Vai al contenuto

sicurezza informatica

Acquisti di Natale online, consigli di sicurezza

La società di sicurezza informatica Intego ha pubblicato una pratica lista di raccomandazioni per rendere più sicuri gli acquisti via Internet, specialmente in questo periodo natalizio. Cito qui i principali consigli proposti.

Dati della carta di credito o pagamenti con PayPal? Soltanto su pagine con il lucchetto chiuso. Al momento di immettere i dati della vostra carta di credito o quelli del vostro conto PayPal, controllate che nella casella dell’indirizzo del vostro browser ci sia un lucchetto chiuso accanto al nome del sito dal quale state facendo acquisti o che state usando per effettuare il pagamento: se c’è, vuol dire che i dati vengono trasmessi in forma cifrata e quindi non sono facilmente intercettabili. Se non c’è il lucchetto chiuso, non immettete i vostri dati: è una truffa oppure il gestore del sito non sta pensando alla vostra sicurezza.

Password robuste e uniche per i siti d’acquisto. Spesso i siti dai quali fate acquisti vi chiedono di creare un account presso di loro al momento del primo acquisto. Proteggete questo account con una password che non sia facilmente indovinabile e che non sia la stessa che usate altrove, altrimenti se qualcuno scopre quella password (per esempio attaccando il sito di acquisti) avrà accesso non solo al vostro account presso il negozio online ma anche presso tutti gli altri siti nei quali avete riusato la stessa password.

Niente acquisti sui Wi-Fi pubblici. Su queste reti è troppo facile intercettare dati sensibili che transitano via radio; lo può fare chiunque sia sulla stessa rete Wi-Fi. Se dovete usare un Wi-Fi pubblico, proteggetevi adoperando una VPN per cifrare tutto.

Comperate solo da siti di indubbia reputazione. Quel sito mai visto prima potrà anche avere delle offerte irresistibili, ma chiedetevi sempre come fa un sito sconosciuto a spuntare prezzi così bassi o ad avere i prodotti introvabili altrove. Ci sono tanti siti piccoli e onesti, ma come regola generale è meglio acquistare da chi ha una buona nomea. Spesso i siti piccoli vendono anche tramite catene come Amazon o eBay, che offrono protezioni migliori per gli acquirenti, per cui passate da questi nomi ben noti.

Controllate sempre i prezzi usando anche un altro browser. Ci sono negozi online che offrono prezzi migliori ai clienti nuovi rispetto a quelli proposti a chi ha già un account presso di loro: adoperate quindi un altro browser, diverso da quello che avete usato per entrare nel vostro account presso il negozio, e confrontate i prezzi offerti a chi non ha fatto login al proprio account e quelli praticati a chi visita il sito entrando tramite il proprio account.

Sherlock Holmes: smartphone, PIN e pollo fritto

Sherlock Holmes: smartphone, PIN e pollo fritto

Questo articolo vi arriva grazie alla gentile donazione di “lori10” ed è stato aggiornato dopo la pubblicazione iniziale. La situazione descritta è di fantasia, ma è basata su fatti tecnici reali ed un episodio realmente accaduto.

Il taxi attutiva i rumori di Londra addobbata per Natale e metteva in risalto le parole di Sherlock Holmes, scandite seccamente alla consueta velocità frenetica che adottava quando, a malincuore, doveva sprecare il proprio tempo prezioso per spiegare l’ovvio.

“…e in questo modo ho risolto il caso.”

L’ispettore Lestrade lo stava guardando sbigottito, con la biro ferma a mezz’aria, librata in un improbabile volo sopra il taccuino sgualcito, mossa solo dagli scossoni della strada. Non che questa fosse un’espressione rara sul volto di Lestrade in presenza di Holmes, come ben sapeva Watson, che dallo strapuntino del vecchio taxi stava assistendo alla conversazione in silenzio ma con malcelato divertimento.

“Sì, credo di aver capito quasi tutto… Ma Holmes, come ha fatto a scoprire il PIN del cellulare dell’assassino del Circolo Coloniale degli Scacchisti e trovarvi le prove del delitto che hanno incastrato il dottor Chaturanga? Le combinazioni possibili sono tantissime, e dopo pochi tentativi scatta il blocco!” disse Lestrade, cercando di ostentare competenza nelle nuove tecnologie degli smartphone.

“Pollo.” rispose laconicamente Holmes guardandolo dritto negli occhi.

Lestrade, già a disagio per l’evidente condiscendenza esibita come consueto da Holmes nei suoi confronti, non riuscì più a contenersi. “Adesso basta, Holmes! Non sono qui per farmi insultare! Sono qui per avere una spiegazione da mettere nel rapporto ai miei superiori!”.

“Non le sto dando del pollo, Lestrade. Mi guardo bene dall’attribuirle la stessa intelligenza di quell’utilissimo animale” spiegò Holmes. Lestrade fece una smorfia di sollievo e d’apprezzamento, senza rendersi conto del senso effettivo delle parole del suo interlocutore, che proseguì. “Sto dicendo che ho usato del pollo. Per la precisione, pollo fritto e patatine.”

“Ah!” esclamò trionfante Lestrade. “Ha estratto dal pollo e dalle patatine una sostanza chimica che le ha permesso di… uh…”. Si fermò, rendendosi conto troppo tardi che non sapeva come completare la frase che aveva iniziato.

Holmes sospirò. “No, Lestrade. Ho semplicemente invitato il sospettato a pranzare con me specificamente in un locale dove servono un ottimo pollo fritto, vicino al Circolo. Mentre eravamo in fila per prendere le pinte di birra, gli ho sfilato lo smartphone dalla tasca.”

“E ha tentato il PIN che la sua mente logica aveva intuito! Geniale!”

“No, semplicemente l’ho pulito accuratamente e poi l’ho rimesso nella tasca del dottor Chaturanga.”

Watson sapeva benissimo che Holmes stava giocando con Lestrade come il gatto con il topo, e tirare in lungo la cosa gli sembrava un po’ crudele anche per gli standard dell’amico. Ma Sherlock era così: o lo accettavi com’era, o lo odiavi.

“Ma allora…” tentò di nuovo confusamente Lestrade.

Holmes continuò la spiegazione. “Al termine del pranzo il sospettato, che ovviamente aveva mangiato con le mani e quindi aveva evitato di toccare il telefonino con le mani unte, se le è lavate. A quel punto Watson gli ha mandato un SMS del tutto banale – veramente banale – e l’uomo ha quindi dovuto digitare il PIN per sbloccare il cellulare e leggere il messaggio. Ho guardato lo schermo spento del telefonino, angolandolo adeguatamente rispetto alla luce, e ho capito subito il PIN del sospettato.”

Di fronte all’espressione sempre più smarrita di Lestrade, finalmente Watson aprì bocca per porre fine a quella sottile tortura. “Anche se il sospettato si era lavato le mani, sui suoi polpastrelli era rimasta comunque una sottile patina di unto, come avviene sempre in questi casi. Non troppo consistente da essere percepita e quindi indurre la persona a pulirsi le mani su un tovagliolo prima di toccare il telefonino, ma sufficiente a lasciare una traccia chiara, specialmente sugli schermi anti-unto di certe marche famose. Proprio per questo Sherlock ha portato il sospettato in quel locale. Sherlock ha semplicemente guardato le ditate lasciate sullo schermo pulito quando Chaturanga ha digitato il PIN. Poi, toccando il tasto Home del telefonino, ha visto a quali cifre corrispondevano le ditate.”

“Esatto, Watson. Questo espediente ha ridotto drasticamente il numero di possibili PIN da diecimila a ventiquattro. Restava solo il problema – se vogliamo chiamarlo tale – di determinare quale delle ventiquattro possibili sequenze delle quattro cifre era quella giusta.”

“Appunto!” obiettò Lestrade. “Poteva essere 2, 4, 1, 8 oppure 4, 1, 2, 8. Oppure 2, 1, 4, 8, magari perché Chaturanga era, che ne so, nato il 2 gennaio del 1948! Come ha fatto a escludere le altre combinazioni?”

“Banale, Lestrade. Banale” rispose Holmes. “Il delitto è avvenuto in un circolo di scacchi, e c’è una famosissima leggenda secondo la quale l’inventore di questo gioco, convocato dal re che gli chiedeva di scegliere la ricompensa per l’invenzione che aveva così incantato il sovrano, umilmente domandò di essere pagato con un solo chicco di grano per la prima casella della scacchiera, due per la seconda, quattro per la terza, e così via raddoppiando fino alla sessantaquattresima. Il re diede ordine di pagare subito questa ricompensa così modesta, ma i contabili di corte, imbarazzatissimi, dovettero fargli notare che per pagare l’inventore non sarebbero bastati tutti i raccolti del regno.”

“Due alla sessantaquattresima è un numero enorme” interruppe Watson, aspettando che Holmes lo correggesse precisando che in realtà il numero esatto era 264-1. Ma l’investigatore preferì glissare sul dettaglio e concludere il proprio racconto. “Il re, pensando che l’inventore avesse voluto prendersi gioco di lui, lo fece decapitare.”

Lestrade era completamente smarrito.

“I primi numeri citati in quella leggenda, nota a tutti gli scacchisti, sono… 1, 2, 4, 8. E quello era, logicamente, il PIN perfetto per uno scacchista” concluse Holmes. “Conoscere la personalità dei sospettati è fondamentale. Tutti attingono ai propri interessi e alle proprie passioni quando si tratta di creare una cosa personale come una password. Io sfrutto sempre questa debolezza.”

Il taxi arrivò in Baker Street poco dopo, e Holmes e Watson scesero, lasciando Lestrade a proseguire la corsa verso New Scotland Yard. Watson alzò il bavero del cappotto contro il freddo insolitamente secco, imitando inconsciamente il gesto analogo di Holmes. “Devi sempre trattarlo come un imbecille?” gli chiese.

“Ma è un imbecille.”

“E non hai nessuna intenzione di dirgli come sei arrivato a dedurre che era proprio quell’uomo il probabile assassino, vero?”

“Non probabile, Watson, suvvia. Un cognome del genere, in un delitto commesso in un circolo scacchistico, non poteva che essere falso: la firma dell’artista, per così dire. Scelte guidate da interessi e passioni, come dicevo. Birra.” propose Holmes, segnalando che l’argomento lo aveva tediato abbastanza ed era chiuso.

Entrando da Speedy’s, Watson si fece un appunto mentale di non mangiare mai più il pollo con le mani. E di consultare Google alla prima occasione.

La storia reale

Il raccontino che avete letto qui sopra, scritto come divertissement in un momento di insonnia, è nato da un episodio reale. Qualche giorno fa stavo facendo un po’ di test con un iPhone che uso per le mie prove sul campo e al termine dei test ho pulito accuratamente il suo schermo. Poi sono andato a mangiare, specificamente pollo e patatine.

Naturalmente mi sono lavato bene le mani sia prima sia dopo il pasto, ed è quindi stato sorprendente scoprire che quando ho digitato il PIN di sblocco sull’iPhone, convinto di avere le mani pulite, ho invece lasciato delle ditate spettacolari che si stagliavano nette sullo schermo altrimenti pulitissimo, come si vede nella foto che ho postato qui sopra. Così mi è venuto in mente che invitare qualcuno a mangiare pollo e patatine con le mani sarebbe una tecnica perfetta per rivelare le cifre del suo PIN, usando poi un po’ di conoscenza del soggetto per dedurre quale sequenza sarebbe stata la più probabile; e chi meglio di Sherlock Holmes avrebbe saputo sfruttare questa tecnica?

Sospetto che la stessa cosa avvenga per gli schermi degli smartphone Android e Windows, ma non ho verificato. Lo farò in occasione del prossimo pollo.

Pwn2own, cadono tutti gli smartphone tranne Windows Phone

Alla conferenza PacSec di Tokyo si sta svolgendo la gara Mobile Pwn2Own, la cui regola fondamentale è che se riesci a prendere il controllo da remoto di uno smartphone te lo porti a casa insieme a un premio consistente in denaro; in cambio, però, devi tenere riservata la tecnica usata e rivelarla soltanto agli organizzatori dell’evento, che la condivideranno con i produttori del telefonino affinché correggano la falla sfruttata per violarne la sicurezza.

È andata malissimo già il primo giorno per iPhone 5S, Samsung Galaxy S5, Nexus 5 di LG, e Fire Phone di Amazon: tutti hanno ceduto sotto gli attacchi degli esperti. Particolarmente presa di mira è stata la tecnologia NFC, che consente lo scambio di dati via radio quando due dispositivi sono molto vicini tra loro.

L’unico a resistere, almeno parzialmente, è stato il Windows Phone: l’aggressore Nico Joly (l’unico che ci ha provato) è riuscito ad estrarre dal telefonino il database dei cookie di un Lumia 1520, ma il resto del sistema ha retto e Joly non è riuscito a prenderne il controllo completo. 

Insecam, il sito delle webcam insicure

Insecam, il sito delle webcam insicure

Si sta facendo un gran parlare di Insecam, un sito che visualizza e geolocalizza le telecamere IP di sorveglianza i cui proprietari non hanno cambiato la password predefinita, in barba a tutte le buone norme di sicurezza, col risultato che chiunque può vederne le immagini.

Le telecamere proposte da Insecam sono decine di migliaia, sparse per il mondo: in Svizzera ce ne sono in questo momento 188, in Italia 2588. Non sono state “hackerate” in alcun modo, perché per trovarle e vederne il contenuto è sufficiente una ricerca in Google, come spiegato nelle FAQ di Insecam. Per togliere la propria webcam dall’elenco è sufficiente fare quello che raccomanda il manuale della telecamera, ossia smettere di usare la password predefinita, che è nota a chiunque sia interessato all’argomento.

Lo scopo di Insecam è sensibilizzare gli utenti al concetto che il manuale non è un inutile spreco di tempo e le norme di sicurezza non sono una scocciatura per pedanti: servono per evitare figuracce come quelle proposte da queste webcam. Purtroppo molti pensano ancora di potersi perdere nel mare di Internet e non sanno che esistono servizi di ricerca e localizzazione come Shodan. Foscam, una delle marche di webcam citate da Insecam, ora obbliga gli utenti a cambiare password durante l’installazione.

C’è chi ha criticato Insecam perché guadagna sul voyeurismo degli internauti, ma va notata una cosa: invece di pubblicare il flusso diretto delle singole webcam, che permetterebbe di risalire al loro indirizzo IP e quindi di identificare con precisione dove sono installate, Insecam pubblica una copia (l’HTML dell’immagine è del tipo src=”http://img6.insecam.com:8080/96388/0/nocache/”), sostenendo quindi dei costi di gestione più alti.

Pertanto la geolocalizzazione (per esempio “Lugano”, anche qui) presentata da Insecam è in realtà solo approssimativa e non verificata.

Funziona questa sensibilizzazione forzata? Pare di sì. Rispetto a ieri, per esempio, le webcam italiane visibili sono trecento in meno; quelle svizzere sono una quarantina in meno.

A Brescia l'11 novembre si parla di professionisti della salute e social media

A Brescia l’11 novembre si parla di professionisti della salute e social media

Sono stato invitato a parlare sul tema Privacy e sicurezza dei social network: miti da smontare, fatti da sapere a Brescia l’11 novembre prossimo, nell’ambito di un convegno organizzato dal Collegio Ipasvi. L’incontro inizierà alle 14 ed è orientato principalmente ai professionisti della salute, ma è aperto a tutti.

Insieme a me ci sarà Francesco Falli, presidente del Collegio IPASVI di La Spezia, che parlerà sul tema Facebook: mi si sono allargati i contatti! (Facebook e i professionisti della salute: quali regole?).


Trovate tutti i dettagli qui su Ipasvi.it.

Svizzera: dava ordini via mail su conto bancario milionario, la banca li accettava. Indovinate cos’è successo

Svizzera: dava ordini via mail su conto bancario milionario, la banca li accettava. Indovinate cos’è successo

Nel 2014 esistono ancora clienti milionari di banche svizzere che mandano ordini di bonifico via mail. Già questo è un bell’esempio di ottusità informatica: ma la cosa incomprensibile è che esistono ancora banche che accettano ordini del genere, buttando allegramente nel cesso decenni di raccomandazioni sulla sicurezza informatica di base e badilate di soldi spesi nello sviluppo di applicazioni e siti web di e-banking cifrati e sicuri e nella formazione del personale sulla sicurezza dei dati dei clienti.

Oggi è arrivata dalla RSI la notizia che un cliente di una banca luganese non meglio precisata si è trovato con il conto bancario alleggerito di un milione di franchi. Come è stato possibile? Intrusi informatici superscaltri che hanno violato i computer della banca? Noooo. Semplicemente, il cliente “effettuava i pagamenti per e-mail”.

E così, come era ovvio che dovesse accadere, un aggressore dall’estero (genericamente dall’Asia, secondo l’articolo) ha preso il controllo della sua casella di mail e l’ha usata per mandare alla banca ordini di bonifico verso “un conto estero aperto per l’occasione” e poi “ha prelevato i soldi ed è scomparso prima che si scoprisse l’ammanco”.

Non si sanno ancora i dettagli della vicenda, che ora è sotto indagine da parte della magistratura, ma per quel poco che conosco dell’ambiente bancario ticinese non sarei sorpreso se la banca avesse avvisato il cliente del rischio colossale di usare a) una mail in chiaro b) per dare ordini di bonifico con importi milionari c) verso conti non preventivamente concordati, e il cliente avesse insistito per mantenere un metodo di dare disposizioni che non lo facesse tribolare con codici, password e altre menate da informatici. Tanto, cosa poteva mai andare storto?

Della notizia si parla anche su Tio.ch, Ticinonews.ch e Cdt.ch, senza dettagli ulteriori. 

Wikileaks pubblica FinFisher, il software-spia usato dai governi contro i dissidenti e i giornalisti; coinvolta anche VUPEN (antivirus)

Wikileaks pubblica FinFisher, il software-spia usato dai governi contro i dissidenti e i giornalisti; coinvolta anche VUPEN (antivirus)

Oggi Wikileaks ha messo online copie di FinFisher, il software d’intercettazione venduto dall’omonima azienda tedesca ai governi, che spesso lo usano per spiare giornalisti e dissidenti. Il software è in grado di intercettare le comunicazioni e i dati di sistemi OS X, Windows, Linux, Android, iOS, BlackBerry, Symbian e Windows Mobile. Finfisher, normalmente accessibile a caro prezzo soltanto alle agenzie governative, è ora scaricabile qui allo scopo di consentire a tutti (in particolare ai creatori onesti di antivirus) di analizzarlo e realizzare difese.

Finfisher ha fruttato ai suoi creatori circa 50 milioni di euro. Questi sono alcuni dei suoi clienti: in Europa spicca l’Italia insieme al Belgio e ai Paesi Bassi. Insieme al software sono disponibili anche i log dell’assistenza clienti di FinFisher, che contengono dati molto interessanti, compresi gli indirizzi IP dei “bersagli” e degli “agenti”.

Un aspetto particolarmente interessante per l’utente comune è che la società di sicurezza francese VUPEN Security ha collaborato con FinFisher fornendo vulnerabilità (exploit) che non rende pubbliche. Non è la prima volta che VUPEN è stata denunciata giornalisticamente per questo comportamento: anzi, VUPEN se ne vanta pure (Forbes, 2012; grazie a @flameeyes per la segnalazione).

Giusto per capirci: una società di sicurezza scopre una falla in un sistema operativo e invece di pubblicarla responsabilmente per consentirne la correzione, la tiene per sé e la rivela soltanto a chi realizza prodotti di sorveglianza. Questo significa che la falla nota non viene corretta neppure nei sistemi degli utenti onesti e innocenti.

Qui non si tratta più di argomentare se sia giusto o meno che un governo che voglia definirsi democratico abbia strumenti di sorveglianza così potenti e pervasivi, perché c’è sempre chi invoca la scusa (discutibile) che questi strumenti sono necessari per la lotta al terrorismo e al crimine organizzato. Qui siamo di fronte all’equivalente di avere un meccanico che scopre un difetto letale in una marca di automobili e lo rivende alla polizia, invece di segnalarlo al fabbricante, lasciando che continui a esserci (e sia scopribile da malintenzionati) in tutte le auto di quella marca. Compresa la vostra.

Apple, come attivare la verifica in due passaggi

Apple, come attivare la verifica in due passaggi

La pubblicazione delle foto intime private di celebrità, sottratte in gran parte dai loro iPhone, può essere un buon incentivo a migliorare le difese degli account Apple anche per chi non è una celebrità.

Apple offre sui suoi account la verifica in due passaggi (o, in gergo, l’autenticazione a due fattori), che rende più difficile questo genere di violazione perché obbliga l’aggressore ad avere non solo la password della vittima ma anche un accesso fisico ai suoi dispositivi (oppure a usare forme d’attacco molto più sofisticate e impegnative). Questo scoraggia i tentativi di furto fatti a distanza, via Internet, che sono la minaccia più diffusa.

Per attivare questa verifica in due passaggi occorre muoversi prontamente, perché c’è un periodo di attesa di tre giorni, per motivi di sicurezza, fra quando fate la richiesta e quando potete effettuare l’attivazione vera e propria.

Il primo passo è andare ad Appleid.apple.com (preferibilmente su un computer, non un tablet o smartphone) e cliccare su Gestisci il tuo ID Apple. Vi viene chiesta la vostra password: immettetela.

Scegliete la sezione Password e sicurezza. Apple vi chiede di rispondere alle domande di sicurezza: dato che si tratta di domande sulla vostra identità che qualcuno potrebbe conoscere o farvi rivelare con l’astuzia (sono domande del tipo “Come si chiamava il tuo migliore amico a scuola?” o “Dove si sono conosciuti i tuoi genitori?”), date delle risposte fasulle, non reali, e segnatevele da qualche parte.

Dopo che avete cliccato su Continua, compare la sezione Verifica in due passaggi. Cliccate su Inizia, leggete le spiegazioni e poi cliccate su Continua due volte e poi su Inizia. A questo punto vedete un avviso che vi dice che c’è, come accennato, un periodo di attesa di tre giorni prima di poter attivare la verifica in due passaggi.

Allo scadere dei tre giorni ricevete una mail di promemoria da Apple. A questo punto tornate ad Appleid.apple.com e ripetete la procedura: stavolta vi viene chiesto di aggiungere un numero di telefonino al quale ricevere gli SMS di verifica. Può essere il vostro o quello di una persona di cui vi fidate. Il massimo della sicurezza (o della paranoia) è usare un numero di telefonino apposito segreto, diverso da quello che usate pubblicamente.

Apple invia immediatamente a quel numero un SMS contenente un codice a quattro cifre: immettetelo nella schermata di AppleID. Volendo, potete usare anche un altro dispositivo associato allo stesso account, per esempio un iPad.

Cliccando su Continua vi viene affidata una chiave di recupero, ossia un codice d’emergenza. Questa chiave è fondamentale e va stampata o conservata digitalmente in un luogo sicuro (non sul computer, sul tablet o sul telefonino) e va reimmessa subito per confermare che l’avete conservata correttamente.

Nella schermata successiva, confermate le condizioni del servizio e cliccate Attiva la verifica in due passaggi.

Da questo momento in poi, per gestire il vostro account Apple dovrete avere a disposizione almeno due dei seguenti tre fattori: la vostra password, uno dei dispositivi che avete associato a questo account e la chiave di recupero. Questo renderà la vita molto più difficile agli aspiranti ladri di dati. Cliccate su Fine e il peggio è passato.

Una volta fatta quest’attivazione, le scocciature aggiuntive sono minime: vi verranno chiesti i due fattori (e riceverete un SMS con un codice temporaneo) se tentate di modificare il vostro account (o se qualcuno tenta di farlo al posto vostro) o se effettuate acquisti su iTunes o App Store da un dispositivo non associato: quelli associati, invece, vi chiederanno soltanto la password, come al solito.

Scandagliare tutta Internet? Bastano poche ore

Scandagliare tutta Internet? Bastano poche ore

Da qualche tempo c’è una frenesia commerciale intorno alla cosiddetta Internet delle cose: l’idea di connettere alla Rete non più soltanto computer, tablet e telefonini, ma anche dispositivi di altro genere, come televisori, lavatrici, sensori di fumo, sistemi di sorveglianza e telecontrollo. Spesso, però, questi dispositivi non hanno le dotazioni di sicurezza necessarie contro le intrusioni.

Shodan è un motore di ricerca molto particolare dedicato a questi dispositivi che permette di verificare se i dispositivi (proprio o altrui) sono vulnerabili o perlomeno accessibili. I risultati non sono incoraggianti: non solo ci sono moltissimi dispositivi accessibili e “protetti” (si fa per dire) dalla password predefinita (tipicamente admin:admin), ma con le risorse di Shodan oggi è possibile esplorare tutta Internet in poche ore alla ricerca di questi dispositivi. Diversamente da quanto avveniva in passato, oggi non si può più fare affidamento sulla speranza di non essere trovati.

John Matherly, fondatore di Shodan, il 2 agosto scorso ha scandagliato in modo innocuo (con un semplice ping) tutti gli indirizzi IP di tutta Internet nel giro di cinque ore. Dai dati raccolti ha generato poi la mappa che vedete qui sopra. I punti rossi indicano la maggiore concentrazione di dispositivi connessi. In altre parole, se volete indicare su una mappa dov’è materialmente Internet, quest’immagine è una buona approssimazione.

Gli sciacalli online dei disastri aerei

Sono purtroppo arrivati puntuali, come sempre, i truffatori informatici che si approfittano delle disgrazie di interesse mondiale per truffare: stavolta la notizia riguarda l’abbattimento del volo MH17 della Malaysian Airlines nei cieli dell’Ucraina.

Il Canberra Times e la BBC segnalano che i malfattori hanno creato false pagine Facebook che usano i nomi delle vittime, compresi i bambini. Le pagine false contengono tipicamente un link a un sito che dice di avere informazioni sul disastro aereo ma in realtà scatena un bombardamento di pubblicità per il gioco d’azzardo via Internet, trucchi per fare soldi in fretta, siti pornografici e altro ancora.

Una di queste pagine, in particolare, conteneva un link che annunciava un “video ripreso al momento dello schianto di MH17 in Ucraina” ma portava a un sito porno che chiedeva un numero di telefonino per “verificare” che il visitatore fosse maggiorenne. Chi abbocca regala il proprio numero ai truffatori, che lo useranno probabilmente per intasare la vittima di spam sotto forma di SMS.

Facebook ha rimosso la pagina dopo che le è stata segnalata dalla BBC e chiede agli utenti di segnalare queste pagine truffaldine tramite gli appositi pulsanti presenti sul social network, in modo che Facebook possa venire a conoscenza di queste pagine e cancellarle.

Trend Micro, invece, ha segnalato vari tweet che fanno finta di parlare del volo MH17 ma in realtà contengono link verso spam. Il problema di questi tweet è che molti utenti hanno l’abitudine di retweetare senza verificare, per cui finiscono per promuovere inconsapevolmente questa forma di spam. Twitter, da parte sua, dice che retweetare selvaggiamente può portare alla sospensione permanente dell’account, per cui è meglio stare attenti a quel che si inoltra.