Klaro. Tech

Sei al gate, il volo è in ritardo e compare una rete chiamata "Aeroporto Free WiFi", senza password. Ti colleghi al volo. Ma quella rete potrebbe non essere dell'aeroporto: potrebbe essere il portatile di chi ti siede accanto, che alla sua rete ha dato lo stesso identico nome. Si chiama "evil twin", gemello cattivo. Una rete aperta non chiede la password non perché è generosa, ma perché non verifica nessuno: né te verso di lei, né lei verso di te. È una porta senza serratura, da entrambi i lati. Chi la controlla si mette in mezzo tra te e internet e tiene una copia di quello che passa. Nel frattempo, per te, sembra tutto normale. La buona notizia: difendersi non richiede di diventare esperti. Quasi tutto quello che fai è cifrato (il lucchetto e "https"), la verifica in due passaggi tiene chiusa la porta anche se ti rubano la password, e una VPN trasforma la strada pubblica in un tunnel privato. Il punto è un altro: nessuna di queste difese te la accende il posto che ti offre il WiFi. Tocca a te. Il punto è questo: Una rete gratis e senza password non è più sicura: è solo più facile da imitare. Il nome della rete non garantisce nulla: il telefono si fida di un'etichetta, non di chi la gestisce. La verifica in due passaggi è ciò che rende una password rubata quasi inutile. Difendersi costa un secondo di attenzione, proprio dove di solito acceleriamo. Fonti e approfondimenti Garante per la protezione dei dati personali — garanteprivacy.it CSIRT Italia (Agenzia per la Cybersicurezza Nazionale) — csirt.gov.it ⠀ ⠀

Atterri all'estero, accendi i dati e arriva il messaggio rassicurante: sei in Europa, nessun sovrapprezzo. Poi apri una mappa e i Giga spariscono più in fretta del previsto. Come mai? In questo episodio smontiamo il roaming europeo pezzo per pezzo. C'è una formula, uguale per tutti, che decide quanti Giga puoi usare fuori dall'Italia: canone senza IVA, diviso per un numero fisso, moltiplicato per due. Quel numero è sceso, e così a parità di prezzo ti ritrovi qualche Giga in più. Bella notizia. Peccato per la clausola "fair use": quella riga in fondo al contratto che permette all'operatore di darti all'estero molto meno di quello che hai a casa. E appena esci dall'Unione Europea la protezione sparisce del tutto: una settimana di roaming tradizionale può costare come un weekend intero, mentre una eSIM se la cava con pochi euro. Il paradosso finale? Quei Giga in più non sono un regalo, ma la mossa difensiva degli operatori contro le eSIM che gli stavano portando via i clienti. Il punto è questo: Più Giga sulla carta non vuol dire più Giga da usare: la clausola "fair use" decide il tetto reale all'estero, ed è più basso di quello italiano. Dentro l'Unione di solito ti basta il tuo piano; fuori dall'Unione conviene quasi sempre una eSIM o una SIM locale. Il limite "fair use" cambia da operatore a operatore: stesso prezzo, tetti diversi. I Giga regalati non sono generosità, ma una risposta alla concorrenza delle eSIM. Fonti e approfondimenti TuttoAndroid — Roaming estero: più Giga e calo dei costi Aruba Magazine — Risparmio eSIM: confronto costi roaming Stato Quotidiano — Come avere internet in viaggio: eSIM, roaming o SIM locale ⠀ ⠀

Il tuo smartphone ha più di dieci sensori. Fotocamera e microfono li conosci — e ti chiedono il permesso prima di attivarsi. Ma accelerometro, giroscopio e magnetometro? Classificati come "non pericolosi", accessibili da qualsiasi app senza consenso, ventiquattro ore su ventiquattro. Il problema è che questi sensori innocui non sono affatto innocui. I ricercatori dell'Università di Newcastle hanno dimostrato che i dati dell'accelerometro bastano a decifrare il PIN del telefono con il settanta percento di precisione al primo tentativo. Non con un malware: con una semplice pagina web aperta nel browser. E non finisce qui. Il giroscopio riconosce la tua andatura. Il barometro sa a che piano ti trovi. Il magnetometro mappa le stanze dove il GPS non arriva. Facebook usa i sensori di movimento insieme a segnali wireless di prossimità per capire se due telefoni sono nella stessa stanza — senza consenso. Il punto è questo: Il modello di permessi del tuo telefono copre solo una parte dei sensori — il resto è un rubinetto sempre aperto che non puoi chiudere Non servono hacker sofisticati: una pagina web in JavaScript basta per leggere l'accelerometro e ricostruire un PIN Oltre sei miliardi di smartphone hanno questi sensori accessibili senza consenso, e la classificazione "non pericoloso" non è mai stata aggiornata La decisione su cosa fosse pericoloso è stata presa più di quindici anni fa, quando l'accelerometro serviva solo a ruotare lo schermo Fonti e approfondimenti ARMOUR US — ricerca su sensori e app finanziarie University of Newcastle — studio su decifrazione PIN via accelerometro (International Journal of Information Security) Wired — brevetto Facebook su tracciamento di prossimità via sensori e segnali wireless ⠀ ⠀

I cookie banner dovevano essere il tuo scudo digitale. Il GDPR ha dato all'Europa le regole più avanzate al mondo sulla protezione dei dati personali — e la risposta dell'industria pubblicitaria è stata un pulsante enorme, colorato e impossibile da perdere che dice "Accetta tutti", e uno minuscolo, grigio e nascosto per dire no. Non è un caso. È un design. Il risultato è un paradosso perfetto: gli europei spendono collettivamente 575 milioni di ore l'anno a interagire con questi banner — l'equivalente del lavoro a tempo pieno di 275.000 persone, per un costo economico stimato di 14 miliardi di euro. E tutto questo per un gesto che nella stragrande maggioranza dei casi non protegge nessuno: otto banner su dieci non rispettano nemmeno le regole che dovrebbero applicare. Caselle pre-selezionate, niente pulsante "Rifiuta", colori studiati per guidare la scelta. Si chiamano dark pattern, e sono ovunque. In questo episodio raccontiamo come ci siamo arrivati. Dalla direttiva ePrivacy al GDPR, passando per lo IAB e il framework standard dell'industria della pubblicità digitale — il design intenzionalmente ostile che rende il sì facile e il no un percorso a ostacoli. E perché la consent fatigue, la stanchezza da consenso, non è un effetto collaterale del sistema: è il meccanismo che lo tiene in piedi. Il punto è questo: La consent fatigue non è un bug — è il motore che fa funzionare l'intero sistema dei cookie banner, e si auto-rinforza a ogni click Le multe milionarie alle big tech sono l'equivalente di una multa per divieto di sosta a chi guida una Lamborghini: le paghi e parcheggi dove ti pare Il futuro della privacy potrebbe passare dal consent by design, gestito direttamente nel browser — ma i browser più usati al mondo li controlla chi vive di pubblicità In Italia solo un utente su quattro gestisce davvero le proprie scelte sui cookie — tra i dati peggiori in Europa Fonti e approfondimenti Legiscope 2025 — studio su 575 milioni di ore spese sui cookie banner in Europa CookieYes Cookie Consent Trends 2026 — dati per paese sulla gestione del consenso CNIL — sanzione a Google (325 milioni di euro) per consenso cookie non valido EDPB Guidelines 3/2022 on Dark Patterns in Social Media Platforms EU Digital Omnibus 2025 ⠀ ⠀

Mandi vocali su WhatsApp senza pensarci. Dieci, venti al giorno. Tre secondi di "arrivo tra poco", quattro secondi di "ti richiamo dopo." Roba normale, quotidiana, innocua. Ma quei tre secondi contengono abbastanza informazione da permettere a un modello di intelligenza artificiale di clonare la tua voce con l'ottantacinque percento di precisione. Non è fantascienza: è tecnologia disponibile, gratuita, open source, alla portata di chiunque abbia un portatile e una connessione. In Italia le truffe con deepfake vocali hanno colpito oltre quattro milioni di persone, per un totale di cinquecentosessanta milioni di euro rubati. Il meccanismo è semplice: si prende un campione della voce da un vocale, un video social o una riunione registrata. Si genera una copia sintetica. E poi si chiama qualcuno che ti conosce — chiedendo soldi, dati, un bonifico urgente. La voce è la tua, il tono è il tuo, perfino le pause tra le parole sono le tue. Chi risponde non ha motivo di dubitare. E la fascia più colpita non sono gli anziani: sono i venticinque-quarantaquattrenni, quelli che con la tecnologia ci vivono ogni giorno. L'attacco si chiama vishing — voce più phishing — e l'intelligenza artificiale ne ha abbattuto il costo a praticamente zero, trasformando una truffa artigianale in un'operazione industriale. La normativa europea prevede l'obbligo di watermarking sui contenuti generati da AI, ma chi usa la clonazione per truffare probabilmente non applicherà nessun marcatore. Il punto è questo: La voce non è più una prova di identità. Se si clona in tre secondi, fidarsi dell'orecchio non basta — nemmeno per le banche che usano il riconoscimento vocale. Ogni audio che pubblichi online è un campione utilizzabile. Saperlo non significa vivere nel panico, ma capire che la tua voce digitale ha un valore che non hai scelto di darle. Il problema non è la tecnologia — che serve anche a doppiare film, restituire la voce a chi l'ha persa, creare audiolibri. Il problema è l'uso. Esistono già "vaccini vocali" — filtri che rendono i tuoi audio inutilizzabili per i modelli di clonazione, senza cambiare il suono per chi ascolta. Fonti e approfondimenti Rapporto CRIF sulle frodi digitali in Italia Regolamento UE sull'Intelligenza Artificiale (AI Act) — sezione watermarking Paper "Transfer Learning from Speaker Verification to Multispeaker Text-To-Speech Synthesis" (Google) Progetto AntiFake — Università di Washington ⠀ ⠀

Ogni smartphone venduto in Europa porta un'etichetta di riparabilità. Una lettera dalla A alla E, basata su sei fattori: dalla facilità di smontaggio alla disponibilità di pezzi di ricambio e aggiornamenti software. Il regolamento europeo impone anche che i pezzi di ricambio restino disponibili per almeno sette anni e gli aggiornamenti software per almeno cinque. Un iPhone sedici, su iFixit, prende sette su dieci. Sembra un buon voto. Eppure chi ha provato a farlo riparare da un tecnico indipendente sa che la realtà è diversa. Il motivo ha un nome: part pairing. I produttori usano il software per associare ogni componente al dispositivo con un codice seriale univoco. Se un tecnico sostituisce lo schermo con un pezzo fisicamente identico ma non registrato dal centro autorizzato, il telefono può disabilitare funzioni come il riconoscimento facciale, mostrare avvisi permanenti nelle impostazioni o rifiutarsi di riconoscere il componente. Il punteggio dice "riparabile." Il software dice "non da chiunque." E c'è un paradosso: tra i sei fattori dell'etichetta europea c'è la disponibilità di aggiornamenti software, e su quel criterio i grandi produttori prendono voti alti perché garantiscono aggiornamenti per anni. Ma usano lo stesso software per impedire le riparazioni indipendenti. Lo strumento che alza il voto è lo stesso che blocca il diritto che quel voto dovrebbe garantire. Il punto è questo: L'etichetta di riparabilità europea è un passo avanti importante, ma misura il potenziale di riparazione, non l'esperienza reale di chi ripara fuori dai canali ufficiali Il part pairing permette ai produttori di ottenere un buon voto e allo stesso tempo rendere la riparazione indipendente quasi impossibile Il software viene usato in due modi opposti: per garantire aggiornamenti (alzando il punteggio) e per bloccare chi ripara senza autorizzazione Prima di comprare un telefono, chiediti: se si rompe, posso farlo riparare dove voglio senza perdere funzionalità? Fonti e approfondimenti iFixit — Punteggi di riparabilità smartphone (ifixit.com) European Commission JRC — EU repairability labels for electronics Regolamento EU Ecodesign 2023/1670 — Smartphone e tablet repair.eu — Repairability labels, spare parts and longer support ⠀ ⠀

I tuoi account non vengono hackerati da un genio con il cappuccio. Vengono hackerati da un bot che compra le tue vecchie password per meno di un dollaro su un marketplace online e le prova su tutti i tuoi servizi in pochi secondi. Si chiama credential stuffing ed è il primo vettore di attacco informatico al mondo, più diffuso persino del phishing. Un singolo database conteneva sedici miliardi di credenziali rubate: quasi il doppio della popolazione mondiale. Ogni mese vengono effettuati ventisei miliardi di tentativi automatizzati — non da persone, da bot che girano ventiquattr'ore su ventiquattro. In Italia, otto milioni e settecentomila persone hanno subito una compromissione dei propri account, e il gruppo più vulnerabile è quello tra i venticinque e i trentaquattro anni. La password è nata negli anni Sessanta come soluzione per quattro persone che condividevano un computer. Oggi l'utente medio ne gestisce un centinaio, e il cervello umano non è fatto per memorizzarle. Così scegliamo la scorciatoia: una password, ovunque. Ed è esattamente la falla su cui si costruisce un'intera economia criminale. Il punto è questo: La tua password è quasi certamente già stata rubata e messa in vendita. Non è questione di se, ma di quante volte. L'autenticazione a due fattori blocca la maggior parte dei bot. Attivarla è la singola azione più utile che puoi fare. I password manager risolvono il problema alla radice: una password diversa per ogni servizio, senza doverle ricordare. Le aziende preferiscono un sistema vulnerabile a uno scomodo, perché ogni passaggio in più nel login significa utenti persi. Fonti e approfondimenti Facile.it/mUp Research — Indagine sulla sicurezza digitale degli italiani Brightdefense/Gitnux — Report globale su violazioni dati e credential stuffing ⠀ ⠀

Cerchi qualcosa su Google, la risposta è già lì in cima alla pagina — e tu non clicchi più su niente. Ma quella risposta è costruita con il lavoro di chi hai appena smesso di visitare. Le AI Overviews di Google riassumono i contenuti di altri siti direttamente nella pagina di ricerca, eliminando il bisogno di cliccare. Per gli utenti è comodo, per chi produce quei contenuti è un disastro: studi indipendenti di Authoritas e Similarweb mostrano crolli del traffico organico fino al sessanta percento sulle ricerche informative, con le testate italiane che perdono tra il trenta e il quaranta percento delle visite dopo l'attivazione di AI Mode. Solo l'otto percento degli utenti clicca su una fonte dopo aver letto un AI Overview — tutti gli altri prendono la risposta come un fatto e vanno avanti. Il paradosso è che Google ha addestrato la sua intelligenza artificiale proprio sui contenuti di quei siti che ora sta svuotando. Ha mandato i suoi crawler a leggere milioni di pagine — articoli, guide, recensioni, inchieste — per addestrare l'AI che adesso risponde al posto loro. Un trasferimento di valore silenzioso, da chi produce informazione a chi la redistribuisce. E quando gli editori provano a bloccare i crawler di Google per proteggere i propri contenuti, perdono visibilità anche nella ricerca normale: una trappola senza via d'uscita. Nel frattempo, i grandi editori negoziano accordi individuali con Google per licenziare i propri contenuti all'AI. I piccoli — blog, testate locali, giornalisti freelance — restano fuori, senza compenso e senza potere negoziale. Il punto è questo: Il web si reggeva su uno scambio implicito: Google portava traffico ai siti, i siti guadagnavano dalla pubblicità. AI Overview rompe quello scambio e si tiene il valore Meno traffico significa meno risorse per le redazioni, meno giornalisti, meno contenuti verificati — e un'AI che avrà sempre meno materiale buono da cui pescare Google non è più un intermediario: è l'unico punto di accesso all'informazione per chi non clicca oltre la prima risposta I grandi editori trattano accordi privati. I piccoli restano fuori, senza compenso e senza voce al tavolo Fonti e approfondimenti Authoritas — studio sull'impatto delle AI Overviews sul CTR organico Similarweb — analisi del traffico organico ai siti di news europei Pew Research — indagine sul comportamento degli utenti con AI Overview ⠀ ⠀