Geolocalizzazione e metadati delle foto pubblicate

Una pubblicazione ha due parti: ciò che vi si inserisce volontariamente e ciò che il dispositivo o l'applicazione vi associa. Per la seconda, le fonti documentano il ruolo delle app mobili. Un'app può chiedere l'accesso ai dati personali del dispositivo, compresi i dati di localizzazione. Gli sviluppatori vi hanno allora accesso e possono condividerli con terzi, per esempio aziende di pubblicità mirata in base alla posizione e agli interessi⁴. Alcune app danno accesso alla posizione fisica approssimativa dell'utente⁴.

Sul versante del social network, le impostazioni di visibilità sono spesso molto aperte per impostazione predefinita: i dati possono essere condivisi con tutti i follower⁶. Anche in una cerchia che si ritiene ristretta, una pubblicazione può essere rilanciata o interpretata oltre quanto previsto da chi l'ha scritta⁶.

I gesti qui sotto riprendono le raccomandazioni delle fonti.

• Limitare l'accesso alla posizione. Per le app che ne hanno bisogno, la CISA consiglia di limitare tale accesso ai momenti in cui l'app è in uso⁴. Raccomanda di controllare in particolare le app che accedono a fotocamera, archivio e posizione⁴.
• Controllare le autorizzazioni. Verificare i permessi di ogni app, togliere quelli non necessari e valutare la rimozione delle app troppo invadenti⁴.
• Impostare la privacy. Chiedersi chi può vedere una pubblicazione e se le opzioni sono configurate in modo che vi accedano solo le persone volute⁵. Ricontrollare regolarmente queste impostazioni, che possono essere modificate a propria insaputa⁶.
• Selezionare ciò che si dice. Non diffondere informazioni personali o sensibili che potrebbero servire a nuocere e mostrare discernimento quando si parla del proprio lavoro, perché può arrecare danno al dipendente e alla sua azienda⁶. L'NCSC invita a distinguere ciò che le persone vicine hanno bisogno di sapere dai dettagli inutili che potrebbero servire ai criminali⁵.
• Tenersi informati su ciò che altri dicono di sé: amici, colleghi e contatti⁵.
• Non rispondere alle domande di uno sconosciuto sull'azienda. La CISA consiglia di diffidare di telefonate, visite o e-mail che chiedono dei dipendenti o di informazioni interne e di verificare l'identità della persona direttamente presso l'azienda⁷.

La prima insidia è l'impronta digitale (digital footprint), cioè l'insieme delle informazioni disponibili online su una persona. L'NCSC spiega che i criminali possono servirsene per rubare un'identità o per rendere più convincenti i messaggi di phishing⁵.

La seconda è la falsa impressione di una cerchia chiusa: una pubblicazione può sfuggire a chi l'ha scritta anche tra un pubblico scelto⁶.

La terza è il falso interlocutore. Un attaccante può presentarsi come un nuovo dipendente, un tecnico riparatore o un ricercatore e, se non ottiene abbastanza informazioni da una persona, contattarne un'altra della stessa organizzazione basandosi su ciò che la prima ha detto⁷. I dettagli pubblicati possono rendere questo racconto più credibile.

La quarta riguarda gli account violati: i contatti possono condividere contenuti dannosi a loro insaputa, soprattutto se il loro account è stato violato senza che lo sappiano⁶.

Infine, il collegamento di un'app a un account di social network permette all'app di raccogliere informazioni da quell'account, e viceversa⁴. Le fonti consigliano di verificare le autorizzazioni prima di accettare⁴⁶.

Per far rimuovere una pubblicazione imbarazzante o compromettente, Cybermalveillance.gouv.fr rimanda ai consigli della CNIL⁶. Per segnalare un contenuto illecito, indica la piattaforma Internet-signalement.gouv.fr⁶. Se sono state divulgate informazioni sensibili dell'azienda, la CISA consiglia di avvisare le persone competenti dell'organizzazione, compresi gli amministratori di rete⁷.