Oltre la VPN: perché l'anonimato digitale è un'illusione

La promessa dell'anonimato online spesso sembra un mantello digitale, che permette agli utenti di navigare in internet senza rivelare la loro vera identità. Le VPN, in particolare, sono commercializzate come strumenti per la privacy, indirizzando il traffico attraverso server intermedi per mascherare l'indirizzo IP. Ma come un recente arresto dell'FBI illustra vividamente, questo mantello è spesso più simile a un sottile velo, facilmente perforabile dalle forze dell'ordine più tenaci e dalle impronte digitali che lasciamo dietro di noi.

Un 18enne americano è stato arrestato, accusato di una campagna durata anni di swatting e minacce a una ragazza e alla sua famiglia, culminata in una minaccia di incendio doloso su Discord. Nonostante il presunto uso di una VPN per oscurare la sua attività online, gli investigatori hanno rintracciato il suo account Discord direttamente a un numero di telefono registrato a suo nome. Questo caso, che ha iniziato a circolare il 19 ottobre 2026, attraverso fonti come Pasquale Pillitteri, serve come un duro promemoria: una VPN nasconde il percorso della tua connessione, ma non cancella la tua identità se hai già collegato informazioni personali ai tuoi account online.

Secondo le dichiarazioni giurate federali, la campagna contro la famiglia ha incluso oltre 30 false chiamate di emergenza dal 2023, almeno 20 incidenti stimati di swatting che hanno preso di mira la casa della ragazza e tracce di tre attacchi con mattoni. La situazione è precipitata drasticamente il 10 maggio, quando l'auto del fratello della vittima è stata data alle fiamme nel vialetto di casa. La svolta per gli investigatori è arrivata il 26 maggio, quando un account presumibilmente legato all'imputato ha minacciato su Discord di eliminare il suo account se un membro della famiglia fosse morto in un incendio, uno scambio interpretato dall'FBI come una minaccia di incendio doloso e prova di una continua intenzione malevola.

Il mantello non così senza cuciture

Il difetto fondamentale nel tentativo di anonimato del responsabile dello swatting non risiedeva nella tecnologia VPN stessa, ma nel modo in cui la sua vita digitale era interconnessa. Una rete privata virtuale instrada il traffico internet attraverso un server remoto, mascherando l'indirizzo IP reale dell'utente dagli osservatori esterni. Questo è uno strumento fondamentale per la privacy e la sicurezza, specialmente quando si naviga in reti non sicure o si cerca di aggirare le restrizioni geografiche. Tuttavia, come riportato dall'International Business Times, Singapore Edition, l'account Discord dietro le minacce era registrato a un numero di telefono. Questo numero, a sua volta, era collegato all'imputato tramite i registri dell'operatore. La VPN ha semplicemente oscurato il percorso della connessione, non l'identità legata alla creazione dell'account.

Questo meccanismo è semplice: Discord conosceva il numero di telefono associato all'account, e l'operatore telefonico sapeva a chi fosse intestato quel numero. Quando questi due pezzi di informazione sono stati incrociati con un'ordinanza del tribunale, la presunta anonimità è crollata. Ogni volta che un individuo utilizza la propria SIM per registrare un account, sta, in sostanza, firmando la sua presenza digitale, indipendentemente dall'uso successivo della VPN. È una firma che nessuna VPN può cancellare, evidenziando come un singolo strato di protezione della privacy sia intrinsecamente vulnerabile a un'indagine multistrato.

La traccia digitale ineludibile

Questo caso sottolinea una verità più ampia sulle nostre vite digitali: l'anonimato è raramente assoluto, in particolare quando le forze dell'ordine sono coinvolte. Piattaforme come Discord, pur offrendo uno spazio per la comunità, mantengono anche registrazioni che possono diventare prove. Lo abbiamo già visto, ad esempio quando Discord ha rilevato, rimosso e segnalato proattivamente all'FBI un complotto di un 13enne per una sparatoria di massa in una sinagoga, portando a un arresto, come dettagliato da ABC7 News. Queste piattaforme spesso collaborano con le autorità, specialmente in casi che coinvolgono minacce gravi o attività criminali. Quando un'autorità ottiene un'ordinanza del tribunale o un mandato di comparizione, può richiedere dati di registrazione, log IP e altre informazioni identificative.

Oltre alla registrazione diretta dell'account, altre forme di briciole digitali possono ricondurre a un individuo. I dati di localizzazione delle celle telefoniche, le sovrapposizioni di indirizzi IP tra connessioni VPN e non VPN e persino le tattiche di social engineering possono essere utilizzate dai responsabili di swatting e doxing, come notato da Bitdefender. Il messaggio è chiaro: qualsiasi pezzo di dato personale collegato a un'attività online può potenzialmente vanificare un tentativo di nascondersi. Le nostre identità online sono spesso un mosaico di servizi e punti dati interconnessi, non silos isolati.

Swatting: un gioco pericoloso con gravi conseguenze

La gravità dello swatting non può essere sottovalutata. È un atto criminale che comporta la creazione di false segnalazioni di emergenza – come una minaccia di bomba, una situazione di ostaggio o un tiratore attivo – per inviare squadre di polizia armate, spesso unità SWAT, alla casa di una vittima ignara. Come spiega Wikipedia, questa pratica è diffusa negli Stati Uniti e in altri paesi e può portare a conseguenze letali.