Vai al contenuto
Il Fatto Quotidiano pubblica il QR di un green pass, nonostante i moniti del Garante Privacy

Il Fatto Quotidiano pubblica il QR di un green pass, nonostante i moniti del Garante Privacy

Alla redazione del Fatto Quotidiano non sono bastati tutti gli
avvisi
del Garante di non pubblicare Green Pass. Oggi il FQ ha pubblicato un
articolo
(link intenzionalmente alterato) nel quale la foto, che ho sfuocato qui accanto,
mostra un Green Pass perfettamente leggibile, intestato a Romano C.G., nato il
18/6/66.

Qualcuno ha sovrapposto al codice QR un pallino sfuocato, che però non rende
affatto illeggibile il codice, visto che i codici QR sono
fatti apposta per tollerare danni e cancellazioni.

Per chi obietta
“Ma tanto si tratta solo di nome, cognome e data di nascita”, ricordo
che il codice QR contiene
molti altri dati: lo stato di vaccinazione o meno, la data di eventuale vaccinazione, il tipo
di vaccino e altro ancora. Dati sanitari sensibili, insomma, che non vengono
letti dalle normali app di verifica ma possono essere letti tramite software
facilmente reperibile online. 

2021/10/06 2:50. Il Fatto ha cambiato la foto. La versione attuale non mostra più il codice QR.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

“Facebook è un’azienda marcia”: Cory Doctorow spiega perché. Documentando i danni

“Facebook è un’azienda marcia”: Cory Doctorow spiega perché. Documentando i danni

I danni sociali causati da Facebook sono ampiamente sottostimati e spesso ignorati. Traduco qui un magistrale, implacabile
thread Twitter di Cory Doctorow su questo tema, che si può leggere integralmente in originale anche
qui su Pluralistic.net. Mi sono permesso di aggiungere alcuni link e alcune note di chiarimento.
Eventuali errori e refusi sono solo colpa mia.

Se non sapete chi è Cory Doctorow (blogger, autore di fantascienza, saggista pluripremiato), leggete la sua
biografia su Wikipedia
e gli altri suoi scritti che ho tradotto: il caso Sony XCP
(2006),
perché i computer generici spariranno
(2012),
perché bandire la crittografia è una misura antiterrorismo inutile
(2017)
Zuckerberg e l’incoscienza morale
(2018),
l’articolo 13 spiegato da un racconto
(2018). 

Se i suoi toni vi sembrano esagerati o complottisti, tenete presente che sono quelli di chi cerca di mettere in guardia da anni contro un pericolo all’orizzonte, è stato allegramente ignorato e l’ha visto arrivare e diventare realtà. Lasciateli da parte e concentratevi sulla sostanza.

Facebook
è un’azienda marcia; marcia a partire dalla testa. Il suo fondatore, il
suo consiglio d’amministrazione e i suoi massimi dirigenti sono delle
persone sociopatiche e dei mostri che commettono crimini contro l’umanità
(detto senza iperboli e senza prenderci in giro). Mentono, barano, rubano.
Sono fra i più grandi criminali della storia.

Dato che Facebook è un’azienda orribile gestita da persone orribili,
periodicamente esplode generando uno scandalo atroce. A volte i
whistleblowers (lanciatori d’allerta) o i giornalisti rivelano
crimini storici, compreso l’aiuto intenzionale a fomentare il genocidio
(senza però limitarsi a questo).

A volte questi scandali sono attuali: Facebook annuncia allegramente che
farà qualcosa di orribile, oppure veniamo a sapere di qualcosa di orribile
in corso, grazie alle fughe di notizie o alle indagini.

Grazie a un passato di fusioni anticoncorrenziali (WhatsApp, Instagram,
Onavo e altre) basato su promesse fraudolente agli enti di sorveglianza
antitrust, Facebook è cresciuta fino ad avere quasi tre miliardi di
utenti. Solo che Facebook in realtà non ha utenti: ha ostaggi.

https://www.eff.org/deeplinks/2020/07/dont-believe-proven-liars-absolute-minimum-standard-prudence-merger-scrutiny

Come dimostrato dai documenti interni di Facebook stessa, l’azienda non solo
compera i concorrenti in modo che gli utenti non abbiano un altro luogo dove
fuggire, ma introduce intenzionalmente dei “costi di migrazione” (switching costs) elevati in modo che lasciare il sistema sia più doloroso.

https://www.eff.org/deeplinks/2021/08/facebooks-secret-war-switching-costs

Per esempio, i documenti interni di Facebook mostrano che il suo
responsabile per i prodotti fotografici decise di sedurre gli utenti in modo
che affidassero a Facebook le proprie foto di famiglia, perché in questo
modo lasciare Facebook avrebbe comportato perdere i ricordi dei figli, dei
nonni scomparsi, eccetera.

Tutti odiano Facebook, specialmente i suoi utenti. Lo scopo dei costi di
migrazione elevati, dopotutto, è aumentare la sofferenza per chi migra, in
modo che Facebook possa infliggere ulteriori abusi ai propri utenti senza
temere che se ne vadano e lascino perdere tutto.

La missione di Facebook è aumentare le dimensioni del panino farcito di
merda (shit sandwich) che ti può forzare a mangiare prima che tu
decida di andartene. Ma l’azienda non è una semplice sadica: i panini
farciti di merda hanno un modello commerciale. Più ostaggi riesce a
prendere, più può spillare agli inserzionisti. Che sono i veri clienti di
Facebook.

Il termine educato per quello che ha Facebook è
“mercato a due facce” (two-sided market): vendere gli
inserzionisti agli utenti e gli utenti agli inserzionisti. Il termine
tecnico è “monopolio e monopsonio” (un
monopsonio è un
mercato che ha un singolo acquirente).

Il termine colloquiale è “racket”. Truffa. Piaga. Bezzle.

[bezzle
è un termine coniato dall’economista John Kenneth Galbraith negli anni
Cinquanta del secolo scorso per indicare un’appropriazione indebita
(embezzlement) non ancora scoperta; è in sostanza l’intervallo di
tempo fra quando il truffatore ottiene il proprio guadagno illecito e il
momento in cui il truffato percepisce di essere stato truffato]

Facebook spenna gli inserzionisti sulle rate card [tariffari delle inserzioni], poi mente a proposito del reach [portata] delle proprie
pubblicità (come quando mentì sulla popolarità dei video, mostrando una
“svolta ai video” [pivot to video] in tutti i mezzi di comunicazione
che portò alla bancarotta decine di siti di notizie e di intrattenimento).

Facebook non partì con l’intento di distruggere il giornalismo manipolando i
prezzi delle inserzioni, mentendo agli inserzionisti e ai produttori di
media. Partì con l’intento di acquisire un monopolio e di estrarre
pigioni da monopolio dagli inserzionisti e dagli editori, con
un’indifferenza patologica ai danni che queste frodi avrebbero causato agli
altri.

Avendo dimostrato di essere disposta a distruggere i giornalisti e i
produttori di media pur di estrarre qualche miliardo in più per i
propri azionisti, Facebook si è fatta parecchi nemici nei media.

Se sei un whistleblower che ha una storia da raccontare, c’è un
giornalista il cui direttore allocherà le risorse necessarie a scrivere in
dettaglio la tua storia. La combinazione di un’azienda marcia e di un gran
numero di giornalisti incazzati produce molta stampa negativa per l’azienda.

Ma resta il fatto che Facebook ha un vasto bacino di ostaggi, a miliardi, e
decide cosa vedono e quando e come lo vedono. Un tempo dicevo, scherzando
con i miei amici attivisti per i diritti umani, che l’uso migliore di
Facebook è mostrare alla gente come e perché abbandonare Facebook.

La risposta di Facebook è stata prevedibile. Come scrivono Ryan Mac e Sheera
Frenkel sul New York Times, il Project Amplify di Facebook è
un’iniziativa, diretta da Zuckerberg, per promuovere sistematicamente la
copertura positiva di Facebook e del suo fondatore, compresi articoli
generati da Facebook stessa.

https://www.nytimes.com/2021/09/21/technology/zuckerberg-facebook-project-amplify.html

In altre parole, alcuni dipendenti di Facebook hanno l’incarico di scrivere
soffietti,
ossia articoli che esaltano quanto è grande l’azienda, e l’algoritmo di
Facebook pompa questi articoli rispetto a quelli dei veri giornalisti che
presentano resoconti dettagliati, documentati e con fonti multiple della
condotta fraudolenta e depravata dell’azienda.

Il Project Amplify è una svolta rispetto alla politica di Facebook,
durata a lungo, di pubblicare scuse non sincere per i propri scandali. Fonti
dell’azienda hanno detto ai giornalisti che tutti hanno capito che queste
scuse non convincono più nessuno, per cui l’azienda è passata a spingere
rosee ciarlatanerie.

Uno dei dirigenti di questo progetto è Alex Schultz, “un veterano in azienda
da 14 anni che è stato nominato chief marketing officer l’anno
scorso,” ma l’impulso principale proviene da Zuckerberg stesso, uno degli
uomini più odiati del pianeta.

Amplify è semplicemente una delle strategie di Facebook per distorcere il
dibattito riguardante l’azienda. A luglio ha castrato Crowdtangle, uno
strumento di analytics ampiamente utilizzato, che dimostrava che i
post più popolari di Facebook erano la disinformazione demenziale di estrema
destra e le cospirazioni.

https://pluralistic.net/2021/07/15/three-wise-zucks-in-a-trenchcoat/#inconvenient-truth

Inoltre Facebook ha dichiarato guerra legale senza quartiere (accompagnata
da una campagna di disinformazione) per far fuori Adobserver, un progetto
della New York University che traccia la disinformazione politica pagata
sulla piattaforma.

https://pluralistic.net/2021/08/05/comprehensive-sex-ed/#quis-custodiet-ipsos-zuck

Facendo chiudere Crowdtangle e Adobserver, Facebook spera di controllare le
scoperte fatte dal mondo accademico sul ruolo dell’azienda nella
disinformazione, nell’odio e nelle molestie. L’azienda gestisce un proprio
portale di ricerca, nel quale si pretende che i ricercatori accademici
accedano a dati riguardanti la piattaforma.

Ma così come ha fatto con i giornalisti che pubblicano articoli a proposito
di Facebook, l’azienda ha sommerso di offese i ricercatori accademici che
hanno svolto ricerche su di essa.

I dati del suo portale erano difettosi e quindi esponevano le tesi di
dottorato e di master al rischio di dover essere ritirate. A metà tesi, i
ricercatori si sono ritrovati al punto di partenza.

https://www.nytimes.com/live/2020/2020-election-misinformation-distortions#facebook-sent-flawed-data-to-misinformation-researchers

Col senno di poi, la decisione di Facebook di sfruttare il proprio algoritmo
per promuovere ciarlatanerie favorevoli all’azienda sembra inevitabile. Non
solo nessuno crede più alle scuse dell’azienda (ammesso che ci abbia mai
creduto), ma Facebook sembra incapace di assoldare degli
spin doctor competenti.

Considerate la bomba giornalistica del Wall Street Journal, i
Facebook Files: una serie di resoconti che documentano dettagliatamente quanto l’azienda
sia disposta a danneggiare i bambini, commettere frodi e a consentire a
milioni di persone favorite e potenti di violare impunemente le sue regole.

https://www.bloomberg.com/news/newsletters/2021-09-16/facebook-s-promised-to-gain-the-public-s-trust

La risposta di Facebook è stata sinceramente patetica: in un blando post, il
suo principale agente pubblicitario, il diffusamente disprezzato politico
britannico Nick Clegg, pagato milioni per rappresentare Facebook sulla scena
mondiale, ha denigrato il giornalismo del WSJ senza presentare alcuna
smentita dei fatti.

https://about.fb.com/news/2021/09/what-the-wall-street-journal-got-wrong/

È il genere di difesa maldestra per la quale Facebook è famosa (o
malfamata). Chi può dimenticare il disastro assoluto del suo programma
Internet Basics in India, dove ha corrotto le compagnie telefoniche
per esentare dai limiti sui dati cellulari se stessa e i servizi che
sceglieva?

https://www.theguardian.com/technology/2016/may/12/facebook-free-basics-india-zuckerberg

Questa manovra per assassinare la neutralità della Rete, spacciata per un
modo di portare Internet ai poveri (cosa che non fa assolutamente), è stata
oggetto di una consultazione da parte degli organi di controllo delle
società telefoniche indiane.

Facebook inviò degli allarmi ingannevoli a milioni dei propri utenti
indiani, ingannandoli affinché mandassero un fiume di lettere precompilate
agli organi di controllo, supplicandoli di lasciare intatto il programma
Internet Basics.

Ma chiunque scrisse la lettera precompilata non si prese la briga di
controllare se era pertinente alle questioni affrontare dagli organi di
controllo, e così questi milioni di lettere furono ignorati.

Facebook perse! È quasi come se la gente capace di combattere le battaglie
politiche non se la senta di lavorare per Facebook e le uniche risorse umane
che l’azienda riesce ad attirare sono i coglioni opportunisti che nessuno
prende seriamente e che tutti detestano.

Strana, questa cosa.


Nota: Per chi giustamente obietta che è contraddittorio che io ospiti un articolo così critico nei confronti di Facebook mentre ospito i pulsanti di condivisione di Facebook, vorrei chiarire che si trovano nell’interfaccia di Disqus, e che l’unico modo per eliminarli è pagare 105 dollari al mese a Disqus per avere l’account Pro.

Testo originale inglese pubblicato sotto licenza
CC-BY-4.0. Questa traduzione è pubblicata
con la medesima licenza e vi arriva gratuitamente e senza pubblicità
grazie alle donazioni dei lettori. Se vi è piaciuta, potete incoraggiarmi
a pubblicarne ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

WhatsApp introduce le foto che si “cancellano” da sole

WhatsApp introduce le foto che si “cancellano” da sole

WhatsApp sta attivando una funzione che a suo dire permette agli utenti di condividere foto e video che si cancellano automaticamente dopo che sono state viste una sola volta. 

Chi le riceve verrà avvisato da un’apposita icona che si tratta di contenuti temporanei, simili ai messaggi temporanei che già esistono da qualche mese in WhatsApp, come in altre app di messaggistica. 

Queste foto e questi video non potranno essere inoltrati usando WhatsApp, non verranno salvati nella galleria di immagini e verranno eliminati automaticamente dopo 14 giorni se non sono stati visti.

Interessante, ma attenzione a non interpretare questa nuova funzione come una giustificazione per pensare di potere condividere disinvoltamente foto intime o personali contando sul fatto che una volta viste spariranno per sempre: come per tutte le foto “autocancellanti”, esistono modi banalissimi (dallo screenshot in su) per rendere quelle immagini assolutamente permanenti.

Ben venga, quindi, l’uso di questa funzione per eliminare automaticamente le foto che scattiamo per usi temporanei, come per esempio quelle fatte per mostrare a qualcuno un prodotto o un vestito visto in un negozio, ma niente di più. La funzione è utile per non occupare spazio inutilmente sul proprio smartphone riempiendolo di foto e video che non servono, ma prima di usare questo servizio di “cancellazione” automatica, chiedetevi che cosa succederebbe se la foto “temporanea” diventasse permanente e circolasse.

Dataland: ecco come fa un grande magazzino a sapere che tua figlia è incinta. E a saperlo prima di te

Dataland: ecco come fa un grande magazzino a sapere che tua figlia è incinta. E a saperlo prima di te

Ultimo aggiornamento: 2021/07/04 17:30.

Il 21 novembre (mercoledì) la Radiotelevisione Svizzera di lingua italiana ha trasmesso Dataland, una diretta speciale nazionale dedicata al fenomeno dei big data e dell’intelligenza artificiale.

Ho avuto il piacere di parteciparvi insieme a Giovanni Buttarelli (garante europeo per la protezione dei dati), Christa Rigozzi (miss Svizzera 2006), Luca Maria Gambardella (direttore dell’Istituto Dalle Molle di Lugano), Jean Christophe Gostanian (direttore Kindercity e titolare di Avatarion, che ha creato il robot Pepper presente in studio), Francesca Rigotti (filosofa), Olivio Lama (portavoce di Santé Suisse), Dario Bellicoso (ricercatore dell’ETH di Zurigo) con il robot quadrupede Anymal, e tanti altri ospiti in studio e in collegamento.

Potete rivedere la serata qui sotto; non perdetevi anche le abbondanti informazioni di contorno.

I documentari inclusi nella serata hanno esplorato le grandi questioni di privacy e di democrazia che ruotano intorno alla raccolta massiccia di dati personali effettuata da aziende e governi. L’esempio cinese, con il suo “punteggio sociale”, è particolarmente inquietante e sembra preso di peso da una puntata di Black Mirror. E le demo dei robot, fatte in diretta col rischio che fallissero, sono state notevoli. Per non parlare dei due megaschermi mossi con precisione dai bracci robotici giganti in studio.

Molti utenti non sono ancora consapevoli di quanto sia massiccia e profonda questa raccolta e di quali informazioni possano essere dedotte da dati apparentemente innocui. Uno degli esempi classici arriva da un articolo del New York Times del 2012, che racconta il data mining fatto dalla catena di grandi magazzini statunitense Target sugli acquisti fatti con le carte di credito, i buoni sconto, le mail e le visite al proprio sito:

Un uomo entrò in una filiale di Target nei dintorni di Minneapolis e chiese insistentemente di parlare con un responsabile. Brandiva dei buoni inviati alla figlia, ed era arrabbiato […] “Mia figlia ha ricevuto questo nella posta!” disse. “Va ancora alle superiori, e le mandate buoni sconto per vestitini per neonati e culle? State cercando di incoraggiarla a restare incinta?”

Il responsabile non aveva idea di cosa stesse dicendo l’uomo. Guardò la pubblicità postale: era in effetti indirizzata alla figlia dell’uomo e conteneva pubblicità di indumenti premaman, mobili per camerette per neonati e foto di bimbi sorridenti. Il responsabile si scusò e poi richiamò qualche giorno dopo per scusarsi ancora.

Ma al telefono l’uomo era piuttosto imbarazzato. “Ho parlato con mia figlia” disse “E sono venuto a sapere che in casa sono successe cose di cui non ero ben consapevole. Mia figlia aspetta un figlio che nascerà ad agosto. Le devo le mie scuse.”


Come faceva Target a sapere della gravidanza? Semplice: i suoi analisti si erano accorti che c’erano una trentina di prodotti che, se analizzati insieme, permettevano di assegnare a ciascun cliente un punteggio di previsione di gravidanza: prodotti come integratori alimentari a base di calcio, magnesio e zinco o saponi non profumati.

Non solo: quest’analisi riusciva anche a prevedere la data approssimativa del parto, per cui Target poteva inviare pubblicità e buoni sconto su misura adatti alla specifica fase della gravidanza. Questa profilazione si rivelò così potente e inquietante per i clienti che fu necessario annacquarla inserendo nei buoni anche offerte di prodotti che non c’entravano nulla, in modo da non far spiccare troppo le offerte premaman.

Questo è il potere e il valore dei dati. 

Segnalo anche la forte presa di posizione del Garante europeo per la protezionei dei dati, Giovanni Buttarelli, che senza mezzi termini ha definito i social network come una forma di “schiavitù digitale”: a 17:40 circa, dice che “siamo tornati a un’epoca di schiavitù digitale… la schiavitù era la privazione della libertà ed era sfruttamento economico senza limite. Cos‘altro c‘è di diverso nel modello predominante di business in questo momento?”

Dati di avvocati italiani reperibili su Google. Avvisati, non fanno nulla

Dati di avvocati italiani reperibili su Google. Avvisati, non fanno nulla

Ultimo aggiornamento: 2021/06/15 17:40.

A gennaio scorso ho trovato un sito statale italiano che mette a disposizione
di chiunque i CV di avvocati, autorizzazioni di contratti, fatture con nomi,
IBAN, cognomi e importi, scansioni di documenti d’identità. Tutto facilmente
reperibile con una semplice ricerca in Google.

Ho avvisato il sito via mail il 28 gennaio:

Buongiorno,

sono un giornalista informatico. Da segnalazione
confidenziale mi
risulta che sul vostro sito siano disponibili a
chiunque, con semplice
ricerca in Google, documenti contenenti
informazioni confidenziali o
sensibili, comprese immagini di carte
d’identità.

Esempio: [omissis]

Allego immagine
opportunamente anonimizzata.

Segnalo questa situazione affinché
possiate rimediare.

Cordiali saluti

Paolo
Attivissimo

Siamo al 2 aprile: non ho ricevuto nessun riscontro e i dati sono tuttora a
disposizione di chiunque.

Trovo davvero vergognoso che nel 2021 un ente di stato non solo non sia capace
di tutelare digitalmente i suoi utenti ma non abbia nemmeno la cortesia di
rispondere a chi segnala educatamente il problema in privato.

Sottolineo che tutti questi dati, sotto forma di documenti PDF, sono
reperibili semplicemente con una ricerca banale in Google. Non ci vuole
nessuna password o conoscenza informatica sofisticata. È deprimente.

Stasera ho mandato una
segnalazione dettagliata al
CSIRT (Computer Security Incident Response Team) della Presidenza del
Consiglio dei Ministri.

Poi la gente mi chiede perché segnalo pubblicamente questi casi invece di
limitarmi a contattare in privato gli interessati. Semplice: gli interessati
non sono interessati. Si muovono solo se vengono denunciati pubblicamente per
la loro inettitudine. E a volte neanche così.

 —

2021/04/07 8:30. I dati sono ancora perfettamente accessibili. Un
esempio (immagine parziale per proteggere i malcapitati):

2021/04/11 15:00. I dati sono ancora accessibili come prima.

2021/04/22 13:25. Nessun cambiamento.

2021/05/04 10:00. Niente da fare. I mesi passano e i documenti
personali restano lì, a disposizione di tutti. Ho avvisato, ho aspettato.
Inutile. A questo punto, la gente i cui documenti vengono messi a spasso ha il
diritto di tutelarsi. Il sito è l’Avvocatura dello Stato italiano. Chi volesse tutelarsi può contattarmi in privato.

2021/05/05 16:30. Il Garante per la Privacy ha tweetato pubblicamente
che “La questione è già all’attenzione dell’Autorità”.

2021/06/15 17:40. È passato un mese e i dati sono ancora lì, in bella vista. Ho inviato una PEC alla persona alla quale appartiene il documento d’identità, affinché possa prendere le misure del caso.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o
altri metodi.

WhatsApp permette a chiunque di sapere se sei online e con chi stai comunicando

WhatsApp permette a chiunque di sapere se sei online e con chi stai comunicando

Ultimo aggiornamento: 2021/05/06 10:40.

WhatsApp lo dice chiaro e tondo nelle
FAQ:
“non è possibile nascondere o disattivare il proprio stato online o
sta scrivendo
. Inoltre tutti gli utenti di WhatsApp possono vedere le conferme di lettura
e l’ultimo accesso effettuato di chiunque.

Questo vale anche se si imposta la visibilità di
Ultimo accesso a Nessuno (in
Impostazioni – Account – Privacy).

Vale anche se si imposta lo Stato come visibile a nessun contatto, andando in
Impostazioni – Account – Privacy – Stato, perché quest’impostazione in realtà regola la visibilità dello Stato (un’immagine temporanea, simile alle Storie di Instagram o Snapchat), che è una cosa completamente diversa dallo stato online (che indica a tutti se siete online su WhatsApp) ma stupidamente ha un nome praticamente uguale.

In altre parole, queste impostazioni sono totalmente ingannevoli.

Siccome quindi non è possibile nascondere il proprio stato online, esistono siti che
consentono di verificare se un utente è online sapendone soltanto il numero di
telefonino e permettono persino di confrontare lo stato di due utenti per
dedurre se stanno comunicando tra loro.

Lo ha
segnalato
Lorenzo Franceschi-Bicchierai su Vice.com, citando l’esistenza di varie app
(che non nomina e che non mi sembra opportuno nominare qui) che si vantano
pubblicamente di poter sapere con precisione quando qualcuno si è collegato a
WhatsApp, con che probabilità due utenti hanno chattato nel corso della
giornata, quando un utente è andato a dormire, quando si è svegliato e con
quanti contatti hanno chattato. Si può anche sapere quanto tempo un utente ha
trascorso online per ciascuna sessione di chat e si possono ricevere notifiche
per essere avvisati quando quell’utente torna online.

In termini tecnici questo è cyberstalking, ed è una funzione integrata
in WhatsApp. Non è un difetto o un bug: WhatsApp è proprio progettato
così.

Ho provato uno di questi servizi su uno dei miei numeri, sul quale ho attivato
WhatsApp, ed è decisamente impressionante. Ha rilevato correttamente i miei
orari di attività in WhatsApp.

Ho poi creato una rubrica di numeri da monitorare e il servizio mi ha offerto
informazioni non solo sulle ultime 24 ore ma anche su date passate. Ha
identificato correttamente gli orari nei quali ho scambiato messaggi su
WhatsApp:

È andata un po’ meno bene con il tracciamento delle chat: il sito non ha
registrato il fatto che avevo chattato su WhatsApp con un altro dei miei numeri.
In effetti il sito parla di probabilità di chat, per cui non garantisce
nulla, ma il problema di questi errori è che l’utente che usa siti come questi
per fare cyberstalking rischia di prendere dei granchi e accusare per
esempio un partner di chattare con qualcuno quando non è vero oppure viceversa.
In ogni caso il confronto delle attività online è notevole:

Se per caso pensavate che le promesse di crittografia end-to-end di
un’azienda che dipende dai dati personali degli utenti per guadagnare
potessero essere una garanzia di riservatezza, forse vi conviene pensare di
nuovo.

Rispondo qui a una domanda ricorrente: e Telegram? Nelle impostazioni (tre
linee orizzontali/ingranaggio – Impostazioni) c’è la voce
Privacy e sicurezza – Ultimo accesso e in linea, che permette di
scegliere di non far vedere a nessuno il proprio stato. Su alcuni dispositivi
bisogna confermare la scelta toccando il segno di spunta e poi OK.
Questo farà vedere a tutti solo un orario approssimativo di ultimo accesso
(una cosa del tipo “di recente, entro una settimana, entro un mese”,
dicono le info interne dell’app Telegram).

La sottile vendetta di un informatico: Cellebrite attacca Signal, il creatore di Signal rende tossico Cellebrite

La sottile vendetta di un informatico: Cellebrite attacca Signal, il creatore di Signal rende tossico Cellebrite

Nota: so che il link di questo articolo parla di poste svizzere. È un pasticcio combinato da Blogger. Lascio così per non creare ulteriore confusione.

Cellebrite è un’azienda
israeliana che produce un programma di digital forensics, uno di quei
software usati dalle forze di polizia di molti paesi per entrare nei
telefonini degli indagati superandone le protezioni. Inevitabilmente è un
programma che si presta ad abusi, perché nei regimi autoritari viene usato
anche per violare i diritti dei dissidenti, degli attivisti e dei giornalisti
o per perseguitare gruppi di persone che non piacciono al governo di turno.

Qualche tempo fa Cellebrite si è vantata di aver aggiunto al proprio software
la capacità di acquisire dati da Signal. La cosa ha spaventato molti utenti,
che usano legittimamente Signal (prodotto open source ed estremamente
rispettoso e protettivo della privacy) al posto di WhatsApp o Telegram.

Moxie Marlinspike, uno dei creatori e gestori di Signal (insieme a Stuart
Anderson), non l’ha presa bene e ha scritto un
articolo in
cui non solo fa a pezzi e ridimensiona le vanterie di Cellebrite, ma inserisce
una trappola micidiale per l’azienda. Mai stuzzicare un informatico,
specialmente uno che ci tiene molto alla difesa dei diritti umani. Se usate
Signal, vi conviene leggere bene cosa ha scritto.

La prima cosa che Marlinspike chiarisce è che Cellebrite può agire soltanto
sui dispositivi che gli inquirenti hanno fisicamente a propria disposizione:
non fa intercettazione da remoto. 

La prima parte del suo software, chiamata UFED, fa un backup dei dati
del dispositivo usando le risorse di backup presenti su di esso (adb backup
per Android e il backup di iTunes per iOS); la seconda,
Physical Analyzer (PA), analizza i file di questo backup per
presentarli in forma esplorabile.

Questo vuol dire che il software di Cellebrite estrae dati che sono
untrusted: ossia sono generati e controllati dalle singole app presenti
sul dispositivo. E questo a sua volta vuol dire che UFED e Physical Analyzer
sono vulnerabili qualora quei dati siano formattati in modi inattesi.
Marlinspike nota, per esempio, che UFED/PA includono una versione delle DLL di
FFmpeg che è ferma al 2012. Cellebrite non ha introdotto nessuno degli
oltre cento aggiornamenti di sicurezza
usciti in questi anni.

Avete già intuito dove sta andando a parare questa osservazione: Marlinspike
nota che è possibile eseguire codice arbitrario sul computer che fa girare il
software di Cellebrite
“semplicemente includendo un file appositamente formattato, ma per il resto
innocuo, in qualunque app presente in un dispositivo che viene poi collegato
a Cellebrite e scansionato.”

Per esempio, basta includere nel dispositivo un file di questo genere per
forzare Cellebrite a modificare non solo il report generato durante la
scansione di quel dispositivo, ma
anche tutti i report precedenti e futuri. Si possono aggiungere o
togliere testi, mail, foto, contatti, file, eccetera,
senza modifiche rilevabili dei timestamp e
senza errori di checksum. In altre parole, qualunque report sarebbe
invalidabile perché non darebbe alcuna garanzia di integrità dei dati
raccolti. 

Un file “tossico” del genere potrebbe trovarsi in qualunque app, e finché
Cellebrite non sistema tutte le vulnerabilità del proprio software l’unica
contromisura praticabile per non trovarsi con un’installazione alterata e
inattendibile è non fare scansioni di dispositivi.

Marlinspike include nel suo articolo un
video che
dimostra cosa è possibile fare con questa tecnica. Questo è il fotogramma
finale:

L’azienda che produce Signal, scrive Marlinspike, è disposta a rivelare
responsabilmente le falle che ha scoperto nel software di Cellebrite se
Cellebrite farà altrettanto per tutte le falle che usa per estrarre i dati
eludendo le protezioni dei dispositivi. Touché.

Fra l’altro, nota Marlinspike, il software di Cellebrite (specificamente
l’installer di Physical Analyzer) contiene due pacchetti firmati digitalmente
da Apple che sembrano essere stati estratti dall’installer per Windows di
iTunes. Probabilmente questa è una violazione di licenza che potrebbe avere
conseguenze legali per Cellebrite e i suoi utenti.

Per finire, Marlinspike annuncia, “come notizia completamente slegata”,
che le future versioni di Signal includeranno dei file in più, che
“non vengono usati mai per nulla in Signal… ma sono belli, e l’estetica
nel software è importante”
.

Pubblicati i dati riservati di 533 milioni di account Facebook: le cose da sapere

Pubblicati i dati riservati di 533 milioni di account Facebook: le cose da sapere

Sono stati disseminati su Internet, e sono facilmente reperibili, i dati
personali di oltre 500 milioni di utenti di Facebook. Questi dati includono il
nome e cognome dell’utente, la sua situazione relazionale, la data di nascita,
l’indirizzo di casa, il luogo di lavoro e il numero di telefono. 

Gli account italiani colpiti sono circa 36 milioni; quelli svizzeri sono circa
1,6 milioni. Un elenco della quantità di account colpiti in ciascun paese è
per esempio
qui.

Il pericolo principale, al momento, è che i numeri di telefono che gli utenti
hanno affidato a Facebook possano essere usati per molestie e per tentativi di
furto d’identità. Chi è vittima di partner o ex partner violenti e molestatori
è particolarmente a rischio.

In generale, chi ha affidato al social network un numero di telefono
confidenziale deve presumere che quel numero non sia più confidenziale e che
chiunque possa associarlo al suo nome. Sono già stati trovati i numeri di
telefono personali di politici e celebrità, compresi Donald Trump, ex
presidente degli Stati Uniti, e Mark Zuckerberg, boss di Facebook.

Al momento c’è un solo sito affidabile che permette di sapere se il proprio
numero è fra quelli resi pubblici:
Haveibeenpwned.com. Potete
provare
a immettere il vostro numero di telefono, con prefisso internazionale ma senza
00 iniziale (il “+” non è necessario e viene ignorato), oppure l’indirizzo di
mail che avete associato al vostro account Facebook. Diffidate di qualunque
altro sito che proponga servizi analoghi. 

Un sito italiano,
Haveibeenfacebooked.com, che
offriva in buona fede questo controllo, ha deciso di sospenderlo a seguito di
un
comunicato stampa
del Garante per la privacy italiano.

Consiglio a tutti di seguire le raccomandazioni di sicurezza pubblicate da
Il Post
e soprattutto di non usare il numero di telefono come metodo di conferma di
accesso (autenticazione a due fattori) e usare invece un’app apposita. E se
appena potete, smettete di usare Facebook, o perlomeno dategli dati
inventati.

Sul versante tecnico, il dump di dati di Facebook è stato offerto
inizialmente su un noto sito di hacking a giugno 2020, come spiega
BleepingComputer.com. I dati risalgono a prima di settembre 2019.

Facebook ha
commentato
la disseminazione dei dati dicendo che sono il risultato di un’operazione di
scraping, non di una violazione dei suoi sistemi, e che oggi questo
scraping non sarebbe più possibile e comunque era vietato dalle regole
di Facebook (questa precisazione ha causato l’ilarità
di molti esperti, visto che pensare che i criminali rispettino le regole è
perlomeno ingenuo).

In ogni caso, è troppo tardi per oltre 500 milioni di utenti, che vedono
ancora una volta dimostrato il fatto che non si possono affidare dati
personali ai social network.

Mikko Hypponen di F-Secure ha
ipotizzato
che lo scraping sia stato effettuato creando una rubrica contenente
tutti i numeri di telefono del mondo e poi chiedendo a Facebook di trovare gli
“amici” presenti nella rubrica. Un
thread Twitter di Ashkan Soltani
riassume molti dettagli tecnici della vicenda, cita molti esempi di persone in
posizioni di responsabilità di cui sono stati resi pubblici i numeri di
telefono e sembra confermare la possibilità di una enumeration massiva
usata per fare scraping. Precisa inoltre che il dump include
anche numeri di telefono che erano stati impostati come “privati” e non
visibili a nessuno in Facebook.

 

Le parole di Internet: googledork grafico, ossia come trovare scansioni di documenti personali online

Le parole di Internet: googledork grafico, ossia come trovare scansioni di documenti personali online

Non è la prima volta che parlo di googledork nelle Parole di Internet: lo avevo fatto nel 2013, spiegando che significa in sostanza usare Google come strumento per scoprire
vulnerabilità in servizi accessibili via Internet oppure per trovare documenti contenenti informazioni sensibili che non dovrebbero essere visibili via Internet ma in realtà lo sono.

Google, infatti, esplora a fondo ogni sito che gli capita a tiro, ma purtroppo molte persone non se ne rendono conto e quindi depositano documenti in una cartella del proprio sito web pensando che se nessuno ne conosce l’indirizzo esatto non li potrà trovare nessuno.

Ma Google quell’indirizzo lo conosce, se la cartella è pubblicamente accessibile, e quindi basta cercare in Google certe parole chiave, come password, specificando di fare la ricerca nei documenti Excel o Word, e salta fuori davvero di tutto, come si è visto su questo blog nei giorni scorsi: la password dell’intranet di un partito politico italiano, le istruzioni europee per richiedere certificati per corrieri fiduciari, una password di un server della Regione Veneto, una password del Touring Club Italiano. Altri esempi sono in arrivo.

Si tratta soltanto di fare ricerche in Google appositamente confezionate, per cui non si interagisce affatto con il sito incauto: si consulta la copia cache presente in Google.

Torno oggi sull’argomento googledork per segnalare una variante resa possibile dall’avvento della possibilità di fare ricerche per immagini nei principali motori di ricerca: il googledork grafico. Si può infatti dare per esempio a Google un’immagine di un modulo o di un documento d’identità e Google restituisce tutte le immagini dello stesso tipo che ha visto in giro in tutto il Web, indicandone la provenienza. 

Il risultato è impressionante e deprimente: decine di siti che custodiscono (si fa per dire) scansioni di documenti personali, istantaneamente disponibili su Google. Mostro qui sotto un assaggio, segnalatomi da una fonte che non posso citare (perché ha pubblicato la versione non anonimizzata) ma che ringrazio:

Sono troppi per contattarli uno per uno e avvisarli del problema, e quindi resteranno così, a disposizione del primo googledorker che passa. Molte di queste immagini sono nei siti di enti pubblici. Ricordiamoci di questa disinvoltura nel custodire i nostri dati personali quando qualcuno ci chiede di identificarci online mandando i nostri documenti ai social network.

Tragedia su TikTok, torna la tentazione di identificare tutti sui social. Resta una pessima idea. Ecco perché

Tragedia su TikTok, torna la tentazione di identificare tutti sui social. Resta una pessima idea. Ecco perché

Ultimo aggiornamento: 2021/01/27 13:10.

Leggo di varie
proposte italiane di
obbligare tutti, o almeno i minori, a identificarsi sui social network,
eventualmente ricorrendo allo
SPID (il sistema pubblico di
identità digitale, che però è solo per maggiorenni). Le proposte sono state fatte in seguito alla morte di una bambina, forse collegata al suo uso di
TikTok (o così pare; non è ancora certo). 

L’idea riemerge periodicamente, ma resta una scemenza inutile e
dannosa. 

È inutile perché non risolve il problema: gli utenti non italiani sarebbero esentati dall’obbligo e continuerebbero impunemente a istigare ad atti pericolosi, a molestare e a bullizzare.

È dannosa perché regala ai social
network le identità certificate di milioni di cittadini, e
perché le vittime di abusi e bullismi non possono proteggersi con l’anonimato
o creandosi un profilo nuovo separato da quello abusato. 

Ed è una scemenza
perché c’è sempre puntualmente qualcuno che la tira fuori ignorando tutte le obiezioni
degli esperti, pensando di saperne più di loro e di essere il primo al mondo ad aver avuto la Grande Idea.

Scusate se non mi ripeto più estesamente: mi è bastato lo scambio con una delle
proponenti
di questa scemenza, Sandra Zampa, sottosegretario alla Salute, che vedete qui
accanto. Se è questo il tono della discussione, me ne tiro fuori subito.

Mi limito a ricordare che la stessa idea geniale era venuta a Luigi Marattin a
novembre 2019
e al senatore Nazario Pagano a
dicembre 2018, quindi neanche tanto tempo fa, e invito a leggere le spiegazioni degli esperti che avevo già raccolto in
quelle due occasioni e che sono già intervenuti (Stefano Zanero) anche in questa.

Spiegone 1 (dicembre 2018)

Spiegone 2 (novembre 2019)

Raccomandazione per politici: prima di aprir bocca sull’argomento, si prega di leggere e capire i suddetti spiegoni. Dopo averli letti, si prega di rileggerli e chiudere la bocca. Grazie.

La scemenza, fra l’altro, stavolta si arricchisce di una novità: Sandra Zampa
propone
un limite di età di legge per il possesso di uno smartphone. Gli scenari di
un’eventuale applicazione pratica (e, si presume, retroattiva) di una legge del genere sono a dir poco demenziali.
Come lo facciamo valere? Facciamo le ronde di polizia per sequestrare gli
iPhone? Gli smartphone attualmente in circolazione fra i minori devono essere
restituiti? E a chi?

E soprattutto, esattamente in che modo questi rimedi di facciata, lanciati senza pensare alle conseguenze, servirebbero a evitare altre tragedie?

 

Aggiornamento (2021/01/27 13:10): Lo SPID è usabile per legge solo da maggiorenni, come già segnalato, ma non comporta necessariamente la cessione dell’identità ai social network. È infatti tecnicamente possibile usare lo SPID solo per attestare la propria età o un proprio stato (ho/non ho la patente, ho/non ho diritto a un medicinale), senza dare nome e cognome. Una verifica in base all’età e in forma anonima, insomma, sarebbe possibile. Tuttavia secondo Stefano Quintarelli la legge italiana fissa a 14 anni l’età minima per poter prestare validamente consenso ai servizi della società dell’informazione e quindi al trattamento dei propri dati personali (Privacy.it).

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle
donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere
ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o
altri metodi.