Il Disinformatico: googledork

Visualizzazione post con etichetta googledork. Mostra tutti i post

2021/05/12

Quanto è difficile trovare scansioni di documenti d’identità online? Non molto. Le offre il governo italiano

Ultimo aggiornamento: 2021/05/17 08:40.

Un altro giorno, un’altra collezione di scansioni di documenti d’identità lasciata online, accessibile a chiunque sappia usare Google. Non occorre conoscere password o altro: basta un banalissimo googledork. Il tweet qui accanto contiene tutto quello che serve sapere per trovare questi documenti.

Come è possibile? Molti documenti della pubblica amministrazione italiana hanno in allegato una scansione della carta d’identità: ho trovato registrazioni di liquidazioni di prestazioni, lettere commerciali di affidamento lavori, persino una raccomandata spedita via PEC (ironicamente), tutte con la loro brava scansione a colori, nitidissima, di un documento d’identità, usata come “firma digitale”.

Nomi, cognomi, indirizzi, fotografie, estremi dei documenti, dettagli dei pagamenti effettuati o richiesti, codici IBAN, tutti lasciati online.

Chi è l’irresponsabile che ha messo tutti questi documenti in bella mostra su Internet? Il Ministero delle Infrastrutture e dei Trasporti.

A quanto pare chi ha progettato il sito non ha considerato che esiste Google, e che quindi se un file è accessibile senza dover fare login e digitare una password Google lo troverà e lo indicizzerà, permettendo a chiunque di trovarlo. In questo caso i file sono accessibili perché hanno un URL pubblico del tipo

http://trasparenza.mit.gov.it/moduli/downloadFile.php?file[stringa]/[nome file PDF]

Ho sfuocato io le immagini; gli originali online sono perfettamente leggibili.

Disastri di privacy come questo sono frequentissimi e sono ovviamente una miniera d’oro per qualunque malintenzionato che voglia procurarsi una scansione di un documento identificativo di qualcuno per impersonarlo, specialmente ora che la scansione viene considerata equivalente a una firma.

La prossima volta che qualcuno propone di depositare online una copia dei documenti d’identità, magari affidandola ai social network, allo scopo di obbligare tutti a identificarsi sui social e quindi proteggersi dai bulli, dai molestatori e dagli odiatori, ricordate questo caso.

Questa è la pubblica amministrazione di uno stato, che ha degli obblighi di legge, e li ha verso i propri cittadini. Figuratevi come può tutelare i vostri documenti personali un’azienda che ha la sede principale all’estero, risponde soltanto alle leggi del suo paese (forse), al posto dei cittadini ha degli utenti e ha come esplicito scopo commerciale la vendita dei dati dei propri utenti.

---

Aggiornamento (2021/05/14 00:10). Se qualcuno avesse in mente di obiettare “ma tanto non se ne fanno nulla di queste scansioni di documenti d’identità, a chi vuoi che interessino”, questo è l’annuncio pubblicato oggi su un noto forum di compravendita di dati trafugati: vengono offerti dieci euro per ogni carta d’identità.

---

Aggiornamento (2021/05/17 08:40). Di questo caso e di altri analoghi si sono occupati Matteo Flora e Guido Scorza in una puntata di Garantismi.

2021/01/29

Le parole di Internet: googledork grafico, ossia come trovare scansioni di documenti personali online

Non è la prima volta che parlo di googledork nelle Parole di Internet: lo avevo fatto nel 2013, spiegando che significa in sostanza usare Google come strumento per scoprire vulnerabilità in servizi accessibili via Internet oppure per trovare documenti contenenti informazioni sensibili che non dovrebbero essere visibili via Internet ma in realtà lo sono.

Google, infatti, esplora a fondo ogni sito che gli capita a tiro, ma purtroppo molte persone non se ne rendono conto e quindi depositano documenti in una cartella del proprio sito web pensando che se nessuno ne conosce l’indirizzo esatto non li potrà trovare nessuno.

Ma Google quell’indirizzo lo conosce, se la cartella è pubblicamente accessibile, e quindi basta cercare in Google certe parole chiave, come password, specificando di fare la ricerca nei documenti Excel o Word, e salta fuori davvero di tutto, come si è visto su questo blog nei giorni scorsi: la password dell’intranet di un partito politico italiano, le istruzioni europee per richiedere certificati per corrieri fiduciari, una password di un server della Regione Veneto, una password del Touring Club Italiano. Altri esempi sono in arrivo.

Si tratta soltanto di fare ricerche in Google appositamente confezionate, per cui non si interagisce affatto con il sito incauto: si consulta la copia cache presente in Google.

Torno oggi sull’argomento googledork per segnalare una variante resa possibile dall’avvento della possibilità di fare ricerche per immagini nei principali motori di ricerca: il googledork grafico. Si può infatti dare per esempio a Google un’immagine di un modulo o di un documento d’identità e Google restituisce tutte le immagini dello stesso tipo che ha visto in giro in tutto il Web, indicandone la provenienza.

Il risultato è impressionante e deprimente: decine di siti che custodiscono (si fa per dire) scansioni di documenti personali, istantaneamente disponibili su Google. Mostro qui sotto un assaggio, segnalatomi da una fonte che non posso citare (perché ha pubblicato la versione non anonimizzata) ma che ringrazio:

Sono troppi per contattarli uno per uno e avvisarli del problema, e quindi resteranno così, a disposizione del primo googledorker che passa. Molte di queste immagini sono nei siti di enti pubblici. Ricordiamoci di questa disinvoltura nel custodire i nostri dati personali quando qualcuno ci chiede di identificarci online mandando i nostri documenti ai social network.

2020/07/31

Telecamere IP. Telecamere IP insicure ovunque. Anche su Google

Nella puntata precedente del Disinformatico radiofonico ho parlato delle telecamere IP troppo facilmente accessibili anche a sconosciuti tramite siti come Insecam.org, che è sufficiente visitare per poter vedere le immagini trasmesse in diretta da questi dispositivi. Ma esistono metodi ancora più facili, e vale la pena conoscerli per far capire ai proprietari di queste telecamere che trovarle e anche identificarle con precisione è molto più facile di quello che pensano.

Quando dico “facile”, intendo che basta usare Google.

Ogni telecamera IP visibile, infatti, viene vista anche dai motori di ricerca, dato che le sue immagini vengono presentate come pagine Web, e quindi basta digitare il titolo di queste pagine (che è standard per ogni modello di telecamera) per trovarne intere collezioni. Aggiungendo altri parametri alla ricerca è possibile selezionare ulteriormente regioni geografiche. Queste ricerche si chiamano in gergo google dork. Questi sono alcuni esempi, segnalati dall’informatica Stefanie Proto:

"please visit" intitle:"i-Catcher Console" Copyright "iCode Systems"

intitle:"active webcam page"

inurl:”MultiCameraFrame?Mode=Motion”

intitle:”snc-rz30 home”

allintitle: “Network Camera NetworkCamera”

Per esempio, questa telecamera che riprende un ingresso è addirittura comandabile oltre che osservabile.

È sufficiente invertire l’immagine per leggere le scritte visibili sulle porte a vetri, inquadrate quando si fa muovere la telecamera, e ottenere il numero di telefono e il nome del locale e quindi capire, con una rapida ricerca in Google, che si tratta dell’ingresso di una chiesa a Glenville, a Wichita, in Kansas.

Google Street View ci permette di vederla anche da fuori:

Questo permetterebbe di sorvegliare chi entra e chi esce da questo luogo di culto. I gestori di questa telecamera lo sanno e ne sono contenti?

Gliel'ho chiesto ieri (30 luglio) via mail. Vediamo se rispondono.

2019/09/08

Un altro giorno, un altro database esposto a Internet. Facciamo due

Due dump di database di una nota università italiana sono pubblicamente trovabili tramite una semplice ricerca in Google. Contengono dati potenzialmente riservati, come esiti di esami e soluzioni di prove. Così poco fa ho scritto alla Nota Università per avvisarla:

Buongiorno,

sono un giornalista informatico, collaboratore della Radiotelevisione Svizzera. Da fonte giornalisticamente confidenziale mi è arrivata la segnalazione che avete dei database esposti a Internet, con esiti di esami e altri documenti forse da tenere riservati. I database sono trovabili con una semplice ricerca in Google.

Li trova qui: [link omessi]

Presumo che non sia intenzionale e che vogliate rimediare.

La prego di trasmettere queste informazioni al vostro responsabile informatico. Resto a vostra disposizione per qualunque chiarimento.

Cordiali saluti
Paolo Attivissimo
Lugano, Svizzera

Vediamo cosa succede. Nel frattempo, se siete responsabili informatici di qualunque facoltà o azienda o ente, fatevi una cortesia: controllate che i vostri database Mysql non siano visibili ai motori di ricerca. Eviterete imbarazzi.

2019/09/09: I database non sono più accessibili.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

2013/02/01

Le parole di Internet: googledork

Questo articolo era stato pubblicato inizialmente l’1/2/2013 sul sito della Rete Tre della Radiotelevisione Svizzera, dove attualmente non è più disponibile. Viene ripubblicato qui per mantenerlo a disposizione per la consultazione.

googledork. Utente il cui comportamento inetto o incompetente viene rivelato da una ricerca in Google, ma anche uso di Google come strumento per scoprire vulnerabilità in servizi accessibili via Internet.

Ricerche in Google appositamente confezionate, come quelle citate a proposito di stampanti e telecamere di sorveglianza vulnerabili, permettono a un aggressore di effettuare una perlustrazione a distanza di sicurezza di un potenziale bersaglio di un attacco informatico. Dato che Google fa da tramite inconsapevole, il bersaglio non sa chi lo sta scandagliando e non si accorge neppure di essere sotto attacco.

Alcuni esempi di googledork, da usare con cautela e buon senso, per verificare che un sito militare o governativo anglofono non esponga pubblicamente documenti riservati:

"top secret site:mil"

"confidential site:mil"

“filetype:txt site:gov top secret”

"allintitle: restricted filetype:doc site:gov"

Ulteriori esempi sono disponibili presso Googlebig.com ed Exploit-db.com.

Cerca nel blog