazione proprio la fuga dei dati di Ashley Madison, che aveva rovinato il loro matrimonio o la loro reputazione. Non solo, alcuni criminali videro nel data breach subito da Ashley Madison un'opportunità di guadagno e iniziarono a attaccare le persone che secondo loro potevano essere più colpite dal rilascio dei dati, come ad esempio utenti che avevano indirizzi mail che terminavano con .mil o .gov, quindi che lavoravano per il governo o per le forze dell'ordine, oppure che aveva indirizzi mail che terminavano con .sa, cosa che indicava che l'utente era dell'Arabia Saudita, dove l'adulterio è soggetto alla pena di morte. Nell'attacco furono coinvolte anche molte persone famose, Forse il caso più celebre, almeno in America, è quello di Josh Duggar, che aveva preso parte al reality 21 Sotto un Tetto, che seguiva le vicende di una famiglia cristiana molto credente e molto conservatrice, formata appunto da 21 persone: 2 genitori e 19 figli. Josh, il maggiore, era già sotto il mirino delle autorità per delle condotte sessuali inappropriate. Dalla fuga dei dati di Ashley Madison emerse che l'uomo aveva compiuto oltre 1000 transazioni sul sito e incontrato tantissime donne. Fu addirittura ricoverato in un centro di riabilitazione dopo che ebbe ammesso di essere dipendente dal sesso. La cosa fece scalpore più che altro per l'ipocrisia, dal momento che tutta la famiglia Duggar, Josh compreso, doveva la propria notorietà al fatto di essere assolutamente credente, di vivere secondo la morale cristiana, eccetera eccetera. Un altro caso famoso fu quello di Sam Rader, che con la moglie Mia aveva un canale YouTube molto famoso in America, famoso proprio perché erano la classica famiglia tradizionale molto credente. E quindi ovviamente la reputazione di Sam fu molto danneggiata. Questi furono i due casi più noti. In realtà furono coinvolti anche tantissimi professori, politici, avvocati e altri personaggi di spicco, che però non subirono grosse conseguenze per il fatto che, come ho già detto, Ashley Madison non richiedeva la conferma dell'indirizzo mail. Quindi poteva effettivamente trattarsi di qualcuno che aveva registrato un profilo nascondendosi dietro all'indirizzo di qualcuno più famoso. Certo. Ovviamente la fuga dei dati portò a una marea di cause legali contro il sito web, che in America ad esempio furono tutte raccolte sotto un'unica class action, quindi un'azione collettiva, con cui si chiedeva alla società Avid Life Media di pagare danni per 567 milioni di dollari. La società arrivò a un accordo con queste vittime chiudendo la vicenda per soli 11 milioni di dollari, una cifra misera rispetto al numero di persone coinvolte. Il massimo che ciascun utente poteva ottenere era circa $3.500 e solo se avesse dimostrato con documenti e prove testimoniali di aver subito danni gravi come la perdita del lavoro, il divorzio e così via. La maggior parte delle vittime ottenne in realtà molto meno di così. Tra l'altro la società in quella fase non ammise mai la propria responsabilità, disse sempre che i server erano sicuri, che i dati cancellati erano stati in qualche modo recuperati dagli hacker e che l'unico motivo per cui avevano accettato di pagare era per evitare l'incertezza di una causa legale. In tutto questo c'era una domanda che si facevano tutti e che magari vi state facendo anche voi: chi c'era dietro all'attacco? Chi era l'Impact Team? La società di Ashley Madison, prima ancora di rivolgersi alle autorità, tentò di scoprirlo da sola pagando degli informatici esperti che conducessero delle indagini private. Loro riuscirono a risalire a un ex dipendente per via di alcune tracce lasciate durante il furto dei dati. Provarono a incontrare questo ex dipendente, gli offrirono delle somme da capogiro per evitare che i dati venissero diffusi, ma lui disse di non saperne nulla. Rifiutò il denaro e la cosa si chiuse lì. Una volta coinvolte le autorità competenti, venne disposta una taglia di 500.000 dollari canadesi per ogni informazione che portasse all'arresto degli hacker. Ma invano, gli hacker non sono mai stati identificati e non sono mai state completamente chiarite neanche le modalità precise con cui hanno ottenuto accesso ai dati. Tuttavia, dalle indagini condotte dopo l'attacco e dalle mail interne trapelate, possiamo ricostruire alcuni elementi fondamentali. Partiamo dalle vulnerabilità note. Nel 2015 il direttore della sicurezza di Ashley Madison, Mark Steele, aveva riconosciuto che il sito soffriva di numerose vulnerabilità di base, tra cui cross-site scripting, XSS, cross-site request forgery, CSRF, e SQL injection. Non sto ora a scendere nel tecnico, sono cose che sicuramente approfondirò nei prossimi video. Vi basti sapere però per il momento che queste 3 vulnerabilità sono la ABC della sicurezza informatica, le prime cose che qualsiasi sito web dovrebbe proteggere. Il fatto che fossero presenti in un sito che gestiva dati così sensibili, così privati, è paragonabile a una banca che lascia la porta del cavò aperta durante la notte sperando che non passi nessuno. Gli hacker stessi fornirono alcune indicazioni sul loro modus operandi. In un'intervista concessa via mail a Wired, The Impact Team affermò di aver utilizzato credenziali di rete di default, cioè pass1234, per ottenere l'accesso ed aver trovato le difese praticamente inesistenti. Scrissero proprio di non aver dovuto lavorare sodo per entrare nei loro sistemi perché non usavano neanche le misure di sicurezza più basilari. Un'altra domanda che tutti si sono posti, non si è mai capito fino in fondo, è se gli hacker avessero agito più per vendetta o più per moralismo. Sicuramente, come dicevo prima, a differenza di molti attacchi informatici motivati da guadagno economico o da spionaggio, L'Impact Team sembrava avere degli obiettivi principalmente etici e morali. Era un gruppo senza precedenti attività note, quindi molto probabilmente è stato formato appositamente per attaccare Ashley Madison. Il gruppo non ha mai tentato di estorcere denaro né ad Ashley Madison né agli utenti del sito, cosa che poteva tranquillamente fare. Non hanno neanche venduto i dati rubati, come avviene solitamente nel dark web, ma li hanno resi disponibili gratuitamente come una sorta di gogna pubblica. Nel loro primo comunicato, come ho accennato, gli hacker avevano ha dichiarato esplicitamente di voler colpire l'avidità, l'inganno e la stupidità di Avid Life Media. Quindi poteva sembrare più una vendetta, anche se ad essere colpiti sono stati più i clienti che il sito stesso. D'altra parte, nelle interviste rilasciate a Wired, il portavoce del gruppo di hacker ha detto che l'Impact Team non riteneva gli utenti di Ashley Madison delle vittime innocenti, dal momento che stavano attivamente pagando per tradire i loro coniugi. Quindi questo sposta un po' il focus dall'ipotesi della vendetta a quella del moralismo. Forse era un tentativo di fare giustizia in un contesto dove la legge non può intervenire. C'è anche chi ha ipotizzato che dietro ci fossero delle motivazioni più personali. Forse poteva trattarsi, ad esempio, di qualcuno che era stato tradito proprio tramite Ashley Madison. Forse era qualcuno che ce l'aveva con la società. Il fatto che gli hacker sembrassero conoscere così bene i sistemi interni di Ashley Madison ha portato, come dicevo, anche a sospettare che potesse trattarsi di un ex dipendente apparentemente con rancore personale contro l'azienda. Questo anche per via del tempismo dell'attacco, visto che è arrivato proprio quando la società stava per quotarsi in borsa, in un momento in cui quindi questo attacco poteva avere un impatto più elevato. Tra l'altro, il dibattito si è poi spostato su un piano etico, nel tentativo di individuare i colpevoli. Perché chi è il colpevole di questa storia? Gli hacker che hanno esposto dati privati causando sofferenza a milioni di persone? L'azienda che ha gestito dati sensibili con una negligenza che rasentava il ridicolo? O forse gli utenti stessi che si sono buttati a capofitto in un sito che serviva esclusivamente a tradire il proprio coniuge? A mio parere, al di là delle scelte morali discutibili degli utenti, non penso si possa dare la colpa loro. Il sito prometteva totale discrezione e anonimato, chiedeva anche un pagamento per cancellare i dati e poi non li cancellava. Per cui a mio parere il dito va puntato contro la società dietro a Dashly Madison, con le sue pratiche discutibili e la totale assenza di misure di sicurezza adeguate. Per quanto riguarda gli hacker, la situazione è più complessa. Hanno sicuramente fatto qualcosa di sbagliato, oltre che illegale, perché nel tentativo di affossare la società hanno in realtà rovinato la vita di tantissime persone che magari se la sono pure cercata, però insomma non dovevano essere loro i destinatari diretti dell'attacco. Anche perché in tutto questo il sito Ashley Madison è sopravvissuto, gli hacker non sono riusciti a chiuderlo. Nell'immediato post-attacco la situazione sembrava ovviamente disperata, l'amministrazione l'amministratore delegato e volto dell'azienda, Noel Biedermann, si dimise il 28 agosto 2015, appena 10 giorni dopo il rilascio dei dati. La società subì perdite stimate intorno a un quarto del proprio fatturato. Gli investitori fuggirono, saltò ovviamente anche la quotazione in borsa. Tutti pensavano che fosse arrivata la fine dell'azienda. In risposta alla crisi, la società proprietaria di Slim Edison, Avid Life Media, decise di attuare una strategia di rinnovamento totale. Il primo passo fu quello di cambiare nome, da Avid Life Media a Ruby Corporation, nome che probabilmente in Italia non avremmo scelto, nel tentativo di ripulire un po' il nome dal fango sollevato dallo scandalo. Anche il consiglio di amministrazione venne completamente rinnovato, con l'arrivo di un nuovo CEO, Robert Seagal, e di un nuovo presidente, James Millership, entrambi con grande esperienza nel risanamento di aziende in crisi. La nuova dirigenza cambiò totalmente approccio rispetto a come si erano comportati fino a quel momento. La società smise di negare gli errori passati e iniziò invece a puntare proprio sul dimostrare che stavano cambiando. Il sito Ashley Madison subì un restyling completo. Anche il famoso slogan "La vita è breve, concediti un'avventura" fu sostituito con il più neutro "Trova il tuo momento". Anche il concept stesso del sito, che un tempo era incentrato esclusivamente sul tradimento, cambiò iniziò a promuovere più in generale l'esplorazione e le relazioni per adulti. Quindi non ci si rivolse più solo alle persone sposate, ma un po' a tutte le persone che cercavano un sito di incontri. Dal punto di vista della sicurezza, l'azienda iniziò a investire, direi finalmente, e a fare cambiamenti massicci. Vennero implementati nuovi sistemi di protezione dei dati, vennero assunti esperti mondiali di sicurezza informatica, svolti audit indipendenti per verificare l'adeguatezza delle nuove misure, e così via. Furono introdotte anche nuove funzionalità per proteggere la privacy degli utenti, come la possibilità di utilizzare foto con filtri che nascondevano una parte del viso ma permettevano comunque il riconoscimento, così come venne implementata la verifica a due fattori per gli accessi in modo da rendere i profili un po' più sicuri. E la cosa ironica è che dal punto di vista del marketing e della comunicazione l'azienda iniziò a puntare proprio sulla fiducia degli utenti. Ashley Madison trasformò lo scandalo in un'opportunità per presentarsi come il sito incontri più sicuro del mondo. Dicevano in pratica: abbiamo imparato la lezione e ora siamo i migliori di tutti. E il bello è che questa strategia funzionò. Secondo i dati del 2021, 6 anni dopo l'attacco, Ashley Madison aveva raggiunto 70 milioni di iscritti nel mondo, raddoppiando quindi la propria base di utenti rispetto ai 35 milioni precedenti all'attacco. Oggi il sito è ancora online. Anzi, se volete farvi una risata, leggetevi le recensioni su Trustpilot. La metà della gente si che non ci sono donne e che sono tutti bot, l'altra metà dice che forse sono loro che non sanno acchiappare le donne vere, e così via. Comunque sia, come si spiega questa rinascita di Ashley Madison quando ci sono tantissime aziende che per scandali di gran lunga minori sono affondate? Su questo ci sono diverse teorie. Innanzitutto, lo scandalo paradossalmente ha aumentato la notorietà del marchio. Milioni di persone che non avevano mai sentito parlare di Ashley Madison ne sono venute a conoscenza proprio a causa dell'attacco. E come si suol dire, che la pubblicità negativa non esiste, giusto? Bene o male, l'importante è che se ne parli. In secondo luogo, la gente continua a tradire. Con la diffusione sempre maggiore di internet aumenta anche la richiesta di servizi online che permettano di tradire nell'anonimato, e l'unica piattaforma che dichiaratamente era rivolta a questo era proprio Ashley Madison. Un terzo elemento sicuramente è stato il rinnovamento dell'azienda, che ha iniziato a prendere sul serio sicurezza, ha ridefinito la propria immagine e ha saputo anche adattarsi alle nuove esigenze di privacy del pubblico. Infine c'è un elemento più sottile che secondo me però c'entra. Negli ultimi anni il modo in cui concepiamo la nostra privacy online è cambiato. Dopo tutti gli scandali relativi ai dati, dopo tutti gli attacchi hacker, si è diffusa una specie di rassegnazione negli utenti della serie non Non è questione se mi succederà qualcosa, ma quando mi succederà. Come dire che tutti siamo potenzialmente esposti a scandali o a furti di dati e mal comune mezzo gaudio. È come se la cosa fosse diventata meno grave proprio perché tanto può succedere a tutti. Sicuramente questa vicenda ha insegnato tantissime lezioni. Per le aziende quella più ovvia riguarda l'importanza di implementare solide pratiche di sicurezza informatica, soprattutto se l'azienda si fonda proprio sulla promessa di segretezza e privacy. Insegna anche a essere più onesti con gli utenti, visto che Ashley Madison prometteva una cancellazione completa che in realtà non esisteva. Per i legislatori, il caso ha evidenziato la necessità di avere un quadro normativo più solido per la protezione dei dati personali. Non è un caso che negli anni successivi all'attacco diversi ordinamenti abbiano rafforzato o creato nuove leggi sulla privacy. Pensiamo anche solo al GDPR, il Regolamento Europeo sulla Privacy, che è stato emanato nel 2016, quindi proprio l'anno successivo allo scandalo. Per gli utenti, le lezioni sono forse le più difficili da mettere in pratica. Il caso Ashley Madison ha evidenziato quanto siamo vulnerabili nell'era digitale e quanto sia importante essere consapevoli dei rischi. Sicuramente possiamo usare mail separate per servizi un po' più discutibili, diciamo, evitare di fornire informazioni personali identificative a meno che non sia assolutamente necessario, verificare un po' meglio le politiche di privacy e di cancellazione dei dati prima di iscriversi servizio, utilizzare password uniche e robuste per ogni servizio, e così via. Ma di fatto la lezione maggiore è: 1, non tradire. 2, che nel mondo digitale di oggi la privacy assoluta è un'illusione. Dobbiamo accettare che qualsiasi cosa che facciamo online potrebbe un giorno diventare pubblica. Questo non vuol dire assolutamente che dobbiamo vivere nella paura, ma piuttosto che dobbiamo essere consapevoli delle nostre azioni e delle loro potenziali conseguenze, e quindi evitare di fare cose di cui ci vergogneremmo se venissero rese pubbliche. Per inoltre vi segnalo che Netflix ha fatto un documentario di 3 episodi dedicato proprio ad Ashley Madison che è perfetto. Vi consiglio assolutamente di guardarlo perché è stato fatto benissimo, tiene veramente incollate allo schermo e si capisce tutto proprio dalla nascita al crollo di Ashley Madison. Bene, spero che il video di oggi vi sia piaciuto. Come sempre fatemi sapere nei commenti se conoscevate già la vicenda o se ci sono altri casi di cui volete che parli. Noi ci rivediamo al prossimo video.