Falla di FaceTime permetteva di ascoltare attraverso gli iPhone, iPad e Mac altrui

Ultimo aggiornamento: 2019/02/08 21:30.

Per settimane, qualunque dispositivo Apple recente, dagli iPhone agli iPad ai computer Mac, poteva essere trasformato in una perfetta “cimice” per ascoltare di nascosto le conversazioni altrui e anche spiare tramite la telecamerina incorporata. Era sufficiente usare in maniera particolare (ma non troppo complicata) FaceTime, l’app di videochat di Apple, chiamando la persona da spiare. Anche se la persona non rispondeva alla chiamata, il suo dispositivo apriva il microfono e attivava la telecamera.

Una falla imbarazzante, risolta provvisoriamente da Apple in maniera drastica, ossia bloccando il servizio FaceTime in attesa di realizzare e distribuire un aggiornamento correttivo.

La schermata di stato dei sistemi e servizi Apple, consultabile qui.

L’imbarazzo è stato acuito dal fatto che Apple sta puntando molto, in termini di immagine aziendale, sulla sua attenzione alla sicurezza e alla privacy, e dal dettaglio non trascurabile che il difetto non è stato scoperto dai suoi esperti di controllo qualità ma da un ragazzo quattordicenne, Grant Thompson, a metà gennaio scorso.

Grant stava giocando a Fortnite e stava attivando una chat di gruppo con FaceTime quando si è accorto che poteva sentire anche le voci degli amici che non avevano ancora risposto all’invito a partecipare alla chat.

Come se non bastasse, Apple non ha risposto alle ripetute segnalazioni del problema fatte dalla madre del ragazzo ed ha reagito solo alcuni giorni dopo che la falla è stata rivelata pubblicamente.

L’azienda si è scusata e ha promesso di distribuire un aggiornamento di sicurezza entro questa settimana. Se avete un iPhone o un iPad, quindi, ogni tanto andate nelle Impostazioni e cercate la voce Generali e poi Aggiornamento software per vedere se l’aggiornamento è disponibile. Se avete un Mac, usate l’app dell’App Store e cliccate sulla sezione Aggiornamenti oppure andate nelle Preferenze di Sistema.

Imbarazzi a parte, però, la falla aveva una limitazione importante: lasciava sul dispositivo della vittima una chiara indicazione dell’identità dello spione o ficcanaso. Era quindi poco sfruttabile da intrusi professionisti o governativi, che preferiscono non lasciare tracce, ma era una pacchia per stalker ossessivi e partner gelosi che non avevano problemi a far sapere di stare origliando le proprie vittime. Vittime che spesso non sapevano come impedire questa persecuzione.

Incidenti come questo sono un promemoria molto chiaro del fatto che circoliamo tenendo in tasca, in ufficio e sul comodino un microfono che può essere attivato a distanza ed è gestito da un software molto complesso che a volte non funziona esattamente come vorrebbero i suoi creatori e utenti.

Le raccomandazioni apparentemente paranoiche degli esperti di sicurezza e privacy, che invitano a spegnere i telefonini o lasciarli fuori dalla stanza per qualunque conversazione o attività privata, sono insomma giustificate. Lo sa bene Larry Williams, un avvocato di Houston, che ha fatto causa ad Apple sostenendo che la falla di FaceTime ha consentito a qualcuno di origliare durante una delicatissima deposizione giurata di un suo cliente. Pensateci la prossima volta che andate dal medico o dal vostro avvocato o vi trovate in altre situazioni nelle quali fate confessioni molto personali.

2019/02/08 21:30

Apple ha rilasciato MacOS 10.14.3 e iOS 12.1.4, che risolvono questa falla.


Fonti aggiuntive: Graham Cluley, New York Times, The Inquirer, New York Times, CNet.

Quindici anni di Facebook

Stasera sono stato ospite del telegiornale della Radiotelevisione Svizzera per qualche minuto dedicato al quindicesimo compleanno di Facebook.

Vi segnalo due ottimi articoli di Wired che fanno bene il punto della cronologia di Facebook e della sua situazione attuale.

Antibufala mini: Di Maio e la citazione di Einstein. Che non è di Einstein

Ultimo aggiornamento: 2019/02/05 10:30.

Mi segnalano che Luigi Di Maio, attualmente Vicepresidente del Consiglio dei Ministri e Ministro dello Sviluppo Economico e del Lavoro in Italia nonché Capo politico del MoVimento 5 Stelle (riporto dal suo account Twitter), ha pubblicato questa citazione attribuendola ad Albert Einstein: “Chi dice che è impossibile non dovrebbe disturbare chi ce la sta facendo”.

Lasciando stare ogni polemica politica, la citazione non è di Einstein, anche se gli viene spesso attribuita. Altri padri ricorrenti sono Confucio e George Bernard Shaw.

Ma secondo Quote Investigator, l’originale inglese della frase è “People who say it cannot be done should not interrupt those who are doing it” e la prima versione di questo aforisma è opera della rivista umoristica statunitense Puck a dicembre del 1902.

Puck scrisse “Things move along so rapidly nowadays that people saying: “It can’t be done,” are always being interrupted by somebody doing it”, ossia “Oggigiorno le cose vanno così veloci che la gente che dice ‘Non si può fare’ viene costantemente interrotta da qualcuno che lo sta facendo”.

La battuta ebbe un notevole successo e fu ripresa, citando la fonte, da molte altre testate. Subì poi un’evoluzione: negli anni Sessanta circolò, attribuita a Confucio, nella forma “Man who says it cannot be done should not interrupt man doing it”, vale a dire “Uomo che dice che una cosa non si può fare non dovrebbe interrompere uomo che la sta facendo”.

Nei primi anni Duemila fu diffusa, con l’attribuzione a Shaw, nella variante “People who say it cannot be done should not interrupt those who are doing it”, che in italiano diventa “Chi dice che è impossibile non dovrebbe interrompere chi lo sta facendo”.

La falsa citazione è popolarissima fra coloro che sentono il bisogno di appoggiarsi a una mente di indubbia reputazione per giustificare le azioni della propria. Lo ha fatto, di recente, anche Ivanka Trump.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Repubblica copia da Wikipedia e lo spaccia per giornalismo

Ultimo aggiornamento: 2019/02/04 10:45.

“La Repubblica si fonda sui lettori come te, che ogni mattina ci comprano in edicola, guardano il sito o si abbonano a Rep:. È con il vostro contributo che ogni giorno facciamo sentire più forte la voce del giornalismo e la voce di Repubblica”. Questo messaggio, firmato dal direttore Mario Calabresi, compare in calce agli articoli del sito di Repubblica, e si conclude con un appello: “Sostieni il giornalismo! Abbonati a Repubblica”.

Beh, io il giornalismo lo sosterrei anche volentieri. Ma quando salta fuori che le parole sussurrate dalla “voce del giornalismo” sono “me ne fotto di te e ti rifilo la prima porcheria che riesco a mettere insieme copiando a caso, però voglio che mi paghi”, la voglia di sostenere questo genere di giornalismo passa in fretta.

Prendete l’articolo di Repubblica “Usa, arrestato il rapper 21 Savage, "eroe underground di Atlanta". L'accusa: "È britannico"” (link intenzionalmente alterato; copia permanente su Archive.is), segnalatomi da @cheremone: già insospettisce la sequenza di parole in libertà “l'isola di Dominica, giugno stato sovrano dei Caraibi”, ma proprio appena prima di quello struggente appello del direttore Calabresi arriva questo:

Avete notato anche voi quel malandrino numero 14 fra parentesi quadre? Vi ricorda nulla? Proviamo a guardare Wikipedia:

Copiato parola per parola, senza neanche eliminare il numero della nota di Wikipedia. E schiaffandoci pure su la dicitura “© Riproduzione riservata”.

Questo è quello che Repubblica spaccia per giornalismo. Mi scusi, direttore Calabresi, ma con che faccia tosta mi chiede di sostenere questo tipo di “voce del giornalismo”?

La conclusione di @cheremone è amarissima: “ora vado a scuola, dove di solito provo ad insegnare agli studenti a non copiare, ma mi sembra tempo perso, no?”.

ora vado a scuola, dove di solito provo ad insegnare agli studenti a non copiare, ma mi sembra tempo perso, no? @repubblica @disinformatico @lucasofri https://t.co/LjWdPAurpV

— cheremone (@cheremone) February 4, 2019

2019/02/04 10:45

Repubblica ha pubblicato un tweet di scuse:

Avete ragione, abbiamo corretto il pezzo e ci scusiamo con i lettori.

— la Repubblica (@repubblica) February 4, 2019

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Puntata del Disinformatico RSI del 2019/02/01

È disponibile lo streaming audio e video della puntata dell’1 febbraio del Disinformatico della Radiotelevisione Svizzera.

La versione podcast solo audio (senza canzoni, circa 20 minuti) è scaricabile da questa sezione del sito RSI (link diretto alla puntata) oppure qui su iTunes (per dispositivi compatibili) e tramite le app RSI (iOS/Android); la versione video (canzoni incluse, circa 60 minuti) è nella sezione La radio da guardare del sito della RSI ed è incorporata qui sotto.

Correggo due cose sbagliate che ho detto: ne La Sirenetta, la voce veniva ovviamente rubata ad Ariel, non a Ursula, e ho confuso sacrilegamente i rösti con gli spätzli.

Buona visione e buon ascolto!

Paura della Fata di Fuoco? Calma un attimo

Circola da tempo in Rete, particolarmente nei social network, un allarme internazionale per un presunto invito mortalmente pericoloso, noto come la “fata di fuoco” (o “fire fairy” in inglese).

L’invito, dice l’allarme, verrebbe inviato ai bambini tramite appunto i social network o Youtube e consisterebbe nel suggerimento di accendere i fornelli di nascosto, senza dirlo agli adulti, e ripetere alcune parole magiche: questo rito permetterebbe di diventare una fata di fuoco. Altre versioni, sempre secondo l’allarme, inviterebbero ad andare in cucina di notte per aprire i fornelli a gas e poi andare a dormire per risvegliarsi fata.

Ma di prove dell’esistenza di persone che diffondono questo terribile invito finora non se ne sono viste. Sembra che tutta la faccenda sia un caso di panico collettivo simile a quello della Blue Whale e che l’origine sia la stessa: i social network russi, in particolare VKontakte. I giornali sensazionalisti hanno ripreso la diceria, come al solito senza verificarla, e l’hanno amplificata e resa apparentemente autentica.

Fra questi giornali non mancano, guarda caso, il Daily Mail (link intenzionalmente alterato) e il Sun (link intenzionalmente alterato), al quale si è accodato il Giornale (link intenzionalmente alterato), presentando la schermata che vedete qui sopra, contenente istruzioni in russo che non descrivo in dettaglio per non alimentare i motori di ricerca.

La “prova” portata da queste testate sarebbe il caso di una bambina russa di cinque anni, Sonya Ezhova (o Sofia secondo alcune testate), che però non ha affatto seguito delle istruzioni ricevute via Internet ma, lasciata sola in casa dopo aver visto un cartone animato della serie Winx Club, ha acceso i fornelli e ha preso dei bastoncini di legno, che ha poi agitato (presumibilmente vicino ai fornelli). Le fiamme si sono propagate ai suoi indumenti, portando a ustioni sul 50% del suo corpo. Una vicenda terribile, risalente al 2015, ma Internet non c’entra nulla, se non per il fatto che forse la bimba ha visto le Winx su Youtube o su un altro sito di video. Nelle notizie che la riguardano, comunque, non c’è il minimo accenno a istruzioni ricevute via Internet da malintenzionati.

Più in generale, secondo le indagini di Snopes, Bufale.net, Query e Next Quotidiano, non sembra esserci alcuna diffusione di massa dell‘invito o alcun episodio reale di lesioni legate a questo invito. Esiste il fenomeno dei griefers, ossia di persone che pubblicano istruzioni dannose per vedere chi abbocca (per esempio “trapana qui il tuo iPhone per avere la presa per le cuffie” o peggio), per cui è possibile che a furia di parlarne qualche imbecille si faccia venire l’idea di disseminare anche questo invito mortale.

Vale la pena, quindi, di ricordare che lasciare incustodito un bambino in casa è sempre e comunque un gesto irresponsabile e che non è saggio esporre i bambini ai contenuti non filtrati di Internet. Storie come questa possono essere l’occasione per spiegare ai bambini che quello che vedono online o in TV non è necessariamente reale o diffuso con buone intenzioni.

Facebook blocca gli strumenti di trasparenza pubblicitaria

Ci sono vari strumenti, come Ad Analysis o Who Targets Me, che consentono di sapere come e perché gli utenti di Facebook vengono presi di mira dai pubblicitari sia per la vendita di prodotti sia per la propaganda politica, ma questi strumenti hanno improvvisamente smesso di funzionare a causa di modifiche apportate da Facebook al proprio software.

Le modifiche hanno un effetto importante sulla trasparenza delle attività di questo social network, che vengono monitorate da organizzazioni esterne come ProPublica, che ha denunciato il comportamento di Facebook, mostrando come le modifiche al codice di Facebook sembrino mirate proprio a impedire l’analisi esterna delle scelte pubblicitarie del social network, che ha spesso rivelato storture e anomalie come la propaganda mirata di origine russa verso gli afroamericani durante le elezioni statunitensi del 2016.

Facebook, dice ProPublica, ha usato anche trucchetti piuttosto bislacchi: per esempio, tutte le pubblicità devono contenere la parola sponsored o sponsorizzato per regolamento, e quindi questi strumenti esterni di analisi cercavano questa parola per raccogliere solo informazioni sui post pubblicitari, ma Facebook ha inserito delle lettere invisibili nell’HTML del sito, spiega ProPublica, notando che alcune di queste modifiche servivano anche ad aggirare gli adblocker, le estensioni usate per bloccare le pubblicità.

L’azienda di Zuckerberg ha giustificato i cambiamenti dichiarando che servono a far rispettare le proprie condizioni d’uso e proteggere le informazioni degli utenti.

Anche se gli strumenti automatici sono stati bloccati, se volete sapere perché siete presi di mira da una certa inserzione pubblicitaria, cliccate sulla freccina in alto a destra nell’inserzione e scegliete la voce Perché visualizzo questa inserzione? Comparirà una spiegazione che vale la pena di leggere. Un esempio:

Apple fa il gendarme per la privacy bloccando app di Google e Facebook; come sapere se avete app ficcanaso

Fonte: Apple.

Ultimo aggiornamento: 2019/02/01 15:00.

Facebook è stata colta da Apple a usare un trucco per eludere i controlli presenti nell’App Store: per consentire agli utenti di installare sui propri iPhone un’app ficcanaso non approvata da Apple, come ho raccontato qui, l’azienda di Zuckerberg ha usato un sistema denominato Apple Developer Enterprise Program, che consente alle aziende e agli sviluppatori di distribuire e installare app per uso interno senza passare dall’App Store.

Questa tecnica si basa sull’installazione di un profilo di configurazione e di un certificato digitale sui dispositivi degli utenti.

Usare questa tecnica non internamente a un’azienda ma verso gli utenti comuni è una palese violazione delle regole di Apple, e quindi Apple ha temporaneamente sospeso (e poi ripristinato) tutti i certificati di autorizzazione di Facebook.

Anche Google è stata colta a usare un trucchetto analogo per un’app di monitoraggio, Screenwise Meter, che offriva carte regalo in cambio del tracciamento delle attività online dei partecipanti. Apple ha bloccato anche l’app ficcanaso di Google, dimostrando così il proprio potere assoluto sui propri dispositivi.

Se volete controllare se il vostro iPhone, iPad o iPod touch (o quello dei vostri figli minorenni) è coinvolto in trucchetti pettegoli di questo genere, usati anche per installare app a scrocco di provenienza discutibile e potenzialmente pericolosa, seguite le istruzioni di Apple: per prima cosa occorre eliminare l’app ficcanaso. Poi bisogna andare in Impostazioni - Generali. Se non trovate una voce Gestione dispositivo (di solito è appena sotto la voce VPN), siete già a posto.

Se la trovate, cercate la sezione Profile management (o Gestione profilo) oppure Profile & Device Management (Gestione profilo e dispositivo) e toccate il profilo di configurazione dell’app: controllate che non sia richiesto per lavoro (per esempio perché si tratta di un dispositivo aziendale configurato tramite questo profilo) e, se non lo è, eliminatelo. Infine riavviate il vostro dispositivo.


Fonte aggiuntiva: Intego.

Facebook sapeva dei minorenni spendaccioni e ha taciuto

Ultimo aggiornamento: 2019/02/01 15:05.

Per anni, Facebook ha saputo che nei giochi online del suo social network, come Angry Birds o PetVille, c’erano bambini che spendevano centinaia o migliaia di dollari e spesso si è rifiutata di rimborsare queste spese chiaramente non autorizzate dai genitori.

In un caso esemplare, un quindicenne ha accumulato debiti per 6500 dollari in un paio di settimane, a furia di giocare, e Facebook ha negato il rimborso. I dipendenti dell’azienda di Zuckerberg descrivevano questi giovani come whale: il termine che si usa nei casinò per identificare i giocatori che spendono grandi cifre. I polli da spennare, insomma.

Gillian: Would you refund this whale ticket? User is disputing ALL charges …

Michael: What’s the user’s total/lifetime spend?

Gillian: It’s $6,545 – but card was just added on Sept. 2. They are disputing all of it I believe. That user looks underage as well. Well, maybe not under 13.

Michael: Is the user writing in a parent, or is this user a 13ish year old.

Gillian: It’s a 13ish yr old. Says its 15. Looks a bit younger. She* not its. Lol.

Michael: … I wouldn’t refund

Gillian: Oh that’s fine. Cool. Agreed. Just double checking.

Non solo: Facebook commissionò un‘analisi interna per capire come mai nel 93% dei casi i risarcimenti alle carte di credito dei genitori dei giovani giocatori di Angry Birds erano dovuti al fatto che questi genitori non erano consapevoli che il gioco potesse causare addebiti senza chiedere password o autorizzazioni.

L’analisi fece emergere inoltre il fatto che l’età media dei giocatori di Angry Birds era di cinque anni. Ma Facebook decise di non intervenire, perché qualunque misura per avvisare i giocatori che stavano spendendo soldi veri rischiava di intaccare gli incassi, e anzi chiese agli sviluppatori di giochi di non ostacolare le spese fatte dai minorenni a insaputa dei genitori. In un promemoria interno, Facebook chiamò questa prassi con un nome eloquentissimo: Friendly Fraud, ossia “frode amichevole” oppure, per analogia con il termine friendly fire, “frode da fonte fidata”.

Da allora Facebook ha introdotto maggiori controlli sui pagamenti, ma sembra che per farlo sia stata necessaria l’azione legale collettiva che ha reso pubblici questi comportamenti interni dell’azienda. Resta da vedere se la mentalità aziendale è davvero cambiata.


Fonti: Revealnews, Il Post.

Facebook ha pagato gli utenti per svendere la propria privacy. E quella dei loro amici

Credit: TechCrunch.

Un’indagine di TechCrunch ha rivelato che Facebook ha pagato alcuni utenti, anche giovanissimi, per installare sui propri dispositivi del software che consentiva all’azienda di monitorare tutta l’attività dell’utente.

Questo software, presentato come una VPN, dava accesso anche ai messaggi privati e alle chat, comprese le foto e i video inviati ad altri, le mail, le ricerche nel Web, i siti visitati e la geolocalizzazione. Inevitabilmente forniva accesso anche alle comunicazioni private delle persone con le quali interagiva chi partecipava a questo monitoraggio.

I partecipanti venivano pagati 20 dollari al mese più altrettanti una tantum per ogni altro utente che riuscivano a far iscrivere al programma, che veniva pubblicizzato su Snapchat e Instagram come uno “studio retribuito di ricerca sui social media”.

Secondo le ricerche della BBC, questi partecipanti davano accesso anche alle comunicazioni delle app che usano la crittografia e alle sessioni protette dei browser, e dovevano promettere di tenere segreta la loro partecipazione. Il consenso parentale necessario per i minorenni era assente o aggirabile e l’app non era nell’App Store ma veniva installata come versione di test per dipendenti, eludendo i controlli di Apple. La versione Android era offerta al di fuori del Play Store.

In altre parole, Facebook pagava anche minorenni per farsi spiare online e, peggio ancora, per farsi mandare di nascosto anche le comunicazioni private extra-Facebook degli utenti che comunicavano con queste cavie.

Facebook si dichiara innocente, ma non appena è emersa la notizia si è affrettata ad annunciare la chiusura dello studio di ricerca per i dispositivi Apple, senza specificare che Apple le aveva revocato il certificato che consentiva l’installazione dell’app; la versione Android risulta ancora attiva.

I dettagli della vicenda sono raccontati da Il Post in italiano oltre che da TechCrunch (a cui si deve la scoperta iniziale), ma la lezione è piuttosto chiara: fidarsi dei social network non ha alcun senso, la loro fame di dati personali non conosce limiti o decenze, e se un’app non è disponibile attraverso i canali standard è sicuramente perché sta facendo qualcosa di losco. Meglio evitare.