Eliminare un file, svuotare il cestino o eseguire una formattazione rapida fa scomparire soltanto l'indice che punta ai vostri dati: i dati, invece, restano fisicamente presenti e un semplice software gratuito è spesso sufficiente per ripristinarli. In altre parole, tutto ciò che un laboratorio sa recuperare, può recuperarlo anche un acquirente curioso o malintenzionato. Prima di rivendere o gettare un computer, un telefono, un disco o una chiavetta, occorre quindi o riscrivere realmente l'intero supporto, o distruggerlo fisicamente. La scelta giusta dipende dal tipo di supporto.

Quel che segue illustra, caso per caso, come cancellare davvero i vostri dati, e perché un supporto gettato non è mai tanto anonimo quanto si crede.

Un supporto gettato non scompare

Si immagina volentieri che un disco depositato al centro di raccolta finisca dritto nel trituratore. La realtà è più tortuosa. Prima di essere eventualmente distrutto, un supporto passa tra diverse mani, transita per società che smistano e smontano, e nulla impedisce a qualcuno di individuare un disco ancora recente e di vedervi un'occasione di rivendita. Ed eccolo di nuovo in vendita su una piattaforma come Anibis o Ricardo, con i vostri dati ancora a bordo.

Il principio è semplice e senza eccezioni: finché i dati non sono stati fisicamente distrutti o realmente riscritti, restano accessibili. Un disco «gettato» non è un disco cancellato. Ecco perché la questione della cancellazione si pone tanto per un supporto che si rivende quanto per uno che si mette al macero.

Ciò che non basta

Molte persone credono di aver ripulito tutto, mentre non hanno fatto che riordinare la superficie. Tre gesti, in particolare, danno una falsa impressione di sicurezza.

Eliminare i file e svuotare il cestino non tocca i dati stessi. La formattazione semplice, o rapida, fa ben poco di meglio: riscrive la tabella di allocazione, quell'indice che dice dove si trovano i file, ma lascia il contenuto intatto sul disco. Con un software di recupero adeguato si risale allora senza fatica a buona parte dei dati. Infine, il ripristino di un PC non garantisce nulla finché non si ha la certezza che tutti i settori siano stati effettivamente riscritti.

In altre parole, queste operazioni vanno bene per liberare spazio o ripartire con un sistema pulito, ma non per proteggere i vostri dati prima che un terzo metta le mani sul supporto.

Cancellare davvero, supporto per supporto

Il metodo giusto dipende da ciò che volete vendere. Ecco i casi più frequenti.

Supporto	Per rivenderlo	Per distruggerlo
Computer portatile	Rimuovere l'SSD M.2, o riscrivere tutti i settori	Forare i chip di memoria (dopo lo smontaggio)
Disco rigido	Riscrivere tutti i settori (zeri o casuale)	Colpi di mazza sui piatti
Telefono	Ripristino delle impostazioni di fabbrica (rigenera le chiavi di cifratura)	Smontare e forare i chip di memoria
SSD, chiavetta USB	Riscrittura completa, o meglio, non rivendere	Forare i chip di memoria (dopo lo smontaggio)
Nastro magnetico	Smagnetizzatore	Estrarre il nastro e tagliarlo a pezzi
CD, DVD	Non rivendere	Rompere fisicamente

Per un computer portatile, la soluzione più sicura è rimuovere l'SSD M.2 e vendere l'apparecchio senza di esso. Tanto vale tenere quell'SSD in casa, dove potrà servire da backup supplementare. Se dovete comunque vendere il disco, usate un software adeguato che riscriva l'intero insieme dei settori, dal primo all'ultimo, con caratteri casuali o zeri. Il supporto viene allora realmente azzerato, ma occorre poi reinstallare l'intero sistema operativo.

Per un telefono, bisogna avviare le modalità specifiche che consentono un ripristino completo delle impostazioni di fabbrica. I dati di uno smartphone sono cifrati nei chip di memoria, mediante componenti elettronici e chiavi software. Il ripristino di fabbrica reinizializza queste chiavi software, il che rende impossibile l'accesso ai vecchi dati, anche se sussistono fisicamente, in mancanza di una chiave per decifrarli.

Per un nastro magnetico, il guadagno alla rivendita è modesto, e la cosa più saggia è spesso non venderlo. Se ci tenete, l'unica soluzione efficace è il passaggio allo smagnetizzatore, un apparecchio che cancella i dati mediante un campo magnetico intenso. Nel nostro laboratorio, il nostro funziona con due grandi magneti perpendicolari: alcuni condensatori si caricano per una quindicina di secondi, poi rilasciano la loro energia nei magneti per cancellare magneticamente tutto il contenuto del nastro. Questo è poi pronto a ricevere una nuova inizializzazione da parte di un lettore.

Per un CD o un DVD, la rivendita non ha alcun interesse: per disfarvene, rompetelo fisicamente.

Distruggere fisicamente, senza ferirsi

Quando un supporto va al centro di raccolta o non è più affidabile, la distruzione fisica resta il metodo più sicuro. A ogni supporto la sua tecnica.

Un nastro magnetico si srotola e si taglia in più pezzi. Un disco rigido si neutralizza con colpi di mazza sui piatti, per spezzarli. Un telefono, un SSD o una chiavetta USB si smontano, e se ne forano i chip di memoria.

Qui si impone un avvertimento, perché questo gesto può essere pericoloso. Non forate mai un telefono senza averlo prima smontato e individuato a occhio la scheda madre e il chip da forare. Se forate a caso, rischiate di trapassare la batteria e di provocare un incendio. Questa precauzione vale anche per gli SSD e le chiavette USB. Forare, sì, ma dopo aver visto ciò che si fora.

La cifratura aiuta, ma non dispensa dal distruggere

Un supporto cifrato dà una vera sensazione di sicurezza, e ciò è in parte giustificato. Un disco protetto da BitLocker, FileVault o dalla cifratura nativa di un telefono non è leggibile senza la chiave. Molti ne concludono che la cifratura basti.

È dimenticare un anello. Con BitLocker, per esempio, la chiave di ripristino viene salvata sull'account Microsoft dell'utente. Se una persona riesce a ottenere sia il disco sia l'accesso a questa chiave di ripristino, può accedere al contenuto. La cifratura è dunque un'eccellente protezione nel quotidiano, ma per avere lo spirito davvero tranquillo al momento di separarsi da un supporto sensibile, nulla sostituisce la distruzione fisica.

Imprese: un obbligo, non un'opzione

Per un'impresa, cancellare a regola d'arte non è un semplice riflesso di prudenza, è un obbligo. La nLPD in Svizzera, come il RGPD, impongono una distruzione controllata dei dati personali, che si tratti di file clienti, di dati HR o di dati sanitari. Questa distruzione può accompagnarsi a certificati che attestano i mezzi impiegati, energie di smagnetizzazione o trituratrici, e imprese specializzate non fanno altro.

Un esempio mostra fino a che punto la catena possa spezzarsi, anche tra professionisti. Una quindicina di anni fa, abbiamo acquistato lotti di diverse centinaia di chili di dischi rigidi alla rinfusa. Questi dischi provenivano da un'amministrazione francese ed erano destinati a essere distrutti. Il rivenditore non aveva manifestamente seguito la procedura fino in fondo: esaminandoli, abbiamo constatato che tutti i dati erano ancora accessibili. Abbiamo allora svolto il lavoro noi stessi, formattando integralmente i supporti ancora funzionanti e distruggendo fisicamente gli altri. Dati ufficiali, destinati alla distruzione, si sono così ritrovati in mani esterne, per mancanza di una catena rispettata da un capo all'altro.

Va del resto tenuta a mente una cosa: un supporto che non funziona più non è per questo illeggibile. Può essere riparato da un laboratorio, soprattutto se il suo contenuto è prezioso e interessa, per esempio, un attore statale straniero. Per dati realmente sensibili, la distruzione fisica non è una precauzione eccessiva.

Domande frequenti

Una formattazione basta per cancellare un disco prima di venderlo?

No. Una formattazione rapida riscrive soltanto la tabella di allocazione; i dati restano sul disco e si ripristinano con un software. Per cancellare davvero, occorre riscrivere l'intero insieme dei settori (con zeri o caratteri casuali) mediante un software adeguato, oppure rimuovere e conservare il disco.

Come si cancella davvero un SSD o una chiavetta USB?

Con una riscrittura completa del supporto tramite uno strumento adeguato, o, ancora più sicuro, non rivendendolo. In caso di dubbio o di supporto a fine vita, la distruzione fisica dei chip di memoria resta la soluzione più affidabile.

Un ripristino delle impostazioni di fabbrica cancella davvero un telefono?

Sì, su un telefono cifrato. Il ripristino delle impostazioni di fabbrica rigenera le chiavi di cifratura software: anche se i dati sussistono fisicamente nella memoria, diventano illeggibili in mancanza di chiave. Ecco perché è efficace sugli smartphone moderni.

Come si distrugge un disco rigido o un telefono in tutta sicurezza?

Un disco rigido si rompe con colpi di mazza sui piatti; un telefono, un SSD o una chiavetta si smontano e poi si forano in corrispondenza dei chip di memoria. Attenzione: non forate mai un apparecchio senza aver smontato e individuato il chip, pena il rischio di trapassare la batteria e di provocare un incendio.

La cifratura BitLocker basta prima di rivendere un disco?

No, non da sola. BitLocker protegge bene nel quotidiano, ma la chiave di ripristino è memorizzata sull'account Microsoft; chiunque ottenga il disco e questa chiave può accedere ai dati. Per un supporto sensibile, la distruzione fisica resta la garanzia più sicura.

Un'impresa deve provare la distruzione dei propri dati?

Sì. La nLPD in Svizzera e il RGPD impongono una distruzione controllata dei dati personali (clienti, HR, sanità). La distruzione può essere attestata da un certificato che precisa i mezzi impiegati, e prestatori specializzati, o un laboratorio, possono occuparsene.