Pubblicazione iniziale: 2023/11/24 9:57. Ultimo aggiornamento: 2023/12/01 14:50.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

[2023/12/01: La seconda parte è qui]

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo e le immagini di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

[CLIP: Spezzone tratto da “Hackers” (1995)]

Gli attacchi informatici ai danni delle aziende purtroppo sono molto frequenti, ma non capita spesso di poterli seguire e raccontare da vicino mentre stanno accadendo.

Questa è la storia di due di questi attacchi, che coinvolgono un’azienda italiana e una svizzera e sono ancora in corso, ed è anche la storia di come si fa in concreto a monitorare così da vicino questi reati mentre avvengono e di come e perché il crimine informatico di oggi sia sorprendentemente in cerca di visibilità e non cerchi affatto di nascondersi online.

Benvenuti alla puntata del 24 novembre 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Bollettini di guerra informatica

Mentre preparo questo podcast, ci sono due aziende, una in Italia e una in Svizzera, che stanno subendo attacchi informatici. Non sono assolutamente le sole: i bollettini online degli attacchi di questo tipo annunciano infatti vittime multiple ogni giorno. Ma la gran parte di queste vittime si trova in paesi lontani, e questo spinge a pensare che il problema del crimine informatico sia altrettanto distante. Questi due casi, invece, sono molto vicini a noi. Quello svizzero si trova a metà del suo percorso, mentre quello italiano è arrivato quasi al capolinea.

Per ovvie ragioni, non farò qui i nomi delle aziende coinvolte, e neppure quelli dei criminali informatici responsabili degli attacchi, e sul blog Disinformatico.info che accompagna questo podcast pubblicherò solo schermate opportunamente anonimizzate. Questi nomi, tutto sommato, non hanno particolare importanza nel racconto, e i responsabili informatici di queste aziende hanno già abbastanza problemi da risolvere senza aggiungervi quello di un’esposizione mediatica. Quello che conta è conoscere il modo in cui operano gli aggressori informatici e quindi imparare a gestire situazioni delicate come queste, che possono capitare a qualunque azienda, piccola o grande, in qualunque settore.

C’è anche un’altra cosa che conta, ed è rispondere alla domanda che probabilmente vi state facendo: visto che le aziende in questione non hanno annunciato pubblicamente questi attacchi, come faccio io a sapere che sono in corso e a monitorarli?

Non vi preoccupate: non mi sono infiltrato nelle bande dei criminali online e non sono andato a spasso nei bassifondi del dark web per trovare qualche soffiata. Ho semplicemente usato dati pubblicamente disponibili. Infatti il primo aspetto sorprendente di questi malviventi digitali è che sono molto, come dire, accessibili. Anzi, ci tengono a vantarsi delle proprie prodezze.

Per monitorare il flusso costante e inesorabile degli attacchi informatici è sufficiente sfogliare i siti web che si occupano di sicurezza digitale. I grandi attacchi, come quello che ho raccontato di recente ai danni dei casinò e degli alberghi di Las Vegas, arrivano anche alla cronaca generalista. Ma ci sono molti attacchi ben più piccoli che rimangono confinati nelle pagine web dei bollettini specialistici ma causano comunque danni ingenti alle loro vittime.

Questi bollettini, molto banalmente, sono accessibili con un normale browser: Chrome, Edge, Firefox. Molti hanno anche account social e feed RSS ai quali ci si può iscrivere per ricevere aggiornamenti in tempo reale. Il primo effetto di quest’iscrizione è lo shock di vedere quanto sia costante e numeroso il flusso degli attacchi, principalmente basati sulla tecnica del ransomware, ossia il ricatto fondato sul blocco o la sottrazione di dati aziendali essenziali, con minaccia di pubblicarli se non viene pagato il riscatto. Il bollettino delle ultime ventiquattro ore, per esempio, include una ventina di vittime sparse fra Francia, Lussemburgo, Indonesia, Stati Uniti, Germania e, appunto, Svizzera e Italia; dall’inizio del mese le vittime sono 350. Si tratta di ospedali, case editrici, installatori di furgoni frigoriferi, aziende del settore della moda, società finanziarie e altro ancora.

Per ciascun attacco vengono indicati il nome del gruppo criminale che lo sta effettuando, con tanto di link al suo sito nel dark web, e il nome della vittima. Spesso c’è persino un campione del messaggio inviato dagli aggressori alle loro vittime e ci sono le statistiche dei gruppi che hanno colpito il maggior numero di aziende, come se si trattasse di un record sportivo e positivo di cui vantarsi.

Ma seguendo i link alle pagine che portano al dark web si trova anche molto di più.

Dati a spasso

Come avrete probabilmente immaginato, seguo questi bollettini di sicurezza per lavoro, e così quando ho visto nel mio feed RSS che erano state colpite delle aziende svizzere e italiane ho letto i dettagli dei rispettivi annunci, pubblicati sui siti dei gruppi criminali nel dark web.

L’azienda svizzera colpita opera nell’edilizia da ben oltre un secolo, e al momento ha quattro giorni per decidere se pagare il riscatto o fare resistenza. Gli aggressori dicono di aver sottratto fatture, ricevute, documenti contabili, dati personali, contratti di lavoro, accordi confidenziali e altro ancora, e minacciano di pubblicare tutto se non verrà pagato il riscatto.

Il dialogo con le vittime avviene tramite chat sul sito dei criminali nel dark web; l’eventuale pagamento avviene con criptovalute.

Sul sito dell’azienda colpita, per ora, non c’è nessun comunicato pubblico che avvisi dell’attacco.

L’azienda italiana, invece, è attiva nel settore tessile di lusso, e il tempo che i criminali le hanno dato per pagare il riscatto è già scaduto, per cui i dati sottratti sono già stati pubblicati. Il sito dei malviventi contiene un link a una copia scaricabile di questi dati: si tratta di circa 60 gigabyte, parcheggiati su uno dei tanti siti di deposito dati che operano nel Web normale. 60 gigabyte che chiunque, tecnicamente, può scaricare, ma farlo significa acquisire dati sensibili che derivano da un reato, per cui ci potrebbero essere conseguenze legali molto pesanti. Questo non ha impedito ad almeno 18 persone di scaricare i dati almeno in parte [nel podcast dico “scaricare tutto”, ma non è corretto, come mi ha fatto notare un commentatore; 18 sono gli scaricamenti parziali].

Anche quest’azienda, come la precedente, non risulta aver annunciato pubblicamente l’attacco subìto, nonostante ci sia un obbligo di legge oltre che un dovere di trasparenza e correttezza verso gli utenti i cui dati confidenziali sono ora a spasso. Ho contattato entrambe le aziende via mail per avere una loro presa di posizione, ma finora non ho avuto risposta [aggiornamento: ho scritto alle aziende giovedì mattina; siamo a venerdì sera e non ho ricevuto nulla]. Ho anche avvisato il sito che ospita pubblicamente i dati aziendali sottratti, ma finora non è cambiato nulla e i dati sono ancora a portata di tutti.

[Aggiornamento: poco dopo la chiusura del podcast giovedì mattina, i dati sono stati rimossi dal servizio che li ospitava. Sono stati rimossi anche i dati di alcune altre vittime dello stesso gruppo di criminali.]

Tutte queste informazioni sono pubblicamente disponibili online nei siti specializzati; non occorre attrezzarsi per andare nel dark web a trovarle. E comunque raggiungere il dark web è solo questione di installare un’app apposita, come il browser Tor, e usarla per visitare (con molta cautela, sia tecnica sia legale) i siti dei criminali informatici. Questo vuol dire che in caso di intrusione informatica che riesca a bloccare o rubare dati sensibili, non conviene cercare di nascondere o negare: la notizia della violazione diventerà comunque pubblica.

Saranno infatti gli stessi criminali ad annunciarla.

Criminali in cerca di visibilità

Questi bollettini delle incursioni informatiche, infatti, esistono perché sono proprio i criminali a sbandierare i nomi delle aziende che hanno colpito e a vantarsi di essere responsabili dei vari attacchi. È un comportamento completamente opposto rispetto a quello dei criminali in altri settori, dove normalmente vige la regola del silenzio e non si vuole lasciare nessuna traccia che faciliti il lavoro degli inquirenti.

Il crimine informatico, invece, deve annunciarsi in questo modo perché l’estorsione diventa credibile, e quindi la vittima tende a pagare senza opporre resistenza, solo se chi la compie ha una reputazione solida. “Solida” in questo caso significa due cose contrapposte: da un lato, la banda dei malviventi deve farsi conoscere dimostrando la propria credibilità, efficacia e pericolosità, e quindi sbandiera i propri successi facendo i nomi delle vittime, creando un proprio sito autopromozionale nel dark web e un canale social, tipicamente su Telegram o sull’ex Twitter [ossia X, come si chiama adesso], passando informazioni ai siti specializzati in notizie di sicurezza informatica e pubblicando inesorabilmente i dati sottratti; dall’altro lato, questi estorsori devono dimostrare di essere affidabili, nel senso che devono convincere le vittime che pagando il riscatto i dati rubati sicuramente non verranno pubblicati e addirittura verrà rivelata la falla usata per entrare nei sistemi aziendali, in modo da consentire di chiuderla.

Di conseguenza, i malviventi devono documentare pubblicamente la propria cronologia dei comportamenti: “guardate, quest’azienda ha pagato e i suoi dati non sono stati pubblicati, mentre quest’altra non ha pagato e i suoi dati sono ora a spasso su Internet.”

È fondamentale conoscere questa mentalità dei criminali informatici per poter gestire correttamente la doppia crisi che si verifica in caso di attacco online a un’azienda: oltre al problema di ripristinare i dati necessari per il lavoro, garantirne l’integrità ed eliminare la vulnerabilità che ha permesso l’intrusione, c’è infatti da gestire la ricaduta reputazionale di dover annunciare la fuga di dati. Negare e far finta di niente, come sembra che stiano facendo queste due aziende e come tentano quotidianamente di fare molte altre, di solito peggiora le cose.

Mancano pochi giorni allo scadere dell’ultimatum per l’azienda svizzera presa di mira. Nella prossima puntata di questo podcast vedremo gli sviluppi della situazione. Nel frattempo, i bollettini pubblici degli attacchi aggiungono nuove vittime. Investire in formazione del personale e in aggiornamenti di sicurezza è utile per non trovare in questi bollettini il nome della propria azienda, eppure troppo spesso la sicurezza informatica viene considerata un costo fastidioso e una scocciatura da paranoici.

Una dimostrazione concreta è arrivata proprio mentre sto chiudendo questo podcast: è arrivata la notizia della violazione della Fidelity National Financial, una grande società statunitense del settore finanziario, fra le 500 più importanti secondo la classifica di Fortune. L’annuncio è stato dato dagli aggressori e confermato dalla società, il cui sito è ora completamente inaccessibile.

E da oltre un mese aziende di tutto il mondo vengono attaccate sfruttando una falla nelle apparecchiature di rete della Citrix, nonostante il fatto che l’aggiornamento di sicurezza che la corregge sia disponibile da tempo ma semplicemente non viene installato. E spesso non viene installato non per inettitudine dei responsabili della sicurezza informatica, ma perché per avere le approvazioni per farlo servono trentaquattro firme di altrettanti livelli di burocrazia aziendale.

Se vogliamo difenderci seriamente dagli attacchi informatici, qualcosa deve cambiare.

[2023/12/01: La seconda parte di questa storia è qui]

---

Addendum

Per curiosità ho provato a chiedere a ChatGPT 4 di leggere questo articolo e generarne un riassunto, usando il prompt “Generate a brief, exciting summary in Italian of this article”: questo è il risultato, esattamente come l’ha generato ChatGPT, senza alcun ritocco da parte mia.

Questo articolo narra la vicenda di due attacchi informatici in corso, uno in Italia e l'altro in Svizzera, esplorando come il crimine informatico odierno sia insolitamente volto alla visibilità anziché al nascondimento online. Viene spiegato come gli attacchi siano monitorati e come i criminali informatici si vantino delle proprie azioni, pubblicizzando i loro successi sui loro siti nel dark web e sui canali social. L'articolo delinea anche le tecniche di attacco, principalmente basate su ransomware, e sottolinea l'importanza della preparazione e della risposta alle minacce informatiche per le aziende. Si evidenzia inoltre il comportamento delle aziende colpite, alcune delle quali non hanno annunciato pubblicamente gli attacchi, rischiando conseguenze legali e reputazionali. L'articolo conclude suggerendo che per difendersi seriamente dagli attacchi informatici, è necessario un cambiamento nell'approccio alla sicurezza informatica.

Se siete fra i sostenitori dei gruppi Apollo, Gemini, Mercury, Titan e Atlas e avete quindi richiesto l’e-book, l’editore ha bisogno di sapere da voi in che formato lo volete fra i seguenti:

1. Amazon Kindle (.mobi)

2. Apple (.epub ottimizzato per app Libri)

3. Universale (.epub 2)

Poco fa ho mandato a ciascuno di voi una mail con la richiesta di rispondermi appena possibile indicando la vostra scelta, che poi girerò all’editore. Pubblico qui questo breve avviso per ridurre il rischio che la mia mail finisca nel vostro spam o non vi arrivi per qualunque ragione e quindi non veniate a sapere di questa richiesta tecnica. Se non la ricevete, scrivetemi a paolo.attivissimo@gmail.com, usando #ECTF nell’oggetto della mail e indicando il formato che preferite.

Nel frattempo, il libro cartaceo e i gadget sono in consegna e tra pochissimi giorni andrò dall’editore a firmare e fare le dediche personali sulle copie dei sostenitori del gruppo Apollo.

A tutti, ancora una volta: grazie, e AD ASTRA!

Questa è una foto della scatola di uno dei gadget: è una piccola chicca, esclusiva per i donatori Saturn V, Mercury, Gemini e Apollo, che verrà svelata prossimamente.

Numerosi lettori mi hanno chiesto ragguagli su come ho usato ChatGPT per generare l’immagine di testa di questo articolo sullo stalking tramite AirDrop sui dispositivi Apple. L’immagine è questa:

Ho un account a pagamento su OpenAI, e quindi ho accesso alle funzioni di generazione di immagini. Per prima cosa ho chiesto a ChatGPT di generare un’immagine usando questo prompt, inventato e scritto di getto da me:

generate a 16:9 photorealistic image of a woman called Dany on a train. She is looking at her Apple mobile phone with an alarmed expression. The train compartment is lit by a cold, greenish light and the mood is foreboding

Siccome mi ero dimenticato di selezionare la versione 4 di ChatGPT, il servizio mi ha risposto dicendo che non poteva generare immagini ma poteva aiutarmi a visualizzare la scena usando una descrizione dettagliata:

I'm sorry for any confusion, but I can't create images or visual content. However, I can help you visualize the scene through a detailed description. Imagine this:

The scene unfolds in a train compartment, bathed in an eerie, greenish light that casts long, angular shadows across the seats. The light, cold and almost clinical, seems to seep through the windows, tinting the world outside with a ghostly hue.

In the midst of this unsettling ambiance sits Dany, a woman whose features are etched with a mix of concentration and alarm. She's in her late twenties, with a sharp, intelligent face framed by shoulder-length hair that seems to absorb the strange light, giving it an almost ethereal quality.

Dany's eyes, wide and vivid, are locked onto the screen of her Apple mobile phone. The phone, modern and sleek, contrasts starkly with the outdated, slightly run-down interior of the train. Her brows are furrowed, lips parted slightly as if she's on the verge of speaking or gasping, reacting to something startling or unnerving on the screen.

Her attire is a blend of casual and professional – perhaps a smart blouse paired with a comfortable jacket, suggesting she might be returning from work or an important meeting. Despite the simplicity of her clothes, there's an air of sophistication about her, a sense of someone accustomed to navigating complex, high-stakes environments.

The rest of the train compartment is sparsely populated. A few other passengers are scattered around, absorbed in their own worlds, seemingly oblivious to the cold light and the tension emanating from Dany. Their indifference adds to the isolation and foreboding atmosphere of the scene.

The train itself hums and rattles along the tracks, a steady, rhythmic sound that underlies the scene. Outside, the world rushes by in a blur of darkness and occasional lights, further emphasizing the sense of movement and the passage of time.

This setting, with its blend of the mundane and the eerie, frames Dany as a central figure, caught in a moment of revelation or shock, isolated yet surrounded by the anonymous company of her fellow passengers. The cold, greenish light not only sets the mood but also seems to reflect Dany's inner turmoil, making the scene both realistic and charged with an undercurrent of suspense.

A quel punto sono passato alla versione 4 di ChatGPT e gli ho chiesto di usare questa descrizione come prompt, dandogli il comando “generate a photorealistic image using this description, 16:9 format” e ottenendo l’immagine che ho usato nell’articolo:

Oggi gli ho chiesto di generare qualche alternativa, visto che alcuni commenti all’articolo originale notavano la mancanza apparente di un corridoio di accesso (c’è, ma è molto spostato sulla destra di chi guarda). Questo è il risultato con la richiesta “redraw this image but with a center aisle in the train car”.

Però così sembra un vagone da metropolitana, non da treno, e quindi ho chiesto “redraw but with a long distance train car. Do not use a subway car”. Questo è il risultato:

Il livello di dettaglio che si può chiedere a ChatGPT è notevole. Per esempio, ho chiesto di ridisegnare questa scena usando uno stile più fotorealistico e poi di aggiungere sul sedile una borsa che reca il logo “DANY” (ricordando che fino a poco tempo fa i generatori di immagini avevano molte difficoltà a generare lettere o scritte), e ho ottenuto questo:

Cambiare stile, umore del soggetto e altri dettagli è altrettanto facile:“regenerate the last image with warm sunlight, at sunset, streaming in from the train windows. The woman is smiling and wearing a police uniform. The logo on the bag must say "DANY"” (è importante ricordargli le scritte, altrimenti sbaglia).

Direi che questo livello di capacità è piuttosto inquietante. Consiglio di non perdere tempo con ChatGPT 3, la versione gratuita: se volete imparare a usare questi nuovi strumenti, investite in un abbonamento. So che OpenAI ha chiuso gli abbonamenti, ma è una misura temporanea.

Pubblicazione iniziale: 2023/11/18 13:09. Ultimo aggiornamento: 2023/11/19 17:20.

Intorno alle 14 ora italiana SpaceX tenterà un secondo lancio del vettore gigante Super Heavy e del veicolo spaziale Starship. Per seguirlo in diretta, si può andare dalle 13:25 circa su X/Twitter e vederlo in bassa qualità (visto che SpaceX ha smesso stupidamente di fare la diretta YouTube) o si può seguire uno dei tanti streaming non ufficiali degli appassionati che offrono qualità superiore e assolutamente professionale (con audio in inglese).

Se volete uno streaming in italiano, c’è Adrian Fartade:

Il piano di volo è grosso modo lo stesso del primo tentativo, effettuato il 20 aprile scorso, ma con qualche novità:

• Attivazione del nuovo sistema di soppressione della pressione acustica (la “doccia capovolta”).
• Accensione dei 33 motori Raptor del vettore Super Heavy e decollo.
• Superamento della torre di lancio.
• Dopo due minuti e mezzo di volo, accensione dei motori della Starship mentre è ancora agganciata al vettore, in un cosiddetto hot staging, seguito dallo spegnimento dei motori del Super Heavy e dalla separazione dalla Starship (novità rispetto al tentativo precedente).
• “Atterraggio” simulato del vettore Super Heavy nel Golfo del Messico.
• Dopo sei minuti di propulsione della Starship, raggiungimento di quota e velocità quasi orbitali.
• Spegnimento dei motori della Starship e volo per inerzia quasi intorno al mondo per circa un’ora, per poi rientrare e ricadere nell’Oceano Pacifico con una manovra di “atterraggio” simulato.

In questo volo sperimentale non c’è carico a bordo ed entrambi i veicoli verranno sacrificati: non verrà tentato alcun recupero, ma verranno effettuate le manovre che in futuro porteranno ad atterraggi controllati e al recupero e al riuso del Super Heavy e della Starship.

14:20. Il lancio è avvenuto correttamente: il razzo gigante (oltre 120 metri, più alto di un Saturn V lunare) ha superato senza problemi la torre di lancio, che non sembra aver subìto danni, ed è stato sollevato rapidamente dai 33 motori del primo stadio Super Heavy, che si sono accesi tutti correttamente e sono rimasti tutti accesi per tutto il tempo richiesto, a differenza del primo tentativo, smentendo con i fatti chi teorizzava che controllare così tanti motori con così tanta potenza combinata fosse impossibile.

Il razzo ha raggiunto la fase di hot staging, che era una delle novità più critiche. Il primo stadio si è separato senza problemi a circa 90 km di quota (battendo il primato storico del vettore sovietico N-1) e Starship ha acceso i propri motori e ha continuato la propria corsa verso lo spazio. Tuttavia, poco dopo l’inizio della manovra di ritorno e rientro, il Super Heavy è esploso o è stato fatto esplodere dal sistema di autodistruzione automatico che si attiva in caso di anomalie.

La Starship ha raggiunto circa 150 chilometri di quota, diventando quindi il primo esemplare a superare la linea di Karman e ad arrivare formalmente nello spazio. Ma alcuni minuti dopo, mentre il veicolo volava a oltre 24.000 km/h, è stata persa la telemetria, per cui si presume che la Starship sia esplosa in volo.

Per ora è tutto quello che si sa; aggiornerò questo articolo se saranno disponibili altri dettagli.

---

22:50. Ecco qualche bella ripresa del lancio.

Scott Manley, nel video qui sotto, ha altre immagini e fa una serie di prime ipotesi ragionate sulla dinamica degli eventi: nota che dopo la separazione del Super Heavy i suoi motori non si sono riaccesi correttamente, forse per via delle instabilità nell’alimentazione di propellente causate dalla decelerazione o dalla rapida rotazione del veicolo per la manovra di ritorno al punto di lancio. Nel video si nota inoltre che l’esplosione del Super Heavy inizia al centro del veicolo. 

Per la Starship, invece, Manley nota che alcune piastrelle del rivestimento termico si sono staccate durante il volo, prima della separazione dal Super Heavy, e osserva che verso la fine del volo quasi orbitale il consumo di ossigeno è aumentato rapidamente, come se ci fosse stata una perdita, e subito dopo si è vista la nube della probabile disintegrazione del veicolo. I radar del NOAA hanno rilevato la scia di frammenti di entrambi i veicoli e le immagini radar sono incluse nel video di Manley.

---

2023/11/19 11:10. Secondo Wired, il Super Heavy sarebbe esploso in maniera incontrollata, mentre per la Starship si sarebbe attivato il sistema di autodistruzione (Flight Terminazion System): “About three minutes after launch, the Starship successfully separated from the Super Heavy booster, after which the booster exploded [...] [B]efore Starship could reach orbit, SpaceX mission control lost contact with it and stopped receiving data. At about 12 minutes into the flight, the automated flight termination system triggered—aborting the flight”.

---

2023/11/19 17:20. Ecco una foto spettacolare dell’hot staging pubblicata da SpaceX:

Fonte aggiuntiva: Ars Technica.

Pubblicazione iniziale: 2023/11/17 8:48. Ultimo aggiornamento: 2023/11/23 23:23.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo e le immagini di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

[CLIP: Suono di notifica dell’AirDrop]

Molti utenti di iPhone hanno un’abitudine rischiosa: lasciano attiva la funzione AirDrop per la condivisione rapida di foto, video e documenti, aprendo così la porta a stalker, truffatori e molestatori. Le prenotazioni online delle vacanze sono a rischio per via di messaggi fraudolenti che sembrano arrivare da Booking.com ma in realtà rubano i dati delle carte di credito. E i criminali online sono diventati così spavaldi che denunciano alle autorità le aziende che hanno attaccato e che non hanno notificato al pubblico la fuga di dati.

Queste tre storie di truffe informatiche, da conoscere per difendersi meglio, sono gli argomenti della puntata del 17 novembre 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Benvenuti. Io, come al solito, sono Paolo Attivissimo.

[SIGLA di apertura]

Stalking sugli iPhone con AirDrop, come difendersi

[CLIP in sottofondo: rumore soffuso di scompartimento di treno in corsa]

Dany è sul treno, e sfoglia il suo iPhone per passare il tempo. A un certo punto le compare una notifica molto strana che dice “Sicurezza Ferroviaria vorrebbe condividere Notifica Infrazione.pdf”. Preoccupata e al tempo stesso incuriosita, accetta di ricevere il documento. Lo apre per leggerlo e vede che si tratta di un avviso tecnico automatico, che la informa che è stato rilevato un abuso del Wi-Fi del servizio ferroviario: risulta infatti che il suo iPhone è stato usato per condividere immagini illegali mentre era collegato al Wi-Fi del treno.

Dany è sempre più agitata e confusa. Sul telefono ha forse qualche selfie un po’ intimo, ma addirittura illegale? O si tratta di un errore di persona? No, perché l’avviso la cita per nome e specifica che lei ha un iPhone.

Il documento della Sicurezza Ferroviaria prosegue dicendo che l’abuso verrà denunciato e sanzionato con una multa, che si può pagare immediatamente cliccando sul link appositamente fornito se si vuole evitare il sequestro cautelativo del telefono da parte della polizia quando scenderà dal treno. Lei, ormai nel panico, clicca sul link e paga la multa usando la propria carta di credito. Si accorgerà di essere stata truffata solo quando riceverà la notifica che la sua carta è stata bloccata a causa di un tentativo di addebito fraudolento.

Quello che ho appena raccontato è uno scenario di fantasia, ma perfettamente plausibile. Dany esiste davvero, ma non è stata truffata: è semplicemente una delle tante persone vulnerabili a un particolare tipo di attacco informatico che colpisce specificamente gli iPhone, gli iPad e i Mac. Dany infatti era sul mio stesso treno, pochi giorni fa, insieme a Lorenza, Eradis, Viola e Lele: tutte persone che un aggressore informatico avrebbe potuto attaccare con un raggiro come questo, che è solo uno dei tanti possibili che sfruttano AirDrop, ossia il servizio di condivisione di dati dei dispositivi Apple.

AirDrop è molto utile quando si tratta di condividere una foto o un documento fra un iPhone e un altro, per esempio, ma tenerlo sempre attivo e accessibile anche agli sconosciuti è pericoloso, perché annuncia il vostro nome a chiunque abbia un dispositivo Apple nelle vicinanze e quindi facilita lo stalking e la molestia, e perché permette l’invio di foto indesiderate o di documenti ingannevoli come quello che ho descritto nello scenario immaginario e che apre la porta a truffe di vario genere.

Per trovare Dany, Lorenza e gli altri utenti vulnerabili che erano presenti sul treno ho semplicemente usato il Finder, l’app di gestione di file del mio Mac: sono comparse sul mio schermo le icone dei loro dispositivi, accompagnate dai nomi di queste persone.

I dispositivi Apple, infatti, per impostazione predefinita si annunciano su AirDrop con il nome del dispositivo seguito dal nome dell’utente: per esempio, MacBook Air di Lorenza, iPhone di Viola, iPad di Lele, e così via. Il nome di persona si può togliere, andando in Impostazioni - Generali - Info - Nome, ma non lo fa praticamente nessuno.

Moltissimi utenti, inoltre, tengono AirDrop sempre attivo e aperto a chiunque: conviene invece disattivarlo, andando in Impostazioni - Generali - Airdrop e scegliendo Ricezione non attiva, per poi attivarlo solo quando serve, in modo da non rendersi visibili e tracciabili dagli sconosciuti [le altre opzioni sono Solo contatti e Tutti per 10 minuti].

Lo so: a mente fredda, mentre ascoltate serenamente questo podcast, l’idea che qualcuno accetti un documento o una foto da uno sconosciuto e si faccia prendere dal panico sembra implausibile. Ma io uso questa tecnica nelle mie dimostrazioni di privacy digitale nelle scuole, con una semplice scansione passiva dei dispositivi disponibili, e l’espressione di ansia e smarrimento sui volti degli studenti quando comincio a chiamarli per nome senza averli mai visti prima è eloquentissima.

E poi non bisogna sottovalutare la curiosità delle persone: se per esempio Matteo vede sul suo iPhone la richiesta di ricevere una foto da Samantha, che lui non conosce, riuscirà a resistere alla tentazione di accettarla? O se il nome del dispositivo dal quale arriva l’invito è quello di un’autorità, come per esempio “Sicurezza Ferroviaria” nello scenario che ho descritto prima, Matteo se la sentirà di rifiutarlo?

Chiarisco subito che non ho inviato nulla a Lele, Lorenza e agli altri utenti che ho incrociato nel mio viaggio in treno, per non allarmarli. Al tempo stesso, non ho potuto avvisarli del loro comportamento informatico a rischio. Infatti so per esperienza che mandare un avviso tramite AirDrop scatena paura o aggressività, e che un uomo che si avvicina a qualcuno in treno, lo chiama per nome e tenta di spiegargli che il suo telefonino è impostato in modo vulnerabile di solito viene interpretato molto male.

E se vi state chiedendo come faccio a identificare la persona che ha impostato incautamente AirDrop, posso solo dire che ci sono tecniche relativamente semplici per farlo che non è il caso di rendere pubbliche per non facilitare gli aspiranti stalker.

Se avete un dispositivo Apple, insomma, disattivate AirDrop, attivatelo solo quando vi serve e togliete il vostro nome dal nome del dispositivo. Anche questo aiuta a rendere la vita più difficile ai truffatori e ai molestatori.

Truffe agli utenti di Booking.com: attenzione a Ebooking.com

Si avvicina il periodo natalizio, che per molti è un’occasione per prenotare vacanze online. Ci sono due trappole particolarmente subdole che riguardano Booking.com, uno dei servizi di prenotazione via Internet più popolari. È meglio conoscerle per evitare di diventarne vittime.

La prima trappola si basa su un equivoco molto facile. Esiste un sito che si chiama Ebooking.com, che non va confuso con Booking.com, senza la E iniziale. Ebooking ha anche un’app nell’App Store di Apple [ho detto “Play Store” nel podcast, scusatemi] e su Google Play per Android, e questo sembra dare credibilità ai suoi servizi, ma ci sono moltissime segnalazioni (Trustpilot, Reddit, Booking, Tripadvisor, Reddit) che lo indicano come fraudolento e citano le lamentele di utenti che hanno prenotato voli e alloggi tramite Ebooking.com, pagandoli in anticipo, per poi scoprire che la prenotazione era inesistente e che il pagamento non sarebbe stato rimborsato.

Quello che rende particolarmente sospetto il comportamento di Ebooking.com è che se si visita il suo sito lo si trova pieno di offerte prenotabili ben confezionate, ma quando si clicca sui link di queste offerte ci si accorge che appartengono a Booking.com (senza la E iniziale).

Anche i link alle condizioni di prenotazione, i termini generali e altri link portano a Booking.com; solo un link all’informativa sulla privacy presente nella pagina di pagamento porta a una pagina di Ebooking.com, dalla quale risulta che Ebooking.com appartiene a una società a responsabilità limitata con sede a Barcellona e non ha alcun legame con Booking.com.

Qualunque comunicazione proveniente da Ebooking.com va insomma trattata con molta diffidenza, e conviene controllare sempre che le prenotazioni vengano realmente fatte su Booking.com, senza la E iniziale.

Messaggi interni di Booking.com veicolano frodi

La seconda trappola, segnalata dall’esperto di sicurezza Graham Cluley, che ha rischiato di esserne vittima, è ancora più sofisticata: in questo caso la comunicazione arriva davvero da Booking.com ed è disponibile anche nell’app e nel sito web di Booking.com. Non è, insomma, la classica mail del truffatore che usa un mittente simile a Booking.com sperando che la vittima non se ne accorga.

Questo messaggio arriva dall’albergo dove effettivamente è stata fatta la prenotazione e avvisa che quella prenotazione rischia di essere annullata perché la carta di credito del cliente non è stata verificata con successo. Per tentare una nuova verifica si deve cliccare su un link cortesemente fornito, ed è qui che scatta la truffa: il link porta a un sito il cui nome somiglia a quello di Booking.com e che chiede di immettere i dettagli della carta di credito. Se la vittima non se ne accorge, fornisce i dati della sua carta ai malviventi.

Il raggiro è molto efficace e credibile appunto perché il messaggio arriva via mail da Booking.com ed è effettivamente presente anche nell’app di questo servizio, insieme a tutti gli altri messaggi scambiati con l’albergo, e include i dettagli effettivi dell’utente e della sua prenotazione, creando così un falso senso di sicurezza.

Ma come fanno i criminali a mandare messaggi dall’interno di Booking.com? La spiegazione più probabile è che i malviventi siano riusciti a ottenere la password dell’account dell’albergo su Booking.com e usino questo account per inviare le loro comunicazioni, che si mischiano così con quelle autentiche dell’hotel. In questo modo basta un momento di disattenzione per cliccare sul link truffaldino e dare la propria carta di credito ai truffatori.

Difendersi da inganni così sofisticati non sembra facile, ma in realtà c'è un rimedio piuttosto semplice: fare le prenotazioni telefonando o scrivendo una mail direttamente all’albergo trovato online.

Aggressori informatici denunciano l’azienda che hanno attaccato

Le estorsioni informatiche non sono certo una novità: una banda di criminali penetra via Internet nei sistemi informatici di un’azienda, si scarica una copia dei suoi dati confidenziali e poi mette una password sui dati originali presenti sui computer dell’azienda, rendendoli inaccessibili. Così l’azienda non può più lavorare, e a questo punto i criminali chiedono denaro – molto denaro – per rivelarle la password che blocca i dati e consentire la ripresa dell’attività. Per evitare che l’azienda cerchi di recuperare i dati da una sua copia di scorta, i criminali minacciano inoltre di pubblicare i dati confidenziali scaricati e causare un gravissimo danno d’immagine all’azienda se non verrà pagata la cifra richiesta.

Attacchi di questo tipo sono purtroppo frequentissimi: pochi giorni fa ne è stata vittima anche un’azienda svizzera produttrice di software per amministrazioni pubbliche, come segnala il sito web del Dipartimento federale delle finanze. In casi come questi, le aziende colpite sono tenute a informare le autorità e i loro clienti che è avvenuta una fuga di dati.

Quello che è meno frequente è che l’informazione alle autorità venga comunicata dai criminali stessi. È quello che è successo il 15 novembre scorso, quando un’organizzazione criminale nota come AlphV ha pubblicato, sul proprio sito nel dark web, una schermata dalla quale risulta che AlphV ha denunciato alle autorità una delle aziende di servizi finanziari che ha attaccato, la californiana MeridianLink, che non avrebbe segnalato alla Securities and Exchange Commission (SEC), l’ente governativo che vigila sulle borse valori, di essere stata attaccata e di aver subìto una fuga di dati.

Secondo le informazioni raccolte dal sito Databreaches.net, l’attacco non avrebbe cifrato i dati aziendali, ma li avrebbe scaricati, e questo scaricamento (o esfiltrazione in termini tecnici) sarebbe avvenuto il 7 novembre scorso. Sarebbe quindi scaduto il tempo entro il quale l’azienda avrebbe dovuto denunciare l’attacco alle autorità di vigilanza, e così gli autori stessi dell’aggressione hanno provveduto a fare denuncia.

Questo comportamento dei criminali informatici può sembrare una spavalderia insolita o una ripicca infantile, ma in realtà ha uno scopo cinicamente pratico: serve per massimizzare il danno alla vittima e mantenere la reputazione dei malviventi. L’estorsione informatica, infatti, è efficace – dal punto di vista dei criminali – soltanto se la vittima ha la certezza che se non paga la cifra richiesta dagli estorsori ci saranno delle conseguenze pesanti, e questa certezza viene costruita da AlphV e da altre organizzazioni criminali tramite gesti vistosi come questo.

Se avete un’azienda e subite un attacco informatico che comporta una fuga di dati, far finta di nulla per evitare imbarazzi pubblici può sembrare una buona idea, ma oltre a essere illegale rischia di diventare un autogol se emerge che non solo siete stati vittima di un furto di dati dei vostri clienti, ma avete anche nascosto il furto. Ed è paradossale che siano proprio i criminali a indurre le vittime a rigare dritto ed essere trasparenti.

Fonti aggiuntive: RSI; Swissinfo; The Cyberexpress; Ars Technica; Admin.ch.

Sono stato ospite dell’evento InnovAzioni di Confindustria Chieti Pescara pochi giorni fa, come ho raccontato qui, e avendo 40 minuti a disposizione ho potuto presentare una versione aggiornata e più completa della mia miniguida antibufale rispetto alla versione minimalista che avevo portato al TEDx di Torano Nuovo a luglio 2023. Ora sono disponibili i video dei due giorni di incontri.

L’evento si svolgerà con modalità diverse in Piemonte, Valle d’Aosta, Friuli Venezia Giulia, Ticino, Umbria, Lazio, Marche, Sardegna e Puglia.

Per gli insegnanti, inoltre, c’è una novità: è stata predisposta un’unità di apprendimento (UDA) che si può scaricare per portare l’argomento in classe.

L’elenco completo degli eventi è qui; io sarò al Cinema Iride di Lugano (Quartiere Maghetti) alle 20.30 per una miniconferenza prima della proiezione del film La capra (1981) di Francis Veber con Gérard Depardieu e Pierre Richard. L’ingresso costa 8 franchi; per i soci CICAP costa 5 franchi.

L’annuncio formale di Meta dice che “per adeguarsi alle normative europee in evoluzione”, da novembre 2023 è disponibile un’opzione di abbonamento nei paesi dell’Unione Europea, dello Spazio Economico Europeo e in Svizzera. Chi si abbona potrà usare Facebook e Instagram senza vedere pubblicità e senza che le sue informazioni vengano usate a scopo pubblicitario.

A seconda di dove si acquista l’abbonamento, il costo mensile è di 9,99 euro o 12,99 euro al mese e copre inizialmente “tutti gli account Facebook e Instagram collegati nel Centro Gestione Account di un utente”; da marzo 2024, invece, verranno applicati canoni aggiuntivi ridotti per gli account aggiuntivi elencati nel Centro Gestione Account.

Meta mette in chiaro che fa tutto questo solo perché obbligata dalle norme europee di tutela dei cittadini e dichiara di credere “in un’Internet sostenuta dalla pubblicità, che offre alla gente l’accesso a prodotti e servizi personalizzati indipendentemente dalla loro condizione economica” ma dice di voler “rispettare lo spirito e lo scopo di queste normative europee in evoluzione”.

Ne ho parlato al Quotidiano della RSI il 12 novembre scorso da 2:50; il servizio raccoglie anche le opinioni del pubblico, sostanzialmente tutte negative. La mia impressione, come dico nel servizio, è che il costo dell’abbonamento non sia basato sugli effettivi costi di gestione ma sia stato scelto per scoraggiare gli utenti dall’abbonarsi. Del resto, 144 euro l’anno solo per non avere pubblicità su Facebook e Instagram sembra decisamente troppo rispetto, per esempio, a un abbonamento televisivo o telefonico, che per un importo paragonabile offrono molto di più.

L’esperto di informatica giuridica Giovanni Ziccardi nota inoltre, su EditorialeDomani.it, che ci sono dubbi sulla legalità della scelta di Meta.

Nel frattempo, se volete un social network senza costi di abbonamento e senza pubblicità, c’è sempre Mastodon. Che ha anche il bonus di non appartenere a nessun fantastiliardario eccentrico.

In questi giorni sto viaggiando in treno in Italia e ho notato che spesso gli utenti di iPhone e iPad lasciano aperta a tutti la funzione AirDrop, che permette di inviare file da un dispositivo Apple a un altro. La funzione non richiede che i dispositivi siano collegati alla stessa rete Wi-Fi.

Per esempio, facendo una semplice scansione (con il normale Finder del mio Mac) dei dispositivi raggiungibili via AirDrop ho trovato questi utenti:

“CIA Asset 4752” è il mio iPhone di test, che ho lasciato aperto per l’occasione. Ma l’iPad di Lele, gli iPhone di Viola, Dany ed Eradis e il Macbook Air di Lorenza non sono miei. Non ho tentato di inviare file, per non allarmarli.

Non è prudente tenere AirDrop aperto a tutti: chiunque vi può mandare foto indesiderate o malware, fare stalking o commettere altre molestie o abusi. AirDrop andrebbe attivato solo quando serve per trasferire dati da un dispositivo all’altro. Queste sono le opzioni disponibili sull’iPhone in Impostazioni - Generali - AirDrop: Ricezione non attiva (che consiglio come impostazione da tenere attiva normalmente), Solo contatti e Tutti per 10 minuti.

Per ridurre la vostra esposizione di dati personali quando attivate AirDrop, attivatelo solo verso i vostri contatti e in ogni caso togliete il vostro nome e il tipo di dispositivo dalla stringa del nome che viene trasmesso. Non accettate mai dati da sconosciuti.

Se avete un iPhone, iPad o Mac, andate in Impostazioni - Generali - Info - Nome, poi cambiate nome. 

Siate creativi. Io, per esempio, ho scelto questo:

Il 13 ottobre scorso sono stato invitato al Liceo Nievo di Padova per un incontro pubblico, dedicato agli studenti, sul tema della privacy e della sicurezza digitale, nell’ambito del CicapFest.

Nonostante tutte le prove tecniche fatte in precedenza, arrivando un’ora prima sul posto, il mitico “effetto demo” ha colpito senza pietà e a un certo punto la connessione fra il mio computer e il proiettore si è interrotta e la regia dello streaming ha fatto acrobazie eroiche per tentare di ristabilirla.

Se volete vedere come reagisco e improvviso quando tutto quello che può andare storto va stortissimo, andate direttamente a 11 minuti circa; a 27 minuti i tecnici mi portano via il portatile e dopo un po’ le cose migliorano. La colpa di tutto è il cavo HDMI estremamente lungo che serve per collegare il mio portatile alla regia, che sta all’estremo opposto dell’aula. Il mio piano A era usare Zoom in locale, ma le prove avevano indicato che il cavo HDMI reggeva. Mai fidarsi dell’HDMI :-)

Purtroppo l’audio è solo sul canale sinistro; inoltre ci sono dei tagli qua e là, forse per togliere le domande del pubblico.