Compartimentazione d'identità: operare con più versioni di sé

Un consulente mi consulta dopo un’ondata di spear-phishing. Audiamo insieme i suoi indirizzi. La sua email professionale pubblica — quella dei suoi biglietti da visita, di LinkedIn, degli atti di conferenza — compare in quattro dump. La sua email riservata ai dossier M&A e ai contenziosi: zero, in nessun database. Credeva di aver avuto fortuna. Aveva solo compartimentato, senza sapere di fare OPSEC.

La trappola abituale

Il consiglio dominante sta in una frase: “separi il professionale dal personale”. Un indirizzo email per il lavoro, uno per casa, e il gioco è fatto. È il livello di sofisticazione che si ritrova nel 90% delle guide di “buona igiene digitale”, delle policy informatiche aziendali e degli articoli generalisti. Questo consiglio non è falso. È insufficiente al punto da essere fuorviante, perché fa credere che due compartimenti bastino quando la sua esposizione reale ne richiede quattro.

Il problema di fondo: “professionale / personale” è una distinzione sociale, non una distinzione di minaccia. Riflette come lei organizza la sua vita, non come un attaccante, un broker o un motore di correlazione organizza la sua raccolta. Ora, le fughe non si producono lungo le frontiere che lei ha scelto. Si producono là dove due identità si toccano: una password riutilizzata, un indirizzo di recupero condiviso, uno stesso numero di telefono, un cookie del browser, un’impronta tecnica comune. La separazione professionale/personale non dice nulla di questi ponti.

Peggio: il binario professionale/personale spinge a mescolare usi che non hanno nulla a che vedere in termini di rischio. La sua dichiarazione dei redditi e la sua iscrizione a una newsletter di cucina si ritrovano sullo stesso indirizzo “personale”. La sua firma LinkedIn pubblica e il suo scambio confidenziale su un’acquisizione condividono lo stesso indirizzo “professionale”. Lei tratta allo stesso modo un dato che pubblica volontariamente e un dato la cui fuga le costerebbe un dossier. La compartimentazione, quella vera, consiste nel suddividere secondo il rischio e l’esposizione, non secondo il contesto sociale.

Le quattro identità di base

L’inventario onesto della sua vita digitale fa apparire quattro compartimenti distinti, definiti dalla loro esposizione e dalla gravità di una compromissione. Non sono quattro caselle di posta da creare domani — è una griglia di lettura per classificare ciò che lei ha già e decidere ciò che deve essere separato.

Identità civile. Il suo nome legale, collegato al suo stato civile. Banca, fisco, medico, amministratore di condominio, assicurazione, operatore telefonico. Questa identità è stabile per natura — non si cambia nome legale su un capriccio — e non è destinata a essere pubblica, ma è debolmente sotto il suo controllo: le istituzioni che la detengono trapelano regolarmente. La strategia qui non è nasconderla (impossibile), è non mescolarla mai con le altre tre. La sua banca non ha bisogno di conoscere l’indirizzo che usa per i suoi abbonamenti di streaming.

Identità professionale pubblica. LinkedIn, conferenze, media, biglietti da visita, firma email visibile, editoriali. Questa identità è esposta per costruzione: il suo interesse è precisamente di essere reperibile. È lei che finisce nei dump, perché circola dappertutto — è il suo mestiere. La strategia non è ridurre la sua esposizione (sarebbe controproducente), ma accettare che è compromessa per default e non farle mai portare alcun segreto.

Identità professionale sensibile. Dossier M&A in corso, contenziosi, negoziazioni confidenziali, relazioni con controparti la cui semplice esistenza è un’informazione. Questa identità deve essere strettamente isolata, idealmente su un’infrastruttura distinta dalla directory aziendale standard. È il compartimento dove una fuga non costa uno spam in più, ma un dossier, una posizione di negoziazione, a volte un obbligo di notifica.

Identità operativa. Servizi terzi, abbonamenti, prove gratuite, iscrizioni occasionali, tutto ciò che richiede un’email “tanto per vedere”. È la più sacrificabile: la sua compromissione non ha alcuna conseguenza se è correttamente isolata, perché non dà accesso a niente di critico. È anche quella che genera più superficie — un utente attivo accumula centinaia di account su questo compartimento in un decennio.

Il dato che cambia tutto: secondo le statistiche pubblicate da Have I Been Pwned, un indirizzo email usato attivamente tra il 2010 e il 2020 ha una probabilità schiacciante di apparire in almeno un breach. Ma questa probabilità si applica per indirizzo. Un indirizzo che non è mai servito che a tre interlocutori scelti, mai inserito in un modulo web, mai pubblicato, non ha quasi alcuna possibilità di essere in un dump — non per fortuna, per costruzione. È tutta la posta in gioco: la compartimentazione trasforma una probabilità di fuga in una scelta di architettura.

Un dettaglio che molti mancano: questi quattro compartimenti non si equivalgono in volume. Il civile sta in una decina di account — banca, fisco, previdenza sociale, assicurazione sanitaria, telefono, energia. Il professionale pubblico ne conta qualche decina, piuttosto visibili e assunti. Il sensibile si conta spesso sulle dita di una mano, a volte un solo interlocutore per dossier. L’operativo, invece, esplode: è lì che vivono le centinaia di account accumulati al filo delle iscrizioni, delle prove gratuite dimenticate e degli acquisti occasionali. Questa asimmetria è una buona notizia. Significa che lo sforzo di isolamento si concentra là dove è più facile da attrezzare — l’operativo, che si tratta con alias generativi — e che i compartimenti ad alta posta in gioco, sensibile e civile, sono abbastanza piccoli da essere gestiti a mano, a occhio, senza automazione.

Una nota su ciò che la compartimentazione non è: non è né frode, né dissimulazione, né anonimato. La sua identità civile resta la sua identità fiscale e legale, piena e intera. Lei non crea una falsa identità — separa usi di una stessa persona reale. Confondere i due è il malinteso che fa fuggire i dirigenti (“non mi nasconderò come un delinquente”) o che, al contrario, spinge gli ingenui a credersi non rintracciabili. La compartimentazione è una misura di igiene, allo stesso titolo di non scrivere la propria password su un post-it. Organizza una realtà — lei ha più ruoli — perché un ruolo compromesso non faccia cadere gli altri.

Strumenti per compartimento

Una volta posta la griglia, lo strumento è quasi meccanico. Ogni compartimento richiede un’infrastruttura diversa, scelta per il suo livello di esposizione.

Per l’operativo, lo strumento giusto è SimpleLoginServizio di alias email che consente di nascondere il proprio indirizzo reale, acquisito da Proton nel 2022.Vedi il glossario o il suo equivalente nativo Apple, Hide My Email. Il principio: un alias unico per servizio. Quando si iscrive a un sito, lei genera servizio-tale.xyz@suodominio.simplelogin.io, che inoltra alla sua vera casella senza rivelarla. Se questo servizio trapela, lei sa immediatamente da dove viene lo spam (l’alias è dedicato), taglia l’alias con un clic, e nessun’altra iscrizione è interessata. Lei trasforma una fuga globale in incidente locale. È, in pratica, l’unico cambiamento che produce l’80% del beneficio della compartimentazione per il 20% dello sforzo.

Per il sensibile, l’infrastruttura deve essere slegata da tutto il resto: una casella su ProtonSuite svizzera di strumenti privacy (Mail, VPN, Drive, Pass, Calendar) con modello open-source.Vedi il glossario Mail o Tutanota, in cifratura E2EECifratura end-to-end: solo mittente e destinatario possono leggere il contenuto.Vedi il glossario, creata senza alcun collegamento con l’identità pubblica — nessun recupero tramite l’email civile, nessun numero di telefono condiviso con gli altri account, idealmente creata da una sessione di browser pulita. L’obiettivo non è l’anonimato assoluto (il suo interlocutore sa chi è lei), è l’assenza di ponte tecnico sfruttabile tra questa casella e il resto della sua superficie. Questo indirizzo non deve mai, in nessun caso, essere inserito in un modulo pubblico, un servizio terzo o una firma visibile.

Per la professionale pubblica, il punto di attenzione è il numero di telefono. Dare il proprio numero di cellulare personale su un biglietto da visita significa collegare direttamente l’identità pubblica all’identità civile — il numero è un identificatore pivot che i broker adorano, perché è stabile e incrocia tutto. Un numero distinto, idealmente in VOIP (Twilio, JMP.chat, o un secondo numero presso il suo operatore), assorbe l’esposizione pubblica senza contaminare la sua linea reale. Eviti di collegare questo numero al suo IMEIIdentificativo univoco a 15 cifre di un terminale mobile, legato all'hardware.Vedi il glossario principale se può evitarlo.

Resta l’isolamento tecnico, trasversale a tutti i compartimenti: i container Firefox (Multi-Account Containers), o browser dedicati per identità. Aprire LinkedIn e il suo Proton sensibile nello stesso profilo di browser significa offrire a qualsiasi script di fingerprintingIdentificazione di un dispositivo tramite le caratteristiche uniche del suo browser e del suo sistema.Vedi il glossario la correlazione che lei cerca proprio di evitare. Stesso IP, stessa impronta del browser, stessi cookie di terzi: le due identità diventano collegabili senza che alcuna password sia trapelata.

Il pagamento merita la stessa attenzione dell’email e del telefono, perché è un identificatore pivot allo stesso titolo. Una carta di credito nominativa inserita su un servizio operativo collega questo uso alla sua identità civile tramite la rete bancaria — e gli aggregatori di transazioni, in certe giurisdizioni, rivendono questi segnali. Le carte virtuali usa e getta (Revolut, o carte effimere a seconda della sua banca) assorbono questa esposizione per il compartimento operativo. Lei non ne ha bisogno per il suo civile — che è comunque la sua banca reale — ma per gli abbonamenti e le prove sacrificabili, una carta virtuale dedicata evita che una fuga di dati di pagamento presso un commerciante terzo tocchi la sua vera carta o colleghi questo commerciante al resto dei suoi account.

Una parola sull’arbitraggio hardware. La forma più compiuta di isolamento è un apparecchio dedicato per il compartimento sensibile — un telefono separato, una macchina separata, o quanto meno un profilo utente di sistema distinto. È pesante, e la maggior parte dei privati non ne ha bisogno. Ma per un dirigente che tratta dossier M&A, o un avvocato su un contenzioso sensibile, la sincronizzazione invisibile dei contatti tra account su un apparecchio unico è esattamente il tipo di ponte che rivela una relazione confidenziale — l’applicazione social che “suggerisce” un contatto perché lo ha incrociato in una rubrica condivisa. L’apparecchio dedicato taglia questa classe di fuga alla radice. È l’investimento più costoso di tutto il percorso, e l’unico che si riserva ai profili realmente esposti.

La regola della non contaminazione

Costruire quattro compartimenti non serve a nulla se li collega. La compartimentazione non è uno stato che si raggiunge, è una disciplina che si mantiene — e sta in tre divieti.

Non riutilizzare mai una password tra compartimenti. È l’ovvietà che si ripete da vent’anni, ma assume un senso particolare qui: una password condivisa tra il suo alias operativo e la sua casella sensibile collega i due non appena uno solo dei due trapela. Un gestore di passwordApplicazione che memorizza e genera password univoche per ogni servizio.Vedi il glossario con segreti unici per account non è un’opzione, è il prerequisito. Attenzione però: un gestore sincronizzato su tutti i suoi apparecchi, in un’unica cassaforte, ricrea un punto di giunzione — se questa cassaforte è compromessa, tutti i compartimenti cadono insieme.

Non menzionare mai l’indirizzo sensibile in un contesto pubblico. Una sola volta basta. L’indirizzo sensibile infilato in un’email in copia di un dossier che finirà in tribunale, indicizzato in un documento condiviso, o inserito per abitudine in un modulo — e il compartimento è bucato per sempre. Gli strumenti di OSINTIntelligence da fonti aperte (pubbliche): social network, registri, archivi.Vedi il glossario e i motori di correlazione non perdonano: ciò che è stato pubblico una volta resta correlato.

Non collegare mai le identità tramite recupero incrociato. È l’errore più frequente e più invisibile. Lei crea una bella casella sensibile, poi configura il suo indirizzo di recupero sulla sua email civile “per non perdere l’accesso”. Ha appena collegato i due: chi controlla l’email civile controlla la casella sensibile. Idem per i numeri di telefono di recupero condivisi. La catena di recupero è lo scheletro nascosto che collega tutti i suoi account — la audisca prima di tutto il resto.

A questi tre divieti tecnici si aggiunge una contaminazione più sottile, che si sottovaluta quasi sempre: la contaminazione comportamentale. Due identità possono restare perfettamente stagne sul piano tecnico — indirizzi diversi, password uniche, browser isolati — e restare collegabili dal modo in cui lei le usa. Uno stile di scrittura riconoscibile (le analisi stilometriche sono oggi alla portata di strumenti di massa), uno stesso fuso orario di attività, gli stessi argomenti di nicchia, lo stesso ritmo di connessione. Per la maggior parte dei lettori, questo livello di minaccia è teorico e non giustifica alcuno sforzo. Ma bisogna conoscerlo per due ragioni: prima perché definisce il limite di ciò che la compartimentazione può fare — impedisce la correlazione automatica, non l’analisi mirata di un avversario determinato; poi perché ricorda che l’anello debole, in fin dei conti, non è lo strumento ma l’abitudine. Il metadato più difficile da cancellare è lei.

Il test pratico per verificare che i suoi compartimenti tengano non richiede alcuno strumento sofisticato. Il test browser: da una finestra privata, scollegata, cerchi ciascuno dei suoi indirizzi e dei suoi pseudonimi, e annoti ciò che appare collegato. Il test recupero: per ogni account critico, inneschi il percorso “password dimenticata” e guardi verso quale indirizzo o quale numero la rimanda — è la mappatura reale dei suoi ponti, spesso molto diversa da quella che credeva di avere. Il test incrociato: inserisca il suo indirizzo sensibile in Have I Been Pwned; se risale, il compartimento era già bucato e lei lo ignorava. Questi tre test richiedono mezz’ora e rivelano in generale almeno un collegamento dimenticato.

Cosa comporta concretamente

La rotazione come manutenzione

Un compartimento non è eterno. Un’identità accumula esposizione con il tempo — ogni iscrizione, ogni scambio, ogni fuga di un servizio terzo aggiunge una riga al suo profilo aggregato. La rotazione, cioè la sostituzione periodica di un’identità con una nuova, è la manutenzione che impedisce a questo accumulo di diventare un rischio.

L’identità operativa si ruota annualmente, o immediatamente dopo una fuga rilevata. È banale con gli alias: tagliare un alias e generarne uno nuovo richiede dieci secondi, e poiché ogni servizio ha il proprio alias, la rotazione può essere mirata — lei cambia solo ciò che è trapelato. È tutto l’interesse strutturale degli alias per servizio a fronte di un indirizzo unico.

L’identità professionale pubblica si ruota ogni tre o quattro anni, con un periodo di transizione. Non si cambia una firma pubblica da un giorno all’altro — ci vuole una finestra di diversi mesi durante la quale i due indirizzi funzionano, il tempo che i corrispondenti, gli elenchi e i profili si aggiornino. È un’operazione pesante, che si pianifica, non una reazione d’urgenza.

L’identità sensibile, invece, non si ruota: è stabile per necessità (cambiare indirizzo a metà di un contenzioso è ingestibile), ma si audisce ogni sei mesi. L’audit verifica una sola cosa: che i ponti non si siano ricostituiti. Un indirizzo di recupero aggiunto per sbaglio, un alias che punta nel posto sbagliato, un numero riutilizzato — il metadatoDati sui dati: chi ha scritto cosa, quando, dove, a chi.Vedi il glossario di collegamento si reintroduce sempre dalle piccole porte, e solo un audit regolare lo stana.

Errori che si vedono di continuo

• “Ho creato un nuovo indirizzo” — senza migrare i servizi critici. Il vecchio indirizzo resta il vero punto d’ingresso; il nuovo non fa che aggiungere superficie. Finché la banca, il gestore di password e l’email principale puntano verso il vecchio, nulla è cambiato.
• Il gestore di password sincronizzato ovunque in un’unica cassaforte. Eccellente contro il riutilizzo, ma ricrea un punto di giunzione unico: comprometta la cassaforte, comprometta tutti i compartimenti in un colpo. Per il sensibile, una cassaforte separata si giustifica.
• Il recupero incrociato tra identità. L’email civile come indirizzo di soccorso dell’email professionale pubblica, il numero di telefono unico ovunque: questi collegamenti invisibili disfano silenziosamente tutta la compartimentazione. È l’errore più costoso perché è il più discreto.
• Mescolare le identità nello stesso browser. Stesso profilo, stesso IP, stessa impronta: il fingerprintingIdentificazione di un dispositivo tramite le caratteristiche uniche del suo browser e del suo sistema.Vedi il glossario collega ciò che le password separano. Aprire l’identità sensibile e l’identità pubblica fianco a fianco annulla l’isolamento.
• Confondere compartimentazione e anonimato. La compartimentazioneSeparare le proprie identità per utilizzo (civile, pro pubblico, pro sensibile, operativo) per limitare la propagazione delle fughe.Vedi il glossario non la rende anonimo — i suoi interlocutori sanno chi è. Impedisce la correlazione tra i suoi usi. Credere di essere non rintracciabile perché si ha una casella Proton è un’illusione pericolosa che spinge a comportamenti a rischio.

Checklist azionabile

• N1 Elencare i propri indirizzi attuali e classificarli per compartimento: civile / pro pubblico / sensibile / operativo
• N1 Creare un alias operativo (SimpleLogin o Hide My Email) e instradarci ogni nuova iscrizione a un servizio terzo
• N2 Auditare le catene di recupero: nessun account critico deve recuperarsi tramite l'email operativa o un indirizzo presente in un dump
• N2 Provvedere una casella sensibile E2EE (Proton/Tutanota) senza alcun collegamento di recupero con l'identità civile o pubblica
• N2 Testare il proprio profilo da un browser vergine (senza cookie né connessione) e annotare i collegamenti visibili tra identità
• N3 Isolare i browser o attivare Firefox Multi-Account Containers, un'identità per container
• N3 Pianificare la rotazione dell'identità operativa a 12 mesi e un audit dell'identità sensibile a 6 mesi

Per approfondire

Per il dettaglio tecnico dell’inoltro degli alias e la gestione per dominio, la documentazione SimpleLogin è il riferimento operativo, completata dal supporto Apple su Hide My Email per l’ecosistema iCloud. Se vuole capire perché un indirizzo email è un identificatore pivot così difficile da isolare, la RFC 5321 (SMTP) chiarisce la meccanica di instradamento che rende qualsiasi indirizzo intrinsecamente tracciabile. E prima di costruire i suoi compartimenti, legga l’inventario di ciò che è già trapelato: non si isola un dato già pubblico, si isolano quelli che non lo sono ancora.