Il Disinformatico

2017/02/17

WhatsApp attiva l’antifurto: verifica in due passaggi

Ultimo aggiornamento: 2017/02/17 11:05.

WhatsApp ha finalmente attivato l’antifurto, o più precisamente la verifica in due passaggi: una tecnica contro il furto di account già adottata da tempo da Facebook, Instagram, Google, Apple e molti altri servizi di Internet. Questa verifica in due passaggi in gergo tecnico si chiama autenticazione a due fattori e risolve una lacuna di sicurezza importante, che consentiva finora a un aggressore di rubare un account WhatsApp sapendo soltanto il numero di telefonino della vittima e sfruttando alcune astuzie informatiche.

Per abilitare la verifica in due passaggi, che è disponibile sia per dispositivi iOS di Apple, sia per dispositivi Android di tutte le marche, andate nelle Impostazioni di Whatsapp, scegliete la voce Account e poi scegliete Verifica in due passaggi. Se non c’è, provate ad aggiornare l’app di WhatsApp: forse ne state usando una versione vecchia.

In questa voce Verifica in due passaggi scegliete Abilita.

A questo punto immettete un codice di accesso a sei cifre, da tenere segreto...

...digitatelo una seconda volta per confermarlo, prendetene nota per non perderlo, immettete facoltativamente un indirizzo di mail da usare se vi dimenticate il codice numerico...

... e il gioco è fatto.

Questo codice numerico non vi verrà chiesto ogni volta che usate WhatsApp, ma solo ogni tanto, per evitare che ve lo dimentichiate. A parte questo, sarà necessario digitarlo soltanto quando cambiate smartphone o se volete aggiungere al vostro account WhatsApp un altro numero di telefono o un altro dispositivo. Cosa più importante, con questo antifurto un ladro informatico, per rubarvi l’account, dovrebbe conoscere il vostro codice e anche avere accesso a uno dei vostri dispositivi abilitati a usare WhatsApp: una situazione decisamente improbabile.

Se non avete un indirizzo di mail da affidare a WhatsApp, non c’è problema: l’antifurto funziona lo stesso. Per contro, se avete dato un indirizzo di mail a WhatsApp, fate attenzione se ricevete delle mail che contengono inviti a disabilitare questa verifica in due passaggi: se non le avete richieste voi, sono dei tentativi di furto che questa nuova protezione ha sventato.

La verifica in due passaggi può sembrare una complicazione inutile, ma provate a chiedere a qualcuno a cui hanno rubato l’account come si sente ora che i suoi messaggi e le sue foto sono visibili al ladro, che potrebbe usarli per ricattarlo.

Provate questa nuova misura di sicurezza: mal che vada, potete sempre disabilitarla, e potete farlo anche se non ricordate il codice numerico o l’indirizzo di mail che avete impostato: basta infatti rientrare nelle Impostazioni, scegliere Verifica in due passaggi e poi Disabilita.

Una volta tanto, insomma, avere maggiore sicurezza anche in WhatsApp è facile. Non approfittarne sarebbe davvero un peccato. E anche se secondo le indagini di Andrea Draghetti ci sono delle lacune importanti, questa novità è comunque un deterrente e un ostacolo in più per i malintenzionati opportunisti.

Fonte: The Hacker News.

2017/02/16

Le Iene raccontano le fabbriche delle bufale

Ieri sera Le Iene ha trasmesso un servizio dedicato alle fabbriche di bufale a scopo di lucro, come Liberogiornale e la galassia di siti ingannevoli gestiti da Edinet di cui David Puente ed io abbiamo parlato in questo articolo a dicembre 2016.

Consiglio di guardare il servizio (link al video), perché il business della bufala è spiegato molto bene anche graficamente e in particolare la parte dedicata all’intervista a Matteo Ricci Mingani, gestore di Edinet, è decisamente rivelatrice. Buona visione.

2017/02/08

#BastaBufale: è online l’appello della Presidenza della Camera italiana contro le false notizie

Ultimo aggiornamento: 2017/02/14 23:30.

Presso BastaBufale.it trovate da oggi il testo dell’appello lanciato dalla Presidenza della Camera italiana, firmato dalla Presidente Laura Boldrini, della cui stesura sono stato consulente tecnico insieme a David Puente, Michelangelo Coltelli e Walter Quattrociocchi.

I perditempo che nei giorni scorsi preannunciavano sicuri un ordine generale di censura resteranno delusi. Gli altri, che hanno voglia di rimboccarsi le maniche invece di strillare al complotto, troveranno che nell’appello c’è lavoro per tutti per contrastare le bufale e le false notizie che causano danni gravi: sono invitati a partecipare scuole, giornalisti, personaggi dello spettacolo, gestori dei social network.

È inoltre chiaro, a chi si prende la briga di leggere l’appello invece di stroncarlo a priori, che questo contrasto non si fa mettendo bavagli: si fa promuovendo i fatti e diffondendoli, in modo che coprano il rumore dei bufalari di ogni categoria, dai siti acchiappaclic ai politici che promuovono panzane come le scie chimiche e l’antivaccinismo.

Un primo passo che tutti possono fare è aderire online all’appello e diffondere l’hashtag #bastabufale.

Se volete saperne di più, c’è il lancio ANSA e c’è un’intervista a Laura Boldrini su Buzzfeed (in inglese). Dell’appello parla anche AGI, sottolineando che al termine della sottoscrizione le firme dei cittadini verranno “consegnate ai rappresentanti del mondo della scuola e dell'università, dell'informazione, delle aziende e dei social network”.

Questo appello è solo il punto di partenza di una serie di iniziative informative, per fornire a tutti strumenti per evitare di essere fregati dalle bufale: ne parlerò prossimamente qui.

2017/02/11 00:30

In questi primi giorni sono arrivati vari commenti che segnalano dubbi e problemi sul funzionamento e sulle modalità dell’adesione. Vorrei chiarire che la gestione di Bastabufale.it non dipende da me: io (come gli altri primi firmatari) sono soltanto stato chiamato come consulente durante la preparazione del testo dell’appello. Concordo quindi con il testo, ma non ho voce in capitolo sulla gestione del sito.

2017/02/11 11:30

Su La Verità è stato pubblicato oggi un articolo, a firma di Antonio Amorosi, che solleva questioni sulla titolarità del sito BastaBufale.it e sul suo trattamento dei dati degli aderenti. Ribadisco che io sono stato consulente soltanto per il testo dell'appello e non per la sua parte tecnica e legale, ma ho comunque segnalato la questione alla Presidenza della Camera. Dalle risposte che ho ricevuto presumo che eventuali carenze di trasparenza verranno corrette prontamente.

2017/02/14 23:30

La Presidente Boldrini ha pubblicato sul proprio sito personale una lettera aperta a Facebook, nella quale dice di aver fatto due “proposte... di natura tecnica” a Facebook. Non so dirvi esattamente quali siano queste proposte: per ora posso dire solo che io e i colleghi, nell’ambito della consulenza che ci è stata chiesta, abbiamo inviato alla Boldrini numerosi suggerimenti tecnici, che potrebbero essere o meno la base di queste proposte. Giusto per scrupolo, sottolineo che fra le nostre proposte non c’era nessun progetto di censura o di liste di proscrizione, ma al contrario c’erano solo proposte di maggiore trasparenza. Aspettiamo e vediamo.

2017/02/03

Podcast del Disinformatico del 2017/02/03

È disponibile per lo scaricamento il podcast della puntata di oggi del Disinformatico della Radiotelevisione Svizzera. Buon ascolto!

Truffatore incastrato dai dati del pacemaker

Ultimo aggiornamento: 2017/02/07 15:20.

A settembre scorso Ross Compton, un cinquantanovenne dell’Ohio, ha chiamato i servizi d’emergenza perché la sua casa era in fiamme: è riuscito a mettere in salvo alcuni effetti personali mettendoli dentro delle valigie, che ha scagliato fuori dalla finestra e poi ha trascinato fino alla propria automobile. Anche se l’incendio ha provocato circa 400.000 dollari di danni, non ha causato vittime. Una storia a lieto fine, insomma, ma che c’entra con l’informatica?

C’entra perché c’è un seguito molto particolare: gli inquirenti, infatti, hanno notato che c’erano delle anomalie nell’incendio e delle contraddizioni nelle dichiarazioni del signor Compton. Così hanno chiesto e ottenuto un mandato per accedere ai dati di un testimone molto inconsueto: il pacemaker dell'uomo. Il cinquantanovenne è infatti cardiopatico ed ha impiantato nel proprio corpo un dispositivo per la regolazione del ritmo cardiaco, che ha una memoria cronologica digitale il cui contenuto è scaricabile.

I dati richiesti dagli inquirenti, cioè il numero di pulsazioni, le attivazioni del pacemaker e i ritmi cardiaci prima, durante e dopo l’incendio, hanno così incastrato l’uomo, che è stato poi incriminato per incendio doloso e frode assicurativa usando questi dati come “elemento probatorio chiave”.

Sull’incriminazione hanno pesato non poco anche altri dettagli, come la presenza di benzina sulle scarpe e sugli indumenti dell’uomo e il fatto che l’incendio aveva avuto più di un punto d’innesco, ma sono stati i dati digitali ad avere un ruolo di spicco nelle indagini e nella successiva incriminazione.

Le pulsazioni cardiache, infatti, sono un chiaro indicatore dello stato emotivo in condizioni del genere: chi appicca un incendio volontariamente ha infatti emozioni ben diverse da chi si accorge a sorpresa di avere un rogo in casa. E il battito del cuore, rilevato anche da dispositivi esterni, come gli smartwatch e i braccialetti di fitness che vanno così di moda oggi, può essere molto rivelatore in tante altre situazioni, anche molto personali, come un incontro amoroso.

C’è anche il problema dello sfruttamento commerciale di questi dati, per esempio se una compagnia assicurativa decide di aumentare il premio di una polizza sulla salute perché ha rilevato scarsa attività fisica e irregolarità nei ritmi cardiaci. Conviene insomma imparare a disattivare le funzioni di raccolta di dati di questi oggetti informatici, in modo che facciano quello che vogliamo noi e non quello che vuole qualcun altro.

Di fronte a storie come questa viene da chiedersi quanti alibi, quanti reati e quante scappatelle verranno smascherati nei prossimi anni grazie ai dispositivi digitali che indossiamo e che raccolgono dati senza che ci pensiamo. Gli inquirenti hanno insomma a disposizione un nuovo strumento d’indagine, che renderà più difficile la vita dei malfattori: ma potrebbe complicarla anche a chi ha ragioni innocenti per tenere segreta una storia d’amore e non sa di essere tradito dal dispositivo che ha al polso.

Fonti: NetworkWorld, WLWT5, MyDaytonDailyNews, WCPO, Journal-News.com.

Messaggino paralizza smartphone Android non recenti

Gli esperti di sicurezza informatica di Context IS hanno scoperto un difetto negli smartphone Samsung Galaxy S4, S4 Mini, S5 e Note 4 che consente di attaccarli e forzarne continuamente il riavvio semplicemente inviando loro un messaggio appositamente confezionato.

Più specificamente, l’attacco avviene tramite i messaggi di configurazione WAP, una tecnologia quasi in disuso ma ancora presente negli smartphone, che la implementano senza fare alcuna verifica sull’origine o sul contenuto, come dimostrato in un video molto eloquente.

Le versioni più recenti degli smartphone Samsung non sono vulnerabili, ma quelle vecchie sono ancora molto diffuse. Conviene aggiornare il più possibile il software (Samsung ne ha rilasciato una versione che risolve questa falla) ed evitare, se possibile, di usare smartphone non più aggiornabili.

Fonti aggiuntive: Bitdefender, BoingBoing.

Antibufala: albergo attaccato da ransomware chiude gli ospiti fuori dalle camere

Ultimo aggiornamento: 2017/02/07.

Ha creato parecchio scalpore la notizia dell’albergo austriaco Romantik Seehotel Jaegerwirt, dove (secondo fonti come il Corriere della Sera) “circa 180 ospiti sono rimasti chiusi fuori dalle stanze, senza la possibilità di poter rientrare, fino al pagamento di un riscatto.”

L’albergo era stato colpito da un attacco informatico basato sul ransomware (un malware che blocca i computer fino a che si paga un riscatto), ma la storia è parzialmente una bufala e va ridimensionata.

Come nota l’informatico Graham Cluley, gli attacchi di ransomware non sono una novità, ma questo sarebbe stato un attacco particolare perché avrebbe preso di mira le serrature informatizzate delle camere. Ma proprio questo aspetto insolito è la bufala.

La fonte originale della notizia, The Local, aveva effettivamente scritto inizialmente che gli ospiti erano rimasti chiusi fuori dalle proprie stanze, ma in un successivo aggiornamento aveva chiarito che gli ospiti non erano affatto stati imprigionati. Più semplicemente, il ransomware aveva bloccato il computer che gestiva l’aggiornamento delle chiavi elettroniche delle camere, per cui quelle esistenti funzionavano senza problemi ma era impossibile generare chiavi nuove.

Il disagio è durato un giorno, ha dichiarato Christopher Brandstaetter, direttore dell’albergo, fino a quando è stato pagato il riscatto; ha precisato inoltre che “gli ospiti quasi non si sono accorti dell’inconveniente”.

Fonti aggiuntive: Gizmodo, The Register, Motherboard.

Attivissimo.net torna parzialmente online

Sto migrando il contenuto di Attivissimo.net a un nuovo hosting. Al momento il sito è già accessibile correttamente presso www.attivissimo.net; non mi risulta accessibile se si digita semplicemente attivissimo.net. L’aggiornamento del DNS deve ancora propagarsi completamente, quindi a qualcuno il sito potrebbe risultare ancora temporaneamente irraggiungibile.

Non ho ancora migrato tutti i contenuti: ho iniziato stanotte, finirò probabilmente nel weekend. Se trovate link rotti, avvisatemi.

2017/02/02

Le cose che non colsi: 2017/02/01

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.

Sto facendo un esperimento: visto che sono disperatamente a corto di tempo e gli eventi nel mondo si stanno facendo particolarmente frenetici, provo ad archiviare pubblicamente qui i miei tweet salienti della giornata, in modo da creare una traccia cronologica e uno spazio per i commenti. Ditemi cosa ne pensate.

Quanti prodotti conoscete che ispirano i fan a creare spot pubblicitari? 1. Tesla (Nikola) guida una Tesla (auto) https://t.co/snM2EVPq5i
— Paolo Attivissimo (@disinformatico) January 31, 2017

2. Altri spot Tesla fatti da fan: https://t.co/9jaJdv1JSt https://t.co/xH3YuimLp8 https://t.co/b0jVfzXkWL
— Paolo Attivissimo (@disinformatico) January 31, 2017

Preparativi per lanciare di nuovo un primo stadio Falcon 9 di @SpaceX che ha già volato: prova di accensione dei motori https://t.co/C3FaFvzQ66
— Paolo Attivissimo (@disinformatico) February 1, 2017

Se usate Gitlab, questo forse vi interessa :-( https://t.co/57YNDghHgd
— Paolo Attivissimo (@disinformatico) February 1, 2017

Gitlab, ovvero come avere _cinque_ sistemi di backup, nessuno dei quali funziona nel momento del bisogno #EpicFail https://t.co/Pm8kLZFmZG
— Paolo Attivissimo (@disinformatico) February 1, 2017

Bozza dell'ordine esecutivo di Trump sulla sicurezza informatica (nessuna novità veramente significativa): https://t.co/ZXpdKigMKk
— Paolo Attivissimo (@disinformatico) February 1, 2017

Come mai Firefox dice che il sito di @telepass ha un certificato non valido? https://t.co/ojEmO5xj0u pic.twitter.com/Blr9cXru0P
— Paolo Attivissimo (@disinformatico) February 1, 2017

Domande strane per tempi strani.

(la risposta è "no") https://t.co/iVWWK4Q6C2
— Paolo Attivissimo (@disinformatico) February 1, 2017

La domanda era se la Regina d’Inghilterra fosse legittimata a decapitare Trump (bufala pubblicata da un sito satirico).

Per favore ditemi che è uno scherzo. Questo sarebbe un libro di _scienza_ in una scuola USA. Qualcuno può confermare? https://t.co/250T3sfuOV
— Paolo Attivissimo (@disinformatico) February 1, 2017

L'arte della protesta silenziosa.

(il cartello dice "Vi sta mentendo") https://t.co/WceCipwmDq
— Paolo Attivissimo (@disinformatico) February 1, 2017

Farsi beccare su Shodan è già imbarazzante. Farsi beccare mentre si viene distrutti dal ransomware non ha prezzo: https://t.co/pwxeLNo6gU pic.twitter.com/pexyJVx7P4
— Paolo Attivissimo (@disinformatico) February 1, 2017

LOL. La schermata di ransomware di cui twittavo poco fa è forse una trollata geniale: https://t.co/ylhWFi5wyZ
— Paolo Attivissimo (@disinformatico) February 1, 2017

Se è vero quello che dice Insidetrade, la Casa Bianca ha dei seri problemi di competenza e ha tentato di negoziare coi singoli stati UE https://t.co/DzkpmMilll
— Paolo Attivissimo (@disinformatico) February 1, 2017

Link all'articolo paywallato di InsideTrade.

1. Per quelli che insistono a dire che se hai la doppia cittadinanza o usi un altro passaporto non sei soggetto al bando di Trump https://t.co/x0Botgm8ee
— Paolo Attivissimo (@disinformatico) February 1, 2017

2. Giudice federale ha ordinato stop al bando Trump. Il testo: https://t.co/b8rUKxayaJ
— Paolo Attivissimo (@disinformatico) February 1, 2017

3. Primi dettagli sulle conseguenze dell'ordine del giudice: https://t.co/I4J5DpF0W4
— Paolo Attivissimo (@disinformatico) February 1, 2017

4. Ora a chi obbediranno i controllori delle frontiere USA? Trump o giudice federale? Sono giorni incredibili
— Paolo Attivissimo (@disinformatico) February 1, 2017

2017/01/30

Vodafone: niente inserzioni sui siti di false notizie, compreso il “Corriere d’Italia”

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.

Una delle tecniche per ridurre i danni causati dai siti che diffondono notizie false a scopo di lucro è toccarli dove sono sensibili: non nel buon cuore o nel buon senso, ma nel portafogli. A differenza dei siti di propaganda o di quelli complottisti, quelli dei bufalari di professione sono motivati solo dal guadagno: pubblicano bufale su qualunque argomento, purché attiri clic.

Uno di questi siti bufalari è Corriere d’Italia (ilcorriereditalia.it), il cui nome scimmotta ingannevolmente quello di giornali molto conosciuti (ed è identico a quello di una testata vera dei primi del Novecento). Il Corriere d’Italia ha pubblicato bufale come quella di Donald Trump che dona 20 milioni di euro per i terremotati italiani.

Pochi giorni fa Vodafone ha annunciato di aver individuato “oltre 100.000 siti su cui non pianificare inserzioni pubblicitarie”, fra i quali c’è ora anche il sito del Corriere d’Italia. Un’iniziativa lodevole che mi piacerebbe vedere più spesso anche da parte di altri inserzionisti: senza pubblicità i bufalari per lucro non hanno motivo di esistere e quindi chiudono. Non sembra un caso, infatti, che ora Corriereditalia.it risulta deserto e vuoto.

Sarei anche molto curioso di conoscere l’elenco dei centomila siti individuati da Vodafone.

Questo è il comunicato Vodafone integrale:

Vodafone non pianifica pubblicità su siti fake
di Redazione VodafoneNews | 26/01/2017 20:03

Vodafone da anni ha in essere un sistema di verifica della correttezza dei canali che ospitano la propria comunicazione di marca.

Questo processo ha consentito all’azienda di individuare oltre 100.000 siti su cui non pianificare inserzioni pubblicitarie.

Tale lista, che è in continuo aggiornamento, da oggi include anche il sito del Corriere d’Italia.

Rimane fermo l’impegno dell’azienda a continuare a non finanziare con i propri investimenti pubblicitari i cosiddetti siti “fake”.

Cerca nel blog