Nel 1995 esce nelle sale The Net, un thriller con Sandra Bullock nei panni di una programmatrice inseguita da hacker che le cancellano l'identità. Per promuoverlo, un servizio televisivo americano la riprende mentre compra due biglietti del cinema su un sito appena nato, MovieLink, lanciato da Disney e MGM. È uno dei primi acquisti online mai filmati per la televisione. Bullock, visibilmente divertita dalla scena, inserisce il numero di una carta di credito e fa notare, con la sua ironia tipica, che il sito non prevede alcuna doppia verifica per controllare che i numeri digitati siano quelli giusti.

Trent'anni dopo, a gennaio 2026, quel filmato torna a circolare online. Il rilancio iniziale è puramente nostalgico: qualcuno lo condivide per ricordare com'era rudimentale internet, con Bullock che smanetta su un computer enorme circondata da persone confuse quanto lei. Il video piace, gira, viene ripreso da decine di account. Ed è proprio in questo passaggio, dal rilancio nostalgico alla circolazione virale, che la storia cambia pelle.

Cosa fa davvero un algoritmo come quello di Luhn

Quello che Bullock chiedeva scherzosamente nel 1995, un controllo che intercetti gli errori di battitura in un numero di carta di credito, esiste realmente e ha un nome preciso: si chiama algoritmo di Luhn, dal cognome dello scienziato IBM Hans Peter Luhn che lo descrisse in un brevetto depositato nel 1954. È un meccanismo di controllo molto semplice, basato su una somma di cifre modulo dieci, pensato per un solo scopo: accorgersi se qualcuno ha digitato un numero sbagliato, non se quel numero appartiene davvero a chi lo sta usando. Non verifica un'identità e non protegge da un attacco deliberato. È, in sostanza, un correttore di refusi matematico, non un sistema di sicurezza. Ed è proprio questa distinzione, tra controllare un errore e verificare un'identità, il punto su cui la storia di Bullock è stata fraintesa.

Da una battuta a un'invenzione che non c'è mai stata

Da qualche parte nel percorso virale del video, qualcuno ha unito due cose che non c'entrano nulla l'una con l'altra: la battuta sulla doppia verifica della carta di credito e il concetto molto più recente di autenticazione a due fattori, quel codice che oggi ricevi via SMS o app quando accedi a un servizio online. Il risultato è un meme tanto assurdo quanto efficace: Sandra Bullock avrebbe inventato l'autenticazione a due fattori, trent'anni prima che esistesse davvero. Il fatto che l'autenticazione a due fattori abbia un tallone d'Achille tutto suo, di cui parlo in questo articolo, rende la storia ancora più ironica: la si attribuisce a chi in realtà parlava di un problema diverso, la verifica di un semplice numero, non l'identità di chi lo usa.

L'innocenza di chi ha detto la battuta

Vale la pena fermarsi su un punto che nella storia scompare quasi sempre: Sandra Bullock non ha mai rivendicato nulla di tutto questo. Non ha mai detto di aver inventato un sistema di sicurezza, né si è mai presentata come una pioniera della crittografia. Nel filmato del 1995 fa una battuta, buttata lì con la leggerezza di chi si sta divertendo davanti a una telecamera durante la promozione di un film, non una previsione tecnica meditata. La distorsione non nasce da lei e non nasce nemmeno da chi ha girato il servizio originale. Nasce trent'anni dopo, da chi ha ripescato pochi secondi di quel video, li ha isolati dal contesto e ha lasciato che il pubblico ci proiettasse sopra un significato completamente nuovo. È l'esatto contrario di un altro caso di cui mi sono occupato, quello di un inventore reale che non capiva di aver creato qualcosa di enorme: un dispositivo sovietico degli anni Quaranta che oggi vive dentro ogni pagamento contactless. Lì c'era un'invenzione vera attribuita quasi per caso. Qui non c'è nessuna invenzione: solo un'attribuzione che non è mai esistita.

Come si amplifica un equivoco come questo

Un aneddoto vero, un'attrice compra biglietti online nel 1995, viene rilanciato per nostalgia. Qualcuno, nei commenti o in un post derivato, aggiunge un collegamento scherzoso con la sicurezza informatica moderna. Altri utenti, senza verificare nulla, prendono quel collegamento come un fatto storico e lo ripetono. Ogni condivisione aggiunge un grado di certezza che la fonte originale non aveva mai avuto. Non serve nessuna intenzione malevola perché il meccanismo funzioni: basta che il contenuto sia divertente, condivisibile e abbastanza plausibile da non spingere nessuno a controllare.

Le pagine "divulgative" che non controllano le fonti

Il problema più serio, però, non è che la battuta di Bullock sia stata fraintesa online. Nell'ultimo anno si è diffuso un fenomeno che riguarda direttamente chi si occupa di divulgazione: pagine, canali e profili che si definiscono divulgativi ma che in realtà si limitano a rilanciare contenuti già virali, senza risalire alla fonte primaria e senza verificare se il collegamento proposto regga davvero. Osservando come si diffondono contenuti di questo tipo, si nota uno schema ricorrente: chi rilancia per primo un aneddoto curioso raramente cita la fonte originale; chi rilancia il rilancio, ancora meno. Il risultato è una catena in cui ogni passaggio perde un pezzo di contesto, fino a quando quello che resta è solo l'elemento più semplice da condividere, cioè l'affermazione più clamorosa, non quella più accurata.

Cosa dice tutto questo sulla divulgazione online

Per come la vedo, tuttavia, il caso di Sandra Bullock è utile proprio perché è innocuo. Nessuno viene danneggiato se qualcuno crede, per errore, che un'attrice abbia inventato l'autenticazione a due fattori. Ma il meccanismo che porta a crederci è lo stesso, identico, che permette a informazioni più delicate di circolare senza controllo: una statistica sanitaria fuori contesto, una dichiarazione politica tagliata a metà, un dato tecnico semplificato fino a diventare falso. Quello che cambia tra un equivoco innocuo e uno pericoloso non è il meccanismo di diffusione. È soltanto la posta in gioco.

Capire come si è formata questa piccola leggenda urbana, dalla battuta del 1995 al meme del 2026, non serve solo a correggere un dettaglio storico. Serve a ricordare che la responsabilità di verificare non dovrebbe fermarsi al primo che condivide, ma dovrebbe pesare di più proprio su chi si presenta come una fonte affidabile. Vale la stessa logica che si osserva nel modo in cui gli algoritmi selezionano quello che vediamo online, un tema che ho approfondito qui: gli algoritmi come nuovo alfabeto. Il problema raramente è la tecnologia in sé. È sempre, di nuovo, la catena umana che sta prima e dopo di essa: chi scrive per primo, chi rilancia, chi dovrebbe controllare e non lo fa.