È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: Rumore ambientale di ufficio postale UK]

Questa storia inizia nel Regno Unito, nel 1999, anno di sofferenza e di insonnia per tanti informatici, ma non riguarda il famigerato Millennium Bug. 

È l’anno in cui le Poste britanniche iniziano ad installare un nuovo sistema di contabilità informatizzata, denominato Horizon, destinato a gestire i milioni di transazioni che hanno luogo ogni giorno nei numerosissimi uffici postali del paese, che sono un servizio fondamentale per la collettività: come avviene in tanti paesi, i cittadini li usano per fare pagamenti, riscuotere pensioni e fare piccoli acquisti, insomma per muovere quantità notevoli di denaro oltre che per ricevere e spedire corrispondenza.

Il signor Alan Bates è un cosiddetto sub-postmaster: dirige una delle tantissime succursali delle Poste britanniche, quella di Craig-y-Don, nel Galles. Un anno dopo l’introduzione del sistema Horizon, Alan Bates segnala formalmente alle Poste che il sistema ha dei problemi: crea degli ammanchi che in realtà non esistono. Nel frattempo ci sono già state sei condanne di altre persone per frodi registrate dal sistema, ma secondo Bates si tratta invece di errori del software, che è prodotto dalla Fujitsu. Le Poste britanniche negano e nel 2003 rescindono il loro contratto con Alan Bates.

Questo è l’inizio della storia di uno dei più gravi casi di errore giudiziario legato all’informatica di cui si abbia notizia. Durerà oltre vent’anni e porterà a centinaia di condanne ingiuste, con incarcerazioni, diffamazioni, divorzi e suicidi delle persone additate per errore, dal software e dalla giustizia, come ladri e truffatori, ed è un caso esemplare di eccessiva fiducia nell’infallibilità dei computer che va conosciuto per evitare che si ripeta altrove.

Benvenuti alla puntata del 5 maggio 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Per un computer, fare calcoli con i numeri è una funzione basilare. Niente a che vedere con le complessità delle simulazioni di fisica o dell’intelligenza artificiale. Sembra quindi impossibile, a prima vista, che una grande azienda come Fujitsu e una grande organizzazione come il servizio postale di un paese possano realizzare e implementare un sistema informatico che sbaglia a fare i conti. Eppure è successo, e con un sistema costato un miliardo di sterline dell’epoca, ossia circa 2 miliardi e mezzo di franchi o euro di oggi.

Oltre 700 gestori di filiali delle poste britanniche hanno ricevuto condanne penali per frode contabile e furto, perché il software difettoso di Fujitsu faceva sembrare che togliessero soldi dalla cassa. Migliaia di altri gestori hanno dovuto pagare somme ingenti alle Poste britanniche per coprire gli ammanchi di cui erano accusati. Fra il 2000 e il 2014, le Poste britanniche hanno portato in tribunale 736 di questi gestori: in media un gestore a settimana. Alcuni sono finiti in carcere, addirittura durante la gravidanza, come è successo a Seema Misra, condannata per furto e messa in prigione nel 2010 quando aspettava il secondo figlio, additata dalla stampa locale come “la ladra incinta”, ma completamente scagionata dieci anni dopo. Altri sono finiti sul lastrico e hanno anche dovuto affrontare il disprezzo delle proprie comunità, che li vedevano come persone disoneste che avevano violato la loro fiducia in un ruolo così centrale. Qualcuno, tragicamente, si è tolto la vita.

Nel 2014, a distanza di quindici anni dall’introduzione del software Horizon e cinque anni dopo che un gruppo di questi sub-postmaster che avevano subìto gli errori di Horizon aveva costituito un’associazione per chiedere giustizia, arrivando poi all’attenzione dei media [in particolare ComputerWeekly] e in tribunale, finalmente una perizia tecnica indipendente ha dimostrato che il software sbagliava davvero, e creava davvero ammanchi di cassa inesistenti.

Le Poste britanniche hanno risposto subito che “non esiste assolutamente alcuna prova di problemi sistematici con il sistema informatico” e si sono autoassolte. Il governo britannico, unico azionista delle Poste, si è rifiutato di pagare qualunque risarcimento o indennizzo. Ci sono voluti altri anni, e altre azioni legali costosissime per gli accusati, per arrivare a un risarcimento e all’annullamento di centinaia di condanne infondate.

Nel 2019 la High Court of Justice, l’Alta corte di giustizia britannica, ha confermato che il software era difettoso ed era rimasto tale per ben dieci anni e che questi difetti potevano creare gravi errori contabili. Questa conferma è emersa grazie alla tenace azione legale collettiva condotta contro le Poste britanniche da Alan Bates: la stessa persona che quasi vent’anni prima aveva cercato inutilmente di avvisare del problema. Ma la vicenda, ancora oggi, non si è ancora conclusa.

Con i computer non si discute

La situazione dei gestori accusati di frode era disastrosa. Loro, comuni cittadini, contro una grande e famosa azienda informatica, e soprattutto contro il mito dell’infallibilità dei computer nel fare i conti, che in alcuni paesi è anche un assunto legale:* i tribunali danno per scontato che un computer funzioni perfettamente fino a prova contraria.

* Fonte: Briefing Note: The legal rule that computers are presumed to be operating correctly – unforeseen and unjust consequences in Digital Evidence and Electronic Signature Law Review, Volume 19, pagg. 123–127, ISSN 1756-4611, 2022. DOI 10.14296/deeslr.v19i0.5476.

Era più facile pensare che i singoli gestori avessero prelevato soldi dalla contabilità della loro succursale che immaginare che il costosissimo software contenesse errori di calcolo madornali e strutturali. Le prove informatiche degli ammanchi sembravano talmente schiaccianti che molti consulenti legali consigliavano ai gestori incriminati di dichiararsi colpevoli di frode contabile; in cambio le Poste britanniche avrebbero ritirato l’accusa, ben più grave, di furto.

[CLIP: voce di Steven Murdoch]

Steven Murdoch, professore di Security Engineering e ricercatore presso lo University College London, ha pubblicato un articolo e un video nei quali spiega come è stato possibile questo errore informatico catastrofico, citando esempi tratti dal disastro di Horizon e presentando alcuni concetti che valgono per qualunque grande sistema computerizzato.

Quando un sistema informatico molto grande e distribuito sul territorio deve gestire in modo affidabile tantissimi spostamenti di denaro e poi comunicarli a un archivio generale, questi spostamenti non sono più semplici calcoli del tipo “questa succursale ha venduto sette cartoline e dodici francobolli, quindi in cassa deve essere entrato un importo equivalente”. Gli spostamenti diventano transazioni, e queste transazioni devono rispettare quattro criteri, che si chiamano atomicità, coerenza, isolamento e durabilità.

[CLIP: voce di Steven Murdoch che cita l’acronimo di questi criteri, ossia ACID]

Atomicità significa che una transazione non può essere fatta a metà: o viene fatta completamente, oppure no, e deve avvenire una sola volta. Ma il software Horizon spesso creava transazioni duplicate, per cui i soldi risultavano entrati in cassa due volte ma in realtà erano materialmente presenti una volta sola. Alcuni gestori, non riuscendo a capire la causa degli ammanchi in cassa, li ripianavano di tasca propria per evitare guai, ma le grandi cifre in gioco a volte erano incolmabili. Alcuni hanno addirittura ipotecato la casa, e l’hanno persa.

Il secondo criterio, coerenza, significa che i dati della succursale devono essere coerenti con quelli dell’archivio centrale, ma il software Horizon sbagliava creando contraddizioni e incoerenze che facevano sembrare che i gestori avessero commesso delle irregolarità.

E poi c’è l’isolamento: vuol dire che se una transazione fallisce questo non deve avere effetto su altre transazioni e che se due transazioni avvengono contemporaneamente non devono interferire tra loro. Ma se una transazione locale avveniva mentre veniva generato il resoconto periodico della succursale, Horizon “dimenticava” quella transazione, creando errori di cassa.

E infine durabilità, o persistenza, che vuol dire che una volta che una transazione è stata avviata causando un cambiamento di stato, quel cambiamento non deve mai andare perso in nessun caso, neanche con un blackout o un crash del computer locale. Ma Horizon, specialmente quando era sovraccarico, perdeva dati. Per esempio, un cliente veniva autorizzato dal software a prelevare denaro ma poi il prelievo effettuato non veniva registrato. E così in cassa mancavano senza giustificazione i soldi dati al cliente.

In altre parole, realizzare un sistema contabile distribuito con decine di migliaia di succursali non è semplice, ma gli errori che venivano commessi da Horizon erano davvero elementari. Nonostante questo, i tribunali e le Poste britanniche hanno preferito pensare a lungo che si trattasse di un problema di gestori disonesti. Eppure c’era un dato concreto che avrebbe dovuto insospettire i responsabili del software: subito dopo la sua installazione, il numero delle anomalie di cassa era aumentato enormemente. Era improbabile che così tanti gestori fossero diventati di colpo ladri tutti insieme, ma si è preferito dare la colpa a lungo a loro invece che sospettare un errore del computer e del software di Fujitsu.

I log fanno fede, ma non troppo

Il problema di queste situazioni, infatti, è che per il singolo gestore, o per il singolo utente, risulta incredibilmente difficile dimostrare che il software sbaglia: fanno fede infatti i cosiddetti log, ossia i registri delle attività generati dal software stesso.

Gli atti dei vari processi per la vicenda Horizon documentano casi come quello della signora Burke, un’addetta di una succursale postale, che si è accorta un giorno che il prelievo di denaro fatto da un cliente, di cui lei si ricordava, non risultava nei log. La signora è riuscita a rintracciare il cliente, è andata a casa sua e gli ha spiegato l’accaduto. Il cliente per fortuna aveva ancora la ricevuta rilasciatagli dal software al momento del prelievo. Quel prelievo che secondo il software non era mai avvenuto. Se non ci fosse stata quella ricevuta cartacea, i log avrebbero inchiodato la signora, accusandola di aver rubato dalla cassa i soldi prelevati dal cliente.

A dicembre 2019, dopo una lunga serie di azioni legali civili, le Poste britanniche hanno deciso di ammettere i propri errori e di indennizzare ben 555 persone per un totale di 58 milioni di sterline (circa 66 milioni di franchi o euro). Ma i tre quarti di questa cifra non finiranno nei conti delle vittime: serviranno a pagare le loro spese legali. E Fujitsu, intanto, continua a essere fornitore delle Poste britanniche [e anche del governo britannico, addirittura per un servizio d’emergenza].

[Se volete approfondire questa vicenda, la BBC ha una serie di podcast che la raccontano in dettaglio e e moltissimi articoli con testimonianze; qui sotto c’è anche un servizio del Times]

Sarà stata imparata la lezione? Speriamo di sì. Ma nel frattempo stiamo andando sempre più verso sistemi paperless, senza carta, senza scontrini fisici e senza bollette stampate. Viene da chiedersi come finirebbe, oggi, la signora Burke che si è scagionata grazie allo scontrino provvidenzialmente tenuto dal cliente.

E mentre chiudo questo podcast ho davanti a me, sullo schermo, uno screenshot della mia banca, che mi dice che sul mio conto c’è un bonifico uscente di circa 15.000 euro* che avevo ordinato diciassette anni fa**, e che all’epoca era stato eseguito ma che adesso, dopo un cambio del software gestionale della banca, è magicamente ricomparso e ogni giorno, altrettanto magicamente, viene rimandato di un giorno senza che io faccia nulla.

* Il bonifico è espresso in franchi; qui parlo di “circa 15.000 euro” per facilità di comprensione dell’importo da parte del pubblico non svizzero.

** Me lo ricordo perché non faccio molti bonifici di questa entità e soprattutto ricordo il destinatario.

Ho ovviamente già allertato la banca, ma nel frattempo quella transazione fantasma è ancora lì che aleggia. Sto provando a esorcizzarla recitando ripetutamente i mantra atomicità, coerenza, isolamento, durabilità. Speriamo che basti.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: Venere23 dallo spot Opentomeraviglia]

Il debutto disastroso della campagna Open to Meraviglia del Ministero del Turismo italiano ha generato ilarità internazionale per il suo uso di spezzoni video girati in realtà in Slovenia e soprattutto per le sue grottesche traduzioni in tedesco dei nomi di molte località, da Camerino che è diventato Garderobe fino a Sutera, in Sicilia, che è stato tradotto, per così dire, con Homosexuell. Ma come sono possibili errori del genere?

Se state sospettando che c’entri un uso malaccorto dell’intelligenza artificiale, siete sulla buona strada, e in questa storia emergono nozioni di traduzione assistita utilissime da conoscere, fra una risata e l’altra, per evitare figuracce analoghe.

Benvenuti alla puntata del 28 aprile 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io, come consueto, sono Paolo Attivissimo, e in questa puntata vi racconterò anche le tante novità della saga di Twitter, con la scomparsa e ricomparsa delle celebri spunte blu, e lo strano caso di un malware che colpisce anche gli utenti di computer Apple e lo fa usando come esca ChatGPT.

[SIGLA di apertura]

Open to Meraviglia

Si ride molto, in Italia e fuori Italia (Guardian, Time, CNN, Der Standard, Jerusalem Post, ABC.net.au, Reuters, Corriere del Ticino, La Regione), per l’incredibile leggerezza informatica e linguistica con la quale è stata gestita la campagna internazionale di promozione turistica Open to Meraviglia del Ministero del Turismo italiano, annunciata il 20 aprile scorso (ANSA). Il debutto della campagna è stato deriso estesamente nei media nazionali e sui social network per varie ragioni.

La prima ragione è che il nome di account social Venereitalia23, citato dalla campagna, è stato acquisito dagli organizzatori soltanto su Instagram e LinkedIn, nonostante il video promozionale parlasse chiaramente del nome Venereitalia23 riferito a tutti i social network.

[CLIP: “su Instagram, Linkedin e tutti i social sarò Venereitalia23”]

Ma su Twitter, YouTube e Facebook il nome è invece rimasto libero, contrariamente alle regole elementari di protezione online dei marchi o brand protection, e così qualcuno esterno alla campagna promozionale ha attivato degli account di nome Venereitalia23 e ora li sta usando per prendere in giro gli organizzatori per la loro imprevidenza.

La seconda ragione di questa ilarità è che gli organizzatori della campagna si sono dimenticati anche di registrarsi il nome di dominio italiano dello slogan, ossia Opentomeraviglia.it. Cosa che invece ha fatto una società di marketing fiorentina, col risultato che chi digita Opentomeraviglia.it ci trova, al posto della campagna ministeriale, il sito della società di marketing. Una mossa autopromozionale brillante.

[CLIP: “Che cos’è il genio?” dal film Amici Miei]

La terza ragione di ridicolo è la scoperta che alcune delle immagini del video ufficiale che dovrebbero raffigurare le bellezze dell’Italia sono in realtà state girate fuori Italia, per la precisione in Slovenia. Il video promozionale è stato ritirato da YouTube, ma i social sono ormai pieni di screenshot che documentano inesorabilmente la gaffe.

Ma la cosa che ha suscitato la massima ilarità è che sul sito ufficiale della campagna Open to Meraviglia, ossia Italia.it, nelle versioni in tedesco delle pagine dedicate alle varie località i nomi di queste località sono stati spesso tradotti letteralmente. Brindisi è diventata Toast, Fermo si è tramutata in Stillstand, Prato è stata tradotta con Rasen, Cento è diventata Hundert, Camerino è stata resa con Garderobe, Chiusi è stata rinominata Geschlossen, Cuneo è diventata Keil, Potenza è stata tradotta con Leistung, Biella è diventata Pleuelstange, al posto di Limone Piemonte è stato scritto Zitrone Piemont, e così via.

Non appena si è diffusa la notizia, le pagine in tedesco sono state rimosse, ma anche in questo caso sono state salvate in tempo delle copie. Se vi interessa, la lista completa degli strafalcioni è su Disinformatico.info. Fortunatamente, Lecco, Troia e Bellano non figurano tra le traduzioni letterali in tedesco.

Lasciando da parte un momento, se ci riuscite, l’aspetto comico, è logico chiedersi come sia stato possibile commettere errori madornali come questi, che nessun traduttore, per quanto dilettante, farebbe mai. E soprattutto viene da chiederselo per una particolare categoria di queste traduzioni errate, ossia quelle non letterali. Infatti la località di Pescarenico è diventata Pfirsich, ossia “pesca”, Rivisondoli è stato tradotto con Revisionen, e soprattutto Sutera, in Sicilia, è stata addirittura tradotta, si fa per dire, con Homosexuell.

Nemmeno una persona o una macchina che traducesse semplicemente consultando un glossario bilingue farebbe errori del genere. La colpa, come avete probabilmente già sospettato, è di chi ha fatto un uso sconsiderato dell’intelligenza artificiale applicata alla traduzione, senza fare alcun controllo di qualità umano. Ce lo spiega Licia Corbolante, una terminologa specializzata in gestione e ricerca terminologica, comunicazione interculturale e localizzazione, che scrive sul blog Terminologiaetc.it e su Twitter con l’account @terminologia.

[CLIP: Voce di Licia Corbolante, rimontata per brevità]

I sistemi di traduzione automatica hanno ormai raggiunto livelli ottimi, con risultati che sono spesso indistinguibili dai testi prodotti da umani, però ogni tanto capitano degli incidenti di percorso che sono davvero clamorosi. Brindisi, Cuneo, Biella, Camerino, Potenza fanno parte di una categoria particolare di nomi che hanno un significato diverso a seconda che vengano scritti con l’iniziale minuscola o maiuscola. Per noi umani è facile distinguerli proprio grazie alla grafia e al contesto. In teoria anche la traduzione automatica non dovrebbe avere troppi problemi, però non sempre è così, soprattutto se i nomi sono avulsi dal contesto. E infatti non credo sia un caso che nella traduzione automatica dei toponimi in tedesco siamo stati sbagliati quelli nei titoli, quindi singole parole isolate, ma non sono stati sbagliati quelli all’interno dei testi.

In altre parole, il software di traduzione ha sbagliato a tradurre per esempio il titolo Potenza perché le parole iniziali, nei titoli, hanno sempre la lettera iniziale maiuscola [ho detto “minuscola” nel podcast, dannazione], anche quando non sono toponimi, e quindi l’intelligenza artificiale non aveva nessun modo per riconoscere che si trattasse di un nome di località e ha scelto il significato più probabile, ossia potenza come sostantivo. Noi umani, invece, capiamo che si tratta di un toponimo in base al contesto: sappiamo che stiamo leggendo un titolo di una pagina dedicata a una località. I traduttori automatici, per ora, non sono capaci di farlo.

Ma questo non basta per spiegare la misteriosa trasformazione di Rivisondoli in Revisionen. Rivisondoli è solo un nome di località: se scritto in minuscolo non ha un altro significato. Però Licia Corbolante descrive una particolarità poco conosciuta di questi software che spiega la loro bizzarra logica.

[CLIP: Voce di Licia Corbolante, rimontata per brevità]

Innanzitutto va sottolineato che i sistemi di traduzione automatica neurale, che sono quelli prevalenti, non hanno idea di che cosa stanno traducendo. Però, grazie all’apprendimento automatico, identificano delle regolarità statistiche che poi usano per predire le sequenze di parole più probabili per produrre poi i testi tradotti. Non operano a livello di parole come le intendiamo noi, ma invece di unità più piccole, che sono formate da sequenze di caratteri. Però ovviamente non è un sistema che funziona sempre e ci sono dei problemi noti di questi metodi. Ad esempio succede che vengano usate parole che assomigliano a parole della lingua 1 che però sono inesistenti nella lingua 2. Rivisondoli, Pescarenico, Sorradile, ecco: la traduzione automatica non ha mai incontrato prima questi nomi, li trova isolati in un titolo e quindi possiamo ipotizzare che li abbia gestiti come farebbe con dei nomi comuni, interpretandoli, tra virgolette, in base alla somiglianza con lessico già noto e così Rivisondoli è diventato in tedesco ‘revisioni’.

I software di traduzione automatica, insomma, sono degli ottimi assistenti, ma i loro limiti vanno ben capiti e gestiti; non ragionano come noi, quando non riconoscono una parola si inventano la sua traduzione, e quindi è pericolosissimo usarli alla cieca senza la supervisione attenta di un traduttore umano. Eppure questo è un comportamento sempre più diffuso, man mano che le aziende cercano di ridurre i costi facendo a meno della traduzione professionale.

Ma come ha dimostrato il caso di Open to Meraviglia, è una forma di risparmio che può costare molto caro.

ChatGPT come esca per malware

L’enorme popolarità di ChatGPT non è passata inosservata anche nel mondo del crimine informatico, che si è subito dato da fare per creare degli attacchi basati su questa tecnologia di intelligenza artificiale. O meglio, basati sul desiderio di moltissimi utenti di accedere a questa tecnologia.

I truffatori hanno infatti investito in campagne pubblicitarie su Facebook e Google per far comparire agli utenti la pubblicità di cosiddette estensioni per browser, ossia delle specie di “app” che si possono scaricare e aggiungere per esempio a Chrome per dare maggiori funzionalità a questo programma di navigazione nel web. 

Chi cercava in Google le parole “Chat GPT 4”, per esempio, poteva veder comparire fra i primi risultati la proposta pubblicitaria di installare una fantomatica estensione “ChatGPT for Google” che sembrava promettere accesso gratuito alla versione 4 di ChatGPT, che è a pagamento, a differenza della versione 3.5, che non ha canone mensile ma è molto meno potente.

Questa estensione, una volta installata, intercettava i cookie del profilo Facebook della vittima e li inviava ai criminali. Questo permetteva loro di entrare nel profilo senza doverne conoscere il nome o la password e consentiva anche di scavalcare l’autenticazione a due fattori.

La società di sicurezza informatica Intego spiega infatti che Facebook, come la maggior parte dei siti web, si affida a dei cookie che mantengono aperta la sessione di accesso, in modo da poter tracciare sempre le attività degli utenti anche al di fuori di Facebook. Il guaio è che se questi cookie finiscono nelle mani di qualcun altro e vengono copiati su un computer, quel computer avrà accesso al profilo Facebook esattamente come se fosse l’utente autentico.

I criminali che rubavano questi cookie potevano così prendere facilmente il controllo dei profili Facebook delle vittime che installavano queste estensioni false nella speranza di avere ChatGPT 4 gratis; potevano poi cambiare le password di questi account e usarli per campagne di spam oppure per chiedere un riscatto ai proprietari originali.

Un buon antivirus avrebbe riconosciuto queste estensioni ruba-cookie, ma molti utenti ancora oggi non usano antivirus aggiornati o non li usano del tutto, specialmente se hanno computer Apple, perché persiste ancora il mito che non esistano virus per i computer di questa marca. 

Per difendersi da questa trappola astuta è insomma sufficiente installare un antivirus di una marca conosciuta e tenerlo aggiornato, anche sui computer Apple, ma soprattutto occorre avere comportamenti prudenti: non bisogna installare estensioni che promettano cose troppo belle per essere vere. In altre parole, se vi serve ChatGPT, non cercate scorciatoie a scrocco.

Twitter, spariscono le spunte blu (o quasi); API a pagamento

Ci sono state grossissime novità su Twitter. Il 20 aprile scorso, come preannunciato dal social network, sono state rimosse tutte le spunte blu conferite prima dell’acquisizione di Twitter da parte di Elon Musk, le cosiddette spunte legacy, quelle che effettivamente autenticavano un utente, ponendo fine al periodo di confusione precedente, nel quale non c’era modo di capire se la spunta blu indicasse un utente autenticato oppure semplicemente un utente pagante.

Ora le spunte blu indicano semplicemente che un utente paga un canone mensile e non c’è alcuna autenticazione significativa, e questo è un cambiamento di significato importantissimo da tenere presente, soprattutto per chi frequenta poco Twitter, per evitare di cadere nella trappola di pensare, come si è fatto per un decennio, che l’identità di un account che ha la spunta colorata sia sicuramente quella indicata dal nome. 

Infatti una persona ha prontamente cambiato il proprio nome utente in “Disney Junior UK” e Twitter gli ha dato addirittura la spunta oro, che teoricamente è riservata agli account autenticati delle organizzazioni. L’account fasullo è riuscito ad accumulare 4700 follower prima che Twitter si accorgesse dell’errore e lo sospendesse. 

Elon Musk ha inoltre annunciato il 25 aprile che chi non paga il canone di Twitter, circa 100 dollari l’anno, perderà visibilità. Ma moltissimi utenti di Twitter non hanno aderito alla proposta di Elon Musk di pagare questo canone. Secondo il ricercatore informatico Travis Brown, gli utenti paganti sono attualmente circa 750.000 su circa 254 milioni di utenti giornalieri di Twitter, ossia lo 0,3%. Twitter non ha ancora rilasciato dati ufficiali sul numero di utenti a pagamento.

Anche molte celebrità hanno deciso che non vogliono la spunta blu, come ho segnalato nella puntata del 6 aprile 2023 del Disinformatico, ovviamente non per taccagneria ma per principio, perché non autentica più nulla, e così Elon Musk ha deciso di pagare personalmente il canone ad alcune di queste celebrità.

Inizialmente Musk ha dichiarato che avrebbe pagato solo la spunta blu dello scrittore Stephen King, dell’attore William Shatner e del cestista LeBron James, ma poi è emerso che moltissimi dei quasi diecimila account che hanno più di un milione di follower hanno ricevuto gratuitamente la spunta blu, in alcuni casi contro la loro volontà. È successo a Beyoncé, Victoria Beckham, Neil Gaiman, Donald Trump, ma stranamente non a Ryan Reynolds (che pure ha 21 milioni di follower).

La confusione è insomma grande e i continui cambiamenti e dietrofront di Musk non aiutano: i suoi piani di risanare Twitter convincendo tanti utenti a pagare un canone non sono stati accolti positivamente dalla massa dei fruitori di questo social network. A questo sfavore hanno probabilmente contribuito alcune sue decisioni controverse, come la riattivazione di 67.000 account di estremisti e disinformatori seriali che erano stati sospesi dalla gestione precedente di Twitter o la rimozione dal regolamento della sezione che vietava il misgendering e il deadnaming, che sono delle forme di abuso rivolte specificamente alle persone LGBTQ e consistono nel descriverle o rivolgersi a loro usando intenzionalmente il genere sbagliato o, rispettivamente, il loro nome pre-transizione, con l’intento preciso di ferirle. Queste scelte contribuiscono a una sensazione di insicurezza avvertita da molti utenti.

C’è anche un’altra novità, apparentemente molto tecnica, che però ha effetti sugli utenti comuni: la disattivazione dell’accesso gratuito alla API di Twitter, ossia alla Application Programming Interface, che, semplificando, è un linguaggio comune che permette ai programmi di parlarsi tra loro e consente per esempio di creare programmi che mandino automaticamente istruzioni a Twitter per pubblicare un post o rispondere con dei dati a un tweet.

Moltissimi servizi amatoriali e accademici usavano questa tecnica per diffondere automaticamente e tempestivamente su Twitter le proprie informazioni, raggiungendo così un vasto bacino di utenti. Lo facevano anche servizi essenziali come gli avvisi meteo e gli allarmi per gli tsunami, e lo faceva fino a ieri (27 aprile) anche Abuse.ch, un servizio di volontariato svizzero per la segnalazione di malware, botnet e altre minacce informatiche. Ora non più, perché Musk chiede un canone per questo accesso alla API, e i prezzi sono insostenibili per molte organizzazioni e persino per Microsoft, che ha annunciato che la sua piattaforma di gestione delle inserzioni pubblicitarie, Microsoft Advertising, avrebbe cessato il supporto all’integrazione con Twitter a partire dal 25 aprile, perché ora Microsoft dovrebbe pagare da 42.000 a 210.000 dollari al mese per fare quello che prima faceva senza questo costo.

Il risultato di tutti questi cambiamenti, per noi utenti comuni, è un Twitter che offre meno autenticazione, meno servizi, meno protezioni e meno contenuti rispetto al passato. Per qualche misteriosa ragione, a distanza di un anno dal suo caotico e costosissimo acquisto di Twitter, Elon Musk sembra non capire che l’essenza del valore di qualunque social network in ultima analisi sta negli utenti e nei loro contenuti. E così intanto i rivali Mastodon e Bluesky accumulano utenti in fuga.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano ii testo di accompagnamenti e i link alle fonti di questa puntata, sono qui sotto.

• Dipendenti di Tesla si scambiavano disinvoltamente i video ripresi dalle telecamere di bordo delle auto: i fatti da sapere (non solo per Tesla)
• Hyundai attaccata, dati dei clienti trafugati in Francia e Italia. Occhio alle truffe
• Antibufala: l’allarme dell’FBI per le prese pubbliche di ricarica dei telefonini

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

Teaser

Attenzione a quello che leggete su Twitter: da pochi giorni le spunte blu, che un tempo indicavano che un utente era autenticato, non vogliono dire più nulla ed è diventato impossibile capire se un utente ha la spunta blu perché è chi dice di essere o se è semplicemente un impostore che ha pagato otto dollari per avere la spunta blu. Attori, sportivi e celebrità stanno boicottando in massa la proposta di Elon Musk di pagare per usare Twitter, perché la spunta blu ormai non conta più nulla.

Intanto le foto del Papa, di Putin, Macron, Julian Assange e di tanti altri nomi di spicco generate dall’intelligenza artificiale hanno ingannato milioni di persone, per cui è importante conoscere le tecniche per accorgersi di queste manipolazioni.

Dagli Stati Uniti arriva l’allarme per gli antifurto e apricancello della Nexx, che sono vulnerabilissimi perché incredibilmente hanno tutti la stessa password e quindi è banale prendere il controllo dei dispositivi altrui. E infine, due parole sul blocco di ChatGPT in Italia.

Benvenuti alla puntata del 7 aprile 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Ribellione su Twitter: quasi nessuno vuole pagare

Ci sono novità importanti per chi ha un account su Twitter o consulta Twitter per avere informazioni e notizie: è diventato quasi impossibile distinguere gli account reali da quelli falsi, e quindi bisogna fare molta attenzione a non cadere nella trappola delle fake news o delle truffe create da account che fingono di essere fonti autorevoli e ora possono farlo in maniera molto credibile, perché hanno lo stesso aspetto visivo, con tanto di spunta blu di apparente autenticazione.

Il problema deriva dalla decisione, presa alcuni mesi fa, di cambiare radicalmente il significato della spunta blu, quella che per anni è stata appunto simbolo di autenticazione dell’account e permetteva di sapere che il tweet che si stava leggendo proveniva da una fonte verificata. Ora non è più così: chiunque può comprare la spunta blu per pochi dollari al mese, abbonandosi a Twitter Blue, e non c’è nessuna verifica di identità preliminare su chi la compra. Eppure chi ha la spunta blu viene presentato da Twitter come “account verificato”.

Il bello di Twitter, nonostante la sua infestazione da parte di troll, provocatori, complottisti e altri personaggi poco piacevoli, era che si poteva comunicare direttamente con le celebrità e si potevano ricevere notizie attendibili in tempo reale dalle testate giornalistiche di tutto il mondo. I loro account erano chiaramente distinguibili dai loro imitatori e impostori grazie alla spunta blu, che veniva assegnata da Twitter soltanto a chi inviava una scansione di un documento di identità ed era considerato sufficientemente notorio. Sotto la gestione di Elon Musk questa era sembra ormai essere chiusa definitivamente.

Infatti Twitter ha annunciato che dal primo di aprile gli account autenticati avrebbero gradualmente perso la spunta blu se non avessero deciso di pagare un abbonamento. Ma pochissimi utenti autenticati hanno aderito a questa richiesta. 

Molte testate giornalistiche hanno annunciato che non avrebbero pagato per la spunta, che per loro non è blu ma è color oro e costa mille dollari al mese più altri cinquanta al mese per ciascun dipendente affiliato. Si sono rifiutati per esempio il New York Times, il Los Angeles Times, il Washington Post, BuzzFeed, Politico e Vox (la Radiotelevisione Svizzera di lingua italiana, @rsionline, ha ancora la spunta blu gratuita) [ho chiesto ai colleghi; @Rainews, invece, ha la spunta oro; non so se a pagamento o gratis, ho chiesto ma non ho avuto risposta]. La Casa Bianca ha annunciato che non pagherà per avere la spunta grigia che identifica le organizzazioni governative. 

Molte celebrità hanno detto chiaramente che non pagheranno: Jack Black, Ben Stiller, Seth Rogen, Mark Hamill, William Shatner (il capitano Kirk originale di Star Trek), Karl Urban, Jason Alexander, la modella Chrissy Teigen, Patton Oswalt, il cestista statunitense LeBron James (50 milioni di follower), il rapper Ice-T, Dionne Warwick e molti altri esponenti dello sport e dello spettacolo [elencati per esempio da Iheart, Cracked e Gizmodo].

Ovviamente non è una questione di soldi, ma di significato: la spunta blu adesso non solo è inutile, perché non autentica più nulla, ma è anche imbarazzante, perché fa sembrare che sei “il tipo di persona che pagherebbe otto dollari al mese per sentirsi speciale”, per citare le parole del comico Mike Drucker (se per caso ve lo state chiedendo, la mia spunta blu è quella originale gratuita; neanch’io ho intenzione di pagare per mantenerla, visto che adesso non significa più nulla).

I dati raccolti dal ricercatore informatico Travis Brown parlano molto chiaro: dei circa 420.000 account verificati secondo il vecchio sistema, quindi appartenenti ai power user che sono la linfa vitale di qualunque social network, finora solo circa dodicimila hanno pagato: poco più del tre per cento. E la battuta del comico statunitense Drucker sul pagare per sentirsi speciale sembra azzeccata: metà degli utenti paganti di Twitter ha meno di mille follower. In tutto, questi account paganti sono poco meno di mezzo milione, ossia meno dello 0,2% degli utenti giornalieri totali di Twitter.

La reazione di Twitter a questo rifiuto collettivo è stata che le spunte blu autenticate non sono state rimosse in massa come era stato invece annunciato. Cosa più importante, Twitter ha aggiunto a questo dietrofront una scelta particolarmente infelice e pericolosa dal punto di vista della sicurezza informatica: ha disattivato l’avviso che permetteva di distinguere facilmente gli account realmente autenticati da quelli semplicemente paganti. Dal 3 aprile scorso, infatti, cliccando sulla spunta blu di entrambi i tipi di account compare un avviso che dice semplicemente che “Questo account è verificato in quanto è abbonato a Twitter Blue o poiché è stato verificato secondo i criteri precedenti”.

Prima, invece, questo avviso specificava se un account era autenticato oppure a pagamento, usando due diciture differenti.

C’è insomma grande confusione, e il rischio di truffe e inganni è altissimo: per esempio, per qualche ora l’account di Bill Oakley, una persona che a scopo dimostrativo ha finto di essere il New York Times su Twitter, ha avuto un aspetto più attendibile rispetto a quello dell’account vero del giornale: l’account finto, infatti, aveva la spunta blu, mentre quello vero no [forse in seguito a un intervento personale di Elon Musk].

Cominciano già a comparire account con la spunta blu che fingono di essere qualcun altro, per esempio a scopo politico o satirico, come “MFA Russia”, che sembra l’account Twitter del Ministero per gli Affari Esteri della Federazione Russa, con tanto di logo, bandiera e ovviamente spunta blu, ma è tutt’altro; e Monica Lewinsky (sì, proprio lei) ha dimostrato bene l’entità del problema elencando tutti gli account che su Twitter usano il suo nome e sono oltretutto “verificati” secondo le nuove regole, mentre lei lo è secondo quelle vecchie e quindi la sua spunta blu è destinata, in teoria, a scomparire.

Al momento esistono solo alcuni modi piuttosto macchinosi per capire se un account Twitter è autenticato o è un impostore a pagamento, per cui è consigliabile semplicemente non fidarsi ciecamente di nessun account.

Fonti aggiuntive: Gizmodo, Mashable.

Distinguere le foto vere da quelle generate

Le foto del Papa che indossa un enorme giubbotto e di Donald Trump in fuga dai poliziotti hanno fatto il giro del mondo e hanno dimostrato la viralità e la potenza delle immagini generate dai software di intelligenza artificiale come Midjourney e DALL-E 2. Ne ho parlato nella puntata del 23 marzo 2023, e torno sull’argomento per segnalare le guide preparate da AFP e FullFact per aiutare i giornalisti e anche gli utenti comuni a non farsi ingannare da queste immagini sempre più realistiche.

Il consiglio principale di questi esperti è chiedersi prima di tutto se l’immagine sia plausibile. Per esempio, è realistico che il presidente francese Macron si trovi da solo in mezzo a una protesta violenta per le strade di Parigi, come sembrano mostrare certe foto?

Certo, a volte le fotografie bizzarre e sorprendenti di persone molto conosciute sono reali, e poi tendiamo a credere alle immagini che confermano le nostre opinioni, ma come regola generale se un foto sembra troppo bella per essere vera, ricordiamoci che probabilmente non è vera.

Il secondo consiglio è cercare l’immagine originale, usando le funzioni di ricerca di immagini di Google o Yandex: questo potrebbe far emergere l’autore della foto, oppure una versione a maggiore risoluzione che permette un’analisi più dettagliata oppure ancora un sito che spiega se la foto è falsa o reale.

Queste funzioni di ricerca permettono anche di scoprire se l’immagine è presente solo sui social network, cosa che la rende molto sospetta, oppure se è stata pubblicata anche da siti giornalistici autorevoli. Si può inoltre cercare se esistono altre angolazioni della stessa scena: questo capita spesso nelle foto reali ed è invece difficile da generare con i software di intelligenza artificiale.

Anche l’ambientazione può rivelare eventuali falsificazioni. È successo per esempio con le foto false di Putin che si inginocchia apparentemente davanti a Xi Jinping, in cui l’arredamento, generato dal software, non corrisponde a quello del luogo del loro incontro.

Poi ci sono gli errori classici di questi software: le mani distorte o un numero di dita eccessivo o insufficiente, troppi denti, occhiali e capelli deformati e asimmetrici, oppure oggetti troncati o distorti, specialmente sullo sfondo. Nelle foto sintetiche si nota spesso anche che la pelle delle persone è troppo lucida e uniforme, come se fosse stato applicato un “filtro bellezza” o qualcosa di simile. Le foto reali, specialmente se scattate con fotocamere professionali, non hanno questo effetto. Ma i nuovi software di intelligenza artificiale stanno man mano eliminando questi errori.

Un altro indizio rivelatore è il testo. Le didascalie, le insegne dei negozi o le scritte sui cartelli, per esempio, vengono generate molto maldestramente dai software: guardandole bene si nota che sembrano lettere ma non lo sono.

Per notare tutti questi indizi, però, occorre sviluppare un’abilità insolita, che è quella di non farsi travolgere dall’emotività e non farsi distrarre dal soggetto principale della foto e invece concentrarsi sull’esame spassionato dei dettagli. E questa è una cosa che nessuna app può fare per noi. Nel dubbio, comunque, rimane valida la regola che è meglio non condividere nulla di cui non si sia assolutamente certi.

Aprire cancelli in tutto il mondo, grazie all’IoT

[CLIP: la combinazione da “Balle spaziali”]

Gli informatici dicono spesso, ridendo, che “la S nella sigla IoT (quella dell’Internet delle Cose) sta per ‘sicurezza’”, e quando qualcuno immancabilmente fa notare nella sigla IoT non c’è la S, rispondono “Appunto”. È un modo umoristico per sottolineare che troppo spesso nei dispositivi connessi a Internet per la gestione remota di apparecchi di vario genere la sicurezza è scadente se non addirittura inesistente.

I toni del CISA, il dipartimento per la sicurezza informatica e delle infrastrutture degli Stati Uniti, sono stati invece molto meno umoristici quando questo ente ha avvisato pubblicamente che tutti gli apricancello, le porte automatiche e i sistemi di gestione degli antifurto della marca Nexx, una delle più popolari nel settore [oltre 40.000 dispositivi residenziali e commerciali], sono incredibilmente vulnerabili.

Tutti questi dispositivi, infatti, hanno una stessa password universale, facile da trovare, e trasmettono in chiaro, senza alcuna crittografia, l’indirizzo di mail, l’identificativo del dispositivo e altri dati insieme a ogni messaggio di apertura o chiusura o programmazione.

In altre parole [come scrive Ars Technica], chiunque abbia competenze tecniche anche modeste può frugare nei server della Nexx, cercare un dato indirizzo di mail associato a un dispositivo che gli interessa, e poi dare comandi a quel dispositivo, per esempio disabilitando un antifurto o aprendo la porta di un garage altrui.

L’azienda è stata contattata da Sam Sabetan, il ricercatore di sicurezza che ha notato queste falle, ma non ha risposto, neanche quando è stata raggiunta dal Dipartimento per la Sicurezza Nazionale. L’esperto consiglia di scollegare qualunque dispositivo di questa marca e il CISA raccomanda di isolare i prodotti Nexx da Internet e dalle reti aziendali, di proteggerli con un firewall e di usare una VPN per tutti gli accessi.

Gli errori di progettazione rivelati dal ricercatore sono davvero elementari: è da incoscienti usare una password identica in tutti i dispositivi di controllo remoto, perché questo permette a un aggressore di comandare i dispositivi degli altri, come ha fatto appunto Sam Sabetan in un video per dimostrare l’entità della falla. Ed è ancora più preoccupante che l’azienda non si sia finora degnata di rimediare.

Non è il primo caso del suo genere, e quindi resta da chiedersi quanti altri dispositivi domotici e di controllo remoto, i cosiddetti dispositivi smart, sono progettati altrettanto maldestramente e non sono ancora stati scoperti.

Fonti aggiuntive: Sophos, Ars Technica, Graham Cluley.

Due parole sul blocco di ChatGPT

Per finire, spendo due parole a proposito di quello che molti hanno definito impropriamente il blocco di ChatGPT in Italia voluto dal Garante per la Privacy nazionale. In realtà [come nota per esempio Cybersecurity360.it] è stata OpenAI, l’azienda che gestisce ChatGPT, ad autosospendere il servizio per gli utenti italiani in attesa di regolarizzare la propria posizione legale, visto che il Garante italiano le ha segnalato che non rispettava il regolamento europeo sulla privacy e sul trattamento dei dati, per esempio dando libero accesso anche ai minori di 13 anni.

[Nota: anche il Canada ha avviato un’istruttoria; Germania, Francia e Irlanda si appresterebbero a seguire l’esempio del Garante italiano, secondo La Regione/Ats/Reuters]

È molto probabile che questa autosospensione cessi presto, quando OpenAI si metterà in regola. Però nel frattempo molti utenti si sono indignati e si sono affrettati a tentare di aggirare questa autosospensione, usando software di VPN e simili per far sembrare di non essere in Italia. 

Tuttavia la questione della privacy dei dati degli utenti, con questi software di intelligenza artificiale, è seria e fondata: lo sanno bene i dipendenti di Samsung, per esempio, che hanno subìto una fuga di dati sensibili su progetti industriali perché hanno immesso in ChatGPT il codice sorgente dei loro software aziendali per farselo controllare. Ma OpenAI avvisa che quello che si immette può essere letto dai dipendenti dell’azienda [dalle sue FAQ: “Your conversations may be reviewed by our AI trainers to improve our systems”; informativa sulla privacy].

Se immaginate un medico che carica in ChatGPT un referto per farselo riassumere o analizzare, con nomi e cognomi, o un ragazzo che si rivolge a ChatGPT per avere risposte su argomenti delicati come la sessualità e i rapporti interpersonali pensando che sia uno spazio privato, forse le motivazioni del Garante diventano più chiare. Anche perché è già stato segnalato il primo caso documentato di una persona incoraggiata a suicidarsi da un servizio di chat basato sull’intelligenza artificiale.

ChatGPT e simili sono degli strumenti utili, ma è essenziale conoscerne i limiti e il reale funzionamento: non sono veramente intelligenti, danno facilmente suggerimenti falsi o pericolosi, e quello che vi immettete non resta segreto.