Il mio cane contro gli avvocati d'élite del GDPR: la violazione dei dati di Valve di cui nessuno parla
Come una richiesta GDPR di routine gestita da uno studio legale internazionale abbia portato a una catastrofica violazione dei dati degli utenti di Steam e dei minori.
Il mio cane: 0 ore fatturate. 0 fughe di dati. 100% più bravo a gestire i PDF rispetto agli avvocati aziendali d'élite.
Esploriamo una domanda assurda ma estremamente pratica nell'ambito della privacy dei dati aziendali: un colosso tecnologico globale come Valve Corporation dovrebbe assumere avvocati d'élite specializzati in attacchi legali — come quelli dello studio legale internazionale Taylor Wessing — per gestire le richieste standard di accesso ai dati ai sensi del GDPR?
La risposta dipende interamente dalla tua situazione:
- Se la vostra azienda è completamente innocente e conforme: Assolutamente no.
- Se la vostra azienda dispone di un enorme tesoro di dati interni da nascondere: Oh, sì. Assumeteli immediatamente.
Perché? Perché questi avvocati d'élite aziendali agiscono come inconsapevoli doppi agenti. Aiuteranno volentieri il tuo avversario a scoprire ogni singola cosa che stai disperatamente cercando di nascondere alle autorità di regolamentazione. L'unico requisito tecnico è che il tuo avversario sappia come aprire un PDF con una redazione mal eseguita.
È esattamente per questo che, nella sfida per il miglior Responsabile della Protezione dei Dati (DPO), il mio cane batte senza ombra di dubbio un avvocato aziendale strapagato. Un cane può anche rosicchiare un cavo ethernet, ma non metterà mai su un piatto d'argento i tuoi segreti aziendali più sensibili, causando una violazione dei dati ai sensi del GDPR.
La militarizzazione della burocrazia
La strategia centrale di questi studi legali di prim'ordine è proiettare un'aura di conoscenza riservata, minacciare l'avversario fin dall'inizio e ritardare artificialmente il processo legale. Il diritto dell'UE richiede una risposta GDPR entro 30 giorni? La forniranno al giorno 35, porranno una domanda di chiarimento priva di significato e riavvieranno il conteggio. L'obiettivo non è la conformità; l'obiettivo è esaurire la persona che contesta la società.
Abbiamo la cronologia esatta di questo ping-pong burocratico. Il 15 agosto, un avvocato di Taylor Wessing (Dr. Tobias Schelinski) ha inviato una lettera formale facendo tutto il possibile per ritardare la richiesta GDPR. Ha richiesto ulteriori prove di identità, sostenendo che l'indirizzo email usa e getta dell'utente (un alias che si traduce letteralmente in "NonImportante") non contenesse esplicitamente il loro nome reale. Ha poi sfruttato questo ritardo artificioso per bannare immediatamente e permanentemente l'account Steam in questione.
Hanno trascinato questa semplice richiesta di dati per mesi. Alla fine, il 1° ottobre, un altro avvocato (il dott. Patrick Zurheide) ha preso in carico il caso e ha consegnato i dati richiesti.
(E sì, Taylor Wessing, sappiamo quanto questo articolo debba avervi entusiasmato. Ci dispiace tantissimo aver rivelato la vostra strategia aziendale d'élite ai vostri concorrenti. Aspettate, avete persino concorrenti a questo livello di incompetenza digitale? In realtà, lasciate perdere, non rispondete. Non abbiamo 30 giorni da aspettare per una risposta da una parte di cui non potrebbe importarcene di meno.)
Ma mentre strumentalizzare i ritardi è una tattica legale standard, ciò che accadde dopo fu un catastrofico fallimento operativo. Mentre questi cani da guardia erano occupati ad abbaiare contro la recinzione, lasciarono la porta sul retro spalancata.
Un breve corso accelerato di IT per avvocati specializzati in tecnologia (Modulo 101)
Prima di esaminare i dati trapelati, dobbiamo parlare di come sia accaduto.
Se guardi il programma di qualsiasi rispettabile Master of Laws (LL.M.) in Diritto delle Tecnologie dell'Informazione, troverai moduli approfonditi sulla Protezione dei Dati Internazionale, sui Quadri Normativi per la Cybersecurity e sull'interpretazione giuridica dell'Articolo 32 del GDPR ("Sicurezza del trattamento"). I professori dedicano mesi a far assimilare agli studenti la necessità teorica di proteggere i dati personali.
Tuttavia, le università danno per scontato che uno studente laureato sappia già come funziona un computer. Non insegnano "Come salvare un file" o "Come usare Adobe Acrobat". Ed è qui che il sistema legale aziendale d'élite è crollato.
Ecco la realtà tecnica che è sfuggita agli esperti:
Un Portable Document Format (PDF) non è una semplice fotografia piatta. È un contenitore digitale stratificato. Quando utilizzi un editor PDF di base per disegnare un rettangolo vettoriale nero sopra una riga di testo, non stai cancellando il testo. Stai semplicemente posizionando un post-it digitale sopra di esso.
Chiunque apra quel documento in un programma come LibreOffice Draw, Adobe Illustrator, o anche in un semplice script di estrazione del testo, può semplicemente selezionare il livello di testo sotto la casella nera, copiarlo e incollarlo in Notepad.
Una corretta redazione richiede la "sanitizzazione" — un processo che rimuove permanentemente gli oggetti di testo e i metadati dal codice del documento. Disegnare una forma nera non è cybersecurity; è artigianato digitale.
I Dati Trapelati: Quando l'Incompetenza Diventa Pericolosa
In risposta a una richiesta standard ai sensi dell'Articolo 15 del GDPR, la rappresentanza legale di Valve ha consegnato un imponente documento di 830 pagine pieno di questi "lavoretti" digitali. Hanno posizionato con cura forme vettoriali nere su migliaia di righe di dati — lasciando visibili solo le informazioni convenienti alla loro narrativa (in particolare, i report degli utenti presentati contro il richiedente).
A prima vista, la pura dedizione nel disegnare scatole nere su 830 pagine è quasi impressionante. Ma quando si aggirano semplicemente i vettori e si osserva l'effettivo dato che è stato divulgato, l'umorismo svanisce all'istante.
Attraverso la nostra analisi di come le grandi aziende gestiscono le richieste ai sensi dell'Articolo 15 del GDPR, abbiamo identificato un problema sistemico. Gli studi legali aziendali che agiscono per conto dei colossi tecnologici spesso funzionano più come reparti aggressivi di pubbliche relazioni o periti assicurativi. La loro tattica principale è intimidire, temporeggiare e fare pressione sul richiedente per impedire la divulgazione dei dati.
Tuttavia, quando alla fine sono costretti a consegnare i dati, la loro incompetenza tecnica viene messa a nudo. Nel tentativo di nascondere i dati personali di terzi o i segreti aziendali interni, questi avvocati ricorrono abitualmente a metodi di redazione PDF fondamentalmente difettosi.
La nostra raccomandazione urgente a tutti gli utenti, oppositori legali e sostenitori della privacy:
Se tu, i tuoi colleghi o chiunque altro conosci avete mai richiesto dati e ricevuto un PDF da questi avvocati aziendali con testo coperto da riquadri neri — controllate subito quei file.
Apri il PDF in un editor di base (come LibreOffice Draw, Adobe Illustrator) o semplicemente prova a evidenziare il testo sotto il rettangolo nero con il cursore e incollalo in Notepad. Se il testo viene copiato, si è verificata una violazione dei dati su larga scala. Trasmetti questa informazione a chiunque stia affrontando battaglie legali simili. Controlla ogni singolo documento. Le loro tattiche intimidatorie sono un bluff, e la loro incompetenza tecnica gioca a loro sfavore — ma compromette anche la privacy di innumerevoli individui.
Cosa hanno effettivamente divulgato gli avvocati d'élite:
- Accessi utente de-anonimizzati: Poiché un accesso a Steam è spesso profondamente personale e collegato ad altre identità online, oltre il 60% degli utenti in quel documento è stato identificato immediatamente e completamente.
- Log non crittografati, Chat Grezze e Report Assurdi: Non erano semplici log di server standard. Il documento esponeva un tesoro di segnalazioni utente assolutamente fuori di testa e assurde. Stiamo parlando di messaggi grezzi e non oscurati, pesantemente intrisi di volgarità estrema, pura invidia e odio incontrollato. Includevano veri e propri auguri di morte, insulti nazionalistici e astio geopolitico severo da parte di utenti russi nei confronti di un utente ucraino. Invece di proteggere adeguatamente questi dati altamente sensibili e tossici, gli avvocati d'élite hanno di fatto confezionato un database grezzo di discorsi d'odio e lo hanno consegnato, completamente esposto.
- Mettere a rischio i minori: L'utente ucraino i cui diritti alla privacy Valve cercava di sopprimere non era un adolescente qualunque. È un individuo con serie capacità tecniche. Non riuscendo a eseguire una redazione PDF di base, gli avvocati gli hanno consegnato un database completamente de-anonimizzato delle persone che lo avevano segnalato. Ciò ha messo quegli utenti Steam — molti dei quali minorenni — in diretto pericolo fisico e digitale.
Il mio cane non farebbe mai una cosa del genere. Il mio cane si limiterebbe a mangiare la documentazione. Zero violazione dei dati.
Il Capolavoro dell'Ipocrisia: Pagina 8
Se pensate che il guasto tecnico sia divertente, la lettera di accompagnamento ufficiale allegata a questa fuga di dati eleva la situazione a una commedia assoluta.
A pagina 8 della risposta legale ufficiale, il Dott. Zurheide nega formalmente all'utente l'accesso a determinati dettagli dell'account. Qual è la sua giustificazione legale per trattenere le informazioni? Citiamo direttamente dal documento tedesco:
Non è possibile fornire informazioni più precise a causa della protezione dei dati personali di altri utenti della piattaforma Steam...
Una risposta più dettagliata non è possibile a causa della protezione dei dati personali di altri utenti Steam…
Rifletti un attimo su questo. Il Salary Partner ben pagato di Taylor Wessing ha esplicitamente rifiutato di fornire alcuni dettagli per proteggere la privacy di altri utenti Steam… nella stessa identica email in cui ha allegato un PDF di 830 pagine che ha completamente divulgato le identità de-anonimizzate, i log delle chat e i discorsi d'odio grezzi di quegli stessi utenti.
Ha dichiarato con orgoglio, per iscritto, di proteggere proprio quei dati che stava attivamente perdendo.
La lettera si conclude poi con una classica tattica intimidatoria aziendale: minacciare l'utente di azione penale ai sensi del Codice Penale tedesco (StGB), tenendo allo stesso tempo in ostaggio il resto dei dati dell'utente legalmente garantiti dal GDPR, finché l'utente non "spiega" determinati comportamenti dell'account agli avvocati. È un capolavoro di burocrazia armata, ma del tutto incompetente.
Una recensione a 5 stelle per l'esperienza legale IT "Elite"
Per comprendere la gravità di questo fallimento, bisogna guardare a chi gestisce questi dati. Non stiamo parlando di un tirocinante.
Secondo i profili professionali pubblici, la persona responsabile di questa risposta è un recentemente promosso Salary Partner presso Taylor Wessing. Si tratta di un professionista che vanta un Master of Laws in Diritto Commerciale Internazionale presso l'Università di Aberdeen e — ironia della sorte — ha letteralmente completato studi di dottorato in Diritto delle Tecnologie dell'Informazione.
Quando assumi uno specialista con un dottorato di ricerca in Diritto delle Tecnologie dell'Informazione presso uno studio internazionale di prim'ordine, ti aspetti che sappia come sanificare correttamente un documento digitale prima di trasmettere dati sensibili degli utenti oltre i confini nazionali.
Al contrario, questo catastrofico fallimento nell'alfabetizzazione digitale di base ha inavvertitamente confermato realtà tecniche che Valve ha negato con fermezza per anni. Grazie a questa spettacolare svista legale, ora disponiamo di prove ufficialmente documentate che:
- Collegamento Massivo degli Account: Valve possiede la capacità di collegare gli account Steam risalenti al 2019.
- Telemetria Profonda: Valve mantiene un sistema interno di telemetria e registrazione dati sui propri utenti che, per profondità, rivaleggia con quello delle agenzie di intelligence statali.
- Conferma Ufficiale: L'équipe juridique d'élite ha convenientemente confermato tutto ciò in una corrispondenza legale ufficiale e verificabile.
Una Supplica Umile ai Professori di Diritto Informatico (E un Reality Check)
Agli stimati professori dell'Università di Aberdeen e delle altre prestigiose istituzioni che offrono lauree in Diritto delle Tecnologie dell'Informazione: abbiamo un'umile richiesta. Vi preghiamo, vi imploriamo, di spingere i vostri studenti con maggiore rigore sulla parte effettivamente "IT" dei loro corsi di laurea.
Insegna loro come funzionano i grafici vettoriali. Insegna loro che disegnare un riquadro in Adobe Acrobat non cancella magicamente il codice testuale sottostante. Questi sono fondamenti digitali assoluti che dovrebbero essere padroneggiati prima che a chiunque venga conferito un dottorato di ricerca o venga consentito di avvicinarsi a dati sensibili degli utenti ai sensi del GDPR.
Ma siamo completamente onesti nei confronti delle istituzioni accademiche. Le università sono entità altamente autorevoli e rispettabili. Sappiamo per certo che nessun professore rispettabile insegna a uno studente come ritardare artificialmente una risposta GDPR legalmente obbligatoria per esaurire una vittima.
Quella specifica competenza — l'armamentizzazione della burocrazia e il deliberato prolungamento delle tempistiche legali — non fa parte di alcun programma universitario. Si tratta strettamente di un'iniziativa interna aziendale. È quel tipo di arte oscura che si impara solo entrando a far parte di uno studio come Taylor Wessing.
Questo evidenzia in realtà una realtà brutale e taciuta del moderno percorso di carriera legale. Sembra che i laureati che comprendono davvero la tecnologia finiscano per trovare lavori normali e rispettabili, costruendo, proteggendo e innovando nel mondo reale.
E gli altri? Quelli che vogliono solo indossare abiti costosi e giocare con le parole d'ordine? Finiscono in studi come Taylor Wessing per fare da consulenti aziendali strapagati, incaricati di seppellire i segreti sporchi dei giganti della tecnologia dietro scatole nere digitali mal disegnate.
Una Petizione Formale alle Autorità di Protezione dei Dati dell'UE
Ai regolatori GDPR e alle autorità per la protezione dei dati attualmente incaricate di supervisionare questo caos: supponendo che i vostri uffici non siano presidiati dallo stesso identico tipo di "esperti", vi chiediamo rispettosamente di indagare sul circo che opera sotto il nome di Taylor Wessing.
Esiste un meccanismo legale per imporre una ri-certificazione digitale per questi professionisti? O forse qualcuno dovrebbe semplicemente controllare la loro temperatura? Sembra davvero che nel momento in cui questi avvocati ricevono il loro prestigioso prefisso "Dott.", vengano colti da una grave febbre aziendale che cancella permanentemente l'alfabetizzazione informatica di base dal loro cervello.
Renditi conto dell'enorme volume di violazioni del GDPR contenute in questa singola interazione? Hanno ritardato artificialmente una risposta legalmente obbligatoria, trattenuto dati sotto la falsa veste di "proteggere" altri, armato la burocrazia, e poi accidentalmente divulgato i dati grezzi e de-anonimizzati di quelle stesse identiche persone.
Nel frattempo, diamo un'occhiata al tabellone. Il mio cane ha ancora esattamente zero violazioni di dati. Certo, non ha elaborato correttamente la richiesta GDPR. Ma non ha nemmeno causato una massiccia fuga di dati transfrontaliera fatturando al cliente centinaia di euro all'ora. Nell'ecosistema aziendale moderno, non fare assolutamente nulla e semplicemente non combinare guai rende il mio cane l'indiscusso Dipendente del Mese.
È ora di cambiare le regole del gioco su Steam
Non si tratta solo di un avvocato che commette un errore con un PDF. Si tratta del sistematico disprezzo per la sicurezza degli utenti da parte di una piattaforma da miliardi di dollari.
Il nostro progetto, PhishDestroy, è nato perché Valve semplicemente non si curava dello spam incontrollato, del phishing e degli account compromessi che stavano divorando il suo ecosistema. Siamo cresciuti in quel vuoto di responsabilità aziendale.
Ora, grazie direttamente alla scelta della rappresentanza legale da parte di Valve e a questa successiva fuga di dati, il sipario è stato sollevato. È giunto il momento di smantellare la loro politica di voltare lo sguardo mentre i minori vengono derubati, ignorando il gioco d'azzardo non regolamentato con le skin e congelando permanentemente gli inventari degli utenti per gonfiare i propri profitti.
Abbiamo raccolto le prove, la cronologia dell'assurdità aziendale e l'analisi tecnica completa dei loro fallimenti. È una lettura densa e seria, perché la verità su come le multinazionali gestiscono i tuoi dati di solito lo è.
Leggi qui l’indagine completa e approfondita sulle pratiche di Valve:
PhishDestroy: Come Valve Trae Profitto dai Account Rubati
Nota di esclusione speciale per Taylor Wessing e Dr. Zurheide
Sappiamo esattamente cosa succederà dopo. Sappiamo che probabilmente stai già redigendo una segnalazione per violazione dei Termini di Servizio o una lettera di diffida per far rimuovere questo articolo.
Prima di procedere, chiariamo alcune cose pubblicamente.
Innanzitutto, PhishDestroy è un'iniziativa 100% senza scopo di lucro. Da questo non guadagniamo assolutamente nulla, zero. Non si tratta di un attacco commissionato dai vostri concorrenti (ammesso che ne abbiate, a questo specifico livello di artigianato digitale). Pubblichiamo questo perché la vostra catastrofica fuga di dati costituisce la prova fondamentale per la nostra vasta indagine su Valve.
In secondo luogo, desideriamo complimentarci sinceramente per la vostra opera d'arte. Quelle 830 pagine di rettangoli neri posizionati manualmente sono davvero squisite. I quadrati sono profondi, ricchi e sorprendentemente uniformi. Sono una bellissima testimonianza del fatto che il denaro aziendale non significa assolutamente nulla per le aziende che lo spendono. Considerando la vostra tariffa oraria presso Taylor Wessing, questo potrebbe essere il progetto d'arte moderna più costoso nella storia dei videogiochi.
(Suggerimento da professionisti per la tua prossima risposta GDPR: visto che stai già fatturando a Valve centinaia di ore per disegnare quadrati neri su oltre 800 pagine, magari prova a disegnare anche dei bei cerchietti sotto di essi? Giusto per variare. Non proteggerà i dati in modo migliore, ma sarà divertente per chi estrae il testo).
Infine, consideri questo un cortese avvertimento:
Qualsiasi tentativo di segnalare, colpire o minacciare legalmente questa pubblicazione sarà trattato come un attacco diretto alla legittima ricerca di sicurezza senza scopo di lucro. Operiamo secondo una regola molto semplice di Internet. Siete liberi di provare a rimuovere questo link. Ma se lo farete, faremo ciò che facciamo sempre: per ogni link che distruggete, ne appariranno cinque di nuovi.
Benvenuto su internet.
Un promemoria legale per Taylor Wessing: La regola delle 72 ore
Normalmente non ti offriremmo consigli di business oltre a "chiudi i battenti", ma in qualità di esperti di cybersecurity ci sentiamo in dovere di evidenziare la realtà legale del tuo fallimento tecnico.
La vostra pratica di utilizzare sovrapposizioni grafiche vettoriali invece di una corretta sanificazione strutturale dei documenti costituisce una violazione diretta dell'Articolo 32 del GDPR (Sicurezza del trattamento).
Vi consigliamo vivamente di sottoporre a verifica ogni singolo PDF che abbiate mai inviato a qualsiasi avversario, richiedente o cliente. Se non avete controllato questi documenti a livello IT fondamentale (rimozione di metadati e livelli nascosti), esiste una probabilità estremamente alta che siate attivamente responsabili di molteplici fughe di dati in corso.
Inoltre, ricordiamo ai vostri stimati dottori di ricerca in Diritto delle Tecnologie dell'Informazione l'Articolo 33 del GDPR: una volta che il titolare del trattamento viene a conoscenza di una violazione dei dati personali, è legalmente obbligato a notificare l'autorità di controllo competente entro 72 ore.
Considerata la natura transfrontaliera di queste fughe di dati e l'enorme volume di informazioni altamente sensibili e de-anonimizzate che stai gestendo in modo improprio, tentare di insabbiare la questione non farà altro che innescare sanzioni regolamentari massime. Ora sei stato reso consapevole della violazione. L'orologio sta ticchettando.
Ancora una volta, leggi l'intera indagine qui:
PhishDestroy: Come Valve Trae Profitto dai Account Rubati
