Vai al contenuto
Falla di FaceTime permetteva di ascoltare attraverso gli iPhone, iPad e Mac altrui

Falla di FaceTime permetteva di ascoltare attraverso gli iPhone, iPad e Mac altrui

Ultimo aggiornamento: 2019/02/08 21:30.

Per settimane, qualunque dispositivo Apple recente, dagli iPhone agli iPad ai computer Mac, poteva essere trasformato in una perfetta “cimice” per ascoltare di nascosto le conversazioni altrui e anche spiare tramite la telecamerina incorporata. Era sufficiente usare in maniera particolare (ma non troppo complicata) FaceTime, l’app di videochat di Apple, chiamando la persona da spiare. Anche se la persona non rispondeva alla chiamata, il suo dispositivo apriva il microfono e attivava la telecamera.

Una falla imbarazzante, risolta provvisoriamente da Apple in maniera drastica, ossia bloccando il servizio FaceTime in attesa di realizzare e distribuire un aggiornamento correttivo.

La schermata di stato dei sistemi e servizi Apple, consultabile qui.

L’imbarazzo è stato acuito dal fatto che Apple sta puntando molto, in termini di immagine aziendale, sulla sua attenzione alla sicurezza e alla privacy, e dal dettaglio non trascurabile che il difetto non è stato scoperto dai suoi esperti di controllo qualità ma da un ragazzo quattordicenne, Grant Thompson, a metà gennaio scorso.

Grant stava giocando a Fortnite e stava attivando una chat di gruppo con FaceTime quando si è accorto che poteva sentire anche le voci degli amici che non avevano ancora risposto all’invito a partecipare alla chat.

Come se non bastasse, Apple non ha risposto alle ripetute segnalazioni del problema fatte dalla madre del ragazzo ed ha reagito solo alcuni giorni dopo che la falla è stata rivelata pubblicamente.

L’azienda si è scusata e ha promesso di distribuire un aggiornamento di sicurezza entro questa settimana. Se avete un iPhone o un iPad, quindi, ogni tanto andate nelle Impostazioni e cercate la voce Generali e poi Aggiornamento software per vedere se l’aggiornamento è disponibile. Se avete un Mac, usate l’app dell’App Store e cliccate sulla sezione Aggiornamenti oppure andate nelle Preferenze di Sistema.

Imbarazzi a parte, però, la falla aveva una limitazione importante: lasciava sul dispositivo della vittima una chiara indicazione dell’identità dello spione o ficcanaso. Era quindi poco sfruttabile da intrusi professionisti o governativi, che preferiscono non lasciare tracce, ma era una pacchia per stalker ossessivi e partner gelosi che non avevano problemi a far sapere di stare origliando le proprie vittime. Vittime che spesso non sapevano come impedire questa persecuzione.

Incidenti come questo sono un promemoria molto chiaro del fatto che circoliamo tenendo in tasca, in ufficio e sul comodino un microfono che può essere attivato a distanza ed è gestito da un software molto complesso che a volte non funziona esattamente come vorrebbero i suoi creatori e utenti.

Le raccomandazioni apparentemente paranoiche degli esperti di sicurezza e privacy, che invitano a spegnere i telefonini o lasciarli fuori dalla stanza per qualunque conversazione o attività privata, sono insomma giustificate. Lo sa bene Larry Williams, un avvocato di Houston, che ha fatto causa ad Apple sostenendo che la falla di FaceTime ha consentito a qualcuno di origliare durante una delicatissima deposizione giurata di un suo cliente. Pensateci la prossima volta che andate dal medico o dal vostro avvocato o vi trovate in altre situazioni nelle quali fate confessioni molto personali.

2019/02/08 21:30

Apple ha rilasciato MacOS 10.14.3 e iOS 12.1.4, che risolvono questa falla.

Fonti aggiuntive: Graham Cluley, New York Times, The Inquirer, New York Times, CNet.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Facebook blocca gli strumenti di trasparenza pubblicitaria

Facebook blocca gli strumenti di trasparenza pubblicitaria

Ci sono vari strumenti, come Ad Analysis o Who Targets Me, che consentono di sapere come e perché gli utenti di Facebook vengono presi di mira dai pubblicitari sia per la vendita di prodotti sia per la propaganda politica, ma questi strumenti hanno improvvisamente smesso di funzionare a causa di modifiche apportate da Facebook al proprio software.

Le modifiche hanno un effetto importante sulla trasparenza delle attività di questo social network, che vengono monitorate da organizzazioni esterne come ProPublica, che ha denunciato il comportamento di Facebook, mostrando come le modifiche al codice di Facebook sembrino mirate proprio a impedire l’analisi esterna delle scelte pubblicitarie del social network, che ha spesso rivelato storture e anomalie come la propaganda mirata di origine russa verso gli afroamericani durante le elezioni statunitensi del 2016.

Facebook, dice ProPublica, ha usato anche trucchetti piuttosto bislacchi: per esempio, tutte le pubblicità devono contenere la parola sponsored o sponsorizzato per regolamento, e quindi questi strumenti esterni di analisi cercavano questa parola per raccogliere solo informazioni sui post pubblicitari, ma Facebook ha inserito delle lettere invisibili nell’HTML del sito, spiega ProPublica, notando che alcune di queste modifiche servivano anche ad aggirare gli adblocker, le estensioni usate per bloccare le pubblicità.

L’azienda di Zuckerberg ha giustificato i cambiamenti dichiarando che servono a far rispettare le proprie condizioni d’uso e proteggere le informazioni degli utenti.

Anche se gli strumenti automatici sono stati bloccati, se volete sapere perché siete presi di mira da una certa inserzione pubblicitaria, cliccate sulla freccina in alto a destra nell’inserzione e scegliete la voce Perché visualizzo questa inserzione? Comparirà una spiegazione che vale la pena di leggere. Un esempio:

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Facebook ha pagato gli utenti per svendere la propria privacy. E quella dei loro amici

Facebook ha pagato gli utenti per svendere la propria privacy. E quella dei loro amici

Credit: TechCrunch.

Un’indagine di TechCrunch ha rivelato che Facebook ha pagato alcuni utenti, anche giovanissimi, per installare sui propri dispositivi del software che consentiva all’azienda di monitorare tutta l’attività dell’utente.

Questo software, presentato come una VPN, dava accesso anche ai messaggi privati e alle chat, comprese le foto e i video inviati ad altri, le mail, le ricerche nel Web, i siti visitati e la geolocalizzazione. Inevitabilmente forniva accesso anche alle comunicazioni private delle persone con le quali interagiva chi partecipava a questo monitoraggio.

I partecipanti venivano pagati 20 dollari al mese più altrettanti una tantum per ogni altro utente che riuscivano a far iscrivere al programma, che veniva pubblicizzato su Snapchat e Instagram come uno “studio retribuito di ricerca sui social media”.

Secondo le ricerche della BBC, questi partecipanti davano accesso anche alle comunicazioni delle app che usano la crittografia e alle sessioni protette dei browser, e dovevano promettere di tenere segreta la loro partecipazione. Il consenso parentale necessario per i minorenni era assente o aggirabile e l’app non era nell’App Store ma veniva installata come versione di test per dipendenti, eludendo i controlli di Apple. La versione Android era offerta al di fuori del Play Store.

In altre parole, Facebook pagava anche minorenni per farsi spiare online e, peggio ancora, per farsi mandare di nascosto anche le comunicazioni private extra-Facebook degli utenti che comunicavano con queste cavie.

Facebook si dichiara innocente, ma non appena è emersa la notizia si è affrettata ad annunciare la chiusura dello studio di ricerca per i dispositivi Apple, senza specificare che Apple le aveva revocato il certificato che consentiva l’installazione dell’app; la versione Android risulta ancora attiva.

I dettagli della vicenda sono raccontati da Il Post in italiano oltre che da TechCrunch (a cui si deve la scoperta iniziale), ma la lezione è piuttosto chiara: fidarsi dei social network non ha alcun senso, la loro fame di dati personali non conosce limiti o decenze, e se un’app non è disponibile attraverso i canali standard è sicuramente perché sta facendo qualcosa di losco. Meglio evitare.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Se in casa ti suona l’allarme nucleare, controlla le password delle tue telecamere

Se in casa ti suona l’allarme nucleare, controlla le password delle tue telecamere

Continua la carrellata di disavventure degli utenti incauti che installano telecamere di sorveglianza o campanelli Nest e le configurano maldestramente.

Dopo l’hacker cortese che entra nella telecamera Nest e parla al proprietario per spiegargli come configurarla correttamente, Wired.com segnala che nei giorni scorsi decine di proprietari di queste telecamere hanno sentito “una voce incorporea che insisteva affinché si iscrivessero al canale Youtube di PewDiePie”.

Motherboard ha pubblicato un video con la dimostrazione di un attacco di questo tipo da parte di un intruso che ha trovato circa 300 telecamere vulnerabili nel giro di pochi minuti ed è riuscito a trovare le password di circa 4000 account Nest.

Domenica scorsa una famiglia californiana ha sentito in casa l’allarme nucleare che avvisava, in tutta serietà, che tre missili nordcoreani stavano per cadere su tre città americane ed è stata presa dal panico finché si è resa conto che l’allarme proveniva non dal televisore ma dalle telecamerine di casa.

A dicembre scorso una coppia è saltata giù dal letto quando ha sentito una voce sconosciuta dire parolacce nella cameretta del figlio e poi minacciare di rapirlo.

A ottobre 2018 qualcuno ha iniziato a parlare tramite una telecamera Nest con un bambino di cinque anni, chiedendogli se avesse preso lo scuolabus per tornare a casa e con quali giocattoli stesse giocando e intimandogli di stare zitto quando il bambino, saggiamente, ha chiamato la madre.

Non c’è niente di particolarmente vulnerabile nelle telecamere Nest: semplicemente sono fra le più vendute e quindi è inevitabile che siano coinvolte spesso in violazioni di sicurezza e privacy come queste. Il problema, come capita sovente in informatica, è l’utente.

L’utente che pensa “tanto non ho niente da nascondere” oppure “ma chi vuoi che prenda di mira proprio me, e anche se lo facessero cosa potrebbero fare?” e quindi usa per le proprie telecamere domestiche la stessa password che usa altrove e non attiva l’autenticazione a due fattori. Beh, questi sono solo alcuni esempi di quello che si può fare. Oltre, naturalmente, ad avere sconosciuti che vi guardano e ascoltano in casa.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Criminale incastrato dallo smartwatch

Criminale incastrato dallo smartwatch

Racconto spesso storie di onesti cittadini la cui privacy o sicurezza viene messa in pericolo dalla disseminazione disattenta di dati personali attraverso i loro dispositivi digitali, ma stavolta è diverso.

Un uomo di 38 anni responsabile di due omicidi nel Regno Unito è stato incastrato dai dati del suo orologio GPS Garmin Forerunner 10.

La polizia aveva già sospetti sull’uomo. Durante una perquisizione in casa sua, ha sequestrato lo smartwatch, che è stato analizzato da un perito. I dati di geolocalizzazione del Garmin hanno dimostrato che l‘uomo era stato nelle vicinanze della casa della vittima il 29 aprile 2015, due mesi prima dell’omicidio, presumibilmente per un sopralluogo.

L’orologio ha permesso di ricostruire il viaggio dell’omicida dalla propria casa fino al luogo del delitto, il suo appostamento per attendere la vittima e il suo percorso di fuga. I dati raccolti dallo smartwatch includevano naturalmente gli orari e anche le velocità, che hanno permesso di capire che l’omicida si spostava probabilmente in bicicletta e a piedi per essere più anonimo. Non è bastato.

L’assassino è stato processato e condannato all’ergastolo.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Hacker educato parla attraverso la telecamera insicura e aiuta a sistemarla

Hacker educato parla attraverso la telecamera insicura e aiuta a sistemarla

Credit: Nest.

Racconto spesso storie inquietanti di intrusioni informatiche, ma non tutti gli intrusi vengono per nuocere. Hot for Security segnala quello che è successo ad Andy Gregg, un agente immobiliare che vive a Phoenix: si è accorto che qualcuno gli stava parlando attraverso la telecamera di sorveglianza Nest installata in giardino.

Il signor Gregg ha spiegato all’Arizona Republic che ha avuto la prontezza di registrare col proprio telefonino quello che gli è successo: la voce era quella di un hacker canadese che gli ha spiegato di far parte di un gruppo di informatici che prende il controllo delle telecamere per avvisare gli utenti che sono vulnerabili perché hanno impostato maldestramente questi dispositivi.

Come tanti altri, anche Gregg aveva protetto (si fa per dire) la propria Nest con la stessa password che usava per i propri account di altri servizi Internet. Uno di questi servizi era stato violato, come capita spesso, e quindi la sua login e la sua password erano in giro su Internet, a disposizione di qualunque malintenzionato, il cui primo tentativo sarebbe stato quello di provare a entrare con quella password in tutti gli account legati alla persona.

Gregg non aveva neanche usato l’autenticazione a due fattori, disponibile sull’app Nest. Gli è andata bene: avrebbero potuto rubargli l’indirizzo di mail account, prendere il controllo del suo profilo Facebook profile, ordinare merci su Amazon, e altro ancora. Invece l’incontro con l’hacker lo ha convinto a cambiare le proprie password e a scollegare la telecamera.

Non aspettate un incontro analogo per fare altrettanto.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Roomba diventa una periferica di gioco molto particolare

Roomba diventa una periferica di gioco molto particolare

Roomba, l’aspirapolvere automatico di iRobot, ha una funzione poco conosciuta ma piuttosto ficcanaso: quando esplora la casa per memorizzare una mappa degli ostacoli e della zona che deve pulire, trasmette questa mappa e molti altri dati all’azienda, che si riserva la facoltà di cederli a terzi (per esempio Amazon, come descritto qui su Gizmodo).

Se consegnare a sconosciuti una mappa completa di casa vostra vi lascia un po’ perplessi, c’è chi invece la prende con spirito ludico, come Rich Whitehouse, uno sviluppatore di videogiochi che ha pensato di usare i dati acquisiti dai Roomba per creare un livello di gioco di Doom basato sulla disposizione dei mobili della casa del giocatore.

Se vi stuzzica l’idea di inseguire mostri nel vostro soggiorno, non vi resta che scaricare il software gratuito di Whitehouse, ringraziandolo se possibile con una donazione, e seguire le sue istruzioni di installazione. Inevitabilmente, il software è stato battezzato da Whitehouse con un gioco di parole che anche secondo lui è terribile: Doomba.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Campanelli digitali, video visibili a sconosciuti

Campanelli digitali, video visibili a sconosciuti

Se avete acquistato un campanello digitale Ring di Amazon, tenete presente che i video registrati da questo dispositivo possono essere stati condivisi con sconosciuti e guardati dallo staff dell’azienda.

Secondo le indagini di The Intercept e di The Information, i video acquisiti da campanelli e telecamere di sorveglianza internet di questa marca venivano accumulati nel cloud di Amazon e messi a disposizione dei dipendenti in Ucraina e dei dirigenti negli Stati Uniti, senza crittografia per ridurre i costi e facilitare l’accesso. Per accedere a quello che vedevano le telecamere degli utenti era sufficiente conoscere il loro indirizzo di mail.

Inoltre la vantata “intelligenza” di riconoscimento delle immagini di queste telecamere era in realtà basata sull’instancabile e frenetico lavoro di un gran numero di dipendenti che esaminavano manualmente i video per valutarli. A giudicare dalle inserzioni su LinkedIn, questa prassi continua tuttora.

Secondo le fonti di The Intercept, “i dipendenti di Ring si scambiavano i video che stavano etichettando e descrivevano alcune delle cose che avevano visto, come persone che si baciavano, sparavano con armi da fuoco e rubavano”.

Di fronte a queste notizie, la maggior parte della gente reagisce dicendo “ma io non ho niente da nascondere”. Pensateci la prossima volta che vostra figlia torna a casa con il suo partner.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Scegliere un impianto di videosorveglianza non attaccabile

Scegliere un impianto di videosorveglianza non attaccabile

Da un lettore, Andrea, mi è arrivata una domanda a proposito di telecamere per monitoraggio domestico: “…vorrei installare nella mia abitazione un sistema di videosorveglianza. Sono
però spaventato dall’eventualità che il sistema possa essere hackerato e
che io e la mia famiglia veniamo spiati nel nostro quotidiano.”

In effetti oggi c’è l’abitudine molto diffusa di realizzare un impianto di videosorveglianza domestica usando le telecamerine IP (quelle che usano i protocolli di Internet) collegabili tramite Wi-Fi che sono in vendita nei negozi d’informatica invece di collegare le telecamere e gli altri sensori tramite cavi. Questo espone a un paio di rischi fondamentali.

Il primo è che qualunque cosa interferisca con il segnale Wi-Fi (dal forno a microonde al telefono cordless, vostro o del vicino, al jammer professionale dei ladri) rischia di impedire alle telecamere di inviare le proprie immagini al software o al dispositivo di gestione degli allarmi. Meglio quindi adottare, se possibile, telecamere collegabili tramite cavi. Molte offrono un connettore Ethernet al quale si possono collegare cavi piatti poco ingombranti.

Il secondo è che un impianto di telecamerine IP che si affaccia a Internet in modo normale può essere accessibile a un intruso. Molte di queste telecamerine hanno password predefinite per interrogarle da remoto, che sono note a chiunque legga il manuale e che molti acquirenti non sanno di dover cambiare.

Non ci si può affidare alla speranza di passare inosservati, perché se una telecamerina IP è affacciata direttamente a Internet è facile da trovare, visto che si annuncia di solito con marca e modello ed esistono appositi motori di ricerca, come Shodan. E se la password è quella predefinita o il software delle telecamerine non è aggiornato ed è vulnerabile, entrarvi è assolutamente banale.

Queste telecamere vanno quindi installate in modo che non siano accessibili direttamente dall’esterno. Per esempio, si può impostare il proprio software di videosorveglianza in modo che le telecamere mandino immagini o video esclusivamente tramite mail se e quando rilevano un movimento. In alternativa, si può rinunciare completamente alla trasmissione all’esterno delle immagini e non collegare le telecamere a Internet, salvando le immagini localmente. Questo ovviamente impedisce la sorveglianza in tempo reale, ma è decisamente più sicuro che lasciare tutto alla mercé del primo smanettone che passa.

A parte queste considerazioni, è sempre consigliabile affidarsi a un installatore professionista che improvvisare un fai da te.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Facebook propone gente che hai semplicemente incrociato

Facebook propone gente che hai semplicemente incrociato

Rispondo a una domanda arrivata da una lettrice, Maria Elena, che si chiede se questo post letto su Facebook è credibile:

“Ieri sono stata a scuola ad udienze, per due ore circa sono stata seduta di fronte ad una mamma ed a fianco ad un papà che attendevano le udienze assieme a me, nel mezzo di una ressa incredibile. Abbiamo riso, scherzato e chiacchierato parecchio, ma senza MAI presentarci, d’altronde eravamo SOLO genitori in coda.

STAMATTINA Facebook guarda caso mi presenta i suoi soliti suggerimenti di amicizia e chi mi propone?? LORO!! LORO DIAMINE!!!

Ma…??

Sottolineo che ho la geolocalizzazione disattivata. Giuro che non conoscevo ne i loro nomi ne nulla e non ho MAI aperto Facebook in quel tempo…”

Sì, è perfettamente credibile. Ne avevo citato alcuni casi in questo mio articolo del 2016. Facebook usa ogni sorta di espediente per proporci nuovi “amici” e quindi farci passare più tempo sul social network, e in questo caso è presumibile che riesca a dedurre che siamo in un certo luogo a una certa ora anche a geolocalizzazione spenta perché sa quali Wi-Fi sono visibili ai telefonini degli utenti, anche se gli utenti non si collegano ai Wi-Fi in questione.

Il mio suggerimento per chi trova inaccettabile questo tipo di sorveglianza è semplicemente disinstallare Facebook dal telefonino ed eventualmente decidere di eliminare permanentemente il proprio profilo (le istruzioni sono qui). Del resto, a giudicare dai miei sondaggi informali nelle scuole, Facebook è già ignorato dalla stragrande maggioranza degli studenti delle scuole medie.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.