Il ministro dell’Interno tedesco Nancy Faeser ha deciso di licenziare il capo della sicurezza informatica del Paese a causa di possibili contatti con persone coinvolte nei servizi di sicurezza russi, secondo quanto riferito dai media tedeschi, citando fonti governative.

Arne Schoenbohm, presidente dell’agenzia federale per la sicurezza delle informazioni BSI, avrebbe potuto avere contatti con i servizi russi attraverso il Consiglio per la sicurezza informatica della Germania.

Schoenbohm è stato uno dei fondatori dell’associazione, che conta come membro una società tedesca che è una sussidiaria di un’azienda russa di sicurezza informatica fondata da un ex dipendente del KGB.

Né il ministero dell’Interno né il Bsi hanno immediatamente risposto alle richieste di commento.

“Queste accuse devono essere indagate in modo decisivo”, ha affermato Konstantin von Notz, capo del comitato di sorveglianza parlamentare per le agenzie di intelligence tedesche.

Ma la vicinanza di Schoenbohm al Consiglio dei lobbisti era nota da tempo. E nonostante avesse vietato ai suoi dipendenti dell’Agenzia federale per la sicurezza informatica di avere contatti con l’associazione (nella quale figura anche Protelion, azienda legata alla russa Infotecs, che collabora ufficialmente con l’Fsb ed è presieduta dall’ex agente del Kgb Andrej Chepchek), Schoenbohm si è fatto fotografare di recente alla festa per i dieci anni dell’oscuro club di lobbisti legati al Cremlino.

Dettaglio imbarazzante: la sua partecipazione alla festa era stata autorizzata dal ministero dell’Interno. Adesso, dopo l’allarme lanciato dal comico Jan Boehmermann, la ministra Faeser non vede l’ora di sbarazzarsi di lui. Resta la gravissima responsabilità di aver affidato per anni la cybersicurezza tedesca a un uomo legato ai servizi segreti del Cremlino.

Nuove regole Ue sulla cybersecurity per garantire la sicurezza di prodotti hardware e software.

Le propone la Commissione europea annunciando una nuova legge sulla resilienza informatica, il ‘Cyber Resilience Act’, che introdurrà requisiti di sicurezza informatica obbligatori per i prodotti con elementi digitali, durante l’intero ciclo di vita.

Garantirà che i prodotti digitali, wireless, cablati o software, siano più sicuri per i consumatori nell’Ue. I produttori saranno obbligati a fornire supporto per la sicurezza e aggiornamenti software, garantendo ai consumatori informazioni sulla sicurezza informatica di ciò che acquistano.

“Meritiamo di sentirci al sicuro con i prodotti che acquistiamo nel mercato unico – afferma la vicepresidente esecutiva della Commissione Margrethe Vestager – Il Cyber Resilience Act garantirà che gli oggetti e i software connessi che acquistiamo rispettino solide misure di sicurezza informatica. Metterà la responsabilità al suo posto, con coloro che immettono i prodotti sul mercato”. Le misure proposte dall’esecutivo europeo stabiliranno sui prodotti con elementi digitali: criteri per l’immissione sul mercato, per garantirne la sicurezza informatica; requisiti essenziali per progettazione, sviluppo e produzione, e obblighi per gli operatori economici; requisiti essenziali per i processi di gestione della vulnerabilità per i produttori a garanzia della cibersicurezza dei prodotti durante l’intero ciclo di vita dei prodotti, con obblighi per gli operatori economici; norme sulla vigilanza del mercato. Ci saranno eccezioni su alcuni prodotti come dispositivi medici, aviazione o automobili dove sono già previsti dei requisiti di sicurezza informatica. Una volta adottata la legge, gli operatori economici e gli Stati membri avranno due anni di tempo per adeguarsi.

Bitdefender pubblica oggi una ricerca sulle vulnerabilità delle telecamere di sorveglianza EZVIZ, invitando gli utenti ad applicare le patch disponibili e ad aggiornare immediatamente il software e controllare il sito web ufficiale del produttore per qualsiasi novità relativa alla sicurezza delle telecamere EZVIZ.

La ricerca conferma che gli hacker, sfruttando diverse vulnerabilità, hanno potuto compromettere completamente le telecamere, accedendo al feed della telecamera stessa, rubando le immagini, iniettando codice dannoso e recuperando le password memorizzate. Si stima che siano stati colpiti oltre 10 milioni di dispositivi.

Bitdefender ha lavorato a stretto contatto con EZVIZ in tutte le fasi della divulgazione della vulnerabilità.

I risultati principali:

• La vulnerabilità Stack-Based Buffer Overflow può portare all’esecuzione di codice remoto durante la procedura di rilevamento del movimento. (Remoto)
• La vulnerabilità Insecure Direct Object Reference in più endpoint API consente a un hacker di recuperare immagini e impartire comandi per conto del reale proprietario della telecamera. (Remoto)
• La vulnerabilità Storing Passwords nel formato Recoverable (in [3}/api/device/query/encryptkey) consente a un hacker di recuperare la chiave di crittografia delle immagini. (Remoto)
• La vulnerabilità Improper Initialization permette a un hacker di recuperare la password di amministratore e di prendere il pieno possesso del dispositivo. (Locale)

Questa ricerca ha riguardato diversi modelli di telecamere EZVIZ che sono elencati all’interno del report disponibile qui.

Il diritto all’oblio, conosciuto anche come “Diritto ad essere dimenticati”, è una misura prevista dal GDPR, che conferisce alle persone il diritto di richiedere alle diverse organizzazioni, motori di ricerca o redazioni giornalistiche, di cancellare i propri dati personali o notizie di cronaca che li riguardano direttamente.

Le organizzazioni, tuttavia, non sempre sono costrette a riconoscerlo. In questa guida spiegheremo che cos’è il diritto all’oblio e quando possiamo pretendere la cancellazione delle informazioni che ci riguardano.

Che cos’è il diritto all’oblio?

Un tempo il diritto all’oblio, anche chiamato “Diritto ad essere dimenticati”, rappresentava un ideale che non conosceva una reale applicazione. Invece il GDPR, il regolamento generale sulla protezione dei dati approvato da tutti i paesi europei, nell’art. 17 afferma che l’interessato ha il diritto di ottenere dal titolare del trattamento dei dati la cancellazione delle informazioni personali che lo riguardano, senza ingiustificato ritardo, e il titolare del trattamento ha l’obbligo di cancellare tutti i dati personali qualora sussistano una serie di condizioni ben specifiche per le quali il diritto all’oblio può essere applicato. 

Da un lato il titolare del trattamento dei dati è costretto all’eliminazione, qualora sia dovuta, entro un mese, mentre colui che richiede la cancellazione dei propri dati o dei contenuti che lo riguardano deve dimostrare di essere realmente l’interessato e di avere il diritto alla cancellazione.

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Quando si applica il diritto all’oblio

L’art. 17 del GDPR delinea le circostanze specifiche che permettono di avvalersi del diritto all’oblio un individuo ha diritto alla cancellazione dei propri dati personali qualora:

–  I dati personali sono stati raccolti e trattati senza il consenso dell’interessato

–  I dati non sono più necessari per le finalità che hanno originariamente dato luogo alla raccolta degli stessi

–  Una organizzazione ha richiesto il consenso dell’individuo per raccogliere ed elaborare i tuoi dati e tale consenso viene ritirato

–  Un’organizzazione raccoglie ed elabora dei dati per degli interessi legittimi e a norma di legge, l’individuo si oppone a questo trattamento dei dati e non vi è alcun interesse prevalente per continuare il trattamento

–  Un’organizzazione tratta i dati personali per scopi di marketing diretto e la persona si oppone a tale trattamento

–  Un’organizzazione  ha raccolto ed elaborato dati personali illecitamente

Tuttavia, come spesso accade nella giurisprudenza, il diritto all’oblio viene bilanciato da altri diritti, come il diritto di cronaca, sancito dall’Art. 21 della Costituzione Italiana e il diritto ad informare il pubblico di un fatto che sia per loro utile è rilevante. In particolare:

–  La pubblicazione e il trattamento è lecito quando i dati sono stati utilizzati per esercitare il diritto alla libertà di informazione di espressione

–  I dati vengono utilizzati per adempiere ad una disposizione o ad un obbligo legale

–  I dati vengono raccolti ed utilizzati per svolgere un compito nell’interesse pubblico o nell’esercizio di pubblici poteri di una organizzazione

–  I dati sono necessari per scopi di salute pubblica o servono all’interesse pubblico

–  I dati rappresentano informazioni importanti che servono all’interesse pubblico, alla ricerca scientifica, alla ricerca storica o per fini statistici e la cui cancellazione potrebbe compromettere o arrestare il raggiungimento di un obiettivo di interesse pubblico

–  I dati vengono utilizzati per l’istituzione di una difesa legale o per l’esercizio di altri diritti legali

Come si applica il diritto all’oblio

Il diritto all’oblio, qualora sussistano le motivazioni per poterlo legalmente richiedere, funziona solamente se la richiesta è svolta seguendo una sequenza precisa. La richiesta del diritto all’oblio deve quindi essere riassunta in un modulo che deve essere strutturato come segue:

Dettagli della persona che richiede l’esercizio del diritto all’oblio

Per prima cosa, colui che chiede l’esercizio del diritto all’oblio deve fornire  i propri dati identificativi.

–  nome cognome

–  indirizzo di residenza

–  numero di telefono

–  indirizzo email valido

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Prova di identità dell’interessato

In secondo luogo, colui che richiede l’esercizio del diritto all’oblio deve fornire una prova della sua identità. 

–  Prova d’identità quale passaporto, patente con foto, carta d’identità o certificato di nascita

–  Prova di validità dell’indirizzo di residenza attraverso documenti come bolletta, estratto conto o estratto conto della carta di credito non più vecchio di tre mesi o patente di guida 

Motivo della richiesta di cancellazione

Dato che la cancellazione dei dati personali, secondo l’art. 17 par. 1 del GDPR richiede che vengano soddisfatte determinate condizioni prima che la richiesta possa essere presa in considerazione, è necessario indicare al proprio interlocutore il preciso motivo per il quale si richiede la cancellazione delle informazioni.

Tra gli esempi di motivazioni valide troviamo:

–  Ritieni che i tuoi dati personali non siano più necessari per gli scopi per i quali sono stati raccolti

–  Non vuoi più acconsentire al trattamento dei dati personali

–  Ti opponi al trattamento dei dati personali come tuo diritto ai sensi dell’articolo 21 del GDPR

–  Ritieni che i tuoi dati personali siano stati trattati e pubblicati illecitamente

–  Ritieni che la presenza dei tuoi dati personali non abbia più alcuna utilità per la comunità e sia venuto definitivamente meno l’interesse per il pubblico.

Quando si applica il diritto all’oblio? La decisione avviene caso per caso

Nonostante siano state definite in occasione del GDPR delle regole precise per l’applicazione del diritto all’oblio, la decisione viene sempre presa a caso per caso, e deve essere opportunamente valutata e circostanziata. 

Infatti, come detto, la protezione della propria privacy personale o dei propri dati deve essere costantemente bilanciata con il diritto di cronaca e il diritto di informare adeguatamente il pubblico di un fatto che abbia utilità o rilevanza. Per questo motivo, ogni domanda può avere un esito diverso.

Normalmente, qualora i dati siano stati effettivamente pubblicati in ottemperanza al diritto di cronaca ma sia passato del tempo ragionevole, è possibile comunque ottenere la cancellazione o la deindicizzazione dei propri dati e del proprio passato. 

Il tempo che viene ritenuto congruo va da un minimo di 2 ad un massimo di 5 anni, ma nuovamente viene di volta in volta stabilito a seconda della situazione personale. A questi tempi, inoltre, possono esserci delle eccezioni in casi particolari, come ad esempio coinvolgimento in processi o condanna per reati particolarmente gravi o nelle situazioni in cui sono state ricoperte delle cariche pubblica dall’interessato. 

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Gli attacchi informatici avvenuti durante la guerra in corso in Ucraina stanno creando un pericoloso precedente per le norme informatiche e la sicurezza delle infrastrutture, secondo la giornalista e autrice Kim Zetter, alla convention Black Hat Usa di Las Vegas.

Chi è Kim Zetter? E’ una giornalista investigativa e autrice americana che si occupa di cybersecurity e sicurezza nazionale dal 1999. Nel corso degli anni ha raccontato numerose storie sulla sorveglianza della NSA, WikiLeaks. Sebbene sia nata negli Stati Uniti, ha iniziato come giornalista in Israele, quando ha vissuto lì per tre anni. Alcuni dei suoi primi articoli sono stati scritti per il Jerusalem Post. Parla inglese ed ebraico e il suo libro sulla Kabbalah è stato pubblicato in più lingue.

“Naturalmente, la situazione in Ucraina è senza precedenti” – ha continuato Zetter – “E questo non intende criticare il Paese per aver fatto ciò che ritiene necessario per difendersi. Ma la comunità della sicurezza e i governi devono essere consapevoli del potenziale percorso a cui questo ci sta portando”.

Nel 2015 le Nazioni Unite hanno incaricato 20 nazioni, tra cui Stati Uniti, Regno Unito, Cina e Russia, di sviluppare linee guida per l’applicazione del diritto internazionale nel cyberspazio, soprattutto considerando la crescente probabilità di attacchi informatici in futuri conflitti. 

Il risultato finale di questa discussione è stato un rapporto che ha delineato il comportamento e i principi consentiti nel cyberspazio e ha messo in evidenza i pericoli derivanti dagli attacchi informatici contro le infrastrutture critiche.

“Hanno convenuto che gli stati non dovrebbero danneggiare intenzionalmente le infrastrutture critiche di altri stati o altrimenti compromettere il funzionamento delle infrastrutture critiche che forniscono servizi pubblici“, ha riassunto Zetter.

“Hanno anche convenuto che gli stati non dovrebbero consentire che il loro territorio venga utilizzato per attacchi informatici contro altri stati e dovrebbero adottare misure per mitigare l’attività dannosa proveniente dal loro territorio quando è rivolta a infrastrutture critiche di altri stati“.

Zetter si è concentrata sugli hacktivist e sui simpatizzanti ucraini.

Poco dopo che la Russia ha invaso e ha iniziato a condurre attacchi di cancellazione dei dati contro organizzazioni e infrastrutture ucraine, il vice primo ministro ucraino Mykhailo Fedorov ha lanciato un appello alle armi per gli hacktivisti volontari per lanciare operazioni informatiche offensive contro la Russia e ha pubblicato un elenco di 31 siti web governativi e commerciali da attaccare.

Il cosiddetto IT Army si è rapidamente mobilitato e in pochi giorni ha lanciato attacchi DDoS contro la borsa di Mosca, il ministero degli Esteri russo e una banca statale. Nel frattempo, l’elenco iniziale di 31 organizzazioni target è cresciuto fino a superare le 600.

Altre bande di criminali informatici, tra cui Anonymous, si sono presto unite a più attacchi DDoS e hack-and-leak e l’elenco delle organizzazioni russe colpite dagli hacktivist è salito alle stelle.

“Inoltre, sembra che ci siano squadre interne che conducono operazioni più sofisticate per l’esercito IT che è composto da personale della difesa e dell’intelligence ucraino, o ha legami diretti con loro e potrebbe anche ricevere incarichi da loro“, ha detto Zetter, citando un rapporto di giugno del ricercatore sulla difesa informatica Stefan Soesanto per il Centro svizzero di studi sulla sicurezza.

Un terzo elemento potenzialmente problematico, secondo Zetter, sono le società di sicurezza di proprietà ucraina dentro e fuori il paese che forniscono strumenti di supporto all’esercito IT.

Questo, ha affermato, include gli sviluppatori dietro disBalancer, un prodotto di test di penetrazione distribuito per aiutare a identificare le vulnerabilità DDoS. A marzo ha lanciato una nuova app chiamata Liberator, che è essenzialmente lo stesso strumento che può essere utilizzato per condurre attacchi DDoS contro i siti web russi.

In quel periodo, un’altra società estone ha lanciato un programma di ricompense alla ricerca di vulnerabilità nei sistemi di infrastrutture critiche russe con l’obiettivo di trasmetterle agli hacktivist ucraini.

“Nonostante il fatto che queste due società abbiano entrambe sede in Estonia, membro della NATO e dell’UE, la loro attività non sembra aver suscitato critiche da parte di altri Stati membri della NATO e dell’UE“, ha affermato Zetter.

“Ovviamente, ci sono circostanze uniche da considerare“, ha aggiunto. Vale a dire: la Russia ha invaso il paese vicino in violazione del diritto internazionale e ha commesso presunti crimini di guerra contro gli ucraini. Inoltre, questi attacchi informatici contro obiettivi russi vengono effettuati durante una guerra.

“Anche l’esercito IT sembra mostrare una certa moderazione nel non distruggere o interrompere i servizi di emergenza russi“, ha detto Zetter.

Ma, ha aggiunto, citando Soesanto: “Questa attività rischia di creare precedenti legali ed etici non intenzionali che potrebbero creare un significativo contraccolpo politico in futuro“.

“E se una società di proprietà russa con sede in Germania organizzasse un programma di ricompense che prende di mira le infrastrutture critiche ucraine e condivide le vulnerabilità scoperte con la comunità dell’intelligence russa? Berlino, Bruxelles e Washington riterrebbero accettabile questo comportamento da parte del settore privato ?” ha chiesto retoricamente Zetter

Inoltre, cosa succede all’esercito IT quando la guerra finisce? Gli hacktivist semplicemente si sciolgono e bloccano tutte le attività informatiche eticamente oscure? Probabilmente no.

“Soesanto afferma che continuare a ignorare l’essenza dell’esercito IT devasterà la futura stabilità del cyberspazio e, con esso, il panorama della sicurezza nazionale in Europa e oltre“, ha affermato Zetter. Nel frattempo, “l’infrastruttura civile è nell’agenda degli aggressori e diventerà solo un obiettivo più grande in futuro“.