Persona: sistema di sorveglianza con verifica dell'età

Tre ricercatori di sicurezza hanno scoperto su un server accessibile da Internet numerosi dati sensibili ottenuti da Persona con la verifica dell’età implementata da Discord. Queste informazioni evidenziano la creazione di un vero e proprio sistema di sorveglianza. L’azienda californiana ha recentemente introdotto la verifica obbligatoria, ricevendo feroci critiche dagli utenti.

Persona conserva dati sensibili

Persona è un’azienda di San Francisco che sviluppa l’omonimo sistema di verifica dell’età. A partire dall’inizio di marzo, Discord applicherà automaticamente le impostazioni per minori a tutti gli account. Se i tool automatici rilevano l’età sbagliata sarà necessaria la verifica tramite riconoscimento facciale (documento di identità o video selfie).

Discord ha comunicato che non userà più Persona (il nuovo provider è k-ID), ma quanto scoperto dai tre ricercatori evidenzia una raccolta di massa dei dati utilizzati per scopi diversi dalla verifica dell’età. Mentre cercavano un modo per aggirare la verifica hanno scoperto un frontend esposto ad Internet su un server autorizzato dal governo statunitense, sul quale erano accessibili 2.456 file.

In questi file, i ricercatori hanno trovato dettagli di un vero e proprio sistema di sorveglianza. Oltre alla verifica dell’età, il software di Persona esegue 269 distinti controlli. Sfruttando il riconoscimento facciale vengono confrontati i selfie con foto di persone esposte politicamente o presenti in liste di controllo suddivise in 14 categorie, tra cui terrorismo, spionaggio, traffico di droga, pedopornografia, truffe e riciclaggio di denaro.

Persona raccoglie indirizzi IP, impronte digitali di browser e dispositivi, numeri dei documenti d’identità, numeri di telefono, nomi e volti. Secondo i ricercatori, il software può anche effettuare l’analisi dei dati finanziari, quindi potrebbe essere usato per determinare un punteggio di rischio degli utenti (utile ad esempio durante la valutazione per un prestito).

Come detto, Discord non userà più Persona per la verifica dell’età. Il software viene utilizzato anche da altre aziende, tra cui Roblox, Lime e OpenAI.