Chat private di DeepSeek esposte su Google: cosa è successo e come proteggersi

Cosa è stato esposto

Le conversazioni indicizzate erano sorprendentemente sensibili. Giornalisti indipendenti di Izvestia, RBC e Gazeta hanno verificato che chiunque poteva visualizzare dialoghi completi, tra cui:

• Documenti di lavoro e report contabili
• Analisi finanziarie su criptovalute e mercato dell'oro
• Conversazioni personali, incluse lamentele sentimentali e domande mediche
• Nomi di file scambiati durante le chat

Circa un terzo dei dialoghi in russo scoperti proveniva da utenti di lingua russa, ma il problema era di portata globale . Il numero di pagine indicizzate era così elevato che Google ha raggruppato risultati simili, segnalando che venivano mostrati solo gli elementi più rilevanti .

Causa principale: l'assenza del tag noindex

Non si è trattato di un hack. Google ha semplicemente indicizzato le pagine pubbliche delle "Conversazioni Condivise" che gli utenti stessi creavano usando il pulsante "Condividi" di DeepSeek. Le pagine erano completamente pubbliche ma prive del tag noindex e di restrizioni adeguate nel file robots.txt per bloccare la scansione da parte dei motori di ricerca .

DeepSeek avvisava gli utenti prima della condivisione che "chiunque abbia il link può vedere" la conversazione . Ma non avvertiva che quelle pagine potevano essere indicizzate da Google e apparire nei risultati di ricerca — un'omissione critica che molti utenti non avevano previsto .

Quattro falle di sicurezza che hanno reso possibile la fuga di dati

Oltre all'assenza del tag noindex, la scoperta di Konitzny ha evidenziato una serie di carenze progettuali più profonde:

1. Nessun pannello di controllo centralizzato per i link condivisi. Gli utenti non hanno modo di vedere un elenco completo di tutte le conversazioni che hanno condiviso. L'unico modo per revocare un link è cancellarlo manualmente dalle impostazioni di ogni singola chat .

2. Nessuna revoca con un clic. Una volta creato un link, non esiste una funzione di revoca massiva per invalidare immediatamente tutte le conversazioni condivise pubblicamente . Ciò significa che un utente che ha condiviso decine di chat nel tempo non ha un modo rapido per bloccarle.

3. Nessun noindex o blocco della scansione predefinito. Le pagine condivise di DeepSeek venivano servite senza gli header standard anti-indicizzazione che la maggior parte dei servizi di condivisione di documenti cloud — Google Docs, Notion, Dropbox — utilizzano come linea di base . Si tratta di un controllo di sicurezza operativa di base che qualsiasi piattaforma con condivisione pubblica dovrebbe implementare.

4. Design poco user-friendly. La funzione di condivisione è facile da attivare ma difficile da annullare. Come ha osservato un analista, il problema "risiede nella discrepanza tra la facilità di condivisione e la difficoltà di controllarla in seguito" .

Un modello più ampio di problemi di privacy

Questo incidente non è avvenuto in un vuoto. DeepSeek è stata ripetutamente sotto esame per questioni di privacy e sicurezza:

• Deficit di trasparenza e trattamento opaco dei dati. I critici hanno notato che le politiche di DeepSeek non soddisfano i requisiti degli Articoli 12–14 del GDPR per una comunicazione chiara sulla privacy .
• Flussi di dati transfrontalieri verso la Cina. I dati degli utenti sono archiviati su server in Cina, e la policy sulla privacy di DeepSeek riconosce che i dati personali — inclusi email, numeri di telefono e cronologie delle chat — vengono raccolti e conservati lì .
• Preoccupazioni sul codice nascosto. Gli esperti hanno riferito che il codice di DeepSeek include funzionalità che potrebbero inviare i dati degli utenti direttamente alle autorità cinesi, sebbene si tratti di un'affermazione contestata .
• Avvisi governativi. Diversi governi occidentali hanno segnalato DeepSeek per i rischi per la privacy, con l'Australia che è stata tra i primi a emettere un avviso ufficiale .

La tensione centrale: velocità dell'IA vs. igiene della sicurezza

Questo caso è un esempio lampante del divario tra la rapida implementazione delle funzionalità di IA e una corretta igiene della sicurezza. DeepSeek ha aggiunto una utile funzione di condivisione, ma ha trascurato i controlli di sicurezza operativa di base — blocco della scansione, gestione centralizzata dei link e revoca in blocco — che dovrebbero accompagnare qualsiasi meccanismo di condivisione pubblica.

La stessa corsa a fornire capacità di IA avanzate sta producendo prodotti in cui la privacy dell'utente dipende dal fatto che l'utente si ricordi di fare cose — come deselezionare "condividi" o cancellare manualmente i link — piuttosto che dal sistema che impone impostazioni predefinite sicure.

Come proteggersi

Se hai utilizzato la funzione di condivisione di DeepSeek, puoi seguire questi passaggi:

1. Controlla i tuoi link condivisi. Apri ogni conversazione che potresti aver condiviso e cerca un'opzione di gestione dei link o della condivisione.
2. Cancella tutti i link condivisi manualmente. Non esiste un'opzione in blocco, quindi devi farlo uno per uno .
3. Controlla Google. Usa site:chat.deepseek.com per vedere se alcune delle tue conversazioni condivise appaiono nei risultati di ricerca.
4. Considera ogni link condiviso come pubblico. Non condividere conversazioni che contengono dati sensibili.

L'esposizione di DeepSeek non è un incidente isolato — è un avvertimento sui rischi nascosti delle piattaforme di IA che privilegiano la velocità rispetto alla sicurezza. Fino a quando protezioni di base come gli header noindex e la gestione centralizzata dei link non diventeranno standard, ogni utente di IA dovrebbe presumere che le proprie conversazioni condivise possano essere trovate da chiunque.