Sabino Maggi
Nelle puntate precedenti abbiamo visto come l’invasione nella vita privata operata dai dispositivi IoT sia tanto massiccia e intollerabile da rendere utile consultare una guida ai rischi per la privacy prima di acquistare un qualunque dispositivo IoT.
Purtroppo gli esempi presentati sono solo la punta dell’iceberg. Le modalità usate da questi dispositivi per spiarci sono praticamente infinite e superano di gran lunga le fantasia più audaci di una persona normale.
Perché anche le smart TV ci guardano e ci sentono – non è un caso che anche CIA e MI5 ci abbiano messo le mani dentro – e Samsung non si fa nessuno scrupolo di rivendere a terze parti le informazioni raccolte dalle sue TV.
Lo stesso vale per i termostati intelligenti, che in 15 secondi(15 secondi!) possono essere trasformati in spioni senza scrupoli. O per il frigorifero con una falla di sicurezza che espone al mondo i dati di login del nostro account Gmail, attraverso il quale si può raccogliere una grandissima quantità di informazioni sulla nostra vita e su quella dei nostri conoscenti.
Se inizialmente l’obiettivo di questa invasione nel privato – sapere quanto più possibile dei nostri gusti e delle nostre abitudini per poterci inviare suggerimenti di acquisto mirati – poteva essere considerato relativamente inoffensivo, la cosa si è trasformata rapidamente in una vera e propria minaccia per la nostra intimità e il nostro portafoglio, a volte per una strategia dolosa (vedi i casi Samsung e Sony riportati qui), in tanti altri casi per l’incapacità delle aziende produttrici di garantire un livello di sicurezza decente per i loro prodotti.
Una decina di anni fa lo scandalo del software malevolo installato di soppiatto da certi CD musicali della Sony per trasmettere a “casa” dati sulle abitudini musicali dell’acquirente scosse dalle fondamenta l’azienda giapponese e la costrinse ad una ritirata precipitosa.
Oggi succede molto di peggio ma, complici la smania di protagonismo e la frenesia di condividere qualunque emozione con i propri amici virtuali alimentata dai social network, nella percezione comune è diventato quasi naturale essere spiati 24 ore su 24, “tanto io non ho niente da nascondere”.
Sarà anche vero, ma non è così irrilevante.
Perchè ciò che dici in casa può essere usato dal datore di lavoro senza scrupoli per licenziarti. Quello che metti nel frigorifero può essere scrutato dalla tua assicurazione, che ti aumenta la polizza se decide che quello che mangi non è abbastanza sano e può farti venire l’infarto. Le foto scattate dalla videocamera di sicurezza quando giri per casa dopo la doccia possono finire su qualche sito equivoco prima ancora che ti asciughi i capelli. Parole e sospiri captati dall’Alexa di turno mentre fai sesso con l’amante possono essere usate contro di te dal partner tradito senza dover nemmeno scomodare il classico investigatore privato di serie D.
E se una azienda non è capace di garantire la riservatezza dei dati personali affidati ai propri dispositivi IoT, figuriamoci se sarà in grado di assicurare che questi non possano essere violati dai delinquenti che si aggirano per la rete.
Un ransomware può facilmente compromettere un termostato (poco) intelligente, minacciando di innalzare (o abbassare) la temperatura della casa ad un livello intollerabile, a meno di non pagare un riscatto salato. Ricatti analoghi possono essere portati tramite il frigorifero o il condizionatore. Una porta protetta (si fa per dire) da una serratura ancora meno intelligente può essere aperta senza troppi problemi (e quando non ci si riesce, basta un cacciavite ed un po’ di esperienza per superare le deboli difese meccaniche della serratura).
Persino i pacemaker sono a rischio. Pochi mesi fa la Food and Drug Administration (FDA) statunitense ha obbligato una azienda produttrice di pacemaker ad aggiornare il firmware di mezzo milione di suoi dispositivi, perché potevano essere penetrati così facilmente da remoto da mettere a rischio la vita dei pazienti cardiopatici che avevano la sfortuna di portarli.
Purtroppo non è l’unico caso, anzi è stato dimostrato che tutti i modelli di pacemaker “connessi” presentano così tante vulnerabilità da poter essere facilmente violati da chiunque possegga un minimo di conoscenze tecniche e attrezzature disponibili a pochi soldi perfino su eBay.
Una volta ottenuto il controllo del dispositivo, chi potrebbe impedire ad un terrorista di attentare alla vita di qualche alta personalità della politica o dell’industria con scompensi cardiaci? Oppure, più prosaicamente, di simulare un malfunzionamento che costringa la vittima a precipitarsi in ospedale, mentre l’abitazione lasciata senza sorveglianza viene svaligiata con tranquillità dai complici? Con conseguente infarto (questa volta vero) del malcapitato, al ritorno a casa.
Finora tutto ciò è rimasto solo a livello ipotetico, ma scommettiamo che prima o poi qualcosa di simile accadrà davvero?