Articoli

Green Pass: i rischi per la nostra identità digitale

Pubblicare e condividere il Green Pass online espone noi e la nostra identità digitale ad inutili rischi, non solo a livello personale, ma anche in ambito business. Rischi che è bene comprendere per riuscire a mitigarli al meglio.

Cos’è e come funziona il Green Pass

Sono milioni gli italiani che hanno già ottenuto il Green Pass o che, in questi giorni, stanno ricevendo una notifica sull’app IO e Immuni o direttamente via SMS che li avvisa di poterlo scaricare grazie alla propria tessera sanitaria e ad un codice identificativo. Il Green Pass, lo ricordiamo, è una certificazione per la vaccinazione Covid-19 in formato digitale emessa dal Ministero della Salute e contiene un QR Code per verificarne autenticità e validità. Tutti coloro che hanno effettuato almeno una dose di vaccino possono salvarla sul proprio dispositivo e utilizzarla all’occorrenza. Dal 1° luglio il Green pass è valido come EU digital COVID certificate e sarà richiesto per partecipare a eventi pubblici, spostarsi in entrata e uscita dai Paesi dell’Unione europea e dell’area Schengen e per accedere a RSA o altre strutture.

Le informazioni nel QR code

La tecnologia QR code è molto utilizzata per la lettura tramite smartphone e non è altro che un codice a barre di due dimensioni composto da sezioni nere e bianche il cui scopo è memorizzare informazioni fino ad un massimo di 7.089 caratteri numerici in una sola volta. Sui social network diversi utenti hanno condiviso il QR Code legato alle vaccinazioni suscitando un forte allarmismo da parte del Garante della Privacy che in un comunicato ha espresso “la sua preoccupazione per l’esposizione di dati sensibili”. La scansione del QR code per l’identificazione e il controllo della validità del pass avviene tramite un’applicazione chiamata VerificaC19 che, però, riferisce solo nome, cognome e data di nascita. L’interessato su richiesta del verificatore, ad esempio un viaggiatore in aeroporto, dovrà esibire il proprio documento di identità per la corrispondenza dei dati anagrafici presenti nel documento con quelli visualizzati dall’applicazione di scansione del codice QR. Il residuo informativo contenuto nel codice QR rimane visibile solo a chi possiede le competenze informatiche per poterlo recuperare tramite un processo di decompressione e di decodifica. I dati contenuti all’interno del certificato digitale sono stati specificati dall’UE in un documento tecnico che stabilisce i set delle informazioni riconducibili ad ogni singolo individuo.

Green Pass: i rischi per la nostra identità digitale

Un’esposizione di dati sanitari personali, che ricordiamo essere la tipologia più rivenduta online, può avere impatto importante sull’identità digitale di un individuo. A marzo, online nel Dark Web, venivano venduti falsi Green Pass a 250 dollari ciascuno e con un’aggiunta di soli 25 dollari si poteva avere l’esito negativo di tre tamponi antigenici. La pubblicazione dei QR code può, inoltre, aiutare il processo di falsificazione, che viene implementato grazie a diversi “campioni” analizzati e studiati dai criminali. Il rischio di pubblicare lo screenshot del proprio QR code è quello di diffondere informazioni personali che possono essere riutilizzati per frodi e furti d’identità. I cyber criminali sfruttano ogni novità del mondo reale per poter truffare utenti e guadagnare denaro: come noi, infatti, utilizzano i social nell’attesa che un utente inesperto condivida informazioni sensibili sul suo profilo. L’impostazione della privacy settata in modo scorretto e l’abitudine di accettare richieste di utenti non conosciuti, amplifica notevolmente il rischio di esposizione. La digitalizzazione è un processo che deve avvenire parallelamente alla sicurezza informatica secondo il concetto di privacy by design, ma anche l’utente, spesso definito come l’anello debole della catena di sicurezza, deve essere in grado di non esporsi a inconsapevoli violazioni di dati. È la conferma della necessità di una formazione sia dei dipendenti in azienda che degli utenti dei social media, che devono prima di tutto riflettere sulla leggerezza con cui si condividono informazioni.

 

Fonte: CyberSecurity360

TeaBot, il malware per Android sta prendendo di mira l’Italia: attenti alle frodi bancarie

Si chiama TeaBot il nuovo trojan bancario per Android che da inizio anno sta prendendo di mira utenti in tutta Europa dirottando le loro credenziali di accesso e i messaggi SMS per facilitare attività fraudolente contro le banche in Italia, Spagna, Germania, Belgio e Paesi Bassi.

Negli ultimi giorni, in particolare, gli sviluppatori di TeaBot hanno aggiunto altre sette false app bank italiane come target dei loro attacchi tra cui grossi nomi come BNL, Intesa San Paolo, BancoPosta, Unicredit e Banco MPS, a dimostrazione del fatto che il nostro Paese è tra quelli più esposti alla minaccia di frodi bancarie. Una volta installato con successo nel dispositivo della vittima, infatti, TeaBot consente agli attaccanti di ottenere un live stream dello schermo e interagire col dispositivo stesso sfruttando i servizi di accessibilità di Android. TeaBot è stato scoperto dal Threat Intelligence and Incident Response (TIR) di Cleafy, azienda italiana di sicurezza informatica e prevenzione delle frodi online che al momento ha identificato più di 60 banche come obiettivi del malware.

Gli obiettivi di TeaBot

In particolare, nel suo rapporto, il TIR di Cleafy ha osservato che da un’approfondita analisi di una nuova ondata di campioni rilevata nel mese di marzo 2021, sono stati riscontrati, per la prima volta, molteplici payload nei confronti delle banche italiane e tedesche. Invece solo dall’inizio del mese di maggio sarebbe stata rilevata anche l’inclusione d’iniezioni malevole contro banche belghe e olandesi.
Inoltre, altre evidenze dimostrerebbero che il malware possiederebbe un supporto multilingue comprendente oltre la lingua spagnola, italiana, tedesca e olandese anche quella inglese e francese.

Le caratteristiche tecniche

TeaBot, pur essendo nelle prime fasi di sviluppo (come evidenziato da alcune irregolarità riscontrate durante l’analisi), sarebbe dotato di alcune funzionalità che abusano dei servizi di accessibilità Android con caratteristiche comuni anche ad altri noti trojan mobile:
• il controllo remoto dei dispostivi target
• il furto di codici 2FA (doppia autenticazione);
• l’invio e l’intercettazione di messaggi SMS;
• l’esfiltrazione di dati bancari;
• la disabilitazione di Google Protect.

Più precisamente, tra le principali caratteristiche osservate durante l’analisi dei campioni, i ricercatori avrebbero identificato funzionalità di:
• keylogger (simili a quelle già riscontrate nel trojan bancario EventBot, anche se, a differenza di quest’ultime, tracciano solo la presenza di alcune app mirate, generando quindi meno traffico nella comunicazione C2);
• screenshot (per acquisire immagini allo scopo di monitorare costantemente lo schermo del dispositivo compromesso);
• overlay (tecnica nota e già implementata sui famigerati trojan Android Anubis, Cerberus e Alien e che consiste nell’imitare una app o sovrapporre un WebView ad un’applicazione legittima).

Indicatori e catena d’infezione

Gli sviluppatori di TeaBot hanno utilizzato, per rendere più difficoltoso il reverse engineering, delle tecniche di anti analisi già impiegate da altri malware simili, come ad esempio l’utilizzo di “codice spazzatura”, la crittografata XOR anche se parziale e una catena infettiva suddivisa in due stadi in cui l’app vera e propria funge da dropper che carica dinamicamente in una seconda fase il payload effettivo (.dex). Inoltre, quando l’app malevola viene scaricata sul dispositivo, TeaBot tenta di nascondersi anche all’utente, impedendone il rilevamento e garantendo la persistenza, installandosi come servizio in background e istaurando, sin dall’inizio, una comunicazione silenziosa con il proprio server di comando e controllo. Successivamente, per poter eseguire le operazioni malevoli per le quali è stato programmato, TeaBot richiede delle specifiche autorizzazioni Android allo scopo di intercettare e osservare le azioni dell’utente, recuperare informazioni sensibili ed eseguire comandi arbitrari. Solo alla fine, a installazione completata con successo, il malware procede a rimuovere la propria icona dal dispositivo, nel tentativo di ridurre la possibilità di una ulteriore individuazione da parte dell’utente.

Come avviene la comunicazione col server?

Dall’analisi condotta sulla comunicazione di rete che il malware TeaBot instaura con il proprio server C2, il team di sicurezza ha identificato tre tipologie principali di comunicazione definite attraverso delle api deputate rispettivamente: all’aggiornamento della configurazione, al recupero dell’elenco delle app targettizzate, all’iniezione di codice in relazione alle app target rilevate.

Come proteggersi dai banking trojan per Android?

Come affermato dagli stessi ricercatori, TeaBot, in modo simile al malware per Android Oscorp, cerca di ottenere un’interazione in real-time con i dispositivi compromessi, al fine di eseguire uno scenario di attacco ATO (Account Takeover) abusando semplicemente dei servizi di accessibilità Android per acquisire in modo fraudolento il controllo dei nuovi dispositivi. Pertanto, per proteggersi dalle minacce sempre più dilaganti in ambiente mobile correlate alle innumerevoli varianti dei trojan bancari, è sempre raccomandabile seguire almeno delle misure minime di sicurezza:
• verificare sempre l’attendibilità delle app utilizzate, confrontandosi con i relativi servizi clienti;
• controllare le valutazioni degli utenti prima di scaricare una nuova app;
• affidarsi con cautela solo agli store legittimi: Google Play resta sempre e comunque una fonte attendibile;
• prestare attenzione alle autorizzazioni richieste dai processi d’installazione delle app, concedendole solo se sicuri che siano necessarie per il corretto funzionamento;
• scansionare regolarmente il proprio dispositivo mobile per la ricerca delle minacce più recenti con sistemi antivirus aggiornati;
• tenere sempre aggiornato il proprio sistema operativo Android con gli update e le patch di sicurezza rilasciati periodicamente.

 

Fonte: CyberSecurity360

Polizia di Stato: “Il tuo computer è stato bloccato, chiama subito questo numero” è una truffa, non chiamate!

Cadere nella trappola di una truffa online è fin troppo semplice, soprattutto quando i falsi avvisi applicano una notevole pressione psicologica sulle potenziali vittime. Un esempio è un avviso che sta circolando online, sul quale allerta la Polizia di Stato: “Security warning: Il tuo computer è stato bloccato. Errore #DW6VB36. Per favore chiamaci immediatamente al numero +39 0694804XXX. Non ignorare questo avviso critico.

Se chiudi questa pagina, l’accesso del tuo computer sarà disattivato per impedire ulteriori danni alla nostra rete. Il tuo computer ci ha avvisato di essere stato infestato con virus e spyware. Sono state rubate le seguenti informazioni: Accesso Facebook, Dettagli carta di credito, Accesso account e-mail, Foto conservate su questo computer.
Devi contattarci immediatamente in modo che i nostri ingegneri possano illustrarti il processo di rimozione per via telefonica. Per favore chiamaci entro i prossimi 5 minuti per impedire che il tuo computer venga disattivato. Chiama per ricevere supporto: +390694804XXX.”

L’avviso appare navigando online “su siti del tutto normali” fa sapere la Polizia di Stato, e il messaggio è camuffato per sembrare provenire da Microsoft. In realtà il produttore statunitense non c’entra nulla e l’avviso un falso. Chi lo vede sappia che non ha subito alcun furto di dati personali né infezione da virus, e che interrompendo la navigazione non ci saranno conseguenze: il computer continuerà a funzionare normalmente.
Cosa che non accadrà, invece, componendo il numero indicato nel messaggio. Anzi, digitandolo e seguendo le istruzioni telefoniche, si darà accesso al truffatore permettendogli d’installare dei virus da remoto. Non solo: per il falso “sblocco” del computer (assolutamente inutile) si finirà per pagare un centinaio di euro.

Cosa fare, quindi, se si vede il messaggio? Ignorarlo, e se proprio ci si fa prendere dall’ansia, fare una scansione antivirus per togliersi ogni dubbio. L’antivirus aggiornato peraltro dovrebbe sempre essere installato e aggiornato, al di là di questo fastidioso messaggio falso.

Un altro consiglio, in caso di avvisi di presunte minacce, è quello di informarsi prima di fare qualsiasi cosa. E comunque di non telefonare mai a numeri di dubbia provenienza o fare clic su link a siti con un indirizzo che non si conosce.

 

Fonte: IlFattoQuotidiano

Vendita online di farmaci, quando è lecita e quando è reato

L’operazione dei Nas che ha oscurato undici siti in cui si effettuava la vendita online di farmaci vietati o per cui è prevista la ricetta medica, ha posto in evidenza un tema che nell’epoca della pandemia da Covid-19 risulta di grande rilievo, ossia l’e-commerce farmaceutico.

La vendita online di farmaci con obbligo di prescrizione è vietata

Nell’ordinamento italiano la vendita online di farmaci è consentita unicamente per i farmaci senza obbligo di prescrizione (Sop) e i farmaci da banco (Otc), inseriti in un apposito elenco (si può verificare anche sul sito internet dell’Aifa).

La disciplina è prevista, infatti, dall’art. 112 quater del Decreto legislativo 219/2006, ed esclude la vendita online di farmaci con obbligo di prescrizione medica.

La vendita di farmaci online, in ogni caso, è consentita unicamente al dettaglio, mentre è esclusa la vendita all’ingrosso.

Vendita di farmaci online: il fenomeno va controllato

Come per l’utilizzo dei social network è necessaria un’educazione ai rischi che si corrono, in particolare per quanto riguarda i minori, allo stesso modo è necessario educare il consumatore a non affidarsi acriticamente alla rete per acquisti “seri” e, in particolare, per quello che riguarda il settore dei medicinali e sanitario in genere.

All’epoca della Covid-19, peraltro, non stupisce che soggetti senza scrupoli abbiano provato a basarsi sulle paure di persone, magari fragili, che cercavano cure “miracolose”, per approfittarsene.

Per questa ragione è necessario che i Nas intervengano in maniera massiccia anche sul commercio online, tradizionale campo d’azione della Polizia Postale.

Conclusioni

L’e-commerce farmaceutico, come tutto il commercio online, è destinato ad aumentare, e non è inverosimile ipotizzare, in futuro, la connessione diretta tra il sistema operativo del medico che prescrive il farmaco ed il sistema di distribuzione dei medicinali attraverso le farmacie, fisiche o virtuali.

Un simile sistema, naturalmente, dovrebbe essere impostato con un livello di tutela dei dati personali elevatissimo, ma potrebbe portare ad un risultato operativo apprezzabile, ossia confinare l’abusivismo del settore farmaceutico al Dark Web.

Una tale compressione determinerebbe, necessariamente, anche una minor diffusione del fenomeno, attese le difficoltà di accesso al Dark Web di un numero elevatissimo di utenti, come accade, necessariamente, con l’accesso ai browser ordinari.

 

Fonte: CyberSecurity360

Wikipedia: compie 20 anni il sogno della biblioteca universale

Sono tre le date importanti della storia di Internet: la nascita di Arpanet, la nonna di Internet, il 28 Ottobre 1969; il primo sito web, quello del Cern di Ginevra nel 1991; la nascita di Wikipedia il 15 gennaio 2001. Compie vent’anni la prima enciclopedia online globale, libera e gratuita. Voluta da un giovane agente di borsa, che la finanziò pare con 500 mila dollari, Jimmy Wales, Wikipedia è la vera incarnazione di Internet. Basata sul principio della collaborazione e della condivisione care alla cultura hacker delle origini, è la realizzazione di un sogno antico: la biblioteca universale.

La stessa Internet, infatti, nasce dall’idea di James Robbnett Licklider, psicologo e informatico statunitense, che da capo dell’ufficio che sviluppò il progetto di Arpanet, poi divenuta Internet, aveva teorizzato l’Intergalactic Computer Network come una biblioteca elettronica facilmente accessibile a tutti i ricercatori. A dispetto della vulgata che parla di Internet come progetto militare. Non lo fu mai, anche se i militari finanziarono il progetto e ci lavorarono con hacker, accademici e imprenditori.

Lo stesso vale per il web

Il World Wide Web, la “Ragnatela grande come il mondo”, pensata per facilitare l’accesso ai documenti della ricerca scientifica prodotta al Cern di Ginevra, nella mente del suo creatore, l’hacker inglese Tim Berners Lee, a questo doveva servire: permettere a tutti i ricercatori di trovare facilmente i “volumi digitali” attraverso delle parole chiave che ne mettessero in relazione i contenuti attraverso delle parole chiave strutturandoli come ipertesti. Leggenda vuole che l’idea di collegarli tramite un “link” gli fosse stata suggerita dal peculiare modo degli italiani del Cern di relazionarsi fra di loro. In realtà se l’idea di ipertesto è attribuita al visionario Ted Nelson, filosofo americano, già nel 1500 un ingegnere svizzero italiano aveva progettato un leggio a ruota per consultare pagine di libri diversi senza muoversi.

Ma questa è storia

L’attualità è che grazie alla sua intuizione, favorita da esperimenti precedenti come Nupedia e Gnupedia, Jim “Jimbo” Wales, farà di Wikipedia uno dei siti più visitati al mondo. E Wikipedia è ancora oggi il sogno della conoscenza libera e gratuita a portata di clic realizzata dai suoi utenti, l’utopia realizzata del Web 2.0, il web dinamico, dove il fruitore di un contenuto digitale può anche modificarlo diventando un prosumer (“producer plus consumer”), produttore e consumatore degli UGC (User Generated Contents), i contenuti generati dagli utenti. Per questo è ancora oggi considerato il più grande esperimento di scrittura collettiva al mondo, un grande progetto di collaborazione declinato in 300 lingue con più di 55 milioni di voci.

Il sapere di tutti

Il nome stesso dalle origini rimanda però all’idea di una conoscenza immediatamente fruibile: Il nome Wikipedia è il risultato della crasi tra la parola “Wiki” che in hawaiano vuol dire “veloce” e “Pedia”, dal greco “paideia”, cioè formazione. Wikipedia vuol dire “formazione veloce”. L’enciclopedia come base della conoscenza universale nella cultura illuministica di Diderot e D’Alambert, “fondatori” anch’essi, ma della cultura europea.

L’enciclopedia per tutti

Wikipedia viene scritta con un software che ha lo stesso nome, il “software Wiki”, che ha rivoluzionato il web publishing e consentito a chiunque di diventare editore di se stesso rivolgendosi a una platea virtualmente illimitata. Grazie a questo software gli utilizzatori di Wikipedia costruiscono ogni giorno un pezzo di web, cioè pagine modificabili all’infinito e liberamente consultabili da quasi chiunque. E diciamo quasi, perché il progetto è costantemente ostacolato da poteri commerciali e governi autoritari. Ma non è una lavagna bianca. Ognuno può proporre nuove voci di questa enciclopedia, o migliorarla, ma i suoi molti volontari sono sempre all’erta per evitare vandalismi – come spesso accade alle pagine dei personaggi storici o della politica – e per nascondere voci celebrative di starlette e aziende che di enciclopedico non hanno niente, adottando il primo comandamento di Wikipedia, il “nPoV”, un “punto di vista neutrale” nello scrivere le voci. Fino a cassare lemmi e modifiche che i patroller ritengono inappropriati e non derivanti da fonti terze come deve essere per ogni enciclopedia. Ma chi sono i patroller? Vengono così chiamati coloro che vigilano sulla qualità dell’enciclopedia. E che con passione, spesso incompresi, si azzuffano pacificamente per far capire le regole di scrittura di un’enciclopedia letta e copiata da tutti il più delle volte senza riconoscergli credito.

Il problema dei diritti d’autore

Ma per far funzionare un progetto così gigantesco non bastano i volontari e un’organizzazione amatoriale, per questo Jim Wales, che si dichiara co-fondatore dell’enciclopedia pur essendone in realtà il creatore principale, ha voluto la realizzazione di Wikimedia, una fondazione internazionale no-profit che è l’interfaccia tenico-legale di Wikipedia. La fondazione si occupa di gestire e promuovere tanti altri progetti che stimolano la diffusione di contenuti liberi collaborando con musei, università, archivi storici, anche per facilitare la pubblicazione di foto, video, documenti, opere protette dal copyright. E proprio su questo terreno che la scelta di Wales si è rivelata vincente fin dagli inizi di Wikipedia.

Il software libero

Per rispettare i diritti di autori e collaboratori sin dalla nascita i suoi contenuti sono stati distribuiti con una licenza di libero utilizzo inventata da Eben Moglen e Richard Stallman, la Gnu Free Documentation Licence (Gfdl), che ne permetteva la redistribuzione e modifica come fosse un software libero impedendo che qualcuno ci mettesse il proprio copyright sopra; in seguito Wikipedia adotterà la Creative Commons License, la licenza di utilizzo e modifica dei contenuti creata dal giurista ed ex candidato alla presidenza americana il professore Lawrence Lessig, per riconoscere la paternità delle opere creative dell’enciclopedia ma al contempo favorirne fruizione e diffusione cosa che il copyright di “Tutti i diritti riservati” non consentiva.

Un giardino aperto

Fu proprio lui, il professore di Harvard, incontrato in una biblioteca a dirci: “Wikipedia è come un giardino pubblico e aperto a chiunque, ben tenuto da quelli che lo visitano”. Un bene pubblico senza pubblicità invasiva e trucchi psicologici per trasformarti in un consumatore infelice. Ma Wikipedia è anche qualcosa di più, un vero esempio di economia circolare, l’economia della conoscenza. La conoscenza infatti più circola, più si valorizza. Tutto il contrario di quello che fanno Google, Facebook e simili coi loro “giardini recintati”.

 

Fonte: Repubblica.it

Attacchi phishing allo SPID: i consigli per proteggere la propria identità digitale pubblica

Nelle ultime settimane l’utilizzo dello SPID (Sistema Pubblico di Identità Digitale) è divenuto sempre più popolare tra gli italiani anche perché l’autenticazione mediante questo sistema di identificazione è semplice e versatile ed è possibile utilizzarla attraverso molteplici dispositivi: purtroppo, però, la popolarità del sistema SPID ha inevitabilmente attratto l’attenzione del crimine informatico e infatti si assiste ad un aumento delle campagne di phishing mirate agli utenti in possesso dell’identità digitale pubblica.

Le campagne ai danni di Poste Italiane

Già in novembre, l’Agenzia per l’Italia Digitale (AGID) ha messo in guardia i cittadini circa i preparativi per una campagna di malware via SMS che prendeva di mira i cittadini che avevano già attivo lo SPID con Poste Italiane.

Al tempo, gli attaccanti avevano registrato il dominio “aggiornamento-spid.com” raggiungibile solo attraverso dispositivi mobili, che riproduceva la pagina di login di Poste Italiane. L’intento era quello di collezionare le credenziali degli utenti mobili di Poste attraverso una campagna di phishing via SMS.

Fortunatamente la campagna fu stroncata sul nascere grazie agli esperti dell’azienda D3Lab che avevano individuato il dominio sospetto prima che gli attori malevoli lo rendessero operativo.
Poco più di due mesi dopo, il CERT-AGID ha diramato un nuovo alert circa una nuova campagna di phishing che prende di mira gli utenti di Poste Italiane ed utilizza lo SPID come esca.

I messaggi utilizzano come oggetto:
Poste Italiane – PosteID abilitato a SPID – Data: 11/12/2020

mentre il corpo dell’e-mail recita:
Ti comunichiamo la modifica delle Condizioni Generali del Servizio di Identità Digitale “PosteID abilitato a SPID” nella nuova versione.

L’email notifica alle potenziali vittime una modifica delle condizioni generali del servizio SPID e le invita ad accedere ad un link riportato nel testo minacciando il blocco della carta PostePay.
Una volta cliccato sul link, l’utente è indirizzato, dopo alcune ridirezioni, ad una pagina che appare come una copia esatta di una pagina di login del sito di Poste.

“Si invita pertanto a non seguire il link e soprattutto a non inserire credenziali all’interno di form ospitati su domini non ufficiali”, raccomanda l’avviso pubblicato dal CERT AGID.

I domini fraudolenti utilizzati in questa campagna di phishing individuati dagli esperti del CERT AGID sono:
• “http://mundpdeportivo.for-our[.]info/”
• “http://default-page-poste.is-certified[.]com/serv-cliente/a1b2c3/30edaf01b08cb9fdd9d1171efec2e3e7/login/”,
• “http://default-page-poste.is-certified[.]com/”
• “http://ftr-postepay-cl-fcc.is-certified[.]com/”

I rischi

Con l’incremento del numero di servizi che offrono la possibilità di autenticazione SPID aumenteranno le campagne di phishing mirate agli utenti in possesso dell’identità digitale pubblica.
Questi attacchi possono avere diverse finalità, dalla collezione di informazioni sugli ignari utenti alla distribuzione di codici malevoli sviluppati per rubare dati sensibili come credenziali di accesso ai servizi di home banking.

Gli attacchi potrebbero anche consentire ai criminali informatici di rubare le credenziali SPID previste dal primo livello di sicurezza e di impersonare le vittime. Si ricordi infatti che lo SPID offre tre livelli di sicurezza per l’accesso, ovvero:
• il primo livello attraverso un nome utente e una password scelti dall’utente;
• il secondo livello attraverso nome utente e password più un codice temporaneo di accesso fornito tramite SMS o app;
• il terzo livello, oltre al nome utente e la password, richiede un supporto fisico per l’identificazione, come una smart card.

Nei prossimi mesi, le campagne potrebbero avere carattere interazionale: ricordiamo, infatti, che il sistema SPID è candidato al riconoscimento a livello europeo, come previsto dal Regolamento europeo eIDAS n. 910/2014. I cittadini europei in possesso dell’identità SPID potranno utilizzarla per autenticarsi verso i servizi resi disponibili in Rete dalle pubbliche amministrazioni di tutta l’Unione europea. Non solo, anche servizi gestiti da soggetti privati potranno implementare un meccanismo di autenticazione attraverso SPID.

I consigli per difendersi

Per proteggere lo SPID dagli attacchi phishing ed evitare di rimanere vittima di queste campagne malevoli è raccomandato di non cliccare su link contenuti in messaggi non sollecitati che invitano l’utente ad una azione, come premere su un link o aprire un allegato, con carattere d’urgenza.

Fare attenzione all’indirizzo delle pagine sulle quali si inseriscono le proprie credenziali, verificare che i domini siano quelli legittimi non facendosi ingannare dalla eventuale presenza del lucchetto nella barra degli indirizzi.

Sono infatti in aumento campagne di phishing che utilizzano siti HTTPs per mostrare alle vittime pagine disegnate per collezionare le loro credenziali.

 

Fonte: CyberSecurity360

Whatsapp, cosa dice la nuova informativa sulla privacy

Whatsapp aggiorna i Termini di servizio e l’informativa privacy, sollevando i timori collettivi di perdere il controllo sui propri dati. Pesa anche, come una pistola puntata, l’obbligo per gli utenti di accettarli entro l’8 febbraio 2021 pena l’impossibilità di usare il social. Un’iniziativa che spinge verso una maggiore integrazione tra le diverse realtà legate a Facebook.

L’invio delle notifiche per segnalare l’iniziativa ha suscitato preoccupazioni dal punto di vista della privacy, in particolare per quanto riguarda il data sharing con Facebook e le sue aziende.

Whatsapp ha comunicato che per gli utenti europei e del regno Unito non ci saranno modifiche alle modalità di condivisione dei dati, ciononostante – o forse proprio per questo – la novità è interessante per noi europei.

Cosa dice la nuova informativa privacy di Whatsapp?

Gli aggiornamenti principali fatti ai termini di servizio approfondiscono i modi in cui vengono trattati i dati e come le aziende che si servono di Whatsapp Business possono usare i servizi di Facebook per la gestione della chat. L’aggiornamento delle informazioni, controllando sul sito di Whatsapp, è stato fatto il 4 gennaio. Compare un banner giallo in cui vengono annunciate le modifiche.

Cliccando sul link “questa pagina”, si apre una schermata con quattro link che conducono agli aggiornamenti sulle condizioni d’uso del social:
• Aggiornamenti chiave, dove brevemente vengono illustrati gli highlight dell’iniziativa
• Termini di servizio
• Informativa privacy
• Codice europeo delle comunicazioni elettroniche

I termini di servizio e la privacy policy sono differenti a seconda che l’utente risieda o no nella regione europea. Whatsapp lo comunica indicando i link ai rispettivi documenti. Tra le differenze, per esempio, l’età che rende possibile l’iscrizione: in Europa sedici anni, in altre regioni tredici anni. Un’importante differenza è la nota sulle attività globali di data sharing, assente nell’informativa europea.

Questa informazione riguarda gli utenti che non risiedono nella regione europea. Riguardo alla gestione dei dati con le altre aziende legate a Facebook, l’informativa europea precisa che le informazioni condivise da Whatsapp con le altre imprese non possono essere utilizzate da queste per finalità proprie.

 

Fonte: CyberSecurity360

Scoperto malware che raccoglie dalle immagini le indicazioni su azioni da eseguire

Un gruppo di ricercatori ha scoperto una nuova minaccia che sembra collegabile ad alcuni famosi gruppi APT (advanced persistent threat) ovvero criminali informatici che solitamente bersagliano vittime e aziende di elevato profilo sferrando attacchi mirati.

Di solito viene preso di mira il sistema utilizzato da un soggetto che lavora all’interno dell’impresa: sfruttando il fatto che tale sistema è collegato alla rete locale dell’azienda da aggredire, esso viene utilizzato per attaccare l’intera infrastruttura, monitorare le attività svolte, sottrarre dati sensibili e danneggiare i dati altrui.

La presenza di macro all’interno di documenti Office dovrebbe fare immediatamente drizzare le antenne: i vari componenti della suite per l’ufficio Microsoft attivano la cosiddetta Visualizzazione protetta per i file che provengono dalla rete Internet (Allegati pericolosi e malware nei documenti Office: come inizia l’infezione) e segnalano l’eventuale presenza di macro.

Le macro possono essere potenzialmente molto pericolose perché utilizzando una serie di istruzioni integrate all’interno del documento si può richiedere l’effettuazione in automatico di una serie di attività, compresi il download e l’esecuzione di codice pubblicato altrove.

Nonostante la loro pericolosità, ancora oggi sono in tanti a cadere nel tranello e ad acconsentire all’esecuzione di macro potenzialmente pericolose inserite ad esempio in un documento Word o in un foglio elettronico Excel. Gli aggressori sono infatti soliti porre in essere campagne spear phishing presentando il file dannoso come qualcosa che non è ovvero un elemento che la vittima potrebbe aspettarsi di ricevere.

Uno dei ricercatori che hanno scoperto la nuova minaccia spiega su Twitter che la macro nociva si collega con GitHub e scarica ulteriore codice.
Con il preciso scopo di eludere le verifiche condotte dalle principali soluzioni antimalware, lo script PowerShell si collega con il noto servizio per la condivisione di immagini Imgur e scarica un file in formato PNG.

Utilizzando la tecnica della steganografia, all’interno del file PNG gli aggressori inseriscono il payload del malware vero e proprio. ll codice PowerShell non fa altro che leggere in sequenza i byte aggiunti in varie parti dell’immagine PNG e ricostruiscono i comandi da eseguire.

A questo punto l’attacco vero e proprio può iniziare con un approccio fileless che in molti casi resta quasi invisibile ai “radar” di molte soluzioni per la sicurezza.

 

Fonte: IlSoftware

Fra social network e motori di ricerca, ecco le parole d’ordine del 2020

Per i veri bilanci di questo 2020 che volge al termine servirà tempo. Nell’attesa arrivano dai colossi del Web la lista dei contenuti più cercati e condivisi su social network e motori di ricerca. Il polso della situazione lo hanno avuto più di tanti altri, con il trasloco online a tappe forzate di centinaia di milioni di persone a causa della pandemia. È cambiato il modo di vivere il digitale, sono esplosi i consumi dello streaming e delle piattaforme per lavorare, è aumentato di oltre il 100 per cento la pubblicazione di video e di fotografie.

“Durante il primo lockdown le persone hanno combattuto il distanziamento sociale sfruttando la messaggistica e raddoppiando i normali flussi di chiamate per potersi tenere in contatto” fa ad esempio sapere Facebook. “Ma sono cambiate anche le modalità di interazione, ad esempio le chiamate di gruppo – quelle con tre o più partecipanti – aumentate di oltre il mille per cento solo a marzo. E ad aprile, oltre tre milioni di italiani erano parte di gruppi locali impegnati a offrire supporto durante l’emergenza Covid-19”.

“Andrà tutto bene” lo ricorderemo a lungo. Un messaggio che ha unito quattro milioni di persone quando il nostro Paese venne colpito duramente dalla prima ondata. E poi ovviamente “Io resto a casa”. Google fra le parole più cercate mette al primo posto “Coronavirus”, seguito da “Elezioni Usa”, “Nuovo Dpcm” e Diego Armando Maradona. Il 2020 infatti è stato l’anno di lutti eccellenti che vanno dall’ex campione argentino a quello del basket “Kobe Bryant fino a Paolo Rossi. E poi i musicisti Ezio Bosso e Ennio Morricone, l’attore Sean Connery, i comuni cittadini come George Floyd che negli Usa ha innestato la protesta di “Black Lives Matter”.

La rivolta in America seguita dall’uccisone di Floyd è stata fra i temi più discussi su Facebook, anche se in cima alla lista in Italia c’è il concerto di Andrea Bocelli da Piazza del Duomo a Milano. Seguono l’esplosione nel porto di Beirut e le proteste ad Hong Kong. Proteste delle quali il social network cinese TikTok, grande protagonista del 2020 sia per la crescita di utenti sia per essere stato al centro dello scontro fra Washington e Pechino, non fa menzione. Cita invece fra le parole d’ordine più usate gli hashtag #IoRestoaCasa, #ActivePlank, #UsoLaMiaVoce: #AmoIlMioCorpo e #MuseoaCasa.

C’è anche #ImparaConTikTok, dato che il filone dedicato all’apprendere come fare una certa cosa è stato di gran moda. Google ad esempio classifica i primi in questo ordine: come imparare a fare il pane, come costruire le mascherine antivirus, come fare il liveito di birra, la pizza, il lievito madre, gli gnocchi.

Di tutto ciò non esistono numeri a sostegno. La lista dei temi, parole, contenuti non è accompagnata da cifre se non per poche eccezioni. Ma è certo che il 2020, fra le tante cose, sia stato un anno d’oro per il digitale entrato definitivamente nella vita di tutti, anche di coloro che fino a ieri lo frequentavano solo di sfuggita.

 

Fonte: Repubblica

Il Parlamento europeo approva il diritto alla riparazione: diventerà legge

Troppo spesso si preferisce accantonare definitivamente un dispositivo elettronico piuttosto che provare a ripararlo. Così i vecchi dispositivi vanno ad accrescere pericolosamente la montagna enorme di rifiuti RAEE in continua crescita ogni anno e i consumatori, complice anche l’atteggiamento che accomuna molti produttori, preferiscono acquistare un nuovo dispositivo.

Il Parlamento europeo si è espresso con favore per l’approvazione di una nuova regolamentazione che imporrà una serie di obblighi ai produttori di dispositivi elettronici.

L’adempimento più importante è certamente l’utilizzo di un’etichetta che i produttori dovranno esporre su tutti i dispositivi immessi sul mercato: tale indicazione riporterà il “grado di riparabilità” di un prodotto specificando quanto gli utenti potranno risolvere eventuali problemi hardware in proprio oppure rivolgendosi a centri specializzati.

L’etichetta dovrà anche chiarire la durata stimata del dispositivo al momento dell’acquisto da parte del consumatore finale. Una misura che secondo il legislatore dovrebbe mettere fine ai comportamenti di alcuni produttori che usano l’obsolescenza programmata per stabilire una “scadenza artificiosa” delle loro apparecchiature, non motivata da un’effettiva usura dei componenti hardware.

A gennaio la Francia aveva istituito un meccanismo per la valutazione della riparabilità di smartphone, notebook e altri prodotti. L’Austria, da parte sua, ha iniziato a ridurre le tasse sui servizi di riparazione e fornisce sussidi per le riparazioni da parte dei consumatori.

Con questa risoluzione, l’Unione Europea stabilisce uno storico precedente e fissa una pietra miliare che sarà certamente ricordata negli anni a venire.
Si tratta infatti di una presa di posizione forte che mira anche a cambiare l’atteggiamento degli utenti finali, talvolta esageratamente propensi ad accantonare dispositivi elettronici che ancora potrebbero funzionare.

Il 79% dei cittadini europei intervistati nel corso di un sondaggio ha dichiarato di essere favorevole all’introduzione del diritto di riparazione ritenendo che i produttori dovrebbero essere legalmente obbligati a facilitare le riparazioni dei dispositivi o comunque a sostituire singole parti.

 

Fonte: IlSoftware