Google+ vulnerabile da anni, ma Google ha taciuto

Un bug manda Google+ nel momento peggiore della sua mai esaltante parabola. Il social network di Mountain View, infatti, sarebbe stato viziato fin dal mese di marzo da una vulnerabilità che avrebbe dato accesso a dati privati della piattaforma.

Il bug è stato identificato all’interno dei permessi che vengono concessi ad una app a cui viene teoricamente concesso l’accesso ad un profilo per ricavarne i suoi dati pubblici: tanto i dati privati del profilo stesso, quanto i dati privati dei contatti del medesimo profilo, erano in realtà accessibili fin dal 2015. Potenzialmente coinvolti 496.951 profili utente.

Google spiega come nessuna delle oltre 400 app potenzialmente abilitate a tale accesso abbiano mai drenato dati dal social network, né alcuna violazione è mai stata registrata. Il problema non è pertanto nella violazione o nel fatto che qualcuno possa averli trafugati, quanto piuttosto nel comportamento tenuto da Google dopo la scoperta del problema. La vulnerabilità è venuta infatti a galla nel mese di marzo (momento nel quale ha ricevuto anche una patch risolutiva che ha posto termine a tre anni di pericoli), ma da allora non se ne era mai avuta notizia. Secondo quanto emerso dal Wall Street Journal, testata grazie a cui è scoppiato lo scandalo, un documento interno di Mountain View evidenzia come il gruppo abbia preferito celare il problema per evitare danni in termini di immagine: nell’epoca dello scandalo Cambridge Analytica, tutto poteva essere desiderabile fuorché essere accostati a Facebook.

Google ha immediatamente intrapreso una serie di interventi riparatori per mettere al sicuro gli utenti e far passare l’idea per cui privacy e sicurezza rimangono priorità incontrastate, ma ormai è tardi: c’è da attendersi sulla questione un intervento delle autorità, con particolare attenzione a quelle europee che con la GDPR (entrata in vigore dopo la scoperta del bug da parte di Google, ma prima che venisse scoperta anche dal pubblico) potrebbe ora imporre anche pesanti sanzioni ad Alphabet per non aver immediatamente informato utenti e autorità di quanto scoperto.