Vai al contenuto
Attenzione a Meitu, app un po’ troppo spiona

Attenzione a Meitu, app un po’ troppo spiona

Si dice spesso in informatica che se un servizio ti viene offerto gratis e lo usi, non sei il cliente: sei il prodotto in vendita. Un esempio perfetto di questa regola è Meitu, una popolare app per iOS e Android che permette di ritoccare in stile anime i selfie.

Meglio starne alla larga: gli esperti di sicurezza l’hanno esaminata e hanno scoperto che quest’app, che in teoria avrebbe bisogno solo di accedere alla fotocamera e alle foto, in realtà raccoglie la localizzazione GPS, il nome dell’operatore telefonico, la connessione Wi-Fi, l’identificativo della carta SIM, lo stato “craccato” o meno del dispositivo e altri dati personali che consentono di tracciare l’utente durante la navigazione in Rete. Questi dati vengono poi inviati ai server del creatore cinese dell’app.

Secondo il ricercatore Jonathan Zdziarski, Meitu è “un’accozzaglia raffazzonata di vari pacchetti di analisi e di marketing e tracciamento pubblicitario, con qualcosa di carino che induca le persone a usarla”. Molte app gratuite guadagnano raccogliendo informazioni personali che poi rivendono a società di marketing: è ormai una norma, perché pur di avere qualche like e retweet molti utenti sono disposti a chiudere un occhio, o entrambi, sulle questioni di sicurezza.

Questa purtroppo è una tendenza alla quale ci stiamo abituando nonostante gli ammonimenti degli addetti ai lavori, come quelli di Wired, The Register e TechCrunch per Meitu. Il risultato è, per esempio, che gli anni passano, l’app ficcanaso viene dimenticata ma rimane
installata e raccoglie silenziosamente dati anche quando si entra nel
mondo del lavoro e quindi sul telefonino risiedono informazioni sensibili come gli spostamenti di lavoro che permettono di tracciare le attività e i rapporti di un’azienda.

Facebook guarda e riconosce automaticamente tutte le foto che postate e le descrive

Facebook guarda e riconosce automaticamente tutte le foto che postate e le descrive

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2017/01/14 13:45.

Gli esperti di sicurezza e privacy di Labnol segnalano una particolarità poco conosciuta di Facebook: ogni foto che caricate viene analizzata da un sistema automatico di riconoscimento delle immagini. Lo potete vedere all’opera prendendo una qualsiasi foto di Facebook, vostra o di qualcun altro, cliccandovi sopra per mostrarla in modalità galleria fotografica e usando gli strumenti avanzati del browser (meglio su computer, non su smartphone) per vedere il codice che compone la pagina contenente la foto. Nel codice troverete un img class=”spotlight” seguito da una descrizione della foto, che viene generata automaticamente.

Per esempio, secondo Facebook questa foto “può contenere: 2 persone”, riconosciute nonostante i vestiti ampi ne coprano e confondano le forme.

Facebook riconosce una persona anche se è mascherata dentro l’involucro informe di uno scafandro spaziale ed è vista di lato: dice che questa foto “può contenere: una o più persone”.

Ho provato a caricare la foto di un gatto che è visibile solo per metà ed è a cavalcioni di un monitor di computer, e Facebook l’ha descritta immediatamente come “gatto e schermo”:

Nelle demo di Labnol ci sono esempi nei quali Facebook riconosce “una o più persone in bicicletta all’aperto”, “tre persone sedute”, “un paio di occhiali”, e addirittura conta le persone presenti, come nel caso mostrato qui sotto, dove dichiara “26 persone, persone che sorridono, persone sedute, persone in piedi e al chiuso”:

Se già questo è un risultato notevole (qualcosa di simile esiste anche in Google Foto) concepito per aiutare i non vedenti, Facebook sta sperimentando un sistema chiamato DeepFace, che è in grado di riconoscere l’identità precisa delle persone nelle foto con la stessa affidabilità di un essere umano e meglio del sistema di riconoscimento usato dall’FBI, secondo Computerworld. Non solo: riesce spesso a identificare anche persone il cui volto non è visibile, guardando l’acconciatura, la corporatura, la posizione e l’abbigliamento.

Il potere di schedatura di massa di queste tecnologie è impressionante: significa che uno sconosciuto può fotografarvi per strada e scoprire chi siete e qual è il vostro account sui social network, come avviene già in Russia con Findface.ru, con risultati inquietanti documentati in molti video.

A proposito di riconoscimento facciale, se siete utenti di Facebook e volete evitare che il social network vi riconosca in ogni foto e suggerisca automaticamente a tutti il vostro nome come tag, potete andare (da computer) nelle Impostazioni del diario e dei tag del vostro account e scegliere la voce Come faccio a gestire i tag aggiunti dalle persone e i suggerimenti di tag? e la sottosezione Chi può vedere i suggerimenti dei tag quando vengono caricate foto che ti somigliano?: scegliete l’opzione Nessuno e poi Chiudi.



Fonti aggiuntive: F-Secure.

Se il testimone cruciale di un omicidio è la casa “smart”

Se il testimone cruciale di un omicidio è la casa “smart”

Ultimo aggiornamento: 2017/01/03 14:50.

Negli Stati Uniti, specificamente nello stato dell’Arkansas, c’è un uomo, James Andrew Bates, che è accusato di aver strangolato l’amico, Victor Collins, trovato morto in una vasca da bagno della casa del sospettato a fine novembre 2015. Cosa c’entra questo con Internet e l’informatica? C’entra eccome, perché l’innocenza o colpevolezza del signor Bates dipende da un testimone decisamente particolare: la casa stessa, che è un’abitazione “smart”, i cui dispositivi digitali interconnessi possono aver registrato dei dati estremamente importanti intorno all’ora del delitto.

La casa di Bates è infatti dotata di un dispositivo Echo di Amazon, un apparecchio che risponde ai comandi vocali del proprietario e fa da assistente virtuale: una sorta di Siri o di OK Google, ma senza lo smartphone. I suoi sette microfoni sono molto sensibili e permettono di captare le voci anche a una notevole distanza dal dispositivo.

Gli inquirenti hanno ordinato ad Amazon di fornire eventuali dati o registrazioni sonore acquisiti dal dispositivo e riguardanti la sera del delitto, perché Echo è sempre in ascolto, in attesa che qualcuno pronunci una parola chiave (solitamente è Alexa) e quindi può aver captato, conservato e trasmesso ad Amazon degli spezzoni di conversazioni o dell’audio di casa che potrebbero chiarire la dinamica degli eventi. Va ricordato, infatti, che Amazon conserva sui propri computer tutti questi spezzoni audio.

In effetti la polizia ha dichiarato di aver estratto dei dati dal dispositivo, senza però precisare quali, e Amazon ha fornito agli inquirenti i dettagli dell’account dell’accusato e dei suoi acquisti, ma non ha rilasciato le informazioni che Echo ha registrato sui server dell’azienda.

La casa “smart” è al centro di queste indagini anche per un altro dispositivo: un contatore dell’acqua “intelligente”, che ha registrato l’uso di circa 530 litri d’acqua fra l’una e le tre del mattino del giorno del delitto. Secondo gli inquirenti, questa notevole quantità sarebbe stata usata per lavar via dal patio della casa le tracce di quello che era successo. E sulla scena del delitto ci sono anche altri dispositivi della cosiddetta Internet delle cose: un termostato Nest, un sistema d’allarme Honeywell, un dispositivo di monitoraggio senza fili delle condizioni meteo e degli apparati WeMo per il controllo dell’illuminazione. Ciascuno di questi apparecchi registra data, ora e condizioni di attivazione e spegnimento.

Tutti insieme, questi sorveglianti digitali potrebbero decidere la sorte dell’accusato: uno scenario che fino a pochi anni fa sarebbe sembrato fantascientifico, ma è ormai una realtà sempre più diffusa, anche se spesso non ce ne rendiamo conto. Da tempo i nostri smartphone tracciano la nostra posizione, i braccialetti di fitness registrano l’attività fisica e molte automobili hanno una “scatola nera” che consente di ricostruire fedelmente la dinamica degli incidenti invece di dover dipendere dai ricordi imprecisi dei testimoni. L’importante è sapere chi e cosa ci sorveglia e avere accesso a questi dati, in modo che il Grande Fratello sia, ogni tanto, un fratello maggiore che ci protegge.

Fonti: Cnet, Engadget, The Register, The Information.

Telefonino nuovo? Mettetegli un cane da guardia. Ma pensateci bene

Telefonino nuovo? Mettetegli un cane da guardia. Ma pensateci bene

Se per Natale vi capita di ricevere in regalo uno smartphone nuovo e costoso, c’è purtroppo il rischio che qualcuno ve lo rubi. C’è chi installa apposite app di tracciamento per gestire questo tipo di situazione spiacevole, ma c’è anche chi usa queste app in maniera inconsueta. Uno studente di cinematografia olandese, Anthony van der Meer, dopo aver subìto il furto di un iPhone, ha deciso installare Cerberus su un Android e ha lasciato che il telefonino gli venisse rubato, per poi documentare come veniva utilizzato. Il risultato è un documentario di 21 minuti, Find My Phone.

Cerberus resiste ai reset e ai cambi di SIM che di solito rendono inservibili i normali sistemi di tracciamento degli smartphone rubati o smarriti, e consente di accedere da remoto ai file presenti nel dispositivo e accenderne la fotocamera e il microfono. Così lo studente è riuscito a pedinare, fotografare e ascoltare le conversazioni del ladro (o di qualcuno che aveva successivamente acquisito il suo smartphone-esca). Lo ha seguito nei suoi viaggi e spostamenti in Olanda e in altri paesi. Ha intercettato le chiamate dell’uomo a una linea erotica e registrato una lunga conversazione fra il sorvegliato e una donna. Ha imparato a conoscerne le abitudini e i comportamenti.

Il sorvegliato non era affatto quello che lo studente si aspettava: aveva una vita, una religione, delle amicizie, dei problemi. Poi van der Meer è andato a visitare di persona il luogo dove abitava il presunto ladro, scoprendo che spesso dormiva in un rifugio per senzatetto o a casa di amici e incontrandolo faccia a faccia.

Van der Meer è rimasto così scosso dalla sua intrusione nella vita di un’altra persona che ha finito per mandare al “ladro” del credito telefonico, visto che la sua sorveglianza tramite Cerberus consumava molto credito per la trasmissione di dati.

Lascio i dettagli e l’epilogo della vicenda alla vostra visione di Find my Phone, ma l’esperimento dello studente mostra la potenza dei sistemi di sorveglianza incorporabili nei telefonini e pone seri problemi di legalità. Come nota Sophos, installare un sistema di tracciamento sui propri dispositivi è lecito, ma usarlo per sorvegliare le persone (per esempio installandolo sul telefonino del partner o del coniuge) è indubbiamente illegale.

C’è anche un altro rischio: le persone sorvegliate vengono trattate come colpevoli fino a prova contraria, dimenticando che potrebbero anche essere innocenti, avendo trovato il telefonino o avendolo ricevuto senza conoscerne la provenienza furtiva, come è già successo in alcuni casi analoghi di utilizzo di sistemi antifurto.

Google Contatti Fidati, l’app per farsi localizzare senza essere assillati

Google Contatti Fidati, l’app per farsi localizzare senza essere assillati

Se state cercando un modo per condividere la vostra localizzazione con le persone fidate quando vi capita un’emergenza ma non volete essere sorvegliati in continuazione, provate Contatti Fidati di Google: un’app gratuita e disponibile per ora solo per dispositivi Android ma prossimamente offerta anche per iOS.

Google spiega il suo funzionamento in questo modo: se la usate, definite dei contatti fidati (da cui il nome) che saranno in grado di sapere se vi siete spostati recentemente (ma non dove siete) e se siete online. Siete voi, poi, a decidere se e quando condividere con questi contatti fidati la vostra localizzazione.

A loro volta, i contatti fidati posso chiedervi dove siete quando sono in pensiero per voi: potete negare la richiesta e quindi indicare che tutto va bene, senza rivelare dove siete. Ma se non negate la richiesta, per esempio perché non siete in condizioni di rispondere, la vostra localizzazione verrà condivisa con loro automaticamente. Il tutto, naturalmente, è disattivabile a piacimento.

Come opzione ulteriore, se vi perdete o se vi sentite a disagio potete usare l’app per chiedere a un amico di “accompagnarvi” virtualmente fino a casa o alla vostra destinazione sicura.

Se pensavate di regalare giocattoli “smart”, pensateci due volte: sono spioni e pettegoli

Se pensavate di regalare giocattoli “smart”, pensateci due volte: sono spioni e pettegoli

Ultimo aggiornamento: 2016/12/13 14:35. 

State pensando di regalare per Natale qualche giocattolo elettronico “smart” e interconnesso? Pensateci bene e soprattutto informatevi, per non trovarvi con sorprese spiacevolmente ficcanaso. Molti di questi oggetti, infatti, permettono a sconosciuti di spiarvi in casa, raccolgono dati personali e sono privi delle misure di sicurezza informatica di base.

In particolare, l’Ufficio europeo delle Unioni dei Consumatori (BEUC) e l’Electronic Privacy Information Center (EPIC) segnalano che i microfoni sempre aperti di molti di questi dispositivi rubano informazioni, permettono a intrusi di sorvegliare e spiare i bambini e fanno pubblicità scorretta, in violazione delle direttive europee sui diritti dei consumatori, sulla privacy e sulla sicurezza.

L’Ufficio europeo fa nomi e cognomi, citando per esempio la bambola My Friend Cayla e il robot i-Que, fabbricati dalla Genesis Toys e dotati dei sistemi di riconoscimento vocale della Nuance Communications. Questi giocattoli dialogano con i bambini e ne registrano la voce, per poi rispondere con frasi pubblicitarie preconfezionate. “Cayla è ben contenta di parlare di quanto le piacciono i vari film della Disney”, nota il BEUC, sottolineando che guarda caso “il fornitore dell’app ha un rapporto commerciale con la Disney”.

Questi giocattoli sono inoltre accompagnati da una licenza d’uso (sì, adesso anche le bambole hanno una licenza d’uso). Questa licenza dice che i suoi termini possono essere cambiati senza preavviso e che i dati personali raccolti – quelli dei vostri figli – possono essere usati a scopo pubblicitario e condivisi con terzi.

Come se non bastasse, questi dispositivi digitali possono essere intercettati usando un telefonino, per cui uno sconosciuto può ascoltare quello che dicono in casa i bambini e usare quello che dicono per fare stalking e altro, come dimostrato in un video preparato da un’associazione norvegese di consumatori. Il narratore del video prende il controllo di una bambola, ascolta quello che viene detto vicino ad essa e le fa dire quello che vuole nonostante lui sia all’esterno dell’edificio nel quale sta il giocattolo.

Fra l’altro, l’azienda di sicurezza Pen Test Partners aveva già segnalato l’anno scorso che la bambola My Friend Cayla era afflitta da questi problemi e li aveva dimostrati modificandola in modo da farle dire parolacce.

Varie associazioni di difesa dei consumatori hanno depositato una contestazione presso la FTC, la principale agenzia governativa statunitense per la protezione dei consumatori. Nuance Communications, da parte sua, dice di aver rispettato la propria politica aziendale per quanto riguarda i dati vocali raccolti attraverso questi giocattoli.

Comunque sia, questo episodio è un buon promemoria di una regola da adottare più in generale quando si fa un acquisto elettronico: chiedersi sempre se l’oggetto si collega a Internet, che dati raccoglie e che sicurezze ha, e se tutto questo è realmente necessario e soprattutto utile. Ora questa domanda va fatta persino per bambole e robot. Viviamo in tempi interessanti.

Fonti: The Register, BoingBoing, Consumerist.

Quante tracce lasciamo quando navighiamo nel Web? Questo sito te lo dice

Quante tracce lasciamo quando navighiamo nel Web? Questo sito te lo dice

Il nome del sito è memorabile e accattivante: Clickclickclick.click. Visitatelo tenendo alzato (ma non troppo) il volume del sonoro e scoprirete che finché tenete aperta la pagina, anche se navigate altrove, una voce sarcastica in inglese descriverà e commenterà le vostre attività nel browser.

I clic singoli e doppi, gli spostamenti del cursore, le caratteristiche del vostro computer, i ridimensionamenti della finestra e molte altre cose ancora verranno descritti a voce e anche per iscritto sullo schermo.

A che serve tutto questo? A mostrare esplicitamente quali e quante cose possono sapere su di noi i gestori dei siti che visitiamo. È sulla base di analisi delle nostre attività come questa che gli inserzionisti decidono di piazzare i propri contenuti pubblicitari, ma di solito quest’analisi è invisibile.

Clickclickclick.click, dicono i suoi creatori olandesi di VPRO Medialab, “rivela gli eventi del browser che vengono utilizzati per monitorare il nostro comportamento online”. Sapevate di essere monitorati così tanto?

Kim Kardashian, sequestro e megarapina agevolati dal suo uso dei social network?

Kim Kardashian, sequestro e megarapina agevolati dal suo uso dei social network?

Pochi giorni fa Kim Kardashian è stata aggredita, legata e imbavagliata in un albergo di Parigi da cinque uomini armati, travestiti da poliziotti, che hanno ordinato al concierge di aprire la porta della suite della celebrità.

I criminali si sono poi allontanati con un bottino di circa dieci milioni di dollari di gioielli appartenenti alla donna o datile in prestito per la sfilata di moda alla quale doveva presenziare.

Ma come hanno fatto i malviventi a sapere esattamente dove trovare Kim Kardashian? L’albergo dove risiedeva è noto per la sua massima discrezione, eppure gli aggressori sapevano precisamente in quale suite di lusso si trovava la donna.

Alcuni esperti informatici si sono quindi chiesti se l’uso intensivo dei social network da parte della Kardashian e del suo staff abbia contribuito al suo tracciamento e alla sua localizzazione così precisa. Kim Kardashian, va notato, è una superstar sui social (su Instagram ha quasi 85 milioni di seguaci) e pubblica foto in continuazione per promuovere la propria immagine di celebrità dei reality e quella dei propri sponsor.

Il sito Gizmodo, per esempio, ha compilato tutte le informazioni pubblicate sui social dalla Kardashian, notando che nei giorni precedenti l’aggressione e la sera stessa aveva pubblicato su Facebook e su Instagram foto e video dei propri preparativi nella residenza all’Hotel de Pourtalès, che è riconoscibile dalle finestre molto caratteristiche sullo sfondo. Gli esterni e gli interni della residenza erano stati illustrati in dettaglio su Internet dall’architetto che li aveva progettati, per cui i malviventi potevano avere accesso via Internet a una mappa dettagliata degli ambienti in cui avrebbero agito.

Inoltre una delle ultime immagini della sera dell’aggressione era stata inviata alle 2:30 del mattino (ora locale), grosso modo l’ora alla quale hanno agito i criminali. In altre parole, se i malviventi avevano fatto un po’ di ricerca e seguivano la Kardashian sui social avevano la conferma in tempo reale che la donna era dove si aspettavano che fosse.

I post della Kardashian, va detto, non includevano dati di geolocalizzazione espliciti, ma per identificare i luoghi mostrati nelle foto bastava guardarne i dettagli e seguire la cronaca delle pubblicazioni di gossip e moda. La guardia del corpo della Kardashian, Pascal Duvier, era assente al momento dell’aggressione: stava scortando le sorelle della celebrità, anche loro molto attive sui social con tante immagini nelle quali inevitabilmente compariva Duvier, per cui era facile sapere se la guardia del corpo era nella suite o con le sorelle quella sera.

Anche se non siete famosi come le Kardashian, vale la pena di riflettere su quanto possano essere sfruttate per scopi ostili le informazioni che pubblicate sui social network, per esempio per pianificare un furto in casa mentre siete in vacanza. Questo non vuol dire che i social network non vanno usati: semmai vanno impostati in modo da non condividere questo genere di informazioni al di fuori della cerchia degli amici. Amici, s’intende, reali, non nell’accezione falsa inventata da Facebook, e soprattutto amici di cui avete verificato personalmente le identità che usano online. Un’imprudenza digitale può costare cara nel mondo reale.

Malware per Mac spia attraverso la webcam, la spia luminosa non allerta l’utente

Malware per Mac spia attraverso la webcam, la spia luminosa non allerta l’utente

I ratter, i guardoni e spioni che infettano i computer per sorvegliare gli utenti attraverso le telecamerine integrate, non sono una novità. Ma è in circolazione una nuova tecnica di ratting alla quale è importante fare attenzione anche se si usa un Mac.

Finora i computer della Apple erano stati abbastanza protetti da questa forma di attacco, anche perché il modo in cui sono costruiti rende estremamente difficile (ma non impossibile) attivare la telecamera integrata senza che si illumini la spia accanto alla telecamera stessa. L’utente spiato, insomma, si rende conto facilmente che la telecamera è accesa quando non dovrebbe esserlo e quindi capisce di essere sotto sorveglianza.

Ma l’esperto di sicurezza informatica Graham Cluley segnala che i ratter hanno trovato una soluzione a questa limitazione per registrare audio e video di nascosto anche sui Mac: basta aspettare che l’utente usi la telecamera per altre ragioni, come una sessione Skype o Facetime, e a quel punto attivare un secondo flusso audio e video parallelo al primo. L’utente non nota nulla di strano e ovviamente non si sorprende che la spia luminosa sia accesa. La registrazione segreta termina automaticamente quando termina la sessione legittima.

Questa tecnica è stata incorporata nei malware Eleanor e Mokes e in altri software ostili per Mac, per cui ora anche gli utenti Apple dovranno fare maggiore attenzione. Il rimedio drastico è il classico tappino o adesivo sulla telecamera, ma se usate spesso la telecamera questo continuo attacca e stacca è una scocciatura.

Per venire incontro a quest’esigenza, l’informatico Patrick Wardle ha sviluppato un’app, OverSight, che avvisa l’utente se un programma attiva il microfono integrato o accede alla webcam, anche se questi dispositivi sono già in uso.

Facebook traccerà gli utenti quando entreranno nei negozi degli inserzionisti

Facebook traccerà gli utenti quando entreranno nei negozi degli inserzionisti

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/06/17 14:30.

Se avevate ancora qualche dubbio sul fatto che chi usa i social network non è un cliente ma è un prodotto da vendere, un recente annuncio di Facebook dovrebbe togliervelo.

Facebook ha infatti annunciato che userà la geolocalizzazione, fornita dallo smartphone dell’utente tramite il GPS integrato e la scansione automatica delle reti Wi-Fi vicine, e la abbinerà alle pubblicità viste, allo scopo di informare i rivenditori su quanti utenti vedono la loro pubblicità su Facebook e poi vanno nei loro negozi.

Sarà inoltre possibile sapere quanti di questi utenti effettuano anche un acquisto. Gli utenti, in cambio, avranno il vantaggio di essere avvisati dell’ubicazione del negozio più vicino nel quale è disponibile il prodotto reclamizzato.

Facebook non è l’unica o la prima a offrire un servizio del genere: Google lo fa già con AdWords dal 2014, secondo Sophos. Va detto anche che l’utente non sarà identificato personalmente, perché i dati verranno raccolti in forma aggregata.

Se comunque questo genere di tracciamento vi inquieta, disattivate i servizi di localizzazione: se avete un iPhone o uno smartphone Android che usa la versione 6.0 o successiva di Android, potete farlo selettivamente per l’app di Facebook.

Per l’iPhone, andate in Impostazioni – Privacy – Localizzazione – Facebook e scegliete Mai. Fatelo anche per Messenger, Instagram e WhatsApp, che fanno parte della famiglia di Facebook.

Per gli Android 6.0 o successivi, andate in Impostazioni – Geolocalizzazione – Facebook – Autorizzazioni e disattivate Posizione. Questo è il percorso sul mio Nexus 5x; altri modelli, mi segnalano nei commenti, ne propongono differenti. Per esempio, provate Impostazioni – Generali – Gestione Telefono – Applicazioni – Facebook – Autorizzazioni e disattivate La tua posizione. In alternativa, provate Impostazioni – Applicazioni – Gestione Applicazioni – Facebook – Autorizzazioni e disattivate la voce Posizione. Ripetete la procedura per Messenger, Instagram e WhatsApp. Per gli Android precedenti è disponibile soltanto la disabilitazione generale della geolocalizzazione, spegnendo GPS e Wi-Fi.