Foto di Michael Fousert.

Lo scorso 19 ottobre una banda ha sottratto otto gioielli della Corona francese del valore stimato in 88 milioni di euro dalla Galleria di Apollo del Museo del Louvre. Il furto ha portato alla luce non solo lacune nella sicurezza fisica ma anche un decennio di vulnerabilità informatiche sistematiche. Il colpo è stato eseguito in pieno giorno da quattro uomini travestiti da addetti alle pulizie che hanno utilizzato un camion con braccio meccanico per accedere alle vetrine blindate; è durato meno di otto minuti e ha lasciato il museo sotto shock.

Documenti interni resi pubblici dal quotidiano Libération, integrati da rapporti di audit governativi e indagini preliminari del Ministero della Cultura francese, hanno rivelato come il sistema IT del Louvre - custode di oltre 380.000 opere tra cui la Gioconda e la Venere di Milo - fosse esposto a rischi elementari, ignorati nonostante ripetuti allarmi.

Già nel dicembre 2014 l'Agenzia Nazionale per la Sicurezza dei Sistemi d'Informazione (ANSSI) condusse un'ispezione su richiesta dello stesso museo, focalizzandosi sulla rete che collega videosorveglianza, allarmi e controlli di accesso. Il rapporto ottenuto da Libération evidenziava password deboli e prevedibili: quella del server della videosorveglianza era semplicemente LOUVRE, mentre un software di sicurezza fornito da Thales utilizzava THALES come credenziale di default. Impostazioni del genere facilitavano l'accesso alla rete "sensibile" da parte di chiunque utilizzasse la rete amministrativa quotidiana, permettendo a chi avesse conoscenze basilari di manipolare telecamere o disattivare allarmi. Gli esperti ANSSI conclusero che «chi controlla la rete del Louvre può rendere più facile il furto di opere d'arte»: un monito che è rimasto lettera morta per anni.

Audit successivi confermarono la persistenza di questi problemi. Tra il 2015 e il 2017, Institut national des hautes études de la sécurité et de la justice (INHESJ) rilevò «malfuzionamenti tecnici ricorrent» e una manutenzione inadeguata, con sistemi operativi obsoleti come Windows 2000 e XP ancora in uso per componenti critici. Un pre-rapporto della Corte dei Conti francese, anticipato a ottobre 2025 e citato da Le Figaro, accusava il museo di un «ritardo considerevole» nell'implementazione di protezioni moderne: solo un terzo delle sale era equipaggiato con telecamere funzionanti; otto software chiave, tra cui quello per la supervisione della videosorveglianza (acquistato nel 2003), risultavano non aggiornabili dal 2019.

Spunti di approfondimento:

16 miliardi di nomi utente e password finiscono online: coinvolti anche Facebook...

Microsoft inaugura l'era degli account senza password

Che cosa mettere nel testamento? Nomi utente e password

10 miliardi di password rubate e pubblicate in chiaro

Le ragioni di questo ritardo affonderebbero in vincoli strutturali e priorità rimandate. Il Louvre riceve finanziamenti annuali spesso destinati a ristrutturazioni e ampliamenti, come il mega-progetto annunciato da Emmanuel Macron a gennaio 2025 per l'ala storica; vanno a scapito però della cybersicurezza. Intervistati da Libération, i sindacati CFDT-Culture e SUD-Solidaires denunciano una «distruzione degli impieghi dedicati alla sicurezza», con personale di vigilanza ridotto per favorire eventi come gala per i VIP. Sentita dal Senato il 28 ottobre, la ministra della Cultura Rachida Dati ha ammesso «mancanze nella sicurezza» e promesso «chiarezza su lacune e responsabilità», correggendo la sua iniziale difesa secondo la quale gli allarmi «hanno funzionato».

Le indagini penali hanno portato a quattro arresti tra il 25 ottobre e il 1 novembre: tre membri della banda, identificati tramite DNA su guanti e smerigliatrici lasciati sul posto, e un complice fermato all'aeroporto di Roissy in partenza per l'Algeria. La procuratrice Laure Beccuau descrive i sospetti come «criminali comunix senza legami a reti organizzate; il ministro dell'Interno Laurent Nuñez esprime fiducia nel recupero dei gioielli. Il Louvre ha annunciato un piano di aggiornamento tecnologico, inclusi firewall di nuova generazione e protocolli di crittografia. Ma certe vulnerabilità "umane" - password deboli e policy lassiste - restano il fattore critico.

Articoli suggeriti:

Addio password, benvenuta passkey?

Lampadine smart, due falle regalano agli hacker la password del Wi-Fi

Microsoft sbircia negli .zip anche se c'è la password

I peggiori 20 tipi di password