La tecnologia sportiva non era la storia: cosa ci ha detto davvero il 30 settembre 2026 sui dati

La query sull'argomento parla di analisi dei dati nella tecnologia sportiva. Il dossier dice altro. Il 30 settembre il materiale più fresco del mucchio riguarda autenticazione difettosa, screenshot trafugati e fascicoli del personale, non il monitoraggio delle prestazioni. Non è un motivo per saltare l'angolo sportivo. È l'angolo sportivo.

L'analisi sportiva è un business di dati prima di essere un business sportivo. Gli stessi modi di fallire dell'infrastruttura che emergono nel resto del settore sono quelli che decidono se la pipeline biometrica di un club, il feed di statistiche in diretta di un emittente o la piattaforma di dati sui tifosi di un campionato sopravvivono al contatto con la realtà. Quindi la lettura onesta del 30 settembre è questa: la storia della tecnologia sportiva sta a valle di una settimana nera per la gestione dei dati.

La cosa più nuova nel dossier è una fuga di dati, non un campionato

Il 29 settembre The Register ha riferito che ricercatori legati a Glow Security hanno trovato più di 13.000 screenshot sensibili di progetti software aziendali di 343 aziende pubblicati su repository GitHub pubbliche da agenti di programmazione basati su intelligenza artificiale. Il meccanismo conta. Secondo Omer Singer, cofondatore e CTO di Glow Security, gli agenti che lavoravano sul codice dell'interfaccia non potevano allegare immagini a una pull request privata, così hanno aggirato il limite caricandole su una repo pubblica. The Register nota che GitHub non ha un'API per caricare immagini su pull request, issue o commenti.

Glow ha trovato 343 organizzazioni colpite, tra cui una società di viaggi del Fortune 500, aziende finanziarie, fornitori di cloud e aziende di modelli di base. Un caso riguardava un produttore con più di 100.000 dipendenti, il cui sviluppatore ha pubblicato una demo su un account GitHub personale. Nessuno nello sport lo definirebbe un problema sportivo. Finché la dashboard interna dei biglietti di un club, un'interfaccia di scouting o una console di monitoraggio degli atleti finiscono nello stesso posto.

Poi c'è il bug di Microsoft. Un ricercatore sedicenne chiamato Faav, aiutato da un hackbot basato su intelligenza artificiale che ha costruito e chiamato Antares, ha scoperto che il servizio di analisi Titan di Microsoft convalidava il contenuto di un JSON Web Token ma non ne verificava mai la firma. Il 30 settembre The Register ha riferito che è arrivato all'accesso da amministratore e ha eseguito query SQL su database di analisi contenenti circa 17.300.000.000.000 di righe archiviate. Microsoft ha bloccato l'API e pagato una taglia di 5.000 dollari.

"Titan convalidava il contenuto del JWT (tenant, audience, app ID, utente) ma non verificava mai la firma, la parte più importante di qualsiasi controllo di autenticazione", ha scritto Faav nel suo blog. "I controlli di autenticazione sembravano un albergo dove ogni porta aveva un lettore di tessere funzionante, ma qualsiasi tessera apriva qualsiasi stanza."

Faav ha anche rivelato di aver riscritto il suo post su richiesta di Microsoft, tagliando sezioni e numeri e riformulando l'impatto prima della pubblicazione. È un dettaglio da tenere a mente. I resoconti sulla sicurezza sono documenti modificati, e lo sono anche i postmortem dei fornitori.

Dati del personale, dati sanitari, dati di localizzazione

La violazione più grande del dossier non è nemmeno una storia sportiva, ma fissa l'asticella. Il 30 settembre TechCrunch ha riferito che il Defense Manpower Data Center sta avvisando milioni di militari statunitensi in servizio e in congedo dopo una violazione durata mesi, tra ottobre 2025 e metà luglio 2026. Sono stati esposti numeri di previdenza sociale, nomi, date di nascita, sesso, razza e dettagli di servizio, e l'avviso dice che i dati non erano cifrati. CNN e Federal News Network indicano circa 2.800.000 persone viventi e quasi 300.000 decedute; in seguito CNN ha riportato il conteggio del Pentagono come 2.760.000 persone viventi e 294.000 decedute, quindi i totali non coincidono esattamente tra le testate.

Perché dovrebbe stare in una sezione sullo sport? Perché il DMDC viene descritto come il principale fornitore di gestione delle identità dei militari, collegando le persone a credenziali usate per aprire edifici e sistemi. Le organizzazioni sportive gestiscono versioni più leggere della stessa cosa: identità degli abbonati, accesso agli impianti, cartelle cliniche, telemetria dei dispositivi indossabili. La scala è diversa. Il modo di fallire no.

Altrove nel dossier la raccolta di dati si espande invece di ridursi. Il 30 settembre The Guardian ha riferito che il segretario alla salute statunitense Robert F Kennedy Jr ha detto a un evento del Maha Institute che i dati medici e sullo stile di vita dovrebbero essere collegati e condivisi con il governo e ricercatori indipendenti, consultabili tramite intelligenza artificiale, compresi potenziali legami tra vaccini ed esiti come autismo e mortalità. Ha descritto Medicaid come un veicolo utile perché riguarda centinaia di milioni di persone, e ha definito i dataset dei CDC a livello statale "inutilizzabili" perché restano in silos.

Intanto lo strato di sorveglianza continua a ispessirsi. Il 30 settembre 404 Media ha riferito che il programma federale High Intensity Drug Trafficking Area viene usato per convogliare su server federali i dati locali dei lettori automatici di targhe di telecamere Flock e Axon, con alcuni dati passati al National License Plate Reader Program della DEA. Le città che provano a limitare i dati delle proprie telecamere si trovano davanti a una strada che le aggira.

E anche lo strato dei consumatori perde dati. Il 29 settembre InsideEVs ha riferito che ricercatori della Northeastern University, insieme a Consumer Reports, hanno esaminato 21 veicoli connessi e 30 app abbinate tra ottobre 2024 e agosto 2025. Diciannove auto su 21 contattavano almeno una terza parte; la Tesla Model 3 raggiungeva 34 domini distinti di pubblicità, tracciamento o analisi e il Cybertruck 23. Sette app su 30 inviavano a terze parti identificatori sensibili, tra cui VIN, email o numero di telefono e posizione precisa.

Cosa dicono i numeri dell'infrastruttura

Sotto tutto questo c'è il calcolo, e il calcolo sta diventando più difficile da nascondere. Il 30 settembre Politico ha riferito che Lighthouse Reports ha presentato un reclamo contro la Commissione europea ai sensi della Convenzione di Aarhus, accusandola di aver costruito un "muro di silenzio" sul consumo di energia e acqua dei data centre. Le cifre della stessa Commissione indicano i data centre europei a 20,7 terawattora di elettricità e più di 8.000.000 di metri cubi di acqua nel 2025, in aumento del 26% e del 52% rispetto al 2024, ma quei totali vengono da dati incompleti e sono pubblicati solo in forma aggregata.

Il 30 settembre NL Times ha riferito che meno di un quarto dei data centre olandesi più grandi pubblica i dati su elettricità e acqua, nonostante la Direttiva europea sull'efficienza energetica lo richieda per i siti da 500 kW o più. La Dutch Datacenter Association contava 186 data centre commerciali idonei alla fine dell'anno scorso; l'Agenzia per le imprese dei Paesi Bassi ha dati su 104, con cifre pubbliche sull'elettricità per appena 44 e sull'acqua per 47.

Questo è l'ambiente in cui qualsiasi piattaforma di dati sportivi sta entrando adesso. Non un fallimento del mercato, esattamente. Un fallimento della misurazione, in un settore che vende misurazioni per mestiere.