Illinois e Minnesota: dati di quasi un milione di cittadini esposti pubblicamente per anni
Il fatto
A gennaio 2026 è emerso che due stati americani — Illinois e Minnesota — hanno subito esposizioni di dati personali di cittadini su scala massiccia, colpendo quasi un milione di persone.
Il caso dell’Illinois è particolarmente grave: dati personali sensibili erano visibili pubblicamente su internet per quattro anni senza che nessuno se ne accorgesse. Non si tratta di un attacco sofisticato — ma di una misconfiguration di sistema rimasta invisibile per un periodo di tempo imbarazzante.
Il caso Illinois: quattro anni di dati pubblici
Il Department of Human Services dell’Illinois ha confermato che informazioni personali dei propri utenti erano accessibili pubblicamente online. La causa: un sistema configurato in modo errato che esponeva dati senza autenticazione o accesso controllato.
Quello che rende questo incidente particolarmente grave non è la sofisticazione dell’attacco — non c’è stato nessun attacco. È la combinazione di:
Dati altamente sensibili: il Department of Human Services gestisce programmi di assistenza sociale, sussidi per la disabilità, supporto alimentare (SNAP), programmi per l’infanzia e la famiglia. I dati esposti includono informazioni di persone in condizioni di vulnerabilità economica e sociale.
Quattro anni di esposizione: dal momento in cui la misconfiguration è stata introdotta fino alla sua scoperta, qualsiasi motore di ricerca, qualsiasi crawler, qualsiasi attore con una semplice richiesta HTTP poteva accedere a questi dati.
Impossibilità di sapere chi ha acceduto: quando i dati sono esposti pubblicamente senza autenticazione per anni, non esiste un log affidabile di chi li ha consultati. Non c’è modo di sapere se attori malevoli abbiano già raccolto e monetizzato queste informazioni.
Il caso Minnesota: stesso pattern, stesso periodo
Il Minnesota ha vissuto una situazione analoga nello stesso periodo, con un’esposizione di dati personali attraverso un sistema di gestione statale.
Il fatto che due stati abbiano avuto problemi simili nello stesso arco temporale solleva una domanda: quanti altri sistemi governativi simili sono attualmente esposti senza che nessuno lo abbia ancora notato?
Il problema sistemico: sistemi legacy e sicurezza
I sistemi informatici delle amministrazioni pubbliche americane hanno storicamente problemi cronici:
Budget insufficienti per la sicurezza: molte agenzie governative statali e locali operano con budget IT esigui, spesso esternalizzando lo sviluppo a contractor con pratiche di sicurezza variabili.
Sistemi legacy: molti sistemi governativi sono stati costruiti decenni fa con tecnologie che non erano progettate per essere esposte su internet. La migrazione al cloud o la modernizzazione avviene lentamente.
Mancanza di competenze interne: le agenzie governative faticano a competere con il settore privato per attrarre talenti di cybersecurity.
Scarsa supervisione: a differenza delle aziende private che hanno regolamentazioni sulla breach disclosure (GDPR in Europa, leggi statali negli USA), i sistemi governativi non sempre hanno meccanismi di audit continuo della loro esposizione.
Le conseguenze per i cittadini esposti
I dati esposti da sistemi di assistenza sociale sono particolarmente utili per:
Furto di identità: combinando nome, indirizzo, data di nascita, e altri identificatori, è possibile richiedere prestiti, aprire carte di credito, o commettere frodi fiscali a nome della vittima.
Frode sui sussidi: conoscendo i programmi di cui beneficia qualcuno, un attore malevolo può tentare di reindirizzare i pagamenti o effettuare richieste fraudolente.
Targeting di persone vulnerabili: le persone che ricevono assistenza sociale sono spesso in condizioni di vulnerabilità economica — il che le rende target ideali per truffe e phishing.
Il problema della notifica
Uno degli aspetti più difficili di incidenti come questi è la notifica. Come si notifica un milione di persone che i loro dati sono stati esposti? Molti dei beneficiari di programmi di assistenza sociale:
- Non hanno email (la notifica elettronica non li raggiunge)
- Cambiano frequentemente indirizzo
- Parlano lingue diverse dall’inglese
- Non hanno accesso affidabile a internet per seguire le istruzioni di protezione
La notifica via posta fisica è costosa e lenta. La notifica via media raggiunge solo chi segue attivamente le notizie. C’è una componente strutturale irrisolvibile: le persone più esposte sono spesso le meno equipaggiate per proteggersi.
Conclusione
L’Illinois e il Minnesota ci ricordano che la maggior parte dei breach non sono operazioni hacker sofisticate — sono misconfigurations, configurazioni di default non cambiate, sistemi legacy esposti su internet senza adeguate protezioni. La security by obscurity non è sicurezza. Un sistema esposto pubblicamente per quattro anni non è mai stato sicuro — semplicemente non era stato ancora trovato da qualcuno che pubblicizzasse la scoperta.