Class action contro Crime Stoppers per la fuga di 1,5 milioni di segnalazioni «anonime»

Uno studio legale canadese ha proposto una class action contro la Canadian Crime Stoppers Association e il suo fornitore statunitense Navigate360 per un attacco informatico che ha esposto oltre 1,5 milioni di segnalazioni inviate dai canadesi alla linea anonima sui reati. Consumer Law Group ha annunciato la causa il 30 ottobre, riporta Daily Hive. Il ricorrente principale vive a Dunnville, in Ontario, e aveva dato a Crime Stoppers nome, indirizzo, telefono ed email segnalando una presunta casa dello spaccio vicino a casa sua.

Cosa è trapelato e come si è saputo

Crime Stoppers è una rete di organizzazioni non profit che trasmette alla polizia segnalazioni sui reati e promette l'anonimato a chi le invia. Le sezioni conservano le segnalazioni su P3, una piattaforma gestita da Navigate360. Un gruppo di hacktivisti che si fa chiamare Internet Yiff Machine ha rubato i dati a marzo, sostenendo di voler dimostrare che la piattaforma non era «anonima» e «sicura» come pubblicizzato. In seguito l'organizzazione Distributed Denial of Secrets ne ha consegnato una copia a giornalisti e ricercatori.

Il 21 ottobre CBC News ha pubblicato la sua analisi della parte canadese: oltre 1,5 milioni di segnalazioni di più di 60 sezioni in 25 anni, con dati personali in oltre 850.000. CBC non sempre è riuscita a capire se quei dati appartenessero a chi segnalava, a una vittima o a un sospettato. Sono bastati però a contattare più di una dozzina di informatori, alcuni dei quali hanno detto di temere ritorsioni. La polizia federale RCMP ha avvertito che la fuga di dati può mettere a rischio informatori, persone citate e agenti, aggiungendo che all'inizio le era stato detto che non c'erano dati canadesi o personali.

Navigate360 ha confermato pubblicamente l'attacco il 23 ottobre. Secondo l'azienda, un soggetto non autorizzato ha copiato dati da uno dei suoi sistemi tra il 21 novembre 2025 e il 5 marzo 2026, e non ci sono prove che siano stati usati per frodi o furti d'identità. Toronto Crime Stoppers afferma che l'azienda l'ha avvisata della fuga il 18 marzo, una settimana dopo ha definito il sistema «sicuro e pienamente operativo» e poi ha cambiato più volte versione su cosa fosse stato sottratto.

Cosa sostiene la causa

Secondo l'atto, Crime Stoppers e Navigate360 conservavano dati personali senza oscurarli né cifrarli e tenevano archivi per decenni anche quando non servivano più. Tra i dati esposti ci sarebbero indirizzi di casa, numeri di telefono, targhe, coordinate bancarie e numeri di previdenza sociale, oltre a informazioni su persone citate nelle segnalazioni, dipendenti e agenti. Navigate360 è accusata anche di aver saputo dell'attività sospetta dal 18 marzo senza avvisare le persone coinvolte né il pubblico fino a ottobre. Nessuna di queste accuse è stata vagliata in tribunale, e la class action non è ancora stata autorizzata.

La polizia si ritira, i garanti hanno poteri limitati

Al 27 ottobre CBC contava almeno 11 programmi Crime Stoppers che avevano smesso di ricevere segnalazioni, tra cui tutti e cinque quelli del Saskatchewan, e 24 corpi di polizia che avevano sospeso la collaborazione. Altri continuano a usarlo: la polizia di Calgary ha detto a Global News il 30 ottobre di essere soddisfatta delle misure di sicurezza aggiuntive, e alcuni distaccamenti della RCMP hanno continuato a promuovere il programma.

Il 27 ottobre il garante della privacy canadese Philippe Dufresne ha aperto un'indagine sulle misure di sicurezza di Navigate360. Su Crime Stoppers non può indagare: la legge federale sulla privacy nel settore privato in genere non si applica alle non profit, e il garante dell'Ontario vigila solo sul settore pubblico. CBC ha anche ottenuto un promemoria di giugno in cui il presidente dell'associazione consigliava alle sezioni di non contattare i garanti della privacy. Michael Geist, professore di diritto all'Università di Ottawa, ha detto a CBC che chi vuole un risarcimento dovrà affidarsi alle class action, perché la legge attuale offre poco.