{"id":15667,"date":"2018-01-03T08:31:39","date_gmt":"2018-01-03T07:31:39","guid":{"rendered":"https:\/\/www.davidpuente.it\/blog\/?p=15667"},"modified":"2018-01-03T08:33:04","modified_gmt":"2018-01-03T07:33:04","slug":"effetto-r0gue_0-hack5stelle-il-provvedimento-del-garante","status":"publish","type":"post","link":"https:\/\/www.davidpuente.it\/blog\/2018\/01\/03\/effetto-r0gue_0-hack5stelle-il-provvedimento-del-garante\/","title":{"rendered":"Effetto R0gue_0 e hack5stelle: il provvedimento del Garante e la profilazione dei votanti"},"content":{"rendered":"

Il 2017 dei siti del Movimento 5 Stelle \u00e8 stato caratterizzato dal cosiddetto “hack5stelle<\/a><\/em>” e dalle falle di sicurezza di cui erano stato avvisati molti anni prima. Durante il corso dell’estate era stata aperta un’istruttoria in seguito alla violazione da parte di R0gue_0<\/a> dei siti e la successiva diffusione di informazioni che dovevano essere tutelati dai diretti interessati, il 21 dicembre 2017 arriva il provvedimento del Garante<\/a> dove vengono riportate le illiceit\u00e0 relative al trattamento dei dati personali. Partiamo dall’introduzione utile a far comprendere a chi non conosce la storia (ricostruita gi\u00e0 nei miei articoli<\/a>) come \u00e8 nata e perch\u00e9:<\/p>\n

Nel primi giorni del mese di agosto 2017 si \u00e8 avuta notizia di un attacco informatico ai danni della piattaforma tecnologica su cui si basa il c.d. “Sistema operativo 5 stelle”, il cui esito \u00e8 stato reso noto da un soggetto non identificato che ha annunciato tale violazione mediante una serie di messaggi diffusi sulla rete Twitter utilizzando lo pseudonimo “rogue0”; con tale identificativo dell’utenza sono apparsi sulla piattaforma social citata, a partire dal 3 agosto 2017, dati personali di iscritti o simpatizzanti del Movimento 5 Stelle, asseritamente estratti dal database anagrafico della “piattaforma Rousseau”.<\/p>\n

La notizia ha avuto un immediato risalto mediatico \u2013 alimentato anche dall’imminenza della votazione on-line per la scelta del “candidato premier del Movimento 5 Stelle” \u2013 e hanno fatto seguito ulteriori segnalazioni, con cui alcuni cittadini lamentavano le vulnerabilit\u00e0 della predetta piattaforma informatica.<\/p>\n

Successivamente, proprio in concomitanza con le predette primarie, sono pervenute all’Ufficio ulteriori segnalazioni da parte di soggetti che erano gi\u00e0 intervenuti in rete sull’argomento, con le quali veniva evidenziata la debolezza delle misure di sicurezza nel frattempo predisposte dai gestori dei sistemi interessati per sanare i problemi sino a quel momento evidenziati. Si fa riferimento, in particolare, allo stesso utente “rogue0” che, trascorsi diversi giorni dalla prima pubblicazione, sosteneva di aver inserito dei post sul sito www.movimento5stelle.it impersonando altri utenti iscritti che ne apparivano, quindi, autori, e di aver effettuato, parimenti, il login sul sito www.beppegrillo.it utilizzando le credenziali di altri utenti su di esso registrati (tra i quali, anche alcuni deceduti).<\/p><\/blockquote>\n

I responsabili del trattamento dei dati personali<\/h3>\n

Viene posta con chiarezza, attraverso le dichiarazioni di Davide Casaleggio presso il Garante, chi sono i responsabili del trattamento nei rispettivi siti (Movimento5stelle.it, Rousseau.movimento5stelle.it,\u00a0Blogdellestelle.it e Beppegrillo.it)<\/p>\n

Sulla base di quanto dichiarato dal dott. Davide Casaleggio, \u00e8 emerso che:<\/p>\n

1) con riferimento al blog www.beppegrillo.it, nonch\u00e9 al portale www.movimento5stelle.it e alla piattaforma informatica https:\/\/rousseau.movimento5stelle.it, il titolare del trattamento \u00e8 Giuseppe Piero Grillo, detto Beppe Grillo, il quale ha provveduto a nominare l’Associazione Rousseau quale responsabile del trattamento<\/strong>, con atto di nomina del 25 aprile 2016 (cfr. all. 3 al verbale del 5 ottobre 2017);<\/p>\n

2) con riferimento al sito www.blogdellestelle.it, il titolare del trattamento \u00e8 l’Associazione Rousseau<\/strong>.<\/p><\/blockquote>\n

Il Garante riporta una prima illiceit\u00e0 in merito alla mancata nomina come responsabili del trattamento di due societ\u00e0, la\u00a0Wind Tre S.p.a. e ITNET s.r.l., che operano\u00a0“le funzioni sistemistiche<\/em>” dei siti:<\/p>\n

Al riguardo, si evidenzia che la mancata designazione delle societ\u00e0 Wind Tre S.p.A. e ITNET s.r.l. quali responsabili del trattamento dei dati personali degli utenti dei diversi siti riferibili al Movimento 5 Stelle, configura l’illiceit\u00e0 del trattamento medesimo in ragione della comunicazione dei dati a soggetti terzi, in mancanza del consenso degli interessati<\/strong>; pertanto, questa Autorit\u00e0, si riserva di verificare, con autonomo procedimento, la sussistenza dei presupposti per l’eventuale contestazione delle sanzioni amministrative di cui all’art. 162, comma 2bis del Codice.<\/p><\/blockquote>\n

In merito al sito\u00a0Movimento5stelle.it, l’informativa ex art. 13<\/a> riporta che “i dati personali degli scritti verranno condivisi soltanto con i Responsabili del trattamento<\/em>” e che “non verranno comunicati n\u00e9 diffusi a terzi<\/em>“. La mancata nomina tra i responsabili del trattamento delle due societ\u00e0 precedentemente indicate crea un ulteriore problema secondo il Garante:<\/p>\n

Nel testo dell’informativa, infatti, mentre da un lato si indica l’Associazione Rousseau quale responsabile del trattamento ai sensi dell’art. 29 del Codice (designata con atto datato 25 aprile 2016 e allegato al verbale dell’accertamento ispettivo del 5 ottobre 2017), dall’altro, non \u00e8 fatta menzione delle societ\u00e0 Wind Tre S.p.A. e ITNET s.r.l. cui i dati personali degli utenti vengono comunicati, ed \u00e8 anzi riportato che “i dati non verranno diffusi n\u00e9 comunicati a terzi”<\/strong> (cfr. par. 3).<\/p>\n

Pertanto, risultando la predetta informativa parzialmente inidonea rispetto al dettato normativo<\/strong> di cui all’art. 13, comma 1, lett. d) del Codice, l’Autorit\u00e0 si riserva di verificare, con autonomo procedimento, la sussistenza dei presupposti per l’eventuale contestazione della sanzione amministrativa di cui all’art. 161 del Codice.<\/p><\/blockquote>\n

La sicurezza informatica di Rousseau<\/h3>\n

Che gli attacchi siano stati effettuati non vi \u00e8 alcun dubbio, lo stesso Davide Casaleggio l’8 settembre 2017 aveva presentato denuncia in merito. Nel testo del provvedimento si conferma anche il furto dei dati personali degli iscritti:<\/p>\n

In risposta ad alcune richieste di informazioni formulate da questa Autorit\u00e0 – a partire dal 10 agosto 2017 – nei confronti della Casaleggio & Associati s.r.l. (soggetto cui inizialmente sembravano riferibili i trattamenti in questione), il dott. Davide Federico Casaleggio<\/strong>, legale rappresentante della predetta societ\u00e0 e che tuttavia, nella vicenda in esame, ha precisato di rispondere in qualit\u00e0 di legale rappresentante dell’Associazione Rousseau, con le note del 28 agosto e 21 settembre 2017, nel confermare che il sistema Rousseau e il blog www.beppegrillo.it avevano sub\u00ecto una intrusione nei rispettivi server (dai quali erano stati sottratti dati personali degli iscritti), ha comunicato di avere presentato un esposto presso gli Uffici della Polizia Postale e delle Comunicazioni di Milano<\/strong> (cui ha fatto seguito una denuncia querela presentata l’8 settembre 2017) e di avere intrapreso azioni volte a migliorare la sicurezza informatica dei sistemi, la cui capacit\u00e0 di “resistenza” ad attacchi malevoli \u00e8 stata oggetto di analisi e verifica da parte di tre societ\u00e0 specializzate impegnate in attivit\u00e0 di vulnerability assessment.<\/p><\/blockquote>\n

Il Garante riporta le evidenti vulnerabilit\u00e0 della piattaforma Rousseau a causa di un CMS obsoleto come Movable Type 4.31:<\/p>\n

a) il portale web del Movimento 5 Stelle e parte della piattaforma Rousseau sono stati realizzati avvalendosi di un prodotto software, il CMS Movable Type che, nella versione Enterprise 4.31-en, \u00e8 risultata affetta da indiscutibile obsolescenza tecnica<\/strong> (il produttore individuava nel 31 dicembre 2013 la data di “fine vita” delle versioni 4.3x). Il blog www.beppegrillo.it utilizza invece una versione del CMS Movable Type ancora pi\u00f9 risalente (versione 3.35), con la quale la registrazione delle password avveniva in chiaro.<\/p><\/blockquote>\n

Si conferma che gli “accorgimenti<\/em>” adottati in seguito alle prime intrusioni si sono rivelate inutili a causa delle obsolescenze dei CMS, oltre alla possibilit\u00e0 di decifrazione delle password:<\/p>\n

Le obsolescenze dei CMS<\/strong> (sistemi di gestione dei contenuti), oltre a esporre i dati personali trattati a rischi di accesso abusivo (rischi derivanti dalle vulnerabilit\u00e0 informatiche gi\u00e0 note e segnalate dallo stesso produttore), ha condizionato l’efficacia di alcuni accorgimenti tecnici adottati successivamente dall’Associazione a seguito delle intrusioni informatiche<\/strong>; ad esempio il portale non realizzava policy efficaci sulla qualit\u00e0 delle password, ammettendo l’uso di password banali, facilmente esposte alla decifrazione e ad attacchi di tipo brute force anche in modalit\u00e0 interattiva online;<\/p><\/blockquote>\n

Le misure richieste per garantire la sicurezza<\/h3>\n

Il Garante ha richiesto, al fine di garantire le misure di sicurezza necessarie, i seguenti accorgimenti:<\/p>\n