Lezioni di sicurezza senza sicurezza: come due signore venute dal mondo dei blocchi note online e degli opuscoli pubblicitari hanno messo in piedi un teatro mondiale della «protezione»

Lei scorre il sito di TradingView fino in fondo e, proprio sotto la riga «© 2026 TradingView, Inc.», Le saltano all’occhio due enormi pulsanti dalle cornici severe: SOC 2 Compliant con il sigillo rotondo e GDPR Compliant circondato dalle stelline dell’Unione europea. L’effetto è monumentale: si prova subito rispetto per i rigorosissimi addetti alla sicurezza della piattaforma. Per pura curiosità clicca su quei badge, per vedere come sia stata forgiata questa armatura inespugnabile, e finisce sulla pagina trust.tradingview.com.

Ed è qui, appena si comincia a scavare, che si spalanca un’assurdità da non sapere se ridere o piangere.

In vetrina fanno bella mostra i badge SOC 2, PCI DSS 4.0.1, GDPR e DORA, e accanto ticchetta allegro un indicatore verde: «Updated 4 minutes ago», come a dire: quattro minuti fa abbiamo controllato tutte le serrature, il confine è sbarrato. Sotto sono schierati venti solidi punti di protezione dell’infrastruttura: accesso ai server rigorosamente tramite chiavi crittografiche, reti separate, cifratura attiva, sistema di rilevamento delle intrusioni che non dorme mai.

Comincia a guardare meglio i dettagli, e la colonna con lo stato reale dei controlli è semplicemente vuota. I report veri e propri sono nascosti dietro il pulsante «Richiedi accesso», dove nessuno farà entrare il primo che passa per strada. Ma la cosa più comica non è nemmeno questa: nessuno dei venti minacciosi punti della pagina è stato scritto dagli ingegneri di TradingView. L’intera «fortezza» è stata generata di sana pianta, a partire da un modello preconfezionato, da un’agenzia americana esterna chiamata Vanta.

Per dimostrare che in casa non ci sono ladri, faccia entrare degli estranei in ogni camera da letto

Come funziona questo business? Nel mondo aziendale ai servizi si chiede un pezzo di carta firmato da un revisore: proprio quel certificato SOC 2. Un tempo, per ottenerlo, bisognava sopportare per mesi in ufficio ispettori in carne e ossa che frugavano svogliati nelle impostazioni dei server. Poi è arrivata Vanta e ha offerto al settore un trucchetto geniale: «Non deve raccogliere nulla a mano. Colleghi il nostro software alla Sua azienda, noi spuntiamo in background le caselle per il revisore e, già che ci siamo, Le disegniamo sul sito una bella vetrina con i badge».

E adesso guardi bene le mani del prestigiatore. Per appendere nel footer del sito un fiero pulsante «Non lasciamo avvicinare nessuno ai Suoi dati», l’azienda fa entrare volontariamente una ditta estranea sotto il proprio cofano. Concede ai server di Vanta l’accesso alla propria infrastruttura cloud (AWS, Google Cloud), al codice sorgente su GitHub, alla posta aziendale e al database del personale con gli elenchi di tutti i dipendenti. Non solo: sul portatile di lavoro di ogni programmatore e amministratore viene installato d’ufficio un programma spia di Vanta, che controlla giorno e notte se sul computer è attiva una password, se l’antivirus funziona e se l’aggiornamento è stato scaricato.

Formalmente l’accesso è «in sola lettura»: lo script di un altro non Le cancellerà il database da solo. In compenso, sui server dell’agenzia esterna si compone con cura una mappa radiografica completa dell’azienda: le planimetrie di tutta la rete, nomi ed e-mail di tutti gli ingegneri, i modelli dei loro portatili e un elenco aggiornato in tempo reale di tutte le vulnerabilità non corrette.

Compilatori di moduli al timone della sicurezza mondiale

Chi saranno mai, viene da chiedersi, quei durissimi geni della crittografia e veterani delle cyber-truppe a cui migliaia di aziende in tutto il mondo affidano le chiavi della propria cucina interna?

Apriamo le biografie dei vertici di Vanta e prendiamo i popcorn.

La fondatrice e inamovibile capa dell’azienda è Christina Cacioppo. Dove ha forgiato la sua leggendaria esperienza in sicurezza informatica? Nei laboratori segreti del Pentagono? Progettando la protezione dei sistemi centrali delle banche? No. La ragazza è andata a imparare a programmare, ha trafficato per un paio d’anni con piccoli progetti che non sono mai decollati e poi si è fatta assumere come product manager in Dropbox. E lì non si occupava nemmeno dell’archiviazione dei file o della cifratura dei dischi. L’apice della sua carriera è stato Dropbox Paper: un blocchetto per appunti online secondario per scrivere note a più mani dentro un servizio di condivisione file, della cui esistenza nove utenti Dropbox su dieci non sospettavano nemmeno. Mentre sfornava quel blocchetto, l’hanno costretta a compilare noiose tabelle per i revisori, e lei ha deciso che era molto più redditizio vendere ad altre aziende moduletti web per raccogliere in automatico quelle stesse tabelle.

Andiamo avanti: chi è la seconda grande signora su questa nave? La direttrice marketing Sarah Scharf. Questa signora arriva da Google, dove per sette anni si è occupata di «product marketing per privacy, sicurezza e Android». Rifletta sul ruolo in sé: questa persona non scriveva codice e non dava la caccia agli hacker, ma per sette anni ha confezionato favole pubblicitarie su quanto Google tenga alla Sua privacy, mentre la multinazionale raccoglieva un dossier su ogni abitante del pianeta.

Il resto della squadra è all’altezza: il direttore prodotto e tecnologia in passato gestiva componenti accessori e vetrine secondarie in GitHub, e il direttore finanziario arriva da Calendly, un sito che fa moduletti per prenotare una call nel calendario.

Ecco il dream team — la creatrice di un blocchetto per appunti nel cloud, un’addetta stampa di Google per la «privacy» e un contabile uscito da un calendario online — che oggi distribuisce standard di sicurezza al fintech mondiale.

Un guardiano in ciabatte e il paradosso dei venditori in ufficio

Ma la vera commedia comincia quando si guarda com’è organizzata la cucina interna degli stessi «controllori». L’azienda che custodisce le impronte delle vulnerabilità di migliaia di imprese altrui lavora ufficialmente in modalità «remote-first». Già nella primavera del 2022 scrivevano allegramente sul sito: «Lavoriamo con successo da qualsiasi luogo».

Se visita adesso la loro bacheca delle offerte di lavoro, su 83 posizioni 52 sono in full remote tra Stati Uniti, Canada, Regno Unito e Irlanda. E dal divano non lavorano affatto i disegnatori di icone:

• Sr. Manager, Security Operations (da remoto). Questa persona configura la protezione interna di Vanta e dirige la gestione degli attacchi hacker. Nell’annuncio gli promettono premurosamente «un rimborso per l’allestimento della postazione di lavoro a casa, internet domestico e cellulare». Il capo della difesa dagli attacchi informatici guida la difesa dal router di casa, offre la casa.
• Ingegnere del cloud governativo GovCloud (da remoto, con reperibilità per gli incidenti). L’unico requisito di sicurezza per lavorare con il settore pubblico è accedere al sistema «fisicamente dal territorio degli Stati Uniti». Da quale tavola calda sulla statale o da quale appartamento in affitto, di preciso, non importa a nessuno.
• Senior Engineer, Enterprise Resilience e Senior Security Engineer (da remoto). Anche le persone responsabili della tenuta della produzione, che nel testo dell’annuncio giurano di essere «custodi affidabili di dati sensibili», se ne stanno a casa.
• Staff Engineer, Program Structure & Trust (da remoto). E questa posizione se la segni a parte: questo specialista da remoto è responsabile del fatto che i dati segreti dei diversi clienti non si mescolino tra loro.

Sa qual è qui l’assurdità principale? I semplici addetti alle vendite a Londra e Dublino sono obbligati dai capi di Vanta ad andare in ufficio tre giorni a settimana. Cioè, persone che si limitano a telefonare ai clienti e a mostrare presentazioni devono stare sotto sorveglianza in un centro direzionale. Mentre gli ingegneri che custodiscono le chiavi della produzione e le mappe dell’infrastruttura di migliaia di aziende siedono in ciabatte nelle cucine di casa, circondati da parenti, vicini, corrieri e idraulici. E questo in un’epoca in cui le aziende IT americane smascherano a frotte falsi lavoratori da remoto: quando il colloquio in videochiamata lo sostiene un attore prestanome e il portatile aziendale finisce per posta dritto in una fattoria di hacker nordcoreani.

Quattro giorni con la patta spalancata

Dove porti una sicurezza firmata da creatrici di blocchetti e lavoratori da remoto sul Wi-Fi di casa, non c’è voluto molto a scoprirlo.

Si ricorda l’annuncio per l’ingegnere da remoto che deve controllare che i database delle diverse aziende non si mescolino? Nel maggio 2025 i compilatori di moduli di Vanta hanno rilasciato un aggiornamento difettoso e i dati segreti di alcuni clienti sono finiti, pari pari, nelle aree riservate di altri (report sull’incidente INC-868).

I segreti di centinaia di aziende si sono semplicemente rovesciati su schermi altrui. A degli estranei sono arrivati elenchi di dipendenti di altre aziende, i loro ruoli e, ciliegina sulla torta, le impostazioni della loro autenticazione a due fattori (MFA). Cioè un bigino pronto per un attacco: chi fa cosa e chi non ha attivato la protezione dell’account.

Ma tutta la portata di questo circo la rivelano due dettagli:

1. La falla è rimasta aperta per quattro giorni. Il decantato monitoraggio automatico di Vanta, che ogni quattro minuti disegna spunte verdi sui siti dei clienti, per quattro giorni non si è accorto, pur avendolo sotto il naso, che stava distribuendo i database altrui a vicini scelti a caso. L’errore è stato scoperto solo quando uno dei clienti, sbigottito, ha visto nella propria area riservata la cucina interna di un altro e ha scritto all’assistenza.
2. Una chutzpah da manuale. Quando la figuraccia è venuta a galla, i marketer di Vanta hanno pubblicato un report e, con la faccia più innocente del mondo, hanno definito la fuga dei dati di centinaia di aziende in mani altrui un incidente «non legato alla sicurezza» (non-security related). Vabbè, si sono scambiati un paio di database: l’importante è che le spunte nei report siano verdi!

Uno scudo di carta

Ecco quanto valgono davvero i minacciosi pulsanti SOC 2 Compliant e GDPR Compliant nel footer di un sito.

Una persona normale guarda questi badge e pensa che il suo servizio sia protetto come la valigetta nucleare. In realtà, per un pezzo di carta burocratico, le aziende si aprono da sole un buco nel proprio muro, riversano tutto lo schema della loro difesa in un’unica mangiatoia comune affidata a ex manager di appunti e pubblicità, e mettono a sorvegliare quella mangiatoia gente attaccata al router di casa, il cui software non riesce nemmeno ad accorgersi che per quattro giorni di fila sta distribuendo a destra e a manca i segreti degli altri.

Le lezioni di sicurezza senza sicurezza sono state imparate alla perfezione: il badge sul sito luccica, e cosa ci sia dietro la porta, meglio che nessuno lo sappia.

Al posto di un epilogo: chi è nella vita reale un «ingegnere della sicurezza da remoto»

Quando le multinazionali scrivono nelle loro presentazioni l’espressione Remote Security Engineer, il cliente si immagina un professionista concentrato in un ufficio inondato di sole, che sorveglia i segreti altrui attraverso un canale satellitare protetto.

In realtà un lavoratore da remoto è una scatola nera il cui contenuto il datore di lavoro non controlla in alcun modo. Le aziende non hanno idea di cosa succeda dall’altra parte della webcam non appena finisce la call mattutina di quindici minuti. E lì succede la vita vera in tutto il suo splendore.

1. Psiche annebbiata, SSRI e microdosing di funghi In ufficio, almeno, la persona la vede dal vivo: se le tremano le mani, se ha lo sguardo lucido, se si è lavata questa settimana e se non parla con i muri. Da remoto, tutto il contatto con una persona che ha in mano gli accessi root ai server di migliaia di aziende si riduce a un quadratino su Zoom con lo sfondo sfocato.

Quindici minuti al giorno, allo stand-up, questo tizio si spreme a fatica un sorriso di circostanza e riferisce con brio: «Nessun blocco, mando l’aggiornamento in produzione». Dopodiché spegne la telecamera, e nessuno in sede ha la minima idea di come stia. Magari da tre mesi va avanti a dosi da cavallo di antidepressivi pesanti (SSRI), che gli hanno atrofizzato del tutto il senso del pericolo, e non gliene importa niente di quali database stia facendo trapelare e dove. Magari, secondo la moda della Silicon Valley, la mattina si è calato un microdosaggio di funghi alla psilocibina, o va avanti ad Adderall mescolato alla terapia con ketamina per tirarsi fuori dalla depressione post-divorzio. Per l’azienda è un pallino verde su Slack. Di fatto, ai comandi di un reattore nucleare siede una persona in profonda sfocatura cognitiva.

2. Rapina al bar e un MacBook aperto I poli tecnologici americani come San Francisco, Seattle o Austin si sono trasformati da tempo in parchi a tema del crimine. A San Francisco esiste addirittura un intero mestiere di strada, il laptop snatching: i rapinatori piombano nei bar alla moda, strappano dalle mani degli informatici MacBook aperti e sbloccati, con le sessioni VPN già attive e i terminali aperti, e li portano via sull’auto che aspetta davanti all’ingresso.

O ancora più semplice: la sera dopo il lavoro questo «custode di dati sensibili» esce a prendersi un burrito con il telefono aziendale e il portatile nello zaino. A un paio di isolati da casa gli si avvicinano due tipi con una pistola, lo colpiscono in testa e gli spiegano per bene che adesso non solo consegnerà loro tutta l’attrezzatura, ma metterà anche il dito sul Touch ID e detterà il PIN. Nessun firewall nel cloud e nessun badge SOC 2 Compliant ha mai salvato nessuno da una spranga in un vicolo buio.

3. Mogli, amanti e accessi rubati direttamente dal cuscino Anche se l’ingegnere non esce mai di casa, il suo appartamento è un porto di mare. Alle sue spalle passano mogli, ex e attuali fidanzate, coinquilini, addetti alle pulizie, corrieri e ospiti delle feste del venerdì.

Negli Stati Uniti non è più teoria, ma materiale di cause giudiziarie. Nel 2024 la Securities and Exchange Commission (SEC) ha scoperto un delizioso schema familiare: il marito di una dipendente da remoto del colosso petrolifero BP si limitava a girare per casa e a dividere con lei la stanza d’albergo durante i viaggi, mentre lei lavorava da casa su operazioni riservate di fusione. Origliava le sue telefonate, sbirciava lo schermo aperto del suo portatile di lavoro quando lei andava in cucina, ha comprato azioni della catena giusta e ha incassato con informazioni privilegiate quasi due milioni di dollari.

E ora immagini uno scenario più terra terra: un addetto alla sicurezza da remoto nel pieno di un divorzio difficile o di una lite con la sua dolce metà. La moglie offesa o il coinquilino intraprendente aspettano semplicemente che il «guardiano dell’infrastruttura» vada sotto la doccia o si addormenti, fotografano con il telefono lo schermo aperto con chiavi di accesso, token e chat di Slack, oppure infilano banalmente una chiavetta USB nel portatile del diretto interessato, la cui password gli hanno sbirciato da sopra la spalla tempo fa.

4. La stanchezza delle tre di notte E infine il classico su cui negli ultimi anni sono scivolati colossi da Uber al servizio di autenticazione Okta. Quando gli aggressori comprano la password rubata di un dipendente da remoto, resta loro solo da aggirare l’autenticazione a due fattori (MFA). Che cosa fanno? Aspettano che il lavoratore da remoto vada a letto a casa sua e alle tre di notte cominciano a bombardargli il telefono con decine di notifiche push: «Conferma l’accesso». Subito dopo gli scrivono sul messenger personale a nome dell’«assistenza tecnica aziendale»: è solo un problema del sistema, tocca «Conferma» così le notifiche smettono di suonare. E l’uomo assonnato in mutande, pur di far finalmente tacere il telefono e poter dormire, fa entrare gli hacker nel sancta sanctorum con il proprio dito.

Ecco di quale caos umano — pillole, drammi familiari, criminalità di strada e pigrizia notturna — è fatto in realtà il fondamento su cui poggia l’intera industria moderna della «fiducia nel cloud». E la prossima volta che vedrà in fondo a un bel sito finanziario i severi badge SOC 2 Compliant e GDPR Compliant, si ricordi semplicemente che da qualche parte oltreoceano, proprio adesso, una persona stanca sotto antidepressivi si è allontanata dal portatile aperto per versarsi un caffè, mentre la sua ragazza scorre pensierosa sul suo monitor gli elenchi dei server altrui.