Posso chiedervi un piccolo test? Se siete utenti prepagati di Vodafone Italia e avete a disposizione una persona di cui vi fidate, chiedetele di eseguire questi passi:
1. Andare con il suo smartphone (anche se non è utente Vodafone) a ricarica1click.vodafone.it.
2. Nella schermata che compare, immettere il vostro numero di telefonino (due volte).
3. Lasciare pure l’importo di default per la ricarica (tanto non verrà fatta).
4. Scegliere Carta come se volesse pagare con la carta di credito.
5. Sul telefono del vostro conoscente dovrebbero comparire le ultime quattro cifre della vostra carta di credito, se ne avete memorizzata una nel sito di Vodafone, e anche la sua data di scadenza
6. Toccare la casella di spunta Inviami la ricevuta via mail.
7. Dovrebbe comparire l’indirizzo di mail che avete associato al vostro numero.
Vi risulta che funzioni? Io ho eseguito questi passi su un telefonino non-Vodafone, immettendo un numero fornitomi da Andrea Barisani di With Secure, che ha segnalato pubblicamente il problema su Mastodon oggi, e ha funzionato.
In altre parole: se vi siete fidati delle promesse di Vodafone (“I tuoi dati personali sono protetti e gestiti nel rispetto dei più elevati standard di sicurezza”) e avete memorizzato una carta di credito nel vostro account Vodafone (cosa che, nota Andrea, si fa in sessione autenticata), chiunque conosca il vostro numero di telefonino (o immetta numeri a caso) può scoprire questi dati e abusarne.
Un malintenzionato potrebbe, per esempio, mandarvi una mail spacciandosi per il servizio di sicurezza di Vodafone o della vostra banca, sembrando molto credibile perché conosce gli ultimi quattro numeri della vostra carta (quelli usati spesso per autenticarsi) e la sua data di scadenza e vi scrive proprio sulla mail che usate per ricaricare il vostro telefono.
Inoltre se l’indirizzo di mail include il nome e cognome, è facilissimo risalire all’identità della vittima. Uno scraping di massa, fatto tentando progressivamente tutti i numeri di telefono, permetterebbe di conoscere i numeri di telefono di un numero elevatissimo di persone.
2024/11/19. Dai commenti e dalle mail che ho ricevuto arrivano conferme della situazione. Emerge inoltre che chiunque può eliminare i dati memorizzati, e che il problema è stato già segnalato tempo fa (link su X; link su X) ma Vodafone non sembra volerlo considerare serio.
Ho provato a telefonare al servizio clienti Vodafone, ma la coda di attesa è interminabile. Sul sito di Vodafone non trovo informazioni di contatto per la stampa (la pagina dei Contatti ha solo numeri di telefono per il servizio clienti, che ho già provato inutilmente). Nella pagina del servizio di ricarica online ho trovato un indirizzo di mail del DPO (responsabile della protezione dei dati personali), info punto privacy chiocciola mail.vodafone.it, e l’ho contattato segnalando il problema e chiedendo una presa di posizione pubblicabile; sono in attesa di risposta. Un lettore mi ha scritto dicendomi che ci ha già provato a dicembre 2023 e ha ottenuto una risposta che in sintesi liquida la questione come un non problema.
Andrea Barisani nota che Vodafone impone di passare attraverso un complicato programma di bug bounty per segnalare formalmente una vulnerabilità, oltretutto con dei vincoli di comunicazione che sono poco compatibili con la trasparenza necessaria in casi come questi. Sempre Barisani mi segnala che con alcuni enti di credito, se si effettua il pagamento della ricarica si viene rediretti al pagamento con la carta effettiva (anche se il CVV non è quello giusto), e questo comporta ulteriori disseminazioni di dati personali.