Furto, incendio, costrizione: il modello di minaccia della custodia domestica

Chi imposta per la prima volta una custodia personale dei propri fondi digitali si concentra quasi sempre sulla minaccia più discussa online: un attacco informatico da remoto, un sito falso, un’estensione compromessa. Sono rischi reali e frequenti, ma riguardano l’accesso da remoto. Chi ha già messo in sicurezza quel fronte affronta un secondo tipo di minaccia, meno discussa ma altrettanto concreta: qualcuno che entra fisicamente in casa, un incendio che distrugge tutto, o una persona che costringe il titolare a rivelare l’accesso sotto minaccia diretta.

Questi tre scenari condividono un tratto che li distingue nettamente dagli attacchi da remoto: non richiedono alcuna competenza tecnica da parte di chi li mette in atto, solo accesso fisico o capacità di intimidazione. Per questo motivo, una custodia progettata solo per resistere ad attacchi informatici lascia scoperto un fronte che, nei casi documentati di perdita di fondi rilevanti, si è dimostrato tutt’altro che teorico.

Questo testo descrive un modello di minaccia che include furto, incendio e costrizione, con gli schemi di distribuzione geografica delle copie di backup e il ruolo che la negabilità plausibile può giocare in uno scenario di costrizione diretta. Riguarda la sicurezza fisica della custodia, non una valutazione di quanto detenere.

I tre rischi, in sintesi

• Il furto colpisce dove tutti sanno cercare. Un cassetto, una cassaforte visibile, un nascondiglio ovvio agli occhi di chi conosce la casa.
• L’incendio distrugge senza selezionare. Carta e molti supporti comuni non sopravvivono a temperature elevate.
• La costrizione aggira ogni difesa tecnica. Nessuna crittografia protegge da qualcuno che minaccia direttamente una persona.
• La distribuzione riduce, non elimina, ciascun rischio. Copie in luoghi diversi affrontano eventi diversi e indipendenti.
• La negabilità cambia il calcolo dell’aggressore. Se non sa che esiste altro, si ferma prima.

Il modello di minaccia della custodia domestica, in pratica

Un modello di minaccia, in termini di sicurezza pratica, è semplicemente l’elenco di chi potrebbe voler accedere ai fondi senza autorizzazione, con quali mezzi e in quali circostanze. Per una custodia interamente domestica, questo elenco include tipicamente un ladro opportunista che ruba oggetti di valore generico senza sapere della presenza di fondi digitali, un aggressore informato che sa specificamente che cosa cercare, un evento accidentale come un incendio o un allagamento, e uno scenario di costrizione in cui qualcuno minaccia direttamente il titolare per ottenere l’accesso.

Ognuno di questi scenari richiede una contromisura diversa, e una custodia ben progettata li affronta tutti insieme, senza concentrarsi su uno solo a scapito degli altri. Un nascondiglio efficace contro un ladro opportunista, per esempio, non protegge affatto da uno scenario di costrizione, dove l’aggressore chiede direttamente al titolare di rivelare la posizione, rendendo irrilevante quanto sia ben nascosto il supporto fisico.

Il furto: perché i nascondigli ovvi non funzionano

I nascondigli domestici più comuni, come un cassetto chiuso a chiave, un libro svuotato o un contenitore nascosto dietro altri oggetti, sono conosciuti da chiunque abbia una minima familiarità con le tecniche di occultamento più diffuse, incluse le persone che si occupano professionalmente di furti in abitazione. Un ladro con una minima esperienza controlla sistematicamente questi luoghi prima ancora di considerare la ricerca conclusa.

Una cassaforte domestica di fascia economica, spesso ancorata in modo insufficiente o facilmente removibile nel suo complesso, offre una protezione più percepita che reale contro un aggressore determinato con il tempo sufficiente per agire indisturbato. Il valore reale di una cassaforte dipende dalla sua resistenza certificata, dal metodo di ancoraggio e dal tempo che richiederebbe per essere forzata o rimossa, non dalla sola presenza fisica dell’oggetto in casa.

Questo aspetto si collega direttamente a quanto già discusso a proposito del supporto in acciaio resistente al fuoco: un supporto fisicamente robusto non serve a nulla se la sua posizione è facilmente individuabile da chiunque conosca le tecniche di ricerca più comuni usate in un furto in abitazione.

L’incendio: la minaccia che nessuno considera finché non è tardi

Un incendio domestico, per quanto raro nella vita di una singola persona, distrugge senza distinzione la carta, molte plastiche e diversi materiali comunemente usati per conservare informazioni scritte, incluse le frasi di recupero trascritte a mano su un foglio ordinario. Il tempo di esposizione necessario per rendere illeggibile un foglio di carta è molto più breve di quanto la maggior parte delle persone immagini, specialmente in un incendio che si sviluppa rapidamente in ambienti chiusi.

Le piastre metalliche progettate specificamente per questo scopo resistono a temperature molto più elevate di quelle che un foglio di carta o una stampa plastificata possono tollerare, ma anche in questo caso la posizione della piastra all’interno della casa incide sul risultato finale: una piastra lasciata in un punto della casa esposto a un crollo strutturale durante un incendio prolungato può risultare comunque danneggiata o irrecuperabile, indipendentemente dalla resistenza intrinseca del materiale.

Il rischio della costrizione, il più difficile da accettare

Lo scenario più difficile da affrontare psicologicamente, perché nessuna misura tecnica lo neutralizza completamente, riguarda una persona che minaccia direttamente il titolare per ottenere l’accesso ai fondi. In questi casi, la crittografia più solida del mondo diventa irrilevante nel momento in cui il titolare stesso, sotto minaccia diretta alla propria incolumità o a quella di persone care, rivela volontariamente l’informazione richiesta.

Il settore ha sviluppato alcune contromisure specifiche per questo scenario, distinte da qualunque protezione tecnica contro un attacco da remoto. Un wallet secondario con un saldo relativamente modesto, presentato come se fosse l’unico esistente, offre all’aggressore qualcosa da ottenere senza esporre l’intero patrimonio custodito altrove, una tecnica nota come negabilità plausibile: se l’aggressore non sa che esiste altro oltre a quanto già ottenuto, ha meno motivo di insistere ulteriormente.

Questa tecnica funziona solo se l’esistenza di fondi aggiuntivi resta effettivamente sconosciuta anche a persone vicine al titolare, che potrebbero involontariamente rivelarla sotto la stessa pressione. Vale la pena anche evitare comportamenti che segnalino pubblicamente il possesso di fondi rilevanti, un principio di discrezione che riduce la probabilità stessa di diventare un bersaglio specifico per questo tipo di aggressione mirata. Discutere pubblicamente, anche solo sui social network, dei propri guadagni o della propria disponibilità economica in questo ambito espone a un rischio concreto che molte persone sottovalutano finché non ne vivono direttamente le conseguenze.

La distribuzione geografica delle copie

Il principio che riduce contemporaneamente il rischio di furto e quello di incendio è la distribuzione delle copie di backup in luoghi fisicamente separati, in modo che un singolo evento, che sia un incendio, un allagamento o un furto, non possa compromettere tutte le copie esistenti nello stesso momento.

Una configurazione comune prevede una copia principale in un luogo di uso quotidiano, protetta in una cassaforte di qualità adeguata, e una o più copie secondarie in luoghi fisicamente distanti, come una cassetta di sicurezza bancaria o l’abitazione di un familiare fidato, secondo lo stesso principio già discusso a proposito della distribuzione delle chiavi in una configurazione a più firme, applicato però alla sola distribuzione fisica delle copie invece che alla struttura crittografica dell’accesso.

Un aspetto da bilanciare con attenzione riguarda il numero di copie esistenti: più copie riducono il rischio di perdita totale in un singolo evento, ma aumentano proporzionalmente il numero di punti in cui un accesso non autorizzato potrebbe verificarsi, un compromesso che va calibrato secondo il valore effettivamente custodito e il livello di fiducia riposto in ciascun luogo scelto per una copia.

Un errore ricorrente in questa fase è scegliere come secondo luogo un’abitazione troppo vicina geograficamente alla prima, per esempio quella di un vicino di casa, che rimane comunque esposta allo stesso evento naturale su larga scala, come un’alluvione che colpisce un intero quartiere. Una distanza geografica realmente significativa fra le copie riduce questo tipo di correlazione fra i rischi, un dettaglio spesso sottovalutato da chi pianifica la distribuzione solo in base alla comodità logistica immediata.

Come si struttura un piano di sicurezza fisica completo

Nessuna riga di questa tabella funziona in isolamento: un piano di sicurezza fisica completo combina tutte e tre le contromisure, calibrate secondo la situazione personale specifica e il valore effettivamente custodito, piuttosto che affidarsi a una sola misura ritenuta sufficiente per ogni tipo di minaccia.

Come impostare il piano, passo per passo

1. Elencare onestamente i rischi rilevanti per la propria situazione specifica, incluso chi conosce l’esistenza dei fondi custoditi.
2. Scegliere un supporto fisico resistente ad acqua, fuoco e corrosione, evitando la sola carta per qualunque copia destinata a durare nel tempo.
3. Distribuire almeno due copie in luoghi fisicamente separati e non ovvi a chi conosce la casa o le abitudini del titolare.
4. Evitare di segnalare pubblicamente il possesso di fondi rilevanti, riducendo la probabilità di diventare un bersaglio mirato.
5. Valutare una struttura con negabilità plausibile se il rischio di costrizione è considerato concreto nella propria situazione personale.

Il passaggio più spesso trascurato è il primo: senza un’onesta valutazione dei rischi realmente rilevanti per la propria situazione, è facile investire tempo e risorse in una protezione contro un rischio poco probabile, lasciando scoperto un altro rischio molto più concreto nella pratica quotidiana. Un piano scritto, per quanto sintetico, aiuta a mantenere questa valutazione coerente nel tempo invece di lasciarla a una serie di decisioni isolate prese in momenti diversi e senza una visione d’insieme.

Il ruolo della verifica periodica in questo modello

Un piano di sicurezza fisica progettato con cura perde valore nel tempo se non viene periodicamente verificato: una cassaforte il cui ancoraggio si è allentato, una copia di backup spostata per motivi pratici e mai più ricollocata secondo lo schema originale, un familiare depositario di una copia che ha traslocato senza che il titolare ne fosse informato tempestivamente, sono tutti scenari che rendono un piano teoricamente solido inefficace nella pratica.

Una revisione annuale, che verifichi fisicamente lo stato di ciascuna copia e la sua posizione effettiva, richiede un impegno modesto rispetto al rischio che previene. Vale la pena includere in questa revisione anche una verifica della leggibilità del supporto stesso, specialmente per le piastre incise a mano, dove un’incisione poco profonda può degradarsi nel tempo in modi non sempre immediatamente evidenti a un controllo superficiale.

Questa disciplina di verifica periodica condivide lo stesso principio già discusso a proposito della prova di ripristino su un dispositivo pulito: un piano mai verificato ha lo stesso valore pratico di un piano inesistente, indipendentemente da quanto fosse ben progettato al momento della sua creazione iniziale.

Domande frequenti

Una cassaforte domestica economica offre comunque una protezione utile?

Offre una protezione contro un furto opportunista poco sofisticato, ma non contro un aggressore informato e determinato con il tempo sufficiente per agire. Il livello di protezione dipende dalla certificazione specifica della cassaforte e dal metodo di ancoraggio, non dalla sola presenza dell’oggetto.

Quante copie di backup sono sufficienti in pratica?

Due o tre copie distribuite in luoghi diversi rappresentano un compromesso ragionevole per la maggior parte delle situazioni personali, bilanciando la protezione contro la perdita totale con il numero di punti di accesso potenziale che ogni copia aggiuntiva introduce.

La negabilità plausibile funziona anche se il titolare vive da solo?

Sì, il principio riguarda quante persone sono a conoscenza dell’esistenza di fondi aggiuntivi, non lo stato di convivenza del titolare. Vale comunque la pena considerare che informazioni condivise con familiari o conoscenti possono comunque emergere sotto pressione, se quelle persone ne sono a conoscenza.

Serve assicurare i fondi digitali custoditi fisicamente in casa?

Alcune polizze assicurative per la casa escludono esplicitamente questa categoria di beni, o la coprono solo entro limiti molto ridotti. Vale la pena verificare direttamente con il proprio assicuratore le condizioni specifiche applicabili, senza dare per scontata una copertura che potrebbe semplicemente non esistere nella polizza già sottoscritta.

Conviene rivelare a un familiare stretto dove si trovano le copie di backup?

Dipende dal piano complessivo di sicurezza, incluse le considerazioni sulla trasmissione agli eredi già discusse altrove. Va bilanciato il vantaggio di avere qualcuno a conoscenza in caso di emergenza con il rischio che quella stessa persona diventi un punto di accesso ulteriore o un bersaglio secondario.

Un modello di minaccia della custodia domestica onesto non elimina nessuno dei tre rischi descritti in questo testo, ma permette di distribuire le proprie risorse di protezione in modo proporzionato a ciascuno, invece di concentrarle tutte su una sola minaccia mentre le altre due restano scoperte.