Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “fabrisr*” e “luxbert*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/08/21 2:45.

Sono già disponibili vari siti Web, come Ashleymadisonleaked.com, Trustify.info, Ashley.cynic.al, che permettono di fare ricerche all’interno dei dati trafugati. Ce n’è persino uno che localizza i vari account su una mappa di Google come quella mostrata qui accanto.

Intanto emergono gli ipocriti illustri: Josh Duggar, celebrità televisiva statunitense che si presenta come paladino dei valori del matrimonio e della famiglia ed è stato messo a capo di un gruppo conservatore di lobbying, ha ben due account a pagamento su Ashley Madison, nei quali descrive dettagliatamente le proprie preferenze e disponibilità per una relazione extraconiugale.

IncludeSecurity.com ha pubblicato una dettagliatissima analisi tecnica dei dati, senza dati individuali, che è preziosa per chiunque s’interessi di informatica forense.

Per molti questa enorme fuga di dati altamente sensibili è fonte di ironia o di ilarità di fronte all’incoscienza di chi usa il proprio indirizzo di mail di lavoro o la propria carta di credito per registrarsi presso un sito d’incontri intimi segreti, e le storie degli adulteri angosciati sono educative per chi non ha ancora capito quanto è grave il problema della privacy nell’era dei dati in Rete. Ma in molti casi il rischio non è soltanto quello di trovarsi umiliati pubblicamente.

Per esempio, CNN fa notare che l’adulterio è una violazione grave del codice militare statunitense, per cui chi ha usato un indirizzo .mil potrebbe avere problemi ben più gravi di un coniuge furibondo, e che ci sono molti paesi nei quali una relazione omosessuale, come quelle delineate nei dati sottratti ad Ashley Madison, è punita con la morte: Afganistan, Iran, Mauritania, Nigeria, Qatar, Arabia Saudita ed Emirati Arabi Uniti. E in almeno uno di questi paesi ci sono utenti di Ashley Madison presumibilmente autentici, visto che i loro dati sono associati alla loro carta di credito.

C’è poco da scherzare, come indica un appello (ovviamente non verificabile) pubblicato in Rete da un omosessuale saudita che ha usato Ashley Madison per cercare partner durante gli anni trascorsi negli Stati Uniti e che ora risiede in Arabia Saudita e teme per la propria vita:

In traduzione:

Sono un uomo gay (single), di un paese dove gay=pena di morte, che sta per essere smascherato su Ashley Madison; come posso chiedere lo status di rifugiato?

Vengo dall’Arabia Saudita, dove l’omosessualità comporta la pena di morte. Negli ultimi anni ho studiato in America e in quel periodo ho usato Ashley Madison: quel sito Web è stato hackerato e gli hacker intendono pubblicare i nomi di ogni utente. Sono single; l’ho usato perché sono gay. Il sesso gay è punibile con la morte nella mia patria e quindi volevo tenere estremamente discreti i miei incontri (AM prometteva di avere sistemi che garantivano la riservatezza).

Ora sono di nuovo nel Regno e sembra che la lista di Ashley Madison possa essere pubblicata da un giorno all’altro. Sono quasi riuscito a racimolare soldi sufficienti per un biglietto aereo; non credo che sarà mai sicuro tornare, dato che ci sono prove incontrovertibili (immagini, chat) su AM che sono gay. Dove dovrei andare per avere la migliore speranza di ottenere lo status di rifugiato? E come faccio a chiederlo?

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “robird*”, “danibsec*” e “andreac*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/08/20 8:50.

Lo so che tutti quelli che decidono di essere infedeli al proprio partner credono di essere troppo furbi per essere mai scoperti, ma ci vuole un tipo di furbizia davvero speciale per fare le corna rivolgendosi a un sito Web al quale affidare la propria carta di credito e quindi la propria vera identità. Cosa mai potrebbe andare storto?

Devono averlo pensato in molti fra i 37 milioni di diversamente furbi che si sono affidati al sito Ashley Madison, un servizio “leader mondiale negli appuntamenti per persone sposate per incontri discreti” (come recita il suo banner, evidenziando il “discreti”). E infatti puntualmente il sito è stato violato e i dati degli utenti sono stati trafugati, con un ultimatum insolito alla Avid Life Media, proprietaria di Ashley Madison: chiudete il sito (e il suo consociato Established Men, dedicato a “collegare ragazze attraenti a benefattori generosi e di successo”) o pubblicheremo tutti i dati dei vostri clienti. Lo si è saputo il 21 luglio scorso.

Ashley Madison ed Established Men non sono stati chiusi, e ora, a quanto pare, i dati trafugati sono stati pubblicati su Internet e sono accessibili tramite Tor in siti come questo: circa 10 gigabyte (compressi; 35 giga dopo lo scompattamento) di mail, profili di membri, transazioni di carte di credito e altri dati estremamente sensibili, compresi organigrammi aziendali e altri documenti.

I nomi degli utenti possono ovviamente essere falsi, per cui l’esistenza di un profilo intestato a una certa persona non significa necessariamente che quella persona abbia davvero creato un account presso il sito (anche perché Ashley Madison non verificava gli indirizzi di mail degli utenti); ma se i dati includono anche le transazioni delle carte di credito, l’identità è difficile da negare e per gli avvocati divorzisti è festa grande. Anche chi vive di ricatti sarà particolarmente felice della stupidità degli utenti di questi siti. Se poi, come capita spesso, gli utenti hanno adoperato la stessa password su Ashley Madison e altrove, alla festa si aggiungeranno anche i ladri di account.

Gli intrusi, che si fanno chiamare Impact Team, hanno motivato la propria azione dicendo che Ashley Madison è un sito fraudolento: “una truffa con migliaia di falsi profili femminili… il 90-95% degli utenti reali è costituita da maschi”, scrivono, invitando gli utenti a fare causa alla Avid Life Media per averli ingannati.

C’è di più: Ashley Madison si faceva pagare 19 dollari dagli utenti per il privilegio di disiscriversi e di cancellare i loro dati (che includono informazioni molto personali come i dettagli delle loro preferenze sessuali), e già questo è discutibile, ma i file trafugati indicano che in realtà i dati non venivano affatto eliminati.

Tweet reale di Ashley Madison.

Divorzi e ricatti a parte, i dati sono estremamente interessanti come spaccato delle abitudini degli utenti. Per esempio, secondo le prime indagini, ci sarebbero circa 15.000 indirizzi .gov o .mil, il che significherebbe che ci sono utenti così stupidi da usare il proprio indirizzo di mail di lavoro governativo o militare per iscriversi a un sito d’incontri. Le password sono cifrate con bcrypt, ma dubito che resisteranno a lungo.

Morale della storia: su Internet come nella vita reale, non affidate a terzi sconosciuti i vostri segreti. Non ne avranno mai la cura che ne avreste voi. E mettendoli online facilitate immensamente il lavoro a chiunque sia interessato a rubarli. Se li custodite voi, per quanto li custodiate male, per rubarveli devono avercela con voi abbastanza da entrarvi materialmente in casa o in ufficio.

8:50

I dubbi sull’autenticità dei dati pubblicati sono stati chiariti: i file sono stati autenticati. Gli account pubblicati sono circa 33 milioni (completi di nome utente, nome e cognome e hash della password; 28 milioni si dichiarano uomini, 5 si dichiarano donne); ci sono dati parziali riguardanti indirizzi d’abitazione, numeri di telefono e carte di credito, 9.6 milioni di transazioni e 36 milioni di indirizzi di mail. Le preferenze sessuali di ciascun utente sono descritte in maniera estremamente dettagliata, con ben 62 categorie. Ci sono anche gli account PayPal usati dai dirigenti di Ashley Madison (completi di password), schemi dettagliati dell’infrastruttura dell’azienda, e altro ancora. I dati sono stati raccolti l’11 luglio scorso.

Emerge molto chiaramente l’assurda disinvoltura dei gestori della sicurezza di Ashley Madison, che tenevano attivi sette anni di transazioni di carte di credito e avevano password di PayPal corte, ripetute e facili (avid1906 su cinque account, keithx22 su due, per esempio).

Un’analisi degli account con indirizzi .mil o .gov è qui.

Un altro bell’esempio d’incoscienza degli utenti: migliaia si sono registrati usando il proprio indirizzo di mail presso Facebook, per cui è banale associare il loro profilo a Ashley Madison al loro profilo Facebook.

Stanno già nascendo i siti che permettono di fare ricerche all’interno dei file trafugati, come per esempio Washeonashleymadison.com, che è già stato diffidato e ha interrotto il servizio. Mikko Hypponen di F-Secure consiglia di usare Haveibeenpwned.com per essere notificati in caso di violazioni del proprio account di mail.

Va ribadito che la presenza di un semplice indirizzo di mail negli archivi di Ashley Madison non è prova di colpevolezza (per esempio c’è chi vi ha trovato quello apparente di Tony Blair): chiunque poteva registrarsi al sito usando una mail di fantasia o altrui. Se invece insieme al nome ci sono i dati della carta di credito, l’identità si fa molto più credibile.

Altri aggiornamenti sono qui.

Fonti aggiuntive: The Register, Ars Technica, Fusion.net, Hydraze.org, Wired, Ars Technica, Wired.