La funzione Recall di Windows è un incubo per privacy e compliance, e c’è già un exploit
Basata su IA e integrata nei nuovi Copilot+ PC annunciati nei giorni scorsi, la nuova funzione Recall di Microsoft per la ricerca e la navigazione sui PC Windows 11 è stata accolta con preoccupazioni da parte di alcuni esperti di sicurezza informatica.
Recall è progettata per catturare screenshot delle attività dell’utente sul proprio PC Windows ogni 5 secondi, al fine di consentire ricerche tramite linguaggio naturale su contenuti visualizzati in precedenza come pagine web, messaggi, ricette ecc. Microsoft ha affermato che i dati rimangono sul dispositivo e non vengono inviati ai loro server.
Tuttavia, alcuni ricercatori di sicurezza hanno dimostrato che le versioni preview di Recall salvano gli screenshot in un database SQLite locale non crittografato, rendendo facilmente accessibili tutti i dati qui contenuti.
In particolare, il ricercatore Alex Hagenah ha sviluppato un tool chiamato TotalRecall in grado di individuare ed estrarre automaticamente l’intero database di Recall in pochi secondi, permettendo l’accesso a:
- Screenshot di app di messaggistica crittografata come Signal e WhatsApp
- Cronologia di navigazione web
- Testo digitato sullo schermo
- Potenziali informazioni sensibili come password, numeri di carta di credito ecc.
Gli esperti mettono in guardia sul fatto che questi dati rappresentano una miniera d’oro per hacker criminali, stalker o persone malintenzionate con accesso fisico al dispositivo. Sottolineano inoltre come Recall sia potenzialmente pericoloso quanto uno spyware o un trojan.
In ambienti lavorativi con policy BYOD, vi è poi il rischio che dipendenti licenziati o scontenti possano portare via grandi quantità di dati aziendali semplicemente copiando il database di Recall.
Di fronte a tali evidenze, gli esperti hanno esortato Microsoft sia ad affrontare seriamente queste criticità prima del lancio ufficiale di Recall il 18 giugno implementando crittografia e maggiori controlli per proteggere la privacy e i dati degli utenti, sia di ripensare l’intero concept di Recall per evitare possibili abusi.
