😱 RYAN LIN: fregato dalla sua VPN

Nel 2016, una giovane donna del Massachusetts iniziò a vivere il suo peggiore incubo. Per 16 mesi consecutivi, qualcuno violò i suoi account più privati, rubò le sue foto intime e i suoi diari personali, creò centinaia di profili falsi fingendosi lei anche su siti per adulti, invitando sconosciuti a casa sua, bombardò i suoi familiari con minacce fingendo che fosse lei a inviarle e orchestrò oltre 120 falsi allarmi alle forze dell'ordine usando la sua identità. Almeno 3 uomini si presentarono effettivamente alla sua porta credendo agli inviti che lei non aveva mai fatto. L'artefice di questa situazione spaventosa era un programmatore di 25 anni che si credeva invisibile grazie a Tor, mail criptate e soprattutto PureVPN, un servizio che prometteva di non conservare alcun log che potesse identificarlo. Per oltre un anno il ragazzo tormentò la sua vittima convinto di essere completamente invisibile agli occhi della legge. Si sbagliava. Ma partiamo dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Questa forse è la storia peggiore che ho portato finora nel canale, nel senso che bene o male nei video precedenti abbiamo visto qualche traditore che veniva esposto, internet giù per una mezza giornata, centrifughe rotte e così via. Qua entriamo invece nella vita di una persona che per oltre un anno ha vissuto un esperienza che non augurerei a nessuno. E soprattutto, da appassionata di informatica e tecnologia quale sono, vedere come questi strumenti possono essere usati per fare del male mi fa soffrire. Comunque sia, per capire questa storia dobbiamo iniziare dal protagonista. Ryan Lynn, che al momento della nostra storia aveva 23 anni, era sotto molti punti di vista il prototipo del giovane talento tecnologico americano. Cresciuto a Newton nel Massachusetts, era quello che i compagni di scuola descrivevano come un genio del computer. Non ho trovato sue foto, o meglio Ho trovato molte foto di persone con il suo stesso nome, quindi per non rischiare di esporre al pubblico ludibrio la persona sbagliata ho preferito evitare di caricare foto, ma possiamo immaginarcelo così. Lynn lavorava come sviluppatore software presso un'azienda informatica. Era il tipo di persona che poteva configurare una rete, programmare in diversi linguaggi e navigare nel dark web come altri navigano su Facebook. In altre parole, aveva tutte le competenze necessarie per essere pericoloso se avesse scelto di usarle nel modo sbagliato. E purtroppo nella aprile del 2016 fece esattamente questa scelta. Tutto iniziò in modo apparentemente innocuo. Lynn stava cercando una sistemazione e rispose a un annuncio pubblicato su Craigslist da una giovane donna di 24 anni che cercava un coinquilino per la sua casa a Waltham, sempre nel Massachusetts. Questa donna, che le autorità chiamano Jennifer Smith per proteggere la sua vera identità, viveva già con altri due coinquilini e stava semplicemente cercando qualcun altro per dividere le spese. L'incontro sembrò inizialmente andare bene. Lynn appariva come un giovane professionista educato e affidabile con un lavoro stabile nel settore tecnologico. Non c'erano segnali di allarme evidenti, non c'era nessun comportamento che potesse in qualche modo far presagire quello che sarebbe poi accaduto. Jennifer accettò la sua candidatura e Lynn si trasferì nella casa. Ma già nelle prime settimane qualcosa iniziò ad andare storto. Lynn mostrava un interesse eccessivo per la vita privata di Jennifer. Non si trattava della normale curiosità di chi vive sotto lo stesso tetto, ma di qualcosa di più invasivo e anche, diciamo, inquietante. Sembrava sempre sapere troppo sugli spostamenti della ragazza, sui suoi amici, sui suoi impegni. Jennifer inizia a notare che il suo computer si comportava in modo strano e a sospettare che i suoi account online fossero stati compromessi. In un primo momento, ingenuamente, si rivolse a Lynn per cercare di sistemare il problema, visto che comunque il ragazzo era un esperto informatico. Ma presto iniziò a sospettare proprio di lui. Il fatto che i suoi account fossero stati violati subito dopo l'ingresso in casa di uno sconosciuto esperto di informatica troppo curioso della sua vita privata difficilmente poteva essere considerato una coincidenza. Jennifer iniziò piano piano a vivere nel terrore di essere spiata, circostanza confermata anche dai suoi coinquilini che a loro volta avevano notato quanto Lynn sembrasse in qualche modo ossessionato da lei. Alla fine, Jennifer, nell'estate del 2016, poco dopo l'inizio della convivenza con Lynn decise di allontanarsi temporaneamente da casa, sperando così di bloccare le attenzioni morbose del ragazzo. Ben presto però anche gli altri coinquilini iniziarono a lamentarsi del comportamento di Lynn, tanto che lo stesso venne costretto a lasciare la casa condivisa e Jennifer poté quindi tornare. Per un breve periodo il problema sembrò risolto, Lynn non viveva più con loro e, anche se questo chiaramente non diminuiva il sospetto che gli account fossero stati violati, Jennifer sperava che lentamente il ragazzo si sarebbe dimenticato di lei. Purtroppo era una speranza vana. Jennifer non sapeva ancora che stava per diventare vittima di una delle campagne di cyberstalking più spietate e tecnologicamente sofisticate che siano mai state scoperte. E Lynn, anziché essere scoraggiato dal suo allontanamento forzato, aveva deciso di dimostrare di cosa era davvero capace. L'attacco di Lynn si svolse su più livelli. Il primo fu il furto dei dati e delle informazioni che gli servivano. Lynn aveva già violato alcuni account di Jennifer durante la convivenza, ma decise di intensificare fare gli sforzi. Riuscì a penetrare nel suo account iCloud, nel suo Google Drive, nei suoi profili social. Sottraeva e copiava tutto quello su cui riusciva a mettere le mani: foto private, documenti personali e soprattutto i diari digitali di Jennifer, che contenevano i suoi pensieri più intimi, le sue paure, i suoi segreti medici e psicologici, i dettagli della sua vita personale. Con queste informazioni in mano, Lynn decise di rovinare la vita di Jennifer. Iniziò quindi il secondo livello dell'attacco: l'impersonificazione. Personificazione. Inviò mail e messaggi a centinaia di persone che conoscevano la ragazza: amici, colleghi, familiari, ex compagni di scuola, tutti quelli che riusciva a trovare. In questi messaggi, fingendosi Jennifer, condivideva le foto private della ragazza, spesso combinate anche con immagini violente, allegava estratti dei suoi diari, rivelando quindi pubblicamente i suoi segreti più intimi. Questo ovviamente con l'obiettivo di distruggere completamente la reputazione e la vita sociale della ragazza, in modo da isolarla dalla sua rete di conoscenze. Ben presto Lynn si rese conto che poteva andare ancora oltre. Il terzo livello del suo attacco fu il furto di identità. Iniziò a creare decine di profili falsi fingendosi Jennifer su siti per adulti, forum di incontri e persino su piattaforme dedicate a servizi di escort o a fantasie estreme. In questi profili scriveva messaggi come se fosse Jennifer, invitando anche degli estranei a casa di lei, promettendo atti violenti e pratiche estreme. Come ho anticipato nell'introduzione, sappiamo sappiamo che almeno 3 uomini si presentarono effettivamente a casa di Jennifer, convinti dai messaggi di Lynn che la ragazza li stesse aspettando per incontri che lei non aveva mai programmato. Immaginate il terrore di Jennifer quando si ritrovò degli sconosciuti alla porta che credevano di essere stati invitati, fra l'altro per compiere pratiche estreme come quelle che Lynn prometteva. Il quarto livello dell'attacco furono le minacce rivolte sia direttamente a Jennifer che ai suoi amici e familiari. Lynn utilizzava servizi di messaggistica anonima come come Text Now per bombardare Jennifer e la sua rete di conoscenze di messaggi minatori. Oltre a questo, creava continuamente nuovi account Facebook per aggirare i blocchi che Jennifer metteva, inondandola di richieste di amicizia veramente inquietanti. Iniziò anche a tempestare queste persone con immagini molto forti che riguardavano dei minori, per sconvolgere profondamente i destinatari e contemporaneamente far sembrare che fosse Jennifer a inviare quel materiale illegale, compromettendo ulteriormente la reputazione della ragazza. Il quinto livello dell'attacco Ecco furono i falsi allarmi di emergenza. Lynn decise di mettere in guai seri Jennifer fingendosi lei. Inviava email alle forze dell'ordine denunciando la presenza di ordigni esplosivi, mine, bombe nelle scuole locali, nella casa della ragazza, in edifici pubblici. Ovviamente ogni volta che Lynn inviava una di queste false minacce scattava un'operazione di emergenza massiccia. Le scuole venivano evacuate, le squadre artificieri venivano mobilitate, le forze dell'ordine dispiegavano risorse enormi per rispondere c'è che in realtà non esistevano. In un'occasione Lynn riuscì persino a manipolare un'amica di Jennifer facendole credere che la ragazza fosse in grave pericolo. L'amica preoccupata chiamò la polizia che ovviamente si precipitò a casa di Jennifer per un'emergenza che non esisteva. Lynn riuscì anche a entrare nell'account che Jennifer aveva aperto su Rover.com, un sito di pet sitting, perché la ragazza nel tempo libero arrotondava accudendo animali domestici altrui. Dall'account scoprì che la ragazza in quel momento stava tenendo il cane di una coppia e decise di chiamare i proprietari dell'animale fingendosi lei e dicendo che aveva tolto la vita al loro cane intenzionalmente per gioco. Anche in questo caso venne coinvolta la polizia, dal momento che i proprietari immediatamente contattarono le forze dell'ordine. Vedete su quanti livelli la vita di Jennifer era stata rovinata. I suoi amici, colleghi, familiari ricevevano continuamente materiale che non volevano vedere. La polizia era a casa della ragazza un giorno sì e uno no, fra allarmi bomba e false segnalazioni di pericolo. Anche I lavoretti che Jennifer faceva per arrotondare venivano sabotati. Tutto questo andò avanti per 16 mesi. Una campagna di questo tipo è in grado di annullare una persona, di portarla veramente a gesti estremi. E non è che Jennifer non facesse niente per cercare di fermare la situazione, solo che le denunce non portavano a niente. Anche se lei era certa che fosse Lynn, lui negava. I suoi computer erano sempre puliti, come vi dicevo, era un genio dell'informatica, per cui le denunce non portavano a nulla. Lynn credeva di aver trovato la formula perfetta per dell'anonimato digitale. La sua strategia si basava su quello che gli esperti di sicurezza chiamano difesa in profondità, ma applicata al contrario. Invece di proteggere un sistema, Lynn stava proteggendo la propria identità attraverso multipli livelli di offuscamento. Era come indossare non una, ma diverse maschere una sopra l'altra, ciascuna progettata per confondere un diverso tipo di investigazione. Il primo strato della sua protezione era Tor, la famosa rete che rimbalza il traffico internet attraverso vari server distribuiti in tutto il mondo. Quando Linus usava Tor per accedere ai siti web, la sua connessione passava quindi attraverso più server diversi prima di raggiungere la destinazione finale, e ciascun server vedeva solo quello precedente e quello successivo, cosa che rendeva molto più difficile tracciarlo. Il secondo strato erano i servizi mail anonimi e crittografati. Linus usava ProtonMail, un servizio email svizzero che cripta tutti i messaggi e promette di non conservare informazioni identificative sui suoi utenti. Creava più account pseudonimi falsi, in modo che fosse più complicato risalire a un unico utente. Il terzo strato era quello che Lynn considerava la sua assicurazione finale: PureVPN. Una VPN, o Virtual Private Network, come saprete sicuramente benissimo se avete visto il mio video di ieri, è essenzialmente un tunnel crittografato tra il vostro computer e internet. PureVPN prometteva qualcosa che per Lynn era cruciale: una politica no log. Sul loro sito web dichiaravano esplicitamente: non conserviamo alcun log che possa identificare o aiutare nel monitoraggio dell'attività di un utente. Per qualcuno come Lynn, che stava commettendo crimini federali, questa promessa era fondamentale, perché il nostro cybercriminale aveva fatto i suoi calcoli. Dovete sapere infatti che il nostro internet di casa è dotato di un indirizzo IP che serve a identificarlo all'esterno, come il mittente su una lettera, cioè serve a far capire da chi proviene la connessione. La rete Tor nasconde gli indirizzi IP e li camuffa dietro tanti rimbalzi della richiesta di connessione, perché la richiesta a ogni rimbalzo cambia l'indirizzo IP da cui proviene. Ma le forze dell'ordine sono in grado di risalire al primo indirizzo IP facendo il percorso inverso. È complicato, ma loro ce la fanno. La VPN invece nasconde completamente il nostro indirizzo IP dall'esterno e fa risultare le richieste come provenienti dal server della VPN. È come se noi, anziché spedire la lettera da casa nostra col nostro indirizzo di casa come mittente, andassimo in una mega azienda e la spedissimo da lì con il loro indirizzo come mittente. Qual è l'inghippo? Che tutto sta nel capire se la mega azienda tiene un registro in cui salva la provenienza di ciascuna lettera inviata. Perché se qualcuno poi va in questa azienda con la nostra lettera in mano e chiede "chi è che ha spedito questa lettera?" e l'azienda ha un bel registro in cui salva tutte queste informazioni, noi nel giro di 2 ore ci troviamo con la persona a casa. Lynn però si era affidato appunto a una VPN che dichiarava di non avere un registro in cui salvava la provenienza delle richieste. Quindi era serenissimo, perché anche se le forze dell'ordine fossero riuscite a risalire all'indirizzo IP originario, questo sarebbe stato collegato a PureVPN. E se fossero andate a chiedere informazioni a PureVPN, l'azienda non sarebbe stata in grado di fornirgliele, perché questo registro non c'era. Tra l'altro, Lynn non si limitava a nascondere la propria identità, creava attivamente false piste. Quando creava profili falsi fingendosi Jennifer, non li creava dalla sua connessione di casa, li creava da reti pubbliche, da internet point, da biblioteche, da da connessioni di altre persone, quindi dalla casa di altri. Per cui anche se PureVPN avesse conservato gli IP originali in un registro, non sarebbe stato comunque quello di casa sua. Gli indirizzi IP non sarebbero comunque stati ricollegabili a casa sua. Per oltre un anno questa strategia funzionò perfettamente. La polizia locale di Waltham aveva ricevuto decine di denunce da Jennifer, ma ogni volta che cercavano di seguire le tracce si scontravano con un muro. Gli indirizzi IP portavano a server anonimi, gli account email erano irraggiungibili, raggiungibili. Le identità erano tutte false, ma Lynn aveva commesso un errore fondamentale: aveva sopravvalutato la sicurezza della sua strategia e non aveva pensato che alla fine sarebbe stata coinvolta l'FBI, che ha accesso a tecnologie forensi avanzate, può correlare dati da fonti multiple, e soprattutto che può costringere anche i fornitori di servizi anonimi a collaborare con la giustizia. E vi dirò che probabilmente l'FBI non sarebbe nemmeno stata coinvolta se Lynn si fosse limitato a tormentare Jennifer nella sua vita privata, perché figuriamoci se l'FBI può scomodarsi per ogni episodio di stalking. Il problema erano i continui allarmi bomba che Lynn lanciava sperando di mettere la ragazza nei guai, perché è un reato federale che alla lunga non si può ignorare. E infatti nel 2017 il caso venne trasferito all'FBI, che iniziò la propria accuratissima indagine. Il primo indizio arrivò quando gli investigatori riuscirono a mettere le mani su un computer che Lynn aveva usato durante il suo precedente lavoro. Quando Lynn era stato licenziato, si era premurato di cancellare tutto e di reinstallare da capo il sistema operativo per eliminare tutti i propri dati, cosa che poi aveva fatto anche l'azienda prima di riassegnare il computer a qualcun altro. Il punto è che questo non basta a cancellare completamente i dati del precedente utilizzatore, soprattutto se a cercarli è l'FBI. Quello che trovarono fu una miniera d'oro per le indagini. Nei dati residui di Google Chrome gli agenti trovarono prove che Lynn aveva creato degli account sul servizio di messaggistica anonima TextNow, lo stesso servizio usato per bombardare Jennifer messaggi minatori. Trovarono tracce di registrazione su ProtonMail, il servizio email usato appunto per le comunicazioni anonime, e trovarono visite al profilo Rover.com di Jennifer, il sito di pet sitting dove Lynn aveva orchestrato uno dei suoi scherzi più crudeli. Trovarono anche tracce di visite a siti di notizie che riportavano le stesse minacce di bomba che Lynn aveva inviato alle scuole locali, che in pratica nell'informatica è l'equivalente di chi conserva i ritagli di giornale dei propri crimini. Ogni singola scoperta collegata Kavalin alle azioni del misterioso stalker. Ma il pezzo più importante del puzzle era la presenza del software client di PureVPN installato su quel computer. Questo dettaglio cambiò completamente la strategia investigativa. Gli agenti ora sapevano che il loro sospetto utilizzava una VPN per nascondere la propria identità. Era l'anello mancante che spiegava perché erano sempre arrivate vicoli ciechi nelle indagini precedenti. Adesso possiamo pensare che sia assurdo che non ci fossero arrivati, ma ricordatevi che fino al 2020 le VPN erano ancora era veramente poco usate, erano servizi di nicchia che usavano proprio gli esperti. A questo punto l'FBI mise in atto una strategia investigativa tutto sommato abbastanza semplice. Invece di cercare di superare le difese di Lynn, cosa che avrebbe comportato costi e sforzi eccessivi, decisero di raccogliere le informazioni dalle aziende che erano state utilizzate come intermediari inconsapevoli dei suoi crimini. Il primo passo fu contattare Google. L'FBI ottenne mandati federali per accedere ai log di Google relativi agli account compromessi di Jennifer. Google ovviamente fornì immediatamente tutti gli indirizzi IP da cui erano stati effettuati gli accessi non autorizzati agli account. Questi indirizzi IP non appartenevano direttamente a Lynn, erano collegati ai server di PureVPN, localizzati però in un posto preciso che possiamo ipotizzare fosse il più vicino alla casa di Lynn. Quando fu contattato Rover.com, il sito di pet sitting, gli agenti ottennero altri indirizzi IP che portavano a vari server VPN, alcuni di PureVPN, altri di un secondo provider chiamato One Security. Tutti questi IP portavano alle stesse destinazioni, server VPN specifici a cui si era collegato in momenti specifici. A questo punto l'FBI aveva in mano qualcosa di estremamente potente: una mappa temporale precisa di quando e da quali server VPN erano stati compiuti i crimini. Sapevano che il 15 giugno 2016 alle 14:32 qualcuno si era connesso dal server X di PureVPN per accedere illegalmente all'account mail di Jennifer. Sapevano che il 23 luglio 2016 alle 9:17 qualcuno si era connesso al server Y per creare un profilo fake su un sito per adulti. Ovviamente queste informazioni da sole non bastavano. L'FBI aveva bisogno di scoprire chi si nascondeva dietro queste connessioni apparentemente anonime e decise di contattare direttamente PureVPN. Era una mossa che molti investigatori avrebbero considerato un po' inutile. Dopotutto, l'intero valore dell'offerta di PureVPN si basava sulla promessa di non osservare i log delle attività degli utenti. Ma l'FBI ormai aveva esperienza nel trattare con le aziende tecnologiche e sapeva che spesso c'è una differenza sottile ma cruciale fra quello che un'azienda dice di fare e quello che poi fa. Gli agenti federali prepararono una richiesta formale accompagnata dai necessari mandati legali, chiedendo a PureVPN di fornire qualsiasi informazione fosse in loro possesso relativa agli indirizzi IP e agli orari specifici che loro erano già riusciti a identificare. La risposta di PureVPN PureVPN cambiò tutto. L'azienda non solo collaborò con l'FBI, ma rivelò qualcosa che mandò in frantumi l'illusione di anonimato di Lynn. Loro conservavano effettivamente dei log, e precisamente i log di connessione. In pratica, tenevano un registro in cui scrivevano quando un utente si connetteva ai loro server, da quale indirizzo IP reale proveniva la connessione e a quale server si collegava. Quando l'FBI presentò a PureVPN la lista di server e orari specifici collegati ai crimini di Lynn, l'azienda controllò i propri registri interni. E quello che trovarono fu devastante per Lynn: una corrispondenza perfetta. Come dicevo, però, molto spesso Lynn non si collegava da casa o dall'ufficio, ma usava biblioteche, Wi-Fi pubblici e così via. Il punto sta tutto in quelle due parole: molto spesso. Perché a volte il ragazzo era così sicuro di sé e delle sue capacità da ignorare le sue stesse precauzioni e si collegava da casa. E all'FBI non servivano tante corrispondenze per incastrarlo. Ma come potevano gli investigatori essere certi che fosse lui e non un suo amico che si collegava da casa sua? Semplice, perché Lynn a volte si collegava anche dall'ufficio, dalla sua scrivania, negli orari in cui stava lavorando. Questa informazione era cruciale perché stabiliva un pattern che solo lui poteva aver creato. Nessun altro poteva avere accesso sia alla rete domestica che a quella lavorativa di Lynn e collegarsi dal suo computer di lavoro proprio mentre lui era seduto davanti al PC in orario d'ufficio. L'ironia, fra l'altro, era devastante. Lynn aveva scelto PureVPN specificamente perché prometteva di non conservare log, ma quella promessa era sostanzialmente falsa. PureVPN in realtà prometteva di non conservare i log di attività, cioè quali siti fossero stati visitati, ma non diceva nulla sui log di connessione. La differenza sembra quasi nulla, ma in realtà era fondamentale. I log di attività avrebbero mostrato che Lynn visitava il sito web di Jennifer o che creava profili fake, e chiaramente sarebbe stato ancora più facile incastrarlo. I log di connessione mostravano solo che Lynn si connetteva ai server PureVPN in determinati momenti. Ma combinando questi log di connessione con le informazioni già ottenute da Google, Rover.com e gli altri siti, l'FBI poteva ricostruire perfettamente ogni mossa di Lynn. Era come risolvere un puzzle dove ogni pezzo veniva da una fonte diversa. Google forniva l'orario dell'accesso illegale e il server da cui proveniva. PureVPN forniva l'IP di provenienza e l'orario della connessione. Mettendo insieme questi dati, l'FBI poteva dire con certezza matematica che Ryan Lin dal suo computer di casa si era connesso a PureVPN e aveva immediatamente usato quella connessione per commettere crimini specifici. Il 5 ottobre 2017 gli agenti dell'FBI bussarono alla porta di Lin con un mandato d'arresto federale. Lui non oppose resistenza perché sapeva che era inutile. Se l'FBI era arrivato fino a lui, significava che aveva prove schiaccianti. L'arresto di Lin fece notizia immediatamente, ma non per i motivi che ci aspetteremmo. Il caso venne riportato dai media tecnologici non tanto come la cattura di un pericoloso cyberstalker, ma come la prima volta che una VPN che si proclamava no log aveva collaborato con l'FBI fornendo dati che teoricamente non doveva nemmeno conservare e che avevano portato all'identificazione di un criminale. Il 9 aprile 2018, quasi 6 mesi dopo l'arresto, un gran giury federale emise un'accusa formale molto pesante: 25 capi di imputazione che coprivano praticamente ogni aspetto della campagna criminale di Lynn. 7 capi di cyberstalking, 1 per Jennifer e 6 per persone vicino a lei che Lynn aveva preso di mira. 5 capi di distribuzione di immagini illegali relative a minori, quelle immagini che Lynn aveva inviato ai familiari e agli amici di Jennifer per sconvolgerli e che costituivano un reato federale gravissimo che da solo poteva comportare decenni di carcere. 9 capi di falso allarme bomba. 3 capi di frode informatica e accesso abusivo a sistemi informatici. Un capo di furto di identità aggravato per aver impersonato Jennifer e altre persone a scopo criminale. Nell'aprile 2018 Lynn si dichiarò colpevole di tutti i capi di imputazione. Era una strategia di minimizzazione del rischio. Ammettendo la colpevolezza, Lynn sperava di ottenere una pena più lieve rispetto a quella che avrebbe avuto se fosse stato giudicato colpevole dopo un processo. Il 3 ottobre 2018, esattamente un anno dopo il suo arresto, Lynn si presentò davanti al giudice federale William Young per l'udienza di condanna. Il giudice Young era noto per la sua esperienza in casi di crimini informatici e per la sua tendenza a emettere condanne esemplari. Nel pronunciare la sentenza, il giudice non pescose la sua repulsione per le azioni di Lynn. La campagna di cyberstalking era stata descritta dai procuratori come una delle più estese e crudeli mai documentate, e il giudice concordò pienamente. La condanna fu pesantissima: 210 mesi di carcere federale, 17 anni e mezzo dietro le sbarre, più 5 anni di libertà vigilata con condizioni restrittive molto severe. La pena di Lynn è ancora oggi fra le più severe mai combinate per cyberstalking negli Stati Uniti. Ma d'altronde, se consideriamo la natura sistematica prolungata dei suoi crimini a me sembra giusta. Gli hanno praticamente dato un anno di carcere per ogni mese in cui ha tolto il sonno a Jennifer nell'attuazione della sua campagna criminale pianificata e orchestrata fin nei minimi dettagli. Mentre Lynn iniziava a scontare la sua pena detentiva, l'attenzione si spostò immediatamente sull'intera industria delle VPN. Il problema non era che PureVPN avesse collaborato con la giustizia in caso di crimini gravi, perché era una decisione difficile da criticare. Il problema era che PureVPN PureVPN aveva collaborato fornendo log che secondo le sue stesse dichiarazioni pubbliche non dovevano esistere. La promessa "we do not keep any logs", noi non conserviamo nessun log, era il fondamento stesso del marketing di PureVPN, era la ragione per cui molti utenti avevano scelto il loro servizio anziché altri. Ma il caso Lynn aveva dimostrato che questa promessa era sostanzialmente falsa. I media e le aziende concorrenti non persero tempo a sottolineare la contraddizione. PureVPN iniziò a essere chiamata nel giro col nome di Pure Lies, pure menzogne. Gli utenti erano furiosi e ovviamente vennero anche avviate campagne da parte di associazioni dei consumatori. Da queste campagne emerse però che nei termini e condizioni di PureVPN, quelle pagine, pagine, pagine che noi non leggiamo mai, c'era effettivamente scritto che l'azienda non conservava i log di attività, ma potevano essere tenuti alcuni dati per la manutenzione del servizio. Una formulazione sufficientemente vaga da poter includere i log di connessione, quelli che avevano portato all' identificazione di Lin. La differenza semantica fra log di attività e log di connessione divenne centrale nel dibattito. PureVPN sosteneva di non aver mai mentito. Non conservavano log di quello che gli utenti facevano online, quali siti visitavano, cosa scaricavano, cosa cercavano, ma conservavano i log di quando si connettevano e da dove, compreso l'indirizzo IP. Ovviamente questa rassicurazione non aiutò comunque a ristorare la fiducia nell'azienda, soprattutto perché molti competitor colsero al volo l'occasione per infangarla ancora di più. PureVPN cercò di salvarsi con la carta della chiarezza e anche sostenendo che la VPN serviva a tutelare la privacy degli utenti, ma sicuramente non a coprire dei crimini, e che sostanzialmente dovevano essere tutti contenti che Lynn fosse stato preso. Inoltre modificò i termini e condizioni e la privacy policy per eliminare le ambiguità e si sottopose volontariamente anche a degli audit indipendenti a sorpresa sulle proprie pratiche di logging. Gradualmente questi sforzi iniziarono iniziarono a dare frutti. Alcuni siti di recensioni rimossero i loro avvertimenti su PureVPN, gli utenti iniziarono a riconoscere miglioramenti dell'azienda e piano piano la situazione migliorò. Oggi, diversi anni dopo il caso Lynn, PureVPN si presenta come un servizio no-log certificato grazie agli audit indipendenti condotti da organizzazioni esterne. L'azienda cita spesso il proprio caso come un esempio di cooperazione responsabile con la giustizia da attuare solo quando necessario, cercando di trasformare quella che era stata una crisi reputazionale in un elemento di differenziazione competitiva. Sicuramente quello che si impara da questa storia, almeno secondo me, è che non c'è la possibilità di avere un anonimato reale completo. In qualche modo saremo sempre tracciabili qualunque cosa facciamo. La cosa migliore è non commettere crimini, non stalkerare nessuno, fare sempre i bravi, così l'FBI non avrà motivo di andare a chiedere i log alla nostra VPN. Io devo dire che comunque non sono troppo contraria al salvataggio dei log da parte delle VPN, soprattutto se servono a condannare qualcuno che sta rovinando la vita di una persona. Il problema per me nasce quando queste informazioni vengono usate per magari bloccare degli attivisti— mi viene in mente Snowden— che stanno denunciando abusi da parte dell'autorità. Ma qui scendiamo in un ambito etico molto complesso che penso sia poco adatto a questo video. Bene, io come sempre spero che questa storia vi sia piaciuta. Fatemi sapere nei commenti se vi va se conoscevate già la vicenda, oppure PureVPN. Noi ci rivediamo al prossimo video.