Matthias Marx, un ricercatore tedesco attivo nel campo della sicurezza, ha comprato alcuni dispositivi per il rilevamento di dati biometrici su eBay e all’interno ha trovato migliaia di file contenenti dati sensibili. Soprattutto di cittadini afghani e iracheni, raccolti sul campo nel corso degli anni dalle truppe statunitensi. In molti casi terroristi noti ai servizi di sicurezza, in altri persone comuni fermate ai checkpoint, in altri ancora collaboratori dell’esercito.

Impronte digitali, scansioni dell’iride, immagini e ovviamente nomi e annotazioni individuali: tutto finito in vendita sulla popolare piattaforma di commercio online e aggiudicato per 68 dollari, contro i 149,95 richiesti dall’inserzionista. Una leggerezza scandalosa riportata dal New York Times e che avrebbe rischiato, se quei dispositivi fossero finiti nelle mani sbagliate, di creare non pochi problemi agli individui censiti.

Il caso

Morire per un videogioco (o per lo streaming): cos’è lo swatting e come funziona

di Emanuele Capone 18 Agosto 2022

I dati di 2632 persone, da Kandahar a eBay

La memory card del dispositivo principale protagonista dell’incredibile vicenda, grosso come una scatola delle scarpe e noto come Secure Electronic Enrollment Kit (in sigla, Seek II) conteneva le informazioni di 2632 persone. Il suo ultimo utilizzo è stato rilevato dai metadati memorizzati: estate del 2012 a Kandahar, seconda città afghana. Questa sorta di residuato bellico contemporaneo proviene dal vasto assortimento di dispositivi costruiti dal Pentagono negli anni a partire dagli attacchi dell’11 settembre 2001. Come sia finito in vendita su eBay, partendo dalle strade della cittadina afghana, e quali percorsi abbia affrontato, non è del tutto noto. Un reporter dell’NYT è stato autorizzato dal ricercatore a consultare il database di persona, anche perché i dati non verranno ovviamente resi pubblici in altri modi proprio per evitare conseguenze o ritorsioni verso vecchi collaboratori degli Stati Uniti.

"Poiché non abbiamo esaminato le informazioni contenute sui dispositivi, il dipartimento non è in grado di confermare l'autenticità dei presunti dati o di commentarli in altro modo - ha spiegato il generale di brigata Patrick S. Ryder, addetto stampa del dipartimento della Difesa - Il dipartimento richiede che tutti i dispositivi che si ritiene contengano informazioni di identificazione personale vengano restituiti per ulteriori analisi". Insomma, il ricercatore tedesco dovrebbe restituire la valigetta a Fort Belvoir, nello Stato della Virginia, al reparto che si occupa del programma biometrico.

In quali situazioni sono stati raccolti quei dati

Come detto, i dati biometrici sul Seek II sono stati raccolti in diverse situazioni: nelle strutture di detenzione, durante i pattugliamenti o nel corso dei controlli per le assunzioni del personale locale nell’amministrazione pubblica o dopo l'esplosione di ordigni. D’altronde, il Times ha ricordato che nel periodo in cui il dispositivo è stato impiegato l'ultima volta in Afghanistan, lo sforzo bellico americano era agli sgoccioli: Osama bin Laden era stato ucciso in Pakistan un anno prima e la sua identità poi confermata utilizzando la tecnologia di riconoscimento facciale. In quel periodo, dispositivi come quello finito su eBay servivano in particolare per individuare possibili talpe talebane all’interno delle basi e degli organici della polizia e dell’ormai disciolto esercito afghano.

Com’è fatto il Seek II

Il Seek II sfoggia un piccolo display, un’altrettanto piccola tastiera e un microscopico mouse pad. C’è poi un lettore di impronte digitali e, una volta aperto, consente di scansionare l’iride o scattare semplici foto. All’accensione, operata dal nuovo proprietario, il dispositivo ha richiesto il collegamento a un server dell’US Special Operations Command per caricare “i nuovi dati biometrici raccolti”. Tutto come se si fosse ancora nel 2012, insomma.

La ricerca del Chaos Computer Club

Ma perché Marx era alla ricerca di simili attrezzature? Per studiarle, capirne le vulnerabilità o le problematiche intrinseche, tutto all’interno di un progetto condotto con un gruppo di ricercatori del celebre Chaos Computer Club di Berlino. Ne hanno comprati 6 (compresi anche due modelli Hiide, cioè Handheld Interagency Identity Detection Equipment) anche sull’onda di una preoccupazione legata proprio all’Afghanistan: molti di questi device, come d’altronde mezzi e oggetti di vario tipo, sono rimasti nel Paese e nelle mani del restaurato regime talebano dopo la rovinosa ritirata di quel che rimaneva del contingente statunitense nel corso dell’agosto del 2021.

L’obiettivo del gruppo di ricercatori era proprio capire se i talebani possano ottenere dai dispositivi dati biometrici di persone che nel tempo hanno aiutato gli Stati Uniti, mettendole a rischio. E per ironia della sorte quei dati, senza alcun genere di protezione crittografica, se li sono ritrovati sulla scrivania di casa. In particolare in due Seek II, il secondo utilizzato l’ultima volta nel 2013 in Giordania e con dentro solo un ristretto database di scansioni e impronte di un gruppo di militari statunitensi, raccolte probabilmente durante un’esercitazione (come quella visibile in questo video), come confermato da un ufficiale dei servizi segreti contattato dal quotidiano.

Novità

Nella guerra tra Usa e Cina, i droni di DJI finiranno come gli smartphone Huawei?

di Andrea Nepori 18 Ottobre 2022

Il Pentagono: “Dispositivi che andrebbero distrutti sul posto”

Insomma, questi aggeggi non sarebbero mai dovuti finire in commercio, tanto meno quello di seconda mano in cui è specializzata eBay. Secondo la Defense Logistics Agency, che si occupa (evidentemente con non poche falle) della gestione dei costosi dispositivi in eccesso che ogni anno vengono dismessi dal Pentagono, questi apparecchi dovrebbero essere distrutti sul posto quando non servono più, come d’altronde altri device elettronici. E invece il Seek II zeppo di informazioni è finito nelle mani della Rhino Trade, una società texana che a sua volta ha spiegato di averlo ottenuto a un’asta governativa, senza ovviamente avere contezza che potesse contenere dati sensibili. L’altro Seek II proveniva invece da Tech-Mart, un venditore eBay dell’Ohio che non ha fornito spiegazioni su come sia venuto in possesso di quello e di altri due simili scanner.

"La gestione irresponsabile di questa tecnologia ad alto rischio è incredibile - ha commentato l’involontario scopritore - ed è incomprensibile per noi che al produttore [HID Global, ndr] e ai militari che l’hanno usata non importi che i dispositivi contenenti dati sensibili vengano venduti online". Il ricercatore, che ha spiegato la surreale vicenda a un evento berlinese e poi cancellerà ogni dato, ha prontamente allertato il dipartimento della Difesa e la HID, che se ne è chiaramente lavata le mani: “Responsabilità di chi usa i dispositivi”. Alcuni dispositivi simili, che sembravano in vendita fino a pochi giorni fa, sono stati rimossi da eBay.