Un database militare degli Stati Uniti pieno di dati riservati è finito su eBay (e costa 68 dollari)

Non è chiaro come un dispositivo militare pieno di dati personali sia passato dai campi di battaglia in Afghanistan a un sito di aste online. Il Secure Electronic Enrollment Kit, o SEEK II, sembra una scatola da scarpe, dentro però ci sono foto, informazioni biometriche, nomi e cognomi di terroristi, spie, e agenti sotto copertura.

Matthias Marx, un ricercatore di sicurezza tedesco, ha trovato l’annuncio su eBay, e, al prezzo di 149 dollari (poi scesi a 68 dollari) si è fatto spedire il SEEK II a casa. Dentro ha trovato più di quanto era stato promesso nella descrizione del prodotto. Impronte digitali, scansioni dell’iride, informazioni personali di 2.632 persone. Ne ha comprati altri, il suo obiettivo è studiare la raccolta dati e poi eliminare tutte le informazioni, per tutelare gli utenti registrati sul dispositivo militare.

Il problema è che il SEEK II non è un caso isolato. Dopo una breve ricerca abbiamo scoperto che in questo momento proprio su eBay sono in vendita cinque dispositivi militari dello stesso modello a meno di 300 dollari.

La biometria in guerra

È una delle tante reliquie del vasto sistema di raccolta biometrica del Pentagono post 11 settembre. I metadati sul dispositivo hanno rivelato che è stato utilizzato l'ultima volta nell'estate del 2012 vicino a Kandahar, in Afghanistan. Osama Bin Laden era stato ucciso in Pakistan un anno prima e la sua identità sarebbe trapelata a breve grazie proprio al riconoscimento facciale.

Nel 2012 gli sforzi bellici statunitensi stavano diminuendo e la paura più grande degli americani erano i talebani infiltrati sotto copertura. SEEK II era la macchina giusta per scovare le talpe dentro le basi tramite la registrazione biometrica. La "Guida del comandante alla biometria in Afghanistan" del 2011 descriveva infatti le scansioni del viso, delle impronte digitali e dell'iride come una "capacità sul campo di battaglia relativamente nuova" ma "decisiva" per "identificare efficacemente gli insorti, verificare l'accesso di cittadini locali e di paesi terzi alle nostre basi e strutture e collegare persone agli eventi”.

Come funziona SEEK II

SEEK II ha uno schermo, una tastiera e un tappetino per mouse, sono tutti piccolissimi. Il lettore di impronte digitali è protetto da un coperchio di plastica, e la macchina si apre per consentire al dispositivo la scansione dell’iride e scattare foto. Matthias Marx, come ha spiegato al New York Times, ha testato la macchina su sé stesso, e dopo aver inserito le sue informazioni, sullo schermo è apparso un messaggio che chiedeva di connettersi a un server del comando delle operazioni speciali degli Stati Uniti.

Inizia così, poi si va oltre. Marx, insieme a un gruppo di ricercatori del Chaos Computer Club, un'associazione europea di hacker, hanno acquistato sei dispositivi di acquisizione biometrici su eBay, quasi tutti a meno di 200 euro. L’obiettivo era capire se i talebani avrebbero potuto o meno ottenere i dati biometrici di chi aveva aiutato gli Stati Uniti in guerra.

"È inquietante che (l’esercito americano) non abbia nemmeno provato a proteggere i dati", ha spiegato Marx al New York Times. "A loro non importava del rischio, o lo ignoravano". Tutte le informazioni infatti sono risultate facilmente accessibili e non crittografate. I dati sensibili, non protetti, sarebbero capaci di mettere a rischio per esempio la vita di chi è rimasto in Afghanistan dopo aver aiutato gli americani in guerra.

Come sono arrivati su eBay?

Secondo la Defense Logistics Agency, che gestisce ogni anno lo smaltimento di milioni di dollari di materiale in eccesso del Pentagono, dispositivi come il SEEK II, dovevano essere distrutti sul posto, non sarebbero mai dovuti uscire, tanto meno arrivare su una piattaforma di aste online.

Non si capisce come è potuto succedere. Il primo SEEK II è stato venduto da Rhino Trade, una società di apparecchiature in eccedenza del Texas, ed è stato acquistato attraverso un’asta di attrezzature governative. Il secondo SEEK invece proveniva da Tech-Mart, un venditore eBay dell'Ohio, che non ha voluto spiegare come è entrato in possesso del dispositivo. In generale il regolamento di eBay vieta la vendita di prodotti che contengono informazioni di identificazione personale. Gli account di Rhino Trade e Tech-Mart rischiano quindi di essere sospesi.

Il rischi di vendere un SEEK II

"La gestione irresponsabile di questa tecnologia ad alto rischio è incredibile", ha spiegato Marx. "È incomprensibile per noi che al produttore e agli ex utenti militari non importi che i dispositivi usati con dati sensibili vengano venduti online". Marx ha deciso che, dopo aver completato l’analisi dei dispositivi biometrici, eliminerà i dati di identificazione personale. Dentro il dispositivo ha trovato migliaia di informazioni su terroristi, collaboratori, o anche solo persone fermate ai posti di blocco. Ma è solo un primo passo, il caso del SEEK II, infatti, apre nuove preoccupazioni. Il dispositivo acquistato da Marx, è uno dei tanti che circolano sul web e che espongono al pericolo le persone registrate.

Belkis Wille, un ricercatore di Human Rights Watch che ha scritto sull'uso della biometria in Afghanistan, ha dichiarato all'emittente pubblica tedesca Bayerischer Rundfunk che i collaboratori o le spie degli Stati Uniti, colpite dalla violazione, dovrebbero avere l'opportunità di lasciare l'Afghanistan e chiedere asilo. "Anche un ex poliziotto che si nasconde, che ha cambiato nome, perché non vogliono che i talebani li catturino, non è più al sicuro. Questo sistema significa che non hanno davvero modo di proteggersi".