Orari di lavoro
Lunedi - Venerdi: 7.30 - 19.30
Sabato: 8 - 16
Z Side · Reality Glitch A cura di Zoom Out Lab
Ogni volta che apri LinkedIn, un codice da 2,7 megabyte scansiona il tuo browser alla ricerca di oltre 6.000 estensioni. Incluse quelle che rivelano se stai cercando lavoro di nascosto, le tue condizioni di salute, le tue convinzioni religiose. Senza chiederti nulla. Senza dirtelo. Benvenuti in BrowserGate.
BrowserGate LinkedIn non è una voce, non è un’ipotesi, non è il solito allarme privacy gonfiato da un titolo sensazionalistico. È il nome di un’indagine tecnica di Fairlinked e.V., un’associazione europea che ha pubblicato ad aprile 2026 un’analisi documentata del comportamento di linkedin.com, verificata in modo indipendente da BleepingComputer e già al centro di due class action depositate in California. Il meccanismo è documentato. Il codice è analizzabile. I dati trasmessi sono tracciabili.
La notizia non è che LinkedIn raccoglie dati questo lo sapevamo. La notizia è cosa raccoglie, come lo fa, e perché la spiegazione ufficiale non chiude il caso.
Lo script che nessuno ti ha detto di installare
Ogni volta che visiti linkedin.com da un browser basato su Chrome, la piattaforma carica automaticamente un bundle JavaScript da circa 2,7 megabyte. Dentro c’è uno script chiamato Spectroscopy. Il suo compito è verificare la presenza di oltre 6.222 estensioni specifiche nel tuo browser, raccogliere 48 parametri hardware del tuo dispositivo numero di core della CPU, memoria disponibile, risoluzione dello schermo, stato della batteria cifrare tutto e trasmetterlo ai server di LinkedIn insieme ai dati della sessione.
Il metodo tecnico, verificato indipendentemente da BleepingComputer, si basa sull’invio di fino a 6.222 richieste simultanee per ogni caricamento di pagina: Spectroscopy cerca file pubblici associati a ciascuna estensione, e se la risposta arriva, l’estensione è installata. L’operazione avviene in background tramite funzioni come requestIdleCallback, progettate per ridurre l’impatto sulle prestazioni apparenti del browser. La combinazione di questi dati genera un fingerprint unico e persistente che ti identifica anche dopo che hai cancellato i cookie.
Questo non è un bug. È un sistema progettato per funzionare esattamente così.
Cosa rivela davvero la lista delle tue estensioni
Qui sta il nucleo del problema, e va capito bene. Non è una questione tecnica di “quanti dati raccoglie LinkedIn” è una questione di cosa significano quei dati nel concreto.
Tra le 6.000+ estensioni monitorate ci sono strumenti di job hunting: applicazioni che usi per cercare lavoro di nascosto, mentre il tuo profilo LinkedIn è visibile al tuo datore di lavoro attuale. Ci sono plugin sviluppati per utenti neurodivergenti. Estensioni legate all’orientamento politico. Applicazioni pensate per comunità religiose specifiche. E oltre 200 prodotti di concorrenti diretti di Microsoft da Salesforce a HubSpot, da Apollo a ZoomInfo il che permette teoricamente a LinkedIn di mappare quali stack tecnologici utilizzano le aziende dei loro utenti, senza che quelle aziende lo sappiano. Non è raccolta dati generica: è intelligence competitiva su scala industriale.
Il GDPR classifica esplicitamente come dati sensibili le informazioni su salute, religione, convinzioni politiche, orientamento sessuale. Raccogliere questo tipo di dati richiede consenso esplicito. La privacy policy di LinkedIn non menziona lo script Spectroscopy. Non esiste un meccanismo di opt-out.
Questo è esattamente il territorio dove si muovono i dark pattern infrastrutturali: non quelli visivi che rendono difficile disdire un abbonamento, ma quelli che operano a un livello dove l’utente non ha nemmeno gli strumenti concettuali per rendersi conto di cosa stia succedendo.
La difesa di LinkedIn. E i suoi limiti.
LinkedIn non nega la scansione. Un portavoce ha dichiarato che la piattaforma verifica la presenza di estensioni che raccolgono dati degli utenti senza consenso, presentandolo come una misura di sicurezza anti-scraping. LinkedIn sostiene anche che la pratica sia menzionata nella propria privacy policy, e che Fairlinked sia un soggetto in conflitto di interessi l’associazione è collegata a Teamfluence, un’azienda i cui tool di scraping erano stati limitati da LinkedIn e che aveva già perso una causa a Monaco a gennaio 2026.
Questa contro-narrativa ha una logica interna. Rilevare estensioni che violano i termini di servizio è una pratica legittima nel settore della sicurezza web. Il problema è che la logica tecnica non risponde alle domande giuridiche. Come ha dichiarato l’avvocato JR Howell, uno dei legali della class action californiana, la vera questione non è se LinkedIn si stia difendendo dallo scraping. È se gli utenti siano stati informati, in modo chiaro e comprensibile, che LinkedIn avrebbe analizzato il loro browser, estratto dati collegati alla sessione e reso quei dati disponibili a terze parti non specificate, tra cui almeno una importante società di cybersicurezza israelo-statunitense.
La risposta è no. E il contesto non cambia la risposta.
Va ricordato che nell’ottobre 2024 la Commissione irlandese per la protezione dei dati aveva già sanzionato LinkedIn con una multa da 310 milioni di euro per irregolarità nel trattamento dei dati pubblicitari. BrowserGate LinkedIn arriva su un dossier regolatorio già aperto e pesante. Non è un caso isolato: è un pattern ricorrente lo stesso che abbiamo documentato nella storia della raccolta dati senza consenso reale sui dispositivi indossabili Meta.
La scala del problema: 405 milioni di persone
Secondo le stime di Fairlinked, il numero di persone coinvolte dalla scansione di BrowserGate LinkedIn è di circa 405 milioni non un dato ipotetico, ma derivato dalla diffusione delle estensioni monitorate all’interno della base utenti della piattaforma.
Vale la pena soffermarsi sulla progressione storica. LinkedIn scansionava 38 estensioni nel 2017. Nel 2024 erano circa 461. A febbraio 2026 erano già oltre 3.000. Oggi sono più di 6.222: un incremento del 1.252% in due anni. Non è una misura di sicurezza che cresce proporzionalmente alla minaccia. È una rete di sorveglianza che si allarga sistematicamente, seguendo una logica che non è difensiva ma estrattiva.
Il tema del consenso trattato come formalità dove le piattaforme costruiscono architetture di raccolta dati che operano al di là di qualsiasi dichiarazione di consenso che l’utente possa leggere è lo stesso meccanismo al centro del dibattito sui training dataset AI. La differenza è che lì parliamo dei tuoi contenuti pubblici. Qui parliamo del tuo dispositivo privato, analizzato dall’interno mentre pensi di stare semplicemente aggiornando il profilo.
Cosa puoi fare (e cosa rimane fuori dal tuo controllo)
Le soluzioni pratiche esistono, ma hanno tutte un costo. Usare Firefox o Safari invece di Chrome: il metodo di Spectroscopy si basa sull’architettura delle estensioni di Chromium e non funziona su questi browser. Usare Brave con le protezioni anti-fingerprinting attive. Creare un profilo Chrome dedicato esclusivamente a LinkedIn, senza estensioni installate. Verificare le proprie estensioni nel database pubblico reso disponibile dai ricercatori di BrowserGate.
Quello che non puoi fare è uscire dalla piattaforma mantenendo la tua presenza professionale su LinkedIn. E questo è il punto più rilevante per chi usa il sito quotidianamente per lavoro. Non esiste un’alternativa di pari scala nel mercato professionale occidentale. LinkedIn lo sa. Questa asimmetria la stessa che emerge nella gestione della fiducia degli utenti in altri prodotti Microsoft non è una variabile esterna del problema. È parte della sua struttura.
Il vero glitch: la fiducia come infrastruttura
BrowserGate LinkedIn non è una storia su uno script JavaScript. È una storia su cosa succede quando la fiducia degli utenti diventa un’infrastruttura su cui costruire qualcosa che va oltre il servizio dichiarato.
LinkedIn è la piattaforma della credibilità professionale. Ci mettiamo il nome reale, il titolo, il datore di lavoro, la storia lavorativa. Quella fiducia quella disponibilità a essere identificabili e trasparenti è il prodotto che LinkedIn vende agli inserzionisti, ai recruiter, alle aziende. BrowserGate mostra che quella stessa fiducia viene usata anche per raccogliere un identikit digitale del dispositivo, mappare lo stack di strumenti aziendali, inferire informazioni che l’utente non ha mai scelto di condividere.
Secondo l’analisi GDPR di Federprivacy, se le accuse saranno confermate, questo caso rischia di diventare uno dei dossier più importanti del 2026 sul rapporto tra piattaforme professionali e diritti digitali degli utenti in ambito lavorativo. Le class action in California sono appena iniziate. Il GDPR ha già colpito LinkedIn una volta. Il Digital Markets Act sta guardando.
Il Reality Glitch è semplice: la piattaforma progettata per la tua visibilità professionale usa quella visibilità anche per guardare cose che pensavi fossero tue.
