Il Dirupo di Seneca dell'Internet

4 agosto 2026

Il blog di Ugo Bardi è di nuovo online dopo circa due settimane di difficoltà. Di seguito descrivo i dettagli dell’attacco hacker che ho subito. I danni non sono ancora stati completamente riparati e sto attualmente ripulendo la lista degli iscritti, invasa dagli hacker con migliaia di account falsi. Durante questa operazione, la vostra iscrizione potrebbe essere annullata. Mi scuso per l’inconveniente. Se notate di non ricevere più email da questo blog, vi prego di iscrivervi nuovamente. Noi andiamo avanti, ma Internet sta diventando un luogo ostile.

Una delle più grandi intuizioni di Jay Forrester, lo sviluppatore del campo che oggi chiamiamo “Dinamica dei Sistemi”, fu che ogni sistema in crescita getta al suo interno i semi della propria distruzione. Nel suo libro del 1971, World Dynamics , modellizzò il comportamento dell’economia mondiale, prendendo in considerazione un parametro chiamato “inquinamento”, considerato non solo un inconveniente, ma un fattore fondamentale intrinseco all’intero sistema.

L’idea originale di Forrester era che l’inquinamento creasse una relazione di feedback con gli altri elementi del sistema, che alla fine avrebbe portato al collasso. In un certo senso, Forrester fu un degno erede del filosofo romano Lucio Anneo Seneca, il quale affermò che “La crescita è lenta, ma la rovina è rapida”. Era un’ottima descrizione dell’effetto dell’inquinamento, in ultima analisi legato all’entropia.

Ora, qualcosa di simile sta accadendo all’Internet. È cresciuto rapidamente negli ultimi decenni, e non sorprende che stia generando una forma di inquinamento interno. La forma principale è l’”hacking”, ovvero persone, o forse bot, che cercano di prendere il controllo degli account altrui. La difesa si concretizza in sistemi sempre più sofisticati di password, chiavi di accesso, autenticatori e altro ancora.

Queste tecnologie funzionano, ma hanno un costo: è il meccanismo identificato da Forrester. Attacco e difesa crescono di pari passo e, con gli hacker che diventano sempre più sofisticati, non è impossibile che l’intera internet diventi inaccessibile a chi non può permettersi le tecnologie di difesa più avanzate.

Personalmente, ho già la sensazione di essere sotto assedio continuo e riesco a immaginare un sacco di cose orribili che degli hacker esperti potrebbero fare se riuscissero a prendere il controllo dei miei account, cosa che sono sicuro possano fare, nonostante tutte le precauzioni che sto prendendo.

Questo renderebbe internet inutilizzabile? Chissà? C’è qualcosa a favore del ritorno alla scrittura cuneiforme su tavolette d’argilla. L’unico messaggio di errore che si potrebbe ricevere è “tavoletta caduta a terra e rotta”.

Di seguito, una descrizione di quanto accaduto che potrebbe esservi utile.

_________________________________________________

In meno di una settimana, gran parte della mia vita digitale è andata in pezzi. Il mio account Substack è stato sospeso, la mia lista di iscritti cancellata. Gli account LinkedIn e Amazon sono stati chiusi e tutti i miei iscritti paganti su Substack sono stati rimborsati a mia insaputa. Allo stesso tempo, qualcuno stava allegramente spendendo i miei soldi per generare clip video su un sito di immagini basato sull’intelligenza artificiale.

Ve lo racconto ora come una sequenza coerente di eventi. Come potete immaginare, però, mentre tutto ciò accadeva, è stata una settimana di confusione, durante la quale scoprivo un nuovo disastro ogni volta che aprivo una finestra del browser. Se avete vissuto qualcosa di simile, sapete di cosa parlo. Siete come un’aringa in mezzo agli squali, e gli squali non hanno fretta, perché non andrete da nessuna parte.

La storia è personale, ma ho pensato che potesse interessarvi. Quello che è successo ai miei account è un piccolo, chiaro, esempio di ciò di cui scrivo da anni: l’effetto Seneca. Le cose crescono lentamente, ma crollano rapidamente.

Andando a ritroso: il Trojan. All’inizio, mi sono incolpato per il disastro. Avevo accumulato un gran numero di account in vent’anni, centinaia. E, necessariamente, avevo riutilizzato la stessa password almeno alcune volte. Ho pensato che chiunque fosse riuscito a conoscere una di queste password avrebbe avuto accesso a molti dei miei account.Ma no, questa è la spiegazione sbagliata. Il punto è che gli hacker non si sono limitati a violare uno o due account. Ogni sito in cui mi ero mai connesso, almeno una dozzina, mi inviava messaggi che mi avvisavano di un tentativo di accesso non autorizzato, della chiusura del mio account o qualcosa del genere. Persino siti in cui non ricordavo minimamente di essermi mai connesso.

Le password possono essere rubate, ma come si fa a bloccare tutti gli account di un utente? La violazione era stata molto più estesa del semplice utilizzo della stessa password su siti diversi.

La spiegazione era diversa . A un certo punto, durante tutto quel caos, ho scoperto un virus Trojan annidato all’interno del mio PC e l’ho eliminato quasi immediatamente. All’epoca, l’ho archiviato mentalmente come una spiacevole coincidenza. Ma probabilmente era l’origine della storia.

La presenza del Trojan coincide con quanto ho scoperto controllando il mio indirizzo email su

Le mie password erano memorizzate sul mio PC in Google Password Manager. Quel vault è crittografato, ma con una chiave legata al mio account utente del sistema operativo. Protegge egregiamente da un ladro che ruba il portatile, ma non offre alcuna protezione contro un programma eseguito con i miei privilegi. Che è esattamente ciò che un Trojan può fare. A un certo punto, ha esportato le mie credenziali in un punto di raccolta dove sono state raggruppate con quelle di altri 183 milioni di persone e messe in vendita. Non posso provarlo, ma credo sia la spiegazione più probabile.

Quindi gli hacker non avevano bisogno che riutilizzassi alcuna password. Hanno ricevuto l’intero set delle mie password in una volta sola, in un unico file, insieme ai dati di compilazione automatica e agli indirizzi degli account a cui venivano utilizzate per accedere.

Corrisponde qualitativamente all’osservazione di Seneca secondo cui “la crescita è lenta, ma la rovina è rapida”. Mi ci sono voluti anni per costruire la rete di contatti che mantengo sul web, e solo un giorno o due, forse anche poche ore, per veder crollare tutto.

Certo, questo disastro informatico non è esattamente la stessa cosa che io chiamo “Seneca Cliff”. Tendo a usare quel nome per i crolli correlati, in cui un elemento trascina con sé altri elementi, e il risultato è una frana o una valanga. In questo caso, le mie password non si influenzavano a vicenda. Il meccanismo era diverso.

Gli ingegneri hanno un nome per questo fenomeno: si chiama guasto modale comune . Si verifica quando diversi elementi di un sistema collassano contemporaneamente, non perché si influenzino a vicenda, ma, più semplicemente, perché un elemento esterno li influenza tutti allo stesso modo.

Pensiamo alla demolizione controllata di un edificio: delle cariche esplosive lo fanno crollare in un unico blocco – si tratta di un cedimento per modalità comune. È molto diverso dalla cascata di crolli che fa crollare, ad esempio, un ponte: il movimento inizia in piccolo, magari si rompe un cavo, poi questo provoca la rottura di altri cavi, una sezione del piano del ponte crolla e il crollo si propaga ad altri cavi e ad altri piani.

Tendo a pensare che la prima spiegazione sia la più probabile. Non sono una persona così importante da meritare un attacco specifico da parte dei poteri forti. E, in ogni caso, se un’entità davvero potente volesse cancellare il mio lavoro, potrebbe farlo senza lasciare traccia, senza lasciare nulla da salvare.

C’è però un dettaglio che suggerisce che la seconda spiegazione potrebbe avere fondamento. Chi ha attaccato il mio account sul sito di creazione di immagini basate sull'intelligenza artificiale ha ottenuto un vantaggio in termini di crediti. Su Substack, invece, sono riusciti a rimborsare tutti i miei abbonati paganti. Questo mi è costato denaro, ma non ha fruttato nulla agli aggressori. È stata una distruzione gratuita e ingiustificata.

Ora, gli hacker sono per definizione persone spregevoli, e potrebbe essersi trattato semplicemente di vandalismo fine a se stesso. Ma è quantomeno compatibile con l’ipotesi che non si sia trattato di un attacco casuale: di recente avevo partecipato a un’accesa discussione su Facebook riguardo alle energie rinnovabili, che aveva generato una bella tempesta di commenti. Non ci avevo dato molta importanza. Ma un attacco che distrugge valore senza ricavarne nulla è, a dir poco, una strana forma di furto. In ogni caso, non lo saprò mai con certezza.

Il colpo di fortuna

Qualche settimana prima che iniziassero gli attacchi ai miei account, avevo notato delle anomalie sulla mia carta di credito. Strani messaggi che vedevo sullo schermo di un bancomat. Non li ho collegati a nulla, perché non c’era ancora nulla a cui collegarli. Ho semplicemente pensato: c’è qualcosa che non va. Ho bloccato la carta.

È stata pura fortuna. Non sono stato lungimirante; ho reagito a un sintomo di cui non capivo la causa. Ma è per questo che questo articolo racconta di un inconveniente piuttosto che della perdita di diverse migliaia di euro. Non mi ha protetto completamente; parte del mio denaro è stata prelevata direttamente dal mio conto corrente. Ma ha ridotto notevolmente i danni. Quando qualcosa sembra anomalo su una carta di pagamento, il costo del blocco è una settimana di piccolo fastidio. Il costo di razionalizzare la cosa è illimitato. Non aspettate di avere una teoria.

Il punto fondamentale è che non ho mai temuto di perdere diversi anni di lavoro perché ho un backup completo su uno degli hard disk del mio PC. Indipendentemente da ciò che Substack fa o non fa, avere un backup fa la differenza tra una battuta d’arresto e una catastrofe. Se pubblichi qualcosa da qualche parte e la piattaforma conserva qualcosa che non puoi ricostruire, esegui subito un backup. Non il mese prossimo. Ora.

Aggiungo un’osservazione. Durante tutto questo, mi sono affidato molto agli assistenti IA: Claude e ChatGPT, a volte contraddittori, ma sempre utili. Non solo per le domande tecniche. C’è qualcosa nella semplice disponibilità di un interlocutore paziente alle due del mattino che ti impedisce di sentirti completamente solo a combattere contro i mostri.

Si tratta di un meccanismo che ho descritto nel mio libro “L’effetto Seneca” come equivalente alla “strategia della martingala”, talvolta utilizzata nei giochi d’azzardo. La martingala consiste nell’aumentare la probabilità di piccole vincite, in cambio di una bassa probabilità di una perdita ingente. È anche ciò che fanno gli argini ai fiumi: eliminano le piccole inondazioni annuali con cui tutti hanno imparato a convivere, e in questo modo fanno sì che l’eventuale piena sia catastrofica. Quello che faccio usando un vault è concentrare tutto il rischio in un unico elemento. Se qualcuno la viola, avrà accesso a tutte le mie password e a tutti i miei dati. Non è un pensiero confortante.

Quindi, il vault è una buona idea? Probabilmente sì, a patto che sia difeso e custodito. Ma, proprio come gli argini possono cedere e causare inondazioni, il caveau non è solo una difesa imperfetta, ma potrebbe essere controproducente di fronte a qualcuno che possiede strumenti davvero potenti per recuperare la password principale. Dopotutto, ogni volta che aprite il vostro caveau, digitate la password sulla tastiera. E sappiamo che tutto ciò che digitate può essere registrato dal software giusto. Esattamente il tipo di cosa che un Trojan può fare.

Cosa sostituirà le password ?

Useremo ancora le password in futuro? Forse, ma la storia sta diventando goffa e inefficiente, ho ipotizzato che sarebbero state sostituite dalla biometria: volto, retina, impronta digitale. Ma, se ci pensate, vi rendete conto che è un’idea terribilmente sbagliata. Le vostre firme biometriche sono dati numerici. E se il vostro modello retinico venisse rubato? Vi sottopongono a un trapianto di occhi?

La direzione in cui le cose si stanno effettivamente muovendo è diversa: le passkey. Il principio è la crittografia a chiave pubblica. Il vostro dispositivo contiene una chiave privata; Il sito web contiene solo la chiave pubblica corrispondente, che è inutile per chiunque la rubi. Sì, ma dipende comunque dalla capacità umana di gestire il sistema. Se dimentichi la tua password principale, sei perso per sempre.

La parte che ancora mi preoccupa

Ciò che questo episodio mi ha dato, più di ogni altra cosa, è stata la percezione fisica di quanto sia fragile Internet. L’intero web è una massa brulicante di dati in movimento, regolata solo in parte da filtri che funzionano solo a tratti. Quando la mia piccola rete è andata in tilt, è andata completamente in tilt in pochi giorni. Il mio collasso è stato contenuto perché la mia rete era piccola e solo debolmente collegata a quella di chiunque altro. Ma stiamo tutti silenziosamente consolidando: più account dietro un minor numero di provider di identità, più vita dietro un unico login, più ridondanza. Ognuno di questi consolidamenti è individualmente sensato. Ognuno di essi è un argine. Cosa impedisce un fallimento su scala più ampia? Non so quale potrebbe essere la risposta; forse nessuno lo sa.

Ci preoccupiamo molto della prospettiva di un’IA fuori controllo. A giudicare dagli eventi delle ultime settimane, direi che i malintenzionati, dotati di strumenti comuni e di una moderata dose di malizia, rimangono la preoccupazione più pressante. Non hanno bisogno di essere particolarmente astuti. Devono solo trovare il file su cui si basa tutto il resto. Se non altro, controllate i vostri indirizzi email su haveibeenpwned. Se il vostro indirizzo compare in un database di log di furto, il problema è il vostro computer, non un sito web. Prima di tutto, eseguite una scansione e una pulizia: cambiare le password su un computer infetto non serve a nulla, perché le nuove password vengono inviate attraverso lo stesso canale delle vecchie. Se alcune delle vostre password sono state rubate, prima di tutto, terminate ogni sessione attiva. I cookie di sessione rubati aggirano sia la password che l’autenticazione a due fattori e sopravvivono al cambio di password.

Quindi, alcuni suggerimenti

________________________________________________

- Revoca l’accesso alle app di terze parti. Un’autorizzazione OAuth continua a funzionare anche dopo aver cambiato la password. Lo stesso vale per le “password per app”, che bypassano completamente l’autenticazione a due fattori. Verifica entrambi gli elenchi confrontandoli con ciò che hai effettivamente autorizzato.
- Controlla i filtri di posta e le regole di inoltro, nonché l’indirizzo email e il numero di telefono di recupero del tuo account. Una regola di inoltro è ciò che permette a un malintenzionato di continuare a leggere la tua posta per anni dopo che pensi di aver risolto il problema.
- Utilizza comunque un gestore di password, ma comprendi cosa stai acquistando. Stai scambiando molti piccoli rischi con uno grande, quindi tratta il vault come il punto critico che è: una password principale lunga e univoca,
l’autenticazione a due fattori hardware sull’account a cui si sincronizza e non illuderti che gli account al suo interno siano indipendenti l’uno dall’altro.

- Attiva l’autenticazione a due fattori soprattutto sull’indirizzo email che tutti gli altri utilizzano per il recupero. Quell’indirizzo è la radice dell’albero. Se cade, tutto ciò che si trova sotto cade con esso.
- Abilita le chiavi di accesso ovunque siano disponibili.
- Esegui il backup di tutto ciò che una piattaforma conserva e che non sei in grado di ricostruire: elenchi di abbonati, archivi, contatti.
- Se qualcosa non ti sembra a posto su una carta di pagamento, bloccala. Non serve prima una teoria.