È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto dal sottoscritto. Come la puntata precedente, questa è l’edizione estiva, nella quale mi metto comodo e racconto una storia sola in ogni puntata ma la racconto in dettaglio.

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo e i link alle fonti della storia di oggi, sono qui sotto!

----

Questa storia inizia con tre ingredienti: uno smartphone, un cuore solitario e delle criptovalute. Uno di questi ingredienti sta per sparire in circostanze misteriose; due resteranno. Provate a indovinare quali. È importante, perché storie come questa succedono realmente e possono capitare a tutti. 

----

Pochi giorni fa Jameson Lopp, della società di sicurezza informatica statunitense Casa Incorporated, ha raccontato [link attualmente non funzionante] sul sito della società una forma di attacco informatico insolita e originale.

Uno dei clienti della società, che chiamerò Mark per comodità (non è il suo vero nome), è un single che, come tante altre persone, usa app di incontri come Tinder per conoscere altre persone. Di recente ha trovato su Tinder il profilo di un donna che si descriveva in una maniera che ha colpito la sua attenzione. Ma non nella maniera che potreste immaginare. Citava semplicemente due parole nella descrizione della propria professione: crypto trader.

Un crypto trader è una persona che fa compravendita di criptovalute: bitcoin, ma non solo. È un mestiere abbastanza raro e Mark è stato attratto dal fatto che la donna, che chiamerò Sara (anche qui, non è il suo vero nome), lo svolgesse, visto che anche lui è un crypto trader.

Così Mark ha contattato la donna su Tinder, dicendole che anche lui era del mestiere; gli sembrava un buon aggancio di conversazione, un interesse comune di cui discutere.

Dopo una chattata su Internet i due hanno deciso di incontrarsi in una caffetteria. Mark ha notato che la donna che si è presentata all’appuntamento aveva un aspetto leggermente differente da quello che aveva visto nelle sue foto su Tinder, ma non si è fatto troppi problemi: tanta gente ha un aspetto reale parecchio differente da quello che pubblica online.

Durante questo primo incontro faccia a faccia Sara ha detto che i suoi genitori le avevano comperato un bitcoin, che aveva un valore di circa 30.000 dollari, ma non ha parlato di criptovalute per il resto dell’incontro.

Dopo una passeggiata insieme, i due si sono messi d’accordo di andare a casa di Mark a bere qualcosa. Hanno comperato degli alcolici, ma Mark ha notato che Sara era tutto sommato poco interessata a bere: mostrava molto più interesse per la musica. Anche qui, tutto sommato, niente di male.

A un certo punto Mark è andato alla toilette, e da quel momento i suoi ricordi si fanno confusi. Ricorda di aver bevuto ancora un po’ dopo essere stato alla toilette. Sara ha preso in mano lo smartphone di Mark e gli ha chiesto di mostrarle come si sbloccava. Mark sentiva che c’era qualcosa di sbagliato, ma aveva perso ogni inibizione e cautela. L’ultima cosa che ricorda di Sara è che la stava baciando, poi più nulla fino all’indomani mattina, quando Mark si è svegliato nel proprio letto.

Sara non c’era più, e non c’era più neppure il telefonino di Mark. Il portafogli, le carte di credito e i documenti personali dell’uomo erano ancora al loro posto. In casa non erano spariti soldi, computer o altri oggetti di valore.

Mark è andato al proprio computer portatile e ha cominciato a controllare i propri account: ha visto che qualcuno aveva tentato di fare acquisti di criptovalute usando il suo conto corrente bancario e di effettuare prelievi di bitcoin in vari siti di custodia di criptovalute. Chiaramente un aggressore stava cercando di svuotargli gli account dedicati alle criptovalute.

Che cosa gli stava succedendo?

Mark era diventato la vittima di una banda di criminali professionisti, ai quali non interessavano i soldi che aveva in casa o le carte di credito. Interessavano soltanto le password che proteggevano i suoi conti in criptovalute. Quelle password erano custodite nel suo smartphone: quello che mancava all’appello.

La sua strana arrendevolezza e perdita di inibizione davanti alla richiesta di Sara di mostrarle come sbloccare il suo smartphone, e la sua confusione nel ricordare gli eventi, erano probabilmente dovute a una sostanza che Sara gli aveva messo nel bicchiere approfittando della visita di Mark alla toilette. Una sostanza di quelle che appunto notoriamente causano perdita di inibizione e di memoria e vengono purtroppo usate solitamente per compiere aggressioni ai danni delle donne, specialmente nei locali pubblici. Stavolta la vittima era un uomo, e l’obiettivo non era un’aggressione fisica.

Sara era probabilmente il membro della banda che si occupava di sedurre le vittime, di drogarle di nascosto e di farsi dire come sbloccare i loro smartphone. Una volta ottenuto l’accesso al telefonino, il dispositivo viene passato a un altro componente della banda che si occupa di estrarne tutti i dati utili.

I criminali, infatti, si stanno rendendo conto che rubare un telefonino è molto remunerativo: questo dispositivo è ormai diventato la chiave di accesso alla vita intera, non solo digitale, di moltissime persone. Chi ha il vostro telefonino sbloccato può accedere alla vostra casella di mail e intercettare tutte le vostre comunicazioni personali e di lavoro. L’accesso alla mail permette di ricevere i link inviati dai siti degli account dei social network e dei servizi finanziari quando si clicca su “Ho dimenticato la password” e prenderne quindi il controllo cambiandone la password. Ma questo è soltanto l’inizio.

Quello che la maggior parte delle persone non si aspetta è che il loro telefonino possa essere considerato così prezioso dai malviventi da spingerli addirittura a organizzare una seduzione mirata, con tanto di incontro in carne e ossa con un membro della banda, soltanto per rubare quel dispositivo e farsene dare i codici di sblocco. Ma c’è un ottimo movente.

Avere il telefonino sbloccato di una persona, infatti, è ancora meglio che avere accesso alla sua mail: sul telefonino arrivano infatti anche gli SMS di autenticazione di banche e altri account che controllano denaro. Sul telefonino c’è anche l’app di autenticazione, per esempio Google Authenticator, che genera i codici usa e getta di questi account. E quindi avere lo smartphone sbloccato di una vittima significa avere tutto quello che serve per superare anche la cosiddetta autenticazione a due fattori usata dagli utenti più attenti: il primo fattore, infatti, è quello che sai (la password) e il secondo è quello che hai (il telefonino). Ma se una seduttrice ti induce a rivelare quello che sai e si porta via quello che hai, l’autenticazione a due fattori non serve più a nulla.

Infatti Mark aveva preso tutte queste precauzioni tecniche per proteggere gli account di criptovalute che gestiva, ma non aveva considerato il fattore umano. Ha sottovalutato l’investimento di risorse che i suoi aggressori erano disposti a fare.

I malviventi, infatti, si organizzano creando falsi account nei siti di incontri e immettendo in questi account parole chiave che attirano vittime facoltose: per esempio i gestori di criptovalute come Mark. Non sono loro a cercare le vittime: è la vittima che si autoseleziona.

Inoltre fanno leva sulle abitudini culturali: in un incontro fra sconosciuti, infatti, normalmente si pensa che la parte vulnerabile sia la donna. Le donne vengono avvisate del pericolo costituito dai farmaci immessi di nascosto nelle bevande: gli uomini no.

Nel caso di Mark, però, c’è un lieto fine, o quasi. Infatti i malviventi sono riusciti a impossessarsi soltanto di una piccola cifra in bitcoin presente in uno dei suoi account perché lui aveva preso un’ulteriore precauzione: aveva protetto i suoi account di maggior valore con un sistema a chiavi multiple.

In questi sistemi, un account finanziario è protetto da più di un codice o chiave di sicurezza. Le chiavi sono custodite su dispositivi separati e gestite da persone differenti. Per fare un trasferimento di denaro servono almeno due chiavi e quindi almeno due persone che siano d’accordo. Questa è la prassi standard per la gestione dei conti correnti nelle grandi aziende, e rende difficilissima la tecnica della seduzione: i malviventi dovrebbero riuscire a sedurre almeno due dei possessori di chiavi contemporaneamente.

Gli esperti di sicurezza sottolineano che questo tipo di trappola è una variante nuova di una tecnica vecchia, il cosiddetto wrench attack, l’attacco con la chiave inglese, nel quale si minaccia di fare del male alla vittima per indurla a obbedire e consegnare password e dispositivi agli aggressori.

Ora l’obbedienza viene ottenuta usando farmaci. 

L’altra novità è che il boom delle criptovalute ha creato molti nuovi ricchi, che non hanno ancora sviluppato buone abitudini di sicurezza e non si rendono conto che bitcoin e simili sono estremamente facili da perdere o da farsi rubare.

Alla luce di questa evoluzione, i consigli di questi esperti vanno aggiornati.

• Se date appuntamento a una persona sconosciuta che avete contattato su un sito di incontri, fatelo sempre in un luogo pubblico, preferibilmente uno dotato di telecamere le cui registrazioni possano essere consultate dalle autorità se qualcosa va storto.
• Confrontate sempre la foto della persona nel profilo con l’aspetto della persona che incontrate in carne e ossa. Se avete dubbi che sia la stessa persona, è il caso di allarmarsi.
• Non lasciate mai incustoditi cibi o bevande e non accettate cibi o bevande da sconosciuti o persone incontrate da poco.
• Limitate il vostro consumo di alcolici quando siete in un incontro di questo tipo.
• Mettetevi sempre d’accordo con una persona fidata che sappia del vostro appuntamento e agisca se non vi sente entro un certo orario.
• E ovviamente non pubblicizzate a sconosciuti il vostro interesse per le criptovalute.

Credit: yatsenkoalexey / VectorStock.

Ho ricevuto da un lettore, Filippo (che ringrazio), la segnalazione di una truffa riguardante i Bancomat che credo sia importante conoscere per evitare di esserne colpiti, perché è talmente sofisticata da poter ingannare anche utenti particolarmente attenti. La riassumo qui con il suo permesso.

Filippo ha ricevuto ieri una chiamata sul suo cellulare da un numero che corrisponde al numero verde dell’assistenza clienti della sua banca.

Una voce maschile distinta e gentilissima gli ha detto che stava chiamando dalla banca per un problema relativo al rinnovo del bancomat di Filippo in scadenza. Ha spiegato che per errore il bancomat nuovo era stato spedito ad un indirizzo sbagliato ed era ritornato in banca.

La voce ha quindi chiesto conferma dei dati di Filippo, elencando vari dati personali, compresi nome, cognome, numero di conto corrente, città di residenza, via e numero civico. Era tutto giusto, tranne una cifra del numero civico, che Filippo gli ha corretto.

Dopodiché, sempre con toni gentilissimi e amichevoli, l’uomo al telefono ha spiegato che a Filippo sarebbe arrivato un PIN nuovo via SMS e gli ha chiesto di rispondere, per sicurezza e autenticazione, mandando il PIN vecchio, sempre via SMS. L’uomo ha precisato che se Filippo non si fidava non c’era alcun problema: la procedura telefonica sarebbe stata bloccata e Filippo, presentandosi in banca, avrebbe ricevuto un’altra tessera.

Filippo ha accettato, dopo qualche esitazione. Gli è arrivato un SMS, stavolta da un numero non verde, ha risposto inviando il suo PIN e poi gli è arrivato il nuovo PIN. La telefonata si è chiusa cordialmente con l'assicurazione che il bancomat gli sarebbe arrivato entro due giorni lavorativi.

Filippo ha avuto la sensazione di qualcosa di storto e così ha chiamato il servizio clienti della banca (allo stesso numero verde dal quale aveva ricevuto la chiamata). La banca gli ha confermato che era stato vittima di una truffa e ha bloccato la carta prima di qualunque addebito. Filippo ha poi sporto denuncia in polizia.

Non è finita: nel primo pomeriggio gli è arrivata una nuova chiamata, da un numero non verde, da una persona che ha detto di essere un agente di polizia postale che stava seguendo la pratica del suo tentativo di truffa. Filippo ha riattaccato.

Parlando con la banca (quella vera) e con gli agenti (quelli veri), a Filippo risulta che la truffa probabilmente si è svolta in questo modo:

• i truffatori sono entrati in possesso della busta con il suo bancomat nuovo, che viaggia con posta ordinaria e ha lo stesso PIN della tessera vecchia;
• con un po’ di ricerche online sono riusciti a trovare informazioni aggiuntive su di lui;
• hanno chiamato Filippo camuffando il numero del chiamante in modo da far sembrare che fosse quello della banca (non è difficile);
• visto il blocco immediato della carta, hanno riprovato spacciandosi per la polizia.

Come vedete, il livello di sofisticazione di queste truffe è molto alto: sono stati usati tutti i trucchi tecnici e di social engineering per conquistare la fiducia della vittima. Non è facile resistere, ma bisogna ricordarsi la regola fondamentale: mai dare il proprio PIN a nessuno, per nessun motivo, anche se si presenta con tutte le credenziali in ordine. Nessun operatore umano, neanche quello della vostra banca, è tenuto a conoscere il vostro PIN.

“La sensazione che si prova quando si capisce di essere stati truffati è disarmante”, mi scrive Filippo. “A me è andata bene, ma vorrei che quello che mi è successo avesse la maggior diffusione possibile per aiutare e per informare tutti.” Prudenza.

Ultimo aggiornamento: 2019/01/28 22:20.

Redbanc, la società che gestisce la rete interbancaria dei bancomat in Cile, è stata attaccata, probabilmente da intrusi legati a un governo straniero, con una tecnica che è meglio conoscere per evitare di esserne vittima.

Tutto è cominciato con un annuncio su LinkedIn che offriva posti di lavoro per sviluppatori. Un dipendente di Redbanc ha risposto all’annuncio e ha tenuto un colloquio preliminare via Skype con l’azienda che aveva pubblicato l’offerta di lavoro. Durante il colloquio, gli interlocutori hanno inviato via Skype al dipendente un link a un file denominato ApplicationPDF.exe. Il dipendente lo ha aperto.

Il nome del file faceva pensare a un modulo da compilare, e in effetti sullo schermo del dipendente è comparsa una finestra di dialogo nella quale immettere i suoi dati, ma si trattava in realtà di un malware, PowerRatankba, descritto in dettaglio dalla società di sicurezza informatica Flashpoint.

Il dipendente ha eseguito il malware su un computer collegato alla rete di Redbanc, dandogli così la possibilità di esplorare in lungo e in largo la rete aziendale. Dopo qualche tempo la sicurezza interna dell’azienda ha scoperto l’intrusione e l’ha bloccata, ma ha dovuto annunciare pubblicamente il misfatto, con grave imbarazzo e una pessima figura.

L’aspetto interessante di questo attacco è il canale usato per recapitare il malware: se fosse stato il solito allegato a una mail, probabilmente il dipendente si sarebbe insospettito, perché ormai è noto che gli allegati alle mail possono essere pericolosi. Ma un colloquio via Skype ha invece stabilito un rapporto personale e ha messo il dipendente sotto pressione psicologica: chi se la sentirebbe, durante un colloquio per un possibile nuovo impiego, di esprimere dubbi sulla credibilità dell’azienda interlocutrice e rifiutarsi di compilare un modulo? Tutto questo ha abbassato le difese del malcapitato.

Siate prudenti, specialmente se lavorate in un settore vitale come quello dei sistemi bancari.

"Per intrufolarci al Festival di Sanremo ci serve un pass! Come facciamo a falsificarne uno? Ci servirebbe un’immagine molto nitida del pass. Ma dove la troviamo? Siamo fregati!"

(guarda Twitter)

"Aspetta...."


Sicurezza degli accessi, lesson one: mai e poi mai lasciare i pass e i badge in bella vista, e mai e poi mai fotografarli da vicino o lasciare che vengano fotografati.

Anche nel caso di dispositivi a chip o banda magnetica, una persona che indossa un pass, specialmente se lo fa con disinvoltura, viene considerata automaticamente affidabile da chiunque incontri, per cui può sempre scroccare un’apertura di porta dicendo “Scusa, non mi funziona il pass, mi aiuti?”. Specialmente se è una donna attraente.


2019/01/14 21:10

Aggiorno questo articolo con la triste notizia dell’uccisione di Pawel Adamowicz, sindaco di Danzica, accoltellato durante un evento di beneficenza da un uomo che “si era impossessato di un pass stampa per accedere all’evento”.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

È un espediente usato spesso nelle trame dei film e telefilm quando si vuole mostrare un tentativo di intrusione informatica: lasciare nelle vicinanze dell’azienda o della persona presa di mira delle chiavette USB che facciano da esca e poi attendere che il bersaglio le trovi e, mosso da curiosità, le infili in un computer, in modo che il malware contenuto nelle chiavette possa infettarlo e poi rubare dati o compiere altre nefandezze.

La tecnica è stata mostrata, per esempio, in una puntata della prima stagione di Mr. Robot, telefilm-culto fra gli informatici per il realismo delle modalità d’intrusione digitale che mostra. Ma questa storia delle chiavette è davvero credibile? La gente è davvero così curiosa e ingenua?

Purtroppo sì: pochi giorni fa, al convegno statunitense BlackHat, Elie Bursztein di Google ha presentato i risultati di un esperimento nel quale quasi 300 chiavette USB sono state lasciate in giro nel campus della University of Illinois Urbana-Champaign. Il 98% delle chiavette è stato raccolto (la prima solo sei minuti dopo il piazzamento) e il 45% è stato non solo inserito in un computer connesso a Internet ma sfogliato cliccando sui suoi file.

Le chiavette disseminate sono state etichettate con nomi diversi (“esami”, “confidenziale”, con chiavi e indirizzo del proprietario, oppure senza alcuna indicazione) per vedere quali nomi erano più allettanti. La buona notizia è che le chiavette che recavano le coordinate del proprietario sono state quelle meno aperte.

Alle cavie dell’esperimento è andata bene, perché sulle chiavette c’era solo un innocuo sondaggio tracciante, ma Bursztein ha mostrato come sarebbe stato possibile camuffare come chiavetta USB un emulatore di tastiera che poteva prendere il controllo del computer. Mai fidarsi, insomma, delle chiavette trovate in giro, neanche se hanno l’aria di contenere informazioni golose.


Fonte aggiuntiva: Tripwire.

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/07/05 14:25.

Di solito mi capita di raccontare attacchi informatici basati su vulnerabilità del software usato dagli utenti o su difetti nella sicurezza tecnica dei social network, ma stavolta ho da raccontare un altro approccio, che serve come chiaro promemoria di una cosa fondamentale: siccome noi utenti per i social network siamo soltanto mucche da mungere, a loro della nostra sicurezza non importa praticamente nulla.

Se i nostri post intimi, che abbiamo impostato come privati perché sono appunto privati, finiscono per diventare pubblici per errore, rovinando un’amicizia o un amore o una carriera, il problema è soltanto nostro, non loro. Quindi pensateci bene prima di affidare a un social network qualunque informazione personale, perché per rubarla non ci vuole nemmeno una gran competenza informatica. Basta chiedere educatamente.

Lo sa bene Aaron Thompson, un ventitreenne che vive nel Michigan. Il 26 giugno scorso si è accorto che non poteva più accedere al proprio account Facebook e che l’indirizzo di mail e i numeri di telefono associati all’account erano stati cambiati.

Ha guardato la propria mail e vi ha trovato uno scambio di messaggi fra l’assistenza clienti di Facebook e l’intruso che aveva preso possesso del suo account. L’intruso, per evitare la verifica in due passaggi (autenticazione a due fattori), aveva mandato una richiesta di aiuto all’assistenza clienti di Facebook, dicendo che aveva perso l’accesso al proprio numero di telefonino e chiedendo di disattivare l’approvazione degli accessi e il generatore di codici. La richiesta dell’intruso non proveniva dall’account di posta di Thompson (“the hacker didn't have access to my email or password, they just said they no longer had access to my phone number or email, and facebook allowed them to choose the email to lodge the support ticket from.”).

La risposta automatica dell’assistenza clienti era stata molto semplice: l'interlocutore doveva dimostrare di essere il vero Aaron Thompson mandando una scansione di un documento d’identità.

L’intruso aveva risposto mandando questa immagine (alcuni dati sono oscurati nell’immagine qui sotto, ma non lo erano nell’originale inviato a Facebook):

Nessuno dei dati sul passaporto era esatto, a parte il nome, eppure questo è bastato a Facebook per “verificare” l’identità e disattivare tutte le protezioni sull’account di Thompson, cedendone il controllo all’intruso. Facebook poteva confrontare le informazioni nell’account con quelle nel finto passaporto, ma non ha fatto neanche quello.

La motivazione del furto dell’account era probabilmente economica: Thompson ha una serie di pagine Facebook che hanno vari milioni di “Mi piace”, altamente monetizzabili per esempio per uno spammer. Ma l’intruso si è limitato a inviare alcune foto oscene e qualche insulto.

Per riavere il controllo del proprio account su Facebook, Thompson ha dovuto raccontare pubblicamente la propria disavventura su Reddit. La notizia che basta un documento falso per convincere Facebook a disabilitare la verifica in due passaggi, cambiare la mail associata all’account e cambiare la password si è diffusa rapidamente.

Facebook è intervenuta, come racconta Motherboard, e ha ripristinato la situazione, dicendo che “aver accettato questo documento d’identità è stato un errore che ha violato le nostre prassi interne”. Sì, però nel frattempo è successo. Ricordatevelo. E ricordate che è per motivi come questo che non si devono mai dare a sconosciuti scansioni dei propri documenti.

Avete mai combinato un pasticcio informatico? Capita a tutti, non vi preoccupate. Consolatevi con questa serie di epic fail da parte di gente che in teoria dovrebbe saper gestire i dati digitali e invece s’è fatta fregare per inettitudine o maldestrezza.

Direttore CIA mette dati riservati su AOL

È di pochi giorni fa la notizia della presunta violazione della casella di mail del direttore della CIA John Brennan da parte di alcuni giovani informatici che su Twitter si fanno chiamare @_CWA_ e @phphax e che avrebbero prelevato da questa casella documenti riservati (contenenti nomi e altri dati di dipendenti dei servizi di sicurezza statunitensi, registri di telefonate con funzionari della Casa Bianca, il modulo di richiesta di verifica delle credenziali di sicurezza e altro ancora), pubblicandoli poi su Twitter e su Wikileaks.

Ma la vera notizia è che la casella di mail in questione non risiede sui server superprotetti della CIA: sta su AOL, un comune fornitore d'accesso Internet commerciale. Il direttore della CIA avrebbe insomma depositato documenti confidenziali presso un normale fornitore commerciale di accesso a Internet a basso prezzo.

Se confermato, sarebbe un gesto di stupidità monumentale in termini di sicurezza, che però sarebbe battuto dall'ingenuità delle misure di sicurezza di AOL. Gli intrusi avrebbero infatti ottenuto accesso alla casella di mail di Brennan usando dati pubblicamente reperibili per fingere di essere lui, contattare il servizio clienti di AOL e farsi inviare un ripristino della password, secondo la tecnica classica del social engineering, e descrivono tutti i dettagli della loro incursione.

Può sembrare poco credibile che il direttore della CIA commetta simili passi falsi, ma non è la prima volta che capita qualcosa del genere: nel 2013 furono violate, saccheggiate e pubblicate varie caselle di mail dei familiari dell'ex presidente degli Stati Uniti George H. W. Bush (nonché ex direttore della CIA). Indovinate dove erano custodite queste caselle? Sempre presso AOL.

La Banca d’Inghilterra spedisce piani segretissimi via mail

Un altro mirabile esempio di violazione della sicurezza informatica incredibilmente stupido arriva dal Regno Unito: in questo caso l’aggressore non ha dovuto fare nulla e anzi non c’è, perché il danno l’ha fatto tutto la vittima della fuga, ossia niente meno che la Banca d’Inghilterra.

A maggio 2015 il capo ufficio stampa della Banca, Jeremy Harrison, ha trasmesso via mail il Project Bookend, ossia i piani segretissimi d’emergenza per gestire un’eventuale uscita del Regno Unito dall'Unione Europea. Li ha trasmessi in chiaro, senza proteggerli neanche con una password o men che meno con un pizzico di crittografia. Non solo: li ha trasmessi al destinatario sbagliato. E fra tutti i destinatari possibili è riuscito a digitare l'indirizzo di mail di un redattore del giornale The Guardian, che ha prontamente reso nota la cosa.

Come è stato possibile un disastro simile? Merito del completamento automatico degli indirizzi. La soluzione adottata dalla Banca d’Inghilterra per evitare che imbarazzi del genere capitino di nuovo è altrettanto epica nella sua follia: invece di educare gli utenti a usare la crittografia o altri canali di trasmissione più sicuri per i documenti sensibili, ha fatto disabilitare il completamento automatico degli indirizzi di mail a tutti i dipendenti, col risultato che ora “tutti alla Banca d’Inghilterra devono faticosamente digitare ogni singolo carattere di ogni singolo indirizzo di mail che scrivono”.

Intrusione tramite...bollitore?

Restiamo nel Regno Unito: cosa ci può essere di più squisitamente inglese di un attacco informatico eseguito tramite i bollitori per il tè? Una marca di questi bollitori ha infatti messo in vendita iKettle, ossia un bollitore per l'acqua del tè che è comandabile a distanza tramite un'app per telefonini iOS o Android, in modo da far risparmiare al proprietario dei secondi preziosi quando si alza al mattino o quando rientra (lo so, lo so, problemi da primo mondo). Ma questo comando a distanza viene inviato via Wi-Fi ed è facilmente manipolabile per rivelare la password del Wi-Fi dell'utente.

“Se il bollitore non viene configurato,” spiegano gli esperti della società di sicurezza Pen Test Partners con dovizia di dettagli, “è banale per gli aggressori localizzare la casa e prendere il controllo del bollitore... mando due comandi e il bollitore mi rivela la password [del Wi-Fi] in chiaro.” La società ha anche creato una mappa londinese dei bollitori informaticamente vulnerabili, ma ha scelto di non divulgarla.

USA, dati personali 21 milioni di dipendenti governativi saccheggiati per un anno

Una delle più grandi violazioni di dati governativi della storia degli Stati Uniti è stata resa nota a giugno 2015. I dati personali di circa 21 milioni di dipendenti o ex dipendenti del governo americano (nomi, cognomi, date e luoghi di nascita, indirizzi, impronte digitali, stipendi, informazioni sui familiari, valutazioni psicologiche e altro) sono stati sottratti dagli archivi dell’Office of Personnel Management (OPM). Gli intrusi sono rimasti nel sistema informatico per almeno un anno.

Lo scopo del furto è probabilmente l’acquisizione di informazioni sui dipendenti governativi statunitensi da parte di una potenza straniera; queste informazioni possono essere sfruttate per ricattare i dipendenti oppure per identificare gli agenti governativi in incognito (avendo le loro impronte, anche se cambiano identità sono comunque tracciabili).

Anche qui gli aggressori sono entrati nei sistemi informatici usando, a quanto risulta dalle indagini, la tecnica del social engineering abbinandola alla totale mancanza di protezioni moderne, dovuta al fatto che alcuni dei sistemi hanno più di vent'anni e sono quasi impossibili da sostituire o aggiornare per dotarli di autenticazione a più fattori; oltretutto il governo statunitense rifiuta da anni di assegnare fondi significativi alla sicurezza informatica dell'OPM.

Audio porno inarrestabile dagli altoparlanti del grande magazzino

Per finire, un “attacco informatico” decisamente atipico: un centro commerciale Target vicino a San Jose, in California, è stato “attaccato” diffondendo l'audio esplicito di un video pornografico attraverso gli altoparlanti interni del grande magazzino. Mentre i dipendenti ridevano e riprendevano la scena con i telefonini, molti clienti sono scappati per l'imbarazzo e per non rispondere alle domande dei bambini che chiedevano di spiegare cos'erano i gemiti che riecheggiavano nelle corsie e sono proseguiti per almeno un quarto d'ora prima che qualcuno trovasse la maniera di zittirli.

Inizialmente era stato ipotizzato che qualche dipendente avesse deciso di guardare video a luci rosse sul computer del centro commerciale usato per la gestione degli altoparlanti, ma poi si è scoperto che l’attacco non è stato il solo del suo genere: analoghi fenomeni sono avvenuti almeno tre altre volte in in altri centri commerciali della stessa catena.

Alla fine è emersa una falla di sicurezza davvero demenziale: i centralini telefonici digitali dei negozi della catena Target hanno un numero interno che è chiamabile da fuori e diffonde la telefonata direttamente sugli altoparlanti senza poter essere escluso. È andata tutto sommato bene, perché gli intrusi avrebbero potuto approfittare del controllo totale che avevano per diffondere falsi allarmi e creare panico.

Come tutte le altre storie di violazione informatica raccontate in questa carrellata, anche questa è un buon promemoria del fatto che qualunque vulnerabilità, anche la più nascosta, prima o poi verrà trovata e sfruttata, ma in molti casi la vittima non ha preso neppure le misure di sicurezza minime di buon senso e soprattutto non ha pensato che quando si introduce una funzione nuova in un sistema informatico bisogna chiedersi sempre se per caso quella funzione possa essere abusata.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “mind-deto*”. Se vi piace, potete incoraggiarmi a scrivere ancora.

Stanotte ignoti hanno preso il controllo degli account Twitter autenticati di Tesla Motors (@teslamotors) e dello stesso Elon Musk (@elonmusk). Gli aggressori hanno pubblicato dei tweet contenenti un numero di telefono di una persona, con l'invito a chiamare il numero per ricevere una Tesla gratis. A giudicare dallo scambio di messaggi e da alcuni commenti, sembra che si tratti di una sorta di ripicca verso l'utente di cui è stato pubblicato il numero, fatta allo scopo di bombardarlo di telefonate di persone che gli chiedono una Tesla in regalo.

Gli account sono tornati alla normalità, ma in questo momento chi visita il sito Teslamotors.com da un browser si trova rediretto su una pagina parodistica piuttosto grossolana.

2015/04/27: Business Insider ha pubblicato un'analisi della tecnica d'attacco usata dagli aggressori: un classico social engineering.

Credit: Wikipedia.

È abbastanza normale che una mail sbagliata o truffaldina porti in carcere il suo mittente; è un po' meno normale che una mail fraudolenta faccia uscire di prigione chi è già dentro. Ma è quello che è successo incredibilmente a Neil Moore, detenuto per truffa nel carcere britannico di Wandsworth.

Secondo quanto racconta la BBC, il ventottenne ha usato un telefonino, che si era procurato illegalmente, per creare un nome di dominio molto simile a quello usato dal tribunale per la corrispondenza ufficiale. Come intestatario del dominio ha usato il nome di un vero funzionario del tribunale.

Fatto questo, ha creato una casella di mail su quel dominio e l'ha usata per inviare al servizio di gestione dei carcerati una mail falsa nella quale ordinava la propria scarcerazione. I dipendenti del carcere hanno eseguito l'ordine senza batter ciglio e Moore è stato rilasciato dal carcere.

La sua libertà ottenuta via mail è durata poco: l'uomo si è costituito tre giorni più tardi. Secondo le autorità inquirenti, la sua impresa è un caso di “inventiva criminale straordinaria, doppiezza e creatività”. Ma sembra che nessuno si sia chiesto perché il carcere accetti ingenuamente ordini di scarcerazione inviati tramite semplici mail non autenticate.

Moore, fra l'altro, non era nuovo a questo genere di tecnica: aveva già usato quattro identità differenti per fingersi membro del personale di varie banche per convincere alcune grandi organizzazioni a mandargli ingenti quantità di denaro, riuscendo a intascare quasi due milioni di sterline (circa 2,8 milioni di franchi svizzeri o 2,7 milioni di euro). Come sempre, per una truffa di successo non basta che ci sia un dritto: serve anche che dall'altra parte ci sia un pollo.

Questo è quello che ho tweetato poco fa.

disinformatico Lezioni di Internet: quando si Googla "MPEG", fare estrema attenzione a non digitare "MPREG". Not. Safe. For. Work. 03/11/14 23:21

Qualche minuto più tardi:

disinformatico Ora avete foto di uomini gravidi nella cache del vostro browser. 03/11/14 23:28

E qualche istante più tardi:

disinformatico Dimenticavo: la lezione di Internet di oggi era intitolata "Cos'è il social engineering?" 03/11/14 23:28

A volte il folletto che c'è in me scappa e prende il sopravvento. Scusate.

Saluti da Folignano! Ecco il podcast della diretta di stamattina del Disinformatico. Gli argomenti:

• I sette vizi capitali delle truffe in Rete
• Gmail cambia interfaccia via Web
• Il telefonino come controller per videogiocare: Google Rollit
• Come sapere se un sito è infetto senza visitarlo: Google Safe Browsing
• Antibufala: l'asteroide QE2 sfiorerà la Terra oggi? No

Questo articolo vi arriva grazie alla gentile donazione di “angelagabri*”.

Ieri, proprio mentre ero in una scuola di Locarno a raccontare agli studenti come riconoscere i tentativi d'inganno, di attacco e di molestia via Internet, è arrivata la notizia del fermo di un uomo di 47 anni, residente nella zona di Berna, per molestie sessuali, atti sessuali con fanciulli e ricatto.

I reati sono stati compiuti selezionando via Internet le vittime (adolescenti maschi fra i 15 e i 17 anni) con una tecnica micidiale: per due anni, sui social network (in particolare Facebook), l'uomo fingeva impunemente di essere una ragazzina (usando foto raccolte in Rete) e offriva materiale pornografico ai ragazzi presi di mira. Difficile resistere alle lusinghe di una ragazzina disinibita: i giovani venivano così convinti a ricambiare l'offerta esibendosi davanti alla webcam. Le loro attività venivano registrate e poi usate come arma di ricatto da parte del pedofilo, sfociando in incontri di persona.

I ragazzi hanno esitato a lungo prima di denunciare i fatti: come avviene spesso in questi terribili casi, la vittima si vergogna di essere caduta nella trappola, teme di essere ulteriormente umiliata se il suo comportamento viene reso pubblico e quindi non ne parla con nessuno, men che meno con i genitori. Il pedofilo crea insomma una situazione dalla quale la vittima non vede alcuna via d'uscita e questo consente alle molestie di protrarsi.

Ma quando questi crimini avvengono via Internet lasciano delle tracce digitali molto chiare, che gli esperti sanno analizzare, non solo per identificare i colpevoli ma anche per confermare, in prima istanza, le accuse dei minorenni coinvolti, che spesso temono di non essere presi sul serio. Internet aiuta i molestati a dimostrare i fatti terribili che raccontano, come ho suggerito in un'intervista [2018/10: link non più funzionante] per il telegiornale della RSI.

Vale, come sempre, la regola di fondo: mai fare davanti a una webcam o a qualunque fotocamera o telecamera nulla che non si farebbe sulla pubblica piazza, neanche quando si crede di conoscere l'interlocutore. Purtroppo molti utenti, non solo giovani, non sanno quanto è facile creare false identità in Rete, si fidano troppo, credono spesso di essere abbastanza furbi da riconoscere un impostore e non immaginano che qualcuno possa essere così vile da circuirli per settimane e anche mesi prima di far scattare la trappola del ricatto.

E se la trappola scatta, l'unico modo per uscirne è parlarne ai genitori e alle autorità, con il conforto di essere creduti grazie alle tracce lasciate inevitabilmente in Rete dai tormentatori.

Droni e social engineering

Generale: "Allora, come facciamo a far arrivare Stuxnet 2 in Iran? Le penne USB non basteranno più".

Sergente: "Se facessimo atterrare lì in emergenza un drone infetto?"

Adoro le menti contorte e creative degli esperti di sicurezza informatica. In questo caso, la mente è quella di Mikko Hypponen e il suo tweet originale è questo.

Quanto dev'essere sofisticato un attacco di phishing? Non molto

Giovedì ero in una scuola di Bellinzona per una lezione su Internet e le sue trappole sociali e tecniche. Una delle docenti mi ha mostrato una mail sospetta:

Da: "Posta elettronica scuola TI - @edu.ti.ch" <[omissis]@yahoo.com>
Data: 16 novembre 2011 20:10:06 GMT+01:00
A: [omissis]
Oggetto: Gentile utente edu.ti.ch ,
Rispondi a: [omissis]@w.cn


Gentile utente edu.ti.ch ,

Un virus DGTFX è stato rilevato nelle cartelle account di posta elettronica edu.ti.ch deve essere aggiornato a novembre i nostri protetta DGTFX nuovo anti-virus versione 2011 per prevenire danni ai nostri log di database e file importanti.

Fare clic sulla scheda risposta, riempire le colonne di sotto e rispedire o il vostro account di posta elettronica verrà interrotto immediatamente per evitare la diffusione del virus.

Nome utente:
Password:

Si noti che la password viene cifrata con chiavi RSA a 1024 bit per la vostra sicurezza password. Siamo profondamente dispiaciuto per l'inconveniente.

Il tuo account possono anche essere verificate immediatamente entro 24 ore,: informazioni non corrette possono portare a sanzioni, confisca o sospensione del tuo account.

NOTA: Per ragioni di sicurezza, chiudere il browser quando hai finito di utilizzare servizi che richiedono l'autenticazione!

Grazie per la vostra comprensione.
Supporto tecnico / Team TSR manutenzione.
Posta elettronica scuola TI - @edu.ti.ch Servizio Clienti

Copyright © 1994-2011 edu.ti.ch ! Tutti i diritti riservati. Termini di servizio - Copyright / IP Policy - Linee guida Per ulteriori informazioni su come utilizziamo i tuoi dati leggi la nostra Politica sulla Privacy - Informazioni confidenziali

Pensavo si trattasse di un tentativo casuale di phishing e le ho consigliato di non rispondere e cestinare il messaggio, ma stamattina ho saputo dalla stampa locale (Tio.ch; Cdt.ch) che la stessa mail è stata ricevuta anche da altri docenti delle scuole ticinesi. E purtroppo qualcuno di loro ha risposto, presumibilmente regalando il proprio nome utente e la propria password ai criminali.

Non paghi del loro successo, stamattina gli spioni hanno insistito:

Da: "Posta elettronica scuola TI - @edu.ti.ch" <[omissis]>
Data: 19 novembre 2011 03:44:34 GMT+01:00
A: [omissis]
Oggetto: ultimo avvertimento
Rispondi a: [omissis]@w.cn

Cari edu.ti.ch! utente,

 Attualmente stiamo aggiornando tutte le e-mail account edu.ti.ch! del database ed e-mail centro vista conto cioè home page, migliorare la sicurezza di installazioni di nuovi virus 2011 anti-spam e anti, spazio della cassetta postale di grandi dimensioni. ! account di posta elettronica edu.ti.ch che non sono più attivi per permettere di creare più spazio per i nuovi utenti conti.

 In altri di continuare a usare i nostri servizi si è bisogno di aggiornare e ri-confermare i vostri dati account e-mail come richiesto qui di seguito:

 Indirizzo e-mail
 password
 Data di nascita:

 In caso contrario, questo sarà immediatamente rendere il tuo account disattivati ​​dal nostro database ed il servizio non sarà interrotto messaggi importanti può anche essere persa a causa della tua calo di ri-ci ha confermato i dettagli del conto. E 'anche pertinenti, si capisce che la nostra preoccupazione principale è la sicurezza per i nostri clienti, e per la sicurezza dei propri file e dati.

 NOTA: Per ragioni di sicurezza, chiudere il browser quando hai finito di utilizzare servizi che richiedono l'autenticazione!

 Grazie per la vostra comprensione.
 Supporto tecnico / Team TSR manutenzione.

Si pensa sempre che gli “hacker” (termine improprio, ma pazienza) usino stratagemmi ultrasofisticati, ma in realtà molto spesso basta un attacco grossolano per superare le difese dei sistemi sfruttando l'anello debole della catena: l'utente.

In questo caso alcuni docenti avrebbero dato retta a un messaggio-trappola nonostante:

1. fosse scritto in un italiano catastroficamente sgrammaticato
2. provenisse da un indirizzo che per simulare una provenienza autorevole usava soltanto un espediente banalissimo (una descrizione e nulla più, lasciando in chiaro il vero mittente e il reply-to cinese)
3. chiedesse loro dati estremamente sensibili come le password e le date di nascita.

Se questo attacco ha avuto successo, vuol dire che basta davvero poco, persino un messaggio sgangherato come questo, per ingannare gli utenti. Vuol dire anche che i docenti (e con loro molti altri utenti) hanno bisogno urgente di una sensibilizzazione all'uso di Internet e di uno strumento fondamentale come l'e-mail. Sembra proprio che manchino le basi, e questo è preoccupante.

Inoltre, se questo attacco ha colpito esclusivamente docenti, vuol dire che gli aggressori si sono impadroniti in qualche modo della rubrica dei loro indirizzi e che quindi c'è stata una compromissione della sicurezza dei servizi informatici scolastici. In tal caso non si tratterebbe di un tentativo a casaccio che per pura coincidenza ha raggiunto anche dei docenti, ma di un attacco mirato (spear phishing).

Speriamo che l'incidente serva di lezione, non solo in Canton Ticino ma anche altrove. Se qualcuno ne sa di più, mi scriva.


Questo articolo vi arriva grazie alla gentile donazione di “pilla” ed è stato aggiornato dopo la pubblicazione iniziale.

Cercano di rubare i dati personali per telefono. A Kevin Mitnick

Dal Twitter di Kevin Mitnick di pochi minuti fa (se non sapete chi è, sappiatelo):

"Una rimbambita chiama da Skype il mio cellulare e finge di essere una che emette carte di credito e me ne offre una"
"Ha insistito sulla mia data di nascita per DIMOSTRARE che ho almeno 18 anni. Le ho detto che dovevo guardare la mia patente perché mi ero dimenticato la mia data di nascita"
"E mi ha pure ringraziato per il mio tempo... HAHAHAHAHHAHAHAHA"
"Ho registrato la chiamata. Potrei pubblicarla da qualche parte se ho tempo"
"Controllerò con il mio avvocato per sapere se la posso pubblicare... non voglio finire sotto processo"

Darei molto per sentire quella chiamata.

23 miliardi di minuti al giorno su Facebook, tuteliamoli con nuove misure di sicurezza

Questo articolo vi arriva grazie a uno sponsor.

Alla conferenza Virus Bulletin 2010 che si tiene a Vancouver, il boss del reparto anti-malware di Facebook, Nick Bilogorskiy, ha reso pubblico un dato che ha dell'incredibile, riferito da Graham Cluley di Sophos. Ogni giorno i 550 milioni di utenti di Facebook spendono sul loro social network in totale 23 miliardi di minuti: una media di circa tre quarti d'ora a testa.

Un altro dato intrigante: gli autori del worm Koobface, che circola su Facebook da un paio d'anni, hanno incassato in media 35.000 dollari la settimana nel corso del 2009, vale a dire 1,8 milioni di dollari l'anno. Mica male, ma Bilogorskiy ha detto che si sa chi sono e che le forze dell'ordine stanno indagando.

Se siete preoccupati che qualcuno vi rubi la password di Facebook e usi al posto vostro la vostra identità nel social network, Bilogorskiy ricorda che da qualche mese Facebook mette a vostra disposizione una funzione che vi avvisa via mail o SMS in caso di accesso al vostro profilo Facebook effettuato da un computer diverso da quelli che avete autorizzato.

Trovate i dettagli di questa funzione nel blog di Facebook, ma in sintesi: andate su Account, Impostazioni account, Protezione dell'account, Modifica e attivate le notifiche di accesso.


Il servizio non è molto preciso nell'identificare la località dalla quale è stato effettuato l'ultimo accesso (nella schermata qui sopra, io non ero affatto a Zurigo; l'indicazione si riferisce al provider che usavo), ma è uno strato di protezione in più comunque consigliabile. In caso di accesso da un dispositivo diverso da quelli autorizzati, verrà posta una domanda di verifica.

Cluley, sempre ottimista, sottolinea però che anche la notifica via mail si presta a trappole di social engineering: dice che sarebbe molto facile per degli aggressori confezionare una mail di notifica falsa che mandi in panico l'utente e lo inviti a cliccare su un link che porta a un sito-trappola. La raccomandazione di tenere sempre i nervi saldi vale anche stavolta.

Quando il virus arriva su carta

Nuove frontiere delle aggressioni virali: il SANS Institute segnala che a Grand Forks, nel North Dakota, vari automobilisti hanno trovato sui propri veicoli dei volantini che li avvisavano di un'infrazione al codice della strada dovuta al modo in cui avevano parcheggiato e li invitavano a visitare un sito specifico (che non cito qui) per vedere immagini dell'infrazione.

In realtà il sito usa un trucco psicologico per installare un virus, o meglio un trojan horse, denominato Vundo, che si spaccia per un antivirus. Gli aggiornamenti dei principali antivirus (quelli veri!) sono già in grado di riconoscere questo attacco decisamente originale.

L'aspetto del sito-trappola è quello di un servizio dedicato alla pubblicazione di foto di infrazioni automobilistiche: per consultarlo, chiede di installare un apposito programma, PictureSearchToolbar.exe, che in realtà inietta nel computer della vittima (se si tratta di una macchina Windows che visita il sito con Internet Explorer) una DLL ostile dal nome generato a caso.

A sua volta, questa DLL scarica di nascosto da Childhe.com un'altra DLL. Al riavvio del computer, durante la navigazione in Internet compare un falso avviso di sicurezza, che informa l'utente di "vari segni della presenza di virus e malware" e offre una scansione gratuita del computer infetto. Cliccando su OK, la vittima viene portata a un sito che ospita un antivirus fasullo, che in realtà fa da talpa per infettare il computer della vittima con ogni sorta di porcherie.

E' la prima volta, a quanto mi risulta, che una campagna d'infezione virale sfrutta un oggetto del mondo reale a basso costo come un foglio di carta (ci sono precedenti a base di penne USB infette lasciate in giro, ma sono approcci costosi). Altre immagini di questa nuova tecnica, come la schermata qui sopra, sono pubblicate da McAfee.

L'attacco gioca dunque sulla pressione psicologica doppiamente (oddio, ho preso una multa; oddio, ho il computer infetto) per scavalcare le difese informatiche dell'utente e depositare nel suo computer un malware che per il resto segue uno schema già visto, quello del falso antivirus: la novità sta nell'esca cartacea.

Visto che quest'attacco richiede manovalanza sul posto e permette di circoscrivere il tentativo d'intrusione a una zona geografica ben precisa, viene da chiedersi se la scelta di Grand Forks sia mirata. Il nome della località è infatti ben noto a chi si occupa di sicurezza militare strategica, perché è quello dell'unica base di missili antimissili nucleari mai installata dagli Stati Uniti: i missili sono stati poi smantellati, ma la base rimane ed ora è candidata ad essere l'area di collaudo dei nuovi aerei senza pilota. Un caso?

Comunque sia, provo una certa invidia per la genialità di questi criminali e non posso fare a meno di pensare che sarebbe una bella forma di vendetta verso gli idioti che parcheggiano come se fossero i padroni del mondo.

Barack attack!

Nell'era di Internet, la popolarità di un presidente americano si misura anche dal numero di trappole informatiche che lo coinvolgono. Websense riferisce che il sito My.barackobama.com, creato come luogo d'incontro virtuale per i sostenitori del neoeletto Barack Obama, in stile MySpace, viene sfruttato dagli aggressori per iniettarvi delle immagini che sembrano video di Youtube, con l'invito a cliccarvi sopra. Chi clicca viene portato a un sito che fa finta di essere Youtube (esteticamente è identico) ed è pieno di immagini porno. Cliccando sui filmati si viene invitati a scaricare un "codec" che servirebbe per vedere i video ma in realtà è un software ostile: un trojan horse. Altri dettagli tecnici sono disponibili presso Vil.nai.com.

Il trucchetto del codec non è originale; la novità sta nello sfruttamento di un sito molto visibile e di ottima reputazione. Gli aggressori hanno infatti disseminato di link alle pagine taroccate di My.barackobama.com i commenti dei blog e i forum in giro su Internet, sapendo che gli utenti, vedendo che il link porta a un sito affidabile, saranno portati a cliccarvi sopra.

Non è nota al momento la funzione di questo software ostile, che è un file .exe su misura per Windows. Gli utenti Mac e Linux non sono quindi vulnerabili a questa minaccia. Per gli utenti Windows resta sempre valido il consiglio di non scaricare ed eseguire nulla che non provenga da fonti tradizionali: perché mai un sito di Barack Obama dovrebbe chiederci di installare un programma?

Windows 7 vulnerabile a Conficker: è ora di pensionare l'Autoplay?

F-Secure segnala che il trucchetto d'ingegneria sociale usato da Conficker funziona anche con Windows 7.

Se si inserisce una penna USB infetta in una macchina Windows 7, compare la finestra di Autoplay, che chiede all'utente cosa fare. La finestra contiene un'opzione-trappola: è la prima nella figura qui accanto, che sembra essere un invito ad aprire una cartella (dunque un gesto che riteniamo innocuo) ma in realtà esegue Conficker.

In Windows Vista l'opzione-trappola può saltare all'occhio maggiormente, perché la dicitura "Open folder to view files" è sempre in inglese (è hardcoded nella riga Action dell'autorun.inf scritto da Conficker) a prescindere dalla lingua del sistema operativo ospite. Presumo che chi sta collaudando Windows 7 abbia invece scelto la versione inglese, nella quale la trappola si mimetizza molto bene. Quanti, infatti, noteranno che sopra l'icona autentica di Windows c'è scritto "Install or run program"?

The Register suggerisce che visto che Windows 7 è ancora in beta, ci sia ancora tempo per modificare il modo in cui funziona l'Autoplay e renderlo un grimaldello meno efficace, o per eliminarlo del tutto. Credo che saremmo in tanti a rinunciare volentieri alla relativa comodità di questo automatismo in cambio di una maggiore sicurezza.

Intanto arrivano segnalazioni di danni causati da Conficker e soprattutto dalla scelleratezza dei manager responsabili per l'aggiornamento dei computer. Sempre secondo The Register, la rete informatica degli ospedali di Sheffield, nel Regno Unito, ha oltre 800 PC infetti, grazie anche al fatto che era stata presa la decisione di disattivare gli aggiornamenti di sicurezza su tutti e 8000 i PC della rete dopo che nella settimana di Natale i PC di una sala operatoria si erano riavviati nel bel mezzo di un intervento chirurgico. Brr.

Come se non bastasse, un'epidemia di Conficker sembra essere la causa dei guai ai sistemi informatici della Marina Militare britannica. Sì, perché le navi da guerra e i sommergibili di Sua Maestà usano NavyStar/N*, un sistema basato su PC Windows standard. Siamo in buone mani: chi ha bisogno di missili e soldati, quando grazie all'incoscienza dei governanti basta un virus informatico per seminare la confusione nelle forze armate del nemico? Evidentemente nessun ministro della difesa guarda Battlestar Galactica.

Aggiornamento: istruzioni Microsoft sbagliate (2009/01/21)

Il CERT avvisa che le istruzioni di Microsoft per disabilitare l'Autoplay/Autorun sono sbagliate:

According to Microsoft, setting the NoDriveTypeAutorun registry value to 0xFF "disables Autoplay on all types of drives." Even with this value set, Windows may execute arbitrary code when the user clicks the icon for the device in Windows Explorer.

Le istruzioni corrette secondo il CERT sono indicate nell'avviso. Grazie a Luigi per la segnalazione. In sintesi: copiate e incollate le tre righe seguenti nel Blocco Note di Windows e salvatele con il nome autorun.reg.

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

In Esplora Risorse, fate doppio clic su questo file. Poi riavviate Windows.

Aggiornamento (2009/01/22): Microsoft ha corretto le istruzioni

Microsoft ha pubblicato le istruzioni corrette e aggiornate in inglese; la versione italiana è per ora una traduzione automatica non molto comprensibile.

Possibile che la gente ci caschi? Possibile eccome

La truffa alla nigeriana (quella in cui uno sconosciuto vi contatta dicendo di essere una persona importante che ha una grossa somma che vi spetta, ma vi chiede di anticipare dei soldi per presunte spese burocratiche) sembrerebbe a prima vista troppo stupidamente evidente perché qualcuno ci caschi. Ma la cronaca di questi giorni testimonia il contrario e lo fa con cifre da capogiro.

Il Windsor Star racconta che John Rempel (nella foto), un ventiduenne di Leamington (Ontario, Canada), e alcuni suoi familiari hanno abboccato all'esca lanciata a casaccio dai truffatori, che lo hanno tenuto in ballo per oltre un anno, mungendogli a vario titolo 150.000 dollari canadesi (al cambio attuale, 90.000 euro, circa 135.000 franchi svizzeri).

La sua storia merita di essere raccontata in dettaglio perché mostra i livelli incredibili di spavalderia ai quali arrivano questi criminali e gli altrettanto incredibili livelli d'ingenuità dimostrati non soltanto dal giovane Rempel ma anche dai suoi parenti che avrebbero dovuto avere un po' più di sale in zucca.

A luglio 2007, Rempel ricevette un e-mail da una persona che diceva di essere un avvocato che rappresentava un certo David Rempel, morto negli attentati di Londra del 2005. Il defunto, diceva la mail, aveva lasciato un'eredità di 12,8 milioni di dollari canadesi (7,8 milioni di euro; 11,5 milioni di franchi), ma non aveva famiglia, per cui aveva dato disposizioni affinché l'eredità andasse a qualcuno di nome Rempel. "Sembrava tutto a posto, così lo chiamai" ha detto Rempel. "Sembrava molto contento e disse 'Dio ti benedica'".

Non stupisce che il suo interlocutore fosse "molto contento": aveva trovato il pollo da spennare, visto che Rempel non aveva chiesto alcuna conferma documentale e si fidava di una persona che aveva conosciuto soltanto via e-mail e per telefono. Il finto avvocato disse a Rempel che doveva pagare 2500 dollari canadesi per trasferire i soldi. In seguito disse che c'erano altri documenti, alcuni dei quali costavano anche 5000 dollari.

A Rempel fu detto poi che doveva aprire un conto presso una banca londinese, con un versamento minimo di 5000 dollari. Ricevette poi dall'"avvocato" un e-mail che indicava gli estremi del suo nuovo conto, sul quale erano stati bonificati dei soldi.

E' a questo punto che l'avidità dei truffatori s'impennò: Rempel ricevette un e-mail da un ufficio governativo (non si ricorda di quale paese) che lo accusava di avere un debito col fisco di 250.000 dollari dovuto alle tasse di successione.

Che cosa fece Rempel? Chiamò l'ufficio delle imposte? Si chiese come mai il fisco usasse un e-mail invece di contattarlo per lettera? Macché: chiamò l'"avvocato", che riuscì miracolosamente a ridurre le tasse del 90%. Rempel, insomma, doveva soltanto 25.000 dollari grazie alla sapiente intercessione dell'"avvocato".

Così il giovane canadese andò in Messico a trovare uno zio, che gli diede 10.000 dollari in contanti e i soldi per il biglietto aereo per Londra, per sincerarsi che tutto fosse regolare. Anche lo zio, quindi, abboccò senza troppa esitazione: anzi, gli mandò altri 25.000 dollari.

Arrivato a Londra, Rempel incontrò delle persone e diede loro i diecimila dollari. Il giorno successivo queste persone si ripresentarono con una valigia che, a loro dire, conteneva l'equivalente in dollari USA di oltre 10 milioni di dollari canadesi (6 milioni di euro, 9 milioni di franchi). Rempel chiese ulteriori prove: i truffatori tirarono fuori una banconota che recava uno strano timbro, che fecero sparire con uno speciale liquido, rendendola (così dissero) di corso legale.

Rempel dice al Windsor Star che a questo punto "tutto gli sembrava regolare". Tornò alla propria camera d'albergo ad aspettare che i suoi soci "ripulissero" tutto il denaro, ma non si fecero più vedere. Il flacone di liquido speciale che Rempel aveva ricevuto cadde e si ruppe. Il giovane canadese rientrò a Leamington, naturalmente senza i soldi dell'eredità.

Qualche settimana dopo, i truffatori, senza pietà, lo chiamarono dicendo di aver recuperato altro liquido speciale: sarebbe costato 120.000 dollari, e loro ne avevano racimolati 115.000: Rempel poteva fornire i 5000 restanti? Rempel prese in prestito dei soldi e smise di pagare la propria carta di credito e le rate dell'auto.

Una settimana dopo, i truffatori richiamarono dicendo che mancavano soltanto 6900 dollari per le spese di viaggio e di noleggio dei furgoni per trasportare il denaro.

Poi chiamarono dicendo di essere all'aeroporto di New York e che erano stati fermati dalla sicurezza: servivano 12.500 dollari per sistemare la cosa corrompendo gli agenti. Soltanto a questo punto Rempel si tirò indietro. Andò a New York, passò un giorno a cercare i suoi "soci" all'aeroporto insieme ai genitori e al fratello, poi tornò a casa e (finalmente) chiamò la polizia.

In totale, aveva dato ai truffatori 55.000 dollari canadesi (33.500 euro; 49.500 franchi) dello zio in Messico, 60.000 dollari (36.600 euro; 54.000 franchi) dei propri genitori, e il resto ce l'aveva messo di tasca propria per arrivare a 150.000 dollari (90.000 euro, 135.000 franchi).

La storia di John Rempel contiene tutti gli ingredienti classici delle truffe basate non sulla tecnologia, ma sull'ingegneria sociale: la leva dell'avidità della vittima, il principio d'autorità del truffatore che si presenta come una persona di alto livello (un avvocato), il compare del truffatore che si finge un'altra autorità e sembra mettere nei guai la vittima (così il primo criminale può giocare il ruolo del salvatore). Tutte cose che esistono da ben prima di Internet. La novità sta in quello che avviene prima della truffa vera e propria: la selezione della vittima.

Mentre nell'epoca pre-Internet il truffatore doveva spendere tempo e risorse per tentare il raggiro con ciascuna vittima potenziale, con Internet può gettare diecimila esche (a costo zero e senza perdere tempo, grazie allo spamming) e aspettare che qualcuno risponda. E' la vittima ad autoselezionarsi.

Ed è per questo che la truffa alla nigeriana prospera tuttora: per la legge dei grandi numeri, qualche ingenuo (o, in questo caso, un'intera famiglia d'ingenui) si trova sempre; è un crimine a basso rischio e alto rendimento; e richiede un investimento iniziale molto modesto (niente abiti di lusso, niente carte intestate false, soltanto un po' di copiaincolla in Photoshop). Inoltre spesso non viene neanche denunciato, perché la vittima si vergogna di essere stata gabbata.

Infatti al povero John almeno un merito bisogna riconoscerlo: ha avuto il coraggio di raccontare pubblicamente la propria vicenda, e questo aiuterà gli altri a sapere dell'esistenza di queste truffe e a starne alla larga.