Inviato da tuxsa il Lun, 8 Giu 2026 - 05:10

«Signora, ma com'è che mi conosce così bene?»

Siamo tutti un po' come il cliente stupito del ristorante abituale che vede il cameriere arrivare con il piatto giusto senza aver ordinato. Solo che qui il cameriere è un algoritmo e il menu è la nostra vita. Ogni nostra mossa online — e sempre più offline — è tracciata, registrata, incrociata e monetizzata. Ma come funziona esattamente questa invisibile macchina da presa digitale? Entriamo nel suo motore.

I cookie: le briciole di Pollicino

Cominciamo dai cookie. Scommetto che avete cliccato "Accetta" almeno mille volte, senza mai leggere veramente cosa stavate accettando.

Un cookie non è altro che un piccolo file di testo che un sito web salva sul vostro browser. Serve a cose utili: ricordare che avete fatto il login, tenere gli articoli nel carrello, salvare le preferenze di lingua. Tutti legittimi, nessun problema.

Il problema arriva con i cookie di terze parti. Quando visitate un sito, non c'è solo quel sito a lasciare cookie. Ci sono anche tutti gli inserzionisti, i social network, gli analizzatori di traffico che quel sito ospita. Per esempio: se leggete un articolo sul Corriere della Sera, il Corriere ha i suoi cookie, ma anche Facebook (tramite il pulsante "Mi piace") e Google (tramite Analytics) ne lasciano uno tutto loro. Questi cookie di terze parti vi seguono da un sito all'altro come briciole di Pollicino: ovunque andiate, lasciate una traccia che le aziende possono seguire.

Negli ultimi anni, i browser hanno iniziato a bloccare i cookie di terze parti. Safari lo fa dal 2020, Firefox dal 2022, e Google Chrome ha promesso di farlo entro fine 2024 (o 2025, chissà). Ma non cantate vittoria. Perché quando i cookie sono stati messi alle strette, l'industria della sorveglianza ha tirato fuori un'arma ancora più insidiosa: il fingerprinting.

Il fingerprinting: la vostra impronta digitale unica

Il browser fingerprinting (impronta digitale del browser) è una tecnica che non ha bisogno di salvare nulla sul vostro dispositivo. Si limita a osservare le caratteristiche del vostro browser e del sistema operativo, e a combinarle per crearvi un'identità univoca.

Quante caratteristiche? Centinaia. La risoluzione dello schermo, il sistema operativo, la lista dei font installati, il fuso orario, la lingua del browser, le estensioni attive, il modello del processore, il tipo di scheda grafica, persino il livello della batteria e l'oscillazione del mouse. Mettete tutto insieme e il risultato è un'impronta che vi distingue tra centinaia di migliaia di altri utenti.

Il bello (o il brutto) è che non potete cancellare questa impronta. Potete eliminare tutti i cookie, cambiare browser, usare la modalità incognito: il fingerprinting vi riconosce comunque. L'unico modo per nascondersi è usare strumenti come Tor Browser, che rende tutti gli utenti simili tra loro, oppure estensioni come CanvasBlocker che alterano alcuni parametri.

Il Panopticlick è un sito dell'Electronic Frontier Foundation (EFF) che mostra quanto siete unici: basta entrare e vi dice "il vostro browser ha un'impronta che lo distingue da 1 su 250.000". Provate per credere. È agghiacciante.

I tracker nelle app: peggio che sul web

Finora abbiamo parlato del web. Ma il luogo dove la sorveglianza è più intensa è un altro: le applicazioni sullo smartphone. Per una ragione semplice: le app hanno accesso a dati molto più intimi di un sito web.

Quando installate un'app gratuita, l'unico modo che lo sviluppatore ha per guadagnare è inserire pubblicità. Per farlo, usa degli SDK (Software Development Kit, kit di sviluppo software) pubblicitari offerti da aziende come Google, Meta, Unity o AppLovin. Questi SDK sono pezzi di codice che l'app incorpora per mostrare annunci, ma mentre lo fanno, raccolgono una quantità spaventosa di dati: posizione GPS precisa, elenco contatti, cronologia chiamate, foto, appunti copiati nella clipboard, elenco delle altre app installate.

E non serve che l'app abbia bisogno di questi dati per funzionare. Una torcia elettrica non ha alcun bisogno di sapere dove vi trovate o chi sono i vostri amici. Eppure molti sviluppatori aggiungono questi SDK perché pagano bene.

Case study 1: le app di torce e giochi

Nel 2017, un'indagine del New York Times ha scoperto che una popolare app di torcia per Android conteneva oltre 15 tracker pubblicitari, che raccoglievano posizione, identificatori del dispositivo e cronologia di navigazione, inviando tutto a decine di società di advertising. L'app non aveva alcuna funzionalità oltre all'accendere il flash del telefono. Un anno dopo, l'Australian Competition and Consumer Commission ha trovato tracker simili in giochi per bambini, tra cui uno che permetteva di tracciare la posizione dei minori in tempo reale. Negli Stati Uniti, la FTC ha multato un'app per bambini che raccoglieva dati di geolocalizzazione senza il consenso dei genitori.

Case study 2: Il caso di Muslim Pro

Nel 202esta di Vice e The Guardian ha svelato un caso ancora più inquietante. L'app Muslim Pro, seguita da quasi 100 milioni di fedeli musulmani in tutto il mondo, offriva orari di preghiera, direzione della Mecca e versetti del Corano. Tutto apparentemente innocuo. Poi si è scoperto che l'app vendeva i dati di posizione degli utenti a una società di intelligence militare americana, X-Mode Social, che a sua volta li rivendeva all'esercito degli Stati Uniti. I soldati americani potevano sapere, in tempo reale, dove si trovavano i fedeli musulmani in giro per il mondo. La scusa? X-Mode diceva di usare i dati per "prevenire il terrorismo". La realtà? Un'enorme violazione di massa della privacy, con implicazioni etiche e di sicurezza gravissime.

Ecco perché diffidare delle app "gratuite" non è paranoia. È buon senso.

Il Pixel di Meta e Google Analytics

Torniamo al web per un attimo. Avete presente quegli annunci su Instagram che sembrano leggervi nel pensiero? Dietro c'è il Pixel di Meta.

Il Pixel è un pezzo di codice – spesso un'immagine invisibile grande 1x1 pixel – che i siti web inseriscono per monitorare il traffico. Quando visitate un sito che ha il Pixel di Meta, il vostro browser carica quell'immagine, e in quel momento invia un messaggio ai server di Meta: "L'utente con identificatore XY è passato da qui". Meta aggiorna il vostro profilo, incrocia i dati, e dopo qualche ora vedete l'annuncio del prodotto che avete guardato.

Lo stesso vale per Google Analytics, presente su oltre 30 milioni di siti web in tutto il mondo. Ogni visita che fate genera un flusso di dati verso Google: che pagina avete visitato, quanto tempo ci siete rimasti, da quale sito siete arrivati, che dispositivo usate, dove vi trovate geograficamente. Tutto viene riversato nel vostro profilo Google, incrociato con le ricerche su Google, con YouTube, con Maps, con Gmail.

Il problema è che non basta bloccare i cookie per fermare questo flusso. Il Pixel e Google Analytics funzionano anche senza cookie, sfruttando il fingerprinting e altri identificatori nascosti.

Quando il blocco pubblicità non basta

Molti pensano di essere al sicuro installando un adblocker come uBlock Origin. Ed è vero: uBlock Origin è un ottimo strumento, blocca la maggior parte dei tracker e delle pubblicità. Ma non è infallibile.

Nel 2023, YouTube ha iniziato una guerra contro gli utenti che usano blocco pubblicità. Il sito ha cominciato a mostrare un messaggio che diceva: "Il blocco degli annunci non è consentito su YouTube. Gli annunci consentono a YouTube di rimanere gratuito per miliardi di utenti in tutto il mondo". In pratica, YouTube minacciava di bloccare la riproduzione se non si disabilitava l'adblocker. La reazione della community è stata forte: molti utenti hanno disinstallato Chrome e sono passati a Firefox con uBlock Origin, altri hanno scoperto estensioni alternative come SponsorBlock o hanno iniziato a usare client alternativi come NewPipe o Invidious.

Ma la battaglia è lungi dall'essere finita. Google ha iniziato a testare nuove tecniche di rilevamento dei blocco pubblicità, basate non solo sui cookie ma anche sul comportamento dell'utente (tempo di caricamento delle pagine, dimensione degli elementi, interazioni). È una guerra invisibile che si combatte in ogni pagina che visitiamo.

Il caso di uBlock Origin bloccato da YouTube

Per capire la posta in gioco, vale la pena approfondire il caso di uBlock Origin e YouTube.

uBlock Origin è un'estensione open source estremamente popolare, con oltre 40 milioni di installazioni su Firefox e Chrome. Funziona bloccando le richieste ai domini noti per pubblicità e tracker, basandosi su liste mantenute dalla community. È leggero, trasparente e non raccoglie dati. Per molti, è la prima linea di difesa contro la sorveglianza.

YouTube, di proprietà di Google, è il più grande sito di video-sharing al mondo. La sua pubblicità genera miliardi di dollari all'anno. Quando gli utenti hanno iniziato a usare uBlock Origin in massa, YouTube ha risposto con un messaggio che bloccava la riproduzione. La mossa ha scatenato un putiferio. Reddit, Twitter e i forum di tecnologia si sono riempiti di discussioni su come aggirare il blocco. La community di uBlock Origin ha rilasciato aggiornamenti rapidi per eludere la rilevazione.

Cosa significa tutto questo? Che anche la difesa individuale richiede uno sforzo costante. I blocco pubblicità sono efficaci, ma devono essere mantenuti aggiornati. E Google ha risorse quasi illimitate per contrastarli. È una corsa agli armamenti in cui il cittadino comune è sempre un passo indietro.

Il caso delle app di period tracking che vendevano dati a Facebook

Se il caso di uBlock Origin è una battaglia tecnica, il caso delle app di period tracking è una storia con implicazioni drammatiche per la vita reale.

Nel 2022, la Corte Suprema degli Stati Uniti ha ribaltato la sentenza Roe vs Wade, che garantiva il diritto all'aborto a livello federale. Da quel momento, ogni stato ha potuto decidere autonomamente se consentire o vietare l'interruzione di gravidanza. In alcuni stati conservatori, l'aborto è diventato illegale o fortemente limitato, con pene severe per le donne che lo cercano e per i medici che lo praticano.

In questo clima, la sorveglianza digitale ha assunto un significato nuovo, terrificante. Le app di period tracking – come Flo, Clue, Period Tracker, My Calendar – sono usate da milioni di donne per monitorare il ciclo mestruale, registrare sintomi, ovulazione, rapporti sessuali e, in alcuni casi, gravidanza. Sono dati tra i più intimi che una persona possa avere.

Un'indagine di The Markup e The Guardian ha scoperto che molte di queste app inviavano i dati raccolti a Facebook tramite il suo SDK pubblicitario. L'SDK di Meta era integrato nelle app per mostrare annunci mirati, ma nel frattempo trasmetteva a Facebook informazioni sensibili: quando una donna registrava un ciclo, quando indicava di essere incinta, quando segnalava un aborto spontaneo. Tutto veniva incrociato con il profilo Facebook della persona.

Il pericolo era concreto. Nei mesi successivi alla sentenza Roe vs Wade, sono emerse segnalazioni di donne che avevano ricevuto annunci su Facebook per "aiuto alla gravidanza" o "consulenza post-aborto", dopo aver usato app di period tracking. Ma la paura più grande era un'altra: se i dati fossero caduti nelle mani della polizia o dei tribunali, una donna che aveva abortito illegalmente avrebbe potuto essere incriminata grazie ai suoi stessi dati.

Floh e Clue hanno negato di condividere dati sanitari con Meta, ma le prove raccolte dai giornalisti erano schiaccianti: gli SDK pubblicitari di Meta raccoglievano eventi come "period_started", "pregnancy_test_positive", "abortion". Meta ha poi affermato di aver vietato agli sviluppatori di inviare informazioni sanitarie sensibili, ma il danno era fatto.

Questa storia ci ricorda che la sorveglianza non è solo una questione di pubblicità molesta. In alcuni contesti, è una questione di vita o di morte. Quando i dati più intimi – la salute riproduttiva, la posizione, le opinioni politiche – vengono raccolti e venduti, chiunque può usarli contro di voi. Lo Stato, i datori di lavoro, i tribunali, i nemici politici.

Chiusura e anticipazione

In questa puntata abbiamo esplorato i meccanismi che tracciano ogni nostro movimento online e nelle app: cookie, fingerprinting, Pixel, SDK pubblicitari. Abbiamo visto che la sorveglianza non è un effetto collaterale, ma il cuore del modello di business della rete. E abbiamo scoperto che non basta usare un blocco pubblicità per essere al sicuro.

Nella prossima puntata, 1.3 – Gli strumenti della sorveglianza quotidiana (parte 2: hardware e IoT), usciremo dal mondo virtuale ed entreremo in quello fisico. Parleremo di smartphone, smart speaker, smart TV, automobili connesse, elettrodomestici che spiano. La "casa che spia" non è più fantascienza: è già nella vostra cucina.

Dossier Sorveglianza: Gli strumenti della sorveglianza quotidiana (parte 1: web e app)