RSS

Archivi tag: inps

INPS down, colpa degli hacker, anzi no: c’erano ma facevano altro

Se il portale INPS va in défaillance in un giorno in cui si collegano milioni di persone che accedono tutte insieme, ci dev’essere qualcosa che non va nell’impostazione della piattaforma o nell’organizzazione, oppure in entrambe. E al giorno d’oggi non si può escludere un sabotaggio, un attacco hacker. Sono tutte ipotesi emerse nelle ore successive a quando, il giorno 1 aprile, si è verificato il disservizio che ha portato alla sospensione volontaria del portale all’avvio della presentazione delle domande per il bonus destinato a professionisti e lavoratori autonomi.

Il presidente dell’INPS Pasquale Tridico aveva parlato in quelle ore di hacker, inducendo a individuare la causa dei problemi nel contesto di uno o più attacchi esterni. I dati emersi nelle ore successive hanno poi escluso che quel “macello” fosse dovuto ad attacchi hacker. Nessuno nega che siano stati sferrati, ma non c’è stata evidenza che fossero l’origine dei disservizi, come ha ammesso proprio lo stesso presidente Tridico nell’audizione informale di ieri alla Camera (riportata in questo video https://www.youtube.com/watch?v=hsXadfdhcac) dichiarando “non sto dicendo che questi attacchi hanno causato il data breach, o hanno causato la violazione della privacy del primo aprile”.

Non solo, ma avendo precisato che l’adozione della CDN (Content Delivery Network), implementata nella notte precedente, “ha portato a quelle disfunzioni, a quel data breach”, il presidente ha confermato anche le impressioni iniziali del sottoscritto: con tale soluzione una parte della richieste generate è stata messo in cache, facendo sì che un utente potesse accedere a dati altrui (come quelli del signor Luciano V.), non perché in quel momento stesse consultando i dati del sito INPS, ma perché stava accedendo ad una copia di quei dati, memorizzata dalla CDN per accelerare la dinamica del sito e dare risposte più rapide alle richieste.

 
Lascia un commento

Pubblicato da su 21 aprile 2020 in news

 

Tag: , , , , , , , , ,

INPS up! Bene… ma non benissimo

Uno dice: dopo quanto accaduto ieri, se oggi il sito INPS è di nuovo attivo sarà “a posto”! Giusto?

Pare di no: la ricostruzione curata da Gianmarco Vinciguerra su DR COMMODORE.it ci racconta un’altro problemino: dopo l’accesso al portale nella sezione del bonus baby-sitting, un utente si è trovato di fronte un pannello che sostanzialmente gli permetteva di leggere i dati di tutte le domande inserite in precedenza, con i dati personali dei richiedenti. Ma i dati non solo erano consultabili, ma anche modificabili:

 
Lascia un commento

Pubblicato da su 2 aprile 2020 in Internet, istituzioni, news

 

Tag: , , , , , , ,

INPS down, colpa di un click day che non lo era

Chi ha provato oggi ad accedere al sito dell’INPS, dopo varie peripezie, potrebbe essersi imbattuto nel messaggio riportato nell’immagine (la faccina scoraggiata è mia). La stampa ha riferito dei molti problemi lamentati dagli utenti che nelle ultime ore hanno tentato di presentare online la domanda per i bonus baby-sitting e quello di 600 euro previsto dal decreto “Cura Italia” per alcune categorie di lavoratori autonomi e p.iva. A quanto pare si è verificato di tutto: c’è chi non è mai riuscito ad entrare e c’è chi è riuscito ad accedere, visualizzando però dati anagrafici di un altro utente (e ricaricando la pagina web, l’anagrafica cambiava e mostrava dati ancora differenti). Ad un certo punto, in seguito ai disservizi lamentati dagli utenti il sito è stato chiuso, con le dichiarazioni del presidente dell’INPS Pasquale Tridico che ha attribuito a un attacco hacker la causa dei problemi, attacco che – stando alle dichiarazioni – sarebbe stato ricevuto stamattina e anche nei giorni scorsi.

A livello di infrastruttura tecnologica, certamente non è un gioco da ragazzi prepararsi a ricevere milioni di contatti a pochi giorni dalla pubblicazione del decreto, e questa considerazione va a difesa dell’INPS e di chi ne gestisce il sistema deputato a ricevere eccezionalmente quei milioni di domande. Ciò premesso, alcune osservazioni mi sorgono spontanee:

  • faccio un po’ fatica a credere che oggi l’INPS abbia aperto al pubblico la ricezione delle domande per il bonus, nella consapevolezza di essere sotto attacco da giorni e di essere quindi vulnerabile, sottoponendosi al rischio di subire seri problemi;
  • il fatto che un utente abbia potuto accedere a un’anagrafica altrui (nonostante il suo accesso fosse autenticato) e il refresh della pagina lo abbia portato alla visualizzazione di altri dati, più che al pesce di aprile di un fantomatico hacker fa pensare ad un’errata impostazione, di indirizzamento dell’utente o di cache;
  • le idee non erano chiare già in partenza: se da un lato risultava evidente che il meccanismo era quello di un “click day” – che prevede l’accoglimento delle domande in ordine cronologico, per cui il “chi tardi arriva, male alloggia” impone che la domanda vada presentata al più presto possibile – dall’altro lato sul sito web si leggeva la rassicurante indicazione “Tutte le richieste saranno esitate. Vi preghiamo di non ingolfare il sito!”, contraddittoria rispetto al fatto che le coperture definite dal governo non erano sufficienti a soddisfare le domande. Ma lo dicono dall’Inps, quindi… tutti rassicurati.

I fatti sono comunque evidenti, il sito ha avuto problemi, si è ingolfato ed è stato chiuso. Durante l’ingolfamento si sono verificati però problemi di esposizione di dati personali altrui, dati ovviamente riservati e che andavano protetti e tutelati secondo la legge e questo obbliga l’INPS a comunicare entro 72 ore il data breach sia al Garante della Privacy che agli utenti interessati. “Dall’una di notte alle 8.30 circa, abbiamo ricevuto 300mila domande regolari” ha dichiarato il presidente dell’INPS. I problemi sono stati rilevati quando il traffico dati è aumentato

Si poteva risolvere diversamente? Sì, forse potenziando l’infrastruttura. Ma, come dicevo sopra, non è un gioco da ragazzi e il problema non si risolve installando qualche apparato e stendendo qualche cavo in più. Non avendo molto tempo a disposizione, si sarebbe potuto adottare fin dall’inizio la soluzione di scaglionare gli accessi.

Di sicuro non era possibile risolvere tutto con un’autodichiarazione.

PS: a proposito di attacchi… anche gli hacker prendono le distanze!

 
2 commenti

Pubblicato da su 1 aprile 2020 in brutte figure, news, privacy

 

Tag: , , , , , , , , ,

 
%d blogger hanno fatto clic su Mi Piace per questo: