Il Disinformatico: Ashley Madison

Visualizzazione post con etichetta Ashley Madison. Mostra tutti i post

2015/08/21

Ashley Madison: nuova serie di dati trafugati, analisi degli account ticinesi

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “m.sabbat*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/08/23 17:30.

2015/08/21 10:30. Poche ore fa è stato rilasciato un altro Torrent di dati che a quanto pare provengono dal sito Ashley Madison. L'annuncio è stato pubblicato sulla rete Tor. Nel nuovo lotto di dati ci sono le mail di Noel Biderman, CEO di Avid Life Media, che è proprietaria di AM; il codice sorgente del sito e delle app per smartphone; e molti dati interni dell'azienda. La disponibilità di questi dati faciliterà il lavoro di devastazione di qualunque aspirante aggressore (ammesso che a questo punto resti qualcosa da devastare, anche se l'azienda sembra voler continuare a operare). Non sembra esserci nulla di interessante dal punto di vista tecnico in questa nuova serie di dati.

Intanto in Canada è partita la prima class action contro l'azienda per non aver tutelato i dati personali degli utenti. I gestori di Ashley Madison sono in piena modalità panico: stanno addirittura ricorrendo alla censura tramite le leggi sul copyright (DMCA) per rimuovere i tweet che la citano. Ma ormai il danno è fatto: le rivelazioni hanno dimostrato che c'è un enorme numero di account falsi e quindi la credibilità dell'azienda (anche in termini di custodia dei dati sensibili dei clienti) ne esce a pezzi.

Fra gli utenti di AM ci sono membri dello staff della Casa Bianca, secondo Time. Su Dadaviz.com c'è una notevole serie di grafici basati su analisi dei dati trafugati: ripartizioni per paese rispetto alla popolazione, proporzione uomini/donne, stato coniugale dichiarato, numero di utenti che hanno usato il proprio indirizzo di mail governativo (ci sono 11 italiani) o di lavoro.

Ieri ho partecipato al servizio della Radiotelevisione Svizzera sulla vicenda Ashley Madison: il video è qui in streaming. Dall'analisi del primo lotto di dati pubblicati, alla quale accenno nel servizio, emerge che ci sono in tutto circa 50 account che indicano una località del Canton Ticino come indirizzo fisico, insieme a un indirizzo di mail, al nome e cognome e alle ultime quattro cifre della carta di credito. In alcuni casi è stato usato l'indirizzo di mail del luogo di lavoro e/o ci sono altri dati personali reperibili facilmente sui social network. C'è un addebito di oltre 15.000 dollari sul quale sto indagando (ho contattato la persona per segnalare la possibile frode ai suoi danni). Le località ticinesi dichiarate dagli utenti, spesso indicando anche la via e il numero civico, sono una trentina (Arzo, Bellinzona, Cadempino, Camorino, Canobbio, Carabbia, Castel San Pietro, Chiasso, Cimo, Cugnasco, Figino, Lamone, Locarno, Losone, Lugano, Maggia, Manno, Massagno, Melano, Minusio, Monte Carasso, Morcote, Muralto, Pambio-Noranco, Paradiso, Quartino, Riva San Vitale, S. Pietro, Salorino, San Vittore, Sorengo, Vacallo).

2015/08/23 17:30

È partita una class action da oltre mezzo miliardo di dollari contro Ashley Madison. La riferisce la BBC, dicendo che due studi legali canadesi hanno avviato l'azione legale per conto di tutti i cittadini canadesi che sono stati colpiti dalla violazione della riservatezza dei propri dati. “In molti casi gli utenti avevano pagato un importo supplementare per far rimuovere dal sito tutti i propri dati e ora hanno scoperto che quelle informazioni sono invece rimaste intatte e ora sono state rese pubbliche”.

Fonti aggiuntive: Ars Technica, The Register.

2015/08/20

Ashley Madison: dati cercabili, ipocriti illustri, analisi tecnica, vite in pericolo

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “fabrisr*” e “luxbert*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/08/21 2:45.

Sono già disponibili vari siti Web, come Ashleymadisonleaked.com, Trustify.info, Ashley.cynic.al, che permettono di fare ricerche all'interno dei dati trafugati. Ce n'è persino uno che localizza i vari account su una mappa di Google come quella mostrata qui accanto.

Intanto emergono gli ipocriti illustri: Josh Duggar, celebrità televisiva statunitense che si presenta come paladino dei valori del matrimonio e della famiglia ed è stato messo a capo di un gruppo conservatore di lobbying, ha ben due account a pagamento su Ashley Madison, nei quali descrive dettagliatamente le proprie preferenze e disponibilità per una relazione extraconiugale.

IncludeSecurity.com ha pubblicato una dettagliatissima analisi tecnica dei dati, senza dati individuali, che è preziosa per chiunque s'interessi di informatica forense.

Per molti questa enorme fuga di dati altamente sensibili è fonte di ironia o di ilarità di fronte all'incoscienza di chi usa il proprio indirizzo di mail di lavoro o la propria carta di credito per registrarsi presso un sito d'incontri intimi segreti, e le storie degli adulteri angosciati sono educative per chi non ha ancora capito quanto è grave il problema della privacy nell'era dei dati in Rete. Ma in molti casi il rischio non è soltanto quello di trovarsi umiliati pubblicamente.

Per esempio, CNN fa notare che l'adulterio è una violazione grave del codice militare statunitense, per cui chi ha usato un indirizzo .mil potrebbe avere problemi ben più gravi di un coniuge furibondo, e che ci sono molti paesi nei quali una relazione omosessuale, come quelle delineate nei dati sottratti ad Ashley Madison, è punita con la morte: Afganistan, Iran, Mauritania, Nigeria, Qatar, Arabia Saudita ed Emirati Arabi Uniti. E in almeno uno di questi paesi ci sono utenti di Ashley Madison presumibilmente autentici, visto che i loro dati sono associati alla loro carta di credito.

C'è poco da scherzare, come indica un appello (ovviamente non verificabile) pubblicato in Rete da un omosessuale saudita che ha usato Ashley Madison per cercare partner durante gli anni trascorsi negli Stati Uniti e che ora risiede in Arabia Saudita e teme per la propria vita:

In traduzione:

Sono un uomo gay (single), di un paese dove gay=pena di morte, che sta per essere smascherato su Ashley Madison; come posso chiedere lo status di rifugiato?

Vengo dall'Arabia Saudita, dove l'omosessualità comporta la pena di morte. Negli ultimi anni ho studiato in America e in quel periodo ho usato Ashley Madison: quel sito Web è stato hackerato e gli hacker intendono pubblicare i nomi di ogni utente. Sono single; l'ho usato perché sono gay. Il sesso gay è punibile con la morte nella mia patria e quindi volevo tenere estremamente discreti i miei incontri (AM prometteva di avere sistemi che garantivano la riservatezza).

Ora sono di nuovo nel Regno e sembra che la lista di Ashley Madison possa essere pubblicata da un giorno all'altro. Sono quasi riuscito a racimolare soldi sufficienti per un biglietto aereo; non credo che sarà mai sicuro tornare, dato che ci sono prove incontrovertibili (immagini, chat) su AM che sono gay. Dove dovrei andare per avere la migliore speranza di ottenere lo status di rifugiato? E come faccio a chiederlo?

2015/08/19

Pubblicati 10 GB di dati personali del sito di tradimenti Ashley Madison

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “robird*”, “danibsec*” e “andreac*”. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2015/08/20 8:50.

Lo so che tutti quelli che decidono di essere infedeli al proprio partner credono di essere troppo furbi per essere mai scoperti, ma ci vuole un tipo di furbizia davvero speciale per fare le corna rivolgendosi a un sito Web al quale affidare la propria carta di credito e quindi la propria vera identità. Cosa mai potrebbe andare storto?

Devono averlo pensato in molti fra i 37 milioni di diversamente furbi che si sono affidati al sito Ashley Madison, un servizio “leader mondiale negli appuntamenti per persone sposate per incontri discreti” (come recita il suo banner, evidenziando il “discreti”). E infatti puntualmente il sito è stato violato e i dati degli utenti sono stati trafugati, con un ultimatum insolito alla Avid Life Media, proprietaria di Ashley Madison: chiudete il sito (e il suo consociato Established Men, dedicato a “collegare ragazze attraenti a benefattori generosi e di successo”) o pubblicheremo tutti i dati dei vostri clienti. Lo si è saputo il 21 luglio scorso.

Ashley Madison ed Established Men non sono stati chiusi, e ora, a quanto pare, i dati trafugati sono stati pubblicati su Internet e sono accessibili tramite Tor in siti come questo: circa 10 gigabyte (compressi; 35 giga dopo lo scompattamento) di mail, profili di membri, transazioni di carte di credito e altri dati estremamente sensibili, compresi organigrammi aziendali e altri documenti.

I nomi degli utenti possono ovviamente essere falsi, per cui l'esistenza di un profilo intestato a una certa persona non significa necessariamente che quella persona abbia davvero creato un account presso il sito (anche perché Ashley Madison non verificava gli indirizzi di mail degli utenti); ma se i dati includono anche le transazioni delle carte di credito, l'identità è difficile da negare e per gli avvocati divorzisti è festa grande. Anche chi vive di ricatti sarà particolarmente felice della stupidità degli utenti di questi siti. Se poi, come capita spesso, gli utenti hanno adoperato la stessa password su Ashley Madison e altrove, alla festa si aggiungeranno anche i ladri di account.

Gli intrusi, che si fanno chiamare Impact Team, hanno motivato la propria azione dicendo che Ashley Madison è un sito fraudolento: “una truffa con migliaia di falsi profili femminili... il 90-95% degli utenti reali è costituita da maschi”, scrivono, invitando gli utenti a fare causa alla Avid Life Media per averli ingannati.

C'è di più: Ashley Madison si faceva pagare 19 dollari dagli utenti per il privilegio di disiscriversi e di cancellare i loro dati (che includono informazioni molto personali come i dettagli delle loro preferenze sessuali), e già questo è discutibile, ma i file trafugati indicano che in realtà i dati non venivano affatto eliminati.

Tweet reale di Ashley Madison.

Divorzi e ricatti a parte, i dati sono estremamente interessanti come spaccato delle abitudini degli utenti. Per esempio, secondo le prime indagini, ci sarebbero circa 15.000 indirizzi .gov o .mil, il che significherebbe che ci sono utenti così stupidi da usare il proprio indirizzo di mail di lavoro governativo o militare per iscriversi a un sito d'incontri. Le password sono cifrate con bcrypt, ma dubito che resisteranno a lungo.

Morale della storia: su Internet come nella vita reale, non affidate a terzi sconosciuti i vostri segreti. Non ne avranno mai la cura che ne avreste voi. E mettendoli online facilitate immensamente il lavoro a chiunque sia interessato a rubarli. Se li custodite voi, per quanto li custodiate male, per rubarveli devono avercela con voi abbastanza da entrarvi materialmente in casa o in ufficio.

8:50

I dubbi sull'autenticità dei dati pubblicati sono stati chiariti: i file sono stati autenticati. Gli account pubblicati sono circa 33 milioni (completi di nome utente, nome e cognome e hash della password; 28 milioni si dichiarano uomini, 5 si dichiarano donne); ci sono dati parziali riguardanti indirizzi d'abitazione, numeri di telefono e carte di credito, 9.6 milioni di transazioni e 36 milioni di indirizzi di mail. Le preferenze sessuali di ciascun utente sono descritte in maniera estremamente dettagliata, con ben 62 categorie. Ci sono anche gli account PayPal usati dai dirigenti di Ashley Madison (completi di password), schemi dettagliati dell'infrastruttura dell'azienda, e altro ancora. I dati sono stati raccolti l'11 luglio scorso.

Emerge molto chiaramente l'assurda disinvoltura dei gestori della sicurezza di Ashley Madison, che tenevano attivi sette anni di transazioni di carte di credito e avevano password di PayPal corte, ripetute e facili (avid1906 su cinque account, keithx22 su due, per esempio).

Un'analisi degli account con indirizzi .mil o .gov è qui.

Un altro bell'esempio d'incoscienza degli utenti: migliaia si sono registrati usando il proprio indirizzo di mail presso Facebook, per cui è banale associare il loro profilo a Ashley Madison al loro profilo Facebook.

Stanno già nascendo i siti che permettono di fare ricerche all'interno dei file trafugati, come per esempio Washeonashleymadison.com, che è già stato diffidato e ha interrotto il servizio. Mikko Hypponen di F-Secure consiglia di usare Haveibeenpwned.com per essere notificati in caso di violazioni del proprio account di mail.

Va ribadito che la presenza di un semplice indirizzo di mail negli archivi di Ashley Madison non è prova di colpevolezza (per esempio c'è chi vi ha trovato quello apparente di Tony Blair): chiunque poteva registrarsi al sito usando una mail di fantasia o altrui. Se invece insieme al nome ci sono i dati della carta di credito, l'identità si fa molto più credibile.

Altri aggiornamenti sono qui.

Fonti aggiuntive: The Register, Ars Technica, Fusion.net, Hydraze.org, Wired, Ars Technica, Wired.

Cerca nel blog