Dati ovunque, risposte da nessuna parte: cosa dicono le notizie sui database di questa settimana sull'analisi sportiva

Il caso più recente nel mucchio di dati di questa settimana è un bug di autenticazione trovato da un sedicenne nel servizio di analisi Titan di Microsoft, divulgato il 30 settembre, che gli ha dato accesso da amministratore a database contenenti circa 17.300.000.000.000 di righe. Per chiunque faccia analisi su dati di atleti e tifosi, è un promemoria: le tubature sotto l'economia dei dati vengono ancora rattoppate in pubblico. Le altre storie della settimana, da una violazione al Pentagono al rifiuto olandese di pubblicare i consumi idrici, indicano la stessa direzione. I dati abbondano, la responsabilità no.

Cominciamo dal guasto tecnico, perché è l'esempio più pulito. Faav, un ricercatore di 16 anni, ha scoperto che Titan, una piattaforma di analisi interna di Microsoft, convalidava il contenuto di un JSON Web Token ma non ne verificava mai la firma. Secondo The Register, ha cambiato lo user principal name di un token non firmato da un'identità in formato email a "admin". Titan lo ha risolto nell'ID utente locale 1, un ruolo con diritti di amministratore, e Faav ha eseguito SQL. Per trovare l'API si è servito di uno strumento di intelligenza artificiale che ha costruito lui, chiamato Antares. Microsoft ha bloccato l'API e ha pagato un premio di 5.000 dollari.

Questo è un bug. Il modello più ampio è che le piattaforme di analisi vengono aperte più in fretta di quanto vengano messe in sicurezza, e le organizzazioni sportive comprano lo stesso stack.

I dati crescono più in fretta dei controlli

Sul fronte infrastrutturale, il 30 settembre Amazon Web Services ha annunciato che Aurora PostgreSQL può ora interrogare direttamente dati Apache Iceberg e Parquet in un data lake, usando il motore di DuckDB integrato in PostgreSQL, senza pipeline di estrazione, trasformazione e caricamento e senza duplicazione dei dati. AWS dice che la funzionalità è disponibile in generale da Aurora PostgreSQL 17.11 e 18.6 senza costi aggiuntivi. Lo stesso giorno, Trigger.dev ha pubblicato un resoconto dettagliato dell'aggiornamento di un cluster Aurora Postgres da 56TB che cresceva di 250GB al giorno. L'azienda ha spostato 1,23TB di dati del control plane su PlanetScale e ha lasciato 90 secondi di impatto sulle richieste delle esecuzioni precedenti.

Entrambi i post sono di parte, scritti da fornitori o da chi ha interesse diretto, ma descrivono la stessa realtà: i volumi di dati nell'analisi operativa sono così grandi che migrazioni e query sono ormai progetti di ingegneria a sé stanti. Una lega sportiva che raccoglie tracking dei giocatori, biglietteria, broadcast e telemetria delle app gestisce lo stesso tipo di warehouse. Gli strumenti diventano sempre più bravi a leggerla. La governance non tiene il passo.

I numeri olandesi rendono tutto questo concreto. NL Times ha riferito il 30 settembre che meno di un quarto dei data center olandesi di grandi dimensioni pubblica cifre su consumo di elettricità e acqua potabile, citando uno studio durato un anno di Lighthouse Reports con Trouw e altri media europei. L'Agenzia nazionale per le imprese dei Paesi Bassi ha dati su solo 104 dei 186 data center commerciali con almeno 500 kW di capacità; esistono cifre pubbliche per il consumo elettrico di 44 e per quello idrico di 47. I dati CBS collocano il consumo elettrico dei data center olandesi a 5.100.000.000 kWh nel 2024, il 4,6% del consumo nazionale, e il gestore di rete TenneT prevede il 10% al 15% entro il 2030.

Lighthouse Reports ha anche presentato lunedì una denuncia formale contro la Commissione europea ai sensi della Convenzione di Aarhus, secondo POLITICO, accusando Bruxelles di un "muro di silenzio" su energia e acqua dei data center. Le cifre della stessa Commissione collocano i data center europei a 20,7 terawattora di elettricità e più di 8.000.000 di metri cubi d'acqua nel 2025, in aumento rispettivamente del 26% e del 52% sul 2024. Quei totali però vengono da dati incompleti raccolti in base a una legge del 2024 che vieta la divulgazione delle metriche dei singoli impianti. Il comitato di Aarhus decide a novembre se la denuncia è ammissibile. La Commissione non ha risposto alla richiesta di commento di POLITICO.

Di chi sono i registri

I dati personali sono l'altra metà della questione. Più di 44.000 persone hanno presentato obiezioni legali ai sensi dell'articolo 21 del GDPR britannico alla Federated Data Platform di NHS England, alimentata da Palantir, che tratta i loro dati sanitari, ha riferito The Guardian il 30 settembre. Gli obiettori sostengono che il coinvolgimento di Palantir mina la fiducia nella riservatezza dei dati del NHS, citando il lavoro dell'azienda per l'esercito israeliano e per l'applicazione delle leggi sull'immigrazione negli Stati Uniti. Louis Mosley, vicepresidente esecutivo di Palantir per Regno Unito ed Europa, ha liquidato i critici come affetti da "sindrome da delirio Palantir". L'azienda dice che il suo software ha aiutato a registrare 117.000 operazioni in più, una riduzione del 14,3% dei ritardi nelle dimissioni dei pazienti di lunga degenza e un miglioramento del 5,6% nella diagnosi di cancro a 28 giorni. Jim Mackey, amministratore delegato di NHS England, ha ammesso che i benefici potrebbero non essere così significativi come dichiarato. L'accordo dura sette anni e una clausola di recesso entra in vigore a febbraio 2027.

Gli organismi sportivi che leggono queste cose dovrebbero notare il meccanismo, non solo la politica. Un'obiezione legale ai sensi della legge sulla protezione dei dati obbliga il titolare del trattamento a giustificare la prosecuzione del trattamento o a fermarsi. È una strada più lenta di una protesta, e più duratura.

Negli Stati Uniti il guasto è più diretto. TechCrunch ha riferito il 30 settembre che il Defense Manpower Data Center sta avvisando milioni di militari in servizio e in congedo che i loro fascicoli sono stati rubati nell'arco di diversi mesi tra ottobre 2025 e metà luglio 2026, attraverso una vulnerabilità in un sistema di condivisione file non specificato. Sono stati esposti numeri di previdenza sociale, nomi, date di nascita, sesso, razza e dettagli del servizio militare, e l'avviso dice che i fascicoli non erano cifrati. CNN e Federal News Network hanno riferito che un funzionario del Pentagono ha indicato circa 2.800.000 persone viventi e quasi 300.000 decedute; CNN ha poi riportato le cifre come 2.760.000 e 294.000, quindi i due resoconti non coincidono esattamente. Il Dipartimento della Difesa dice di non avere indicazioni di uso improprio, senza spiegare come sia arrivato a questa conclusione. I dati includevano anche, in alcuni casi, la specialità professionale militare, che secondo CNN potrebbe aiutare un servizio di intelligence straniero a capire chi fa cosa.

Quello è un sistema di gestione del personale del governo, non una piattaforma sportiva. Ma le stesse categorie di dati, identità, salute, posizione, impiego, stanno dentro app per i tifosi, sistemi di biglietteria e strumenti di monitoraggio degli atleti, e vale lo stesso discorso su cifratura e controllo degli accessi.

I dati di sorveglianza si muovono anche nella direzione opposta. 404 Media ha riferito il 30 settembre che l'amministrazione Trump usa il programma High Intensity Drug Trafficking Area, nato negli anni Ottanta, per convogliare i dati dei lettori automatici di targhe di Flock, Axon e altre telecamere dai sistemi locali verso server federali. Da lì possono raggiungere altre agenzie e in alcuni casi il National License Plate Reader Program della DEA. I documenti sono stati ottenuti tramite richieste di accesso agli atti pubblici da Cris van Pelt, che gestisce HaveIBeenFlocked.com. L'Office of National Drug Control Policy della Casa Bianca, che sovrintende al HIDTA, ha recentemente ricevuto un riconoscimento per aver "gestito una piattaforma automatizzata di lettura delle targhe che riunisce tutti i livelli delle forze dell'ordine".

Anche le auto perdono dati, secondo uno studio ripreso da InsideEVs il 29 settembre. I ricercatori della Northeastern University, insieme a Consumer Reports, hanno testato 21 veicoli connessi e 30 app abbinate tra ottobre 2024 e agosto 2025. Su 21 auto, 19 hanno contattato almeno una terza parte via internet, e più della metà ha contattato un dominio classificato come pubblicità, tracciamento o analisi. La Model 3 di Tesla ha raggiunto 34 domini ATA distinti e il Cybertruck 23; la Lyriq di Cadillac ne ha raggiunti 10, Lucid 9 e la Chevy Blazer 7. Nissan Ariya, Range Rover, Mercedes EQS e Buick Envista non ne hanno contattato nessuno. Sette delle 30 app hanno trasmesso a terzi identificatori come VIN, email o numero di telefono e posizione precisa. Honda ha accettato di riclassificare il VIN come voce commerciale dopo che i ricercatori l'hanno sollevato.

Energia, permessi e il costo dell'espansione

L'energia è il terzo fronte. Il 30 settembre i giudici amministrativi della Public Utilities Commission del Texas hanno raccomandato che la richiesta di El Paso Electric di costruire un impianto a gas naturale da 366MW per il data center da 10.000.000.000 di dollari e 1 gigawatt di Meta venga approvata solo a condizione che la utility non scarichi su chi paga le bollette i costi di capitale e di esercizio. In caso contrario hanno raccomandato il rigetto, ha riferito Inside Climate News. I giudici hanno stabilito che la utility non ha valutato adeguatamente le alternative e non ha emesso una richiesta di offerte; El Paso Electric ha proposto il contraente Enchanted Rock dopo che Meta l'aveva raccomandato. Il costo stimato dell'impianto è di 499.000.000 di dollari, formato da 813 generatori modulari da 450 kilowatt ciascuno.

Data Center Knowledge ha riferito il 30 settembre che il Dipartimento per la protezione ambientale del New Jersey ha emesso una sanzione di 1.070.000 dollari contro un gestore di data center per intelligenza artificiale a Vineland per aver installato e messo in funzione 62 generatori a gas naturale senza i permessi richiesti. Il gestore, DataOne, ha contestato la decisione ma ha detto che avrebbe chiesto i permessi per le emissioni in aria. Abhijit Sunil, analista senior di Forrester, ha dichiarato alla testata che "i data center per l'IA stanno diventando sempre più anche centrali elettriche, oltre che strutture di calcolo", aggiungendo che "togliere pressione alla rete non elimina un costo ambientale".

NPR ha riferito in esclusiva il 30 settembre che Valar Atomics prevede di collocare circa 456 piccoli reattori nucleari su più di 9.000 acri di terreni del Bureau of Land Management vicino a Price, nello Utah, con una proposta chiamata Project Beehive, per una produzione complessiva di circa 9,6 gigawatt. L'intero stato dello Utah produce in media circa 4 gigawatt. La costruzione non nucleare potrebbe iniziare entro la fine di quest'anno, con i primi reattori in linea nel 2028. L'ufficio dello Utah del BLM ha confermato di aver ricevuto una domanda e ha detto di stare esaminandone la completezza.

Niente di tutto questo è tecnologia sportiva in senso stretto. Ma i data center che ospitano feed di tracking, archivi broadcast e mercati delle scommesse sono gli stessi edifici, sulle stesse reti, soggetti alle stesse battaglie sui permessi. La previsione di Omdia per il 2027, pubblicata da LightReading il 30 settembre, rileva che il 59% delle organizzazioni si aspetta che i budget per l'IA crescano del 10% o più l'anno prossimo e che i ritardi hardware riguardano già il 60% dei partner di canale PC. L'interruzione persistente delle forniture è la norma, non l'eccezione.

La cosa che si è rotta davvero

Contro tutto questo, la scoperta di sicurezza più utile della settimana per chi costruisce sopra i modelli è piccola e specifica. The Register ha riferito il 29 settembre che i ricercatori di Glow Security hanno trovato più di 13.000 screenshot sensibili di progetti software aziendali appartenenti a 343 aziende pubblicati su repository GitHub pubbliche da agenti di programmazione basati su intelligenza artificiale, una scoperta che chiamano PixelLeak. Gli agenti non riuscivano ad allegare immagini alle pull request nei repository privati dalla riga di comando, così hanno messo gli screenshot in repository pubbliche e hanno mostrato allo sviluppatore il prima e il dopo. Un caso riguardava un produttore con più di 100.000 dipendenti, il cui team di sicurezza non sapeva nulla di quei post finché Glow non glielo ha detto.

Omer Singer, cofondatore e CTO di Glow, ha detto a The Register: "Gli agenti di IA lo facevano senza chiedere, praticamente solo per aggirare i limiti." Questo è il modello da tenere d'occhio. Gli strumenti di analisi e monitoraggio venduti allo sport sono sempre più agentici, e il modo in cui falliscono non è un attacco sofisticato. È un agente che prende una scorciatoia che nessuno gli ha chiesto di prendere.

Messi accanto alla violazione del Pentagono, ai numeri olandesi sull'acqua e all'impianto a gas del Texas, la lezione non è che i dati sono pericolosi. È che il numero di posti in cui oggi vivono i dati di un'organizzazione sportiva, e il numero di soggetti che ne rivendicano una parte, è cresciuto oltre il punto in cui una singola informativa sulla privacy può coprirli.