Esistono aziende nel mondo che sono in grado di tracciare gli utenti attraverso il loro cellulare. E la geolocalizzazione non si limita alla città, e nemmeno alla zona, ma alla specifica via e numero civico in cui ci troviamo in quel momento. Quali sono queste aziende? che nomi hanno e come gestiscono i dati in loro possesso?

Ve lo diciamo subito: sono enormi, hanno tecnologie potenti ma quanto a segretezza dei dati sono scivolate clamorosamente più volte.

LocationSmart

La prima si chiama LocationSmart: ha sede negli Stati Uniti e lavora per provider di connettività americani come AT&T, Sprint, T-Mobile e  Verizon. “Che ci importa, siamo in Italia!” direte voi. Peccato che l’azienda ha recentemente avuto il permesso di operare anche in Europa e in Italia, per cui la cosa dovrebbe comunque suscitare la vostra attenzione.

Questa azienda ha un tracciamento ultrapreciso sulla specifica posizione degli utenti, e permette di eseguire un controllo in tempo reale: basta raggiungere la pagina dedicata, inserire un nome e un cognome e un numero di telefono da tracciare. LocationSmart a questo punto invia un SMS di verifica al numero inserito chiedendo il permesso di tracciare il dispositivo appoggiandosi alla cella telefonica più vicina, e se ottiene un ok, visualizza in tempo reale la posizione e gli spostamenti.

Peccato che Robert Xiao, uno studente alla Human-Computer Interaction Institute, abbia scoperto un metodo piuttosto facile per riuscire a tracciare gli utenti in maniera anonima e senza passare per la verifica tramite SMS. “Mi sono imbattuto in questa vulnerabilità quasi per caso, e non era così difficile da fare”, ha detto Xiao. “Questa operazione è qualcosa che chiunque potrebbe scoprire con il minimo sforzo. E il succo è che posso rintracciare il cellulare della maggior parte delle persone senza il loro consenso. ”

Senza scendere in dettagli troppo tecnici, Xiao ha eseguito un controllo ripetuto su un numero di cellulare, e dopo pochi tentativi, anche senza sms, ha ottenuto delle coordinate di Google Maps, che gli hanno permesso di seguire silenziosamente la vittima.

Il CEO dell’azienda Mario Proietti, si è affrettato a spiegare: “Il nostro servizio è disponibile per scopi autorizzati. Si basa sull’uso legittimodei dati di localizzazione che avvengono solo sul consenso. Prendiamo sul serio la privacy e accerteremo tutti i fatti e li esamineremo “.

Securus

Nel frattempo, il secondo nome da tenere a mente è Securus Technologies: come ha rivelato il New York Times, l’azienda avrebbe venduto o passato non si sa bene a che titolo, la posizione di ignari utenti ad una stazione di polizia americana.

E fin qui ci starebbe anche, se non fosse che un hacker si sarebbe introdotto nei server di Securus rubando 2.800 nomi utente, indirizzi email, numeri di telefono e password degli utenti Securus. La maggior parte delle credenziali rubate apparteneva proprio alle forze dell’ordine che avevano richiesto i tracciamenti.

Insomma, un pasticcio di sicurezza che ha come vittime finali i nostri numeri di telefono e soprattutto i nostri spostamenti, e le nostre abitudini.

ComCast

Il terzo nome è ComCast: alla maggioranza di voi non dirà nulla, ma negli USA è il numero uno degli operatori via cavo e la sua storia potrebbe riguardare anche noi, visto che sviluppa delle nuove tecnologie pubblicitarie con Mediaset e che vorrebbe addirittura acquisire Sky, che in Italia ha quasi 5 milioni di abbonati.

Ebbene, la stessa Comcast ha rivelato di aver esposto informazioni sensibili sui clienti attraverso un componente vulnerabile del suo sito Web che permetteva di visualizzare addirittura l’indirizzo di casa in cui si trova il router wireless dell’azienda, nonché il nome e la password. Ovvero: qualsiasi hacker che ha ottenuto queste informazioni sa esattamente dove abitiamo.

Queste aziende si comportano male? No, secondo la legge assolutamente no, perchè usano dati attraverso il consenso dell’utente. I principali operatori wireless affermano spesso che non condividono i dati relativi alla posizione dei clienti senza il consenso del cliente o solamente in risposta a un ordine di un tribunale o ad un mandato di comparizione.

Ma basta leggere i regolamenti di queste aziende per accorgersi che semplicemente usando il loro dispositivo wireless i clienti accettano che i loro dati di localizzazione in tempo reale vengano venduti o dati a società terze.

In conclusione: la localizzazione geografica è molto più precisa di quanto non si pensi e le aziende, sempre più vicine anche al mercato italiano, hanno un livello di dettaglio e di controllo immenso.

Perchè sulla nuova normativa GDPR stiamo sbagliando quasi tutto? perchè non l’abbiamo capita.

In quel tempo, le prime normative sulla sicurezza e completezza legale dei siti si limitavano ad esigere la presenza di una pagina per il trattamento dei dati, con l’indicazione e i contatti diretti del titolare. Gli e-commerce dovevano avere la pagine con le politiche di reso e di restituzione, o le condizioni di vendita belle chiare.

Poi, venne il periodo del “bannerino sui cookie“. I cookie che tracciavano il comportamento degli utenti, andavano segnalati con un apposito banner e chi visitava il nostro sito doveva dare esplicito consenso. Fu un periodo “terribile”: domande, richieste, confusione. Su questo Alground intervenì con una intervista esclusiva con il Garante delle Privacy. “Basterà lo scroll della pagina per avere un consenso? o ci vuole un click?” Poi i banner iniziarono a diffondersi e d’altra parte, di ferali multe non se ne sono viste.

Ma il GDPR va ancora oltre. Il regolamento europeo (onestamente difficilissimo da capire) applicato ai siti web, fa sostanzialmente due cose: la prima, estende il concetto di richiesta di permesso molto più in là dei cookie per coinvolgere tutta la gamma completa degli strumenti di monitoraggio. Secondo, sposta completamente la responsabilità ai titolari dei siti. Niente più scuse.

GDPR: amputare i siti o sperare nei tool? Eh no…

Il problema è che stiamo reagendo male. Il primissimo approccio che si legge nei gruppi Facebook o nei blog è “se tolgo questo banner posso non metterlo?” “Se disattivo questo plugin posso fare a meno di richiedere il permesso?“. Insomma, alcuni pensano che la soluzione sia nell‘amputare i propri portali per svicolare dal problema. Ma non è possibile: anche il più elementare degli e-commerce richiede una sfilza di permessi talmente ampia che è impensabile di seguire questa strada.

Bisogna adeguare i siti al GDPR senza sacrificarli.

Poi esistono le soluzioni standard. Todolist da seguire, tool automatici, immensi libri e guide che promettono di aiutare l’utente a mettere il sito a norma. Ma anche questa strada non vale. Non è come per il bannerino dei cookie che basta mettere tutto dentro un plugin e sei a posto. In questo caso la normativa GDPR è talmente complessa e lo spettro dei consensi da ottenere tanto ampio, che non è minimamente pensabile di poter fare qualcosa in automatico.

In questo modo si finirà per essere in regola solamente con una parte del GDPR. Questa o quella normativa, questa o quella pagina della legge. Ma la messa a norma definitiva non si ottiene così.

L’unico vero metodo, difficile da accettare perchè non è adatto agli “impazienti” e la stragrande maggioranza dei webmaster lo sono, è quello di personalizzare.

E’ necessario avere un sito a norma con un adeguamento adatto al TUO settore, calibrato per il TUO sito e per le specifiche attività che solamente TU segui. Non ci sono ricette generalizzate, esiste solo una analisi e una stima precisa, con dei consulenti in grado di interpretare il regolamento e adattarlo alla specifica situazione.

Come una lista della spesa che cerchi di soddisfare i gusti di tutta una città: impossibile, perchè ognuno ha i suoi gusti e il suo proprio modo di cucinare.

Personalizzazione, questa è la chiave, l’unica funzionante.

Allarme per i router, i dispositivi che instradano il traffico dei dati delle nostre connessioni internet. Un nuovo malware ha infettato e compromesso in pochissimo tempo oltre 500.000 router in giro per il mondo.

I ricercatori della Cisco hanno spiegato che il malware, chiamato VPN Filter, si sta diffondendo rapidamente in tutto il mondo a partire dall’Ucraina, che sembra essere la terra natale del virus. Gli esperti spiegano che il malware è in grado di mettersi silenziosamente in ascolto di tutto il traffico e dei dati che vengono scambiati, rubando le credenziali di accesso ai siti internet. Ma il malware ha anche delle capacità “distruttive” che permettono al pirata informatico di danneggiare irrimediabilmente il router della vittima a distanza e in pochi minuti.

Anche se non è pronta una lista completa, ai dispositivi vulnerabili all’attacco di VPN Filter appartengono le marche Linksys, Mikrotik, Netgear, e TP-link. I router più esposti al rischio sono quelli casalinghi e per i piccoli uffici.

“Sia le capacità che la diffusione di questa operazione sono piuttosto preoccupanti” spiegano gli esperti. “Secondo le testimonianze dei nostri clienti, stimiamo che il numero di dispositivi infetti sia di almeno 500.000 in almeno 54 nazioni”.

Pericoloso, distruttivo e si diffonde rapidamente

I ricercatori non sanno precisamente come faccia questo virus a infettare così tanti dispositivi in così poco tempo, ma la Cisco ha osservato che questi router sono affetti da diverse vulnerabilità i cui dettagli sono stati comunicati da tanto tempo pubblicamente e che non sono stati adeguatamente corretti.

Al momento, sebbene l’identificazione della sorgente del virus non sia per niente facile, gli esperti della Cisco hanno osservato che l’organizzazione dell’attacco fa chiaramente pensare ad un gruppo di hacker particolarmente efficienti, con l’obiettivo di creare una rete di dispositivi compromessi per vere e proprie campagne di furto dei dati e dietro di loro, si vede chiaramente la mano di hacker dell’est europa.

In particolare il codice di questo virus ricorda diverse versioni del malware BlackEnergy , che è stato responsabile di diversi attacchi in Ucraina negli ultimi anni. Inoltre gli esperti hanno osservato che VPN Filter, un malware potenzialmente distruttivo, sta infettando i router ucraini in maniera veramente allarmante con l’obiettivo di attaccare le infrastrutture portanti della nazione.

Per rimanere al sicuro,  i consulenti della Cisco, raccomandano agli amministratori e ai proprietari di piccoli router casalinghi o di piccoli uffici di resettare i dispositivi periodicamente e riportarli alle impostazioni iniziali per limitare la presenza del malware.  Nel frattempo, le case di sicurezza stanno lavorando ad una soluzione permanente che potrà essere distribuita agli utenti attraverso un aggiornamento del firmware del router.

Cosa succede quando l’autenticazione a due fattori, il metodo di sicurezza che invia un sms di conferma sul proprio cellulare, si incontra con un gruppo di hacker guidato da Kevin Mitnick, il pirata informatico numero uno al mondo? Semplicemente, l’autenticazione a due fattori alza bandiera bianca.

Le aziende e i consumatori vengono costantemente invitati ad adottare l’autenticazione a due fattori per aumentare la sicurezza dei login ai vari servizi di cui hanno bisogno. Ma questo tipo di tecnologia, che a prima vista potrebbe sembrare invulnerabile, non è priva di punti deboli.

I pirati informatici stanno infatti trovando dei metodi efficaci per ingannare il sistema, utilizzando l’ingegneria sociale, ovvero delle tecniche che ingannando la vittima e la portano a compiere degli errori per poter sferrare attacchi informatici.

Un nuovo meccanismo di aggressione, realizzato da un gruppo di hacker guidato da Kevin Mitnick, l’hacker più famoso di tutti i tempi, ha dimostrato la sua efficacia nel bucare il sistema di autenticazione a due fattori.

Così Mitnick ha bucato l’autenticazione a due fattori

Tutto si basa su uno strumento che venne sviluppato originariamente dall’hacker Kuba Gretzky, che pubblicò un lungo post nel suo blog aprendo la strada alla nuova tecnologia. Il meccanismo si basa sul typosquatting, una pratica in cui gli hacker creano degli indirizzi URL che sembrano in tutto e per tutto simili a quelli originali, e che riprendono siti web che le persone conoscono e di cui si fidano, ma che sono in realtà pericolosi.

Mitnick ha iniziato la sua dimostrazione aprendo una falsa mail da LinkedIn e visualizzando un indirizzo URL malevolo che differiva solo millimetricamente da uno reale. Coloro che si sono lasciati trarre in inganno dal trucco e hanno cliccato sul link presente all’interno della mail sono stati redirezionati una pagina di login dove dovevano inserire il loro username, la loro password ed eventualmente un codice di autenticazione che veniva inviato allo smartphone.

Quello che ha cambiato le carte in tavola è stata la possibilità da parte del pirata informatico di visualizzare in una finestra separata non solo i dati inseriti a schermo dalla vittima, ma anche il codice a 6 cifre che gli era stato appena spedito sul cellulare.

In realtà, gli hacker non utilizzano esattamente le 6 cifre, in quanto non è possibile riutilizzare un codice due volte e se la vittima lo inserisce prima del pirata informatico, questo scade, lasciando l’hacker nell’impossibilità di accedere.

Quello che gli esperti sono stati in grado di fare, è stato piuttosto intercettare i cookie di sessione, (dei piccoli codici per l’identificazione dell’utente ndr). Attraverso la registrazione di questi cookies un pirata informatico non ha più nemmeno bisogno del nome utente e della password o del codice per accedere all’account.

Si può semplicemente inserire la chiave di questo cookie nel browser come se si fosse nei panni dell’utente. Dopodiché, avviando il tool di Gretzky e aggiornando la pagina, si riesce ad entrare nell’account pur senza aver ricevuto il codice di conferma su un dispositivo fisico.

Il sistema non funziona su vasta scala… per fortuna

“Non è la prima volta che l’autenticazione a due fattori viene superata”, racconta Stu Sjouwerman, fondatore e CEO della KnowBe4. “Ci sono almeno 10 modi differenti di superare un autenticazione a due fattori. – spiega Sjouwerman – Sono stati tutti quanti sviluppati in breve tempo e sono conosciuti nel settore, ma non sono stati ancora pubblicizzati alla stragrande maggioranza degli hacker, e per ora sono appannaggio solo di pochi pirati informatici, fra i più esperti.”

Perchè questi attacchi non sono stati utilizzati su vasta scala? Il punto è che per eseguire una procedura di questo tipo bisogna essere degli hacker particolarmente abili, e bisogna preparare manualmente il codice per la specifica persona che si sta attaccando. E’ insomma un attacco one-on-one e non può essere organizzato su vasta scala per coinvolgere una massa di utenti in poco tempo.

Questa, per ora, l’unica salvezza: ma se un domani dovesse essere individuato un metodo per automatizzare il sistema, la sicurezza informatica si troverebbe priva di uno degli strumenti più diffusi ed efficaci… e sarebbe una catastrofe.

Amazon sta vendendo una sistema di riconoscimento facciale alle forze di polizia americana nelle cittadine di Oregon e Orlando per pochi dollari al mese.

Secondo alcuni documenti che sono stati ottenuti dalla organizzazione per le libertà civili della California del nord, Amazon ha sviluppato e sta vendendo una tecnologia conosciuta come Rekognition, assieme ad altri servizi di consulenza per l’identificazione delle persone.

Così il riconoscimento facciale di Amazon ci identifica uno per uno

I documenti rilasciati indicano nel dettaglio come funziona il software di Amazon: si tratta di un programma in grado di identificare fino a 100 persone all’interno di una folla di migliaia. Ad esempio, l’ufficio di polizia dell’Oregon ha costruito un database di 300.000 immagini di sospetti criminali che Rekognition è stato incaricato di cercare durante manifestazioni ed altri eventi pubblici. Lo stesso meccanismo potrebbe essere installato direttamente su piccole videocamere in dotazione ai poliziotti per identificare immediatamente dei sospettati di cui non potrebbero ricordare i dettagli a memoria.

Al momento attuale non si sa ancora quanti criminali siano stati identificati con questo metodo e quanto Rekognition abbia concretamente aiutato la polizia, né quanto siano accurati i suoi risultati. Ma sembra che la polizia non si stia basando interamente su questo strumento per decidere se fermare o meno una persona, ma che si tratti semplicemente di uno strumento aggiuntivo che può aiutarli nel loro lavoro.

Il servizio sembrerebbe costare dai sei ai dodici dollari al mese.

Amazon ha rilasciato il software Rekognition nel novembre del 2016, con la promessa che i suoi clienti avrebbero potuto sfruttare le tecnologie di intelligenza artificiale per analizzare miliardi di immagini e video ogni giorno, a puri scopi di sicurezza. Allo stesso modo i marketer potrebbero utilizzare il software di riconoscimento facciale per personalizzare la pubblicità,  mentre gli sviluppatori di applicazioni per gli incontri potrebbero appoggiarsi al programma per identificare contenuto esplicito o indesiderato condiviso dagli utenti.

L’allarme: violazione della privacy e schedatura senza controllo

Ma a lanciare l’allarme è Nicole Ozer, direttore del gruppo per le libertà civili e tecnologiche della California del nord. “Una volta che un sistema di controllo così potente è stato costruito e sviluppato, non si può più tornare indietro. Potenzialmente, il programma potrebbe essere utilizzato per tracciare dissidenti politici e persone che protestano, o immigrati e spiare chiunque nei paraggi.”

Le due città americane hanno adottato questa tecnologia senza aver avviato alcun confronto con i cittadini nè diramato alcun avviso. Per questo motivo un gruppo di attivisti per i diritti politici ha scritto nei giorni scorsi una lettera chiedendo ad Amazon di interrompere il programma in quanto potrebbe ledere i diritti di riservatezza di tutta la comunità. “Chiediamo che Amazon interrompa questo tipo di collaborazione con il governo, che mette a grave rischio la privacy di tutta la comunità”, si legge nella lettera.

Zahra Billoo, responsabile dei diritti degli islamici americani, uno dei firmatari della lettera che chiede la sospensione del software, spiega che molte persone potrebbero essere fermate perchè riconosciute da Rekognition, ma che queste non avrebbero ancora una condanna definitiva e sarebbero di fatto innocenti fino a prova contraria. Questo significa che un loro inserimento all’interno del database sarebbe una violazione dei diritti civili, in quanto inclusi in un sistema di sorveglianza anche se ancora tecnicamente innocenti e senza avere ancora alcuna condanna passata in giudicato.

Secondo Billoo, Amazon sta contribuendo a questa serie di violazioni rendendo più facile per i poliziotti scannerizzare persone senza dei minimi diritti di privacy.

Amazon: nessuna violazione, nessun abuso

Il portavoce di Amazon, Nina Lindsey ha però cercato di calmare immediatamente gli animi. “Amazon –  spiega la responsabile –  rispetta tutte le leggi attualmente in vigore e fa un uso responsabile della tecnologia” riferendosi alla Amazon Web Services, la compagnia di software Cloud che si dedica allo sviluppo del programma di riconoscimento facciale. “Nel momento in cui i nostri servizi vengono utilizzati in maniera abusiva da un nostro cliente, interrompiamo immediatamente la possibilità di appoggiarsi alla nostra tecnologia.”

La portavoce ha precisato che la tecnologia di riconoscimento facciale di Amazon ha molti risvolti positivi e che i clienti, le forze di polizia, la stanno utilizzando per individuare persone in luoghi pubblici e per ricercare bambini scomparsi. Ad esempio, durante il matrimonio reale dello scorso fine settimana, alcune divisioni della polizia hanno utilizzato il software Rekognition per identificare gli ospiti del matrimonio, e verificarne la sicurezza.

Nel frattempo, il deputato americano Jeff Talbot ha studiato il funzionamento del programma e ha sottolineato come in realtà le immagini contenute nel database del software siano già pubbliche, e che il programma si limita semplicemente a permettere ai poliziotti di scannerizzare le persone istantaneamente per comparare il loro volto con l’elenco degli attuali sospettati, il che potrebbe essere un contributo molto valido per la sicurezza pubblica.

“Il nostro obiettivo è quello di informare gli agenti di polizia per risolvere i crimini. Non si tratta di uno strumento di sorveglianza di massa o di controllo indiscriminato” – spiega ancora Amazon.

La tecnologia, comunque, sta attirando nuovi clienti. La Axon, produttrice di pistole elettriche e di videocamere indossabili per la polizia, ha dichiarato interesse nell’utilizzare il metodo di riconoscimento facciale sviluppato da Amazon, ricevendo dagli attivisti della privacy analoghe critiche.

Sembra quindi non fermarsi la pioneristica corsa di Amazon. La società guidata da Jeff Bezos, è una delle più grandi compagnie che sta investendo e vendendo intelligenza artificiale come il riconoscimento facciale e lo scanning di immagini per clienti business. Microsoft offre un servizio Rivale chiamato Facial Recognition AI: sembra che quest’ultimo meccanismo abbia addirittura l’abilità di scansire le emozioni sui volti delle persone nel momento in cui lasciano gli Store e i magazzini ufficiali della azienda, ai fini dello studio del comportamento dei clienti.