Klaro. Tech

Il tuo smartphone ha più di dieci sensori. Fotocamera e microfono li conosci — e ti chiedono il permesso prima di attivarsi. Ma accelerometro, giroscopio e magnetometro? Classificati come "non pericolosi", accessibili da qualsiasi app senza consenso, ventiquattro ore su ventiquattro. Il problema è che questi sensori innocui non sono affatto innocui. I ricercatori dell'Università di Newcastle hanno dimostrato che i dati dell'accelerometro bastano a decifrare il PIN del telefono con il settanta percento di precisione al primo tentativo. Non con un malware: con una semplice pagina web aperta nel browser. E non finisce qui. Il giroscopio riconosce la tua andatura. Il barometro sa a che piano ti trovi. Il magnetometro mappa le stanze dove il GPS non arriva. Facebook usa i sensori di movimento insieme a segnali wireless di prossimità per capire se due telefoni sono nella stessa stanza — senza consenso. Il punto è questo: Il modello di permessi del tuo telefono copre solo una parte dei sensori — il resto è un rubinetto sempre aperto che non puoi chiudere Non servono hacker sofisticati: una pagina web in JavaScript basta per leggere l'accelerometro e ricostruire un PIN Oltre sei miliardi di smartphone hanno questi sensori accessibili senza consenso, e la classificazione "non pericoloso" non è mai stata aggiornata La decisione su cosa fosse pericoloso è stata presa più di quindici anni fa, quando l'accelerometro serviva solo a ruotare lo schermo Fonti e approfondimenti ARMOUR US — ricerca su sensori e app finanziarie University of Newcastle — studio su decifrazione PIN via accelerometro (International Journal of Information Security) Wired — brevetto Facebook su tracciamento di prossimità via sensori e segnali wireless ⠀ ⠀

I cookie banner dovevano essere il tuo scudo digitale. Il GDPR ha dato all'Europa le regole più avanzate al mondo sulla protezione dei dati personali — e la risposta dell'industria pubblicitaria è stata un pulsante enorme, colorato e impossibile da perdere che dice "Accetta tutti", e uno minuscolo, grigio e nascosto per dire no. Non è un caso. È un design. Il risultato è un paradosso perfetto: gli europei spendono collettivamente 575 milioni di ore l'anno a interagire con questi banner — l'equivalente del lavoro a tempo pieno di 275.000 persone, per un costo economico stimato di 14 miliardi di euro. E tutto questo per un gesto che nella stragrande maggioranza dei casi non protegge nessuno: otto banner su dieci non rispettano nemmeno le regole che dovrebbero applicare. Caselle pre-selezionate, niente pulsante "Rifiuta", colori studiati per guidare la scelta. Si chiamano dark pattern, e sono ovunque. In questo episodio raccontiamo come ci siamo arrivati. Dalla direttiva ePrivacy al GDPR, passando per lo IAB e il framework standard dell'industria della pubblicità digitale — il design intenzionalmente ostile che rende il sì facile e il no un percorso a ostacoli. E perché la consent fatigue, la stanchezza da consenso, non è un effetto collaterale del sistema: è il meccanismo che lo tiene in piedi. Il punto è questo: La consent fatigue non è un bug — è il motore che fa funzionare l'intero sistema dei cookie banner, e si auto-rinforza a ogni click Le multe milionarie alle big tech sono l'equivalente di una multa per divieto di sosta a chi guida una Lamborghini: le paghi e parcheggi dove ti pare Il futuro della privacy potrebbe passare dal consent by design, gestito direttamente nel browser — ma i browser più usati al mondo li controlla chi vive di pubblicità In Italia solo un utente su quattro gestisce davvero le proprie scelte sui cookie — tra i dati peggiori in Europa Fonti e approfondimenti Legiscope 2025 — studio su 575 milioni di ore spese sui cookie banner in Europa CookieYes Cookie Consent Trends 2026 — dati per paese sulla gestione del consenso CNIL — sanzione a Google (325 milioni di euro) per consenso cookie non valido EDPB Guidelines 3/2022 on Dark Patterns in Social Media Platforms EU Digital Omnibus 2025 ⠀ ⠀

Mandi vocali su WhatsApp senza pensarci. Dieci, venti al giorno. Tre secondi di "arrivo tra poco", quattro secondi di "ti richiamo dopo." Roba normale, quotidiana, innocua. Ma quei tre secondi contengono abbastanza informazione da permettere a un modello di intelligenza artificiale di clonare la tua voce con l'ottantacinque percento di precisione. Non è fantascienza: è tecnologia disponibile, gratuita, open source, alla portata di chiunque abbia un portatile e una connessione. In Italia le truffe con deepfake vocali hanno colpito oltre quattro milioni di persone, per un totale di cinquecentosessanta milioni di euro rubati. Il meccanismo è semplice: si prende un campione della voce da un vocale, un video social o una riunione registrata. Si genera una copia sintetica. E poi si chiama qualcuno che ti conosce — chiedendo soldi, dati, un bonifico urgente. La voce è la tua, il tono è il tuo, perfino le pause tra le parole sono le tue. Chi risponde non ha motivo di dubitare. E la fascia più colpita non sono gli anziani: sono i venticinque-quarantaquattrenni, quelli che con la tecnologia ci vivono ogni giorno. L'attacco si chiama vishing — voce più phishing — e l'intelligenza artificiale ne ha abbattuto il costo a praticamente zero, trasformando una truffa artigianale in un'operazione industriale. La normativa europea prevede l'obbligo di watermarking sui contenuti generati da AI, ma chi usa la clonazione per truffare probabilmente non applicherà nessun marcatore. Il punto è questo: La voce non è più una prova di identità. Se si clona in tre secondi, fidarsi dell'orecchio non basta — nemmeno per le banche che usano il riconoscimento vocale. Ogni audio che pubblichi online è un campione utilizzabile. Saperlo non significa vivere nel panico, ma capire che la tua voce digitale ha un valore che non hai scelto di darle. Il problema non è la tecnologia — che serve anche a doppiare film, restituire la voce a chi l'ha persa, creare audiolibri. Il problema è l'uso. Esistono già "vaccini vocali" — filtri che rendono i tuoi audio inutilizzabili per i modelli di clonazione, senza cambiare il suono per chi ascolta. Fonti e approfondimenti Rapporto CRIF sulle frodi digitali in Italia Regolamento UE sull'Intelligenza Artificiale (AI Act) — sezione watermarking Paper "Transfer Learning from Speaker Verification to Multispeaker Text-To-Speech Synthesis" (Google) Progetto AntiFake — Università di Washington ⠀ ⠀

Ogni smartphone venduto in Europa porta un'etichetta di riparabilità. Una lettera dalla A alla E, basata su sei fattori: dalla facilità di smontaggio alla disponibilità di pezzi di ricambio e aggiornamenti software. Il regolamento europeo impone anche che i pezzi di ricambio restino disponibili per almeno sette anni e gli aggiornamenti software per almeno cinque. Un iPhone sedici, su iFixit, prende sette su dieci. Sembra un buon voto. Eppure chi ha provato a farlo riparare da un tecnico indipendente sa che la realtà è diversa. Il motivo ha un nome: part pairing. I produttori usano il software per associare ogni componente al dispositivo con un codice seriale univoco. Se un tecnico sostituisce lo schermo con un pezzo fisicamente identico ma non registrato dal centro autorizzato, il telefono può disabilitare funzioni come il riconoscimento facciale, mostrare avvisi permanenti nelle impostazioni o rifiutarsi di riconoscere il componente. Il punteggio dice "riparabile." Il software dice "non da chiunque." E c'è un paradosso: tra i sei fattori dell'etichetta europea c'è la disponibilità di aggiornamenti software, e su quel criterio i grandi produttori prendono voti alti perché garantiscono aggiornamenti per anni. Ma usano lo stesso software per impedire le riparazioni indipendenti. Lo strumento che alza il voto è lo stesso che blocca il diritto che quel voto dovrebbe garantire. Il punto è questo: L'etichetta di riparabilità europea è un passo avanti importante, ma misura il potenziale di riparazione, non l'esperienza reale di chi ripara fuori dai canali ufficiali Il part pairing permette ai produttori di ottenere un buon voto e allo stesso tempo rendere la riparazione indipendente quasi impossibile Il software viene usato in due modi opposti: per garantire aggiornamenti (alzando il punteggio) e per bloccare chi ripara senza autorizzazione Prima di comprare un telefono, chiediti: se si rompe, posso farlo riparare dove voglio senza perdere funzionalità? Fonti e approfondimenti iFixit — Punteggi di riparabilità smartphone (ifixit.com) European Commission JRC — EU repairability labels for electronics Regolamento EU Ecodesign 2023/1670 — Smartphone e tablet repair.eu — Repairability labels, spare parts and longer support ⠀ ⠀

I tuoi account non vengono hackerati da un genio con il cappuccio. Vengono hackerati da un bot che compra le tue vecchie password per meno di un dollaro su un marketplace online e le prova su tutti i tuoi servizi in pochi secondi. Si chiama credential stuffing ed è il primo vettore di attacco informatico al mondo, più diffuso persino del phishing. Un singolo database conteneva sedici miliardi di credenziali rubate: quasi il doppio della popolazione mondiale. Ogni mese vengono effettuati ventisei miliardi di tentativi automatizzati — non da persone, da bot che girano ventiquattr'ore su ventiquattro. In Italia, otto milioni e settecentomila persone hanno subito una compromissione dei propri account, e il gruppo più vulnerabile è quello tra i venticinque e i trentaquattro anni. La password è nata negli anni Sessanta come soluzione per quattro persone che condividevano un computer. Oggi l'utente medio ne gestisce un centinaio, e il cervello umano non è fatto per memorizzarle. Così scegliamo la scorciatoia: una password, ovunque. Ed è esattamente la falla su cui si costruisce un'intera economia criminale. Il punto è questo: La tua password è quasi certamente già stata rubata e messa in vendita. Non è questione di se, ma di quante volte. L'autenticazione a due fattori blocca la maggior parte dei bot. Attivarla è la singola azione più utile che puoi fare. I password manager risolvono il problema alla radice: una password diversa per ogni servizio, senza doverle ricordare. Le aziende preferiscono un sistema vulnerabile a uno scomodo, perché ogni passaggio in più nel login significa utenti persi. Fonti e approfondimenti Facile.it/mUp Research — Indagine sulla sicurezza digitale degli italiani Brightdefense/Gitnux — Report globale su violazioni dati e credential stuffing ⠀ ⠀

Cerchi qualcosa su Google, la risposta è già lì in cima alla pagina — e tu non clicchi più su niente. Ma quella risposta è costruita con il lavoro di chi hai appena smesso di visitare. Le AI Overviews di Google riassumono i contenuti di altri siti direttamente nella pagina di ricerca, eliminando il bisogno di cliccare. Per gli utenti è comodo, per chi produce quei contenuti è un disastro: studi indipendenti di Authoritas e Similarweb mostrano crolli del traffico organico fino al sessanta percento sulle ricerche informative, con le testate italiane che perdono tra il trenta e il quaranta percento delle visite dopo l'attivazione di AI Mode. Solo l'otto percento degli utenti clicca su una fonte dopo aver letto un AI Overview — tutti gli altri prendono la risposta come un fatto e vanno avanti. Il paradosso è che Google ha addestrato la sua intelligenza artificiale proprio sui contenuti di quei siti che ora sta svuotando. Ha mandato i suoi crawler a leggere milioni di pagine — articoli, guide, recensioni, inchieste — per addestrare l'AI che adesso risponde al posto loro. Un trasferimento di valore silenzioso, da chi produce informazione a chi la redistribuisce. E quando gli editori provano a bloccare i crawler di Google per proteggere i propri contenuti, perdono visibilità anche nella ricerca normale: una trappola senza via d'uscita. Nel frattempo, i grandi editori negoziano accordi individuali con Google per licenziare i propri contenuti all'AI. I piccoli — blog, testate locali, giornalisti freelance — restano fuori, senza compenso e senza potere negoziale. Il punto è questo: Il web si reggeva su uno scambio implicito: Google portava traffico ai siti, i siti guadagnavano dalla pubblicità. AI Overview rompe quello scambio e si tiene il valore Meno traffico significa meno risorse per le redazioni, meno giornalisti, meno contenuti verificati — e un'AI che avrà sempre meno materiale buono da cui pescare Google non è più un intermediario: è l'unico punto di accesso all'informazione per chi non clicca oltre la prima risposta I grandi editori trattano accordi privati. I piccoli restano fuori, senza compenso e senza voce al tavolo Fonti e approfondimenti Authoritas — studio sull'impatto delle AI Overviews sul CTR organico Similarweb — analisi del traffico organico ai siti di news europei Pew Research — indagine sul comportamento degli utenti con AI Overview ⠀ ⠀

Un euro, cento gemme. Sembra un rapporto onesto — finché non provi a comprare qualcosa. Nei free-to-play come Clash Royale, Brawl Stars e Genshin Impact, i tuoi soldi vengono convertiti in una valuta interna — gemme, cristalli, Primogem — e poi spesi in pacchetti che non corrispondono mai a quello che ti serve. Compri cento gemme, ne usi settanta, te ne avanzano trenta. Il prossimo acquisto ne richiede centocinquanta. Tocca comprarne altre cento. E il ciclo ricomincia. Si chiama inflazione di design: i pacchetti sono tarati apposta per generare un residuo che ti tiene agganciato. Non è un bug, è il modello di business. Un modello che vale oltre novantuno miliardi di dollari e che copre il settantotto percento di tutto il gaming su mobile. L'AGCM ha iniziato a contestare questo sistema, multando Mihoyo per due virgola uno milioni di euro per le pratiche commerciali scorrette legate alle valute virtuali di Genshin Impact. In questo episodio smontiamo il meccanismo pezzo per pezzo: dalla valuta intermedia che funziona come le fiches del casinò e disattiva il confronto con il prezzo reale, ai pacchetti asimmetrici progettati per lasciarti sempre un residuo, fino al paradosso della trasparenza informata — quando il giocatore conosce la trappola e ci casca comunque. Perché il problema non è solo quanto spendi, ma il fatto che il sistema è costruito perché tu non riesca mai a calcolare quanto stai spendendo davvero. Il punto è questo: Il residuo di gemme che avanza dopo ogni acquisto non è uno scarto: è il gancio psicologico che ti riporta allo store, ogni volta I pacchetti usano il price anchoring: il prezzo per gemma migliore coincide sempre con la spesa più alta in assoluto L'utente medio italiano che paga spende circa quarantasette euro al mese in microtransazioni — per oggetti che non esistono, in giochi tecnicamente "gratis" La consapevolezza non protegge: chi riconosce il meccanismo continua a spendere, perché il design sfrutta anche la sensazione di "fare un affare" Fonti e approfondimenti AGCM, provvedimento PS12211 — multa a Mihoyo per Genshin Impact Newzoo, Global Games Market Report — mercato globale free-to-play Sensor Tower, State of Mobile Gaming — spesa media utenti italiani ⠀ ⠀

Anthropic — il laboratorio dietro Claude, rivale diretto di ChatGPT — ha aperto la sua sesta sede europea a Milano. Non a Berlino, non ad Amsterdam, non a Stoccolma: a Milano. Una scelta che racconta molto di più di un semplice ufficio nuovo. L'Europa è la regione che cresce più velocemente per Anthropic, con ricavi aumentati di nove volte in un anno. E Milano è la scommessa più recente. Perché un'azienda che vale decine di miliardi di dollari, con sedi già a Londra, Dublino, Parigi, Zurigo e Monaco, ha deciso di scommettere proprio sull'Italia? La risposta non è romantica. Non c'entra il cibo, non c'entra la bellezza. C'entra il tessuto industriale — manifattura, moda, design, energia, banche — che ha un bisogno enorme di intelligenza artificiale e non sa ancora come integrarla. C'entra il fatto che l'Italia è la capitale mondiale del design industriale, e il design è uno dei settori dove l'AI generativa sta cambiando tutto. C'entra un quadro normativo che, contro ogni aspettativa, attrae i laboratori di frontiera invece di spaventarli. E c'entra il segnale che le istituzioni italiane stanno mandando: l'AI può aggiungere più di un punto percentuale di produttività all'anno, se adottata in fretta. Ma c'è anche un lato meno ovvio. Quando un laboratorio apre un ufficio in un paese europeo, non cerca solo clienti: cerca influenza sulle regole che l'Europa sta scrivendo per il mondo intero. Il punto è questo: L'Italia non è più solo spettatrice nell'AI: i laboratori di frontiera stanno arrivando fisicamente, e con loro arrivano posti di lavoro qualificati nel settore tech L'ecosistema italiano sta passando dai chatbot agli agenti di intelligenza artificiale — software che non chiacchiera, ma lavora e prende decisioni in autonomia La scelta di Milano è industriale e normativa: il design italiano e la regolamentazione chiara sono diventati un vantaggio competitivo reale I giganti globali non scelgono l'Italia per romanticismo — la scelgono perché il gioco è cambiato e le caratteristiche italiane adesso servono Fonti e approfondimenti Anthropic — comunicato apertura sede Milano Banca d'Italia — Considerazioni Finali del Governatore Analisi espansione europea Anthropic ⠀ ⠀