Facebook, licenza di spiare

Un risicato gruppo di dipendenti Facebook ha il permesso di accedere ai profili degli utenti senza essere scoperto. Tuttavia, secondo indiscrezioni, ogni volta che il login riguarda la pagina personale di un collega, questi viene informato attraverso quello che internamente è conosciuto come un «Sauron alert», in riferimento all’occhio onniveggente nella trilogia Il Signore degli Anelli. Non esistono simili protezioni per i due miliardi e oltre di utenti del social network più famoso al mondo che non lavorano per la società, hanno specificato le fonti.

L’adozione di due pesi e due misure per gli impiegati rispetto ai normali utenti è una finestra sulla reticenza di Facebook in merito a quanto rivelare agli utenti sulla gestione dei loro dati, affaire che recentemente da Menlo Park hanno tentato di risolvere con una serie di modifiche alla piattaforma. Secondo un portavoce, la società avrebbe tenuto discussioni riguardo all’estensione di questo genere di notifiche a tutti gli utenti. «Pensando a come realizzare qualcosa di simile per tutti, entra in gioco una serie di considerazioni importanti; per esempio, come possiamo evitare di avvertire anche i soggetti in malafede o di intralciare il nostro lavoro nella prevenzione di danni reali in caso di abuso o altre situazioni sensibili», ha aggiunto.

All’inizio di questa settimana, secondo una persona che ha familiarità con la questione, Facebook avrebbe licenziato un ingegnere della sicurezza che si era vantato di questo particolare diritto con una donna conosciuta su un sito di incontri. «I dipendenti che abusano della possibilità di esercitare questi controlli saranno licenziati», ha dichiarato il chief security officer Alex Stamos riguardo all’ultimo incidente. Facebook avverte gli utenti se sono stati hackerati da estranei ma non li informa della penetrazione da parte di dipendenti. «Chiunque può ricevere avvisi su accessi non riconosciuti da altri utenti e verificare attività sospette», ha affermato il portavoce di Facebook.

La possibilità di accedere a un profilo utente senza la password del titolare è limitata a un piccolo team del personale per la sicurezza e pochi altri. Le loro azioni sono attentamente monitorate, assicurano attuali ed ex dipendenti.

Il privilegio conferisce la possibilità di visualizzare informazioni che gli utenti considerano in genere private, quali immagini e post condivisi solo con amici o messaggi privati non crittografati, ha ricordato una delle fonti. A sentire Facebook, i dipendenti con tale autorizzazione possono entrare negli account altrui per diagnosticare errori tecnici, testare nuove funzionalità o indagare su eventuali comportamenti criminali in risposta a una richiesta di natura legale. Utilizzando il software interno, devono fornire una ragione legittima per accedere al profilo; le spiegazioni vengono lette dai manager in un secondo momento. Si ritiene preferibile avere il permesso scritto, hanno raccontato ex dipendenti. Nel corso degli anni diversi sono stati licenziati per aver impropriamente fatto login a profili utente. L’accesso non autorizzato a profili altrui, anche se si tratta del coniuge o del figlio minore di un dipendente, è motivo di licenziamento, ha affermato una delle fonti. I dipendenti, tuttavia, vengono sempre avvisati quando gli ingegneri di Facebook entrano nei loro account, anche quando la società sta indagando su un possibile crimine o illecito, ha aggiunto.

Il sistema di segnalazione interno è stato creato perché gli ingegneri testavano regolarmente nuovi prodotti o risolvevano problemi tecnici utilizzando i profili dei dipendenti, ha spiegato la fonte. Nel 2015 il nome ufficiale del tool è stato cambiato in «Security Watchdog», ma «Sauron» è ancora ampiamente utilizzato.

La notifica di Sauron per i dipendenti è disponibile da anni, riferiscono persone che hanno familiarità con la questione. Di solito, i dipendenti ricevono un’email o una notifica sul proprio account Facebook. Una volta informati, spesso possono scoprire le ragioni di tale accesso attraverso una segnalazione di bug interna o facendo riferimento al team per la sicurezza.

Gli organi di legge e la comunità degli utenti di Facebook hanno espresso preoccupazione per le politiche talvolta lassiste della società sul controllo dei vasti depositi di informazioni che raccoglie sulla gente. In risposta a tali timori, Facebook ha fornito agli utenti ulteriori informazioni sul tipo di dati tracciati e altre opzioni per rimuoverli. Ha ridisegnato l’app e ha cercato di agevolare gli utenti nel vaglio e nella modifica di alcuni dati oggetto di monitoraggio. Questa settimana l’amministratore delegato Mark Zuckerberg ha annunciato che l’azienda rilascerà un sistema per vedere e cancellare l’attività web seguita da Facebook. Ma rimane un grande divario tra ciò che Facebook sa dei suoi utenti e ciò che molti di loro comprendono sulla sua portata.

Tre anni fa Paavo Siljamäki, direttore dell’etichetta discografica Anjunabeats e membro del gruppo musicale dance Above & Beyond, aveva riportato in un post sul social che un ingegnere aveva fatto accesso al suo account durante una visita alla sede di Los Angeles del colosso. Siljamäki aveva dato la sua autorizzazione, ma non le credenziali. «Un ingegnere può quindi accedere direttamente sul social come me, vedere tutti i miei contenuti privati senza chiedermi la password», aveva scritto, «Mi chiedo allora quanti membri dello staff abbiano questo tipo di ‘passe-partout’ per l’account di chiunque?» All’epoca, Facebook aveva replicato che i controlli servivano a prevenire abusi. Questa settimana Siljamäki non ha risposto alla richiesta di un commento. L’ultimo incidente è emerso grazie a un tweet di domenica scorsa pubblicato dalla consulente per la sicurezza Jackie Stokes che includeva una foto di quello che sembra essere uno scambio di messaggi tra la donna del sito di appuntamenti e l’ingegnere licenziato. Stando alla trascrizione della conversazione pubblicata su Twitter dalla Stokes, l’ingegnere asseriva che il suo lavoro consiste nel seguire gli hacker e scovare la loro identità. In un’intervista, la Stokes ha riportato che la donna le aveva confidato: «Sono terrorizzata. Penso che abbia delle cose su di me».  La donna, raggiunta tramite la Stokes, ha rifiutato di essere intervistata. Dopo questi tweet, dipendenti di Facebook, Stamos incluso, l’hanno contattata in merito all’episodio.

Please click here to read this article in English on The Wall Street Journal