[EDIT ore 12:19 del 22 settembre: vedi aggiornamento in fondo al post]
Life is now o Power to you che sia, pure l’intoccabile e tanto decantata Vodafone ci è cascata: fino a qualche giorno fa, un grave problema di sicurezza affliggeva lo shop on-line del 190.it, permettendo a chiunque di accedere a dati personali, ordini effettuati, numeri di telefono, seriali sim, eccetera. L’ho scoperto io stesso l’8 settembre scorso, e ovviamente l’ho subito segnalato al gestore stesso. E non sono stato l’unico, anche Massimo ha fatto lo stesso. Quello che leggerete qui di seguito fa riferimento ad avvenimenti accaduti negli ultimi giorni.
Dov’è il problema?
Accade – non sempre, eh – ma accade, che pure il sottoscritto ogni tanto abbia voglia di provare l’ebrezza di navigare in GPRS (peraltro unica compagnia che qui copre solo in 2G). Avevo quindi un numero di telefono in TIM che desideravo riportare in Vodafone per non farlo scadere, e il 5 settembre ho deciso di ordinare una microsim per il mio iPhone dal 190.it, su cui portare il mio numero.
Come ogni shopping online che si rispetti, ogni volta che un utente si registra ed effettua un ordine sul 190.it, riceve una mail di conferma. E fin qui nulla di particolare. Come spesso accade, questa mail contiene un link (senza autenticazione) che manda ad una pagina di riepilogo. La struttura del link è la seguente:
https://***/router.php?codice_fiscale=CODICE_FISCALE_UTENTE&codice_pratica=CODICE_PRATICA
Come detto, la pagina non è protetta da alcuna autenticazione, e, sebbene le informazioni disponibili a quel link siano scarse e sia necessaria la conoscenza del codice fiscale dell’utente per accedervi, già questo potrebbe bastare a porre qualche dubbio sulla sicurezza di tale procedura. Tuttavia il vero problema non sta qui. In questa pagina è contenuto un link ad un PDF, che riporta copia tutti i documenti cartacei che si ricevono con il proprio ordine fisico. Parliamo quindi di moduli di attivazione di contratti precompilati, moduli di portabilità precompilati, eccetera eccetera.
La struttura del link di tale PDF è la seguente:
http://***/Welcome_A1234567.pdf
Dove A1234567 è il progressivo della pratica. Ora, capite pure voi dove voglio andare a parare.
Appare chiaro quindi che chiunque può provare a sostituire le cifre finali del link per accedere ai PDF dei vari utenti.
Ho immediatamente segnalato la cosa via Twitter a Vodafone stessa. Devo evidentemente aver smosso qualcosa o toccato qualche nervo scoperto: in circa 5 minuti sono stato ricontattato telefonicamente per ben due volte. La famosa efficienza inglese. Mi è stato dato un indirizzo mail interno a cui spiegare i dettagli del problema, con la promessa che “ci risentiremo per ringraziarti della segnalazione“. Mi è stato chiesto inoltre – gentilmente – se fossi disponibile a cancellare il mio tweet (che in 10 minuti era già salito a 8 retweet) per evitare di “diffondere il panico”. Ho acconsentito per evitare problemi, almeno fino alla risoluzione del problema.
Nel frattempo anche un amico ha segnalato la cosa. Per tutta risposta, ottiene un secco “Grazie, ma non c’è bisogno di RT massivi“. Quando si dice la riconoscenza.
Il sassolino nella scarpa
Ovviamente il “ci risentiremo” è caduto nel vuoto. Nemmeno un “grazie, abbiamo risolto”. Così li ho ricontattati io, a dieci giorni di distanza. E telefonicamente mi è stato detto che ancora non si sapeva nulla. Anche se, giudicando da una breve visita nello shop online, effettivamente il problema è stato sistemato appena 12 ore dopo la mia segnalazione.
Però c’è ancora una cosa che vorrei dire in questo frangente. Un piccolo sassolino che mi devo levare dalla scarpa. Una storiella, se volete, visto che stiamo parlando di Vodafone. Nel settembre del 2009 (2009, avete presente? elezione della Merkel, tsunami nel pacifico? ecco, quel 2009), in procinto di laurearmi - con una ottima media, peraltro – ho partecipato alle selezioni del Graduate Program di Vodafone. Quella roba che oggi fa tanto chic per una azienda e che vorrebbe, nelle intenzioni, selezionare i “migliori talenti” direttamente nelle università. Bene, dopo aver passato diversi step, non passa nemmeno un laureato in materie scientifiche (eravamo un discreto gruppo di ingegneri delle telecomunicazioni). Le selezioni, i colloqui di gruppo, era tutto tarato per valutare la capacità di vendita e di promozione e non certo le competenze o conoscenze tecniche.
Ecco. A distanza di due anni, io, fossi in Vodafone, qualche domanda me la farei.
EDIT ore 12:19 22 settembre: Mi hanno appena telefonato dal team Twitter di Vodafone. Si scusano se non hanno fatto passare il ringraziamento a sufficienza, e sostengono che comunque avevano ringraziato durante la prima segnalazione e le successive telefonate. Sostengono comunque che era in programma un tweet pubblico di ringraziamento, che è arrivato pochi minuti fa…
{ 6 comments }


