«Cercare qui eventuali lacune è stata per me una grande motivazione!»

La sicurezza non nasce dal nulla, ma deve essere verificata, messa in discussione e messa alla prova. Per questo motivo, anche quest’anno la Posta ha invitato hacker etici di tutto il mondo a testare in modo mirato il proprio sistema di voto elettronico. Durante il test di intrusione pubblico svoltosi dal 6 al 24 luglio 2026, le specialiste e gli specialisti IT hanno potuto individuare possibili vulnerabilità nel sistema di voto elettronico. Per la Posta questo test di resistenza pubblico rappresenta un contributo importante per rafforzare ulteriormente il voto elettronico e promuovere la fiducia nelle elezioni e nelle votazioni digitali. La novità di quest’anno è stata che un gruppo selezionato ha ottenuto un accesso approfondito al sistema e ha potuto testarlo in nuove condizioni di prova.

Nell’intervista che segue, l’hacker «13th» racconta cosa lo ha spinto a partecipare al test di intrusione sul voto elettronico, quali lacune ha individuato e cosa significa per lui l’hacking etico per la fiducia nella democrazia digitale.

Che cosa l’ha spinta personalmente a esaminare più da vicino il sistema di voto elettronico della Posta?

Una specifica completa, un codice sorgente aperto e un ambiente live: nel test di intrusione per il voto elettronico della Posta tutto questo è disponibile contemporaneamente. Si tratta di una combinazione rara. La specifica diventa una sorta di riferimento in materia di sicurezza: invece di cercare di indovinare quale sia il comportamento previsto, si confrontano le caratteristiche definite del protocollo con l’attuazione nel codice sorgente e nell’ambiente live. Cercare qui eventuali lacune è stata per me una grande motivazione!

Come ci si prepara, in qualità di hacker etico, a testare un sistema così sensibile come un’urna digitale?

Non lavoro al computer come singolo ricercatore. Il mio lavoro si basa su un sistema di agenti di intelligenza artificiale con oltre 25 ruoli specializzati in modo permanente. Si tratta di un approccio innovativo alle analisi di sicurezza, in cui lascio che i ruoli specializzati operino in modo indipendente l’uno dall’altro. Attraverso le cosiddette «fasi cieche» le conclusioni vengono inizialmente elaborate separatamente, al fine di evitare il pensiero di gruppo e gli effetti di ancoraggio. In questo contesto ciò che conta non è il numero di agenti coinvolti, bensì un rigido modello di evidenza che esamina ogni ipotesi sulla base di prove comprensibili e la verifica in modo riproducibile. Per lo studio del sistema di voto elettronico della Posta sono state analizzate sistematicamente oltre 214’000 righe di codice e, già prima dell’avvio del test di intrusione pubblico, sono state preparate ipotesi concrete che sono state successivamente confermate o confutate in modo mirato nell’ambiente live.

Cosa distingue l’hacking di un sistema di voto elettronico da altri programmi di sicurezza o di bug bounty?

La differenza principale consiste nel fatto che, in questo caso, la sicurezza si basa su più componenti ed è legata al fattore tempo. Non è quindi sufficiente generare una risposta insolita da parte del server. È necessario fornire tre prove distinte: l’errore deve essere presente nel codice sorgente; deve essere riproducibile nell’ambiente live e deve essere valido anche nelle condizioni reali di una votazione. Proprio per questo motivo, durante il test di intrusione pubblico sono state volutamente scartate numerose ipotesi, dopo che ulteriori analisi ne avevano smentito le conseguenze.

Durante i test c’è stato un momento specifico in cui ha pensato: «Ora la cosa potrebbe farsi interessante»?

Un momento particolarmente interessante è stato quello in cui una richiesta di test modificata in modo mirato ha influenzato il normale svolgimento di un secondo certificato elettorale indipendente. Sebbene ciò non abbia avuto alcun impatto sui voti o sui risultati delle elezioni, ha dimostrato che determinati effetti possono estendersi oltre il contesto originario. Per me questo è stato un segnale importante per esaminare più da vicino le relazioni sottostanti.

La Posta invita espressamente gli hacker a cercare vulnerabilità. In che modo ciò può rendere un sistema più sicuro?

Le specialiste e gli specialisti esterni adottano un approccio diverso nei confronti di un sistema rispetto alle persone coinvolte nello sviluppo. È interessante notare che, anche nel nostro lavoro, i risultati spesso non emergono dove l’ipotesi iniziale avrebbe lasciato supporre, ma altrove. È importante anche sottolineare che non si tratta solo di correggere gli errori. Sono utili anche i miglioramenti che portano a una rettifica o a una concretizzazione delle specifiche, poiché semplificano la successiva verifica pubblica. Anch’io ho segnalato un miglioramento di questo tipo, che il team Voto elettronico ha ora integrato nella descrizione del sistema. Il fatto che in un test pubblico emergano delle criticità non significa che il sistema non sia sicuro. Ciò che conta è la capacità di un’organizzazione di recepire tali criticità e tradurle in miglioramenti concreti.

La sua partecipazione al test di intrusione ha cambiato la sua fiducia nel voto elettronico. Se sì, in che modo?

Dal mio punto di vista, il test di intrusione pubblico e, in particolare, l’ambiente di test esteso dimostrano che, in un sistema complesso come quello del voto elettronico, è necessaria una verifica esterna continua. Infatti, in un sistema complesso possono emergere punti ciechi, ad esempio nelle interfacce tra applicazione, infrastruttura e specifiche. A mio avviso, quindi, i test pubblici sono fondamentali per la fiducia nella democrazia digitale: non servono promesse di sicurezza assoluta, ma la disponibilità ad accettare i risultati reali emersi dai test pubblici e a migliorare il sistema in modo coerente sulla base di essi.

Quali insegnamenti ha tratto personalmente da questo test, sia dal punto di vista tecnico sia in relazione alla democrazia digitale?

Nella fase estesa del test di intrusione ho avuto modo di presentare quindici rapporti, tra cui un riscontro di gravità media e due best practice («gravità bassa»). Per me il test è stato anche un’occasione per verificare la mia metodologia che si basa sull’impiego di diversi agenti. La conclusione più importante dal punto di vista sociale è che la fiducia autentica nasce quando ci si basa su test affidabili; le spiegazioni, invece, non sono sufficienti. La verifica pubblica consente di controllare i rischi e di rafforzare l’affidabilità del voto elettronico.