😈 Cos'è il DARK WEB (e lo SCANDALO di ASHLEY MADISON)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di dark web, la parte nascosta di internet in cui esistono mercati neri di armi, sostanze stupefacenti e interi archivi di dati personali. Questo video è diviso in due parti. Nella prima vedremo cos'è il dark web, come funziona e cosa lo differenzia dal deep web, un concetto meno conosciuto ma che in realtà incontriamo ogni giorno. Nella seconda parleremo dell'attacco ad Ashley Madison, un sito per incontri dedicato esclusivamente a persone sposate che volevano tradire il proprio coniuge. Attacco da cui è partito uno scandalo di proporzioni enormi. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video, poi il secondo, potete guardare direttamente questo che unisce già i due argomenti. Fra l'altro, il video sul dark web ad oggi è quello più visto in assoluto del canale, quindi sono contenta anche di questa occasione per riprenderlo e migliorare un po' l'audio e la resa in generale. Buona visione! Immaginate di essere a casa tranquilli una domenica sera, controllate per caso la posta elettronica e trovate un'email strana, una notifica di accesso al vostro account da un paese in cui non siete mai stati. Pensate a un errore, a un falso allarme, ma per scrupolo provate a fare login. Password errata. Ne provate un'altra. Niente. La terza? Bloccati per troppi tentativi. Allora vi viene un dubbio e decidete di cercare il vostro indirizzo mail su un sito di cui vi ha parlato un collega qualche tempo fa: Have I Been Pwned? Scrivete l'indirizzo mail e premete invio. Ed eccola lì la risposta: la vostra mail, le vostre password, magari anche i vostri documenti d'identità sono finiti da qualche parte nel web. Ma non sul web che conoscete voi. Sono finiti in un posto in cui i motori di ricerca non arrivano, dove i siti non hanno nomi facili da ricordare e dove la vostra identità può essere venduta per pochi spicci. Oggi parliamo di quel posto e di cosa succede quando, senza volerlo, ci si finisce dentro. Ciao a tutti e benvenuti in questo nuovo video. Oggi non parliamo di un tipo di attacco in particolare, ma affrontiamo un tema molto importante e collegato in realtà ad ogni attacco hacker che si rispetti: il dark web. Faremo chiarezza sulla differenza tra questo e il Deep Web, visto che sono due concetti che spesso vengono confusi fra loro oppure fraintesi. Capiremo come funzionano, quali sono le differenze fondamentali e perché vengono sempre menzionati quando si parla di attacchi hacker. Iniziamo subito con una distinzione fondamentale: il mondo di internet può essere diviso in 3 categorie: Surface Web, ovvero web di superficie; Deep Web, ovvero web profondo; e Dark Web, cioè web oscuro. Partiamo dalla prima di queste categorie. Quando navighiamo su Google, apriamo un sito di notizie, controlliamo il meteo o guardiamo un video su YouTube come questo, stiamo usando quello che si chiama Surface Web, cioè appunto web di superficie, che è la parte visibile e indicizzata di internet. È il web normale, diciamo, quello accessibile a tutti con un semplice motore di ricerca, senza dover inserire password, configurazioni strane o usare dei software particolari. È quindi ovviamente la parte di internet che conosciamo meglio, meglio, tutto quello che può essere trovato da un motore di ricerca vive qui. Un errore che moltissime persone fanno è pensare che internet sia composto solo dal surface web. Non solo non è così, ma il surface web in realtà è solo una minuscola parte del web, è la famosa punta dell'iceberg di internet, perché comprende appunto solo ciò che viene indicizzato dai motori di ricerca. Ma cosa vuol dire indicizzato? Proviamo a immaginare il motore di ricerca come al bibliotecario di una gigantesca biblioteca. Le persone arrivano e gli danno dei libri. Lui ogni volta che riceve un libro lo legge, ne prende nota, scrive un bigliettino con titolo, autore e argomento e lo mette nel suo catalogo. Se tu chiedi al bibliotecario, voglio un libro di questo autore o con questo titolo o con questo argomento, lui consulta il catalogo e ti dice dove trovare il libro che ti serve. In pratica, un sito indicizzato è un libro che il bibliotecario ha letto e inserito nel catalogo. Un sito non indicizzato invece è come un libro scritto in codice o chiuso a chiave con un lucchetto, oppure semplicemente senza titolo, autore o copertina. Il bibliotecario non può leggerlo, non può vederlo, non può catalogarlo, e quindi non può neanche farcelo trovare, nemmeno se sappiamo esattamente che cosa stiamo cercando. Solo quello che è indicizzato, quindi che è in questo catalogo, fa parte del Surface Web, mentre tutto il resto fa parte di quello che viene chiamato Deep Web, oppure web sommerso o web invisibile, che comprende quindi tutti quei contenuti che non appaiono nei risultati di ricerca, indipendentemente da quante pagine di risultati per capire meglio la portata di questo fenomeno consideriamo i numeri secondo alcune stime il deep web è circa 500 volte più grande del surface web che utilizziamo quotidianamente quindi per un sito visibile sul surface web ne abbiamo 500 invisibili sul deep web nel 2000 uno studio stimava che il web sommerso contenesse già allora quindi parliamo del 2000 degli albori di internet centinaia di miliardi di documenti un volume incomparabilmente maggiore rispetto al web indicizzato. Ma attenzione, il fatto che qualcosa sia nel deep web non significa automaticamente che sia illegale o che sia pericoloso. In realtà tutti noi accediamo quotidianamente al deep web, spesso senza neanche rendercene conto. Pensiamo anche solo a Gmail. Gmail è un sito web indicizzato, giusto? Io cerco Gmail e mi appaiono le mie mail. In realtà fa parte del deep web, nel senso che quando io cerco Gmail vedo le mie mail, ma non vedrò le vostre. Quindi in realtà quello che noi pensiamo che sia un sito web indicizzato perché noi lo cerchiamo sul motore di ricerca e lo troviamo, è semplicemente nascosto dietro a delle credenziali che sono già automaticamente inserite dal nostro account Google. Quindi quello che sembra un sito indicizzato in realtà non lo è, fa parte del deep web, ma Google come motore di ricerca lo sa trovare perché conosce le nostre credenziali e gli abbiamo detto che se cerchiamo Gmail vogliamo leggere le nostre mail. Lo stesso vale per i nostri conti bancari online, i documenti che conserviamo su cloud, quindi su Drive, su Dropbox, su OneDrive, tutti quelli che sono anche protetti da password ad esempio, oppure contenuti di piattaforme come Netflix o Spotify che richiedono un abbonamento. Quando io ad esempio cerco netflix.com, netflix.com è indicizzato perché me lo trova, ma io non posso vedere i film perché i film sono nel deep web, cioè nella parte nascosta, nascosta dietro alle mie credenziali. Quindi se inserisco le mie credenziali vedo i film che mi sono piaciuti, che sto guardando e così via. Solo netflix.com è indicizzato, Ma il vero contenuto di Netflix è nel deep web. Quindi, contrariamente all'idea comune, il deep web è principalmente popolato da contenuti perfettamente legittimi: database, archivi digitali di biblioteche, cartelle cliniche, film, documenti aziendali interni e tutti quei servizi che richiedono un'autenticazione. Si tratta semplicemente di contenuti che per ragioni di privacy, sicurezza o anche solo business non sono accessibili pubblicamente a chiunque. Venendo alle cose più interessanti, alla ciccia vera, cos'è invece il dark web? Il dark web è un sottoinsieme del deep web, ma con delle caratteristiche molto particolari. Non si tratta semplicemente di contenuti non indicizzati, ma è proprio una porzione di internet accessibile solo attraverso dei software specializzati che garantiscono l'anonimato sia di chi pubblica contenuti sia di chi li consulta. Se immaginiamo internet come un iceberg, che è una metafora che viene fatta sempre in questo sistema, possiamo dire che la parte superiore è il Surface Web e la parte inferiore è il Deep Web. Il Dark Web in questa metafora è come se fosse una zona particolarmente profonda raggiungibile solo con attrezzature speciali da immersione. In pratica è una piccola parte del Deep Web volutamente nascosta, costruita per garantire privacy assoluta. È usata da attivisti, da giornalisti in zone di guerra, ma anche, e forse soprattutto, da trafficanti, hacker e criminali in generale. Ma prima di scendere nel tecnico, un piccolo excursus storico. Internet non è nato come lo conosciamo oggi, con Google, Wikipedia, YouTube, i giochi online, i social media. Nasce alla fine degli anni '60, quando il Dipartimento della Difesa degli Stati Uniti sviluppa ARPANET, una rete militare pensata solo per collegare università e centri di ricerca. Era tutto testuale, niente grafica, niente di niente. Ci si collegava per lo più tramite dei terminali a riga di comando, quindi bisognava saperne un pochettino di programmazione per poter trovare le informazioni che servivano. Era quindi usato solo a scopo informativo e solo per i militari statunitensi e chi ovviamente lavorava per loro. Per avvicinarci all'internet che usiamo ora dobbiamo aspettare gli anni '90, quando nascono i primi browser tipo Mosaic o Netscape, che permettevano alle persone comuni di navigare con un'interfaccia visiva. Quindi in realtà internet esisteva già da prima, e quindi si era già esteso oltre ai militari statunitensi, ma per accedere bisognava comunque conoscere un po' di programmazione, saper smanettare con un terminale. Con i browser invece si inizia a dare a tutte le persone comuni la possibilità di cercare dei contenuti. Anche chi non conosceva nulla di codice e programmazione poteva quindi navigare su internet. Nascono anche i primi motori di ricerca come Google, ed è lì che prende forma il surface web, cioè tutto ciò che può essere letto e classificato dai motori di ricerca. Prima quindi solo con i browser si doveva conoscere l'indirizzo DNS esatto per arrivare al server che ci interessava. I motori di ricerca permettevano di cercare le cose con un linguaggio naturale. Io cerco delle parole ed è il motore di ricerca che le traduce nel codice alfanumerico o numerico che serve per arrivare al server che io sto cercando. Ma già allora, quindi negli anni '90, sotto la superficie esistevano dei contenuti che Google non poteva vedere. Pagine ad esempio nascoste dietro login, oppure archivi universitari, database medici, cataloghi protetti da form di ricerca. Non c'era nessun mistero alla base, semplicemente Google non aveva il permesso o il modo per accedervi. Il primo a coniare il termine deep web fu il ricercatore informatico Michael Bergmann, che per primo evidenziò come esistesse un'enorme quantità di contenuti online non raggiungibile tramite i motori di ricerca normali. Fu proprio Bergmann a introdurre la celebre metafora dell'iceberg, che ancora oggi appunto utilizziamo per visualizzare questo concetto. La piccola parte visibile rappresenta web accessibile, mentre l'enorme massa sommersa simboleggia il vastissimo deep web. In tutto questo, sotto sotto, stava succedendo qualcosa. Mentre il surface web esplode e diventa il nuovo centro commerciale globale, qualcuno comincia a cercare uno spazio dove l'anonimato fosse totale. Ovviamente, non so neanche a dirvelo, i primi a cercare questo spazio nascosto furono i militari statunitensi. Se non sono loro, sono i quindicenni canadesi, ma in questo caso sono stati i militari statunitensi. Negli anni '90, la Marina degli Stati Uniti inizia a sviluppare una tecnologia per proteggere le comunicazioni riservate attraverso un sistema di crittografia a strati o a cipolla. Proprio dalla cipolla prende il nome uno strumento basato su questo sistema, di cui forse avete già sentito parlare. Nel 2002 viene ufficialmente creata la rete Tor, acronimo di The Onion Router, cioè appunto il router a cipolla, con l'obiettivo di creare una rete internet protetta e sicura fondata sull'anonimato completo dei partecipanti. La rete Tor inizialmente era un progetto di nicchia, ma ricevette nel 2004 ingenti finanziamenti dalla Electronic Frontier Foundation, un'organizzazione no profit dedicata alla tutela della libertà di parola online e alla difesa dei diritti digitali. Il motivo per cui nasce questo strumento, che diventerà poi il fondamento del dark web, è in realtà quindi molto nobile. Si voleva creare un canale sicuro di comunicazione per chi non avesse la possibilità di esporsi su internet parlando di determinate cose per via di politiche di repressione oppure di censura vigenti in determinati paesi. Nel 2008 poi Tor viene rilasciato come browser, rendendo l'accesso a questa rete quindi possibile anche per utenti poco esperti, ampliando notevolmente la base di utilizzatori. Ben presto ci si rese conto però che Tor era effettivamente molto sicuro e molto attento all'anonimato, e quindi i criminali iniziarono a utilizzarlo per i propri scopi non esattamente leciti. Ora che abbiamo capito come nasce internet e come si è sviluppato il dark web all'interno di internet, entriamo più nel dettaglio tecnico. Come funzionano queste reti nascoste? Il deep web, come abbiamo visto, non è una rete separata. Utilizza le stesse infrastrutture del web standard, solo che i suoi contenuti non sono indicizzati. Potete accedervi con un normale browser, ma dovete conoscere l'URL esatto o avere le credenziali di accesso a disposizione. Il dark web invece funziona in modo completamente diverso. Prenderò come esempio Tor, che è la rete più famosa e utilizzata del dark web, anche se in realtà non è l'unica, ma parlo di quella perché è quella un po' più conosciuta. La navigazione normale sul web funziona così: da un mio dispositivo dico al motore di ricerca quale server voglio contattare, la mia richiesta va dritta dal mio dispositivo al server e la cosa finisce lì. Il server sa benissimo chi sono normalmente perché la richiesta proviene direttamente da me, quindi questa modalità non andrebbe bene se io volessi l'anonimato. Ci sono modi chiaramente di nascondere il mio indirizzo IP, ma anche questi sono molto facili da aggirare, per cui nel web normale l'anonimato non è mai garantito. Tor invece ci permette di avere un completo anonimato complicando il percorso fra il mio dispositivo e il server. In pratica prende i miei dati, le mie richieste, e li fa viaggiare attraverso una serie di router volontari sparsi nel mondo chiamati nodi. È una specie di staffetta. Ogni nodo sa solo da dove arrivano i dati, quindi dalla stazione precedente, e e dove devono andare dopo, ma non conosce l'intero percorso. Quindi il primo nodo sa qual è il mio dispositivo e sa qual è il nodo successivo, ma già il nodo successivo non sa da dove proviene originariamente la richiesta, sa solo che proviene dal primo nodo e sa solo che lo deve portare al terzo. Il nome cipolla quindi non è casuale, ma deriva proprio dalla struttura a strati di questo percorso. Per capire meglio, immaginate di scrivere un messaggio ed inserirlo in una busta, poi inserite quella busta in un'altra busta e così via per diversi strati. Ogni busta è indirizzata a un destinatario diverso lungo la catena e solo l'ultima contiene l'indirizzo finale. Ogni busta fra l'altro è crittografata, quindi è in codice in qualche modo, va sbloccata e solo il nodo che la riceve può decifrare l'indirizzo del nodo successivo. Il risultato? Una protezione estrema della privacy. Nessun punto nella catena conosce contemporaneamente il mittente e il destinatario, rendendo praticamente impossibile tracciare chi sta comunicando con chi. E ora qualcuno di voi magari si starà chiedendo: ma come si entra nel dark web? Come posso mantenere un anonimato di questo tipo? Io ve lo spiego e poi alzo le mani. Personalmente sconsiglio a chiunque di provare a entrare solo per curiosità, perché si tratta di un posto strapieno di link trappola, di malware, di ambienti pericolosi che possono mettere gli utenti inesperti veramente nei guai. In ogni caso, va detto che l'accesso al dark web di per sé non è illegale nella maggior parte dei paesi, Italia inclusa, Quello che può essere illegale sono chiaramente le attività che vi si svolgono. Utilizzare Tor è perfettamente legale, proprio come è legale utilizzare una cassetta di sicurezza in banca. Però un conto è se ci metto dentro dei soldi, un conto è se ci metto dentro delle armi. Comunque, per accedere al dark web il metodo più comune è utilizzare il Tor Browser, che è una versione modificata di Firefox progettata specificamente per connettersi alla rete Tor. Quindi andate sul sito di Tor e scaricate il browser. Una volta installato questo browser, che comunque è gratuito e vi ripeto, perfettamente legale, potete iniziare a navigare sul dark web. Dovete digitare però indirizzi non con le classiche estensioni .com o .it, ma con l'estensione .onion, che è appunto l'estensione tipica della rete Tor. Questi indirizzi .onion poi appaiono come delle stringhe alfanumeriche molto complesse e apparentemente casuali, quindi sono molto difficili anche da memorizzare. Non sono quindi ad esempio netflix.onion, ma sono più qualcosa come questo. Se provate a cercarli sulla rete normale di internet non troverete nulla. Daranno dei risultati solo all'interno della rete Tor, sempre che non siano ovviamente dei link trappola che servono a scaricare automaticamente dei malware nel vostro PC. Va da sé che infatti quello che viene consigliato per chi abbia proprio necessità di entrare nel dark web è quello di farlo magari da una macchina virtuale, da un computer che non è connesso a delle reti particolari, quindi magari mi collego dalla biblioteca piuttosto che da casa mia, oppure da chiavette USB con un sistema operativo interno. Quindi molto complicato. Sicuramente nessuno entra nel dark web dal proprio computer di casa o dell'ufficio. Una volta dentro il dark web, l'esperienza di navigazione sarà completamente diversa da quella a cui siete abituati. La velocità è generalmente più lenta proprio a causa dei rimbalzi fra i nodi e della crittografia ovviamente necessaria per l'anonimato. Quindi ogni volta che io mando una richiesta deve essere spostata più volte fra vari nodi, ogni nodo la deve decrittare e così via. L'interfaccia dei siti poi è molto minimalista, ricorda molto il web dei primi anni 2000, e soprattutto non esiste un Google del dark web. Per entrare nei siti si deve conoscere l'indirizzo esatto. Ma cosa potete trovare realmente nel dark web? È davvero tutto così losco e pericoloso come spesso viene dipinto? La realtà, come sempre, non è solo bianca o nera. Il dark web ospita certamente tante attività illegali, ma serve anche per scopi legittimi e perfino, potremmo dire, nobili. Un'analisi dell'Europol del 2024 ha fatto emergere che solo il 56% del contenuto del dark web è materiale illegale. Il resto è semplicemente anonimo e riservato. Quindi, tutto sommato, la situazione non così drastica come può sembrare. Il dark web viene usato per esempio per garantire protezione per giornalisti, attivisti, dissidenti politici che vivono magari in regimi oppressivi dove la libertà di espressione è molto limitata e ci sono problemi di censura. Mi viene in mente ad esempio anche quello che ha fatto Edward Snowden. Per queste persone l'anonimato non è un capriccio, è letteralmente sopravvivenza. Serve anche per avere dei canali di comunicazione sicuri per persone che ricoprono un ruolo di spicco, ad esempio in qualche azienda governativa, che desiderano denunciare delle corruzioni oppure degli abusi di potere. Non è un caso che organizzazioni come ad esempio WikiLeaks, che è la più famosa, diventata poi molto famosa dopo il caso Assange ma anche dopo il caso Snowden, utilizzino il dark web per raccogliere le proprie informazioni. In sostanza, il dark web è usato anche per avere libertà di parola, di denuncia, senza subire discriminazioni o peggio ancora persecuzioni. Purtroppo, come ben sappiamo, l'anonimato che rende possibili questi utilizzi positivi attira anche moltissime attività criminali. Il dark web ospita infatti anche degli e-commerce illegali dove si vendono droghe, armi, dati rubati, documenti falsi e altri beni illeciti, compresi dei servizi di hacking. L'esempio più celebre di marketplace del dark web è stato Silk Road, spesso considerato il primo grande bazzaro online di prodotti illegali. Fondato nel 2011 da Ross Ulbricht, Silk Road divenne rapidamente l'Amazon della droga, un ecosistema criminale che generò transazioni per centinaia di milioni di dollari in poco più di 2 anni. Silk Road funzionava in modo sorprendentemente simile a piattaforme legali come eBay o come Amazon. Venditori da tutto il mondo offrivano i loro prodotti, principalmente droghe, ma anche appunto documenti falsi e altri beni illeciti come armi e simili. Gli acquirenti potevano, oltre che acquistare, ovviamente anche lasciare delle recensioni, delle valutazioni, e le transazioni avvenivano in Bitcoin, questo sempre per garantire l'anonimato. Nel 2013 poi l'FBI riuscì a infiltrarsi e a smantellare l'intero sito, quindi solo 2 anni dopo la nascita del sito web. Ross Ulbricht fu arrestato in in una biblioteca di San Francisco proprio mentre amministrava il sito dal suo laptop. L'indagine rivelò una verità fondamentale sul dark web: l'anonimato, per quanto avanzato, non è mai assoluto. Gli investigatori erano risaliti a Ulbricht seguendo le sue tracce lasciate sui forum presenti nel web normale, e poi con delle sofisticate tecniche investigative. Nel processo che seguì, Ulbricht fu condannato a 2 ergastoli e a 40 anni aggiuntivi, una sentenza ovviamente esemplare che voleva inviare un messaggio molto chiaro a chi usa il dark web per nascondere le proprie attività illegali. Dopo la chiusura di Silk Road comunque sono spuntati come funghi tantissimi altri marketplace simili, come AlphaBay, Evolution, Hansa Market, Dream Market, per citarne alcuni. Ognuno di questi è stato alla fine smantellato dalle forze dell'ordine oppure è imploso a causa di truffe interne. Da lì ne sono nati ovviamente altri, moltissimi sono ancora presenti, ma questi che sono i più conosciuti sono stati tutti chiusi. Quello di Hansa Market in particolare è un caso secondo me veramente molto interessante. Nel 2017 la polizia olandese riuscì non solo a chiudere questo marketplace, ma ne prese addirittura il controllo impersonando gli amministratori per delle settimane. Durante questo periodo gli agenti riuscirono a modificare il sito in modo da togliere tutti i filtri che garantivano l'anonimato, riuscendo a raccogliere informazioni sugli utenti, compresi gli indirizzi IP reali, e a registrare password, messaggi e così via. In questo modo riuscirono a smascherare migliaia di venditori e acquirenti, perché ovviamente è è illegale vendere ad esempio droga e armi, ma è illegale anche comprarle. Più di recente, nel 2022, un'azione congiunta delle autorità tedesche e statunitensi ha portato alla chiusura di Hydra Market, il più grande marketplace darknet del mondo, con un giro d'affari stimato in oltre 5 miliardi di dollari. E qui ovviamente potremmo chiederci: ma come fanno le autorità a infiltrarsi in queste reti se sono progettate per garantire l'anonimato? Le forze dell'ordine hanno sviluppato già da anni delle tecniche investigative fatte apposta per il dark web che sono molto innovative, chiaramente sofisticate. Tradizionalmente, per indagare su reati online, la polizia identificava i sospetti tramite l'indirizzo IP, quindi l'indirizzo del dispositivo che inviava la richiesta. Ma nel dark web questo approccio ovviamente non serve a nulla, visto che gli IP reali rimangono nascosti dietro strati e strati di crittografia e di rimbalzi. Gli investigatori utilizzano quindi un mix fra delle tecnologie super avanzate e delle tecniche vecchissime di infiltrazione. Monitorano costantemente i forum e i marketplace, quindi anche nei siti illegali. Si infiltrano come acquirenti o venditori sotto copertura, sfruttano delle vulnerabilità tecniche nei software e analizzano le transazioni in criptovaluta. Quest'ultimo aspetto è particolarmente cruciale perché è la prova dell'acquisto, quindi è la prova che qualcosa di illegale sta succedendo. Contrariamente a quanto si pensa, il Bitcoin non è completamente anonimo. Tutte le transazioni sono registrate permanentemente nella blockchain, che è pubblica e consultabile. Combinando l'analisi della blockchain con altre informazioni, le autorità possono in realtà seguire il flusso di denaro e in alcuni casi quindi riescono a risalire all'identità reale dei criminali quando poi convertono le criptovalute in valuta tradizionale. Ed è proprio quello che è successo con Silk Road, cioè sono riuscite a risalire a Ross Ulbricht quando lui ha convertito i Bitcoin guadagnati col sito in soldi veri. Per questo motivo si stanno diffondendo sul dark web altre criptovalute come Monero, che invece garantisce un completo anonimato e si presta anche alle truffe online che nel dark web non mancano. Vediamo ora però alcuni miti da sfatare sul dark web per fare un po' di chiarezza in più. Mito numero 1: è vero che sul dark web si possono assoldare dei sicari? La realtà è che ci sono siti che offrono questi servizi e la maggior parte di questi sono truffe o trappole della polizia. Un caso emblematico è avvenuto proprio in Italia nel 2021 quando un manager milanese ha tentato di ingaggiare un sicario sul dark web per aggredire la sua ex fidanzata con l'acido. Lo ha fatto tramite il sito internet Internet Assassins, che era in realtà monitorato dalla polizia tedesca, che ha allertato immediatamente le autorità italiane portando all'arresto dell'uomo prima che potesse accadere qualcosa. Negli altri casi, la maggior parte dei sedicenti sicari sono in realtà truffatori che spariscono con i soldi senza compiere alcun delitto. Tanto mica puoi andare a denunciarli. Mito numero 2: è vero che sul dark web si può trovare qualsiasi cosa? In realtà il dark web è molto più piccolo e molto meno organizzato di quanto si possa pensare. Molti siti appaiono, scompaiono rapidamente e non esiste sistema di ricerca efficiente come Google, come ho accennato prima. Trovare contenuti specifici può essere difficile se non si conoscono gli indirizzi esatti, e anche quando si conosce un sito esatto può essere modificato dall'oggi al domani, quindi possiamo non ritrovarlo più. Mito numero 3: è vero che navigare sul dark web comporta automaticamente il download di malware e altre cose che fanno poco bene al mio computer? Allora, la risposta è no, ma facciamo finta di sì. Tecnicamente utilizzare Tor Browser con le impostazioni predefinite e senza scaricare dei file sospetti è relativamente sicuro, e ci sono altre accortezze che si possono adottare, come usare una macchina virtuale o un PC usa e getta, diciamo. In ogni caso, io continuo a sconsigliare l'utilizzo del dark web per chi non è esperto, perché vuol dire veramente andare a caccia di guai. Possiamo essere coinvolti nostro malgrado in attività illegali, essere tracciati dalle forze dell'ordine, e possiamo ovviamente anche essere hackerati. Quindi possiamo subire il furto dei nostri dati personali proprio perché in realtà li abbiamo donati al dark web. E la perdita dei dati personali non è assolutamente un gioco. Il dark web è è strapieno di dati personali, di documenti di identità delle persone, di credenziali di accesso. E questa fuga di dati può portare a dei danni inimmaginabili. Ci sono stati casi in cui la pubblicazione di dati sul dark web ha comportato la perdita del posto di lavoro o addirittura della vita delle persone. Ma questo lo approfondiamo nel video di domani. Per fare un recap finale, il deep web e il dark web rappresentano una parte nascosta della rete. Mentre il deep web è banalmente composto per lo più da contenuti legittimi ma non indicizzati, il dark web presenta una con più sfaccettature, dove l'anonimato può servire sia per scopi nobili, come la protezione di giornalisti e attivisti, sia per attività invece criminali. La comprensione di questi due spazi non deve portare a demonizzazioni o a semplificazioni eccessive, ma semplicemente a una maggiore consapevolezza delle loro caratteristiche, delle potenzialità e dei rischi alla base. Internet è uno strumento potentissimo che, come ogni tecnologia, può essere utilizzato per il bene o per il male. Quindi noi cerchiamo di stare sempre dalla parte del sicuro, così cerchiamo di minimizzare un po' i rischi. Bene, come sempre spero che il video vi sia piaciuto. Nel prossimo video vedremo il caso più scandaloso di sempre in cui il dark web ha avuto una parte fondamentale. Quindi ora che sapete alla perfezione cos'è il dark web, non potete assolutamente perdervelo. A presto! Immaginate per un solo secondo di aver deciso di cercare un pizzico di avventura nella vostra vita ed aver intrapreso una relazione extra extraconiugale. Siete tranquilli che la cosa non verrà mai fuori, perché anche la persona con cui state tradendo vostro marito o vostra moglie è sposata e ha il vostro stesso interesse a tenere tutto segreto. La cosa va avanti per qualche tempo, poi vi pentite e decidete di chiudere la storia e di concentrarvi sul vostro matrimonio. Cancellate ogni traccia del tradimento e piano piano ricominciate a dormire tranquilli la notte. Improvvisamente, un giorno, tutti i telegiornali parlano del vostro tradimento e di tutti i dettagli di che avete fatto. Non è l'inizio di un film horror, ma è la realtà vissuta da milioni di persone nell'estate del 2015, quando uno dei più devastanti data breach della storia colpì Ashley Madison, il sito di incontri extraconiugali più famoso al mondo. Uno tsunami digitale che ha sconvolto vite, famiglie, carriere, e ha lasciato dietro di sé una scia di divorzi, licenziamenti, cause legali milionarie e persino persino sui figli. La storia di Ashley Madison è molto più di un semplice attacco hacker, è un caso che tocca le corde più profonde dell'etica, della privacy, della sicurezza dei dati e delle conseguenze reali, a volte anche tragiche, che possono scaturire quando il nostro mondo online crolla come un castello di carte. Ma andiamo con ordine. Ciao a tutti e benvenuti in questo nuovo video. Questo caso, quando l'ho approfondito alcuni mesi fa, mi ha sconvolta così tanto che è stata la molla che mi ha fatto decidere di aprire questo questo canale. Lo trovo veramente incredibile e sono sicura che quando avrete finito di vedere il video sarete d'accordo con me. La storia di oggi inizia nel 2002, quando un imprenditore canadese di nome Darren Morgenstern decideva di lanciare un sito web destinato a far discutere mezzo mondo. La vita è breve, concediti un'avventura. Questo era lo slogan del sito web Ashley Madison, nome scelto fondendo due dei nomi più popolari in quel momento in Nord America, cioè appunto Ashley e Medison. Dietro questo nome apparentemente innocuo si nascondeva un'idea di business a dir poco audace: creare una piattaforma dedicata specificamente a persone sposate o impegnate che cercavano relazioni extraconiugali. Non era un sito di incontri qualsiasi, quindi, ma una piattaforma pensata esplicitamente perché le persone tradissero. L'intuizione di Morgenstern nacque in modo quasi casuale. Stava leggendo un articolo sul sito di incontri Lava Life e scoprì che circa un terzo degli utenti di Lava Life, un sito di incontri come Tinder era sposato. Questo dato lo colpì a tal punto che Morgenstern pubblicò persino un annuncio in cui offriva $50 a chiunque avesse avuto una relazione extraconiugale e fosse disposto a raccontare un po' la propria esperienza. Da queste interviste Morgenstern capì che quello che la gente cercava era un posto sicuro in cui cercare delle relazioni extraconiugali, con una certezza quasi granitica di privacy e riservatezza, quindi con la certezza di non essere coperti. E fu così che nacque quindi Ashley Madison. Lo scopo dichiarato del sito era quello di creare appunto un ambiente sicuro e discreto dove le persone potessero esplorare i propri desideri non proprio etici. Ovviamente fin dall'inizio il progetto scatenò enormi polemiche. Per molti Ashley Madison era semplicemente un'attività che lucrava sul tradimento e sulla distruzione dei matrimoni. Questo fece sì che il sito nei suoi primi anni di vita non avesse i risultati che Morgenstern sperava. Le persone si vergognavano di entrare su Ashley Madison. C'era ancora molta diffidenza rispetto al mondo di internet in generale, quindi giustamente la gente temeva di rovinare la propria vita o anche solo la propria reputazione, e quindi se ne teneva un po' alla larga. Nel 2007 la situazione cambia quando entra in scena un nuovo personaggio, l'avvocato Noel Biderman, che divenne l'amministratore delegato della società che gestiva Ashley Madison, ovvero la Avid Life Media. Biderman decise di puntare tutto sulla propria immagine, si presentava come il re degli infedeli e spesso appariva proprio nei telegiornali e in generale nei media per difendere la filosofia del sito. Ironicamente, nelle interviste lui sosteneva di essere felicemente sposato e di non aver mai tradito sua moglie, che anzi spesso partecipava alle interviste proprio anche lei per difendere la filosofia del sito. Lui definiva il tradimento come un'industria miliardaria di cui voleva semplicemente prendere una fetta, un qualcosa che non aveva creato lui e che sarebbe andato avanti anche senza Ashley Sotto la guida di Biderman, la piattaforma conobbe un'espansione internazionale veramente impressionante. Dal Canada, dove era nato, si diffuse negli Stati Uniti, poi in Europa, Australia, Giappone, Hong Kong, Sudafrica e così via. Nel 2011 sbarcò anche in Italia, dove nel giro di pochi anni avrebbe raccolto oltre 700.000 iscritti, facendo del nostro paese il terzo mercato europeo dopo Regno Unito e Spagna. Spagna. Il successo era innegabile. Nel 2015 Ashley Madison contava circa 37 milioni di utenti in oltre 40 paesi. Il sito si vantava di avere un fatturato annuo di circa 100 milioni di dollari ed era pianificata persino la quotazione in borsa della società, che aveva un valore stimato di circa 1 miliardo di dollari. Ma già allora dietro questo enorme successo si nascondevano alcuni segreti. Ashley Madison si fondava sulla promessa fatta ai suoi utenti di un'assoluta discrezione e un totale anonimato. Il sito si vantava di utilizzare tecnologia all'avanguardia per proteggere i dati dei propri iscritti. Sulla homepage spiccava persino un logo che rappresentava un lucchetto con la scritta Trusted Security Award, quindi mostrava di aver ricevuto anche in qualche modo dei premi per il livello di sicurezza del sito. Ma era davvero così? Nel 2012 il Chief Technology Officer, che è colui che in un'azienda si occupa della parte informatico-tecnologica, aveva già avvertito il Consiglio consiglio di amministrazione che il sito Ashley Madison non aveva un livello di sicurezza sufficiente a renderlo invulnerabile ad attacchi informatici. Le sue preoccupazioni tuttavia non vennero ascoltate. Oltre alle evidenti vulnerabilità, Ashley Madison utilizzava anche delle pratiche commerciali quantomeno discutibili. I guadagni del sito si fondavano sugli utenti che pagavano per avere crediti che servivano per scrivere ad altre persone e quindi riuscire a tradire proprio proprio coniuge. Per evitare che il sito fosse frequentato solo da uomini e incentivare quindi la partecipazione delle donne, le donne non pagavano, potevano scrivere a chi volevano quando volevano, e gli uomini per rispondere dovevano invece comprare dei crediti. Nonostante questo, la percentuale di donne sul sito restava veramente molto bassa, per cui la società di Morgenstern iniziò a creare dei profili femminili finti, i cosiddetti fembots, per attrarre gli utenti maschili e farli pagare per messaggiare con questi bot, sperando in incontri che in realtà poi non sarebbero mai esistiti. Il sito permetteva ovviamente anche di cancellarsi dalla piattaforma. Se però volevi cancellare ogni singola traccia dei tuoi dati e di quello che avevi fatto, della tua carta di credito, dei tuoi messaggi inviati, dovevi pagare tramite un servizio chiamato Full Delete, ovvero cancellazione completa, che prometteva di eliminare totalmente i dati degli utenti dai server per soli $19. Quindi anche la discrezione che il sito prometteva in realtà era molto fragile, perché l'unico modo di ricevere una qualche garanzia che tutto sarebbe stato cancellato era pagare. Ultima cosa comunque grave era che il sito non verificava gli indirizzi email al momento della registrazione, quindi permetteva a chiunque di creare dei profili usando l'indirizzo email di un'altra persona senza alcuna verifica. Insomma, se guardiamo con gli occhi di oggi, Ashley Madison era la tempesta perfetta. Era impensabile che tutto sarebbe sempre filato liscio, e infatti il 12 luglio 2015 tutto smise di filare liscio. Quel giorno alcuni dipendenti di Ashley Madison accesero i loro computer trovando un messaggio a dir poco inquietante. Lo schermo si accendeva ma il computer restava bloccato e mostrava solo una schermata fissa con la canzone degli AC/DC Thunderstruck sparata a tutto volume. Era evidente che stava succedendo qualcosa, però ancora non era chiaro se si trattasse di un errore, di uno scherzo o di qualcosa di più grave. La conferma che fosse qualcosa di molto più grave arrivò qualche giorno dopo, il 19 luglio 2015. Quel giorno un gruppo hacker fino ad allora sconosciuto, che si faceva chiamare The Impact Team, annunciò pubblicamente di aver violato i server di Ashley Madison e di aver rubato i dati di milioni di utenti. Non si trattava però di un attacco come tanti altri. Gli hacker avevano un intento dichiaratamente moralista, realistico. Nel loro comunicato iniziale dissero che la Avid Life Media, quindi la società proprietaria di Ashley Madison, aveva ricevuto istruzioni di chiudere il sito completamente e per sempre, altrimenti gli hacker avrebbero rilasciato tutti i dati dei clienti: nomi, cognomi, foto, indirizzi, carte di credito, i dettagli dei profili che indicavano anche ad esempio le preferenze di partner e di pratiche sessuali, i messaggi scambiati, gli acquisti fatti e così via. Insomma, tutto. È un attacco hacker difficile da inquadrare. Può essere da un certo punto di vista considerato un ransomware, perché anche nei ransomware c'è la minaccia di cancellare o diffondere dei dati, ma lo scopo del ransomware è ricevere in cambio un riscatto, una somma di denaro. Qua l'unica richiesta degli hacker era di chiudere il sito, punto. Non volevano soldi, non volevano nient'altro. La principale critica mossa dall'Impact Team era relativa al servizio di cancellazione completa offerto da Kylie Marison, come dicevo prima, al prezzo di $19, che teoricamente doveva eliminare completamente i dati dell'utente dal sistema. In realtà, secondo gli hacker, si trattava di una bugia. I dati non venivano mai cancellati. Pagare o non pagare era esattamente la stessa identica cosa: il profilo veniva chiuso, ma tutti i dati restavano nel server. E l'Impact Team diceva di poterlo provare, perché aveva messo le mani anche sui dati di chi aveva pagato per la cancellazione completa. Il 20 luglio 2015 la società proprietaria di Ashley Madison emise un comunicato stampa in cui riconosceva di essere stata effettivamente oggetto di un tentativo di accesso non autorizzato, ma diceva anche di aver già messo in sicurezza il sito e chiuso ogni punto di ingresso. Quindi fondamentalmente hanno minimizzato un po' l'impatto dell'attacco che c'è stato. Inoltre Ashley Madison offrì agli utenti in modo gratuito la cancellazione completa dell'account, quindi era possibile cancellare completamente l'account senza pagare la tariffa di $19 normalmente prevista. Un gesto che col senno di poi sembra un po' un tentativo disperato di salvare la faccia. L'Impact Team si innervosì parecchio leggendo questa dichiarazione e il giorno dopo, quindi siamo al 21 luglio 2015, rilasciò i dati personali di oltre 2500 utenti come antipasto. Volevano mandare un messaggio chiarissimo: non stiamo scherzando, abbiamo veramente messo le mani sui dati dell'azienda. Chiudete il sito o renderemo pubblici anche anche i dati di tutti i 37 milioni di utenti. Nonostante questa prima fuga di dati, Ashley Madison decise di non piegarsi alle richieste degli hacker e continuò a operare come se nulla fosse. Anche perché, come accennavo, era imminente la quotazione in borsa, quindi Noel Biderman non aveva nessuna intenzione di fermarsi. Per circa un mese non successe più nulla, il silenzio completo. Il consiglio di amministrazione della società Avid Life Media iniziò a pensare che forse si era trattato di un bluff. Magari gli hacker avevano messo le mani solo sui dati di quelle 2500 persone, una frazione minima rispetto ai 37 milioni di utenti del sito. E poi ovviamente il cataclisma. Il 18 agosto 2015 l'Impact Team rilasciò oltre 60 GB di dati sottratti dai server di Ashley Madison. Se pensate che i dati di una persona possono pesare massimo 3-4 KB, avete idea di quante persone fossero state violate. Stiamo parlando di 60 GB. Non si trattava solo di nomi e indirizzi email, ma di dati estremamente sensibili e dettagliati di tutti i 37 milioni di utenti, fra cui nomi e cognomi completi, indirizzi email personali e di lavoro, indirizzi fisici di casa e dell'ufficio, password di accesso, numeri di telefono, dettagli delle carte di credito e tutta la cronologia delle transazioni per 7 anni, preferenze sessuali, fantasie personali, quelle descritte dagli utenti al momento della registrazione, la cronologia anche delle chat private fra i clienti, documenti interni dell'azienda e tutto il resto su cui erano riusciti a mettere le mani. I dati vennero pubblicati sul dark web, firmati dagli hacker con delle chiavi PGP che servono a garantire l'autenticità dei file. Quindi serviva anche per dire che li avevano effettivamente rubati e che erano autentici. I dati vennero accompagnati da un messaggio dell'Impact Team in cui il gruppo accusava la società di Ashley Madison di avidità, di inganni e anche di stupidità. Il colpo più devastante per la reputazione dell'azienda arrivò però quando si scoprì che fra i dati c'erano anche effettivamente quelli degli utenti che avevano pagato il servizio di cancellazione completa. La promessa di Ashley Madison era una bugia, proprio come sostenevano gli hacker. I dati non erano mai stati realmente cancellati, era solo una manovra volta a ottenere ancora più profitto che faceva leva sulla paura degli utenti di essere scoperti in modo da spillare ulteriori ulteriore denaro. È stato stimato che il servizio full delete portasse all'azienda circa 2 milioni di fatturato all'anno, e loro in realtà non cancellavano niente. Nel giro di poche ore i 60 GB di dati furono scaricati e replicati su decine di siti web, sul web normale. Quindi anche se inizialmente erano stati pubblicati sul dark web, divennero molto presto accessibili anche attraverso i normali motori di ricerca. Nacquero persino dei siti web che permettevano a chiunque di verificare se un indirizzo mail fosse presente nel database rubato, in modo che le mogli e i mariti traditi avessero una prova dell'infedeltà del loro coniuge. Due giorni dopo, mentre il mondo era ancora sconvolto dalla marea di persone esposte dall'attacco hacker, venne rilasciata dall'Impact Team una nuova ondata di dati, questa volta riguardante proprio il personale di Chase Lee Madison. Vennero pubblicate tutte le mail interne dell'azienda, compresa la corrispondenza dell'amministratore delegato Noel Biderman, da cui si capiva che i dirigenti in realtà erano perfettamente consapevoli delle vulnerabilità del sistema e di quanto molte delle loro pratiche commerciali fossero, diciamo appunto, discutibili. La reazione del pubblico fu immediata e sconvolgente. I media di tutto il mondo diedero ampissimo spazio alla notizia. Sui social network esplose un mix di indignazione, curiosità morbosa e anche un po' compassione per le vittime. Anche perché si era scatenata una vera e propria caccia alle streghe, con persone che cercavano freneticamente fra i dati per scoprire se i propri partner, i propri amici o i propri colleghi fossero fra gli iscritti del sito. Fu in quel momento che iniziò a essere compresa la vera portata della catastrofe. Questo non era solo un attacco informatico ad Ashley Madison, ma era un evento che avrebbe avuto conseguenze devastanti sulla vita reale di milioni di persone. La prima conseguenza fu immediata e forse anche un po' scontata: ci fu un'ondata di separazioni e divorzi. Nel Regno Unito fu registrato quello che i media definirono il primo divorzio per infedeltà virtuale, quando una donna trovò i dettagli del marito fra i dati rilasciati. Marito che non aveva incontrato nessuno, ma aveva chattato con moltissime donne vere o che fossero. Ma fu solo l'inizio comunque di una lunga serie. Pensate che anche in Italia il 2016 ad oggi è l'anno con più divorzi in assoluto. Se calcolate che il data breach c'è stato ad agosto del 2015, capiamo che è realistico che molti dei divorzi derivassero proprio dalla scoperta dell'infedeltà tramite il data breach di Ashley Madison. Molti utenti sostenevano di essersi iscritti solo per curiosità, senza aver mai fatto una nulla di grave. Altri ancora affermavano addirittura di non essersi mai registrati, ipotizzando che qualcuno avesse usato le loro mail senza permesso per fare un dispetto, uno scherzo. Questa era una cosa tecnicamente possibile, dato che il sito non verificava gli indirizzi email. Ma la realtà fu che comunque moltissimi matrimoni crollarono a causa della fuga di dati, o meglio, crollarono a causa dei tradimenti che la fuga dei dati aveva aveva esposto. Le conseguenze più drammatiche furono quelle che coinvolsero le persone più vulnerabili, o quelle per cui la scoperta poteva avere delle ripercussioni devastanti sulla carriera o sulla reputazione. La quantità di posti di lavoro persi a causa dell'attacco hacker non si conta. Le aziende non volevano avere a che fare con persone coinvolte in questo scandalo, soprattutto negli Stati Uniti, dove la politica dei licenziamenti è di manica molto più larga rispetto ai paesi europei. Furono confermati anche almeno 3 atti estremi di persone che si tolsero la vita adducendo come motivazione proprio la fuga dei dati di Ashley Madison, che aveva rovinato il loro matrimonio o la loro reputazione. Non solo, alcuni criminali videro nel data breach subito da Ashley Madison un'opportunità di guadagno e iniziarono a ricattare le persone che secondo loro potevano essere più colpite dal rilascio dei dati, come ad esempio utenti che avevano indirizzi mail che terminavano con .mil o .gov, quindi che lavoravano per il governo o per le forze dell'ordine, oppure chi aveva indirizzi mail che terminavano con .sa, cosa che indicava che l'utente era dell'Arabia Saudita, dove l'adulterio è soggetto alla pena di morte. Nell'attacco furono coinvolte anche molte persone famose. Forse il caso più celebre, almeno in America, è quello di Josh Duggar, che aveva preso parte al reality 21 Sotto un Tetto, che seguiva le vicende di una famiglia cristiana molto credente e molto conservatrice, formata appunto da 21 persone: 2 genitori e 19 figli. Josh, il maggiore, era già sotto il mirino delle autorità per delle condotte sessuali inappropriate. Dalla fuga dei dati di Ashley Madison emerse che l'uomo aveva compiuto oltre 1000 transazioni sul sito e incontrato tantissime donne. Fu addirittura ricoverato in centro di riabilitazione dopo che ebbe ammesso di essere dipendente dal sesso. La cosa fece scalpore più che altro per l'ipocrisia, dal momento che tutta la famiglia Duggar, Josh compreso, doveva la propria notorietà al fatto di essere assolutamente credente, di vivere secondo la morale cristiana, eccetera eccetera. Un altro caso famoso fu quello di Sam Rader, che con la moglie Mia aveva un canale YouTube molto famoso in America, famoso proprio perché erano la classica famiglia tradizionale molto credente. Quindi ovviamente la reputazione di Sam fu molto danneggiata. Questi furono i due casi più noti. In realtà furono coinvolti anche tantissimi professori, politici, avvocati e altri personaggi di spicco, che però non subirono grosse conseguenze per il fatto che, come ho già detto, Ashley Madison non richiedeva la conferma dell'indirizzo mail. Quindi poteva effettivamente trattarsi di qualcuno che aveva registrato un profilo nascondendosi dietro all'indirizzo di qualcuno più famoso. Certo, ovviamente la fuga dei dati portò a una marea di cause legali contro il sito web, che in America ad esempio furono tutte raccolte sotto un'unica class action, quindi un'azione collettiva con cui si chiedeva alla società Avid Life Media di pagare danni per 567 milioni di dollari. La società arrivò a un accordo con queste vittime chiudendo la vicenda per soli 11 milioni di dollari, una cifra misera rispetto al numero di persone coinvolte. Il massimo che ciascun utente poteva ottenere era circa $3.500, e solo se avesse dimostrato con documenti e prove testimoniali di aver subito danni gravi come la perdita del lavoro, il divorzio e così via. La maggior parte delle vittime ottenne in realtà molto meno di così. Tra l'altro, la società in quella fase non ammise mai la propria responsabilità, disse sempre che i server erano sicuri, che i dati cancellati erano stati in qualche modo recuperati dagli hacker e che l'unico motivo per cui avevano accettato di pagare era per evitare l'incertezza di una causa legale. In tutto questo c'era una domanda che si facevano tutti e che magari vi state facendo anche voi: chi c'era dietro all'attacco? Chi era l'Impact Team? La società di Ashley Madison, prima ancora di rivolgersi alle autorità, tentò di scoprirlo da sola pagando degli informatici esperti che conducessero delle indagini private. Loro riuscirono a risalire a un ex dipendente per via di alcune tracce lasciate durante il furto dei dati. Provarono a incontrare questo ex dipendente, gli offrirono delle somme da capogiro per evitare che i dati venissero diffusi, ma lui disse di non saperne nulla, rifiutò il denaro e la cosa si chiuse lì. Una volta coinvolte le autorità competenti, venne disposta una taglia di $500.000 canadesi per ogni informazione che portasse all'arresto degli hacker, ma invano. Gli hacker non sono mai stati identificati e non sono mai state completamente chiarite neanche le modalità precise con cui hanno ottenuto accesso ai dati. Tuttavia, dalle indagini condotte dopo attacco e dalle mail interne trapelate possiamo ricostruire alcuni elementi fondamentali. Partiamo dalle vulnerabilità note. Nel 2015 il direttore della sicurezza di Ashley Madison, Mark Steele, aveva riconosciuto che il sito soffriva di numerose vulnerabilità di base, tra cui cross-site scripting , cross-site request forgery e SQL in action. Non sto ora a scendere nel tecnico, sono cose che sicuramente approfondirò nei prossimi video. Vi basti sapere però per il momento che queste 3 vulnerabilità sono l'ABC della sicurezza informatica, le prime cose che qualsiasi sito web dovrebbe proteggere. Il fatto che fossero presenti in un sito che gestiva dati così sensibili, così privati, è paragonabile a una banca che lascia la porta del caveau aperta durante la notte sperando che non passi nessuno. Gli hacker stessi fornirono alcune indicazioni sul loro modus operandi. In un'intervista concessa via mail a Wired, The Impact Team affermò di aver utilizzato credenziali di rete di default, cioè pass1234, per ottenere l'accesso ed aver trovato le difese praticamente inesistenti. Scrissero proprio di non aver dovuto lavorare sodo per entrare nei loro sistemi perché non usavano neanche le misure di sicurezza più basilari. Un'altra domanda che tutti si sono posti, non si è mai capito fino fondo è se gli hacker avessero agito più per vendetta o più per moralismo. Sicuramente, come dicevo prima, a differenza di molti attacchi informatici motivati da guadagno economico o da spionaggio, l'Impact Team sembrava avere degli obiettivi principalmente etici e morali. Era un gruppo senza precedenti attività note, quindi molto probabilmente è stato formato appositamente per attaccare Ashley Madison. Il gruppo non ha mai tentato di estorcere denaro né ad Ashley Madison né agli utenti del sito, cosa che poteva tranquillamente fare. Non hanno neanche venduto i dati rubati, come avviene solitamente nel dark web, ma li hanno resi disponibili gratuitamente come una sorta di gogna pubblica. Nel loro primo comunicato, come ho accennato, gli hacker avevano dichiarato esplicitamente di voler colpire l'avidità, l'inganno e la stupidità di Avid Life Media. Quindi poteva sembrare più una vendetta, anche se ad essere colpiti sono stati più i clienti che il sito stesso. D'altra parte, nelle interviste rilasciate rilasciata a Wired, il portavoce del gruppo di hacker ha detto che l'Impact Team non riteneva gli utenti di Ashley Madison delle vittime innocenti, dal momento che stavano attivamente pagando per tradire i loro coniugi. Quindi questo sposta un po' il focus dall'ipotesi della vendetta a quella del moralismo. Forse era un tentativo di fare giustizia in un contesto dove la legge non può intervenire. C'è anche chi ha ipotizzato che dietro ci fossero delle motivazioni più personali. Forse poteva trattarsi, ad esempio, di qualcuno che era stato tradito proprio tramite Ashley Madison. Forse era qualcuno che ce l'aveva con la società. Il fatto che gli hacker sembrassero conoscere così bene i sistemi interni di Ashley Madison ha portato, come dicevo, anche a sospettare che potesse trattarsi di un ex dipendente con rancore personale contro l'azienda. Questo anche per via del tempismo dell'attacco, visto che è arrivato proprio quando la società stava per quotarsi in borsa, in un momento in cui quindi questo attacco poteva avere un impatto più elevato. Tra l'altro, il dibattito si è poi spostato su un piano etico nel tentativo di individuare i colpevoli. Perché chi è il colpevole di questa storia? Gli hacker che hanno esposto dati privati causando sofferenza a milioni di persone? L'azienda che ha gestito dati sensibili con una negligenza che rasentava il ridicolo? O forse gli utenti stessi che si sono buttati a capofitto in un sito che serviva esclusivamente a tradire il proprio coniuge? A mio parere, al di là delle scelte morali discutibili degli utenti, non penso si possa dare la colpa loro. Il sito prometteva totale discrezione e anonimato, chiedeva anche un pagamento per cancellare i dati e poi non li cancellava. Per cui, a mio parere, il dito va puntato contro la società dietro a Dashlane Madison, con le sue pratiche discutibili e la totale assenza di misure di sicurezza adeguate. Per quanto riguarda gli hacker, la situazione è più complessa. Hanno sicuramente fatto qualcosa di sbagliato, oltre che illegale, perché nel tentativo di affossare la società hanno in realtà rovinato la vita di tantissime tantissime persone che magari se la sono pure cercata, però insomma non dovevano essere loro i destinatari diretti dell'attacco. Anche perché in tutto questo il sito Ashley Madison è sopravvissuto, gli hacker non sono riusciti a chiuderlo. Nell'immediato post-attacco la situazione sembrava ovviamente disperata. L'amministratore delegato e volto dell'azienda, Noel Biderman, si dimise il 28 agosto 2015, appena 10 giorni dopo il rilascio dei dati. La società subì perdite stimate intorno a un quarto del proprio fatturato. Gli investitori fuggirono salto ovviamente anche la quotazione in borsa. Tutti pensavano che fosse arrivata la fine dell'azienda. In risposta alla crisi, la società proprietaria di Slim Edison, Avid Life Media, decise di attuare una strategia di rinnovamento totale. Il primo passo fu quello di cambiare nome da Avid Life Media a Ruby Corporation, nome che probabilmente in Italia non avremmo scelto, nel tentativo di ripulire un po' il nome dal fango sollevato dallo scandalo. Anche il consiglio di amministrazione venne completamente rinnovato con l'arrivo di un nuovo CEO, Robert Siegel, e di un nuovo presidente, James Miller Shipp, entrambi con grande esperienza nel risanamento di aziende in crisi. La nuova dirigenza cambiò totalmente approccio rispetto a come si erano comportati fino a quel momento. La società smise di negare gli errori passati e iniziò invece a puntare proprio sul dimostrare che stavano cambiando. Il sito Ashley Madison subì un restyling completo. Anche il famoso slogan, la vita è breve, concediti un'avventura, fu sostituito con il più neutro, trova il tuo momento. Anche il concept stesso del sito, che un tempo era incentrato esclusivamente sul tradimento, cambiò e iniziò a promuovere più in generale l'esplorazione e le relazioni per adulti. Quindi non ci si rivolse più solo alle persone sposate, ma un po' a tutte le persone che cercavano sito di incontri. Dal punto di vista della sicurezza, l'azienda iniziò a investire, direi finalmente, e a fare cambiamenti massicci. Vennero implementati nuovi sistemi di protezione dei dati, vennero assunti esperti mondiali di sicurezza informatica, svolti audit indipendenti per verificare l'adeguatezza delle nuove misure, e così via. Furono introdotte anche nuove funzionalità per proteggere la privacy degli utenti, come la possibilità di utilizzare foto con filtri che nascondevano una parte del viso, ma permettevano comunque il riconoscimento. Così come venne implementata la verifica a due fattori per gli accessi, in modo da rendere i profili un po' più sicuri. E la cosa ironica è che dal punto di vista del marketing e della comunicazione, l'azienda iniziò a puntare proprio sulla fiducia degli utenti. Ashley Madison trasformò lo scandalo in un'opportunità per presentarsi come il sito di incontri più sicuro del mondo. Dicevano in pratica: abbiamo imparato la lezione e ora siamo i migliori di tutti. E il bello è che questa strategia funzionò. Secondo i dati del 2021, 6 anni dopo l'attacco, Ashley Madison aveva raggiunto 70 milioni di iscritti nel mondo, raddoppiando quindi la propria base di utenti rispetto ai 35 milioni precedenti all'attacco. Oggi il sito è ancora online. Anzi, se volete farvi una risata, leggetevi le recensioni su Trustpilot. La metà della gente si lamenta che non ci sono donne e che sono tutti bot, l'altra metà dice che forse sono loro che non sanno acchiappare le donne vere, e così via. Comunque sia, come si spiega questa rinascita di Ashley Madison quando ci sono tantissime aziende che per scandali di gran lunga minori sono affondate? Su questo ci sono diverse teorie. Innanzitutto, lo scandalo paradossalmente ha aumentato la notorietà del marchio. Milioni di persone che non avevano mai sentito parlare di Ashley Madison ne sono venute a conoscenza proprio a causa dell'attacco. E come si suol dire, la pubblicità negativa non esiste, giusto? Bene o male, l'importante è che se ne parli. In secondo luogo, la gente continua a tradire. Con la diffusione sempre maggiore di internet aumenta anche la richiesta di servizi online che permettano di tradire nell'anonimato, e l'unica piattaforma che dichiaratamente era rivolta a questo era proprio Ashley Madison. Un terzo elemento sicuramente è stato il rinnovamento dell'azienda, che ha iniziato a prendere sul serio la sicurezza, ha ridefinito la propria immagine e ha saputo anche adattarsi alle nuove esigenze di privacy del pubblico. Infine c'è un elemento più sottile che secondo me però però c'entra. Negli ultimi anni il modo in cui concepiamo la nostra privacy online è cambiato. Dopo tutti gli scandali relativi ai dati, dopo tutti gli attacchi hacker, si è diffusa una specie di rassegnazione negli utenti, della serie: non è questione se mi succederà qualcosa, ma quando mi succederà. Come dire che tutti siamo potenzialmente esposti a scandali o a furti di dati, e malcomune mezzo gaudio. È come se la cosa fosse diventata meno grave proprio perché tanto può succedere a tutti. Sicuramente questa vicenda ha insegnato tantissime lezioni. Per le aziende, quella più ovvia riguarda l'importanza di implementare solide pratiche di sicurezza informatica, soprattutto se l'azienda si fonda proprio sulla promessa di segretezza e privacy. Insegna anche a essere più onesti con gli utenti, visto che Ashley Madison prometteva una cancellazione completa che in realtà non esisteva. Per i legislatori, il caso ha evidenziato la necessità di avere un quadro normativo più solido per la protezione dei dati personali. Non è un caso caso che negli anni successivi all'attacco diversi ordinamenti abbiano rafforzato o creato nuove leggi sulla privacy. Pensiamo anche solo al GDPR, il regolamento europeo sulla privacy, che è stato emanato nel 2016, quindi proprio l'anno successivo allo scandalo. Per gli utenti le lezioni sono forse le più difficili da mettere in pratica. Il caso Ashley Madison ha evidenziato quanto siamo vulnerabili nell'era digitale e quanto sia importante essere consapevoli colpevoli dei rischi. Sicuramente possiamo usare mail separate per servizi un po' più discutibili, diciamo, evitare di fornire informazioni personali identificative a meno che non sia assolutamente necessario, verificare un po' meglio le politiche di privacy e di cancellazione dei dati prima di iscriversi a un servizio, utilizzare password uniche e robuste per ogni servizio, e così via. Ma di fatto la lezione maggiore è: 1, non tradire; 2, che nel mondo digitale di oggi la privacy assoluta è un'illusione. Dobbiamo accettare che qualsiasi cosa che facciamo online potrebbe un giorno diventare pubblica. Questo non vuol dire assolutamente che dobbiamo vivere nella paura, ma piuttosto che dobbiamo essere consapevoli delle nostre azioni e delle loro potenziali conseguenze, e quindi evitare di fare cose di cui ci vergogneremmo se venissero rese pubbliche. Per chiudere, vi segnalo che Netflix ha fatto un documentario di 3 episodi dedicato proprio ad Ashley Madison, che è perfetto. Vi consiglio assolutamente di guardarlo perché è stato fatto benissimo, tiene veramente incollate allo schermo e si capisce tutto, proprio dalla nascita al crollo di Ashley Madison. Bene, spero che il video di oggi vi sia piaciuto. Come sempre, fatemi sapere nei commenti se conoscevate già la vicenda o se ci sono altri casi di cui volete che parli. Noi ci rivediamo al prossimo video.