Nella classifica delle password più utilizzate, l’Italia si distingue (poco): mentre a livello mondiale resta saldamente in testa l’inossidabile “123456“, noi ci differenziamo con “admin” (dimostrando anche un discreto complesso di superiorità: l’admin è l’administrator, l’utente principale, il profilo con permessi di accesso “onnipotenti”). Ma in realtà la fantasia è poca, come si vede dal parallelo tra le top ten “Tutti i Paesi” e “Italia”. Perché nonostante siamo nel 2023, non tutti hanno maturato la consapevolezza che oggi, nell’era in cui tutto viene digitalizzato (dai documenti al conto corrente bancario), la password è la versione digitale della chiave – o della combinazione – che apre la cassaforte in cui conserviamo i nostri dati personali.
Si noti inoltre – sempre dalle classifiche qui riportate – quanto tempo serve per decifrare le password di uso comune: nel 70% dei casi basta meno di un secondo per aggirare l’ostacolo. Una menzione d’onore meritano però gli utenti che hanno scelto UNKNOWN, che danno più filo da torcere ai malintenzionati. Ovviamente uno dei criteri più diffusi resta sempre quello di utilizzare il proprio nome, ma nessun nome ricorrente potrà mai vantare presenze pari alle password più standard del mondo.
La debolezza della password è un problema? Sì perché, come detto sopra, le password sono le chiavi. Chiavi di casa digitali, del conto in banca, del computer. Se le perdiamo – o se ne perdiamo il controllo al punto da permettere a un’altra persona di impossessarsene e farne un utilizzo illecito – sapete meglio di me cosa può accadere: dal furto di informazioni a quello di identità, passando per i reati contro il patrimonio, le probabilità di subire un danno concreto sono direttamente proporzionali alla facilità di individuazione della parola chiave.
Le password devono essere complesse, e il più possibile slegate e indipendenti da qualunque informazione che ci riguarda: meglio pensare a qualcosa di differente dal nome (nostro o di qualcuno di famiglia, animali domestici inclusi), dalla data di nascita e da qualsiasi informazione che possa essere facilmente individuata, per conoscenza diretta o indiretta.
I criteri di composizione delle password devono andare in altre direzioni. Ad esempio si può pensare ad una frase, considerando le lettere iniziali di ogni parola che la compone e giocando con maiuscole e minuscole, usando anche lettere alternate a numeri e aggiungendo caratteri speciali. Oppure è possibile ricorrere a un generatore di password (come Roboform) e affidarsi alla sua scelta, senza utilizzare informazioni riconducibili a informazioni personali. Quando le password diventano tante e diventa difficile gestirle, anziché scriverle su un post it o in un foglio Excel, è il momento di affidarsi ad una soluzione di password management, cioè di qualcosa che possa aiutare a gestirne l’inventario e a recuperarle all’occorrenza. Una soluzione efficace e gratuita ad esempio è Devolutions Hub Personal.
Mai sottovalutare l’importanza delle password. Se pensate alle informazioni personali gestite dalle applicazioni installate su uno smartphone, ad esempio, capite bene quanta parte della vostra vita ha bisogno di password sicure: account social media, posta elettronica, conto corrente bancario, fascicolo sanitario elettronico, identità digitale. La possibilità che le nostre informazioni personali finiscano nelle mani sbagliate ci deve far riflettere: meglio una sola password, facile, da utilizzare per tutti gli account (che una volta rubata apre ai malintenzionati tutte le porte), oppure tante password complesse, diverse per ogni account?
Il caro, vecchio SMS, che ormai nessuno usa più a livello personale, è uno strumento ancora ampiamente sfruttato da aziende e istituzioni per comunicare informazioni ai propri utenti o clienti, non raramente anche in veste di secondo fattore di autenticazione (la password temporanea rilasciata per confermare credenziali, disporre bonifici, eccetera). E in virtù di questo sopravvissuto utilizzo, piace molto anche ai truffatori che fanno smishing, ossia il phishing tramite SMS, appunto.
Il messaggio riportato è a prima vista verosimile, ma in realtà ha sufficienti caratteristiche per essere identificato come “trappola”. Escludendo un motivo strettamente personale legato al numero telefonico su cui è arrivato (numero che non è abbinato ad alcuna utenza di Poste Italiane, ragione che fa precipitare al suolo qualunque possibile attendibilità), troviamo un messaggio scritto in modo non consono all’ente che dovrebbe averlo spedito:
Abbiamo verificato accesso anomalo
Eventualmente dovremmo leggere “un” accesso anomalo (lo so, potrebbe sembrare irrilevante, ma gli SMS provenienti da Poste Italiane sono solitamente scritti in buon italiano). Ma c’è anche un link anonimo:
Il servizio con indirizzo is.gd permette di generare link brevi che sostituiscono indirizzi più lunghi, per farli diventare di facile riscrittura o dettatura, ma anche per occupare meno caratteri in un messaggio SMS o un tweet. Il nome PosteInfo è legato abitualmente a un mittente attendibile da cui potremmo ricevere SMS di vario tipo, inclusi gli aggiornamenti su una spedizione in arrivo, il cui link però è quasi sempre del tipo https://www.poste.it/eccetera.
Da un dispositivo sicuro (per quanto possibile) ho provato a seguire il link indicato, non si riesce ad approdare ad un sito web, il caricamento si ferma prima e permette solo di vedere l’indirizzo di destinazione del link abbreviato: belleviewvenue.com. Che verosimilmente non ha nulla a che fare con Poste Italiane, ma che potrebbe essere (come sempre accade) legato ad un form di richiesta credenziali. Da evitare come la peste.
A volte basta dare un’occhiata all’indirizzo web del sito che si sta visitando per accorgersi che è falso (quello riportato in figura è autentico). Tuttavia spesso non si pone questa attenzione ed è per questo che molti cadono nelle trappole realizzate attraverso false pagine web. Come è accaduto a molti utenti in Sud America, attratti da pagine web fasulle di Spotify,Microsoft Store e FreePdfConvert, reclamizzate da banner truffaldini.
Lo scopo è sempre quello di attirare l’attenzione delle persone con l’inganno, inducendole a visitare una pagina web che replica (più o meno fedelmente) quelle di servizi e aziende ritenute affidabili e, in questo caso, a scaricare un software che invece si rivela essere il trojanFicker. Ma il fatto che questa vicenda abbia colpito utenti d’oltreoceano non deve fare abbassare la guardia a noi, anzi!
Eset, azienda slovacca specializzata in soluzioni di sicurezza, lo ha scoperto nei giorni scorsi, pubblicando un tweet di avvertimento su tre di queste trappole presenti sul web. Un esempio lo si vede nella figura che riporto qui , relativa alla pagina di download della app xChess 3 proposta dal falso Microsoft Store. Graficamente ben realizzata, ma identificabilissima dall’indirizzo web, che non ha nulla a che vedere con il Microsoft Store. E qui il download porta il malware in casa (o meglio, nel computer) dell’ignaro utente.
Analogamente avviene con il file che si presenta sotto le mentite spoglie della app Spotify disponibile al download da un altro sito artefatto, così come per la falsa versione di FreePdfConverter. Si tratta sempre del trojan Ficker, un malware che sostanzialmente rileva informazioni personali e, accedendo a informazioni memorizzate sul computer (inclusi documenti e portafogli elettronici), riesce a ottenere le credenziali degli account memorizzate nei browser, nei client FTP e nei software di messaggistica.
Promemoria utile a non cadere nelle trappole:
per prima cosa, evitare di cliccare su banner pubblicitari di questo tipo. In questo caso, selezionarli non è immediatamente pericoloso, perché l’utente viene condotto su un sito web che non attiva nulla di automatico, ma induce ad un download pericoloso;
verificare sempre l’indirizzo web che compare nella barra del browser. Molto spesso ci si focalizza sul contenuto della pagina web, ma prima di un’operazione di download, o prima dell’inserimento di credenziali (soprattutto per acquisti online), è necessario essere sicuri di trovarsi dove si pensa di essere
mantenere sempre aggiornate le soluzioni antivirus installate sul computer, e cambiare password con una certa frequenza (almeno ogni tre mesi). Password robuste, ovviamente.
Il Comando Strategico dell’Esercito USA domenica ha pubblicato un tweet con questo messaggio:
;l;;gmlxzssaw,
Non è il nuovo nome del vaccino anti covid-19 di AstraZeneca e non ci sarebbe nulla di allarmante, se non fosse uscito da uno dei centri di comando del dipartimento americano della difesa, che controlla l’intero arsenale nucleare delle forze armate, comanda la difesa missilistica e svolge altre attività strategiche. Visto il peso dell’ente, messa da parte l’idea di un’incomprensibile violazione da parte di gruppi hacker malintenzionati, le ipotesi che si sono susseguite sono state le più disparate: violazione dell’account da parte di ignoti? Un improbabile messaggio in codice inviato a destinatari altrettanto ignoti? Il tweet poi è sparito, ma il mistero sulla sua pubblicazione è rimasto per qualche ora, finché non ne è stata chiarita la natura: si era trattato semplicemente di un messaggio senza senso, colpa di un’incauta gestione del telelavoro.
“Il gestore Twitter del comando, mentre si trovava in telelavoro, ha lasciato momentaneamente l’account Twitter del comando aperto e incustodito. Il suo giovanissimo figlio ha approfittato della situazione e ha iniziato a giocare con i tasti e purtroppo, inconsapevolmente, ha pubblicato il tweet“.
Questa è la risposta ufficiale data dal Comando a Mikael Thalen, che ne ha scritto su DailyDot, sgombrando il campo da ulteriori congetture nefaste o complottiste. Quindi non è stato il Comando Strategico dell’Esercito USA a pubblicare quel tweet, ma un innocente bambino.
L’aneddoto è utile a mettere a fuoco il tema dell’attenzione richiesta nel lavoro svolto da casa nelle sue varie declinazioni, dal telelavoro allo smart working (che non sono la stessa cosa, ma si inseriscono in un contesto di attività fuori sede che include anche dad o did). In questo caso non è accaduto assolutamente nulla di grave o irreparabile: il rischio comportato dalla leggerezza di lasciare per qualche istante – a casa propria – un computer incustodito con l’account Twitter aperto, mentre per casa si aggira un bambino curioso, è abbastanza irrisorio.
Lo scenario cambierebbe parecchio se il computer rimanesse disponibile e aperto su applicazioni con informazioni più critiche, annullabili da un delete (tasto di cancellazione) o dalla chiusura accidentale di un programma senza aver salvato nulla, o su un messaggio di posta elettronica ancora da correggere prima di essere spedito. Beninteso: probabilmente l’ambiente domestico è foriero di imprevisti meno gravi di quelli che potrebbero verificarsi in un ufficio o un laboratorio in cui un computer possa essere lasciato “aperto” con informazioni sensibili lasciate in bella mostra. Per non parlare del problema che si ripropone quando vengono lasciate incustodite le password. Rimane il fatto che, onde evitare spiacevoli inconvenienti, quando si lascia momentaneamente un computer, anche per pochi istanti, è opportuno bloccarne lo schermo:
Ambiente Windows: tasto Windows + L
Ambiente Mac: tasti CMD + CTRL + Q
Ambienti Linux: una possibilità passa dai tasti CTRL + ALT + L (ma esistono altre possibilità, dovreste saperlo meglio di me!)
Elon Musk qualche giorno fa ha twittato “Use Signal“, indicando questa app come alternativa a WhatsApp che, con le nuove condizioni di utilizzo, sta preoccupando molti utenti. Stabilito che per Unione Europea e Regno Unito le modalità di condivisione di informazioni con Facebook non cambieranno rispetto a quelle già in uso da qualche anno, è comunque legittimo guardarsi in giro, possibilmente nella direzione di servizi più rispettosi dei dati personali degli utenti. Ma in questo scenario esiste più di una soluzione.
Signal ha l’etichetta di app sicura perché non acquisisce la mole di dati che altre app raccolgono, oltre che per il suo sistema crittografico. L’organizzazione alle sue spalle, la Signal Foundation, è guidata da Matthew Rosenfeld, in arte Moxie Marlinspike, fra gli autori del Signal Protocol, un sistema di crittografia end-to-end che ha il vantaggio di essere open source e che è alla base dei sistemi di cifratura utilizzati da Skype, Messenger… e WhatsApp.
Un fattore che richiede attenzione sono i metadati: si tratta di informazioni relative agli interlocutori di una conversazione (con chi), ai dati temporali (a che ora e quanto tempo, quanto rimani al telefono, quanto sei online). Signal non li acquisisce, mentre WhatsApp sì. In verità li raccoglie anche Telegram che inoltre, al pari di Messenger, non applica la crittografia end-to-end in modalità predefinita (deve essere l’utente ad attivarla; Signal invece non permette neppure di disattivarla). Altro plus di Signal: la possibilità di avere messaggi che si autodistruggono.
Ma tra le app sicure disponibili ci sono anche Threema e Wire. L’utente che inizia ad utilizzare Threema rimarrà colpito dal fatto che questa app non utilizza il numero telefonico come identificatore, prassi invece seguita da WhatsApp e Signal, ad esempio. L’ID utente è una sequenza alfanumerica frutto dello scorrimento del dito della mano mentre sul display compare una matrice di lettere e numeri che cambiano continuamente. Contatti e gruppi rimangono memorizzati solo sul telefono (non nell’applicazione e quindi non vengono trasmessi al cloud). Un minus di Threema è che non è gratuita, è quindi da valutare l’investimento di Eur 3,99.
Anche Wire assicura la crittografia end-to-end (a chat e chiamate vocali e video, anche di gruppo), consente la condivisione del proprio schermo con un utente e un gruppo, e può essere utilizzata da otto dispositivi differenti (sincronizzati). Fra i suoi plus, chiamate di gruppo fino a 300 interlocutori e la possibilità – a pagamento – di invitare un non-utente (privo di account) in una room protetta, accessibile da browser. Minus: raccoglie i metadati.
Ho. mobile, operatore del gruppo Vodafone, ha confermato di essere rimasto vittima di un attacco che ha portato la sottrazione dei dati personali “di parte degli utenti”, come è stato anticipato la scorsa settimana.
Il comunicato, da un lato, cerca di tranquillizzare la clientela:
L’azienda comunica che non sono stati in alcun modo sottratti dati relativi al traffico (sms, telefonate, attività web, etc.), né dati bancari o relativi a qualsiasi sistema di pagamento dei propri clienti.
Ma la conferma del tipo di dato sottratto all’azienda è nella risposta alla prima delle successive domande frequenti:
Quali dati sono stati sottratti?
Dalle ulteriori verifiche effettuate, che sono tuttora in corso, emerge che sono stati sottratti illegalmente alcuni dati di parte della base clienti con riferimento ai soli dati anagrafici (nome, cognome, numero di telefono, codice fiscale, email, data e luogo di nascita, nazionalità e indirizzo) e tecnici della SIM. NON sono stati in alcun modo sottratti dati relativi al traffico (telefonate, SMS, attività web, etc.) né dati bancari o relativi a qualsiasi sistema di pagamento dei propri clienti.
Come detto la scorsa settimana, è proprio con questi “soli dati anagrafici (…) e tecnici della SIM” che è possibile effettuare un’operazione di “sim swap”, che sostanzialmente permette di trasferire l’utenza su un’altra sim, quindi di clonarla… e questo non è meno preoccupante! Se ad esempio un utente avesse indicato quel numero telefonico come riferimento per ricevere OTP (One Time Password) per la conferma di pagamenti via bonifico o tramite carta di credito, un’eventuale clonazione della sua utenza consentirebbe ad altri di confermare transazioni a proprio beneficio. Prospettiva tutt’altro che rassicurante…
L’azienda comunque assicura che gli utenti i cui dati sono stati effettivamente copiati riceveranno una comunicazione personale con le indicazioni da seguire (simile a quella qui riportata). Ai clienti viene offerta inoltre la possibilità di chiedere gratuitamente la sostituzione della sim, che può essere effettuata solamente di persona presso un rivenditore autorizzato (la procedura prevede il riconoscimento fisico del cliente).
Se siete clienti di ho. Mobile (l’operatore di telefonia mobile low cost di Vodafone) questa notizia potrebbe interessarvi: ieri sera su Twitter è comparsa la notizia di un attacco hacker ai suoi danni dell’azienda, che avrebbe ottenuto un database con i dati anagrafici di 2,5 milioni di utenti, il cui contenuto sarebbe in vendita sul dark web. Cosa contiene questo archivio? Per ogni cliente ci sarebbe nome, cognome, codice fiscale, data di nascita, numero di telefono, email, indirizzo di residenza completo e codice ICCID della scheda telefonica.
Con questi dati un hacker può fare un’operazione che si chiama “sim swap” (trasferire l’utenza su un’altra sim, quindi sostanzialmente clonarla). Per andare al sodo, ecco i rischi possibili e le contromisure:
se un giorno perdete il segnale e non capite il perché: ve l’hanno clonata, rivolgetevi a un punto vendita/centro assistenza e chiedete il “cambio carta” (vi daranno una nuova sim legata al vostro numero telefonico);
se usate quel numero di telefono per l’autenticazione a due fattori su qualche servizio (ad esempio: conferma disposizioni da internet banking con OTP, ossia un codice temporaneo inviato da sms), comunicate alla banca un numero telefonico diverso.
Vedremo se l’azienda confermerà l’attacco e il data breach. Se ci saranno aggiornamenti, saranno integrati in questo post 😉
Avete un account per l’Internet banking? Fate acquisti online pagando con carta di credito o strumenti come PayPal? Fate molta attenzione ai messaggi che vi invitano a confermare i vostri dati personali sul sito di uno di quei servizi, molto probabilmente si tratta di phishing: in tal caso il messaggio è una trappola con un link che, anziché portare al sito che vi interessa, rimanda ad una pagina web fasulla, realizzata appositamente per trarre in inganno gli utenti e indurli a inserire le proprie credenziali.
Inutile dire che così username e password finiscono in mani sbagliate. Dall’altra parte c’è chi può utilizzare l’account a nome di altri e utilizzarne conto corrente e carte di credito, ma c’è anche chi potrebbe rivendere i dati personali altrui sul dark web. E le conseguenze potrebbero non essere solo economiche: come spiega Kaspersky, in alcuni casi i dati altrui possono essere utilizzati a scopo di doxing: il doxing – o doxxing – consiste proprio nella ricerca e nella pubblicazione di informazioni private, personali se non sensibili, per ridicolizzare, denigrare o mettere in pericolo qualcuno.
Questo tipo di informazioni può essere ottenuto in molti modi, da contenuti condivisi superficialmente su social network, ma anche – come detto prima – tramite phishing. E sul dark web c’è un autentico mercato nero di informazioni personali che possono avere tariffe differenziate. Nomi, date di nascita, documenti di identità e codici fiscali possono costare anche meno di un euro, mentre la foto di una persona, un suo documento o una cartella clinica possono costare qualche decina di euro. Si possono trovare anche le credenziali per accedere a un conto corrente, e possono costare molto di più.
Quando ricevete un messaggio e-mail che sembra provenire da una banca, dall’istituto che ha emesso la carta di credito, dall’azienda che vi fornisce l’energia elettrica, dalle Poste o da qualunque mittente che possa sembrarvi affidabile, prima di cliccare sul primo link che trovate, verificate che si tratti effettivamente di ciò che sembra. A volte basta poco, perché il messaggio esteticamente è diverso da quelli autentici, o perché ci sono dettagli rivelatori nel testo del messaggio, che spesso tradisce una scarsa padronanza della lingua italiana. A volte il messaggio è invece ben realizzato, quindi dovete verificare l’indirizzo internet (url) del link che vi è stato indicato.
Guardate l’esempio dell’immagine seguente: l’indirizzo è chiaramente estraneo a Poste Italiane, ma spesso gli utenti non ci fanno nemmeno caso e proseguono a navigare ignari del pericolo. Occhio!
Lo stesso possiamo dire per questa pagina web, che evidentemente non è di Amazon:
10 settembre – Düsseldorf (Germania): la rete informatica dell’ospedale universitario della città tedesca viene bloccata da un attacco informatico. Una paziente, bisognosa di cure immediate, viene così trasferita al più lontano ospedale di Wuppertal, ma le sue condizioni sono troppo gravi e muore proprio perché non è stato possibile curarla tempestivamente. Secondo quanto riportato dalla stampa tedesca, si tratterebbe del primo caso di morte conseguente ad un ransomware, un malware che attiva un blocco sui contenuti dei computer colpiti, che possono essere sbloccati in seguito al pagamento di un vero e proprio riscatto.
21 settembre – Milano, Belluno, Padova – la rete di alcune sedi di Luxottica subisce un attacco sferrato allo stesso scopo (criptare i dati aziendali). L’azione non ottiene l’effetto sperato da parte dei malintenzionati, ma causa disagi che spingono l’azienda a disattivare alcuni servizi online e sospendere l’attività di alcuni reparti produttivi. Nel giro di alcune ore un problema analogo viene segnalato dal gruppo Carraro: attività lavorativa bloccata, settecento dipendenti in cassa integrazione per alcuni giorni, fino al ripristino dei sistemi informatici dell’azienda.
Sono solo due esempi recenti di quanto pericolisi possano essere attacchi di questo tipo. Gli ultimi in ordine di tempo, ma del tutto simili ad altri che sono accaduti in precedenza, ai danni di molte altre aziende, più o meno note al grande pubblico. Molto spesso – da chi non ha mai subìto conseguenze di rilievo – il “virus informatico” viene ritenuto un problema di lieve entità, con conseguenze superabili, da risolvere con un backup effettuato senza troppa attenzione. La realtà è ben diversa e naturalmente i problemi sono maggiori se l’attività dell’organizzazione ha importanza critica, coinvolge molte persone e viene svolta con un’infrastruttura complessa.
Non è necessario spiegare la criticità dell’attività di un ospedale, che si impegna nel curare e salvare vite umane (e si attendono conferme sulla possibilità che in un ospedale americano siano deceduti quattro pazienti per motivi analoghi), ma non deve sfuggire che un’azienda manifatturiera o di servizi che non può accedere alle proprie informazioni, può essere messa improvvisamente in ginocchio con conseguenze paragonabili alle peggiori crisi di mercato. Gli imprenditori, che sanno cosa significa avere un’azienda ferma e sanno cosa comporta dover mandare a casa i propri dipendenti, comprenderanno sicuramente la necessità di dotarsi di misure di sicurezza adeguate, che non devono più essere considerate un costo, ma un investimento.
Ma anche chi gestisce un servizio di interesse collettivo può cogliere l’occasione di riflettere su quanto possa essere a rischio un’attività il cui funzionamento tutti danno per scontato: dagli acquedotti agli enti che distribuiscono la corrente elettrica, fino alla gestione della viabilità di una città (semafori inclusi), i servizi che possono andare il tilt e creare danno estremamente seri sono moltissimi.
Proporzionalmente, questa necessità riguarda tutti noi: anche il privato cittadino ha solo da perdere, se non mette al sicuro i propri dati. Quindi cominciamo a vedere la sicurezza dei dati come una necessità, non come qualcosa in più.
Se il portale INPS va in défaillance in un giorno in cui si collegano milioni di persone che accedono tutte insieme, ci dev’essere qualcosa che non va nell’impostazione della piattaforma o nell’organizzazione, oppure in entrambe. E al giorno d’oggi non si può escludere un sabotaggio, un attacco hacker. Sono tutte ipotesi emerse nelle ore successive a quando, il giorno 1 aprile, si è verificato il disservizio che ha portato alla sospensione volontaria del portale all’avvio della presentazione delle domande per il bonus destinato a professionisti e lavoratori autonomi.
Il presidente dell’INPS Pasquale Tridicoaveva parlato in quelle ore di hacker, inducendo a individuare la causa dei problemi nel contesto di uno o più attacchi esterni. I dati emersi nelle ore successive hanno poi escluso che quel “macello” fosse dovuto ad attacchi hacker. Nessuno nega che siano stati sferrati, ma non c’è stata evidenza che fossero l’origine dei disservizi, come ha ammesso proprio lo stesso presidente Tridico nell’audizione informale di ieri alla Camera (riportata in questo video https://www.youtube.com/watch?v=hsXadfdhcac) dichiarando “non sto dicendo che questi attacchi hanno causato il data breach, o hanno causato la violazione della privacy del primo aprile”.
Non solo, ma avendo precisato che l’adozione della CDN (Content Delivery Network), implementata nella notte precedente, “ha portato a quelle disfunzioni, a quel data breach”, il presidente ha confermato anche le impressioni iniziali del sottoscritto: con tale soluzione una parte della richieste generate è stata messo in cache, facendo sì che un utente potesse accedere a dati altrui (come quelli del signor Luciano V.), non perché in quel momento stesse consultando i dati del sito INPS, ma perché stava accedendo ad una copia di quei dati, memorizzata dalla CDN per accelerare la dinamica del sito e dare risposte più rapide alle richieste.
Pare di no: la ricostruzione curata da Gianmarco Vinciguerra su DR COMMODORE.it ci racconta un’altro problemino: dopo l’accesso al portale nella sezione del bonus baby-sitting, un utente si è trovato di fronte un pannello che sostanzialmente gli permetteva di leggere i dati di tutte le domande inserite in precedenza, con i dati personali dei richiedenti. Ma i dati non solo erano consultabili, ma anche modificabili:
I test pubblicati attraverso i social network sono un espediente per carpire dati sugli utenti, verosimilmente a scopo di lucro e, comunque, alle spalle dei diretti interessati. Non è la prima volta che ne parlo e molto spesso l’attività dei loro autori è legata in primo luogo all’ecosistema di Facebook, che sulle informazioni personali vive e prospera.
Da qualche tempo a questa parte, però, sembra ci sia – almeno a livello di facciata – un’inversione di rotta ed ora è addirittura l’azienda di Mark Zuckerberg a dichiararsi parte lesa, da quanto si legge in una denuncia sporta nei confronti di Gleb Sluchevsky e Andrey Gorbachov: si tratta di due sviluppatori ucraini, che sono stati accusati di aver raccolto e analizzato dati personali di ignari utenti di Facebook, nonché di aver inserito pubblicità mirata “non autorizzata” nel loro feed di notizie, sfruttando un’app collegata alla piattaforma del social network.
Con la promessa di raccogliere un’entità limitata di informazioni, gli utenti sarebbero stati indotti all’installazione nel browser di un plug-in, in grado di accedere non solo ai dati dell’account, ma anche agli elenchi degli utenti “amici”, benché non pubblicamente visibili. Non è escluso che questa vicenda possa avere legami con un’altra violazione resa nota lo scorso autunno e relativa alla pubblicazione – da parte di un gruppo di hacker – dei messaggi privati di 81mila account Facebook, che a loro volta avevano portato alla diffusione delle informazioni relative a 176.000 profili (la punta di un iceberg, dal momento che il gruppo reo di questa operazione aveva dichiarato di possedere un database con dati di 120 milioni di account), tutte informazioni rivendibili sul mercato dei dati personali.
Quello che è certo è che almeno in un determinato periodo – tra il 2017 e il 2018 – i due ucraini hanno utilizzato il social network per pubblicare alcuni test sulla personalità, con titoli come “Di quale personaggio storico sei il sosia?”, “Hai sangue reale nelle vene?”, “Quanti veri amici hai?” o “Qual è il colore della tua aura?”. Domande decisamente poco esistenziali e soprattutto assolutamente inutili, ma abbastanza attraenti per qualche navigatore in cerca di passatempi senza impegno, pronti a cadere nel tranello in cambio di altri test e oroscopi “personalizzati”.
Dalla lettura della denuncia depositata venerdì scorso, tra le motivazioni sollevate l’azienda fa emergere per Facebook “un irreparabile danno alla reputazione”, con ripercussioni sugli utenti che avrebbero “effettivamente compromesso i propri browser” installando le estensioni richieste dalle app incriminate. Lo “schema” non avrebbe funzionato, tuttavia, se Facebook non avesse approvato l’iscrizione degli hacker – avvenuta con l’utilizzo di due pseudonimi – come sviluppatori autorizzati a sfruttare la feature legata all’accesso a Facebook. Su questa base Facebook punta il dito sui due sviluppatori per violazione del CFAA (Computer Fraud and Abuse Act). La scoperta dell’attività malevola sarebbe avvenuta in seguito ad “un’indagine sulle estensioni dannose” che sarebbero state poi notificate ai team di sviluppo dei browser interessati.
Questa azione legale – che segue di pochi giorni un’altra denuncia verso quattro aziende cinesi accusate da Facebook di aver venduto follower e like fasulli – permette a Facebook di attuare una strategia di difesa dalle denunce, che piovono da più parti nel mondo, in tema di violazione della privacy e della sicurezza delle informazioni. L’obiettivo è di far focalizzare l’attenzione di pubblico e media su hacker malintenzionati, spostandola dalle “debolezze” della piattaforma di social network emerse in casi precedenti, come quello di Cambridge Analytica.
Questo tipo di problema, però, è sorto anni fa e non è superfluo ricordare la denuncia, formulata qualche anno fa nei confronti di Facebook , di aver tracciato “con disinvoltura” le attività online di utenti iscritti e non iscritti al social network mediante i cookies attraverso una raccolta di dati attuata durante la lettura di post pubblici. In quell’occasione Facebook, aveva sostanzialmente ammesso la raccolta di informazioni, precisando che la causa era in un bug.
Se ancora oggi stiamo parlando di queste problematiche, la soluzione non è vicina. Ma, al netto di questa vicenda specifica, la domanda sorge spontanea: è proprio necessario cimentarsi in futili test sulla personalità dalla dubbia (inesistente) attendibilità? Certo, si tratta di giochi simili a quei test che si trovano su riviste da leggere in spiaggia sotto l’ombrellone o in una sala d’attesa. Ma almeno dietro a quelle pagine di carta non si nasconde nessuno pronto ad abbindolarci.
Google Plusverrà chiuso entro i prossimi dieci mesi. La decisione di staccargli la spina è giunta dopo l’amara constatazione che le sessioni della maggior parte degli utenti (90%) non durano oltre 5 secondi, troppo brevi per essere remunerative. C’è però un altro fattore, emerso recentemente: una vulnerabilità – scoperta lo scorso marzo – che avrebbe esposto i dati di 500mila account (con profilo non pubblico) al rischio di accesso indesiderato.
L’annunciata chiusura di Google+ riguarda “solo” la parte consumer, mentre rimarrà in vita la versione business. L’azienda è convinta che il suo social abbia notevoli potenzialità per i clienti aziendali e a breve si capirà se il gruppo sarà in grado di ridargli linfa vitale in questa dimensione, oppure se si sarà trattato solo di accanimento terapeutico.
La sua chiusura era questione di tempo, ma va reso atto a Google di aver avuto il coraggio di investire risorse e “dire la sua” in un campo difficile da conquistare, perché già caratterizzato da una leadership consolidata. I tentativi precedenti non sono mancati, le tombe virtuali di Wave e Buzz lo testimoniano, e non è detto che la G non ricompaia nel mondo dei social network sotto nuove spoglie. Oppure – la butto lì – semplicemente nel revamping di YouTube.
Sono anni che riceviamo messaggi palesemente malevoli come quello riportato in figura, eppure c’è ancora chi ci casca. Per cui nessuna meraviglia se c’è anche chi sprofonda nella trappola indicata oggi dalla Polizia delle Comunicazioni:
È in corso massiva attività di spamming a scopo estorsivo con l’invio di email in cui gli utenti vengono informati dell’hackeraggio del proprio account di posta elettronica ad opera di un gruppo internazionale di Criminali. L’account sarebbe stato hackerato attraverso l’inoculamento di un virus mentre venivano visitati siti per adulti. Da qui scaturisce la minaccia di divulgare a tutti il tipo di siti visitati e la conseguente richiesta di denaro in criptovaluta.
Il messaggio indicato dalla Polizia generalmente si presenta così:
Salve!
Come avrai già indovinato, il tuo account xxxxxxx è stato hackerato, perché è da lì che ho inviato questo messaggio 🙁
Io rappresento un gruppo internazionale famoso di hacker. Nel periodo dal xx.yy.2018 al xy.yz.2018, su uno dei siti per adulti che hai visitato, hai preso un virus che avevamo creato noi. In questo momento noi abbiamo accesso a tutta la tua corrispondenza, reti sociali, messenger. Anzi, abbiamo i dump completi di questo tipo di informazioni.
Nel seguito del messaggio, arriva la richiesta di estorsione, pena la diffusine di tutte le peccaminose informazioni.
In realtà non c’è niente di vero in quelle mail. Quindi, chi ci casca? Un utente che, oltre a non essere troppo smaliziato da capire che si tratta di un’esca, ha visitato – magari una tantum – un sito per adulti. Si tratta di una possibilità ampiamente concreta, perché i siti web vietati ai minori sono tra i più frequentati al mondo. Pertanto, nell’affollato e pescoso mare degli utenti, non è affatto difficile trovare qualcuno che abbocchi facilmente al phishing (espediente per indurre un utente a compiere un’azione apparentemente innocua, ma in realtà foriera di disastri).
Non credete a tutto ciò che ricevete via mail, soprattutto quando l’utente è sconosciuto, o addirittura quando il mittente siete voi (e non vi risulta di aver spedito a voi stessi quel messaggio)!
Dopo l’ondata di WannaCry, ecco arrivare quella della famiglia Petya (la chiamo così nella consapevolezza che il worm in propagazione in queste ore assomiglia a Petya per alcune parti del suo codice, ma non sembra condividerne altre). Che insieme alle infezioni – che colpiscono i computer – è foriera anche di qualche stranezza, come il titolo di un articolo di giornale che riporto nell’immagine, ma andiamo oltre.
Queste ondate ci fanno capire quanto sia pericoloso non mantenere aggiornati i sistemi che utilizziamo, dal momento che la propagazione avviene attraverso lo stesso exploit di WannaCry (EternalBlue) insieme a EternalRomance. La cancellazione della casella postale a cui gli utenti avrebbero dovuto rivolgersi rende pressoché impossibile procedere a confermare il pagamento del “riscatto”. Inoltre, per essere un ransomware, il piatto piange: i riscatti incassati finora ammontano a circa 4 bitcoin, più o meno 10mila dollari – 9mila euro (su blockchain.info si può verificarne l’aggiornamento). Per questo motivo si profila l’ipotesi che si tratti in realtà di un wiper, ossia un malware pensato per essere di rapida diffusione e dannoso, senza reali intenti estorsivi. Ma potrebbe anche essere un test che prelude ad un attacco di proporzioni maggiori.
Che si tratti di un ransomware, un wiper o qualsiasi altra diavoleria, resta fermo il fatto che provoca danni, forse con target ben determinati, dal momento che il novero delle vittime illustri include colossi come Mondelez, aziende del calibro di Merck, Saint-Gobain, Maersk, TNT e altre ancora. Pertanto è meglio fare in modo di non esserne vittime collaterali. Le falle di sistema sfruttate sono già state tappate da mesi da Microsoft. Quindi le parole chiave per non farsi travolgere sono:
E non è solamente una questione di tutela dei “dati personali”: l’esempio di un’azienda italiana la cui produzione rimane ferma è abbastanza eloquente. A rischio, oltre ai dati personali, ci sono quelli aziendali, legati al ciclo produttivo, al know-how, alle informazioni commerciali e di rilevanza amministrativa. A rischio – senza alcuna esagerazione – c’è il lavoro delle persone, la loro occupazione. La sicurezza assoluta non esiste, ma esiste la possibilità di fare del proprio meglio e quanto necessario per ridurre i rischi.
DARIO BONACINA 