È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: Voci di YouTuber italiani (uno, due, tre) che parlano del Flipper Zero]

Se sfogliate YouTube noterete che moltissimi video parlano di questo strano oggetto tascabile chiamato Flipper Zero e lo presentano come uno strumento in grado di “hackerare tutto”, dalle auto ai semafori ai cancelli elettrici. Pochi giorni fa il governo canadese ha deciso di vietarne l’importazione, la vendita e l’uso per combattere “la piaga dei furti di auto”.

Beh, ho qui uno di questi Flipper Zero, l’ho provato e non è in alcun modo uno strumento per rubare auto. Di certo non manipola i semafori, e anche la sua capacità di scoprire password di Wi-Fi e aprire casseforti e porte di alberghi è stata raccontata in modo… decisamente fantasioso. La realtà è molto diversa e meno sensazionale. Ma allora perché non è più in vendita in molti negozi online e il governo canadese lo vuole bandire?

Questa è la storia del Flipper Zero, ma più in generale è la storia del conflitto fra chi difende il diritto di esplorare apertamente i limiti della tecnologia per diffondere cultura e conoscenza, migliorare la sicurezza e smascherare i venditori di soluzioni insicure, e chi vuole vietare tutto perché ha paura di ogni oggetto tecnologico.

Benvenuti alla puntata del 16 febbraio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Flipper Zero, le cose da sapere

Vado spesso nelle scuole a fare lezioni di sicurezza e privacy informatica, e in ogni classe c’è sempre qualche studente o studentessa che durante la lezione nota e osserva con particolare interesse e fascino il telecomando che tengo in mano e che uso per gestire la mia presentazione, e lo indica emozionato ai propri compagni.

Fascino, interesse e emozione non sono parole che normalmente si associano a un telecomando per computer, ma questo non è un telecomando qualsiasi: è un Flipper Zero, un piccolo dispositivo elettronico multifunzione tascabile che, perlomeno secondo quello che raccontano molti YouTuber, sarebbe una sorta di vietatissimo grimaldello universale in grado di “hackerare” praticamente qualunque cosa.

Vorrei subito rassicurare i genitori e i docenti che seguono questo podcast: non vi preoccupate, non uso il mio Flipper Zero per violare i telefonini dei vostri figli o studenti o per rubare la password del Wi-Fi. A scuola lo uso semplicemente come telecomando per il mio computer, perché nonostante sia un prodotto amatoriale è molto più stabile e affidabile dei normali telecomandi commerciali e perché so che catturerà l’attenzione, e quell’attenzione mi permetterà di comunicare meglio i concetti di sicurezza e privacy digitale che sono chiamato a insegnare.

Flipper Zero è molto di più di un telecomando: è in grado di leggere, duplicare e emulare i dispositivi RFID e NFC incorporati in molti oggetti elettronici, dalle carte di credito alle tessere delle camere d’albergo, è capace di leggere i microchip di identificazione degli animali e di ricevere e registrare segnali radio, e può duplicare anche molte chiavi elettroniche usate per aprire porte o gestire accessi. Ha un ricevitore e un emettitore a infrarossi che gli permette di fare da telecomando universale e un ricetrasmettitore Bluetooth per collegarsi senza fili ad altri dispositivi. Inoltre è espandibile grazie a schede elettroniche esterne. 

In altre parole, è una specie di coltellino svizzero per informatici, inventato da Alex Kulagin e Pavel Zhovner nel 2019, finanziato tramite una campagna su Kickstarter e basato su software aperto, ossia open source, pubblicando anche i suoi schemi elettronici per massima trasparenza. Con tutti i suoi sensori, ricevitori e trasmettitori programmabili e la possibilità di collegare schede elettroniche esterne, è un gioiello di versatilità per chiunque sia interessato a studiare il funzionamento dei dispositivi informatici e le loro comunicazioni senza fili.

Non è un oggetto a buon mercato, visto che oggi costa intorno ai 160 franchi, e soprattutto non è facile da trovare, anche perché molti grandi negozi online si rifiutano di tenerlo in catalogo. Ad aprile 2023 Amazon ha vietato le vendite di Flipper Zero perché secondo l’azienda si tratterebbe di un dispositivo in grado di clonare carte di credito e altre tessere. L’anno scorso in Brasile le spedizioni di Flipper Zero sono state bloccate e sequestrate dall’agenzia nazionale per le telecomunicazioni, e ora in Canada le autorità vogliono bandire questo dispositivo perché verrebbe “usato per commettere reati”.

In Svizzera non sembrano esserci problemi o restrizioni, almeno per ora, visto che ho acquistato il mio esemplare tramite importazione standard.

Questo oggetto, insomma, viene considerato pericoloso da alcune autorità e molti YouTuber mostrano come usarlo per aprire porte e addirittura comandare semafori. Ma dal punto di vista tecnico tutta questa fama è in realtà una bufala.

Capacità reali, video irreali

Le prodezze che vengono mostrate da tanti video su YouTube sono in realtà frutto di montaggi o messinscene: Flipper Zero è stato progettato appositamente in modo da non poter fare cose particolarmente pericolose. Per esempio, non è fisicamente in grado di leggere i dati crittografici delle carte di credito e quindi non può clonarle: può solo acquisirne per contatto il numero e la data di scadenza, cosa che può fare qualunque persona semplicemente guardando una carta di credito o appoggiandola contro molti smartphone recenti. Lo stesso vale per i biglietti dei mezzi di trasporto: può copiarli, ma non può generarli.

Flipper Zero non è in grado di comandare i semafori e la sua sezione a infrarossi è semplicemente un telecomando universale per televisori e altri apparecchi, come quelli acquistabili in qualunque negozio di elettronica. Questo vuol dire che questo dispositivo tascabile può effettivamente accendere e spegnere televisori, condizionatori, videoproiettori e altri dispositivi elettronici e può cambiarne il canale o regolarne il volume, per esempio, ma queste non sono certo dimostrazioni di chissà quale potere informatico: sono cose che appunto chiunque può fare con un normale telecomando universale, che nessuno considera pericoloso.

Le cose cambiano per la sua parte radio: questo dispositivo è in effetti in grado di registrare i segnali degli apricancelli standard e ripeterli, e questo significa che in teoria potrebbe essere usato per aprire un cancello senza autorizzazione. Ma in pratica, oltre a tutti i problemi di legalità di un atto del genere, usare un Flipper Zero in questo modo richiederebbe l’accesso a uno dei telecomandi originali oppure una lunga sessione di tentativi alla cieca fino a trovare il codice dello specifico apricancello. Inoltre il suo asserito potere di trovare le password dei Wi-Fi funziona soltanto se la password è una parola del dizionario, e se un malintenzionato ha queste mire può semplicemente usare un normale personal computer sul quale ha installato Wireshark o altri programmi analoghi. In altre parole, non ne vale la pena.

Probabilmente la cosa peggiore che un Flipper Zero può realmente fare è paralizzare gli iPhone tramite un sovraccarico (o denial of service) del segnale Bluetooth, ma solo nel caso degli iPhone che non sono stati aggiornati dai loro proprietari, visto che Apple ha rilasciato un aggiornamento correttivo a dicembre 2023.

Anche la sua capacità di consentire i furti d’auto, come affermato dalle autorità canadesi, è in realtà stata gonfiata dalle spettacolarizzazioni pubblicate dai TikToker e dagli YouTuber per ottenere più ascolti. È vero che un Flipper Zero può essere usato per memorizzare il segnale inviato dal telecomando della chiave all’auto e quindi aprirne le portiere, ma questo segnale cambia ogni volta, secondo il principio dei cosiddetti rolling code. Di conseguenza, bisognerebbe procurarsi la chiave originale dell’auto, azionarne il telecomando mentre la chiave è fuori dalla portata radio dell’auto, registrare il segnale e il relativo codice usa e getta con il Flipper Zero e poi usare questo dispositivo per trasmettere all’auto il segnale registrato, e comunque non sarebbe possibile avviare l’automobile.

Divertente e educativa, come dimostrazione, ma assolutamente inutile come strumento per i ladri professionisti di auto, che infatti non usano affatto apparecchi limitati come questo ma sfruttano dei ben più sofisticati ripetitori radio: uno viene messo all’esterno della casa della vittima, ad alcuni metri da dove si trovano presumibilmente le chiavi, ossia solitamente nell’ingresso, vicino alla porta di casa; l’altro ripetitore radio viene appoggiato all’auto, facendo quindi credere al veicolo che la chiave sia vicina e quindi debbano aprirsi le portiere, come ho raccontato già sette anni fa in una puntata di questo podcast [e in versione aggiornata anche nel 2022 qui]. Se volete ridurre il rischio di questo tipo di furto, non lasciate le chiavi dell’auto nelle vicinanze della porta di casa.

L’accanimento canadese contro il Flipper Zero, insomma, è tecnicamente infondato, frutto della poca conoscenza dell’argomento da parte dei governanti e delle esagerazioni fatte da chi pubblica video sensazionali per fare soldi: questo dispositivo è troppo limitato per fare danni reali. Ma allora, se è troppo limitato, a cosa serve esattamente?

Imparare l’hacking

Il Flipper Zero è nato con lo scopo specifico di dare agli hobbisti e agli appassionati uno strumento semplice e ragionevolmente economico per studiare il modo in cui funzionano i sistemi di trasmissione di dati, sempre più presenti nelle nostre vite, dagli RFID agli NFC al Bluetooth al Wi-Fi, e per capire se i prodotti che acquistiamo sono realmente sicuri e ben progettati.

Se una tessera elettronica o una chiave di un’auto o una serratura elettronica sono attaccabili con un dispositivo di base come un Flipper Zero, il problema non è il Flipper Zero: è il fabbricante della tessera, auto o serratura, che sta usando tecnologie obsolete e insicure, vecchie di venti e più anni nel caso delle auto, e continua a farlo perché nessuno ha modo di accorgersene.

Smascherare questo approccio incosciente alla sicurezza è un gesto socialmente utile, e impedire agli appassionati e agli studenti di imparare la vera sicurezza rendendo difficile l’accesso a dispositivi come Flipper Zero non fa altro che frenare i ricercatori di sicurezza informatica e le persone ben intenzionate che vorrebbero diventare ricercatori di sicurezza, mentre i malviventi continuano ad agire indisturbati usando tutt’altre apparecchiature.

Siamo insomma ancora una volta di fronte a un caso di quello che gli esperti chiamano security theater o “teatrino della sicurezza”: un problema preoccupa l’opinione pubblica, che quindi chiede che la politica faccia qualcosa, e la politica risponde facendo qualcosa, preferibilmente qualcosa di costoso e vistoso, che in realtà non risolve affatto il problema ma dà l’impressione che qualcosa sia stato fatto. Tutti sono soddisfatti, ma il problema rimane.

Se state pensando che questo modo di fare non si applica solo all’informatica, avete perfettamente ragione. Il termine security theater fu infatti coniato dall’esperto di sicurezza Bruce Schneier nel 2003, per il suo libro Beyond Fear, non per questioni informatiche, ma per descrivere alcune misure di sicurezza aeroportuale introdotte dopo gli attentati dell’11 settembre 2001. Ma questa è decisamente un’altra storia.

Fonti aggiuntive: El Pais, Ars Technica, Quotidiano Motori.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

—

[CLIP: Rumore di spazzolino elettronico in uso]

Tre milioni di spazzolini da denti elettronici hackerati e usati per sferrare un attacco informatico a un’azienda svizzera: lo hanno scritto molte testate giornalistiche, anche specializzate, ma è una bufala. Come mai ci sono cascati in tanti? Ed è plausibile un attacco del genere?

Circola anche la notizia di un altro attacco informatico in odor di bufala: l’ufficio di Hong Kong di una multinazionale avrebbe ricevuto una videochiamata in cui numerosi dipendenti e il direttore finanziario erano in realtà impostori digitali realizzati in diretta, che hanno dato istruzioni ai colleghi reali di fare dei bonifici urgenti un po’ speciali. Ed è così che hanno preso il volo circa 25 milioni di dollari. Mancano i riscontri, ma questo tipo di attacco è tecnicamente plausibile e potrebbe colpire qualunque azienda, per cui è meglio sapere che perlomeno esiste.

E infine una novità tutta in italiano per la difesa contro i bullismi, i ricatti e le estorsioni di chi minaccia di diffondere foto intime di qualcuno, specialmente se minore: esiste un modo facile e gratuito per segnalare alle piattaforme online una foto o un video intimi senza dovergliene mandare una copia.

Benvenuti alla puntata del 9 febbraio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Antibufala: attacco informatico con gli spazzolini da denti

Nei giorni scorsi moltissime testate giornalistiche nazionali e internazionali hanno diffuso ampiamente la notizia di un attacco informatico effettuato tramite tre milioni di spazzolini da denti elettronici ai danni di un’impresa elvetica, dichiarando per esempio che “Quello che sembra uno scenario da film hollywoodiano è realmente accaduto” e che il sito dell’impresa è crollato sotto l’attacco ed è rimasto “paralizzato per quattro ore”; i danni ammonterebbero a “milioni di franchi” (Swissinfo). Gli spazzolini in questione sarebbero stati infettati con del malware Java installato da criminali e sarebbero stati indotti a visitare in massa e ripetutamente il sito dell’azienda presa di mira, creando un DDOS o distributed denial of service. Ma la storia è una bufala, e nessun attacco del genere è mai avvenuto.

La notizia falsa è stata pubblicata dalla Aargauer Zeitung e dai giornali ad essa associati (Luzerner Zeitung, copia d’archivio) in una intervista a un dirigente della filiale svizzera di Fortinet, una società statunitense specializzata in sicurezza informatica, molto nota nel settore. In realtà l’attacco informatico tramite spazzolini da denti è uno scenario ipotetico, come ha chiarito successivamente Fortinet, dichiarando che è stata fatta confusione fra scenari reali e scenari immaginati.

La bufala si è diffusa ed è diventata virale perché la storia aveva tutti gli ingredienti giusti per essere giornalisticamente accattivante: riguardava un oggetto familiare usato in maniera insolita, evocava una paura molto diffusa, quella degli attacchi informatici, e citava un numero sensazionale e facile da ricordare e da mettere in un titolo. Era così intrigante che anche molte testate semispecialistiche del settore informatico l’hanno pubblicata dandola per buona e fidandosi della fonte apparente, che sembrava essere Fortinet, mentre gli esperti esprimevano pubblicamente forti dubbi sulla credibilità tecnica dello scenario raccontato ma venivano puntualmente ignorati.

Allarme rientrato, insomma: non buttate via il vostro spazzolino da denti elettronico per paura che sia stato “hackerato” da malviventi. Nessuna azienda svizzera è stata paralizzata da un’orda di spazzolini e la notizia è, ripeto, una bufala.

Ma potrebbe accadere davvero una cosa del genere? Quasi sicuramente no. Gli spazzolini da denti elettronici non si connettono direttamente a Internet* ma si collegano solo agli smartphone, tramite Bluetooth, per cui uno spazzolino in sé, anche se “hackerato” installandogli del software malevolo, non potrebbe visitare un sito Web e quindi non sarebbe possibile paralizzare un sito facendolo visitare a ripetizione da milioni di spazzolini da denti.

* Nei commenti a questo articolo, però, un lettore segnala che esiste almeno una marca di spazzolino elettronico la cui base si collega al Wi-Fi locale, per cui in teoria si potrebbe infettare la base (non lo spazzolino, che comunica via Bluetooth con la base) per indurla a contattare un sito diverso da quello predefinito dal software standard installato dal produttore.

Infettare informaticamente uno spazzolino elettronico, invece, è plausibile. Proprio Fortinet, già quasi dieci anni fa, ha dimostrato come era possibile “hackerare” uno di questi oggetti tramite la sua app di controllo, ma gli effetti dell’attacco si limitavano a spegnere e accendere lo spazzolino, farlo andare più velocemente o disattivarlo. Si tratta insomma di esperimenti puramente dimostrativi, che mettono in luce un principio tecnico generale che purtroppo non è una bufala: molti dei dispositivi che colleghiamo a Internet non hanno protezioni adeguate contro gli attacchi informatici, oppure le hanno ma gli utenti non le attivano, e quindi è davvero possibile infettarli in massa e usarli per attaccare un sito.

Non è teoria: è già successo, per esempio nel 2019, quando il malware denominato Mirai è riuscito a infettare milioni di dispositivi connessi a Internet, dalle stampanti alle telecamere di sicurezza ai dispositivi di monitoraggio per neonati, sfruttando il fatto che moltissimi utenti lasciavano attive le loro password predefinite, che sono pubblicate nei manuali, e questo malware ha ordinato a questi dispositivi di visitare tutti contemporaneamente uno specifico sito Internet, paralizzandolo. Ma si trattava di dispositivi connessi direttamente a Internet, non di spazzolini, i cui dati passano attraverso uno smartphone, e comunque i criminali informatici oggi hanno a disposizione metodi di attacco ben più efficaci ed efficienti di un’infezione di massa di spazzolini smart.

Questa vicenda degli spazzolini, insomma, è fasulla ed è un caso da manuale di passaparola giornalistico in cui tutti citano tutti e nessuno controlla perché la storia è troppo accattivante, ma è comunque un buon pretesto per fare l’inventario dei nostri oggetti digitali e controllare che siano aggiornati e che la loro password per collegarsi a Internet non sia ancora quella predefinita dal costruttore, magari una simpatica e attaccabilissima sequenza “1234”.

Deepfake in diretta usati per rubare 25 milioni di dollari? Forse

In questi giorni sta circolando anche un’altra notizia sensazionale a proposito di un attacco informatico, e anche qui ci sono dubbi su come siano andate le cose realmente. La testata giornalistica South China Morning Post ha segnalato che l’ufficio di Hong Kong di un’azienda multinazionale, di cui non viene fatto il nome, sarebbe stato raggirato per circa 25 milioni di dollari con un inganno molto sofisticato.

Gli aggressori, secondo la testata, hanno creato una copia digitale, animata in tempo reale, delle sembianze e della voce del direttore finanziario dell’azienda e di altri dipendenti e l’hanno usata durante una videoconferenza di gruppo, nella quale questi impostori digitali hanno dato istruzioni di pagamento speciali a uno o più dipendenti.

I truffatori sono riusciti a creare queste copie fedeli e realistiche di queste persone usando come fonte i video e le registrazioni audio pubblicamente disponibili che le ritraggono e usando appositi software per fare in modo che ogni gesto e parola dei truffatori venisse convertito istantaneamente in un gesto o in una parola di questi cloni digitali.

Sempre secondo la testata giornalistica, la polizia di Hong Kong sta indagando sul caso e per questo il nome dell’azienda non è stato reso pubblico. Uno dei dipendenti che ha effettuato i pagamenti, ben 15 bonifici su cinque conti bancari differenti a Hong Kong, ha avuto qualche dubbio sulla richiesta di provvedere a questi versamenti, ma la presenza in video e in voce di quelli che sembravano essere il direttore finanziario e altri dipendenti lo ha indotto a fidarsi.

A differenza dell’attacco informatico tramite spazzolini da denti, questa notizia non ha nulla di tecnicamente implausibile. Esistono da tempo software pubblicamente disponibili, come SwapFace, DeepFaceLive e Swapstream, che sono in grado di sostituire in tempo reale il volto di una persona con quello di un altro con una qualità sufficiente a ingannare la maggior parte delle persone, specialmente durante le videochiamate, quando la risoluzione del video è spesso molto limitata. Inoltre una ricerca recente indica che gli attacchi di questo genere sono aumentati di oltre sette volte nella seconda metà del 2023 rispetto al semestre precedente e vengono usati per ingannare i sistemi di verifica online dell’identità usati da molti servizi di pagamento e di commercio.

Chiaramente, a prescindere dall’autenticità o meno di questa notizia, non ci si può più fidare di un video o di una voce, neppure in diretta, per autenticare la persona che si ha davanti sullo schermo. Servono altri metodi, come per esempio frasi di sicurezza concordate, oppure domande alle quali solo la persona vera è in grado di rispondere, oppure ancora chiavi crittografiche personali, da scambiare durante un incontro faccia a faccia per potersi poi autenticare in seguito nelle videochiamate. E ovviamente serve personale addestrato, che sia stato informato che esiste il rischio che le persone che vede muoversi e parlare sullo schermo potrebbero essere sintetiche.

Fonti aggiuntive: Tripwire, Ars Technica.

Meta, nuovi strumenti contro la sextortion

Una foto intima che finisce in mani ostili è sempre un dramma, specialmente nel caso di minori. Ci si trova ricattati o minacciati da criminali sconosciuti o da ex partner sentimentali e non si sa a chi rivolgersi per risolvere il problema. Adesso c’è un aiuto in più contro questo reato, ossia contro la cosiddetta sextortion: esiste un modo semplice, discreto e gratuito, ora anche in lingua italiana, per segnalare ai principali social network una propria foto intima che si teme possa essere messa in circolazione da qualcuno.

Questo aiuto è offerto da Meta, la società che coordina Facebook, Instagram, Threads e WhatsApp [comunicato stampa]; lo avevo preannunciato in una puntata precedente di questo podcast, circa un anno fa, e da pochi giorni è finalmente disponibile appunto anche in italiano oltre che in una ventina di altre lingue. Il sito al quale rivolgersi si chiama Take It Down, ossia “rimuovila o rimuovilo”, ed è raggiungibile presso takeitdown.ncmec.org.

Il servizio funziona in maniera molto pratica, risolvendo una delle preoccupazioni principali di chi si trova in questa situazione: di solito ci si aspetta che il primo passo per ottenere la rimozione da Internet di una foto o di un video di natura intima sia inviare una copia di quella foto o di quel video alle autorità, e questo causa comprensibilmente disagio e imbarazzo.

Ma Take It Down lavora in un altro modo: le immagini e i video non lasciano mai il dispositivo della vittima e non vengono mai trasmessi a nessuno. Il servizio, infatti, assegna una sorta di impronta digitale unica, chiamata valore hash, a ciascuna immagine e ciascun video selezionato dalla vittima, e le piattaforme online possono utilizzare e disseminare questo valore hash per riconoscere quell’immagine o video se circola sui loro servizi, quindi Threads, Facebook e Instagram, e anche sui siti partecipanti, che al momento sono Onlyfans, Pornhub, TikTok, Yubo, Snap, Clips4sale e Redgifs.

Questa assegnazione viene fatta eseguendo un programma apposito sul dispositivo della vittima, ossia di solito sul suo telefonino, quindi senza che nessuno veda o riceva le immagini. L’unica informazione che lascia il telefonino è un codice numerico (il valore hash, appunto) dal quale non è possibile ricostruire l’immagine o il video. Massima discrezione, insomma.

In pratica il servizio di aiuto funziona così: la vittima visita il sito takeitdown.ncmec.org usando un dispositivo sul quale ci sono le immagini che vuole far rimuovere. Lì trova la parola cliccabile Inizia; cliccandoci sopra viene chiesto se la richiesta riguarda immagini di minorenni o di maggiorenni, visto che per i maggiorenni c’è un servizio separato, chiamato StopNCII.org, che funziona allo stesso modo. Fatto questo si può cliccare su Selezionate le foto/i video.

Meta ha inoltre attivato anche in italiano una pagina apposita con le istruzioni su come segnalare minacce e condivisioni di immagini intime senza autorizzazione e con informazioni sulle misure prese da Meta per avvisare i minori quando un account potenzialmente sospetto tenta di seguirli o di interagire con loro.

Si spera sempre che questi servizi non siano necessari, ma se ci si trova nei guai è bello sapere che c’è una soluzione.

Fonte aggiuntiva: TechCrunch.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

Chicca: durante il montaggio mi sono accorto di aver dimenticato di leggere una parola in una frase. Invece di ritornare in studio a rifare la frase, l’ho fatta dire al mio clone. Riuscite a individuale qual è la frase sintetica?

—

[CLIP: rumore di treno in stazione]

Si può hackerare un treno a fin di bene? A quanto pare sì: è successo in Polonia, dove un gruppo di hacker etici ha dichiarato di aver scoperto che i treni di una marca specifica contengono istruzioni nascoste che generano false segnalazioni di guasto e impediscono la libera concorrenza nella manutenzione.

Questa è la storia di come è stata fatta questa scoperta, certamente non facile, visto che per “hackerare” un treno bisogna avere accesso, appunto, a un esemplare di un treno, cosa un po’ più difficile rispetto a procurarsi un esemplare di smartphone da studiare, per esempio. Eppure è successo, e questa vicenda ha ramificazioni che ci toccano molto da vicino.

Benvenuti alla puntata del 12 gennaio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Guasti misteriosamente puntuali

Siamo in Polonia, a primavera del 2022. Sta per scadere il contratto di manutenzione del primo di undici treni modello Impuls 45WE, fabbricati dall’azienda polacca Newag e gestiti dalle Ferrovie della Bassa Slesia. Un evento normalmente noiosissimo e lontanissimo da qualunque interesse informatico, ma è in arrivo una sorpresa.

La manutenzione, che è obbligatoria dopo un milione di chilometri, è svolta da una società indipendente, la SPS (Serwis Pojazdów Szynowych), che ha vinto l’appalto per questo lavoro battendo la Newag. È un’operazione delicata, che richiede lo smontaggio di moltissimi componenti, ciascuno dei quali va spedito al rispettivo fabbricante, verificato e poi riassemblato e collaudato.

La SPS esegue tutto il lavoro seguendo il manuale di ventimila pagine del fabbricante, riassembla il treno, ma non c’è niente da fare: il computer di bordo dice che è tutto a posto e in ordine di marcia, ma gli inverter si rifiutano di fornire tensione ai motori e nessuno riesce a capire perché.

Un secondo treno dello stesso modello viene sottoposto allo stesso procedimento e avviene la stessa cosa: funzionava perfettamente prima dell’intervento, ma ora si rifiuta di muoversi. E in un’altra officina un altro esemplare si guasta dopo un intervento di manutenzione.

Con vari treni fuori uso, iniziano i disagi per gli utenti delle Ferrovie della Bassa Slesia e la vicenda finisce sui giornali locali. La Newag spiega che i treni sono stati bloccati da un “sistema di sicurezza” non meglio precisato, di cui però non c’è traccia in quelle ventimila pagine di manuale.

Alla SPS, la ditta che dovrebbe fare manutenzione e far ripartire quei treni misteriosamente bloccati, si accumulano i ritardi e le relative penali, e la tensione (quella psicologica, non quella elettrica) sale. Avendo esaurito ogni altra strada tecnica, qualcuno ha un’idea: chiedere a un gruppo di hacker etici di esaminare la questione.

Il gruppo si chiama Dragon Sector, e ha esperienza anche nel settore delle macchine industriali informatizzate, ma un treno è un caso decisamente insolito. Con fatica i tre membri di Dragon Sector riescono a scaricare dal treno una copia del software di gestione del computer e iniziano a esaminarlo. Ma è un lavoro lento e difficile.

Dopo un mese e mezzo di tribolazioni degli informatici, con i treni ancora bloccati, le Ferrovie della Bassa Slesia perdono la pazienza e annunciano l’imminente rescissione del contratto, che verrà passato alla Newag. Ma il giorno prima della scadenza gli informatici riescono a trovare una configurazione del computer di bordo che fa ripartire i treni, e quindi le Ferrovie decidono di non rescindere quel contratto.

L’esame svolto dal gruppo di hacker etici rivela che il software di questi treni ha delle caratteristiche molto particolari: per esempio, contiene delle coordinate geografiche che sembrano a prima vista casuali ma sono quelle dei centri di manutenzione ferroviaria polacchi. Il software include anche una serie di istruzioni che impediscono al treno di muoversi se rimane per almeno dieci giorni presso uno di questi centri. E ci sono anche altre istruzioni, che bloccano il treno quando viene sostituito uno dei suoi componenti, grazie a un controllo sui numeri di serie dei vari pezzi, e salta fuori che il blocco può essere annullato premendo una particolare sequenza di tasti nella cabina di guida. Tutte funzioni non documentate dai manuali. Su un altro esemplare dello stesso treno viene trovato del codice che gli ordina di “guastarsi” dopo un milione di chilometri.

Il 21 novembre 2022 succede un altro evento insolito: un ulteriore esemplare che non era in manutenzione rifiuta di partire, dicendo che il compressore è guasto, ma i meccanici lo controllano e dicono che va benissimo. L’analisi del software di bordo fa emergere un’istruzione che dice specificamente che va visualizzata la segnalazione di guasto al compressore dopo una certa data.

Non mancano le sorprese anche a livello hardware: i ricercatori trovano su un altro esemplare di questo treno un dispositivo connesso a un modem GSM che consente al computer di bordo di inviare e ricevere dati.

Le mani nella marmellata

La notizia della riparazione del treno da parte della SPS si diffonde in fretta fra gli addetti ai lavori ed emerge che in giro per il paese ci sono una ventina di esemplari apparentemente guasti presso varie aziende. Tutti, stranamente, riprendono a funzionare quando i ricercatori isolano dal software di bordo i comandi di blocco o applicano i comandi di sblocco corrispondenti.

Il CERT nazionale polacco, una delle principali autorità di sicurezza informatica del paese, viene avvisato della situazione dai ricercatori a dicembre 2022, e i ricercatori presentano i risultati delle proprie scoperte alla conferenza Oh My H@ck un anno dopo, il 5 dicembre 2023. Se vi interessano i dettagli tecnici, li trovate linkati su Disinformatico.info.

In sintesi, secondo questi esperti il software di bordo dei treni della Newag è progettato in modo da generare guasti inesistenti e rendere impossibile la manutenzione da parte di altre aziende concorrenti.

Questa, perlomeno, è la ricostruzione dei fatti presentata [anche su Mastodon] dagli esperti informatici della Dragon Sector. Ma la Newag, la casa produttrice dei treni in questione, non concorda.

Il 6 dicembre 2023, il giorno dopo la presentazione pubblica dei risultati dei ricercatori, la Newag emette un comunicato stampa (PDF, in polacco) negando l’esistenza di queste caratteristiche nel suo software, attribuendo eventuali problemi a ignoti hacker e affermando che si tratta di un caso di diffamazione da parte delle aziende concorrenti. Secondo Newag, questi treni sarebbero ora insicuri, perché il software sarebbe stato alterato e la riparazione dei treni costituirebbe una violazione del copyright. L’azienda ha anche minacciato di avviare un’azione legale contro gli esperti informatici.

Ma Dragon Sector ha rincarato la dose, presentando una relazione documentatissima al congresso informatico Chaos Communications Conference ad Amburgo a fine dicembre 2023 e spiegando che non ha affatto alterato il software presente a bordo dei treni, ma ha solo usato il codice esistente e i meccanismi di sblocco già presenti.

La loro risposta tecnica alle affermazioni di Newag è che è evidente che chi ha inserito quelle istruzioni nel software aveva accesso al suo codice sorgente, e a quanto risulta quel codice ce l’ha solo Newag. Uno degli esperti di Dragon Sector ha precisato inoltre che finora il suo gruppo non ha ancora ricevuto alcuna comunicazione legale da Newag.

La questione è ancora in evoluzione, ma l’ex ministro degli affari digitali della Polonia (Janusz Cieszyński) ha confermato che il governo ne era a conoscenza da tempo e ha dichiarato che secondo lui la Newag non è una vittima in questa vicenda.

Lo scenario che si va delineando, insomma, è quello purtroppo tipico di tanti prodotti elettronici di consumo, dagli smartphone alle stampanti alle macchine per il caffè: il fabbricante usa il software di gestione per inserire delle funzioni nascoste che inventano manutenzioni fittizie, rifiutano riparazioni effettuate da terzi o non accettano cartucce o capsule tecnicamente compatibili offerte da altri produttori. Una pratica anticoncorrenziale illegale in molti paesi, che danneggia i consumatori e arricchisce i fabbricanti che la adottano. È però insolito vedere queste tecniche applicate a un treno, in una sorta di Dieselgate ferroviario.

Trasparenza negata

La vicenda dei treni polacchi non è il primo caso del suo genere: a maggio 2022 era emerso che anche il fabbricante di veicoli agricoli John Deere ha adottato misure analoghe per obbligare i clienti a rivolgersi alla sua rete di assistenza e riparazione.

Questo tipo di pratica è molto difficile da scoprire: un conto è fare un’indagine su uno smartphone acquistandone qualche esemplare, un altro è dover comperare un intero treno o un trattore per poterlo studiare e verificare che non contenga trappole nascoste nel software.

Eppure la soluzione ci sarebbe: obbligare i fabbricanti a rendere disponibile il proprio software almeno agli esperti. Alcuni grandi operatori ferroviari [SNCF], per esempio, esigono dal fornitore l’accesso al codice sorgente del software che gestisce i sistemi di bordo dei treni. Ma i fabbricanti sono riluttanti, sia perché rischiano che eventuali trucchetti vengano scoperti, sia perché il loro software spesso contiene conoscenze industriali che farebbero gola ai concorrenti, e sostengono inoltre che pubblicare il software dei loro prodotti faciliterebbe gli attacchi informatici.

Ma come sanno bene i sostenitori dell’open source, che da decenni chiedono trasparenza nel software, la sicurezza è una scusa: se un programma deve restare segreto per essere sicuro, vuol dire che è scritto male. Un programma scritto bene rimane sicuro anche quando è liberamente consultabile. E finché il programma scritto male è quello di un videogioco o di uno spreadsheet, pazienza; ma se si tratta del software che fa funzionare un treno che trasporta persone, il rischio di un crash diventa molto più serio. Anche perché se il fabbricante introduce intenzionalmente funzioni che gli permettono di paralizzare un treno o una macchina agricola da remoto, quelle funzioni possono essere scoperte e usate anche da malintenzionati, per esempio per estorsioni, oppure in caso di guerra.

E se state pensando che i treni intenzionalmente vulnerabili siano solo un problema polacco, tenete presente che lo stesso fabbricante esporta per esempio anche in Italia [sulla Ferrovia Circumetnea, con qualche difficoltà; anche nella Repubblica Ceca e in Slovacchia].

Fonti aggiuntive:

• NEWAG’s digital sabotage of Koleje Dolnośląskie (Dolny Śląsk) trains – what were they thinking?, Jonworth.eu
• Newag comes out fighting in claims over foul play, International Railway Journal
• Wielki skandal na kolei. ABW i premier od miesięcy wiedzieli o aferze z pociągami Newagu, Onet.pl
• Dieselgate, but for trains – some heavyweight hardware hacking, BadCyber
• Polish Hackers Repaired Trains the Manufacturer Artificially Bricked. Now The Train Company Is Threatening Them, 404 Media
• Polish train maker denies claims its software bricked rolling stock maintained by competitor, The Register
• Polish train manufacturer threatens hackers who unbricked their trains, Hackaday.com
• Hackers Hit With Legal Threats After They Fixed a ‘Bricked’ Polish Train, Gizmodo
• Trains were designed to break down after third-party repairs, hackers find, Ars Technica
• The story of the great Polish train hack, Railway-technology.com

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: “Hackerare l’FBI” da Mr. Robot su YouTube; audio separato ed estratto tramite Lalal.ai]

La puntata precedente di questo podcast ha raccontato in tempo reale la vicenda di due aziende, una svizzera e una italiana, colpite da attacchi informatici basati sul furto di dati e sulla minaccia di pubblicarli qualora non fosse stato pagato un riscatto. Ora gli ultimatum degli estorsori sono scaduti e si può raccontare l’epilogo della vicenda, che ha un piccolo colpo di scena che permette di fare maggiore chiarezza su nomi e fonti.

Questa è la storia delle cose strane e inaspettate che avvengono nel mondo del monitoraggio pubblico degli attacchi informatici, ed è anche un ripasso delle regole di legge che si applicano quando i dati confidenziali che gli utenti affidano alle aziende vengono sottratti e pubblicati.

Benvenuti alla puntata del primo dicembre 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e, appunto, alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Ecco dove i criminali informatici pubblicano i dati rubati

Quando ho raccontato, la settimana scorsa, la cronaca di due attacchi informatici che erano in corso ai danni di due aziende in Italia e in Svizzera, ho omesso molti dettagli per tutelare le vittime. Ora tutti i dati disponibili indicano che gli attacchi si sono conclusi e posso quindi raccontarvi come sono andati a finire. Posso anche spiegare più in dettaglio come ho fatto a seguirli e descriverli nonostante le aziende coinvolte non li avessero annunciati pubblicamente.

Vorrei chiarire, prima di tutto, che le aziende in questione sono solo due fra le tante attaccate quotidianamente in tutto il mondo e che ho scelto di raccontare le loro vicende solo perché si trattava di aziende operanti in paesi di lingua italiana, cosa che rendeva molto più concreto e vicino il problema del ransomware, ossia il crimine informatico basato sul blocco o la sottrazione dei dati aziendali a scopo di estorsione.

Aggiungo inoltre che ho contattato le aziende in questione presso le loro caselle di mail apposite, ma non ho ricevuto risposte o prese di posizione. E sui loro siti non c’è ancora nessuna comunicazione riguardante l’attacco subìto.

La sola presa di posizione pubblica, in questa storia, è quella dei criminali informatici, che dicono di aver messo a segno gli attacchi: loro affermano che i dati sottratti sono stati pubblicati sul web, come se l’azienda italiana, operante nel settore tessile di lusso, e l’impresa edile svizzera non avessero pagato il riscatto richiesto. Sono asserzioni da prendere ovviamente con le necessarie cautele, visto che sono decisamente di parte e non sono verificabili nella maniera più diretta, ossia esaminando i dati pubblicati.

C’è stato infatti un piccolo colpo di scena che ha reso impossibile anche solo tentare di esaminarli, cosa che comunque sarebbe stata perlomeno legalmente discutibile anche se fatta a scopo di conferma giornalistica: il sito Gofile.io, presso il quale i criminali dichiarano di aver pubblicato i dati aziendali che dicono di aver acquisito, non contiene affatto quei dati. I link di pubblicazione (https://gofile.io/d/nzIrxs e https://gofile.io/d/YO6EAG) annunciati dagli estorsori restituiscono solo un avviso di file inesistente.

Questo fatto può essere interpretato in molti modi: può darsi che i dati siano stati realmente trafugati e che le aziende abbiano inizialmente rifiutato di pagare il riscatto, per poi arrendersi e pagare quando i criminali hanno pubblicato i dati come minacciato. Una volta ricevuto il riscatto, i criminali hanno rimosso prontamente i dati. Oppure i criminali hanno bluffato e in realtà non hanno mai sottratto nulla: può sembrare strano che un’azienda paghi senza avere prove di essere stata attaccata, ma capita spesso, perché la paura è una cattiva consigliera. È anche possibile che Gofile.io abbia ricevuto una segnalazione del fatto che ospitava dati rubati e quindi li abbia eliminati. E in effetti almeno una segnalazione di questo genere, riguardante i dati dell’azienda italiana che erano già stati messi online, è stata ricevuta da Gofile.io: lo so perché l’ho mandata io, come ho raccontato nella scorsa puntata di questo podcast, e i dati sono scomparsi poche ore dopo [appena dopo che avevo chiuso quella puntata del podcast].

Nel frattempo, la stessa banda di criminali annuncia nei propri bollettini nel dark web di aver messo a segno altri furti di dati ai danni di varie aziende di molti paesi, compresa una ditta italiana molto famosa nel settore delle macchine per caffè professionali. Anche qui, per ora, manca qualunque riscontro.

Mi raccomando, però: non precipitatevi nel dark web in cerca di questi bollettini. Non ce n’è bisogno.

I siti che catalogano gli annunci degli aggressori

Gli annunci di questo gruppo di criminali informatici e di molte altre organizzazioni analoghe sono infatti pubblicati sul Web normale e sono quindi facilmente accessibili senza dover installare applicazioni particolari.

Esistono infatti molti siti che raccolgono questi annunci e li pubblicano. Siti come Hackmanac.com, Breachsense.com o l’italiano Ransomfeed.it, e i siti dei principali produttori di software di sicurezza, hanno delle sezioni specializzate nel monitoraggio degli attacchi informatici e offrono tutti i dettagli delle singole rivendicazioni: i nomi delle aziende attaccate, i nomi dei gruppi criminali che affermano di aver effettuato i singoli attacchi, e in alcuni casi anche i link ai siti di questi gruppi nel dark web.

Può sembrare strano che queste rivendicazioni vengano pubblicate, amplificandone inevitabilmente la visibilità, ma la catalogazione diligente degli attacchi è essenziale per poter redigere rapporti di analisi che offrano una visione globale di un problema che è ancora sottovalutato da tante aziende e che permettano di rilevare, per esempio, modalità operative e comportamenti che sono in continua evoluzione.

Fino a poco tempo fa, per esempio, il modello operativo del ransomware era relativamente semplice: i dati dell’azienda attaccata venivano cifrati dagli aggressori direttamente sui computer dell’azienda stessa e i criminali chiedevano soldi per dare la password per decifrarli. Poi molte aziende si sono attrezzate con delle copie di scorta dei dati, eseguite molto frequentemente e tenute fisicamente isolate dalla rete aziendale, per cui hanno smesso di pagare i riscatti perché erano in grado di ripristinare quei dati cifrati. E così i criminali hanno cambiato approccio e sono passati alla esfiltrazione, ossia allo scaricamento dei dati aziendali con minaccia di pubblicarli.

Questo lavoro di analisi permette anche di notare quali paesi sono maggiormente colpiti dagli attacchi ransomware: al primo posto, secondo la classifica più recente di Ransomfeed.it, ci sono gli Stati Uniti, e questo non sorprende viste le dimensioni del paese. Al secondo posto si trova il Regno Unito, seguito dalla Germania e dal Canada. Al quinto troviamo l’Italia, mentre la Svizzera si piazza undicesima, subito dopo un paese ben più vasto come l’India.

Rendere pubblici i dati degli attacchi è utile anche perché spessissimo i decisori aziendali agiscono solo se hanno dei numeri concreti a supporto delle proprie decisioni o delle richieste fatte per esempio dai responsabili informatici dell’azienda, che chiedono maggiore formazione del personale e hardware aggiornato e adeguato e rimangono tante volte inascoltati.

Ma in tutta questa vicenda di ladri, vittime e catalogatori di crimini c’è anche un altro gruppo che spesso non ha voce: le persone i cui dati sensibili vengono trafugati e pubblicati.

Cosa possono fare le vittime finali: gli utenti

La legge, in Italia come in Svizzera, prevede degli obblighi molto chiari in caso di violazione dei dati, o di data breach per usare il termine tecnico. Il responsabile del trattamento dei dati dell’azienda che ha subìto un furto di dati sensibili deve notificare la violazione tempestivamente alle autorità, per esempio al Garante per la Privacy in Italia o all’Incaricato federale per la protezione dei dati in Svizzera, tramite un apposito modulo online.

Ma anche il cittadino che viene a sapere di essere coinvolto nella violazione può fare reclamo, come spiega per il caso italiano, ma con princìpi validi anche in altri paesi, lo sviluppatore di software e consulente informatico forense Andrea Lazzarotto:

“Ci sono due strumenti che le persone possono utilizzare, e la segnalazione è uno strumento che può utilizzare sostanzialmente chiunque per scrivere all’autorità garante per la protezione dei dati personali, ad esempio quella italiana o a seconda di dove uno risiede, per comunicare che c’è una certa situazione. Non è necessario per la segnalazione essere una delle persone che ha subito il data breach. Invece le persone che sono state soggette di un data breach o comunque vedono violati i propri diritti alla riservatezza, alla protezione dei dati personali, possono utilizzare uno strumento un po’ più specifico che è il reclamo. Il reclamo quindi deve essere fatto dall’interessato, o direttamente o tramite il proprio avvocato, quindi si va a scrivere al garante per segnalare questo tipo di comportamento. Potrebbe essere un reclamo verso l’azienda: se io scopro che l’azienda X ha subito un data breach e io ero uno dei clienti dell’azienda X, ragionevolmente posso pensare che i miei dati siano stati violati, vado a fare un reclamo verso l’azienda X.”

L’intervista completa ad Andrea Lazzarotto e i link ai moduli citati sono, come consueto, su Disinformatico.info, dove trovate anche i link svizzeri alla Notifica di violazioni di protezione dei dati per i diretti interessati e anche quella per i responsabili del trattamento dei dati [la pagina del Garante italiano è questa].

Le persone i cui dati vengono pubblicati in seguito a un attacco ransomware sono a rischio, perché quei dati possono essere usati per attacchi mirati molto credibili e per furti di identità, ma quasi sempre rimangono inconsapevoli del fatto che i loro dati sono in circolazione e quindi non possono prendere precauzioni. Per esempio, se il proprietario di una costosissima moto di una nota marca italiana non sa che l’elenco dei clienti è stato trafugato e riceve una mail da qualcuno che si spaccia per un rappresentante di quella marca e gli dice che c’è un problema nel pagamento, citandogli con precisione la marca e il modello della moto che ha acquistato, tenderà a credere che si tratti di un vero rappresentante. Chi altro, infatti, potrebbe sapere quelle informazioni?

Solitamente le aziende sono tenute per legge a informare i propri clienti di queste situazioni, ma è raro vedere annunci pubblici di trasparenza da parte di chi è colpito da un attacco ransomware che possano aiutare i cittadini a difendersi. E purtroppo questa riluttanza a essere trasparenti non aiuta nessuno. Parlare di queste fughe di dati, e documentarle pubblicamente, serve anche a evitare la tentazione del silenzio.