Proteggere i dati personali

La risposta a «Come si chiamava il tuo primo animale?» è spesso a una didascalia di foto pubblica di distanza, ed è per questo che il NIST ora vieta ai servizi di proporre domande di sicurezza quando imposti una password.

Quattro post che sembrano innocui uno per uno

Ecco una storia inventata. Minji, una studentessa delle superiori, pubblica quattro cose in un mese: un selfie con la divisa della scuola, una torta di compleanno con la data scritta sopra, una foto del suo cane con il nome nella didascalia e un breve video dalla stessa fermata dell'autobus ogni mattina. Nessuno sembra rischioso. Insieme, però, si sommano. Messi uno accanto all'altro, dicono a uno sconosciuto la sua scuola, il suo percorso quotidiano, il suo compleanno e la risposta a «Come si chiamava il tuo primo animale?»

Come la legge coreana definisce i dati personali

I dati personali sono qualsiasi informazione su una persona vivente che la identifica. La legge coreana sulla protezione dei dati personali (Personal Information Protection Act) li definisce in modo da includere informazioni che da sole non identificano qualcuno ma lo fanno quando si combinano facilmente con altre informazioni, che è proprio la situazione di Minji. Nome, numero di telefono e numero di registrazione dei residenti sono gli esempi ovvi. Quelli meno ovvi si sommano: il nome di una scuola, un percorso quotidiano, una foto della porta di casa, un compleanno. Ciascuno sembra innocuo da solo. Insieme possono bastare per indovinare le risposte di sicurezza, spacciarsi per qualcuno con un operatore telefonico o trovare dove abita.

Dare meno nei moduli, nei post e nelle foto

La protezione più semplice è dare meno. Prima di compilare un modulo, chiediti se il servizio ha davvero bisogno di ogni campo; molti campi sono facoltativi anche quando non lo dicono. Sui social, controlla chi può vedere i tuoi post e la tua lista di amici, e pensaci due volte prima di pubblicare i programmi di viaggio mentre sei via, le divise scolastiche dei bambini o qualsiasi cosa che mostri il tuo indirizzo. Le fotocamere dei telefoni possono salvare il luogo in cui è stata scattata una foto dentro il file dell'immagine, quindi controlla l'impostazione della posizione della fotocamera e se l'app con cui condividi la rimuove.

Le app chiedono autorizzazioni come posizione, contatti, microfono e foto. Concedi solo ciò che un'app richiede per l'uso che ne fai: un'app torcia non ha motivo di leggere i tuoi contatti. Quasi tutti i telefoni permettono di consentire la posizione solo mentre l'app è aperta, o di dare una posizione approssimativa invece di quella esatta. Ricontrolla ogni tanto le autorizzazioni e rimuovi le app che non usi più, perché un'app abbandonata conserva tutto ciò che le hai concesso.

Perché la domanda sull'animale è una serratura debole

Le domande di sicurezza chiedono fatti spesso pubblici o facili da indovinare, come mostra il cane di Minji. Il NIST SP 800-63B-4 dice che i servizi non devono proporti di usarle quando scegli una password. Se un sito insiste comunque, tratta la risposta come una password: inventa una risposta casuale e conservala nel tuo gestore di password. Sul Wi-Fi pubblico, cerca https:// nella barra degli indirizzi. HTTPS cifra quello che invii a quel sito, così le altre persone sulla rete non possono leggerlo, ma non rende onesto un sito disonesto. Evita di accedere ad account delicati su un computer condiviso, ed esci quando hai finito.

Quando un'azienda ti dice che i tuoi dati sono trapelati

Se un servizio ti dice di aver subito una violazione, cambia la password lì e ovunque l'hai riutilizzata, e attiva l'accesso in due passaggi. Aspettati phishing che parla della violazione, perché i criminali sanno che stai aspettando notizie; contatta l'azienda solo tramite la sua app o il suo sito. In Corea il centro della KISA per le segnalazioni di violazione dei dati personali (privacy.kisa.or.kr) riceve segnalazioni e domande, e la linea 118 dà consigli generali sui dati personali nei giorni feriali dalle 9 alle 18, mentre alle emergenze di hacking e virus risponde 24 ore su 24.