Microsoft ha consegnato all’FBI le chiavi di ripristino BitLocker necessarie per sbloccare i dati crittografati sui dischi rigidi di tre laptop, nell’ambito di un’indagine federale.
La notizia, emersa da documenti giudiziari, conferma come il gigante di Redmond sia intervenuto direttamente per consentire agli agenti l’accesso a informazioni altrimenti protette dalla cifratura integrale del disco. Non si tratta di una vulnerabilità tecnica sfruttata dagli inquirenti ma della messa in atto di una procedura prevista dal design stesso del sistema operativo Windows.
Il caso affonda le radici in un’indagine su una presunta frode ai danni del Pandemic Unemployment Assistance (PUA), il programma di aiuti economici istituito durante l’emergenza sanitaria per sostenere i lavoratori. I tre computer erano stati sequestrati dall’FBI oltre sei mesi prima che venisse notificato il mandato a Microsoft. Dopo aver tentato invano di accedere ai dati localmente, le autorità hanno sfruttato l’ultima risorsa disponibile, ovvero il backup delle chiavi di cifratura.
Dati questi che Windows, per impostazione predefinita, carica sui server cloud dell’azienda.
Il CLOUD Act e la collaborazione forzata
Sotto il profilo della tech-policy, l’intervento di Microsoft non è una scelta di campo ma il riflesso di un obbligo normativo stringente.
Il CLOUD Act statunitense impone infatti alle aziende tecnologiche di fornire assistenza alle autorità e di consegnare i dati degli utenti in loro possesso se raggiunte da un mandato federale. Esiste però un distinguo fondamentale: l’obbligo di assistenza legale si ferma davanti all’impossibilità tecnica.
Se un’azienda utilizza una cifratura “Zero Knowledge”, dove la chiave d’accesso risiede esclusivamente nel dispositivo dell’utente, può legittimamente rispondere all’FBI di non essere in grado di decrittare i file. In quel caso, il governo riceve solo una sequenza di dati illeggibili. A lui il compito di accedervi. Microsoft, con BitLocker, ha invece scelto una strada diversa. Per evitare che un utente perda definitivamente i propri documenti in caso di smarrimento della password, il sistema salva automaticamente una copia della chiave di ripristino sui server di Redmond.
Questa funzione di “comodità” cambia radicalmente il quadro giuridico: nel momento in cui Microsoft possiede tecnicamente quel passepartout digitale, non ha più alcuna base legale per rifiutarsi di consegnarlo davanti a un mandato federale. Quello che nasce come un paracadute per gli utenti distratti si trasforma così, per via legislativa, in una porta di servizio sempre aperta per lo Stato.
L’azienda ha dichiarato di ricevere mediamente venti richieste di questo tipo ogni anno, confermando che la consegna delle chiavi BitLocker è una pratica consolidata, seppur numericamente limitata.
La vicenda solleva allora una questione di principio sull’effettiva sovranità digitale del cittadino: “È il 2026 e queste preoccupazioni sono note da anni”, ha commentato Matthew Green, esperto di crittografia presso la Johns Hopkins University. Secondo Green, la scelta di Microsoft di non delegare totalmente la gestione delle chiavi all’utente finale sta rendendo l’azienda un’eccezione isolata rispetto al resto dell’industria.
Il rischio della centralizzazione delle chiavi
Oltre alle implicazioni legali, la gestione centralizzata delle chiavi di ripristino espone gli utenti a rischi di sicurezza informatica di vasta portata.
Se un attore malevolo riuscisse a compromettere l’infrastruttura cloud di Microsoft, evento già verificatosi in passato con diverse violazioni ‘eccellenti’, potrebbe potenzialmente ottenere l’accesso a milioni di chiavi di cifratura.
Anche se l’aggressore avrebbe comunque bisogno del possesso fisico dei dischi rigidi per completare l’attacco, la sola esistenza di un simile database di “chiavi universali” rappresenta un bersaglio critico per lo spionaggio industriale e i gruppi criminali organizzati.
Il confronto coi competitor del settore mette in luce una divergenza strategica profonda. Mentre altre Big Tech si muovono verso modelli dove nemmeno il produttore del software può decifrare i dati salvati, Microsoft continua a privilegiare un ecosistema dove la sicurezza è mediata dal fornitore.
BitLocker e le riflessioni europee
Le ripercussioni di questo modello meritano qualche riflessione anche in Europa, dove il tema della protezione dei dati è regolato da norme più stringenti come il GDPR.
Quando una chiave di cifratura di un utente o di un’impresa europea viene archiviata su server soggetti alla giurisdizione statunitense, si pone un problema di conformità e di fiducia tecnologica.
La trasparenza di Microsoft nel rispondere a queste venti richieste annuali è un segnale di correttezza procedurale ma non cancella il fatto che, nel 2026, la cifratura del disco più diffusa al mondo conservi ancora una porta di servizio tecnicamente accessibile da un governo straniero.
Fonte: TechCrunch
