Un blog di Paolo Attivissimo, giornalista informatico e cacciatore di bufale
Informativa privacy e cookie: Questo blog include cookie di terze parti. Non miei (dettagli)
Prossimi eventi pubblici – Sostegno a questo blog – Sci-Fi Universe
2017/10/13
Podcast del Disinformatico del 2017/10/13
È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!
Promemoria: se lavori per la sicurezza nazionale, non usare “admin:admin” come login e password
 |
| Credit: Twitter/@stilgherrian. La foto dell’aggressore è puramente simbolica. |
Stando a quanto pubblicato dal Sydney Morning Herald, l’azienda, di cui non viene fatto il nome ma è descritta come una società del settore aerospaziale con una cinquantina di dipendenti, si è fatta sottrarre circa 30 gigabyte di dati tecnici delicatissimi e dettagliati riguardanti i costosissimi nuovi caccia F-35, gli aerei di sorveglianza P-8 Poseidon, varie navi militari e munizioni di precisione.
Fra i tanti dati sottratti dagli sconosciuti incursori c’è, secondo le testimonianze raccolte, persino uno schema delle nuove navi della marina australiana così dettagliato da mostrare la disposizione delle postazioni in plancia.
L’azienda aveva una sola persona responsabile per la sicurezza informatica, non c’erano le normali misure di protezione (niente DMZ), non venivano installati gli aggiornamenti di sicurezza e la password di amministratore su tutti i server era la stessa. I servizi dell’azienda affacciati a Internet avevano ancora le password predefinite, ossia admin:admin e guest:guest. Gli intrusi sono entrati sfruttando una falla per la quale l’aggiornamento correttivo era disponibile da dodici mesi e sono rimasti nei sistemi informatici per tre mesi, saccheggiandoli, fino a quando le autorità australiane sono state allertate e sono intervenute.
Nonostante queste lacune evidenti, l’azienda era stata comunque certificata per trattare documenti governativi riservati a livello ITAR. Se vi siete mai chiesti come fanno le spie a rubare informazioni nel mondo reale, ora lo sapete: non servono tecniche da Mission: Impossible. Siamo in buone mani.
Fonti aggiuntive: ZDnet, Tripwire, ABC.
Video: se la telecamera di sorveglianza di casa comincia a parlarti, hai un problema
Una donna olandese, Rilana Hamer, ha pubblicato su Facebook un video (attenzione: contiene turpiloquio in inglese) nel quale mostra che la sua telecamerina di sorveglianza via Internet, che aveva comprato per tenere d’occhio il suo cagnolino mentre lei è fuori casa, ha cominciato a muoversi da sola e a parlarle.
Rilana racconta di essere tornata a casa e di aver sentito una voce proveniente dalla telecamera, che si rivolgeva a lei in francese, dicendole “Bonjour madame”. Si è spaventata così tanto che ha scollegato la telecamera dall’alimentazione e l’ha chiusa in una scatola.
La donna pensava di essere impazzita, ma ha raccontato l’episodio a un amico e ha deciso di ricollegare la telecamera per documentare in video il fenomeno. Puntualmente sono ritornate le voci.
Questo genere di attacco avviene perché molte di queste telecamerine di sorveglianza contengono software difettoso e non aggiornato e vengono spesso installate senza cambiarne le password di accesso predefinite. Molti utenti non sanno che una telecamera connessa a Internet è rilevabile da chiunque con gli appositi motori di ricerca (come Shodan.io) e quindi è un bersaglio facile per ficcanaso e burloni.
La donna, giustamente, si chiede “Che cosa ha visto di me questa persona? La mia casa, le mie cose personali...la mia privacy”. Prima di installare in casa dispositivi come questi, insomma, pensiamoci bene e dedichiamo qualche minuto a leggere il manuale d’istruzioni per cambiare le password predefinite e scaricare gli aggiornamenti del software di controllo.
Microsoft, aggiornamenti di sicurezza importanti risolvono attacco già in corso
La falla in questione, la CVE-2017-11826, riguarda quasi tutte le versioni di Microsoft Office e permette a un aggressore di prendere il controllo del computer della vittima semplicemente mandando alla vittima un file Office appositamente confezionato e convincendola ad aprirlo.
Per esempio, potreste trovarvi con il computer infettato semplicemente perché avete ricevuto una mail con un allegato Word che sembrava provenire da un amico o da un cliente e avete aperto l’allegato con Word non aggiornato: una tecnica classica, che in questo caso non è ipotetica ma molto concreta, dato che sono già stati segnalati attacchi che la sfruttano e campioni di documenti infettanti.
Uno di questi, rilevato a fine settembre, mostra bene cone funzionano in concreto questi attacchi: l’aggressore ha preso di mira un numero limitato di bersagli, in modo da limitare il rischio di essere scoperto dai sistemi sentinella degli antivirus; ha creato un documento in formato RTF che a sua volta conteneva un file docx di Word. Il testo del documento era costruito su misura per essere allettante per le vittime, inducendole ad aprirlo. Una volta aperto, il documento installava un trojan con controllo remoto per rubare dati sensibili alle vittime, andando a caccia di tutti i file nei formati più diffusi usati per documenti, presentazioni e immagini (doc, docx, pdf, ppt, xls, eml, jpg, png e altri ancora) per poi inviarli via Internet al centro di comando e controllo dell’aggressore. Un sistema perfetto per procurarsi informazioni da sfruttare in seguito per attacchi mirati ai dipendenti, per esempio per convincerli a effettuare trasferimenti di denaro verso conti che sembrano quelli dei fornitori ma appartengono in realtà ai truffatori.
Conviene quindi aggiornare i prodotti Microsoft, se li usate, avere un antivirus aggiornato e comunque usare prudenza (per esempio un prodotto alternativo come Libreoffice) nell’aprire gli allegati di qualunque provenienza.
2017/10/12
Antibufala: la colletta di WhatsApp per la neonata cieca
Ragazzi, buonasera a tutti. Allora, questa bimba è cieca, e il proprietario di Whatsapp, non so come [perdindirindina] si chiama, l’ha presa in carico per fare l’operazione a spese sue. Costa sui 200.000 euro. Non chiede i soldi a nessuno, chiede solo che si gira questo messaggio, perché su ogni messaggio mandato lui sborsa 50 centesimi. Non dovete dare né soldi né niente, solo mandarlo a amici e conoscenti, ecco. Va bene? Grazie.
L’appello è falso: se fosse vero, sarebbe presente anche sul sito di Whatsapp, ma non lo è. E non si capisce perché il “proprietario di WhatsApp”, che presumibilmente sarebbe Mark Zuckerberg (visto che WhatsApp è di proprietà di Facebook), che è miliardario, dovrebbe giocare con la vita e la salute di una neonata: se il messaggio non girasse a sufficienza, la lascerebbe cieca?
L’appello è insomma una totale perdita di tempo: una variante moderna degli appelli in stile George Arlington che circolano da almeno quindici anni su Internet. L’unica differenza rispetto alle catene di Sant’Antonio diffuse via mail è che questa, viaggiando su WhatsApp e quindi all’interno di un sistema gestito in blocco da una singola azienda, sarebbe in effetti tracciabile, a differenza delle catene via mail. Un altro sintomo della differenza fra l’Internet aperta, senza proprietari unici, e i giardinetti cintati privati che vanno di moda adesso.
Bufale un tanto al chilo segnala che l’appello esiste anche in versione inglese, ma accompagnato dalla foto di un’altra bambina, e che la neonata mostrata nella foto attuale è prelevata da una notizia di cronaca avvenuta in Marocco. La vicenda, insomma, è stata costruita a tavolino per far leva sui buoni sentimenti delle persone.
Antibufala: torna l’allarme (falso) per i rossetti al piombo
 |
| Credit/fonte: PXhere (CC) |
Questo falsa notizia elenca alcune marche specifiche di rossetto, accusandole di contenere piombo (cosa non vera), e può sembrare credibile perché presenta la testimonianza di un medico o di un ospedale (che però in realtà non esiste o non ha mai dichiarato quello che gli viene attribuito). I nomi citati sono per esempio quelli della “dott. ssa Claudia Pirisi, oncologa”, della “dottoressa Elizabeth Ayoub, medico biomolecolare”, come segnalato da Bufale un tanto al chilo e David Puente.
A volte viene citato anche un esperimento da fare per sapere se il rossetto che usate è a rischio: mettere del rossetto sulla propria mano e strofinarvi sopra un anello d'oro. Se il rossetto diventa nero, dice l’allarme, è pericoloso. In effetti se ci provate noterete che spesso compaiono davvero segni scuri sul rossetto, e questo sembra confermare l’autenticità dell’appello. Ma in realtà molti metalli (per esempio oro, argento e rame), lasciano segni scuri se li si strofina contro qualunque superficie, un po' come fa una matita, e quindi questo esperimento non dimostra affatto che un rossetto contiene piombo.
L’allarme si conclude di solito citando il nome di una singola marca di rossetto che non conterrebbe piombo. Ma anche questo è falso e ingannevole: nessun rossetto in commercio contiene piombo, che è vietato per l’uso nei cosmetici.
Per essere pignoli, un’analisi di laboratorio potrebbe rilevare tracce di piombo in un rossetto, ma questo avviene perché le analisi sono sensibilissime e riescono a rilevare quantità incredibilmente piccole delle sostanze cercate, ossia parti per milione, che equivalgono a grammi per tonnellata: quantità minuscole, considerate non pericolose, che è impossibile eliminare dai processi di produzione, tant’è vero che le troveremmo in qualunque alimento o prodotto, insieme a tracce di tanti altri elementi chimici. A questi livelli infinitesimali, insomma, il mondo intero è decisamente impuro.
Se volete saperne di più sulla regolamentazione dei rossetti, Keyforweb.it segnala la Direttiva Cosmetici dell'UE e le norme sui cosmetici dell'FDA statunitense.
Citare una specifica marca di rossetto dicendo che è senza piombo e accusare le altre di contenerne è pura disinformazione che ha un forte effetto réclame, e quindi questa è una fake news pubblicitaria che siamo noi a diffondere, se non stiamo attenti e inoltriamo senza riflettere.
Fra l’altro è una fake news che ha avuto un successo enorme: circola infatti indisturbata almeno da quattordici anni (ne avevo parlato nel 2008, segnalando che i primi avvistamenti risalivano al 2003) nonostante tutte le smentite. Questo dimostra l’importanza di non condividere allarmi se non si ha il tempo di verificarli, anche se ci arrivano da amici o da persone di cui ci fidiamo.
E in questo caso, dato che il falso allarme accusa alcune marche ben precise di rossetto di avvelenare i clienti e ne scagiona una altrettanto ben identificata, chi diffonde questa notizia falsa si espone appunto al rischio di denuncia per pubblicità sleale o diffamazione, oltre a seminare paura inutilmente. Pensateci.
2017/10/09
Su Le Scienze parlo del più grande avvelenatore di tutti i tempi
Nel numero 590 di Le Scienze attualmente in edicola trovate un mio articolo che racconta la storia incredibile dell’introduzione del piombo tetraetile nella benzina: uno dei casi di avvelenamento di massa più sconcertanti che io abbia mai studiato. Il colpevole principale è un uomo dal nome apparentemente innocuo, Thomas Midgley, che ha letteralmente avvelenato il pianeta intero non una, ma due volte.
Avrei potuto scriverne per decine di pagine, perché è una storia piena di colpi di scena e di assurdità che lasciano davvero l’amaro in bocca ma che dovrebbero essere raccontate per spiegare quali e quanti crimini sono stati commessi dall’industria petrolifera in nome del profitto e poi insabbiati. È da vicende oscene come questa che viene la mia grande voglia di fare a meno, il più presto possibile, di avere un’auto che rigurgita veleni. E sono questi i complotti reali di cui i complottisti dovrebbero occuparsi se avessero un minimo di capacità e coscienza.
 |
| Thomas Midgley. Fonte: Wikipedia. |
Se volete saperne di più, oltre a leggere il mio articolo su Le Scienze, vi consiglio il rapporto dell’Agenzia Europea per l’Ambiente intitolato Late lessons from early warnings II, la cui sezione Lessons from Health Hazards racconta (da pagina 46 a pagina 72) tutta la vicenda in inglese.
Fonti aggiuntive: Wikimedia, Mnn.com, Thenation.com, Knowledgenuts.com.
“Le Iene” torna a parlare di Blue Whale
 |
| Persone che affrontano seriamente il tema del suicidio giovanile. |
Se non leggi altro, leggi almeno questo: non è vero che se non finisci il Blue Whale Challenge uccideranno i tuoi genitori; quelli che si spacciano per “curatori” sono solo dei bulli malati che vogliono fregarti. Puoi batterli con un clic: bloccali. Le Iene vogliono spaventarti con il Blue Whale per fare soldi con la pubblicità. Non farti fregare: spegni la TV. Se sei finito nel Blue Whale o in qualche “sfida” simile, o conosci qualcuno che ci è finito, parlane con gli amici, con i genitori, con un docente. Troverai aiuto.
---
Nella puntata andata in onda domenica sera su Italia 1, il programma Le Iene è tornato a parlare del cosiddetto Blue Whale Challenge (BWC): una presunta sfida online che spingerebbe tantissimi giovani al suicidio tramite le istruzioni fornite via Internet da un cosiddetto “curatore”.
Riassumo le puntate precedenti della vicenda:
- Le Iene aveva già parlato del BWC il 14 maggio scorso, suggerendo che questa sfida avesse già fatto vittime in Italia e creando così un panico mediatico enorme nel paese ma generando anche molte proteste e critiche (per esempio Valigia Blu) per la carenza di prove e per il sensazionalismo esasperato.
- Andrea Rossi di Alici Come Prima aveva poi dimostrato (video) che i video di suicidi mostrati in maniera così drammatica da Le Iene erano falsi: non si riferivano affatto al Blue Whale Challenge.
- Il 7 giugno, Matteo Viviani (de Le Iene) aveva poi ammesso sul Fatto Quotidiano che non aveva verificato la provenienza di quei video: una leggerezza assolutamente imperdonabile, specialmente su un tema delicatissimo come il suicidio giovanile.
- Dopo qualche giorno di clamore, tutti i media italiani hanno smesso di parlare di Blue Whale, come ha notato Wired.it (“Che fine ha fatto Blue Whale?”, 29 settembre).
- La paventata ondata di suicidi che sarebbero stati istigati in Italia da questa sfida non c’è stata.
Il ritorno de Le Iene sull’argomento domenica sera è stato molto meno sensazionalista rispetto alla prima puntata: ha presentato documentazioni e interviste ad autorità in mezzo mondo, dando l’impressione di dimostrare di aver avuto ragione. Ma guardando il nuovo servizio con attenzione emerge che in realtà la redazione del programma ha tentato furbescamente di spostare i paletti della discussione per scagionarsi, attribuendo ai suoi critici cose che non hanno mai detto o scritto.
---
Primo paletto spostato: Matteo Viviani sostiene ripetutamente che chi ha criticato il primo servizio de Le Iene sul BWC avrebbe detto che questa sfida non esiste ed è una bufala. È falso.
I critici (me compreso) in realtà hanno detto che il concetto di BWC esiste, che i suicidi giovanili esistono e in particolare in Russia sono molto numerosi, ma mancano prove ufficiali che colleghino BWC e suicidi, specialmente in Italia (BBC; The Globe and Mail; Il Post). In particolare, i 130 casi di suicidio giovanile in Russia citati da molti giornali di tutto il mondo non sono affatto collegati specificamente al BWC.
Infatti Blue Whale Challenge è semplicemente una delle tante sigle usate nei gruppi online dedicati al suicidio; è quella, fra le tante, che i giornalisti hanno preso e pompato. Concentrarsi su una sola sigla invece di occuparsi del problema dei suicidi e degli adescatori e istigatori online è solo sciacallaggio ingannevole; è come parlare di incidenti stradali raccontando solo quelli causati dalle Peugeot arancioni. Mi verrebbe da dire che è pigrizia giornalistica, ma Le Iene non è un programma giornalistico, è un varietà.
Insomma, i principali critici non hanno detto che il BWC è una bufala: hanno invece detto che parlarne in maniera sensazionalista e irresponsabile come aveva fatto Le Iene avrebbe ispirato emulatori e avrebbe reso reale un fenomeno che forse inizialmente era solo un meme e un mito di paura inventato, come Slenderman.
Chi, come me, va spesso nelle scuole italiane a parlare di informatica e sicurezza agli studenti e ha figli in età scolare sa benissimo che si mormorava di BWC ben prima del primo intervento de Le Iene e degli articoli sui giornali italiani: ma abbiamo preferito parlarne responsabilmente, caso per caso, invece di ingigantire il problema, di concentrarci ingannevolmente su una sola sigla, di creare falsi allarmi e di seminare il panico.
L’arresto in Russia di Ilya Sidorov con l’accusa di essere un “curatore” del BWC, segnalato in questo video da Viviani l’11 giugno scorso e citato anche nella puntata di ieri sera de Le Iene, viene presentato dal programma come una dimostrazione dell’esistenza del fenomeno BWC. Ma in Russia i media parlano di BWC dal 2016, per cui viene il dubbio che Sidorov sia un emulatore, creato involontariamente dal clamore mediatico. Questo arresto (con tanto di videoconfessione estorta in condizioni agghiaccianti) dimostra soltanto che adesso in Russia c’è chi adesca usando la sigla Blue Whale Challenge resa famosa dai media.
---
Ma è falso che i critici abbiano detto che non se ne deve parlare: hanno detto invece che è importantissimo come se ne parla. Non si parla di suicidio giovanile fra un frizzo e un lazzo e una pubblicità in un programma di varietà come Le Iene. Non si mostrano video di suicidi (oltretutto falsi). Non si mette la musica struggente. Non si spaccia un dramma di famiglia per un caso italiano di Blue Whale intervistando e imbeccando un bambino. Se ne parla al telegiornale e nei programmi di approfondimento giornalistico serio; se ne parla nelle scuole con i docenti e con gli esperti della polizia; si rispettano le linee guida sviluppate dall’OMS per non peggiorare il problema. Si mette in guarda in generale contro ogni adescatore, invece di fissarsi su una singola sigla pittoresca.
La cosa più assurda è che Matteo Viviani si contraddice e si sbufala da solo quando tenta di dimostrare che l’allerta Blue Whale è un problema serio mostrando come è stato gestito negli altri paesi: tramite le autorità, i telegiornali, i programmi TV giornalistici, le forze di polizia, gli psicologi e i docenti, andando anche nelle scuole a fare prevenzione e informazione competente, responsabile e sensibile. Appunto: se è un problema serio, e il suicidio giovanile lo è, non lo si tratta mandando in TV uno vestito di nero col cravattino e la barba di tre giorni a mostrare video farlocchi fra una battutina e l’altra.
---
Visto che questa nuova sparata de Le Iene probabilmente risolleverà la questione Blue Whale, segnalo alcuni link con le informazioni di base sulla vicenda, utili per discuterne per esempio in famiglia o in classe:
– I consigli della Polizia Postale per gestire questo allarme, che la Polizia non conferma (usa parole come “eventuale”, “sembrerebbe“). La pagina risale al 22 maggio 2017; ho linkato la versione su Archive.org perché il sito della Polizia Postale in questo momento sembra sovraccarico, e aggiungo una copia su Archive.is.
– L’indagine di Davide Bennato, docente di Sociologia dei media digitali all’Università di Catania, maggio 2017: “delle oltre 40 segnalazioni su cui sta indagando la Polizia Postale, al momento nessuna sembra essere connessa al fenomeno del Blue Whale...Attraverso il processo di cassa di risonanza dei social media – alimentato pesantemente dai mass media – un fenomeno controverso si sta trasformando in una realtà fattuale giocando sulla paura delle persone”.
– L’indagine del celebre sito antibufala Snopes, che classifica il Blue Whale Challenge come “non dimostrato“ e ne ricostruisce le origini in Russia.
– L’indagine di Know Your Meme, che definisce il BWC “leggenda metropolitana” notando che “nonostante si asserisca che oltre 100 suicidi di adolescenti siano collegati” a questa sfida “non sono state trovate prove dirette”.
– La ricerca di Sofia Lincos Blue Whale: storia di una psicosi.
– La ricerca di David Puente.
– La ricerca di Bufale un tanto al chilo.
– Le raccomandazioni dello UK Safer Internet Centre, che definisce il BWC “una falsa notizia sensazionalizzata”.
– Il mio articolo di maggio 2017, che contiene molti rimandi a fonti, indagini e linee guida per parlare correttamente di un dramma che è molto reale e non va assolutamente ridotto a una sigla. Da questo articolo riprendo queste raccomandazioni per giornalisti e comunicatori:
Come parlare correttamente del suicidio giovanile
Prima di parlare di Blue Whale e di qualunque forma di istigazione al suicidio, consultate i vostri esperti locali (come 147.ch, disponibile anche in italiano). Le raccomandazioni degli esperti concordano su alcuni punti (informativa ISTAT; linee guida generali OMS; risorse della International Association for Suicide Prevention), che valgono specialmente per i giornalisti (linee guida OMS specifiche) ma riguardano chiunque:
Da parte mia aggiungo: giornalisti, non chiamatelo “gioco”.
- È importante evitare di indugiare sulle descrizioni dei dettagli di un suicidio o indicarne i luoghi: questo tende ad aumentare il rischio di imitazione.
- Bisogna invece concentrarsi sui sentimenti evocati dalla notizia.
- Bisogna essere sinceri, chiari e concisi, senza usare giri di parole o eufemismi che possono creare equivoci.
- Bisogna spiegare che è normale provare sentimenti come rabbia, colpa, paura, insensibilità apparente di fronte a un dramma come questo.
- Non bisogna indugiare sulle ipotetiche colpe o responsabilità, ma ispirare e manifestare offerte di ascolto, sicurezza, protezione e amore.
2017/10/07
Ci vediamo oggi a Pisa all’Internet Festival?
Stamattina dalle 11 e oggi pomeriggio dalle 15 Pisa, al Teatro Verdi, l’Internet Festival presenterà una sessione dedicata a “Bufale, post verità e democrazia”, condotta da Martina Pennisi, alla quale parteciperanno Alessandro Dal Lago, Massimiliano Panarari, Vesselin Popov, Dino Amenduni, Annamaria Testa, Graham Brookie, Mattia Pappalardo, Davide Bennato, Andrea Michielotto e il sottoscritto. Ciascuno di noi avrà mezz’ora per presentare la propria relazione. Se vi va, venite a trovarci.
2019/09/22: Con colpevolissimo ritardo mi accorgo di non aver pubblicato il video del mio intervento. Eccolo.
2019/09/22: Con colpevolissimo ritardo mi accorgo di non aver pubblicato il video del mio intervento. Eccolo.
2017/10/06
Podcast del Disinformatico del 2017/10/06
È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!
Iscriviti a:
Post (Atom)