Vai al contenuto
Annunciata senza conferme la violazione dei dati personali di 2,5 milioni di utenti Ho-mobile. AGGIORNAMENTO: conferme arrivate

Annunciata senza conferme la violazione dei dati personali di 2,5 milioni di utenti Ho-mobile. AGGIORNAMENTO: conferme arrivate

Ultimo aggiornamento: 2021/01/04 10:45.

Circola da ieri (28/12) la notizia non confermata [aggiornamento: successivamente confermata] della 
violazione dei dati personali degli utenti dell’operatore virtuale di
telefonia mobile italiano
Ho-mobile (Vodafone). Ne parlano,
sempre in via dubitativa,
Punto Informatico,
TuttoAndroid,
Dday.it.

Tutto, per ora, si basa su un paio di tweet dell’utente Twitter
@Bank_Security, che ha una buona reputazione di attendibilità e
sottolinea che si tratta di una notizia, ripeto, non confermata (specifica
“allegedly”, ossia “si dice che”).

Secondo questi tweet, sarebbe stato messo in vendita un database contenente i
dati personali di due milioni e mezzo di utenti Ho-mobile: indirizzi di mail,
codice fiscale, numero di telefono, indirizzo, e
ICCID, usabili per
commettere intrusioni nei servizi di home banking.

Su Pastebin è stata pubblicata la
struttura di questo presunto
database. 

Alcuni dei dati presenti nel database sembrano essere stati
confermati.

Ho-mobile ha
dichiarato
al Corriere di non avere
“evidenze di accessi massivi ai propri sistemi informatici […]”.
Sarebbe interessante sapere se conferma o smentisce la struttura del database
pubblicata su Pastebin. Se fosse confermata la violazione, sarebbe inevitabile
una
notifica al Garante per la privacy.

Posso solo consigliare la massima prudenza agli utenti di Ho-mobile:
aspettatevi di tutto, siate vigili sulle vostre bollette e su qualunque
servizio legato alla vostra utenza mobile (per esempio per gli SMS di conferma
di accesso), e non abboccate a messaggi che vi dicono di cliccare da qualche
parte per risolvere la situazione. Cybersecurity360.it ha vari
consigli tecnici specifici
sulle misure di prevenzione che potete adottare. Non è il caso, a mio parere,
di passare ad altro operatore, anche se il silenzio quasi totale di
Vodafone/Ho-mobile sulla vicenda non è incoraggiante.

A Ho-mobile posso solo chiedere due cose: la prima è ovviamente fare chiarezza
completa sulla notizia. La seconda è licenziare il creatore dello slogan più
imbecille della storia della telefonia mobile. Già ci sono seri problemi di
analfabetismo di ritorno: l’ultima cosa di cui abbiamo bisogno è gente che
crei ulteriore confusione.

 

2020/12/29 15:45

Sarà un caso, ma ho appena ricevuto una segnalazione di phishing ai danni di
un utente Ho-mobile. Si tratta di un SMS che ha come mittente apparente
“AGOS” e dice
“Per procedere al pagamento clicchi sul seguente link”, seguito da un
link del tipo http://yv1.eu/%5Bomissis%5D che porta a un sito-trappola
personalizzato (che include l’indirizzo mail della vittima) presso
https://visualsms.yourvoice.com:

2021/01/04 10:45

Ho-mobile ha ammesso la violazione dei dati dei clienti. Maggiori dettagli sono qui.

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o
altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Falla spettacolare negli iPhone. Niente panico, già risolta con un aggiornamento

Falla spettacolare negli iPhone. Niente panico, già risolta con un aggiornamento

Che gioia. Era possibile prendere il controllo di qualunque iPhone a distanza, accedendo anche a telecamere e microfono e rubando mail, foto e messaggi. Ma niente panico: la falla è già stata risolta tempo fa, con l’aggiornamento alla versione 13.5 di iOS (ora siamo alla 14.2). Se non l’avete già installato, fatelo.

La scoperta della falla è merito di un singolo ricercatore, Ian Beer di Project Zero, che ha passato (parole sue) “sei mesi del 2020 bloccato in un angolo della mia camera da letto, circondato da miei adorabili bambini urlanti… non [per trovare] un incantesimo per convincerli a dormire […] ma un exploit wormable di radioprossimità che mi consentisse di prendere il controllo completo di qualunque iPhone nelle mie vicinanze.” Ognuno ha le proprie priorità.

Se non avete idea di cosa sia un “exploit wormable di radioprossimità”, traduco: una falla di sicurezza sfruttabile, capace di propagarsi da un dispositivo all’altro, che richiede solo che il dispositivo attaccato sia abbastanza vicino da essere raggiunto da un segnale radio e non richiede che la vittima faccia qualcosa.

Ian Beer racconta la sua avventura in un post dettagliatissimo, al limite dell’Odissea interiore, ma in sintesi: i dispositivi Apple possono scambiarsi file (per esempio foto) e condividere schermate tramite Wi-Fi (Apple chiama questa funziona Wireless Direct Link). Beer ha scoperto un difetto nel funzionamento di questo sistema e lo ha sfruttato, usando il proprio ingegno e dei componenti elettronici facilmente reperibili a basso costo (Raspberry Pi e degli adattatori Wi-Fi).

In questo modo ha avuto anche il potere straordinario di bloccare, spegnere e riavviare qualunque iPhone a distanza, usando solo apparecchi portatili, come mostra in questo video:

Per fortuna Beer è uno dei buoni: ha segnalato il problema ad Apple, che l’ha corretto prima che lo scoprissero i malintenzionati.

 

Fonti: BBC, Sophos.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Attacco ransomware paralizza da giorni i servizi informatici della CEI

Attacco ransomware paralizza da giorni i servizi informatici della CEI

Ultimo aggiornamento: 2020/11/28 17:00.

2020/11/18 11:45. Ricevo segnalazioni multiple di un attacco ransomware che ha colpito i servizi informatici della CEI tre giorni fa.

Gli aggressori hanno criptato circa 800 macchine virtuali dell’ICSC (Istituto Centrale Sostentamento Clero) gestite da IDS & Unitelm, che fornisce numerosi servizi diocesani.

Il problema principale è che sarebbero stati criptati anche i backup di queste macchine virtuali, e soprattutto i programmi gestionali. Non ci sono invece indicazioni di fughe di dati.

Sono quindi in tilt quasi tutte le attività informatiche degli istituti diocesani, e molti dei siti diocesani di tutta Italia (quelli con il nome diocesi.[nome-città].it e altri) sono irraggiungibili. Per esempio sono offline o “in manutenzione” quella di Pavia (copia su Archive.is), Torino, Messina, tutti gestiti da IDS tramite Glauco.it. Anche Chiesadibologna mostra la stessa schermata di manutenzione.

Se ne sapete di più, i commenti sono a vostra disposizione. L’elenco delle diocesi italiane è qui su Wikipedia.

 

13:20. Chiesadimilano.it scrive che “Tra la sera di domenica 15 novembre e la mattina di lunedi 16 i DataCenter della società presso cui sono ospitati i siti del network Chiesadimilano.it e il server di posta elettronica della Diocesi di Milano hanno subito un grave attacco informatico. Mentre i problemi sul sito sono stati risolti, per la posta elettronica sono in corso operazioni di recupero.”

 

18:40. È probabile che il malware usato sia DarkSide.

 

2020/11/22 9:00. A una settimana dall’attacco, molti servizi sono ancora fermi. Ulteriori indizi puntano a DarkSide come malware coinvolto. Diocesi.pavia.it è ancora “in manutenzione”. Su Chiesadibologna.it è presente questa dicitura:

AVVISO: SITO PROVVISORIO

Il nostro sito è momentaneamente non consultabile in tutte le sue sezioni per difficoltà della server farm della CEI.
Aggiorneremo appena possibile tutti i contenuti e le sezioni.
Ci scusiamo per l’inevitabile disagio e ringraziamo per la pazienza.

 

La notizia sembra aver avuto poca risonanza sulla stampa. Finora ho trovato solo questo articolo del Secolo XIX.

 

2020/11/25 21:50. Agi scrive che “Il direttore dell’Ufficio nazionale per le comunicazioni sociali della Cei, Vincenzo Corrado […] in queste ore si stanno ripristinando i servizi non ancora riattivati e
nei prossimi giorni contiamo che tutto rientri nella normalità […] non ci sono problemi per gli stipendi dei sacerdoti […] Da fonti Cei non risulta sia arrivata alcuna richiesta di riscatto.” Quest’ultima frase non collima con le informazioni tecniche che ho raccolto.

2020/11/28 17:00. La notizia è uscita anche su Katholisches.info (in tedesco).

 

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

WhatsApp sotto attacco, occhio alle richieste di codici

Mikko Hypponen di F-Secure segnala che è in corso un attacco diffuso contro gli utenti WhatsApp. Se ricevete un messaggio inatteso da WhatsApp contenente un codice e un link, non condividete quel codice con nessuno e non cliccate sul link.

L’esperto informatico spiega la tecnica usata dagli aggressori per rubare gli account: per prima cosa i criminali prendono il controllo di un account WhatsApp. Poi passano in rassegna tutti i contatti di quell’account e avviano la procedura per convertire gli account di quei contatti in account WhatsApp Business.

Questo fa partire da WhatsApp un messaggio di testo (SMS) che arriva sul telefonino del contatto e contiene un codice.

L’aggressore usa poi l’account WhatsApp rubato inizialmente per mandare un messaggio WhatsApp al contatto che sarà la sua prossima vittima. In questo modo, la vittima riceve il messaggio da una persona che conosce, e quindi si fida. L’aggressore dice alla vittima di averle mandato per errore un codice di sei cifre e chiede per favore di rimandarglielo.

Se la vittima cade nella trappola e manda il codice in risposta, anche il suo account viene rubato dall’aggressore, e il processo ricomincia.

Ripeto: non date a nessuno, neppure a persone che conoscete, i codici che vi arrivano da WhatsApp.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Si poteva rubare un account Instagram mandando semplicemente un’immagine

Si poteva rubare un account Instagram mandando semplicemente un’immagine

Se usate Instagram, aggiornate la vostra app, altrimenti può bastare una semplice immagine per rubarvi l’account.

Lo segnalano i ricercatori di sicurezza informatica di Check Point Research, che hanno scoperto una falla in un componente open source usato da Instagram (Mozjpeg) per visualizzare le immagini JPEG. La falla consentiva a un aggressore di prendere il controllo dell’account di una vittima semplicemente mandandole un’immagine appositamente confezionata, usando mail, WhatsApp o altri sistemi di messaggistica. 

Quando la vittima avviava Instagram sul proprio smartphone, l’immagine veniva caricata automaticamente, causando un integer overflow che portava a un heap buffer overflow che a sua volta consentiva di eseguire istruzioni sullo smartphone: leggere i messaggi privati, cancellare o pubblicare post, e persino trasformare lo smartphone in uno strumento di sorveglianza accedendo ai dati GPS e alla fotocamera.

Check Point ha aspettato sei mesi prima di pubblicare la propria scoperta: nel frattempo ha informato Facebook, proprietaria di Instagram, che ha corretto la falla. Facebook dichiara che il problema riguarda le versioni di Instagram vecchie: dalla 128.0.0.26.128 in poi non c’è più.

Per sapere quale versione di Instagram avete installato:

  • Su Android, andate in Impostazioni – Applicazioni, toccate Instagram e scorrete verso il basso: vedrete l’indicazione della versione.
  • Su iOS/iPadOS, andate in Impostazioni – Generali – Spazio, toccate Instagram e comparirà l’indicazione della versione.

 

Fonti aggiuntive: Forbes, Apple Insider, Android Central.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Attacco ransomware blocca alcune fabbriche Honda; nuove tendenze negli attacchi

Attacco ransomware blocca alcune fabbriche Honda; nuove tendenze negli attacchi

Honda ha annunciato che alcune sue fabbriche negli Stati Uniti, in Turchia, in India e in Sud America sono ferme a causa di un attacco informatico, secondo Ars Technica e Bloomberg.

Le prime avvisaglie sono arrivate su Twitter e poi un ricercatore di sicurezza informatica, milkr3am, si è accorto che qualcuno aveva inviato al sito VirusTotal un campione del virus informatico Snake/Ekans fatto su misura per attaccare Honda (conteneva un’istruzione riguardante il sottodominio mds.honda.com, che non è su Internet ma presumibilmente fa parte della intranet dell’azienda).

Successivamente lo stesso ricercatore è riuscito a ottenere una copia della richiesta di denaro inviata dagli aggressori a Honda:

Si tratta insomma di un classico attacco di ransomware, nel quale i dati della vittima vengono cifrati con una password nota soltanto all’aggressore, che poi chiede soldi per dare alla vittima questa password e permetterle di recuperare i propri dati.

Honda non è l’unica grande azienda colpita da questo genere di attacchi: Bloomberg cita Fincantieri SpA e nota che nel 2019 sono state colpite almeno 966 agenzie governative, scuole ed enti sanitari soltanto negli Stati Uniti. Blackfog ha stilato una cronologia degli attacchi ransomware avvenuti nei primi cinque mesi del 2020: ce n’è per tutti in tutto il mondo, compreso lo studio legale statunitense usato da Elton John, Robert De Niro e Madonna.

Le tecniche del ransomware, inoltre, si stanno evolvendo. La moda del momento è aumentare la pressione sulle vittime, per indurle a pagare, minacciando di vendere via Internet i dati rubati. Visto che il metodo di attacco prevalente è il classico allegato infettante inviato via mail, siate prudenti nell’aprire qualunque messaggio.

Fonte aggiuntiva: BBC.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Violato il sito del CICAP

Il sito del CICAP ha subìto una violazione informatica rivendicata su Twitter da @LulzSecITA.

Un altro messaggio di @LulzSec_ITA ha fornito informazioni sulla tecnica di attacco:

Ma nemmeno loro sono riusciti a scoprire dove teniamo il finto set dello sbarco sulla Luna, i serbatoi per le scie chimiche o le mutande dell’uomo falena. Il CICAP ha risposto così:

Ricordo, giusto a scanso di equivoci, che violare un domicilio informatico è reato.

Il CICAP ha annunciato come segue la vicenda:

Sono al corrente dei dettagli, ma non ho intenzione di fare alcun commento pubblico. Scrivo questo post per prevenire le inevitabili domande.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Raffica di attacchi informatici ai supercomputer

Raffica di attacchi informatici ai supercomputer

I supercomputer europei sono sotto attacco. Non è solo il Centro Svizzero di Calcolo Scientifico (CSCS) di Lugano a essere oggetto di tentativi di incursione informatica, come segnalato nei giorni scorsi, ma anche altri centri di supercalcolo sono stati presi di mira.

L’11 maggio scorso sono attaccati il supercomputer ARCHER dell’Università di Edimburgo e cinque supercomputer in Germania. Nei giorni successivi è toccato appunto al CSCS e a un centro di calcolo a Barcelona. Anche un altro centro di calcolo a Monaco è stato toccato.

Gli attacchi, scrive la European Grid Infrastructure in un rapporto, sono stati due: uno con il chiaro intento di usare la potenza di calcolo di questi calcolatori per generare criptovalute (e questo ha colpito anche computer cinesi e nordamericani) e uno per ragioni per ora sconosciute. Dato che molti di questi centri di supercalcolo sono coinvolti nella ricerca sul nuovo coronavirus, è possibile (ma tutt’altro che dimostrato) che si tratti di incursioni mirate a spiare queste ricerche o sabotarle.

In entrambi i casi il metodo di attacco è l’uso di credenziali SSH violate, quelle usate dai ricercatori per collegarsi da remoto, come stanno facendo in tanti per via del lavoro da casa, evidentemente senza prendere misure di sicurezza personale sufficienti.

Cado Security ha pubblicato un’analisi dettagliata del malware di mining installato e delle provenienze apparenti degli attacchi.

Anche se questi attacchi riguardano supercomputer ben diversi da quelli che abbiamo noi comunemente in casa o sul posto di lavoro, i princìpi di difesa sono gli stessi e c’è una lezione da imparare per tutti: l’improvviso spostamento verso il lavoro da remoto significa che molti utenti si collegano via Internet ai computer aziendali. Le loro postazioni di lavoro, che prima erano fisicamente e informaticamente protette all’interno dell’azienda e della rete aziendale, ora sono spesso su laptop usati in modo promiscuo, lasciati in giro e tenuti in locali ai quali hanno facile accesso anche altre persone. I codici di accesso remoto (le credenziali SSH) vengono custoditi spesso con molta disinvoltura, per cui i ladri hanno il gioco più facile.

Sto ricevendo segnalazioni di numerose aziende violate in questo periodo per ricattarle con ransomware. Fate backup, fateli ossessivamente e teneteli fisicamente scollegati dopo averli fatti.

Fonti aggiuntive: BBC, Engadget.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Sembra una mail della Posta Svizzera, invece è un RAT

Abuse.ch, un sito dedicato alla segnalazione di attacchi informatici, segnala una campagna di spam che finge di essere una mail inviata dalla Posta Svizzera e include un allegato Excel al posto del solito PDF o Word.

La mail proviene apparentemente dall’indirizzo info@post.ch (ma il mittente è falsificato) e inizia con un testo di questo genere:

From: “Post CH AG – Info Sendungsstatus” (info@post.ch)
Subject: Sendung aus – zugestellt
Attachment: Post.ch.980056030002148543.xls

Il documento Excel allegato, se viene aperto con Microsoft Office, chiede di abilitare le macro per poter leggere il contenuto del documento. Se l’utente lo fa, spinto dalla comprensibile curiosità e dall’idea purtroppo errata che un documento non possa fare danni, il documento Excel ostile usa un sistema molto ingegnoso per eludere gli antivirus: converte le parole senza senso presenti al suo interno in una DLL, che verrà poi caricata ed eseguita.

Le parole e i numeri del foglio di calcolo sono infatti i pezzi iniziali del malware vero e proprio, che poi va a prendere il resto dei pezzi su Internet, dove li trova nascosti e criptati all’interno di un’immagine caricata su Imgur.com.

È l’equivalente informatico del classico espediente hollywoodiano di eludere i controlli di sicurezza fisici portando i vari pezzi di un’arma separatamente e smontati, per poi riassemblarli dopo i controlli.

Il malware in questione è un RAT (remote access trojan o remote administration tool), che prende il controllo del computer infettato allo scopo di commettere altri reati informatici.

La difesa, in questo caso, è molto semplice: mai attivare macro nei documenti.

Fonti aggiuntive: Malpedia, Morphisec.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Se nemmeno Jeff Bezos riesce a proteggere il suo smartphone, noi che speranze abbiamo?

Se nemmeno Jeff Bezos riesce a proteggere il suo smartphone, noi che speranze abbiamo?

Lo smartphone di Jeff Bezos, boss miliardario di Amazon, uno a cui i soldi e le motivazioni per pensare alla propria sicurezza informatica non mancano di certo, è stato violato.

Secondo i risultati di una perizia tecnica, l’iPhone di Bezos ha iniziato a trasmettere dati in quantità elevate (in media 100 megabyte al giorno) verso una destinazione imprecisata il primo maggio 2018, dopo che Bezos ha ricevuto tramite WhatsApp un video inviatogli dall’account di Mohammed bin Salman Al Saud, influente principe ereditario saudita che sostanzialmente governa l’Arabia Saudita.

Lasciando da parte momentaneamente i risvolti planetari politici della vicenda (Bezos è proprietario del Washington Post, il giornale per il quale scriveva il giornalista Jamal Khashoggi, fortemente critico del governo saudita  assassinato presso il consolato saudita di Istanbul a ottobre 2018), per noi comuni mortali questo attacco ha alcune implicazioni importanti.

Immagini tratte dal telefono di Bezos e inviategli dall’account di Mohammed bin Salman mostrano una donna che sembra essere Lauren Sanchez, con la quale Bezos aveva all’epoca una relazione extraconiugale segreta.

Primo, e non banale, a quanto pare le persone più influenti del mondo chattano tramite WhatsApp. Ci si potrebbe aspettare un social network riservato ai miliardari, e invece no.

Secondo, è stato violato un iPhone X, nonostante tutte le dichiarazioni sulla sicurezza di questo dispositivo fatte da Apple.

Terzo, l’iPhone è stato violato mandando un video alla vittima. Questo vuol dire che esiste un modo per attaccare chiunque via WhatsApp inviando un video? Non proprio. Secondo la perizia tecnica, il video è arrivato insieme a un imprecisato “downloader crittografato”, per cui non basta semplicemente ricevere un video per temere un attacco.

Quarto, è possibile che la falla usata per violare lo smartphone di Jeff Bezos sia stata già corretta: a maggio 2019 fu annunciata e corretta una grave vulnerabilità di WhatsApp (un buffer overflow) che veniva a quanto pare utilizzata da vari governi per spiare le persone.

Quinto, a quanto pare Bezos ha dimenticato la password del proprio account iTunes, visto che i periti hanno dovuto usare una tecnica particolare per ottenere i dati senza usare questa password.

Morale della storia: il vostro smartphone è così complesso e potente che è difficilissimo metterlo in totale sicurezza persino per uno come Jeff Bezos e quindi l’unica vera difesa è non usarlo, preferendo un telefonino normale (o nessun telefonino). Per contro, attacchi sofisticati come questo richiedono le risorse economiche e tecniche di uno stato, per cui se non siete un bersaglio particolarmente appetibile per motivi professionali o politici non avete motivo di preoccuparvi per questo genere di intrusione sofisticata.

Ma se lo siete, pensateci. E in ogni caso fate sempre gli aggiornamenti di sicurezza e non dimenticatevi le vostre password.

Fonti aggiuntive: Graham Cluley, BoingBoing, Vice.com.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.