L'autenticazione a due fattori è, sulla carta, una buona pratica dal punto di vista della sicurezza.

Se per fare login in un sito, oltre a dover inserire la password, devo anche immettere un codice ricevuto via SMS sul cellulare, allora un malintezionato che dovesse entrare in possesso di quella password si troverebbe comunque chiuso fuori dal mio account, che sta cercando di violare.

Perché ciò funzioni sono però naturalmente obbligato a fornire al gestore del sito il mio numero di telefono: altrimenti non potrà inviare il messaggio. D'altra parte, mi aspetto che detto numero non venga usato per altre finalità che la sicurezza.

Sullo stesso tema:

Gmail, banner pubblicitari tra i messaggi di posta

Twitter, l'autenticazione a due fattori ora si paga

Amazon ti paga (una miseria) se ti lasci spiare il telefonino

Il cartellone pubblicitario orbitante trasforma il cielo in uno spot

Nel caso di Twitter, il guaio è scoppiato proprio perché il numero non solo è stato usato per altro, ma questo "altro" era l'invio di pubblicità mirata.

A sentire Twitter, s'è trattato di un errore. Il sistema che gestisce gli spot personalizzati avrebbe «inavvertitamente utilizzato le informazioni fornite dagli utenti per ragioni di sicurezza allo scopo di presentare pubblicità in base alle liste degli inserzionisti».

In pratica, il sistema ha inserito il numero di telefono (ma anche l'indirizzo email) nelle liste usate dagli inserzionisti per stilare l'elenco di chi riceverà i loro annunci, e potrebbe anche aver mantenuto l'associazione con il profilo Twitter.

«È stato un errore e ce ne scusiamo» scrive Twitter sul blog ufficiale, precisando inoltre di non sapere quanti possano essere gli utenti coinvolti in questo problema, che comunque ora è stato risolto.

Il social network precisa inoltre che nessun dato personale «è stato condiviso con i nostri partner o terze parti».

Quel che però non viene spiegato è se quei numeri e quegli indirizzi email finiti per errore nelle liste siano poi stati tolti. Non è tuttavia difficile immaginare che quei dati si trovino ancora là dov'erano: prendendo per buona la spiegazione fornita nel blog, il fatto che Twitter abbia sottolineato di non sapere quanti siano gli utenti coinvolti lascia pensare che la piattaforma non abbia nemmeno idea di chi siano, e che quindi non possa rimuoverli dalle liste.

A conclusione del fattaccio, quindi, c'è un numero imprecisato di utenti che si trova nell'elenco di un numero imprecisato di inserzionisti e che quindi riceverà un numero imprecisato (ma probabilmente molto alto) di annunci pubblicitari.