Privacy Letters #89
TIM , call center , Revolut e GrapheneOS
Dal nodo #89, tra traffico cifrato e log cancellati. Questi frammenti resistono:
La Francia Blocca il TeleMarketing Telefonico
Tim Multata . Che novità !
Revolut Chiude La Porta a GrapheneOS
Dopo OpenAI e Anthropic anche META AI scappa
SpyWare AS a Service : LightSpy
Il telemarketing telefonico sarà vietato in Francia: cosa cambierà dall’11 agosto
Nonostante le numerose misure entrate in vigore negli ultimi anni, il telemarketing telefonico non è mai stato così presente nella vita quotidiana dei francesi. Il governo ha così deciso di intervenire irrigidendo le regole. Il telemarketing telefonico è destinato a cambiare radicalmente, o quantomeno, nella sua forma attuale. Da martedì 11 agosto, entrerà in vigore una legge sostenuta dal governo di Emmanuel Macron che rafforza le norme e vieta le chiamate commerciali non richieste. L’obiettivo è proteggere i consumatori dalle sollecitazioni commerciali intrusive e tutelare le persone più vulnerabili da pratiche fraudolente.
D’ora in poi sarà vietato contattare i consumatori senza il loro consenso preventivo. Un consenso che, come precisato dalla Direzione generale della concorrenza, del consumo e della repressione delle frodi (DGCCRF), potrà essere revocato in qualsiasi momento.
Quando le chiamate resteranno consentite
Il telemarketing continuerà comunque a essere autorizzato in due casi:
quando l’azienda avrà ottenuto preventivamente il consenso del consumatore, ad esempio durante un acquisto, una visita in negozio o tramite un modulo;
quando la telefonata riguarderà un contratto già sottoscritto con il cliente.
Ciò significa che un operatore telefonico, una compagnia assicurativa o un altro fornitore con cui il cliente ha già un rapporto contrattuale potranno ancora contattarlo per proporre servizi aggiuntivi o offerte collegate al contratto esistente.
Le aziende potranno inoltre telefonare alle persone che avranno espresso un consenso libero, informato e manifestato con un’azione positiva chiara. Il consenso dovrà specificare che riguarda chiamate commerciali e indicare i beni o i servizi interessati.
Tale autorizzazione non sarà permanente: la sua durata dovrà essere comunicata al consumatore e non potrà superare un anno. Non saranno consentiti rinnovi automatici e il consenso potrà essere revocato in qualsiasi momento, anche verbalmente.
Restano in vigore i limiti sugli orari
Anche quando una telefonata sarà consentita, continueranno ad applicarsi gli attuali limiti orari.
Le chiamate commerciali saranno autorizzate:
dal lunedì al venerdì;
dalle 10:00 alle 13:00 e dalle 14:00 alle 20:00.
Resteranno vietate il sabato, la domenica e nei giorni festivi, salvo che il consumatore abbia concordato esplicitamente una data e un orario precisi.
Un’eccezione per gli abbonamenti alla stampa
L’unica eccezione riguarda la vendita di abbonamenti a giornali, periodici e riviste. Per questo tipo di offerte le aziende potranno continuare a effettuare chiamate anche senza un consenso preventivo.
Con l’entrata in vigore della nuova normativa Bloctel, il registro francese per opporsi alle chiamate commerciali, cesserà di esistere, poiché il principio generale diventerà il divieto di telemarketing senza consenso.
Le imprese dovranno inoltre essere in grado di dimostrare di aver raccolto correttamente il consenso dell’utente. Un contratto concluso a seguito di una chiamata effettuata in violazione delle nuove regole sarà considerato non valido.
Sanzioni molto più severe
Le violazioni saranno punite con sanzioni elevate.
Le persone fisiche potranno essere condannate a multe fino a 75.000 euro per ogni chiamata.
Le aziende rischieranno sanzioni fino a 375.000 euro per ogni chiamata.
I consumatori potranno inoltre segnalare eventuali violazioni attraverso la piattaforma SignalConso, gestita dalle autorità francesi competenti.
Una risposta a un problema diffuso
Secondo il governo francese, la legge nasce dopo anni di reclami da parte dei cittadini.Le autorità stimano che circa tre persone su quattro ricevano almeno una telefonata commerciale indesiderata ogni settimana e che molti cittadini ne ricevano anche più di una.Nel 2024 undici associazioni dei consumatori avevano già chiesto il divieto totale del telemarketing, denunciando il continuo bombardamento di chiamate indesiderate, diventato ormai parte della vita quotidiana.
Anche il divulgatore francese Micode, attraverso una lunga inchiesta pubblicata su YouTube, ha documentato le tecniche utilizzate da numerosi call center, mostrando pratiche aggressive e sistemi che scoraggerebbero le vittime dall’intraprendere azioni legali.
Le misure precedenti non avevano funzionato
Negli ultimi quindici anni erano già state introdotte diverse limitazioni, tra cui il divieto di utilizzare numerazioni mobili 06 e 07 per il telemarketing e restrizioni sugli orari delle chiamate.Tali limitazioni, però, riguardavano solo alcuni settori specifici, come la riqualificazione energetica, l’adattamento delle abitazioni per persone anziane o con disabilità e il Compte Personnel de Formation.
Con la nuova legge il divieto si estenderà alla quasi totalità dei settori economici, sostituendo il precedente sistema di opposizione con un principio di consenso preventivo (opt-in).
Preoccupazioni in Marocco
La nuova normativa ha suscitato preoccupazione anche in Marocco.
Il ministro del Lavoro Younes Sekkouri ha dichiarato che fino a 50.000 posti di lavoro nei call center marocchini potrebbero essere a rischio. Secondo il governo marocchino, il settore ha attirato circa 100 milioni di dollari di investimenti e genera oltre un miliardo di dollari di ricavi annuali.
Grazie al basso costo del lavoro, all’ampia disponibilità di personale francofono e a un contesto sindacale relativamente debole, il Marocco è diventato negli anni una destinazione privilegiata per le aziende francesi che desiderano esternalizzare i servizi di assistenza telefonica.
Secondo Youssef Chraïbi, presidente della Federazione marocchina dei servizi esternalizzati, il mercato francese rappresenta storicamente oltre l’80% del fatturato del settore. Tuttavia, il telemarketing tradizionale costituisce ormai soltanto tra il 15% e il 20% dell’attività complessiva, grazie alla progressiva diversificazione dei servizi offerti.
Come si stanno muovendo gli altri Paesi
La Francia non è l’unico Paese ad aver introdotto restrizioni al telemarketing.
La Germania applica un sistema analogo dal 2009.
I Paesi Bassi hanno recentemente rafforzato la normativa: oltre al divieto delle chiamate commerciali non richieste, le aziende non possono più contattare neppure i propri clienti con offerte promozionali senza un consenso preventivo.
Negli Stati Uniti è disponibile il Do Not Call Registry, mentre il Canada utilizza una propria lista di opposizione. Nel Regno Unito è attivo il Telephone Preference Service, e le aziende che violano le regole possono essere multate fino a 500.000 sterline (circa 583.000 euro) per ogni chiamata.
TIM Multata dal Garante Privacy
L’Autorità italiana per la protezione dei dati personali ha inflitto al colosso delle telecomunicazioni TIM una sanzione di 9,516 milioni di euro dopo aver riscontrato diverse violazioni della privacy e delle norme sul telemarketing, tra cui l’acquisizione illecita del consenso dei clienti, un controllo insufficiente sui partner commerciali di terze parti e la mancata corretta gestione delle richieste degli utenti in materia di protezione dei dati.
Il Garante per la protezione dei dati personali ha annunciato la decisione al termine di un’indagine avviata in seguito a circa 7.000 reclami ricevuti nel corso del 2025 riguardanti telefonate promozionali indesiderate effettuate per conto di TIM. L’Autorità ha accertato che call center non autorizzati utilizzavano pratiche ingannevoli per promuovere i servizi TIM, raccogliendo illecitamente i dati personali dei consumatori.
Secondo il Garante, TIM non ha vigilato adeguatamente sui partner coinvolti nella propria filiera del telemarketing né ha garantito il rispetto delle norme in materia di protezione dei dati.
Secondo l’Autorità, il sistema aveva origine da telefonate non richieste effettuate tramite numeri falsificati (spoofing) o non registrati, spesso rivolte a consumatori iscritti al Registro Pubblico delle Opposizioni , che consente agli utenti di opporsi alle chiamate di telemarketing. Gli operatori si presentavano come rappresentanti autorizzati di TIM e promuovevano i servizi dell’azienda.
I consumatori interessati ricevevano quindi un SMS contenente un collegamento a una pagina web gestita da un partner commerciale ufficiale di TIM, dove veniva loro chiesto di inviare una richiesta di contatto. Secondo il Garante, questa procedura creava un “lead” fittizio, che consentiva a un call center regolarmente registrato di contattare successivamente l’utente utilizzando un numero telefonico legittimo, facendo apparire conforme il successivo processo di vendita, nonostante avesse avuto origine da una chiamata illecita.
Il Garante ha ribadito che i titolari del trattamento restano responsabili del controllo sui propri partner e devono assicurare che i dati personali siano trattati in modo lecito lungo l’intera filiera del telemarketing.
L’Autorità ha inoltre accertato che TIM ha ripetutamente omesso di rispettare i diritti degli interessati, rispondendo in ritardo o non rispondendo affatto alle richieste di accesso ai dati, cancellazione e opposizione al trattamento. Ha inoltre criticato le procedure di cancellazione dall’iscrizione, giudicandole inutilmente complesse e, in alcuni casi, non funzionanti.
Oltre alla sanzione da 9,516 milioni di euro, il Garante ha ordinato a TIM di rafforzare la vigilanza sulla propria rete commerciale, introdurre maggiori garanzie nel processo di lead generation e migliorare le procedure per la gestione delle richieste relative alla privacy.
Ricordo che TIM era già stata multata nel 2020 dal garante per la privacy con una sanzione record di 27,8 milioni di euro per trattamenti illeciti di dati e pratiche scorrette nel marketing. Sempre nello stesso anno TIM ha ricevuto una sanzione dall’Antitrust per aver ostacolato lo sviluppo della fibre come potete legere qui multa tim antitrust .
Dunque il colosso delle comunicazioni non è nuovo a questo tipo di sanzioni, per questo bisogna iniziare a cambiare le modalità su come queste ultime vengono erogate .
Va benissimo multare l’azienda , va da se che l’azienda ricevendo una sanzione così sostanziosa, taglierà i bonus ai manager, ma sono proprio loro che dovrebbero essere puniti in maniera diretta, in quanto responsabili delle decisioni strategiche e quindi dovrebbero pagare in prima persona .
Revolut Chiude La Porta a GrapheneOS
GrapheneOS afferma che Revolut ha iniziato a bloccare i clienti che utilizzano il suo sistema operativo Android incentrato sulla privacy, sostenendo che la società fintech presenti la restrizione come una misura di sicurezza, mentre in realtà sta applicando requisiti relativi alle licenze di Google Play e alla certificazione dei dispositivi.
Il progetto GrapheneOS ha sollevato la questione in un thread su X , dopo aver ricevuto segnalazioni secondo cui alcuni utenti non potevano più effettuare l’accesso a Revolut. Secondo il progetto, i clienti che avevano già effettuato l’accesso generalmente continuavano a poter utilizzare l’app, suggerendo che i controlli possano essere applicati durante l’autenticazione o la verifica del dispositivo.
GrapheneOS è un sistema operativo Android open source e progettato con misure di sicurezza rafforzate, sviluppato principalmente per i dispositivi Google Pixel. Rafforza il sandbox delle applicazioni Android, le protezioni contro gli exploit, i controlli delle autorizzazioni e il modello degli aggiornamenti, consentendo agli utenti di installare i servizi Google Play come applicazioni sottoposte a sandbox invece che come componenti di sistema privilegiati.
Revolut è una società britannica di tecnologia finanziaria che offre servizi bancari, pagamenti, cambio valuta, investimenti e carte attraverso la propria applicazione mobile. Il ricorso a controlli sull’integrità del dispositivo non è insolito per una piattaforma finanziaria, ma GrapheneOS sostiene che l’implementazione di Revolut prenda di mira le caratteristiche del sistema operativo invece di misurare l’effettivo livello di sicurezza del dispositivo.
Il progetto sostiene che Revolut controlli i valori relativi alla build utilizzati da GrapheneOS per le sue build deterministiche e rifiuti i dispositivi che segnalano uno stato giallo di Android Verified Boot, che indica un bootloader bloccato che utilizza una chiave di firma non originale. GrapheneOS ha osservato che, secondo quanto riferito, Revolut non applicava la stessa restrizione allo stato arancione, normalmente associato a un bootloader sbloccato.
GrapheneOS ha dichiarato di aver modificato in precedenza alcuni valori della build rilevabili e di aver aggirato il blocco di Revolut nel gennaio 2025. Tuttavia, ritiene che Revolut intenda ancora vietare il sistema operativo e che abbia ora introdotto o riattivato controlli che interessano i nuovi tentativi di accesso.
Come soluzione temporanea, il progetto ha suggerito di effettuare l’accesso con un account Google usa e getta, in modo che il dispositivo possa superare la valutazione di integrità di base di Play Integrity, per poi installare Revolut attraverso il Google Play Store in sandbox, così da soddisfare il controllo dell’app sulla fonte di installazione. GrapheneOS ha inoltre dichiarato di voler introdurre una soluzione di compatibilità più sicura per le applicazioni che verificano la propria fonte di installazione.
Gli sviluppatori sostengono che Revolut consenta l’utilizzo di dispositivi che eseguono versioni obsolete di Android senza patch di sicurezza aggiornate, mentre rifiuta installazioni di GrapheneOS completamente aggiornate.
GrapheneOS ha inoltre affermato che Revolut potrebbe utilizzare le funzionalità di hardware attestation di Android per verificare l’hardware supportato, lo stato del boot, la versione del sistema operativo e il livello delle patch, senza escludere i sistemi operativi alternativi. I signori dietro GrapheneOS hanno dichiarato di aver condiviso con Revolut la propria guida alla compatibilità con l’attestation per diversi anni, prima del blocco segnalato.
Revolut non ha rilasciato una dichiarazione ufficiale sulla questione al momento della pubblicazione.
OpenAI poi Anthropic adesso META . Questione di MARKETING
Una delle IA più performanti di Meta è partita per un giro su Internet durante una sessione di valutazione. Una volta online, Meta AI ha scoperto e sfruttato una falla di sicurezza nel sistema di un’azienda. Come ChatGPT e Claude, Meta AI ha approfittato di un errore umano per orchestrare la propria fuga.
Meta ha brevemente perso il controllo di Meta AI. L’azienda rivela che Muse Spark 1.1, uno dei suoi modelli di IA, è evaso dalla prigione digitale nella quale veniva testato. Presentato come il sistema di IA più performante per la programmazione in condizioni reali, Spark 1.1 ha individuato una falla che gli ha permesso di accedere a Internet all’interno del suo ambiente protetto.
Un esperimento che va storto
L’incidente si è verificato durante un esperimento realizzato sotto la supervisione di Irregular, una società indipendente specializzata nella valutazione delle capacità offensive dei modelli di IA. Questo fornitore collabora con diversi giganti tecnologici, tra cui Meta e OpenAI. Questi test mirano a determinare se un’IA sia in grado di rilevare e sfruttare autonomamente le vulnerabilità informatiche.
Come spiega Meta, l’esperimento avrebbe dovuto svolgersi in un ambiente isolato, senza alcun accesso a Internet. Purtroppo, un errore di configurazione dell’ambiente ha aperto all’intelligenza artificiale le porte di Internet.
«Un errore di configurazione da parte di Irregular, una società di test indipendente utilizzata da Meta, ha involontariamente permesso a uno dei nostri modelli di accedere a Internet durante la valutazione», conferma Meta.
Il modello Muse Spark si è quindi ritrovato sul web. L’IA ha rapidamente individuato e sfruttato una vulnerabilità di sicurezza in un servizio di terze parti appartenente a un’azienda. Meta non ha comunicato il nome dell’azienda per motivi di sicurezza. Sfruttando questa vulnerabilità, l’intelligenza artificiale è riuscita a modificare parametri interni dei sistemi di questa società.
«Il modello ha sfruttato una falla di sicurezza in un servizio di terze parti, in modo simile ai casi precedentemente segnalati presso altre aziende», spiega Meta in un comunicato.
Un nuovo attacco informatico lanciato da un’IA fuori controllo
L’incidente che ha coinvolto Meta AI si aggiunge alla lista crescente degli attacchi informatici accidentali condotti dalle IA. Nelle ultime settimane, diversi episodi analoghi sono stati registrati presso OpenAI e Anthropic.
È stato ChatGPT ad aprire le danze, evadendo dalla sua prigione digitale per attaccare una piattaforma open source. Successivamente, Anthropic ha rivelato che anche Claude si era ritrovato su Internet, dove aveva violato tre aziende.
Più recentemente, un test condotto da un’organizzazione britannica si è concluso con l’attacco a diversi sviluppatori. Creando false identità online, Claude e ChatGPT hanno tentato di manipolare persone reali incaricate della gestione di progetti open source.
Errore umano e pubblicità
Irregular ha informato Meta dell’incidente nel più breve tempo possibile. La società precisa che si tratta dello «stesso problema dell’ambiente di valutazione già rivelato da Anthropic la settimana precedente».
Il fornitore, coinvolto in gran parte degli esperimenti falliti descritti in questo articolo, aggiunge che Meta AI non ha orchestrato un attacco informatico particolarmente «sofisticato» per raggiungere il proprio obiettivo.
«Attualmente non ci sono problemi in sospeso. Irregular sta preparando un libro bianco per condividere le migliori pratiche in materia di contenimento e valutazioni di cybersicurezza», dichiara Irregular.
Nella maggior parte degli incidenti, compreso quello che ha coinvolto Meta AI, è un errore umano ad aver portato alla fuga delle IA. Non era però così nel primo attacco condotto da ChatGPT. In quel caso, il modello aveva sfruttato una vulnerabilità zero-day presente in un software.
Meta ha dichiarato che pubblicherà ulteriori informazioni sull’incidente «una volta che avremo tutti i fatti» a disposizione.
Questi attacchi potrebbero alimentare le preoccupazioni degli esperti di sicurezza, ma vengono anche ampiamente sfruttati dai giganti della tecnologia come forma di pubblicità. Come OpenAI e Anthropic, Meta approfitta infatti dell’occasione per mettere in evidenza le elevate capacità offensive dei propri modelli di IA.
Come dice il proverbio, non esiste cattiva pubblicità.
Uno tool spyware cinese opera in 13 Paesi
Uno tool di spyware digitale sviluppato in Cina si è evoluto in una tecnologia di sorveglianza sempre più completa, utilizzata in più di 13 Paesi tra cui Europa e USA. Questo è quanto emerge secondo una nuova ricerca condotta da una società di sicurezza.
I ricercatori della società di cybersecurity Arctic Wolf hanno dichiarato che lo spyware LightSpy, scoperto per la prima volta nel 2018 e precedentemente collegato a hacker sostenuti dallo Stato cinese, si è da allora evoluto in una piattaforma di spyware commerciale gestita da un singolo attore, che fornisce i propri servizi a governi, aziende e organizzazioni militari. Secondo i ricercatori, la piattaforma dispone di branding personalizzato, sistemi di fatturazione e ambienti dimostrativi destinati alla pubblicità presso potenziali clienti.
LightSpy è dunque una piattaforma di spyware modulare che permette a chi la controlla di attaccare una moltitudine di dispositivi diversi, tra cui smartphone, dispositivi Apple, server Linux e PC Windows. Utilizzando exploit specifici per ciascun dispositivo, lo spyware può sottrarre grandi quantità di informazioni sensibili dalle vittime, tra cui dati di localizzazione precisi, messaggi delle chat, registrazioni dello schermo e password memorizzate. I ricercatori hanno inoltre affermato che il codice è in grado di cancellare e distruggere da remoto i dati presenti su un dispositivo compromesso.
L’identità degli operatori di LightSpy non è chiara ma i ricercatori di Arctic Wolf hanno affermato di essere riusciti a collegare le attività più recenti ad un appaltatore cinese dopo che uno degli operatori ha utilizzato il pannello di amministrazione di LightSpy per effettuare un ordine presso Kentucky Fried Chicken, utilizzando il proprio vero nome e l'indirizzo del proprio ufficio.. La società ha affermato di essere in contatto con il Department of Homeland Security sulla questione e di voler condividere le proprie scoperte con l’FBI.
L’Ambasciata cinese a Washington non ha voluto rilasciare commenti.
«Man mano che queste capacità si diffondono, aumenta il potenziale che strumenti di sorveglianza sofisticati vengano utilizzati per monitorare, intimidire o reprimere le voci dell’opposizione», ha dichiarato Justin Moore, direttore della ricerca sulla threat intelligence presso Arctic Wolf. «La sfida ora non consiste più soltanto nel difendersi dagli attori legati agli Stati nazionali, ma anche da un ecosistema in crescita di organizzazioni, criminali informatici e governi che hanno accesso a capacità simili».
Secondo i ricercatori, con l’espansione del mercato globale dello spyware, questa crescita segna l’inizio di una nuova domanda di tecnologie di sorveglianza. Aziende private come NSO Group forniscono ai propri clienti spyware in grado di monitorare gli smartphone.
«LightSpy riflette un cambiamento più ampio nel mercato dello spyware, poiché la sorveglianza sta diventando un prodotto, e non più soltanto un’operazione una tantum o un singolo malware. Quando capacità avanzate di spionaggio possono essere confezionate, vendute e riutilizzate, il numero di soggetti malevoli in grado di condurre attività di sorveglianza sofisticate aumenta drasticamente», ha dichiarato Moore.
Secondo la società di cybersecurity, clienti in tutta la Cina, comprese aziende, agenzie governative, organizzazioni militari e istituzioni educative, utilizzano LightSpy.
LightSpy esiste, in diverse forme da anni. La sua infrastruttura si è espansa dalla Cina continentale a diversi altri Paesi. Attualmente l’organizzazione dispone di 117 server e gestisce software malevolo installato sui router di rete, consentendo agli hacker di intercettare e inoltrare dati in Europa e Africa.