Vai al contenuto
Per sapere che Crypto AG faceva spionaggio per CIA e BND bastava cercare in Google

Per sapere che Crypto AG faceva spionaggio per CIA e BND bastava cercare in Google

Un’inchiesta del Washington Post, della TV tedesca ZDF e dell’emittente svizzera SRF (anche qui) ha rivelato che l’azienda svizzera di crittografia Crypto AG è stata usata dalla CIA e dalla tedesca BND per decenni per spiare governi e forze armate di tutto il mondo, compresi i paesi loro alleati, come Spagna, Grecia, Turchia e Italia.

Crypto AG, infatti, vendeva apparati di crittografia che a seconda del paese di destinazione venivano alterati segretamente in modo da consentire ai servizi segreti statunitensi e tedeschi di decrittare facilmente le comunicazioni cifrate diplomatiche, governative e militari di quei paesi, comprese quelle del Vaticano.

In Svizzera lo scandalo è forte e verrà istituita una commissione parlamentare d’inchiesta per capire quali autorità specifiche fossero al corrente di questa vicenda. Ma c’è un dato che forse andrebbe considerato: la natura delle attività di Crypto AG non era affatto un segreto.

Infatti con una ricerca mirata in Google e con l’aiuto di alcune segnalazioni dei lettori emergono numerose indagini giornalistiche, anche svizzere, che mettono a nudo Crypto AG sin dal 1994:

Fonte: Swissinfo.ch.

Tutte queste inchieste documentano che i rapporti con Crypto AG dei servizi segreti statunitensi e tedeschi erano già stati resi noti con grande dettaglio. La novità di oggi è semplicemente che sono stati resi pubblici documenti sulla vicenda che prima erano segreti. Fingere di non averne saputo nulla sembra quindi piuttosto implausibile.

2020/02/15. Cominciano a essere pubblicate le prime ammissioni ufficiali.

2020/02/19. È stato ritrovato il dossier mancante dal 2014, contenente gli atti dell’indagine della Polizia Federale su Crypto AG (Ticinonews).

Fonti aggiuntive: Tvsvizzera.it, Swissinfo.ch, The Register.

Sparisce Ghosty, l’app per spiare gli utenti Instagram

Sparisce Ghosty, l’app per spiare gli utenti Instagram

Ghosty era un’app che prometteva di far vedere i profili Instagram nascosti. Era già stata scaricata oltre 500.000 volte da Google Play, dove era ospitata da aprile scorso. Ma ora non c’è più.

La ragione della sua sparizione è molto semplice: era una trappola. Infatti per poter accedere agli account Instagram privati bisognava dare a Ghosty le proprie credenziali Instagram e invitare almeno un’altra persona a usare l’app. Questo permetteva a Ghosty di accedere all’account Instagram del curiosone e offrirlo agli altri utenti. Era insomma un patto col diavolo, grazie al quale Ghosty permetteva sì di vedere gli account privati su Instagram, ma non tutti: solo quelli degli utenti Ghosty e dei loro amici.

La cosa peggiore, infatti, è che ci andavano di mezzo anche gli utenti Instagram i cui account privati venivano seguiti da chi si iscriveva a Ghosty. E così un utente Instagram che voleva tenere privato il proprio profilo se lo trovava spiabile per colpa di qualcuno dei suoi amici ai quali aveva concesso fiducia.

Ancora una volta, insomma, le promesse di privacy dei social network risultano vane.

Come se non bastasse tutto questo, Ghosty bombardava gli utenti di pubblicità e conteneva servizi a pagamento.

Pur essendo in violazione delle condizioni di servizio di Instagram, che vietano la raccolta di credenziali, Ghosty è rimasto in Google Play per mesi senza che né Facebook (proprietaria di Instagram) né Google intervenissero. Conviene evitare le offerte troppo belle per essere vere, anche quando sono in uno store ufficiale.

Fonti: Naked Security, Android Police.

Quanto vale la geolocalizzazione? Abbastanza da rischiare un milione di dollari di multa

Quanto vale la geolocalizzazione? Abbastanza da rischiare un milione di dollari di multa

Molti utenti di Internet sottovalutano il valore dei dati che regalano ai fornitori di servizi, come per esempio la geolocalizzazione. A chi mai potrà interessare sapere dove mi trovo, visto che non sono una persona importante o speciale? Lo pensano in tanti. Eppure questi dati hanno un valore così alto che esistono società che rischiano multe milionarie pur di sfruttarli.

È quello che ha fatto la società di pubblicità per dispositivi mobili inMobi, che è stata multata dalla Federal Trade Commission statunitense per 4 milioni di dollari (poi ridotti, si fa per dire, a 950.000) perché è stata colta a pedinare segretamente circa cento milioni di utenti.

InMobi dichiarava che il suo software, incluso in moltissime app per Android e iOS per visualizzare pubblicità agli utenti, raccoglieva informazioni di geolocalizzazione soltanto se l’utente dava il permesso. In realtà il software utilizzava i segnali Wi-Fi per dedurre la localizzazione anche quando l’utente negava all’app il permesso di tracciarlo. In pratica, tramite il ricevitore Wi-Fi InMobi si faceva mandare i nomi delle reti Wi-Fi ricevibili dall’utente, li immetteva in un database di localizzazioni di queste reti e ne otteneva la localizzazione dell’utente. E lo faceva ogni trenta secondi circa quando l’app era in uso.

Questa geolocalizzazione aveva effetto anche sugli utenti minorenni, ai quali erano dedicate molte delle app che usavano il software pubblicitario di InMobi, violando quindi il Children’s Online Privacy Protection Act statunitense.

Un motivo in più per spegnere il Wi-Fi dei dispositivi mobili quando non è indispensabile, insomma.

Fonti: QZ, Ars Technica.

Dareste i vostri dati a Facebook in cambio di soldi, anziché gratis?

Dareste i vostri dati a Facebook in cambio di soldi, anziché gratis?

Facebook ha annunciato Study, un’iniziativa per la quale gli utenti sceglieranno volontariamente e consapevolmente di farsi sorvegliare in cambio di soldi.

La sorveglianza registrerà quali app sono installate sullo smartphone, quali attività vengonono svolte, il tempo speso in ciascuna attività, marca e modello dello smartphone, la connessione utilizzata e il paese di provenienza. Bontà sua, non raccoglierà password o messaggi.

L’offerta per ora è limitata a Stati Uniti e India e per motivi legali è sottoscrivibile solo da maggiorenni. Non si sa a quanto ammonterebbe il compenso per farsi pedinare digitalmente, ma è sicuramente di più di quello che Facebook paga gli utenti per farsi schedare, classificare e analizzare adesso nel normale uso del social network, ossia zero.

Conoscendo la natura umana, mi aspetto che i primi a sottoscrivere il servizio saranno i criminali informatici, che sommergeranno Facebook di dati inventati per ricevere il compenso.

Fonte aggiuntiva: Punto Informatico.

App di calcio ufficiale usa i tifosi come spie

App di calcio ufficiale usa i tifosi come spie

Da un’app scaricata da chissà dove o diffusa da chissà chi ti puoi aspettare che possa essere ficcanaso. Ma che lo faccia un’app realizzata da un’organizzazione sportiva no.

Eppure è quello che è successo con LaLiga, l’app ufficiale del campionato spagnolo di calcio, che è stata colta a usare il microfono e la geolocalizzazione degli smartphone per trasformare milioni di utenti in spie, come spiega bene Punto Informatico.

L’app LaLiga, infatti, accende il microfono degli smartphone sui quali è installata e ascolta l’audio ambientale, alla ricerca dell’audio di una partita di calcio. Poi comunica ai suoi proprietari, la Liga de Fútbol Profesional, la localizzazione dello smartphone, per sapere se l’audio proviene da un locale non autorizzato a diffondere la partita.

La Liga è stata sanzionata con 250.000 euro per questa funzione dall’agenzia spagnola per la protezione dei dati (AEDP) perché gli utenti non venivano avvisati chiaramente dell’esistenza di questa forma di sorveglianza di massa. L’app dovrà inoltre essere eliminata entro la fine di questo mese.

I gestori dell’app si sono difesi dicendo che agli utenti veniva chiesto il permesso di attivare il microfono e la geolocalizzazione, e questa modalità spiona era indicata nelle condizioni di servizio. La diffusione abusiva delle partite, secondo La Liga, causa mancati introiti per circa 400 milioni di euro l’anno.

Qualcuno, probabilmente, ha visto Batman – Il Cavaliere Oscuro di Christopher Nolan, nel quale altoparlanti e microfoni degli smartphone vengono usati per localizzare i criminali a Gotham, e si è fatto venire un’idea senza ricordarsi che nel film questo comportamento era chiaramente descritto come un inaccettabile abuso di potere.

È impensabile chiedere a tutti di leggere le interminabili condizioni di servizio di ogni singola app, ma è ragionevole almeno consigliare di fare attenzione prima di concedere a un’app accesso a funzioni come la localizzazione o il microfono senza motivi più che trasparenti.

Fonti aggiuntive: El Diario, Graham Cluley, Reuters, El Pais.

Quello che postate su Snapchat può essere visto dai dipendenti di Snapchat

Quello che postate su Snapchat può essere visto dai dipendenti di Snapchat

C’è ancora parecchia gente che pensa che i social network siano luoghi nei quali possono esistere spazi realmente privati e quindi si lascia andare a confidenze e immagini intime senza rendersi conto che chi lavora per questi social network ha spesso il potere di leggere e vedere tutto quello che passa attraverso i computer dell’azienda.

Stavolta è il caso di Snapchat: grazie a un’indagine pubblicata da Joseph Cox su Motherboard/Vice.com, oggi sappiamo che esiste SnapLion, uno strumento interno usato dai dipendenti di Snapchat per accedere ai dati degli utenti, e sappiamo che questo strumento è stato sfruttato indebitamente per spiare gli utenti.

Nonostante le promesse di riservatezza del social network, come la crittografia end-to-end attivata a gennaio 2019, i dipendenti sono stati in grado di accedere ai dati degli utenti, compresa la geolocalizzazione, le immagini, i numeri telefonici e gli indirizzi di mail. Sono a loro disposizione in particolare gli Snap, ossia le foto e i video che teoricamente spariscono dopo essere stati ricevuti dal destinatario o durano al massimo 24 ore se pubblicati nelle Storie.

Va detto che strumenti come SnapLion sono necessari per la gestione di qualunque social network, per esempio per rispondere alle richieste di informazioni provenienti da autorità giudiziarie o per contrastare il bullismo e gli abusi da parte degli utenti, e ci sono norme aziendali che vietano e puniscono l’uso illecito di questi strumenti di monitoraggio. Ma ogni azienda è ovviamente composta da singoli dipendenti, che vanno e vengono, ciascuno col proprio livello personale di rispetto delle regole.

Non è il primo caso di abuso: Motherboard segnala casi di licenziamento da Facebook per stalking effettuato da dipendenti nei confronti degli ex partner mediante gli strumenti aziendali, e Uber si è addirittura vantata di avere una “God View” che permette di vedere la localizzazione in tempo reale di tutti gli utenti e conducenti oltre che di spiare ex partner, politici e celebrità.

Tenetelo presente quando scrivete o postate immagini nei social network.

Cina, il Grande Fratello ti osserva e lascia in giro i tuoi dati

Cina, il Grande Fratello ti osserva e lascia in giro i tuoi dati

Questo articolo è il testo del mio podcast settimanale La Rete in tre minuti su @RadioInblu, in onda ogni martedì alle 9:03 e alle 17:03. L’audio del podcast è ascoltabile qui su RadioInblu.

C’è una vecchia battuta in informatica: sbagliare è umano, ma per combinare veri disastri ci vuole il computer.

È un concetto semiserio che viene confermato da una notizia che arriva dalla Cina, paese noto per la sua propensione a creare le cosiddette “smart city”, ossia città altamente informatizzate e sorvegliate da una rete di sensori.

L’idea di fondo delle smart city è allettante ed è condivisa da molti governi: sistemi informatici gestiscono il traffico ed evitano le code, trovano il parcheggio libero, avvisano sulla situazione dei trasporti pubblici e vigilano sulla sicurezza pubblica tramite telecamere che sorvegliano ogni punto della città, scoraggiando il crimine.

Le autorità cinesi hanno abbracciato quest’idea con particolare entusiasmo, soprattutto per la sorveglianza, arrivando a installare sistemi di riconoscimento facciale in alcuni passaggi pedonali per identificare e segnalare chi attraversa con il rosso e adottando un sistema di “punteggio sociale” che premia chi si comporta in modo accettabile per la collettività e punisce chi non rispetta le regole decise dal governo, per esempio togliendo l’accesso ai trasporti pubblici o ai mutui agevolati.

Presentata così, sembra una soluzione vincente per tutti: se ci si comporta bene, non si ha nulla da temere e si ha tutto da guadagnare. Fino al momento in cui la vecchia battuta torna a farsi valere.

Infatti creare una “smart city” significa accentrare un enorme numero di dati personali, e se questi dati non vengono tutelati adeguatamente si prestano ad abusi di ogni sorta e diventano un pericolo.

Lo ha dimostrato molto chiaramente un ricercatore di sicurezza informatica, John Wethington, che di recente ha trovato un archivio di dati riguardanti una porzione di una “smart city” cinese, specificamente un quartiere della capitale Pechino, che stava su Internet, accessibile a chiunque, senza neanche digitare una password, nel cloud di Alibaba.

In questo archivio c’era tutto quanto serviva per uno stalking di massa da parte di qualunque ficcanaso, molestatore, ladro, partner o ex partner geloso, oltre che da parte del governo o delle forze dell’ordine: i dati raccolti, infatti, includevano anche la localizzazione e identificazione delle persone in base al loro volto e anche in base a qualunque dispositivo Wi-Fi avessero addosso, come per esempio uno smartphone. Il sistema tracciava ed etichettava anche le etnie delle persone sulla base dei loro lineamenti, e lo faceva automaticamente, con tutte le conseguenze immaginabili.

Probabilmente questo Grande Fratello orwelliano è tuttora attivo, ma non lo si può più sapere, perché dopo la segnalazione del ricercatore l’archivio pechinese è stato protetto più adeguatamente. In ogni caso, l’incidente ha dimostrato quanto è facile mettere a rischio tante persone con un singolo errore informatico quando i dati sono accentrati e raccolti in enormi quantità indiscriminatamente ma al tempo stesso non si pensa abbastanza a proteggere questi dati.

Cosa più importante, questa scoperta ha mostrato quanto è dettagliata la raccolta di dati di questi sistemi, che sanno per esempio riconoscere chi sorride e chi no. Quindi se siete a favore delle smart city, preparatevi a sorridere tanto.

Come spegnere i motori di migliaia di auto connesse a Internet

Come spegnere i motori di migliaia di auto connesse a Internet

Credit: Motherboard.

Se la password predefinita di un’app è 123456 è male. Se l’app in questione gestisce delle automobili e permette non solo di tracciarne la posizione ma anche di spegnerne il motore, è un tantinello peggio.

Secondo quanto riferisce Lorenzo Franceschi-Bicchierai su Motherboard, un esperto informatico è riuscito a entrare negli account degli utenti di varie app di tracciamento GPS per auto, potendo così monitorare le posizioni di decine di migliaia di automobili in tempo reale.

Le app in questione sono Protrack e iTrack, usate dalle aziende per monitorare le flotte dei propri veicoli. L’informatico lo ha scoperto consultando il codice sorgente delle app e tentando milioni di possibili nomi utente insieme alla password predefinita: una forma di attacco classica.

A furia di tentare, contando sul fatto che molti utenti non avrebbero cambiato la password, è riuscito a collezionare identificativi IMEI, nomi, numeri di telefono, indirizzi di mail e indirizzi domestici o aziendali degli utenti, e poi ha avvisato i gestori delle app.

Come se non bastasse, l’informatico ha detto di essere in grado di spegnere a distanza i motori di centinaia di migliaia di veicoli sparsi per il mondo che usano queste app. Motherboard ha confermato le dichiarazioni dell’informatico consultando il produttore degli apparati di tracciamento usati da queste app: lo spegnimento sarebbe stato possibile durante la marcia a bassa velocità dei veicoli nei quali l’opzione di controllo del motore era attiva.

La casa produttrice di Protrack ha negato che siano avvenute violazioni ma sta ora avvisando gli utenti di cambiare password.

Ancora una volta, con sentimento: le password predefinite sono il male. Non usatele. Mai.

App di sorveglianza colabrodo: Family Locator

App di sorveglianza colabrodo: Family Locator

Family Locator, un’app di sorveglianza per famiglie, disponibile per i dispositivi iOS, aveva una falla micidiale: pubblicava la geolocalizzazione in tempo reale di circa 240.000 utenti. Come se non bastasse, il produttore dell’app non rispondeva alle segnalazioni della falla.

L’app è concepita per consentire per esempio a un genitore di sapere quando il figlio arriva a scuola o a un figlio di sapere se il genitore è arrivato in ufficio o è tornato a casa: il suo intento sarebbe dare sicurezza e tranquillità alle famiglie che la usano, ma il risultato è stato esattamente contrario.

I dati degli utenti venivano infatti accumulati in un database MongoDB non protetto, ospitato maldestramente nel cloud e quindi facilmente reperibile con un motore di ricerca specializzato come Shodan, e venivano custoditi (si fa per dire) senza cifratura. Nel database c’erano non solo le coordinate geografiche ma anche le foto di profilo, il nome, l’indirizzo di mail e la password di ciascun utente.

In altre parole, nota Naked Security, chiunque accedesse a questo database poteva sapere che aspetto aveva “vostra figlia tredicenne, dove si trovava in tempo reale, il suo nome, il suo indirizzo di mail, il suo indirizzo di casa, l’indirizzo della sua scuola e il suo percorso da casa a scuola e viceversa”.

La falla è stata scoperta da Sanyam Jain della GDI Foundation. La società australiana che gestisce Family Locator non ha risposto alle prese di contatto e quindi il sito di notizie informatiche TechCrunch ha contattato Microsoft, che ospitava il database, ed è riuscito a farlo rendere irraggiungibile via Internet.

App di sorveglianza colabrodo: MobiiSpy

App di sorveglianza colabrodo: MobiiSpy

Il mercato delle app che consentono di monitorare le attività svolte sugli smartphone è molto ricco, ma non tutti i suoi operatori sono attenti a proteggere i dati degli utenti. Naked Security segnala il caso di MobiiSpy per Android, che a causa di un errore di gestione aveva lasciato online oltre 95.000 immagini e 25.000 registrazioni audio estratte dagli smartphone monitorati. I dati erano in un database pubblicamente accessibile, il cui indirizzo era memorizzato in modo fisso (hardcoded) nell’app, per cui era facile scoprirlo e accedervi.

La falla di privacy, scoperta dal ricercatore di sicurezza Cian Heasley, era particolarmente grave non solo per i contenuti ma anche perché il proprietario dell’azienda creatrice del software non rispondeva alle segnalazioni di allarme. Intanto le immagini e le registrazioni continuavano ad accumularsi dove chiunque avrebbe potuto scaricarle.

Alla fine è stato necessario contattare Codero, la società di hosting che ospitava il database dei dati, e convincerla a scollegarlo da Internet.

Quando si installa un’app di monitoraggio così invasiva, che raccoglie dati anche da smartphone di bambini, bisogna insomma fare attenzione alla reputazione del creatore dell’app, altrimenti c’è il rischio che un genitore che pensa di proteggere il figlio monitorandolo tramite app finisca in realtà per renderlo più vulnerabile e sorvegliabile da sconosciuti.