Il baro nella macchina

Se giocate a poker sapete che si può perdere per una mano sfortunata, un bluff ben riuscito dell’avversario oppure perché, semplicemente, siete meno bravi di quanto pensiate. Tutte circostanze che, con un certo sforzo, si possono accettare. Più difficile è farsene una ragione quando scoprite che il vostro avversario conosce già le carte che avete in mano perché a quel punto non sta giocando a poker, ma sta effettuando un prelievo dal vostro conto corrente con qualche formalità in più. Questo è proprio quello che sarebbe accaduto nel mondo del poker online. A raccontarlo è un’inchiesta pubblicata da Wired il 29 ottobre, secondo la quale alcuni giocatori sarebbero stati sistematicamente spiati attraverso i loro computer. Il risultato economico della truffa, sulla base delle stime raccolte dalla rivista, oscillerebbe tra 1,5 e 4 milioni di dollari. Non proprio gli spiccioli della partita del sabato sera, anche se il bilancio definitivo resta da accertare.

La storia viene alla luce il 25 settembre, quando un professionista del poker, chiamato Alex, sta analizzando le proprie statistiche. A seguito di un problema al database, un controllo sul computer porta alla scoperta di MeshAgent, un programma che permette di osservare a distanza lo schermo e controllare il dispositivo. In pratica, qualcuno poteva accomodarsi virtualmente alle sue spalle e guardargli le carte. Alex ricostruisce undici sessioni durante le quali sarebbe stato spiato e scopre che in dieci aveva incontrato lo stesso avversario. Un giocatore particolarmente fortunato, capace di prendere decisioni che, alla luce della scoperta, assumevano un significato decisamente diverso. D’altra parte, quando si conoscono le carte degli altri, anche un mediocre giocatore può trasformarsi in un campione e non serve allenarsi e tanto meno essere avere la buona sorte al proprio fianco.

Ora sorge spontanea una domanda: come era riuscito lo spione a entrare nel computer? La risposta è la parte più interessante della vicenda perché è arrivato dalla porta principale, naturalmente. Quella che tutti noi apriamo con una certa soddisfazione quando compare la scritta «Aggiornamento disponibile». I criminali avevano compromesso Jurojin, un programma utilizzato dai professionisti per gestire contemporaneamente più tavoli virtuali. Alcuni utenti ricevevano aggiornamenti modificati che installavano anche il software per il controllo remoto. Il contagio aveva coinvolto pure IntuitiveTables, un’altra applicazione dello stesso genere, passando attraverso il computer del suo sviluppatore. Insomma, nessuna necessità di violare le piattaforme di poker o convincere le vittime ad aprire improbabili allegati ricevuti da sconosciuti benefattori africani. Bastava infiltrarsi nei programmi che i giocatori utilizzavano abitualmente e aspettare che facessero quanto tutti gli esperti di sicurezza, me compreso, raccomandano da anni: aggiornare i software. Una situazione piuttosto imbarazzante, bisogna ammetterlo.

La faccenda diventa ancora più curiosa quando si osserva il comportamento del programma malevolo. I criminali, evidentemente poco interessati al turismo informatico, non avevano alcuna intenzione di spiare indiscriminatamente tutti gli utenti. In una delle applicazioni compromesse, il codice verificava se il nome del giocatore comparisse in un elenco di obiettivi. In caso affermativo attivava ulteriori funzioni malevole, diversamente continuava a comportarsi come un normalissimo programma per organizzare le finestre sullo schermo. Una soluzione intelligente, se mi passate il termine per descrivere un’attività criminale. Chi non era nella lista non notava nulla di strano e chi vi compariva aveva ben poche possibilità di accorgersi dell’intrusione. In altre parole, il ladro non si limitava a entrare in casa senza farsi vedere: si preoccupava anche di non disturbare i vicini.

C’è poi un aspetto sul quale vorrei richiamare l’attenzione. Per realizzare questa frode non era necessario truccare il mazzo, manipolare le carte o alterare il funzionamento delle piattaforme di gioco. Tutto poteva essere perfettamente regolare. Il problema era che uno dei giocatori disponeva di informazioni che avrebbe dovuto ignorare. Se ci pensate, è una situazione che mette in discussione uno dei presupposti fondamentali della sicurezza informatica: la riservatezza delle informazioni. Nel caso specifico, le carte erano visibili soltanto al loro legittimo proprietario, almeno secondo le regole del gioco. Peccato che qualcuno avesse trovato il modo di guardarle attraverso un altro programma. La piattaforma poteva anche essere una fortezza inespugnabile, ma serviva a poco se il giocatore aveva inconsapevolmente invitato il nemico a sedersi accanto a lui.

Tuttavia, la parte della vicenda che trovo più preoccupante riguarda quanto sarebbe accaduto prima della scoperta. Alcuni giocatori avevano già segnalato risultati statisticamente anomali. Secondo Wired, alcune piattaforme avevano preso provvedimenti e rimborsato le vittime, mentre altre avevano sostenuto che non esistessero prove sufficienti per intervenire. Ora, non pretendo che ogni sequenza improbabile di vittorie debba scatenare un’indagine internazionale, ma un conto è la prudenza, un altro è considerare la fortuna una spiegazione universale. I numeri non dimostrano automaticamente una frode, tuttavia possono suggerire che qualcosa non funzioni come dovrebbe. A condizione, naturalmente, che qualcuno abbia voglia di ascoltarli. Le macchine sono piuttosto brave a calcolare le probabilità; gli esseri umani continuano a dimostrare una certa abilità nell’ignorarle.

Per concludere, c’è un dettaglio che merita qualche parola. A individuare il programma-spia sarebbe stato un assistente di intelligenza artificiale impegnato in tutt’altro compito. Prima che qualcuno celebri l’avvento del detective digitale infallibile, suggerirei una certa cautela. Una scoperta fortuita non trasforma uno strumento in un investigatore. Resta però una curiosa ironia della sorte: mentre alcuni software destinati ad aiutare i giocatori erano diventati complici inconsapevoli dei criminali, un altro software contribuiva a smascherarli. Ancora una volta, non è la tecnologia in sé a essere buona o cattiva, ma quello che qualcuno riesce a farle fare.

La vicenda, a mio avviso, offre una lezione che va ben oltre il poker. Abbiamo costruito un mondo digitale nel quale la fiducia non riguarda più soltanto il servizio che utilizziamo, ma anche un numero imprecisato di programmi, sviluppatori e fornitori che rendono possibile utilizzarlo. Ognuno rappresenta un anello di una catena che può essere compromessa senza che gli altri se ne accorgano e, comunque, non è certo una buona ragione per smettere di aggiornare i nostri programmi, perché sarebbe come rinunciare a chiudere la porta di casa dopo avere scoperto che qualcuno può duplicare le chiavi. Significa piuttosto prendere atto che un comportamento corretto non garantisce necessariamente un risultato sicuro.

In fondo, al poker il bluff è consentito e mentire all’avversario fa parte delle regole. Quello che non è previsto è potergli guardare le carte. Questa volta il baro non aveva bisogno di nascondere un asso nella manica. Gli era bastato nascondersi dietro il pulsante «Aggiorna».