Il Louvre e le falle che tutti conoscono

Del furto al Louvre, avvenuto un anno fa, a molti è rimasta in mente una parola: «LOUVRE». Secondo gli audit pubblicati dal quotidiano francese Libération, nel 2014 era la password del server della videosorveglianza del museo.

Ci si ride sopra facilmente. Quando parlo di sicurezza informatica preferisco un’altra domanda: perché una falla nota, scritta in un rapporto ufficiale, resta aperta per anni?

Una premessa, per correttezza. Non c’è prova che i ladri abbiano usato quella password, né che fosse ancora valida il 19 ottobre 2025. Il furto è stato fisico. Il punto che mi interessa non è il colpo. È il tempo.

Dieci anni di rapporti

Mettendo in fila quello che è emerso dall’inchiesta:

• nel 2014 l’ANSSI, l’agenzia francese per la sicurezza informatica, trova le password «LOUVRE» e «THALES» e Windows 2000 sulla rete degli uffici;
• nel 2017 un altro audit trova ancora postazioni con Windows 2000 e Windows XP;
• nel 2021 un documento indica che il software della videosorveglianza gira su Windows Server 2003, senza supporto dal 2015;
• a metà 2025 otto voci di quello stesso sistema compaiono in un elenco interno di «software che non si possono aggiornare».

Dopo il furto, le prime conclusioni dell’ispezione del ministero della Cultura, riportate dalla stampa, parlano di una sorveglianza insufficiente e di un rischio di intrusione sottovalutato per circa vent’anni.

Nessuno di questi problemi era segreto. Erano scritti.

Perché le falle note sopravvivono

Ne ho un’idea, e la scrivo come opinione. Le ragioni sono quasi sempre tre.

Nessuno ne è proprietario. Il rapporto arriva alla direzione, la correzione tocca all’informatica, il budget a un altro ufficio, il fornitore non supporta più il prodotto. Un problema che è di tutti, in pratica, non è di nessuno.

Il sistema vecchio funziona. Sostituire il software della videosorveglianza costa, richiede una gara, un fermo, una migrazione. Finché le telecamere registrano, sembra tutto in ordine. La sicurezza non si vede finché non manca.

Il rischio sembra teorico. «Chi vuoi che ci provi?» è una frase che si sente spesso. Eppure già nel 2014, secondo quanto riportato, l’audit avvertiva che un attaccante esterno avrebbe potuto compromettere facilmente la videosorveglianza.

Che cosa ne ricavo

Un audit non è il traguardo, è l’inizio. Vale quanto il piano che lo segue: ogni problema con un responsabile, una data e una verifica.

Le password predefinite, e quelle che contengono il nome dell’organizzazione, vanno trattate come password pubbliche.

I sistemi che non si possono aggiornare vanno in un elenco che la direzione vede, con accanto il costo di sostituirli e il rischio di tenerli. Decidere di aspettare si può. Dimenticarsene no.

Il primo passo

Se in azienda avete un rapporto di audit di qualche anno fa, riapritelo questa settimana e contate le voci ancora aperte. Quel numero dice sulla vostra sicurezza più di qualsiasi password.

Se lo fate, scrivimi: mi interessa sapere quante ne avete trovate.