Ultimo aggiornamento: 2018/01/30 9:50.

Quando gli esperti di sicurezza parlano della necessità di tutelare la privacy digitale e di non lasciare che le aziende possano raccogliere disinvoltamente dati sulle nostre attività capita spesso di sentire l’obiezione “Ma tanto io non ho niente da nascondere, e poi cosa vuoi che se ne facciano dei miei dati?”.

Una dimostrazione eloquente e un po' inquietante di quello che si può fare con dati apparentemente innocui se li si aggrega e analizza è arrivata proprio pochi giorni fa: gli esperti si sono accorti che i dati combinati dei braccialetti digitali di fitness rivelano l’ubicazione delle basi militari in vari paesi del mondo, compresi molti luoghi estremamente sensibili o segreti.

Molti utenti di questi dispositivi riversano le proprie passeggiate, corse, pedalate, nuotate, sciate o vogate in app come Strava, che si definisce un “social network per atleti”. Lo fanno per tracciare i propri progressi o per competere via Internet con altri utenti. Questi dati includono la distanza percorsa, la velocità e le calorie consumate e anche la geolocalizzazione. Gli utenti possono scegliere di non condividere questi dati, ma molti li lasciano liberamente accessibili. Tanto che male c’è? Anzi, magari c’è da mostrare agli amici qualche risultato.

Ma a novembre scorso Strava ha deciso di rendere pubblica su Internet una dettagliatissima mappa mondiale interattiva dei percorsi seguiti dai suoi utenti [circa 27 milioni] nel corso del tempo: circa un miliardo di attività [tre trilioni di coordinate latitudine-longitudine, 10 terabyte di dati]. In questa mappa i percorsi più frequentati sono evidenziati da linee più luminose.

Bell’idea, però quando queste linee tracciano percorsi in zone desertiche o interessate da conflitti, rivelano la presenza di una categoria di persone che comprensibilmente svolgono molta attività fisica: i militari, che per esempio fanno jogging dentro e intorno alle proprie basi, facendole così spiccare luminose nelle zone altrimenti disabitate e disegnandone i contorni e le forme interne, perché non hanno disabilitato la geolocalizzazione e non hanno attivato le opzioni di protezione della privacy offerte da Strava.

Strava released their global heatmap. 13 trillion GPS points from their users (turning off data sharing is an option). https://t.co/hA6jcxfBQI … It looks very pretty, but not amazing for Op-Sec. US Bases are clearly identifiable and mappable pic.twitter.com/rBgGnOzasq

— Nathan Ruser (@Nrg8000) 27 gennaio 2018

Fitbit heatmap inside GCHQ building (left) is more hot than inside NSA building, probably because it rains all the time in the UK. https://t.co/a4a5AV4BCD pic.twitter.com/BCf8Hux2T2

— Mustafa Al-Bassam (@musalbas) 28 gennaio 2018

Pretty faint but data from the Strava exercise app shows like China has deployed joggers to its disputed Woody Island in the South China Sea, in addition to fighter jets and HQ-9 SAMs pic.twitter.com/HG6zkb8tcw

— Adam Rawnsley (@arawnsley) 27 gennaio 2018

A Russian soldier apparently went through the Kuzminsky base (largest of the new Russian bases near Ukrainian border) with their Strava tracking enabled. pic.twitter.com/4DdPfvvSkz

— Aric Toler (@AricToler) 28 gennaio 2018

Looks like someone with a Fitbit was jogging a bit too close to the Korean DMZ https://t.co/6GgksVROTU pic.twitter.com/gV0vJy5VQM

— Mustafa Al-Bassam (@musalbas) 28 gennaio 2018

North Korean and South Korean soldiers with Fitbits jogging in front of each other on both sides of the DMZ 🌈🌈🌈 https://t.co/ltjeLAPzlV pic.twitter.com/vm3Nnw88Fw

— Mustafa Al-Bassam (@musalbas) 28 gennaio 2018

If soldiers use the app like normal people do, by turning it on tracking when they go to do exercise, it could be especially dangerous. This particular track looks like it logs a regular jogging route. I shouldn't be able to establish any Pattern of life info from this far away pic.twitter.com/Rf5mpAKme2

— Nathan Ruser (@Nrg8000) 27 gennaio 2018

All activity + cycling routes around and inside Pine Gap military facility, Australia #Strava https://t.co/ZRYpYyMVvq https://t.co/K9dtVn3iVp pic.twitter.com/CE9jNWU6F5

— Ketan Joshi (@KetanJ0) 28 gennaio 2018

This is Strava fitness tracker data at HMNB Clyde, a military base where Britain's nuclear weapons are stored. How are the security checks so bad in these places, that employees are allowed to bring arbitrary electronic devices in close proximity to nukes? https://t.co/5BtgiZ4NNK pic.twitter.com/e9mQpPbGD4

— Mustafa Al-Bassam (@musalbas) 29 gennaio 2018

It gets better, someone even created a Strava run segment in the UK nuclear weapons military base (HMNB Clyde) called "You shouldn't be using Strava here", but it was clearly ignored by employees. pic.twitter.com/RCzktTefpS

— Mustafa Al-Bassam (@musalbas) 29 gennaio 2018

So you could find out which hero did this? https://t.co/u06WLZsXPq pic.twitter.com/xsepQAR1pt

— Dave Clark (@DaveClark_AFP) 29 gennaio 2018

Nei paesi in guerra questi dati rischiano di essere sfruttabili per esempio per un’imboscata o un attacco. La mappa, infatti, è consultabile da chiunque, ed è facile anche estrarne i dati individuali e scoprire i nomi degli utenti e i rispettivi percorsi abituali: dati perfetti per pedinare o rapire qualcuno. Su Twitter fioccano così le segnalazioni di installazioni militari sensibili di vari paesi, per esempio in Siria e in Afganistan, messe a nudo dalla decisione di Strava di rendere pubblici i propri dati senza pensare alle conseguenze, ma anche dalla mancanza di consapevolezza da parte di chi usa questi dispositivi e queste app di fitness in zone a rischio.

It just keeps getting deeper. You can also trivially scrape segments, to get a list of people who travelled a route, and trivially obtain a list of users. #Strava pic.twitter.com/U9DnPsyHUD

— Paul D (@Paulmd199) 28 gennaio 2018

The Strava heatmap data leak just got a whole lot worse:

- The data can be de-anonymised
- Includes names and running routes of people at high-security military facilities
- A quick search shows the names of 50 US personnel at a base in Afghanistan
https://t.co/JZCi7sINf8

— WIRED UK (@WiredUK) 29 gennaio 2018

Outside GCHQ: "Snowden's Way" (2,301 attempts by 573 people). pic.twitter.com/T7AQD1S9DH

— Tobias Schneider (@tobiaschneider) 29 gennaio 2018

Anche se non vivete in una zona di guerra e non siete militari, affidare informazioni sensibili come la vostra posizione e i vostri percorsi abituali ad aziende che poi le pubblicano e le offrono a chiunque vi espone al rischio di stalking e altre molestie. Ne vale la pena, per potersi vantare delle proprie prodezze sportive? Pensateci: se la risposta è no, trovate la maniera di spegnere la geolocalizzazione.

You can see individuals that are using Strava by zooming it to houses that have a short line. Strava gives the ability to set up privacy zones, but it's not on by default. pic.twitter.com/azqZFXiVQZ

— Brian (@BrianHaugli) 28 gennaio 2018

Questo articolo è il testo preparato per il mio servizio La Rete in 3 minuti per Radio Inblu del 30 gennaio 2018. Fonti: The Verge, Hacker News, Ars Technica, The Register, Washington Post, Electronic Frontier Foundation.

Aggiornamento: 2018/01/30 9:50

Strava ha pubblicato un post di chiarimento, dal quale cito e traduco: “ci siamo resi conto nel corso del fine settimana che i membri di Strava nelle forze armate, fra gli operatori umanitari e altri che vivono all’estero possono aver condiviso la propria localizzazione in zone prive di altra densità di attività e così facendo possono aver inavvertitamente aumentato la consapevolezza di luoghi sensibili”. Ma pensarci prima di pubblicare la mappa no? Il post ricorda anche le istruzioni di privacy di Strava.

Più in generale, questa vicenda sottolinea tre principi di fondo:

• ogni dato personale è abusabile;
• affidare i propri dati personali a un’azienda motivata dal guadagno su quei dati è irresponsabile;
• sperare che quella società commerciale custodisca diligentemente i nostri dati invece di monetizzarli è una pia illusione.

Ora pensate a tutto quello che avete riversato in Facebook in questi anni. Non dite che non ve l’avevamo detto.

È disponibile per lo scaricamento il podcast della puntata di venerdì del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!

Thinkprogress.org segnala che la realtà di Facebook è ben lontana dalle promesse fatte dal social network di contenere o contrastare le notizie false dando maggiore priorità ai post di parenti e amici.

Per esempio, una fake news di una nota fabbrica di fandonie, Yournewswire.com, dice (link intenzionalmente rotto) che un medico del CDC statunitense ha affermato che il vaccino antinfluenzale causa l’influenza, è stata condivisa su Facebook circa 729.000 volte (immagine qui accanto). La notizia non è soltanto falsa: è pericolosa. Eppure Facebook non ha fatto nulla per segnalarla o ridurne la visibilità.

Come nota Thinkprogress, “Facebook ha il controllo completo sulle storie che i suoi utenti vedono nella loro timeline e usa questo potere per incoraggiare le persone a pagare per promuovere i post. Potrebbe usare altrettanto facilmente questo potere per smorzare le notizie false pericolose come questa, ma questo produrrebbe un minore coinvolgimento [engagement] degli utenti e quindi meno soldi per Facebook.”

Un numero crescente di attacchi informatici arriva attraverso un canale decisamente inaspettato per la maggior parte degli utenti: la pubblicità online. Secondo un rapporto appena pubblicato dalla società di sicurezza informatica Confiant, nel 2017 è stato osservato un aumento notevole delle pubblicità ingannevoli che hanno lo scopo di convincere gli utenti che le visualizzano a installare malware.

Uno dei motori di questo aumento è stato, secondo il rapporto, un consorzio di ben 28 false agenzie pubblicitarie, che è riuscito a generare nel 2017 circa un miliardo di impressions di pubblicità che promuovevano falsi antivirus, truffe di assistenza tecnica e altre frodi informatiche ridirigendo forzatamente gli utenti su siti truffaldini. Queste false agenzie sottoscrivevano rapporti commerciali regolari con le piattaforme pubblicitarie e in questo modo sono riuscite a raggiungere il 62% dei siti Web sostenuti dalla pubblicità.

Il rapporto elenca tutti i nomi delle false agenzie (mostrati nell’immagine qui sopra), ma non cita le sedici piattaforme pubblicitarie che hanno inconsapevolmente fatto affari con queste agenzie.

È importante ricordare che i siti legittimi che ospitano queste pubblicità truffaldine lo fanno quasi sempre senza saperlo e quindi sono vittime e non complici.


Fonte aggiuntiva: Ars Technica.

Gmail è usato da un miliardo di utenti, ma meno del 10% di questi usa la verifica in due passaggi per proteggersi contro i furti di password, secondo i dati resi pubblici recentemente da Google, nonostante siano ormai sette anni che questa funzione è disponibile su base volontaria.

Come mai sono così pochi, e perché Google non la rende obbligatoria? La spiegazione, a quanto pare, è che per molti utenti le varie opzioni di verifica in due passaggi sono troppo numerose e complicate: se gli utenti fossero obbligati, dice Google, finirebbero per non usare Gmail.

Il metodo più semplice per attivare questa verifica in due passaggi è andare a myaccount.google.com e scegliere Controllo sicurezza e poi Verifica in due passaggi: lì troverete le istruzioni dettagliate. Fatelo: è un antifurto molto efficace e non oneroso.

Se siete stufi dei siti che vi bombardano di pubblicità che partono automaticamente ad alto volume, ho una buona notizia: la versione 64 di Google Chrome ha introdotto un’opzione che consente di impedire a un sito specifico di comportarsi in questo modo così irritante: per usarla, visitate il sito in questione e cliccate sull’icona delle informazioni accanto alla casella dell’indirizzo del sito stesso.

Questo fa comparire un menu, dal quale potete scegliere le impostazioni per il sito e poi cliccare per disattivare l’audio. L’impostazione è persistente, nel senso che viene mantenuta anche se chiudete Chrome e lo riaprite, e naturalmente è revocabile.

Tenete presente, inoltre, che potete bloccare le pubblicità ripetute (reminder ads) seguendo queste istruzioni (disponibili solo in inglese) e anche quelle di inserzionisti specifici nella ricerca di Google, in Google Maps, su YouTube e in Gmail seguendo queste altre istruzioni.


Fonti: Chromium.org, Google, The Register.

La GIF animata un po’ troppo rivelatrice dell’attrice di Star Wars Daisy Ridley che vedete qui sopra è un falso: il volto della Ridley è stato applicato al corpo di un’altra persona e segue tutti i movimenti dell’originale. Niente di nuovo in sé, ma la differenza è che questo effetto non è stato prodotto da una squadra di artisti digitali in uno studio cinematografico specializzato: è stato prodotto amatorialmente da FakeApp, un programma di intelligenza artificiale su un computer domestico di media potenza.

Tutto quello che serve, oltre al video originale in cui sostituire il volto, è un numero molto elevato di immagini del volto da inserire, una scheda grafica Nvidia, e un po’ di pazienza: l’elaborazione richiede molte ore e spesso produce risultati disastrosi, per cui va ripetuta effettuando correzioni e regolazioni manuali. Ma i successi sono impressionanti.

Ovviamente esistono usi innocui (tipo inserire il proprio volto al posto di quello di un attore in un film celebre), ma c’è soprattutto la possibilità di creare video falsi imbarazzanti a scopo di ricatto, molestia o di produzione di notizie false estremamente credibili (immaginate il video di un discorso di un politico), o di creare video pornografici raffiguranti celebrità o qualunque altra persona di qualunque età.

È già nata su Reddit una sezione (attenzione: contiene materiale non adatto agli animi sensibili) di, come dire, appassionati, dedicata principalmente alla creazione di filmati di questo genere, spesso con risultati praticamente perfetti.

Un esempio della potenza di questa tecnologia alla portata di tutti è dato da questo rifacimento di una celebre scena di Rogue One, nella quale il volto della giovane Carrie Fisher è stato ricreato digitalmente con mezzi iperprofessionali ma con risultati discutibili. La versione generata dall’intelligenza artificiale su un computer domestico (sotto) è a bassa risoluzione, ma è a mio avviso meno innaturale e più fedele di quella generata dai megacomputer di Hollywood (sopra).

Aggiornamento: Il confronto di cui parlo qui sopra è stato rimosso.

Chi non ha un occhio particolarmente allenato a riconoscere le piccole imperfezioni caratteristiche di questi video e non sa che esiste questa tecnologia potrebbe credere che siano reali, con tutte le conseguenze del caso. Prepariamoci a un futuro nel quale letteralmente non potremo credere ai nostri occhi.


Fonti: BoingBoing, Motherboard, The Register.

La lascio qui, ringrazio Scott Brando per la segnalazione, e non dico nient’altro perché non ho più parole.




2018/01/25 15:25. Il titolo è stato finalmente corretto poco fa.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Ultimo aggiornamento: 2018/01/25 13:30.

Nel raccontare per immagini il grave incidente ferroviario di stamattina fra Pioltello e Segrate (Milano), Repubblica ha pubblicato inizialmente almeno due fotografie che non c’entravano nulla. Un lettore, Paolo Forneris, me ne ha segnalata una:

@repubblica @disinformatico questa foto che centra con Pioltello?!? pic.twitter.com/cswMTqxd3Z

— paolo forneris (@paoloforneris) January 25, 2018

Ho chiesto lumi pubblicamente a Repubblica:

Sì, @repubblica, potreste chiarire? Caso mai fosse una #Fakenews https://t.co/HyyIfi8yQA

— Paolo Attivissimo (@disinformatico) 25 gennaio 2018

Ho fatto un commento amaro, riferito al recentissimo annuncio dell’avvio di un progetto che assegna alla Polizia Postale il compito di gestire le fake news:

Potremmo segnalare la foto falsa di @repubblica alla Polizia Postale? https://t.co/L0clWTrjNG

— Paolo Attivissimo (@disinformatico) January 25, 2018

Luca Sofri ha segnalato che la foto pubblicata da Repubblica oggi si riferisce a un incidente avvenuto a Bordighera nel 2010 e Massimiliano Vincenzi ha confermato:

I giornali ci salveranno da #Bufale e #fakenews? Forse sì, ma se non pubblicassero foto a caso mi fiderei di più...#trenord #pioltello | via @disinformatico @lucasofri pic.twitter.com/wA9PV6DeY3

— Massimiliano Vincenzi (@MaxVincio) January 25, 2018

Poi Luca Sofri mi ha segnalato che nella rassegna di foto di Repubblica c’era anche una seconda foto che non c’entrava nulla. La foto è stata rimossa e cambiata al volo mentre lui la stava tweetando, per cui ha fatto un ulteriore tweet di chiarimento:

ora l'hanno corretta, era questa. pic.twitter.com/S7vlfHoSla

— Luca Sofri (@lucasofri) 25 gennaio 2018

Ha risposto Alessio Balbi:

sì, la foto n.28 del fotoracconto era sbagliata ed è stata rimossa. grazie @paoloforneris per la segnalazione. mi scuso a nome di @repubblica per l'errore. @disinformatico, se per la tua inquisizione questa era una #fakenews, segnala pure a chi ti pare

— alessio balbi (@alessiobalbi) January 25, 2018

è molto semplice: insieme a quelle di oggi, le agenzie fotografiche hanno trasmesso le immagini dei precedenti incidenti di treni locali. Una di queste foto è finita per pochi minuti nel posto sbagliato. Non è una giustificazione per l'errore, ma la spiegazione è questa

— alessio balbi (@alessiobalbi) January 25, 2018

Non credo servano commenti.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Ultimo aggiornamento: 2018/01/25 11:35.

Davvero la Polizia di Stato italiana intende bloccare le fake news e decidere quali notizie sono vere e quali no, creando una sorta di “Ministero della Verità”, come hanno annunciato alcuni articoli su Internet e nei giornali? La risposta breve è no: la notizia della polizia antibufale è una bufala.

La risposta meno breve è che il recente comunicato stampa della Polizia di Stato che annuncia un “Protocollo Operativo per il contrasto alla diffusione delle Fake News attraverso il web” non parla di bloccare le notizie, ma di dare ai cittadini uno strumento online per segnalare le notizie sospette, la cui eventuale smentita verrà pubblicata sul sito della Polizia Postale e delle Comunicazioni, www.commissariatodips.it.

Questo protocollo fornirà anche ai cittadini un aiuto nel rivolgersi ai social network in modo autorevole in caso di notizie che li diffamano o danneggiano.

Saranno i social network, non la Polizia, a decidere se eventualmente rimuovere dai propri siti una notizia segnalata.

L’intento, insomma, è dare al cittadino diffamato un supporto, una voce che venga ascoltata più attentamente di quanto purtroppo avviene oggi con le segnalazioni individuali dei contenuti diffamatori, che spessissimo vengono semplicemente ignorate dai social network.

Ma questo intento è stato annacquato da una comunicazione confusa. La prima versione del comunicato stampa della Polizia di Stato [salvata su Archive.org], infatti, parlava effettivamente di “oscuramento dei contenuti inappropriati” in una frase che si prestava al malinteso, dando l’impressione che la Polizia di Stato si sarebbe occupata in prima persona di rimuovere le fake news da Internet [un compito che non le spetta per mille ragioni, non solo giudiriche] quando in realtà questo oscuramento sarebbe stato affidato ai “gestori delle piattaforme virtuali”.

Il comunicato è stato poi riscritto togliendo la frase che menzionava l’oscuramento, e questo ha creato ancora più apprensione, perché questa rettifica fondamentale non è stata dichiarata esplicitamente.

A sinistra, la versione del 18/1/2018; a destra, la versione del 20/1.

Soltanto consultando una versione estesa del comunicato, pubblicata su Commissariatodips.it, emerge che si tratta di “richieste di rimozione” rivolte ai social network e ai siti Web e non di ordini di oscuramento emanati e imposti dalle autorità. Nel frattempo, però, il danno mediatico c’è stato.

Restano comunque degli aspetti da chiarire in quest’iniziativa: per esempio, chi saranno gli “esperti” citati dal comunicato, che effettueranno “approfondite analisi” delle notizie? Come saranno qualificati, e con quali metodi e criteri effettueranno queste analisi? E come mai il protocollo parla soltanto di contrasto alle fake news diffuse “attraverso il Web”, trascurando il fatto che le notizie false o fabbricate vengono talvolta disseminate anche attraverso i media tradizionali?

Certamente l’attività della Polizia Postale contro le truffe, le bufale grossolane e le catene di Sant’Antonio, condotta attraverso pagine Facebook come Una vita da Social, si è dimostrata efficace e autorevole. Ma quando si passa dalla truffa alla notizia diventa indispensabile fornire la massima trasparenza e appoggiarsi agli esperti di notizie che esistono già: si chiamano bravi giornalisti.


Questo articolo è il testo preparato per il mio servizio La Rete in 3 minuti per Radio Inblu del 25 gennaio 2018. Fonti e approfondimenti: Arianna Ciccone, Butac, David Puente, Guido Scorza, The Guardian, EuroNews.it.

“Pensavo che era la solita fregatura e invece l’ho appena preso! [...] Partecipa al nostro sondaggio per vincere... Ricevi subito un Buono Ikea del valore di £250”. Questo è il testo di un messaggio che sta girando da qualche giorno su WhatsApp.

È una truffa. Non cliccate sul link e non inoltrate quel messaggio a nessuno. Non ci sono buoni e non si vince nulla, ma si rischia di essere fregati.

Lo scopo dell’annuncio, infatti, sembra essere quello di abbonarvi con l’inganno a un servizio SMS Premium: a me, su computer, è comparsa l’offerta di abbonarmi al costo di 10 franchi la settimana a Ilovemobi.com, con rinnovo automatico. Il link completo (reso volutamente inservibile) è questo.



Gli indizi di truffa sono parecchi:

• Perché Ikea dovrebbe ospitare una distribuzione di propri buoni su Chebuoni.win invece che su Ikea.com?
• Chebuoni.win è stato registrato il 16 gennaio scorso e i suoi veri intestatari sono protetti tramite Whoisguard: Ikea non avrebbe motivo di nascondersi.
• Il buono è in sterline (£).
• I commenti positivi sul sito sembrano commenti di Facebook ma non lo sono: le immagini degli utenti sono uguali in tutte le lingue. 

Le versioni in inglese e in italiano dei “commenti” su Chebuoni.win.

• Compilando il “sondaggio” viene chiesto di segnalare la “promozione” su WhatsApp a 15 gruppi o amici: trucco tipico per fa diffondere il messaggio e aumentare il numero di vittime.
• Tentando di inviare la “promozione” agli amici compare un messaggio precompilato (“Pensavo che era la solita fregatura...”) che include un link a ikea[punto]com-premium.pro che riporta a Chebuoni.win.
• Il dominio Com-premium.pro è intestato a tale Cheney Pichette (con indirizzo postale svizzero). Probabilmente sono dati di fantasia. È stato creato il 22 gennaio scorso.
• Non è la prima volta che Ikea viene presa di mira da campagne truffaldine come questa (Italia, novembre 2017 e gennaio 2018), tanto che l’azienda ha pubblicato da tempo (dal 2013) una smentita generale.

Se ricevete questo spam, cestinatelo e avvisate chi ve l’ha mandato.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!

Il 13 gennaio scorso, alle 8:07 del mattino (ora locale) le autorità hawaiiane hanno diramato per errore a tutta la popolazione un falso allarme che annunciava l’arrivo imminente di un missile balistico. L’allarme è arrivato a tutti i telefonini dello stato ed è stato diffuso automaticamente su tutti i canali televisivi alle Hawaii, interrompendo le trasmissioni. Come se non bastasse, il testo dell’allarme precisava “this is not a drill”, ossia “questa non è un’esercitazione”, ma in realtà lo era. Ci sono voluti 38 lunghissimi minuti prima che venisse diramata la smentita ufficiale.

Molti hawaiiani si sono precipitati su Twitter e sugli altri social network per annunciare con perplessità di aver ricevuto questo allarme, diffondendolo in tutto il mondo. Ma quanti hawaiiani si sono realmente allarmati? C’è un modo molto originale per saperlo, e risponde a una delle regole fondamentali del giornalismo digitale: la Regola dell’informazione laterale. In altre parole: se vuoi sapere come sono andati realmente i fatti, non ti fidare delle parti in causa, ma cerca una fonte che non ha interesse nella questione ma che ha dati che la riguardano.

Questo modo originale è guardare l’andamento del traffico dei siti pornografici alle Hawaii durante l’allarme, visto che è probabile che chi prende sul serio la notizia ufficiale che sta arrivando un missile lasci perdere questo tipo di passatempo. Uno dei siti più popolari del settore ha pubblicato i propri dati (link a copia su Archive.is per non causarvi problemi nella cronologia o con filtri di navigazione), e la traccia dell’allarme è più che evidente:


Rispetto alla media, il traffico del sito è crollato al momento della diffusione dell’allerta, diventando il 77% in meno nel giro di un quarto d’ora. Per contro, dalle 8.45, quando sono arrivate le smentite, le visite al sito sono state il 48% in più della media.

Va detto che al momento non c’è modo di verificare questi dati (in attesa che altri fornitori pubblichino i propri) e che la loro pubblicazione potrebbe anche essere un’astuta trovata promozionale.

A volte gli aggiornamenti delle app aggiungono funzioni che hanno ottime intenzioni ma finiscono per avere effetti collaterali indesiderati. Prendete Instagram, per esempio, che ha aggiunto da poco l’indicazione di quanto tempo è passato dall’ultima volta che un vostro contatto è stato attivo su questo social network.

Sembra un’idea carina, ma permette per esempio di sapere se una persona è online su Instagram invece di dormire, lavorare o stare attenta a scuola. E ovviamente permette agli altri di sapere quando siete stati attivi su Instagram voi.

Infatti se andate nella sezione Direct (la freccina in alto a destra nella schermata principale dell’app) compare l’elenco dei contatti e il tempo passato dalla loro ultima attività in Instagram (oppure la dicitura Attivo/a ora se sono attivi in quel preciso momento).

L’elenco include soltanto i contatti con i quali avete avuto interazioni (una chat) o che vi hanno menzionato, per cui per “pedinare” una persona non basta diventare sua follower, ma basta comunque poco.

Se vi infastidisce questo tipo di sorveglianza, potete disattivarla andando nelle impostazioni (icona in basso a destra nella schermata principale di Instagram), e andando in fondo alle opzioni, dove trovate la voce Mostra lo stato di attività: disattivatela (è attiva per impostazione predefinita).

Tenete presente, però, che quest’opzione è reciproca: disattivandola non potrete più vedere lo stato di attività degli altri.

Contrariamente a un mito molto diffuso, i “virus” (più propriamente malware) per Mac esistono: ne abbiamo visto un esempio la settimana scorsa con il caso del malware che spiava gli utenti attraverso le telecamere dei loro Mac. Ma sono in pochi a sapere che Apple include nei propri Mac un “antivirus” per proteggerli contro alcuni malware particolarmente insidiosi. Questo antivirus esiste dal 2009, si chiama XProtect e si aggiorna senza avvisare l’utente. Apple non pubblica annunci o documentazione in proposito.

Funziona come i comuni antivirus: gestisce un elenco di minacce informatiche conosciute e confronta le loro caratteristiche con quelle di qualunque file scaricato. Se trova una corrispondenza, visualizza un avviso di pericolo. L’elenco di minacce si trova presso System/Library/Core Services/CoreTypes.bundle/Contents/Resources/XProtect.plist.

L’unico controllo che ha a disposizione l’utente è nelle Preferenze di Sistema, dove la voce App Store include un’opzione di installazione degli aggiornamenti di sistema e di sicurezza, che consente di attivare o disattivare gli aggiornamenti di XProtect. Volendo li si può disattivare, ma normalmente non ce n’è motivo ed è altamente sconsigliabile.

Questo “antivirus” di Apple è molto semplice e limitato, e non sostituisce quelli di altre marche ma li complementa: ora che sapete che c’è, non cambia il fatto che vi serve comunque installare un antivirus nel vostro Mac.

Se volete sapere cosa fa e contro cosa vi protegge questo antimalware silenzioso, la società di sicurezza informatica Digita Security ha attivato un servizio online che elenca la cronologia degli aggiornamenti e delle minacce gestite da XProtect: lo trovate presso Digitasecurity.com/xplorer. Lì scoprirete che Apple ha aggiornato XProtect senza dire niente a nessuno molto di recente: il 17 gennaio scorso. L’aggiornamento precedente risale al 30 novembre 2017.

Allo stesso indirizzo trovate anche la possibilità di ricevere una notifica via mail ogni volta che Apple effettua uno di questi aggiornamenti segreti e un’app per approfondire la conoscenza di XProtect.

Ho ricominciato da poco ad andare nelle scuole per presentare degli incontri di sensibilizzazione alla sicurezza e alla privacy informatica e una delle domande più frequenti riguarda Musical.ly, un‘app cinese per iOS e Android che permette di creare e mettere su Internet brevi video musicali in cui l’utente mima canzoni molto in voga e applica vari effetti speciali, come accelerazioni, rallentatori e filtri. Musical.ly ha oltre 200 milioni di utenti nel mondo.

I dettagli del funzionamento di Musical.ly per la creazione di questi video sono spiegati dagli innumerevoli tutorial che trovate su Youtube, per cui non mi dilungo su questo aspetto e mi concentro sulle questioni di privacy e sicurezza.

Quando create il vostro profilo Musical.ly:

• tenetelo separato da quelli che avete su Instagram e Facebook. Musically consente di iscriversi usando i dati di questi social network, ma questo vuol dire che se qualcuno vi ruba la password di Facebook o Instagram vi ruba automaticamente anche il profilo Musical.ly; registratevi invece usando un indirizzo di mail sacrificabile;
• ricordatevi di usare una password differente da quella che usate negli altri siti;
• usate un nome di fantasia invece del vostro nome e cognome e una foto non personale per il profilo: così evitate di dare appigli ai molestatori e ai bulli, che magari vi prendono in giro stupidamente per i vostri esperimenti video;
• impostate il vostro profilo in modo che sia privato (Impostazioni - Account Privato) e attivate Solo contatti amici con direct.ly: questo vi permette di far vedere i vostri video soltanto a chi volete voi e blocca i messaggi degli sconosciuti;
• disattivate la geolocalizzazione (la procedura dipende dal telefonino che usate, iOS o Android).

 Nell’uso, invece, è meglio usare questi trucchi:

• tenete presente che un video di un profilo privato non è necessariamente segreto: se lo condividete con qualcuno, quella persona può mandarlo ad altri;
• nelle chat di Musical.ly, non date a nessuno informazioni personali, come nome, cognome o indirizzo;
• occhio agli acquisti in-app: se usate le monete virtuali di Musical.ly per mandare doni ai vostri muser (creatori di video) preferiti, state spendendo soldi reali e un singolo dono può costare anche 100 franchi (100 euro) veri. Conviene quindi attivare il blocco degli acquisti in-app per evitare tentazioni.

Fonti: USA Today, SheKnows, Commonsensemedia, Protect Young Eyes, Aranzulla.it, Variety, CNN, Influencer Marketing Hub.

Uno degli elementi ricorrenti delle fake news è l’uso (e spesso l’abuso) di immagini alterate, prese fuori contesto o ripescate dal passato ma presentate come attuali, come è successo nella recente polemica sulle immagini dei rifiuti a Roma. Difendersi da questo genere di manipolazione non è facile, ma Internet ci offre strumenti preziosi che aiutano a indagare sulla vera origine di una fotografia.

In altre puntate di questa rubrica ho già segnalato strumenti come Tineye.com, Karmadecay.com e la ricerca per immagini di Google: servizi che consentono di trovare un’immagine o le sue varianti, ordinarle cronologicamente e arrivare spesso alla fonte originale di una fotografia e da lì capire se è vera o falsa. Ma Internet è grande e di solito una ricerca generale fatta in questo modo, specialmente con la ricerca per immagini di Google, produce una valanga incontenibile di risultati, molti dei quali non c’entrano nulla con l’argomento desiderato.

Per fortuna ci sono alcuni trucchi che consentono di addomesticare questo servizio di Google, che è reperibile presso Images.google.com oppure cliccando sul link Immagini nella schermata principale di Google.

Il primo trucco è aggiungere parole chiave all’immagine da cercare: per esempio, se mandate a Google Immagini una foto, il servizio risponde mostrandovi tutto quello che ha trovato, compresi molti risultati non pertinenti e le parole che secondo lui sono associate a quella foto. È molto abile: quando gli ho mandato una foto di David Bowie su un set cinematografico, ha riconosciuto il cantante e ha anche identificato il film dal quale era tratta l’immagine, ma ha anche incluso molte foto che non c’entravano affatto.


Per affinare questa ricerca basta andare nella casella che contiene le parole che Google Immagini associa alla foto e cambiarle o aggiungerle: con poche digitazioni si arriva al risultato preciso desiderato.

Il secondo trucco è immettere in questa casella non solo delle parole, ma dei comandi specifici. Per esempio, scrivendo la parola inglese site seguita senza spazi dai due punti e dal nome di un sito si restringe la ricerca a quello specifico sito (tipo site:davidbowie.com).

La ricerca per immagini di Google offre anche altre tecniche di affinamento dei risultati: per esempio, potete andare alla pagina standard di Google, presso Google.com, digitare delle parole chiave pertinenti all’argomento che vi interessa, e premere Invio. Questo farà comparire i risultati e un menu dal quale potrete scegliere Immagini e poi Strumenti: troverete sullo schermo una serie di opzioni (Dimensioni, Colore, Tipo e Ora). Quella che vi interesserà di più nella caccia alle foto di fake news sarà l’opzione Ora, perché permette di specificare un intervallo di date. In parole povere, permette di scoprire se una foto è nuova come dice la notizia che state verificando oppure no.

Un ultimo consiglio: quando usate Google Immagini in pubblico, ricordatevi di attivare l’opzione SafeSearch, che sta in alto a destra, e filtra i risultati espliciti. Questo ridurrà il rischio di imbarazzi a tutto schermo se cercate immagini o parole ambigue, come è capitato a me proprio con David Bowie. Buona caccia.


Questo articolo è il testo preparato per il mio servizio La Rete in 3 minuti per Radio Inblu del 18 gennaio 2018.

Ultimo aggiornamento: 2018/07/02 21:35.

Quando si parla di “attacchi hacker” ci si immagina facilmente un gruppo di agguerritissimi incursori informatici che scavalcano abilmente un labirinto di difese digitali. Ma la realtà è spesso molto meno spettacolare e decisamente più imbarazzante. Ancora oggi tante, troppe aziende non prendono le misure minime di difesa informatica.

Vi racconto un caso pratico, senza fare nomi per ovvie ragioni. Molte aziende hanno impianti gestiti tramite telecontrollo: macchinari, dighe, depuratori e altro ancora. È quella che si chiama in gergo l’Internet delle Cose. È un sistema molto comodo, che fa risparmiare tempo, denaro e trasferte, ma bisogna usarlo in modo responsabile. Il problema, infatti, è che questo telecontrollo in molti casi viene svolto via Internet usando connessioni non protette da password e crittografia.

Questo significa che chiunque può sorvegliare abusivamente questi impianti e spesso prenderne anche il controllo. Tutto quello che serve è saperne le coordinate Internet, ossia l’indirizzo IP, e poi immetterlo in un programma liberamente scaricabile, come per esempio VNC. Fatto questo, l’aggressore può cliccare sui pulsanti dell’impianto come se ce l’avesse davanti.



Purtroppo molti installatori, gestori e utenti di questi impianti pensano che questo indirizzo IP non sia facilmente reperibile e quindi credono di essere al sicuro e che proteggere la connessione con una password non serva e sia anzi solo una scocciatura che intralcia il loro lavoro: tanto, se nessuno sa qual è l’indirizzo IP, non c’è pericolo. Ma è un errore gravissimo, perché esistono motori di ricerca per gli indirizzi IP dei dispositivi connessi a Internet: una sorta di Google per macchinari online.

Di conseguenza, un aggressore non deve fare altro che usare questi motori di ricerca pubblicamente accessibili, come Shodan.io, per scoprire tutti i dispositivi connessi in modo insicuro, presentati su una pratica cartina geografica. Il talento informatico che gli serve è praticamente zero. A quel punto è pronto per un attacco all’impianto aziendale, per esempio a scopo di sabotaggio o estorsione.


Ieri ho trovato su Internet uno di questi apparati, accessibile senza alcuna password o protezione: era un sistema per la gestione di una cosiddetta “opera di presa”, una di quelle che preleva acqua da un fiume o un torrente.

Ho avvisato telefonicamente e via mail i responsabili dell’impianto e la Polizia Postale del luogo, ma sono passate molte ore prima che qualcuno rimediasse alla falla di sicurezza aperta da chissà quanto tempo [correzione: il rimedio che sembrava essere imminente quando ho preparato questo testo non c’è ancora stato].

Nel frattempo chiunque avrebbe potuto manovrare l’impianto e causare danni. E come questo impianto ce ne sono molti altri, in Italia e nel mondo.

Screenshot del 15/1/2018. Sì, la data visualizzata è sbagliata in avanti di un giorno.

Episodi come questo sono un forte monito a chi si occupa di sicurezza degli impianti da cui noi tutti dipendiamo: è ora di smettere di pensare che se non si pubblica l’indirizzo IP di un dispositivo, di una telecamera, di una paratoia di una diga, di un impianto antincendio o di un altoforno, nessuno lo troverà mai. Pensare in questo modo è l’equivalente di lasciare la chiave di casa sotto lo zerbino perché tanto nessuno sa che è lì. Lo sanno tutti. Se potete, adeguatevi.


Questo articolo è il testo preparato il 15 gennaio 2018 per il mio servizio La Rete in 3 minuti per Radio Inblu del 16 gennaio 2018 e ampliato per la puntata del Disinformatico della Radiotelevisione Svizzera del 19 gennaio 2018. Alcuni dettagli sono stati omessi, mascherati o alterati per esigenze di riservatezza e sicurezza. Ultimo aggiornamento: 2018/01/19 8:00.

Cronologia degli eventi

2018/01/15 13:15. Ho telefonato all’azienda per avvisarla del problema.

13:22. Ho inviato una mail informativa all’azienda, come richiesto dalla persona raggiunta telefonicamente.

13.25. Ho fatto il mio primo tweet pubblico sulla vicenda, anonimizzandola rigorosamente. Non ho pubblicato l’indirizzo IP, il nome dell’azienda o il nome della località, come potete leggere qui sotto:

Screenshot anonimizzato. Notare il pulsante "Manuale/automatico". pic.twitter.com/5tQrxXZldu

— Paolo Attivissimo (@disinformatico) January 15, 2018

16:00. Ho telefonato alla Polizia Postale di zona per informarla della situazione.

16:06. Ho inviato alla Polizia Postale di zona una mail con i dettagli, come richiesto.

2018/01/16 10:05. L'impianto è risultato ancora accessibile come prima, senza password e senza crittografia. Ho inviato una seconda mail di avviso all’azienda.

14:10. Ancora nessuna risposta o reazione da parte dell’azienda.

16:40. Tutto come prima. Sembra proprio che non gliene freghi niente a nessuno.

18:00. Per tutti quelli che me l’hanno chiesto:

• sì, lo so che data e ora visualizzate sullo schermo dell’impianto sono sbagliate (la data è avanti di un giorno, l’ora di qualche minuto);
• no, non credo che sia un honeypot, vista la reazione telefonica dei titolari e della Polizia Postale;
• sì, c’è il rischio che qualcuno clicchi sui pulsanti e poi venga accusato io di averlo fatto; ma l’indirizzo IP dal quale proverrebbero le cliccate abusive non sarebbe il mio;
• no, non intendo divulgare l’indirizzo IP dell’impianto prima che la vulnerabilità sia stata risolta;
• no, non intendo cliccare su qualche pulsante per dimostrare che l’impianto è controllabile a distanza. Il fatto stesso che sia accessibile senza password è una lacuna di sicurezza più che sufficiente.

20:00. Rispondo a un’altra domanda ricorrente: ma il fatto di guardare tramite VNC un impianto come questo non è reato? Non sono un legale, ma direi che questa citazione dal sito della Polizia Postale è importante: “La norma [Art.615-ter, accesso abusivo ad un sistema informatico e telematico] esplicitamente prevede che il sistema informatico o telematico (sistema che integra informatica e telecomunicazioni), perché si configuri il reato in argomento, sia protetto da misure di sicurezza.... in assenza di misure di sicurezza, l´introduzione in sistemi informatici non costituisca reato". E per chi contesta che sto entrando in un sistema informatico altrui e quindi è come se stessi entrando in casa di qualcuno senza permesso: no, non sto entrando, sto guardando quello che si vede da fuori, dalla porta lasciata stupidamente spalancata, e sto avvisando che da quella porta spalancata rischiano di passare ladri e vandali.

22:00. Ho mandato un’ultima mail sconsolata all’azienda. Intanto ho saputo che l’impianto è in queste condizioni da febbraio 2017. A questo punto ci rinuncio: se all‘azienda sta bene che chiunque possa giocherellare con i loro apparati, buon pro le faccia.

2018/01/17 9:30. Nessuna risposta neanche all’ultima mail. L’impianto è ancora accessibile a chiunque.

10:25. L’azienda ha risposto ringraziando e dicendo laconicamente “ce ne stiamo occupando.”

16:20. L’accesso è ancora aperto senza password.

2018/01/18 23:40. Tutto è ancora come prima.

2018/01/19 11:30. Situazione invariata.

2018/01/21 22:15. L’impianto è ancora raggiungibile con un qualunque VNC, senza crittografia e senza password.

2018/07/02 21:35

Ho controllato poco fa e l’impianto, a distanza di mesi, è ancora visibile tramite VNC, senza crittografia e senza password. Non ho provato ad azionare i comandi.

A questo punto è evidente che all’azienda va bene così, per cui non insisto ulteriormente a tutelarla per scrupolo: si tratta della Lumiei Impianti e l’impianto è l’opera di presa di Auempoch, in provincia di Udine, reperibile su Shodan qui.

Schermata catturata da me poco fa con VNC.

Schermata tratta oggi da Shodan.

È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!

Se state cercando di seguire le normali raccomandazioni di sicurezza informatica e quindi volete installare gli aggiornamenti di sicurezza di Windows ma non ci state riuscendo, la colpa potrebbe essere dell‘antivirus. Sì, siamo arrivati all’assurdo che un antivirus, concepito per migliorare la sicurezza, finisce per impedirla.

Il problema nasce dalle due gravi falle Spectre e Meltdown, già descritte in un articolo precedente. Microsoft ha già rilasciato gli aggiornamenti che le correggono (almeno in parte), ma non permette di installarli a chi usa alcuni tipi di antivirus.

Questo, spiega Microsoft, è necessario perché alcuni antivirus usano metodi che sono incompatibili con i più recenti aggiornamenti di Windows e mandano il sistema operativo in crash, con un classico Schermo Blu della Morte.

Spetta ai produttori di antivirus modificare i propri prodotti per tenere conto delle novità di sicurezza generate da Spectre e Meltdown: nel frattempo Microsoft si trova costretta a scegliere fra lasciare i propri utenti con un computer vulnerabile ma funzionante e bloccarli del tutto.

Il ricercatore di sicurezza Kevin Beaumont ha pubblicato un documento, progressivamente aggiornato, che elenca gli antivirus che non intralciano gli aggiornamenti di sicurezza di Microsoft. Consultatelo per sapere se il vostro antivirus è diventato un ostacolo o si è aggiornato.

Chicca finale: Microsoft ha imposto ai produttori di antivirus di autocertificare la propria compatibilità aggiungendo un’apposita chiave al Registro di Windows ogni volta che si avviano. Quanto tempo ci vorrà, si chiede l’esperto di sicurezza Graham Cluley, prima che i criminali informatici imparino a modificare questa chiave del Registro per impedire ai PC di aggiornarsi e così mantenerli vulnerabili?

Credit: Patrick Wardle.

Phillip Durachinsky, un ventottenne residente in Ohio, è stato incriminato come autore di un malware per Mac che ha usato per oltre un decennio per spiare migliaia di vittime. Ha iniziato a farlo quando aveva quattordici anni.

Il malware, denominato Fruitfly, gli consentiva di prendere il controllo dei computer Apple che infettava, registrando dalla webcam e dal microfono, guardando cosa c’era sullo schermo, comandando mouse e tastiera e scaricando file. Ne avevo parlato a luglio del 2017, quando i dettagli del caso erano ancora riservati.

Durachinsky, secondo l’atto di incriminazione, ha usato questo suo malware per infettare e spiare migliaia di computer, rubando dati personali, informazioni bancarie, password e informazioni intime delle vittime, compresi moltissimi bambini: gli atti parlano di “milioni di immagini”. Per questo è accusato anche di produzione di pedopornografia.

Fra l’altro, Durachinsky aveva programmato Fruitfly in modo da mandargli un avviso se una delle vittime infettate digitava parole associate alla pornografia. Il suo intento, insomma, era molto chiaro.

Le intrusioni di Durachinsky sono andate avanti indisturbate per più di dieci anni: Fruitfly è stato scoperto soltanto l’anno scorso dalla società di sicurezza Malwarebytes. All’epoca Apple aveva rilasciato un aggiornamento di sicurezza per bloccare Fruitfly, ma nessuno sapeva chi fosse il suo mandante o creatore. Gli utenti che avevano aggiornato i propri Mac erano al sicuro, ma chi non si era aggiornato ed era infetto con Fruitfly continuava ad essere spiato.

Nei mesi successivi Patrick Wardle, ex dipendente NSA che oggi lavora per la Digita Security e offre strumenti di sicurezza gratuiti per Mac, ha analizzato il malware e ha scoperto come prenderne il controllo (ha trovato i nomi di dominio di riserva usati da Fruitly per comunicare con il suo padrone in caso di emergenza e li ha registrati a proprio nome, ricevendo così i dati inviati dal malware).

Wardle è riuscito a intercettare le comunicazioni fra i Mac infettati e il gestore del malware, scoprendo chi erano le vittime, e ha avvisato l’FBI, mostrando agli agenti i dettagli tecnici delle proprie scoperte. Le indagini hanno poi portato all’identificazione e all’incriminazione di Durachinsky.

Il problema è ora risolto: Fruitfly è stato disattivato e il suo autore non è più in grado di nuocere. Ma il ricercatore di sicurezza che ha snidato Durachinsky non ha parole tenere per Apple, che a suo dire era “concentrata anche sulla prospettiva di un’attenzione mediatica negativa”, rivelando “un esempio sorprendente di quali siano le priorità di Apple... Non è colpa di Apple se questo malware è entrato in tutti questi Mac... è imperativo che gli utenti Mac comuni siano consapevoli che esistono questi hacker malati e perversi che prendono di mira le loro famiglie, ma abbiamo Apple che spinge continuamente questa propaganda di marketing che dice che i Mac sono incredibilmente sicuri. Ma l’effetto collaterale è che gli utenti Mac diventano ingenui o eccessivamente fiduciosi”.

Morale della storia: i “virus” per Mac esistono e chiunque può esserne bersaglio. Meglio non credere troppo alle parole del marketing e attrezzarsi con un po’ di sana diffidenza e con un buon antivirus. Anche su Mac.

La coppia di vulnerabilità gravi denominata Spectre e Meltdown ha imposto a quasi tutti i produttori di sistemi operativi delle modifiche drastiche ai propri prodotti per contenere il danno, che è causato da un difetto presente in quasi tutti i processori recenti ed è solo in parte rimediabile attraverso soluzioni software.

Apple ha rilasciato degli ulteriori aggiornamenti per iOS, che arriva così alla versione 11.2.2, e per macOS High Sierra, che arriva alla versione 10.13.2.

Questi aggiornamenti si aggiungono a quelli già rilasciati nei giorni scorsi, che avevano mitigato Meltdown, e servono a ridurre gli effetti di Spectre.

iOS 11.2.2 è disponibile per gli iPhone dal 5s in poi, per gli iPad dall’Air in poi e per gli iPod touch dalla sesta generazione in poi. La procedura è la solita: Impostazioni - Generali - Aggiornamento software.

Anche Safari, il browser di Apple, va aggiornato alla versione 11.0.2. Se siete utenti Mac e non siete ancora passati a High Sierra, installate almeno l’aggiornamento di Safari, che è disponibile sia per El Capitan (10.11.6), sia per Sierra (10.12.6). Anche qui la procedura è quella consueta: Mela - Informazioni su questo Mac - Aggiornamento software.

Buone notizie, invece, per i proprietari di Apple Watch: per questo dispositivo non sono necessari aggiornamenti di sicurezza.


Fonte aggiuntiva: Ars Technica.

In macOS High Sierra (10.13.2) c’è una falla che consente a un intruso locale di scavalcare in parte le protezioni del sistema operativo. Se il Mac è attivo con un account da amministratore (cosa normale) ed è momentaneamente incustodito (una classica situazione in famiglia o in ufficio, per esempio), un aggressore non ha bisogno di sapere la password di amministratore per cambiarne le impostazioni in alcune delle Preferenze di Sistema: il Mac accetta qualunque cosa scriviate come password.

Per esempio, se andate nelle Preferenze di Sistema e cliccate sull’icona dell’App Store e poi sul lucchetto per avere il permesso di effettuare modifiche, compare sullo schermo una richiesta di password, ma macOS accetta qualunque digitazione, sbloccando anche altre Preferenze di Sistema che normalmente sono protette da password. Questo consente a un aggressore, per esempio, di sbloccare gli acquisti nell’App Store (scenario classico: figlio o figlia che vuole comprare un gioco ma i genitori hanno bloccato gli acquisti). Le sezioni Utenti e Gruppi e Sicurezza e Privacy non hanno questa magagna.

Ho realizzato un video spiccio per dimostrare la falla su uno dei miei Mac:


Apple sta già correggendo questo difetto decisamente imbarazzante e rilascerà prossimamente un aggiornamento di macOS che la chiude. Nel frattempo, se avete amici che si vantano un po’ troppo della sicurezza del loro Mac, ora sapete come ridimensionarli.

Come nasce una fake news? Si parla spesso di disinformazione pianificata a tavolino, ma esistono anche le notizie false che nascono per caso. O meglio, per una tempesta perfetta di fattori.

Prendiamo il caso recentissimo della notizia secondo la quale i treni destinati alla Linea 6 della metropolitana di Napoli non sarebbero utilizzabili perché, dice un titolo di giornale, “il tunnel è troppo stretto e i treni nuovi non passano”.

La notizia è falsa, perché i treni ci passano eccome, ma ormai ha assunto una visibilità enorme. Le ragioni di questa visibilità sono varie: la storia fa leva sui luoghi comuni della burocrazia cieca, incompetente e sprecona, nella quale un ufficio non sa cosa fa l'altro, e gioca probabilmente anche su alcuni pregiudizi regionali. È per questo che si consiglia sempre di fare attenzione alle storie che soddisfano e rinforzano i preconcetti e sfruttano le emozioni. Ma è anche una vicenda accattivante, gustosa da raccontare e da condividere sui social network; per chi la segnala ha poca importanza se sia vera o no. Come si dice nel giornalismo, mai lasciare che i fatti intralcino una buona storia.

Gli ingredienti giusti per ottenere una diffusione a tappeto, insomma, ci sono tutti. Ma non servirebbero a nulla se non ci fosse stato, a monte, un errore giornalistico molto frequente: l’articolo di giornale originale dal quale è scaturita la bufala in realtà è corretto, ma è il titolo che è sbagliato, e i giornalisti che hanno ripreso la notizia si sono fermati al titolo invece di leggere l’articolo [Leggo, Il Fatto Quotidiano, Il Giornale].

L'articolo, infatti, spiega che il problema non riguarda affatto i tunnel della metropolitana di Napoli ma soltanto le dimensioni del pozzo usato per inserire i treni la prima volta nei tunnel. Il pozzo non consente di calare un treno intero di quelli nuovi, più lunghi dei precedenti, ma questa limitazione si risolve calando il treno una cassa per volta.

Il titolo dell’articolo, però, parla erroneamente di tunnel troppo stretto, e per chi si è fermato a quel titolo l’equivoco è stato quindi inevitabile e le successive smentite ufficiali non otterranno mai la stessa diffusione della notizia falsa, perché sono meno interessanti.

Come spesso accade, insomma, la bufala nasce da una catena di errori e di automatismi:

• il titolista fraintende l’articolo, in sé corretto, scritto dal giornalista;
• gli altri giornalisti e gli utenti dei social network leggono soltanto il titolo dell’articolo e diffondono l’errore;
• l’errore attecchisce, prospera e si propaga perché la storia è accattivante e soddisfa i pregiudizi e perché ci si fida della fonte originale, che è tutto sommato una testata giornalistica, alla quale viene spontaneo dare attendibilità.

Sono insomma gli stessi meccanismi che stanno da sempre alla base delle bufale e della propaganda, ma che oggi operano a velocità elevatissime grazie ai mezzi di comunicazione informatici.

Possiamo imparare molto da incidenti come questo:

• mai fermarsi al titolo, spesso creato da una persona diversa dal giornalista che ha scritto l’articolo;
• aumentare i controlli quando una storia fa leva sui pregiudizi;
• e mai fidarsi ciecamente delle fonti apparentemente autorevoli.

Così, forse, raggiungeremo la luce alla fine del tunnel. Sempre che non sia troppo stretto.


Questo articolo è il testo preparato per il mio servizio La Rete in 3 minuti per Radio Inblu dell’11 gennaio 2018. Fonti: Bufale un tanto al chilo, Repubblica.

Se vi capita di pubblicare video su Youtube, magari con un brano musicale in sottofondo di cui non vi eravate accorti, probabilmente vi siete imbattuti nella temutissima notifica di violazione del diritto d’autore. Succede quando il sistema antipirateria automatico di Youtube, denominato ContentID, rileva all’interno di un video un contenuto visivo o sonoro che secondo lui appartiene a qualcun altro.

Purtroppo questo sistema automatico ha, come dire, qualche problema di eccesso di zelo. Ne sa qualcosa il professor Sebastian Tomczak, tecnologo musicale, che è stato accusato da Youtube di aver violato il copyright ben cinque volte nella colonna sonora di un singolo video.

My ten hour white noise video now has five copyright claims! :) pic.twitter.com/dX9PCM1qGx

— Sebastian Tomczak (@littlescale) 4 gennaio 2018

Il bello è che il video contestato è semplicemente un fruscio, quello che in gergo tecnico si chiama rumore bianco, simile a quello che facevano una volta i televisori quando non erano sintonizzati su un canale; un video che Tomczak ha pubblicato per un esperimento scientifico.


Non è finita: i presunti autori che rivendicano diritti non hanno chiesto di rimuovere il video di Tomczak, ma ne hanno chiesto la rimonetizzazione, ossia hanno ottenuto da Youtube che i guadagni sulle visualizzazioni finissero nelle loro tasche invece che in quelle del creatore del video. Anche se può sembrare strano che ci sia un mercato per quelli che in sostanza sono video di fruscio, esistono su Youtube milioni di video di questo genere, alcuni dei quali hanno milioni di visualizzazioni. Tomczak dice che c’è chi li usa per esempio per addormentarsi meglio o per distrarsi da un rumore fastidioso.

Naturalmente Youtube offre una procedura di opposizione, ma è piuttosto tediosa, specialmente se occorre farla ripetutamente, e comporta che un video possa restare in sospeso fino a un mese. Cosa più importante, a differenza del rilevamento delle presunte violazioni, che è automatico, l’opposizione va effettuata a mano ogni volta. Questo squilibrio è così marcato che è nata una vera e propria industria delle contestazioni di copyright fasulle su Youtube, che monetizzano il lavoro altrui.

Insomma, se voi (o magari i vostri figli) siete Youtuber assidui e quindi pubblicate molti video, l’unico modo per evitare queste scocciature al limite della vessazione è fare molta attenzione a non includere nei vostri video qualcosa che possa portare a una contestazione: per esempio canzoni o spezzoni di programmi televisivi provenienti da una TV accesa nel luogo in cui avete girato il video, anche se il televisore non è inquadrato. Se vi capita di includerli, cercate di fare in modo che siano spezzoni molto brevi, di un decina di secondi o poco più, perché sembra essere questa la soglia di durata oltre la quale il sistema ContentID entra in azione e fa partire la contestazione automatica.

Naturalmente c’è sempre l’alternativa drastica, che è quella di pubblicare video su altri siti, come Vimeo o Dailymotion, che non usano automatismi antipirateria così imprecisi e manipolabili come quello di Youtube. Ma questo significherebbe abbandonare uno dei siti di video più frequentati del mondo e dire addio ai sogni di fama che albergano in ogni Youtuber. Buona fortuna.


Questo articolo è il testo preparato per il mio servizio La Rete in 3 minuti per Radio Inblu del 9 gennaio 2018. Fonti: Gizmodo, Torrentfreak.

Ultimo aggiornamento: 2018/01/09 18:20.

Questa sera vi consiglio di guardare il gioco I soliti ignoti, su Raiuno dalle 20:40 (link a Raiplay, richiede registrazione; file scaricabile). Poi vi spiegherò perché.


2018/01/09 01:40. Ora posso spiegare tutto (o quasi: ho firmato degli accordi di riservatezza standard). A dicembre sono stato contattato dalla produzione del programma, che mi ha chiesto se mi interessava essere uno degli ignoti: mi veniva offerto il viaggio e l’ospitalità a Roma per la notte prima della registrazione, per me e un accompagnatore. Dovevo comunque andare a Roma per un lavoro e mi interessava vedere il mitico Teatro delle Vittorie e il modo di lavorare della TV italiana di oggi, per cui ho colto l’occasione.

Dopo una sorta di intervista-provino fatta per telefono, la produzione mi ha chiesto se avevo un(a) parente disponibile ad accompagnarmi. Ho proposto mia figlia Lisa e ho mandato alcune sue foto (una è visibile nella puntata; si vede anche il mio gatto Ombra). Lisa è stata accettata ed è diventata la parente misteriosa della puntata, così ho finalmente potuto farle fare un giro a Roma.

Tutta la procedura era coperta da segreto assoluto (ci sono di mezzo molti soldi per i concorrenti). Alla fine, risolti alcuni intoppi burocratici surreali (tipo la necessità di un codice fiscale italiano per Lisa, che vive in Svizzera e non ha mai lavorato o dovuto pagare tasse in Italia), siamo andati (io, Lisa e mia moglie Elena) a Roma in Frecciarossa.

Lì abbiamo incontrato gli altri ignoti (non i concorrenti, ovviamente) e poi abbiamo passato la sera a cena e in albergo (segreto anche quello: non sapevamo dove saremmo stati fino al momento in cui siamo saliti sul minibus della produzione che ci accompagnava).

Era insomma questa la ragione di questo tweet:

Sono in viaggio per Roma in missione segreta. Dettagli a breve.

— Paolo Attivissimo (@disinformatico) 18 dicembre 2017

Ho colto l'occasione per fare un piccolo trollaggio elettrico, visto che stavo in effetti andando fino a Roma con un veicolo elettrico (il Frecciarossa)...

Sto andando a Roma con la mia prima Tesla, arrivata a sorpresa prima del previsto. Una Model S blu, come il Tardis, prima versione.

— Paolo Attivissimo (@disinformatico) 18 dicembre 2017

...e avevo con me un modellino di Tesla Model S blu, ma il mio scherzo improvvisato ha poi avuto un epilogo inatteso, che ho raccontato qui.

La mattina dopo siamo stati accompagnati al Teatro delle Vittorie, che con mia sorpresa ho trovato piuttosto malmesso e bisognoso di una vigorosa manutenzione dentro e fuori. Come sempre, quello che in televisione non si vede non conta.

A questo punto noi ignoti siamo stati tutti isolati in una zona separata del teatro e abbiamo passato lì tutta la giornata, sorvegliati dagli assistenti di Endemol e Rai, truccati e vestiti da loro (Lisa, in particolare, è stata ri-vestita da capo a piedi; abitualmente non veste come la vedete nella puntata).

Abbiamo tutti firmato un bel mazzetto di documenti in cui ci siamo impegnati a tenere segreti alcuni dettagli fino alla messa in onda (e in alcuni casi anche oltre, per cui scusate se ometto alcuni dettagli) e poi uno degli autori ci ha spiegato lo svolgimento della puntata. Un rapido pranzo assai spartano e poi di corsa a cambiarsi e andare in scena.

Chicca: nessuno degli ignoti e dei concorrenti può indossare orologi. Come mai? Perché c’è il rischio che nei primi piani si veda l’ora sul quadrante, evidenziando il fatto che la trasmissione è in differita.

Il set della trasmissione è piccolo, visto dal vivo; in televisione sembra enorme. Ed è freddissimo: le lampade di studio oggi non scaldano più come un tempo. La registrazione si è svolta quasi senza intoppi e Amadeus ha dimostrato grande garbo e professionalità nel gestire gli eventi inattesi. Professionalmente, per me è stato molto interessante vedere come si lavora in una coproduzione (Rai-Endemol) di questo tipo, e come ciliegina sulla torta mi sono trovato accanto Tullio Solenghi, con il quale ho scambiato quattro chiacchiere informali durante le pause di registrazione.

Alla fine la concorrente ha ristretto i possibili parenti a me e allo sciamano, che dietro le quinte è una persona completamente lontana dai cliché che molti hanno infilato nei commenti su Twitter e qui sotto (abbiamo chiacchierato serenamente insieme di CICAP e sensitivi). Non confondete mai quello che si vede in TV, dove quasi tutto è costruito o esagerato per ottenere un effetto, con la realtà.

Finita la registrazione, un saluto rapido con Amadeus a telecamere spente e poi tutti di nuovo sul minibus verso la stazione Termini, dove ad attendermi c’era una troupe televisiva di un altro programma, che mi ha contattato all’ultimo momento e si sarà chiesta come diavolo avessi fatto a truccarmi per loro mentre ero in viaggio nel traffico romano (non ho potuto dire loro che ero ai Soliti Ignoti). Ma questa è un’altra storia.

Rispondo a un po' di domande varie arrivate nei commenti e su Twitter. Se ne avete altre, chiedete; se posso, risponderò.

• La lunga pausa prima di rispondere è comandata dalla regia (c’è una persona non inquadrata che fa segnali, la devi guardare con la coda dell’occhio), non l’ho decisa io.
• Amadeus non ha detto il mio cognome perché fa parte delle regole del gioco: non dice il cognome di nessuno degli ignoti (tranne le celebrità).
• I tre indizi sono scelti dalla produzione e ogni ignoto deve impararseli a memoria e dirli quando glielo segnala la regia.
• No, nessuno mi conosceva o mi ha riconosciuto.
• La frase di Amadeus sul mio spiegare bene le cose e sul mio possibile sbocco come conduttore di documentari non era ironica: si vede passare davanti tantissimi ignoti e dalle parole che abbiamo scambiato fuori onda è stato chiaro che non sapeva della mia attività giornalistica o radiotelevisiva.
• Quanto sono costato a chi paga il canone RAI? Fantastilioni di triliardi.

Ah, ecco una delle foto autografate degli astronauti che hanno camminato sulla Luna che cito nella trasmissione: Charlie Duke, Apollo 16. Sì, il compagno di missione lunare di John Young.


Su richiesta di Martinobri, ecco la foto del mio gatto Ombra che è stata usata per il programma (a 43:14).



Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.