Vai al contenuto
Il Security Checkup di Google

Il Security Checkup di Google

Se avete un account Google da molto tempo, probabilmente avete lasciato in giro impostazioni poco sicure e vecchi dispositivi che non usate più ma sui quali ci sono ancora le vostre credenziali di accesso.

Per aiutarvi a tenere traccia di questi dispositivi e della sicurezza generale del vostro account c’è una pagina apposita di Google, myaccount.google.com/security-checkup, dove potete vedere quali dispositivi sono autorizzati ma inutilizzati e quali app hanno accesso ai vostri dati.

Nel mio caso questo controllo mi ha ricordato che avevo abilitato Tunestotube ad accedere al mio account Youtube e che un paio di tablet abilitati erano ormai distrutti dal tempo e quindi li ho eliminati.

Anche se decidete di non eliminare nulla, questo controllo permette anche di sapere quanto tempo fa è avvenuto l‘accesso a Google di ciascun dispositivo autorizzato e quindi consente di tenere d’occhio eventuali abusi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Dipendente governativo visita 9000 pagine porno e diffonde malware nell’ente

Dipendente governativo visita 9000 pagine porno e diffonde malware nell’ente

La fonte per questa bizzarra storia di nudo informatico estremo è Naked Security, ma è solo un caso: un dipendente dell’ente statunitense US Geological Survey (USGS) è stato licenziato perché aveva infettato la rete dell’ente. Aveva infatti usato il laptop fornitogli dall’ente per visitare circa 9000 pagine di pornografia infette da malware, e poi aveva diffuso il contagio salvando immagini su una chiavetta USB non autorizzata e sul proprio smartphone Android.

C’è un rapporto parzialmente censurato che spiega i dettagli del fattaccio: un’indagine tecnica ha rilevato che il dipendente aveva una lunga casistica di visite a siti pornografici, e che molte delle novemila pagine che aveva visitato erano collegate a siti russi contenenti malware, che aveva infettato il laptop, la chiavetta e anche lo smartphone.

L’ente ha norme precise contro l’uso dei propri dispositivi per “attività illegali o inadatte”, pornografia compresa, e vieta esplicitamente di collegare dispositivi personali, come chiavette e telefonini, a computer o reti fornite dal governo. Ma il dipendente ha ignorato tutte queste raccomandazioni e anche quelle che riceveva ogni anno durante la formazione di sicurezza periodica, al termine della quale firmava un documento nel quale dichiarava di aver capito le regole e che le avrebbe rispettate.

Dopo questo episodio, le restrizioni sono state aumentate ulteriormente presso l’Earth Resources Observation and Science Center dell’USGS, installando un nuovo sistema di rilevamento delle intrusioni informatiche e un firewall migliorato. Ironia finale: la sigla di questo centro scientifico, come avrete forse notato, è EROS Center. Forse il dipendente si è semplicemente confuso.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
“Il tuo account è stato compromesso”: truffa chiede soldi per non diffondere un vostro video intimo. Non cascateci

“Il tuo account è stato compromesso”: truffa chiede soldi per non diffondere un vostro video intimo. Non cascateci

Ultimo aggiornamento: 2018/09/19 10:10.

Mi stanno arrivando moltissime segnalazioni di un messaggio in italiano che annuncia a chi lo riceve che è stato “installato un trojan di accesso remoto” sul suo computer e chiede soldi per non pubblicare le informazioni intime che sarebbero state così trovate. Non è vero; non cascateci, non rispondete e soprattutto NON PAGATE.

Il testo del messaggio dice in sintesi: “Ho scaricato tutte le informazioni riservate dal tuo sistema… i video dove tu masturbi” (sì, forma transitiva, segno che è una traduzione, forse dall’inglese, nel quale il verbo to masturbate è sia transitivo sia riflessivo). “Quando hai cliccato su Play di un video porno, in quel momento il tuo dispositivo ha scaricato il mio trojan. Dopo l’installazione la tua camera frontale ti filma ogni volta che tu masturbi”.

Scatta poi il ricatto: “Se tu vuoi che io cancelli tutti i dati raccolti, devi trasferirmi $300 in BTC (criptovaluta). Questo è il mio portafoglio Bitcoin: [codice]… Altrimenti manderò i video con le tue birichinate a tutti i tuoi colleghi e amici!!!”

Il messaggio è generico e non contiene nessuna informazione personale: è un bluff, una finta per vedere se avete la coscienza sporca e ci cascate. Se lo ricevete, cestinatelo. Tutto qui.

I codici dei wallet che ho visto nei campioni che ho ricevuto sono i seguenti, con i rispettivi importi accumulati (aggiornati alle 23:40 del 18 settembre 2018):

  1. 1CXup5BRrEFuBHDeQcduCvfu3P48rXHrck (19 transazioni, 0,727 BTC, 3906 euro)
  2. 14dEvzyftZjrTjXaX5XXHo65C1rdsqCw1s (5 transazioni, 0,155 BTC, 832 euro)
  3. 16yJ7MQWTFNjsSvAJJMkjPpnJbAsGLYhW7 (10 transazioni, 0,428 BTC, 2319 euro)
  4. 16acVRG2RdMDSmdVuve1N1bYBFu8Rr3iii (6 transazioni, 0,237 BTC, 1284 euro)

Va detto che alcune di queste poche transazioni potrebbero essere state fatte dal truffatore stesso per rendersi più credibile.

Per monitorare questi wallet è sufficiente andare a Blockchain.com e immettere il codice del wallet nella casella di ricerca oppure digitare direttamente https://www.blockchain.com/btc/address/ seguito dal codice.

Riporto dai commenti una domanda molto frequente: se qualcuno è così informaticamente ingenuo da abboccare a una truffa di questo genere, come può avere le competenze informatiche non banali necessarie per procurarsi dei bitcoin e pagare il ricatto?

La risposta è che è talmente spaventato dall’idea di uno svergognamento di fronte al partner o agli amici che si rivolge a un esperto per fare il pagamento, e insiste a voler pagare anche quando l’esperto gli spiega che è una truffa, che non c’è nessun video e che pagare non serve a nulla. Ho seguito numerosi casi di questo genere che si sono svolti secondo questo schema.

2018/09/16 17:05

Questa è una versione in tedesco del messaggio truffaldino:

Titolo: Es geht um Ihre Sicherheit.

Testo: Hallo, lieber Benutzer von [omissis].

Wir haben eine RAT-Software auf Ihrem Gerät installiert.
Zu dieser Zeit ist Ihr E-Mail-Konto gehackt (siehe , jetzt habe ich den Zugriff auf Ihre Konten).
Ich habe alle vertraulichen Informationen von Ihrem System heruntergeladen und ich habe weitere Beweise erhalten.
Die interessantesten Sachen, die ich entdeckt habe, sind Videos von Ihnen auf denen Sie masturbieren.

Ich habe meinen Virus auf die Pornoseite gepostet, und dann haben Sie ihn auf Ihren Betriebssystem installiert.
Als Sie auf den Button “Play” auf Porno-Video geklickt haben, wurde mein Trojaner in diesem Moment auf Ihr Gerät heruntergeladen.
Nach der Installation nimmt Ihre Frontkamera jedes Mal, wenn Sie masturbieren, ein Video auf; zusätzlich wird die Software mit dem von Ihnen gewählten Video synchronisiert.

Zur Zeit hat die Software alle Ihre Kontaktinformationen aus sozialen Netzwerken und E-Mail-Adressen gesammelt.
Wenn Sie alle Daten gesammelt von Ihr System löschen müssen, senden Sie mir $300 in BTC (Kryptowährung).
Das ist mein Bitcoin Wallet: 14dEvzyftZjrTjXaX5XXHo65C1rdsqCw1s
Sie haben 2 Tage nach dem Lesen dieses Briefes.

Nach Ihrer Transaktion werde ich alle Ihre Daten löschen.
Ansonsten sende ich Video mit deinen Streiche an alle deine Kollegen und Freunde!!!

Und von nun an, seien Sie vorsichtiger!
Bitte besuchen Sie nur sichere Webseiten!
Tschüss!

2018/09/17 17:25

Un‘altra versione in tedesco del messaggio:

Titolo: Entfernen Sie diesen Brief nach dem Lesen!

Testo: Hallo!

Wie Sie sich schon vorstellen können, wurde Ihr Benutzerkonto ([omissis]) gehackt, da ich Ihnen diesen Brief von aggesandt habe. 🙁

Ich bin der Vertreter einer bedeutenden übernationalen Gruppe von Info-Piraten
Im Zeitraum vom 23.07.2018 bis zum 16.09.2018 wurden Sie mit dem von uns erstellten Virus auf der Webseite für Erwachsene die Sie besucht haben angesteckt.
Zu dieser Zeit haben wir Zugriff auf alle Ihre Korrespondenz, soziale Netzwerke und Messengerdienste.
Mehr als das, haben wir vollständige Speicherauszüge von diesen Daten.

Wir sind im Bilde aller Ihrer Geheimnisse, o, ja… Sie haben das ganze heimliche Leben.
Wir haben gesehen und aufgenommen, wie Sie sich auf die Porno-Seiten unterhalten hatten. Lieber Himmel, was für Geschmack und Leidenshaften haben Sie… 🙂

Aber das Interessanteste ist, dass wir Sie in regelmäßigen Zeitabständen auf der Web-Kamera Ihres Gerät aufgenommen haben. Die Webcam wurde mit dem synchronisiert, was Sie gerade sich angesehen haben!
Ich bin der Meinung, dass Sie nicht wollen, dass Ihre Kameraden und Verwandten alle Ihre Heimlichkeiten sehen, und bestimmt die Person, die Ihnen am nächsten ist.

Schicken Sie $300 zu unserer Kryptowährung Bitcoin Wallet: 16yJ7MQWTFNjsSvAJJMkjPpnJbAsGLYhW7
Ich garantiere, dass wir dann alle Ihre Geheimnisse entfernen werden!

Ab dem Zeitpunkt, in dem diese Nachricht gelesen ist, funktioniert der Timer!
Sie haben 48 Stunden, um diese Summe einzuzuahlen.

Sobald das Geld auf unserem Konto ist, werden Ihre Daten sofort vernichtet!
Wenn Geld nicht da ist, werden alle Ihre Korrespondenz und das von uns aufgenommene Video automatisch an alle Kontakte gesendet, die in der Zeit der Infektion in Ihrem System erreichbar waren!
Leider, Sie sollen über ihre Sicherheit denken!
Wir hoffen, dass diese Geschichte lehrt Ihnen, Ihre Geheimnisse korrekt zu bewahren.
Passen Sie auf sich auf!

2018/09/18 23:40

Una versione francese:

Bonjour!

Comme vous pouvez l’imaginer, votre compte [omissis] a été piraté, depuis que j’ai écrit ce message de sa part. 🙁

Je représente un groupe international de pirates informatiques bien connu.
Du 23.07.2018 au 15.09.2018, vous avez été infecté par un virus que nous avons créé via le site Web pour adultes que vous avez visité.
Pour le moment, nous avons accès à tous vos correspondance, réseaux sociaux et services de messagerie.
De plus, nous avons des décharges complètes de ces informations.

Nous sommes conscients de vos « petits et grands secrets », oui, oui… Vous avez toute une vie secrète.
Nous avons vu et enregistré comment vous vous êtes amusé sur des sites Web pour adultes. Dieu, quel goût et quelle souffrance avez-vous … 🙂

Mais la chose la plus intéressante est que nous vous avons inclus régulièrement sur la webcam de votre appareil. La webcam a été synchronisée avec ce que vous venez de voir!
Je pense que vous ne voulez pas que vos amis et votre famille voient tous vos secrets et, bien sûr, la personne la plus proche de vous.

Transférez $300 vers notre monnaie crypto Bitcoin Wallet: 16acVRG2RdMDSmdVuve1N1bYBFu8Rr3iii
Je vous garantis que nous effacerons alors tous vos secrets!

A partir du moment où cette lettre est lue, la minuterie fonctionne!
Vous avez 48 heures pour payer le montant susmentionné.

Une fois que l’argent est dans notre compte, vos données seront immédiatement détruites!
Si l’argent n’arrive pas, toute votre correspondance et vidéo que nous recevons seront automatiquement envoyées à tous les contacts disponibles sur votre appareil au moment de l’infection!

Malheureusement, vous devez penser à votre sécurité!
Nous espérons que cette histoire vous apprendra à garder vos secrets corrects!
Prenez soin de vous!

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Svizzera, 106 misure federali per migliorare la sicurezza informatica

Svizzera, 106 misure federali per migliorare la sicurezza informatica

Anche in Svizzera, come in molti altri paesi, la percezione del rischio informatico aziendale non è ancora matura. Molti pensano ancora che un attacco informatico sia il problema di qualcun altro e di essere troppo piccoli per essere presi di mira. Chi lavora nel settore della sicurezza sa invece che nessun bersaglio è troppo piccolo o insignificante per un criminale informatico in cerca di guadagni facili.

L’Ufficio federale per l’approvvigionamento economico (UFAE) ha pubblicato un documento nel quale propone uno standard minimo di protezione, orientato specificamente ai gestori di infrastrutture ma valido per chiunque, che si articola in 106 misure concrete. Queste misure sono strutturate in cinque gruppi fondamentali:

  1. Identificare
  2. Proteggere
  3. Intercettare
  4. Reagire
  5. Ripristinare

Il documento si basa in parte sul lavoro del NIST statunitense ed è scaricabile qui (per ora solo in francese, tedesco e inglese) insieme a uno spreadsheet che facilita il compito di valutazione della sicurezza.

Le misure non contengono novità particolari per chi si occupa professionalmente di sicurezza informatica, ma il fatto che se ne parli nei media generalisti e che ci sia un’azione governativa forse aiuterà i responsabili della sicurezza informatica delle aziende a superare uno dei principali ostacoli alla protezione delle infrastrutture: il dirigente che non sa nulla d’informatica ma pretende lo stesso di decidere di testa propria quanto spendere in sicurezza (il meno possibile, di solito) e quali misure adottare (”dobbiamo davvero fare un backup tutti i giorni?”).

Il documento fa parte della Strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC), varata dal Consiglio Federale sei anni fa.

Fonti aggiuntive: Consiglio federale, RSI. Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Come fanno i ladri a rubare le auto “intelligenti” e come batterli

Ultimo aggiornamento: 2018/08/10 12:20.

Questo video mostra come i ladri d’auto possono rubare un veicolo senza averne le chiavi, se si tratta di una cosiddetta auto “smart” che ha una funzione keyless, ossia un telecomando (o una tessera) che fa da chiave, apre le portiere e avvia il motore per semplice prossimità.

I ladri usano due ripetitori di segnale radio: uno lo piazzano all’esterno della casa della vittima, in prossimità della chiave elettronica, che sta in casa ma si trova tipicamente vicino alla porta d’ingresso, e l‘altro lo mettono sulla maniglia della portiera dell’auto.

Questo fa in modo che il segnale radio dell’auto raggiunga la “chiave”, che quindi crede di essere vicina all’automobile e risponde trasmettendo il proprio segnale codificato, che viene ritrasmesso tal quale all’auto. In questo modo l’auto si apre e, mettendo il ripetitore nell’abitacolo, si avvia e viene portata via dai ladri.

I sistemi keyless sono solitamente progettati in modo da non spegnere il motore se l’auto perde il collegamento con la chiave, per motivi di sicurezza stradale (sarebbe spiacevole trovarsi con l’auto spenta di colpo mentre si scende lungo dei tornanti, per esempio), per cui i ladri possono portare via l’auto guidandola, a patto di non spegnere intenzionalmente il motore.

In realtà non è la prima volta che questa tecnica di furto viene registrata da una telecamera di sorveglianza: casi analoghi erano stati già documentati in Olanda nel 2016 ai danni di modelli Tesla.

Il rimedio, per fortuna, è relativamente semplice: custodire le chiavi elettroniche lontano dal perimetro dell’abitazione e/o in un contenitore metallico, in modo che il ripetitore non possa captarne il segnale. Nel caso di Tesla, ad agosto 2017 le Model S hanno ricevuto automaticamente, tramite la rete cellulare, un aggiornamento software che ha aggiunto un’opzione Passive Entry per disabilitare l’apertura delle portiere per semplice prossimità della chiave. Le altre marche di automobili restano vulnerabili oppure devono essere portate in officina per un aggiornamento del software, se predisposto dal fabbricante.

Del problema si è occupata venerdì scorso la trasmissione Patti Chiari della Radiotelevisione Svizzera in questo servizio, spiegando fra l’altro che una volta rubata l’auto è banale creare un duplicato della “chiave” inserendo un apposito dispositivo nella presa OBD situata nell’abitacolo.

2018/08/10 12:20: Un’altra registrazione video di un tentativo di furto con questa tecnica è disponibile presso Ring.com.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Perché PayPal mi dice che devo aggiornare il browser?

Perché PayPal mi dice che devo aggiornare il browser?

Se avete ricevuto una mail che sembra provenire da PayPal e vi avvisa che il browser che state usando “non è compatibile con i nostri standard di sicurezza e non sarà più supportato”, niente paura: stavolta non è un tentativo di truffa, e il link incluso nel messaggio porta davvero a una pagina di aiuto di PayPal e non a qualche sito di malfattori.

Il 30 giugno, infatti, verranno ritirati i vecchi protocolli di cifratura e sicurezza Transport Layer Security (TLS) e HTTP e verranno supportate solo le versioni dalla 1.2 e 1.1 in su, rispettivamente. Quelle precedenti non sono più sicure e vanno sostituite con le versioni aggiornate in modo da poter continuare a fare acquisti online in modo protetto. PayPal ha già avvisato i siti di commercio elettronico che devono adeguarsi: dopo il 30 giugno i vecchi protocolli non funzioneranno più.

Noi utenti non dovremmo avere problemi se usiamo browser recenti. Se avete dubbi, consultate l’elenco di browser compatibili presso Salesforce oppure usate il test apposito di PayPal presso tlstest.paypal.com: se compare “PayPal_Connection_OK” siete a posto e non dovete fare nulla.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Lucchetto “smart” annuncia a tutti la propria password

Lucchetto “smart” annuncia a tutti la propria password

Cento dollari per un lucchetto sono una bella cifra, ma quello venduto dalla Tapplock è un lucchetto speciale, perché è “smart”: contiene un processore e un sensore d’impronte digitali e si sblocca appoggiando sul sensore un dito autorizzato. Niente chiavi da perdere, nessuna combinazione da ricordare. C’è anche un’app per gestire fino a 500 impronte. Pratico, no?

Praticissimo, e specialmente per i ladri. I ricercatori della Pen Test Partners hanno scoperto infatti che le promesse di sicurezza del lucchetto erano decisamente fantasiose. Hanno scritto un’app che sblocca qualunque lucchetto smart di questa marca in due secondi.

Come hanno fatto? Hanno comprato uno di questi lucchetti e hanno analizzato il traffico Bluetooth fra il lucchetto e l’app. Per prima cosa si sono accorti che il codice di sblocco che veniva trasmesso era uguale per tutti gli utenti autorizzati di quell’esemplare di lucchetto (che già non è una bella cosa). Ma poi hanno scoperto che il codice di sblocco era derivato dal MAC address del dispositivo.

Un MAC address è l’identificativo univoco che viene assegnato a un singolo esemplare di qualunque oggetto che va connesso a una rete. Viene trasmesso necessariamente in chiaro in ogni pacchetto di dati che viene inviato dal dispositivo, e deve essere ricevibile da qualunque dispositivo in ascolto. Usarlo come base per le password è quindi un’idea stupendamente idiota.

Per fare un paragone, è l’equivalente di usare come password il proprio nome utente.

Eppure TappLock viene venduto dicendo che usa “crittografia AES a 128 bit, la stessa usata dai militari”.

L’azienda ha confermato la vulnerabilità e ha pubblicato un avviso che raccomanda sibillinamente ai propri clienti di aggiornare il firmware dei lucchetti “per avere la protezione più recente”, senza dire che la protezione attuale è un colabrodo.

Come per tanti oggetti dell’Internet delle Cose, a parte la pessima progettazione, il problema è che è molto improbabile che questi avvisi di aggiornamento raggiungano gli utenti e che, se li raggiungono, vengano ascoltati.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Perché mai mi dovrebbero rubare la rubrica degli indirizzi mail?

Perché mai mi dovrebbero rubare la rubrica degli indirizzi mail?

Fonte: Squawker.org.

Ultimo aggiornamento: 2018/05/28 17:30.

Una delle domande che mi capitano più spesso nelle mie conferenze pubbliche sulla sicurezza informatica di base riguarda l’incomprensione dei moventi dei criminali informatici.

Perché dovrei preoccuparmi più di tanto di proteggere il mio account social o di e-mail, mi chiedono, visto che non contiene nulla di compromettente o da nascondere? Mal che vada, se me lo rubano me ne creo un altro, tanto è gratis.

La risposta è che non si tratta di avere qualcosa da nascondere, ma di avere qualcosa da proteggere. Proteggere contro gli usi inaspettati che ne può fare un criminale informatico anche solo leggermente inventivo. Vi racconto un caso che mi è capitato di recente.

Ho ricevuto una chiamata di una signora che aveva ricevuto una mail da un conoscente, che chiamerò Mario, redatta con uno stile e un linguaggio insoliti. La signora si è accorta dell’anomalia e si è insospettita, per cui non ha aperto l’allegato alla mail ma ha chiamato direttamente Mario chiedendogli se avesse inviato lui quella mail. Mario ha risposto di no e ha aggiunto, perplesso, che stava ricevendo lo stesso genere di segnalazioni e di domande da molti suoi amici e colleghi.

Era insomma chiaro che un criminale informatico aveva ottenuto accesso alla mail di Mario e stava usando questo accesso per tentare un attacco più ampio. Non gli interessava affatto leggere le mail del conoscente, che è la cosa che viene in mente a tutti quando si pensa a una violazione di un account di posta, ma voleva semplicemente accedere alla rubrica degli indirizzi di Mario, per usarla come trampolino dal quale infettare i suoi contatti.

Questi contatti, infatti, avrebbero ricevuto una mail-trabocchetto dall’indirizzo di Mario, ossia da qualcuno che conoscono e di cui si fidano, e quindi buona parte di loro si sarebbe fidata ciecamente della mail e avrebbe aperto l’allegato al messaggio, esponendosi quindi al rischio d’infezione da parte del malware contenuto nell’allegato.

Questa è una tecnica frequentissima nel settore: il criminale si procura da prima un appiglio modesto e poi lo usa per lanciare un attacco più profondo, che gli consente di monetizzare l’appiglio iniziale. Il malware nell’allegato, infatti, era un ransomware, per cui al criminale sarebbe bastato mettere a segno, fra i tanti utenti presenti nella rubrica di Mario, una o due infezioni per ottenere un riscatto di qualche centinaio di euro.

In altre parole, dobbiamo proteggere i nostri account con password robuste e differenziate (e, se possibile, con l’autenticazione a due fattori) non soltanto per proteggere noi stessi, ma anche per proteggere i nostri amici, colleghi, familiari e conoscenti. Non dimentichiamocelo.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
MELANI fa il punto degli attacchi informatici in Svizzera

MELANI fa il punto degli attacchi informatici in Svizzera

MELANI, la Centrale d’annuncio e d’analisi per la sicurezza dell’informazione del governo svizzero, ha pubblicato a fine aprile scorso il suo ventiseiesimo rapporto (PDF) sui principali incidenti informatici del secondo semestre 2017.

Le sempre più frequenti e corpose fughe di dati, come quella epica che ha colpito Yahoo e quelle che hanno coinvolto Swisscom e Dvd-shop.ch, sono uno dei temi principali del rapporto, insieme agli attacchi a sistemi di controllo industriali.

Ci sono stati anche attacchi importanti a dispositivi medici, come gli stimolatori cardiaci, decisamente interessanti per chi si occupa di sicurezza, ma spicca sorprendentemente il fatto che vecchi malware per attacchi a conti bancari come Downadup/Conficker “rimangono i software dannosi più diffusi in Svizzera, nonostante da oltre 10 anni esista una patch per la falla di sicurezza che sfruttano.” Dieci anni. Suvvia, gente, aggiornatevi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Un’altra telecamera Internet vulnerabile: MiSafes Mi-Cam

Un’altra telecamera Internet vulnerabile: MiSafes Mi-Cam

Le telecamerine di sorveglianza IP, quelle che si collegano tramite Wi-Fi e si usano per tenere d’occhio bambini, animali o ambienti domestici e di lavoro, si rivelano ancora una volta dei colabrodo di sicurezza. Chi ha una Mi-Cam di MiSafes, per esempio, in vendita in negozi online come Amazon, si espone al rischio che chiunque gli possa guardare in casa, ascoltare le conversazioni e addirittura mettersi a parlare con chi è in casa. Se l’idea che uno sconosciuto parli al vostro bambino nella sua cameretta non vi entusiasma, staccate questa telecamera.

Secondo la società austriaca di sicurezza informatica SEC Consult, infatti, le telecamerine Mi-Cam di MiSafes (e tutte quelle analoghe con altri marchi) hanno una serie di difetti gravissimi di progettazione. Hanno, per esempio, una password di amministrazione predefinita di quattro cifre. Cosa ancora più grave, sono interrogabili via Internet semplicemente modificando una singola richiesta HTTP (in pratica basta cambiare i parametri del link di collegamento).

Questo significa che uno sconosciuto, usando soltanto una normale connessione a Internet, può guardare, ascoltare e persino parlare attraverso queste telecamere.

La cosa peggiore, però, è che il fabbricante non solo non rilascia aggiornamenti correttivi, ma non risponde neanche alle segnalazioni di vulnerabilità dei suoi prodotti. L’unica cosa che può fare chi ha comprato questa telecamera è buttarla via oppure usarla sapendo che le immagini e l’audio sono pubblici.

Fonti aggiuntive: Naked Security.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.