Diversi password manager per Android presentano problemi di sicurezza

Con l’incremento dei servizi online e non solo, le password hanno acquisito sempre maggior importanza: chiavi di accesso non solo per i nostri account social, ma per conti bancari e informazioni sensibili; così come per l’importanza, l’aumento dei servizi online ha incrementato il numero stesso di password da tenere a mente, che spesso sono così tante da richiedere l’ausilio di altri servizi per non dimenticarle: parliamo di password manager, e della loro sicurezza.

I password manager sono servizi che promettono di ricordare per noi le nostre password, oltre che proteggerle: ma anche questi servizi, ad esempio sotto forma di applicazioni Android, potrebbero essere l’obiettivo di qualche malintenzionato, in grado con un semplice “hack” di appropriarsi di tutte le nostre password, in un colpo solo.

A quanto pare, stando ai controlli effettuati dai ricercatori di TeamSIK, alcuni password manager non sarebbero proprio a prova di bomba; i ricercatori sono stati infatti in grado di scovare almeno un problema nella sicurezza di ben 9 applicazioni che offrono questo servizio, tutte offerte sul Play Store:

• MyPasswords
• Informaticore Password Manager
• LastPass Password Manager
• Keeper Password-Manager
• F-Secure KEY Password Manager
• Dashlane Password Manager
• Hide Pictures Keep Safe Vault
• Avast Passwords
• 1Password – Password Manager

Insomma, la scoperta di alcuni problemi non significa che le vostre password siano già in mano a qualche malintenzionato, ma semplicemente che potrebbero non essere così tanto al sicuro come pensavate; se volete approfondire l’argomento, vi consigliamo di leggere l’intero report di TeamSIK.

Fonte: tuttoandroid.net

Gli attacchi informatici più dannosi del 2016, mese per mese

Da Verizon a Yahoo!, da Ashley Madison ad Adult Friend Finder, dalla NSA all’FBI fino ai DNCLeaks: storia di un anno vissuto pericolosamente

Richard Stennion, autore di There Will Be Cyberwar, ha detto che “il 2016 sarà ricordato come l’anno più importante per l’evoluzione dei nation state attacks,” e che lo spionaggio cibernetico è da tempo uno degli strumenti più importanti per hacker e servizi segreti, invitando tutti a migliorare il proprio livello di sicurezza informatica per il nuovo anno.

Difficile dargli torto visto che l’anno è cominciato con il furto dei dati di 20 mila impiegati dell’FBI e finito con gli strascichi delle interferenze russe nelle elezioni presidenziali americane.f

2016, un databreach dopo l’altro

Tuttavia bisogna ricordare che durante tutto il 2016 massicci databreach aziendali hanno colpito le maggiori compagnie mondiali, mettendo a rischio la privacy di moltissimi utenti: dal miliardo di account rubati a Yahoo! ai furti di dati personali e numeri di carte di credito ai danni di Ashley Madison, Adult Friend Finder, LinkedIn, Dropbox, Twitter eccetera.

A commettere questi furti sono stati non precisati “hacker” un termine passepartout per indicare negli esperti di reti e computer gli autori delle intrusioni. Noi preferiamo chiamarli cracker, malevolent hacker o criminali informatici e la parola hacker nel nostro elenco si riferisce esattamente a questi ladri informatici. La galassia hacker infatti è assai più complessa e ricca di professionisti che dedicano la loro vita a migliorare le difese informatiche di stati e aziende: li chiamano anche white hat hacker, blu hat hacker, ethical hacker.

FEBBRAIO

U.S. Department of Justice Febbraio 9, 2016: Per protestare contro l’appoggio statunitense alle politiche israeliane contro il popolo palestinese hacker non identificati nel febbraio del 2016 si sono introdotti nel database Dipartimento di Giustizia Usa. Secondo quanto riportato dalla CNN gli hacker hanno in seguito diffuso online i dati relativi a 10.000 impiegati del Dipartmento per la sicurezza nazionale e successivamente quelli di 20 mila impiegati dell’FBI. Le informazioni riguardavano nomi, ruoli, numeri telefonici e indirizzi email.

MARZO

Snapchat Il 3 marzo del 2016 con un attacco di phishing vengono sottratte le informazioni personali di 700 impiegati di Snapchat facendogli credere che il direttore dell’azienda di messaggistica istantanea, Evan Spiegel, voleva da loro informazioni come nomi, numeri della sicurezza sociale, e buste paga.

Verizon Enterprise Solutions Il 25 marzo 2016 si scopre che i dati di un milione e mezzo di clienti Verizon sono stati sottratti da hacker ancora anonimi. I dati messi in vendita in alcuni forum underground sono stati rintracciati dal giornalista di cybersecurity Brian Krebs. Verizon ha confermato il databreach e l’intenzione di avvertire ogni cliente interessato.

MAGGIO

5 Maggio 2016: Una società di cybersecurity di Milwaukee, la Hold Security, rivela l’avvenuta diffusione di 270 millioni account email completi di username e password nell’underground criminale russo. Hold, che li ha individuati, ne ha contati 57 millioni di Mail.ru, provider russo, 40 milioni di Yahoo!, 33 di Hotmail, e 24 da Gmail.

I dati sarebbero stati diffusi a titolo gratuito e senza controparte economica. Secondo gli esperti centinaia di migliaia di account erano relativi a provider cinesi e tedeschi e le combinazioni username/password trovate erano appartenenti a impiegati di banca e del commercio al dettaglio.

LinkedIn. Il 17 maggio del 2016 è stato scoperto un furto massiccio di dati personali risalente al 2012 ai danni della piattaforma per servizi professionali Linkedin. Anche stavolta la segnalazione è venuta da Krebs onn security. Si tratterebbe di 117 milioni di dati relativi a email e password degli utenti contenuti nello stesso database.

GIUGNO

DNCLeaks Lo scalpore suscitato dal ripetuto furto delle email di alcune figure prominenti del Comitato Nazionale Democratico ha creato una nuova voce per i vocabolari di informatica: DNCLeaks. Insieme ad altri furti di dati, la diffusione di tali email avrebbe compromesso la vittoria di Hillary Clinton nelle presidenziali americane.

I guai per Hillary e i democratici cominciano a metà giugno quando l’azienda di cybersecurity Crowdstrike rende nota la violazione del database del Comitato nazionale democratico e un gigantesco furto di dati, attribuito a due gruppi hacker russi. Oggetto del furto sono 19.250 email con 8mila allegati del Comitato elettorale democratico successivamente pubblicate da WikiLeaks.

LUGLIO

Ashley Madison Il 19 luglio TheHackerNews riporta la notizia che il sito di incontri erotici Ashley Madison è stato oggetto di un attacco che ha esposto al pubblico i dati personali di 37 milioni di utenti, incluse carte di credito e numeri telefonici. La società proprietaria del brand è stata multata di $1.6 di dollari per non aver protetto adeguatamente la privacy dei propri clienti.

AGOSTO

NSA hack Si viene a sapere che gli Shadow Brokers sono venuti in possesso di strumenti per lo spionaggio cibernetico usati dalla National Security Agency: in particolare cyberweapons e trojan. Il gruppo hacker li ha poi messi in vendita sul web.

SETTEMBRE

Yahoo! La società acquisita da Microsoft e specializzata in servizi di corrispondenza digitale Yahoo! rivela di essere stata vittima di un vasto data breach. Il furto riguarderebbe 500 milioni di account rubati nel 2014. La notizia compromette la vendita della società a Verizon che ritenendosi danneggiata chiede uno sconto sul suo acquisto.

Dropbox Settembre 2, 2016: Dropbox, servizio per l’immagazzinamento di file rivela un databreach imponente ai danni dei suoi clienti. Risalente al 2012, gli account sono stati usati fino al 2016 mettendo a rischio 68 milioni di utenti.

OTTOBRE

Dyn Servers. La botnet Mirai  il 21 ottobre con un attacco DDoS (Distributed Denial of Service) mette offline  mezza East Coast degli Stati Uniti rendendo impossibile usare i servizi di Twitter, Amazon, Netflix, New York Times, per diverse ore, con un attacco ai DNS server della società DYN con effetti che si sono sentiti anche in Europa. Mirai lo ha fatto reclutando una botnet di circa 100.000 telecamere connesse a Internet basate su schede della cinese XiongMai Technologies, tutte con lo stessa username e password.

NOVEMBRE

AdultFriendFinder Il 13 Novembre 2016 AdultFriendFinder, sito per incontri sessuali tra adulti viene preso di mira dagli hacker per la seconda volta in due anni. Vengono rubate le credenziali di 412 milioni di utenti, pubblicate e messe in vendita in anonimi marketplaces del dark web compresi di status utente, email e cronologia di navigazione. AdultFriendFinder non ha mai voluto confermare la rivelazione di LeakedSource.

San Francisco Municipal Transportation Agency Il 25 Novembre 2016 un attacco al sistema informatico dell’autorità per il trasporto pubblico di San Francisco, Muni, blocca per due giorni i sistemi di pagamento della metropolitana facendo viaggiare gratis i pendolari. Ma gli hacker rivendicano di essere entrati in possesso di 30GB di dati degli impiegati e degli abbonati chiedendo un riscatto di 100 Bitcoins, circa $73,000 dollari.

DICEMBRE

Yahoo! Il 14 dicembre del 2016 Yahoo! annuncia che imprecisati hacker al soldo di uno stato non identificato hanno rubato nomi, indirizzi email, numeri di telefono, date di nascita e domande e risposte di sicurezza criptati o in chiaro da più di 1 miliardo di account. L’attacco risalirebbe al 2013 ma non avrebbe compromesso dati finanziari.

Fonte: startupitalia.eu

Un utente su tre apre le email truffaldine

Foto: Getty Images

È solo uno dei (preoccupanti) dati del nuovo rapporto Verizon sulla sicurezza digitale. Ma dentro abbiamo trovato cose ben peggiori

“Vede, l’elemento umano è, da sempre, quello più vulnerabile perché l’unico a essere vittima della curiosità”. Laurance Dine, della Verizon Investigative Response Unit, è schietto e cortese, mentre commenta i risultati del Verizon 2016 Data Breach Investigations Report. Si tratta dell’annuale rapporto che mette in luce i dati sulla sicurezza digitale nei primi mesi di quest’anno. E gli esiti non sono così buoni. Indovinate la causa?

Il phishing è, di sicuro, la minaccia principale nel ramo della sicurezza e il rapporto lo mostra in modo evidente”, continua Dine. Si riferisce alla pratica di inviare email farlocche che invitano ad accedere a siti malevoli, del tutto identici a quelli ufficiali, lasciando i propri dati e dando il via a un attacco. O, in alternativa, si tratta di email che invogliano a cliccare su un link, o aprire un allegato, attivando un malware, spesso un software-spia. Dal rapporto, infatti, emerge che ben il 30% di questo tipo di email viene aperto, con un incremento del 23% rispetto al 2015.

Questo perché le email di phishing si fanno sempre più furbe e credibili, tanto che si parla di spear-phishing, cioè email malevole confezionate su misura per colpire un preciso bersaglio. Questo spiega anche perché ben il 13% di utenti che riceve di queste email clicca su allegati e link. A quel punto, il criminale di turno ha gioco facile: stando al rapporto Verizon, infatti, nel 93% dei casi impiega meno di un minuto per compromettere un sistema, mentre nel 28% dei casi è necessario qualche minuto per portare a termine un completo furto di dati e documenti. Questo, semplicemente, aprendo una email che non si dovrebbe aprire.

In realtà, il “fattore umano” sa essere ancora più meschino. O meno furbo, se vogliamo: sempre stando al rapporto di Verizon, il 63% delle violazioni rilevate è causato da password deboli o troppo comuni. Che non soddisfano, insomma, le classiche regoline del mai banale, con almeno otto caratteri, con minuscole, maiuscole, numeri e simboli. Volendo, però, c’è di (molto) peggio: il 23% degli errori che il rapporto classifica come “altri”, consiste nell’inviare dati personali o sensibili a… destinatari sbagliati. Insomma, a volte gli attacchi si cercano per forza. E questa leggerezza, questa mancanza dei più basilari criteri di buona condotta informatica, ovviamente contribuisce al successo dei sempreverdi ransomware: che segnano un bel +16% rispetto al 2015. Però ci sono due buone notizie: la prima è che il rapporto di Verizon sottolinea come il mondo mobile e quello dell’Internet of Things, nei primi mesi del 2016, non hanno rappresentato terreno fertile per le principali minacce (anche in contrasto rispetto ad altri rapporti di questo tipo); la seconda è che, tutto sommato, prevenire gli attacchi è piuttosto semplice. Verizon suggerisce alcuni consigli un po’ più originali del solito. Tra questi: 1) Imparare quali sono le principali minacce informatiche, per modulare la difesa verso quelli che colpiscono in modo specifico il proprio settore;
2) Quando possibile, attivare l’autenticazione in due passaggi;
3) Utilizzare la crittografia per i dati più importanti;
4) Monitorare l’utilizzo di un sistema anche se si è gli unici a utilizzarlo.

Il rapporto 2016 di Verizon è disponibile a chiunque voglia consultarlo (richiede una semplice registrazione), ed è basato su oltre centomila incidenti informatici. Qui, invece, un video per togliersi la curiosità di sapere cosa accederebbe a rispondere a un’email truffaldina di queste.

Fonte: Wired - Autore: Riccardo Meggiato

Come è facile hackerare le videocamere di sicurezza

Sodan è un motore di ricerca un pò particolare, che va a caccia di gadget connessi alla cosidetta "Internet delle Cose": un frigo per invitarti via email l'elenco di ciò che manca, o un sistema di videosorveglianza connesso al web, per controllare casa mentre sei in vacanza, sono ottimi esempi. Se avete tempo, registratevi e vedete cosa succede.

  

A questo punto, ci sono due notizie buone e una cattiva. La prima buona è che l’Internet delle Cose migliorerà davvero la nostra vita. La seconda è che non sarà un fenomeno passeggero se, come racconta uno studio di BI Intelligence, per il 2019 ci ritroveremo 6,7 miliardi di aggeggi di questo tipo, capaci di generare un mercato da 1700 miliardi di dollari. Adesso arriva la cattiva notizia: l’Internet of Things è così spinta dai produttori, che nella loro corsa affannata a conquistare per primi il mercato si son scordati della sicurezza. Per farla breve: i dispositivi dell’Internet of Things rischiano di essere dei colabrodo.
 Il problema delle webcam
Non ci credete? E qui torniamo a Shodan, non si scappa. Iscrivendosi al motore con la formula a pagamento, si ha accesso, per esempio, a una moltitudine di webcam. Alcune consapevolmente pubbliche, altre decisamente no. Parliamo, per dire, di webcam puntate su culle per tenere d’occhio i figli dall’altra parte della casa. Oppure di webcam puntate su coltivazioni di marijuana, di modo che il produttore abbia sempre sotto controllo come procede la crescita delle piantina. Perfino webcam di videosorveglianza privata, e sia mai che alcune non puntino su sportelli ATM dando modo di risalire ai codici PIN. A quel punto, basta rubare la carta e si procede al prelievo… abusivo.
Ecco, quello delle webcam è un tema molto sentito tra gli esperti di sicurezza informatica, anche da prima dell’avvento dell’IoT, ma il nuovo trend ha amplificato il problema. In particolare, viene messo sul banco degli impuntati il famigerato protocollo Real Time Streaming Protocol, anche detto RTSP 554, cioè una tecnologia che consente in effetti di pubblicare riprese da webcam sulla Rete, ma senza alcun tipo di autenticazione. Così uno pensa di utilizzare la webcam per i suoi affari privati, e invece il flusso d’immagini è visibile da chiunque lo desideri. Se volete un assaggio, gratuito, dopo esservi iscritti alla versione base di Shodan, andate a questo link e godetevi lo spettacolo.
Nel momento in cui scrivo ce n’è per tutti i gusti: strade pubbliche (e fin qui), uffici (e va bè), case private, stanze di bambini e palestre. Quello delle webcam è uno dei tanti problemi di sicurezza che rischiano, sempre più, di palesarsi con la diffusione dell’Internet delle Cose. E mentre l’International Standards Organization cerca di adattare le norme ISO 27000 all’ambito della IoT, e la IEEE lavora a tecnologie che garantiscano la sicurezza di questo dispositivi, si allunga la lista di vulnerabilità e criticità che, a oggi, dovrebbero far tirare un po’ il freno a mano al settore. Oltre alle webcam, il riferimento primario sono le automobili, dove non si contano gli “hack” che consentono di accedere a un veicolo da remoto, arrivando perfino a prenderne il controllo.

Anche le bambole
È dello scorso dicembre la notizia secondo cui perfino una bambola sviluppata sul modello dell’IoT era hackerabile.

In pratica, Hello Barbie consente a un bambino di conversare col giocattolo, sfruttando un sistema cloud del tutto simile a Siri e a Cortana, chiamato ToyTalk. Il ricercatore Andrew Hay, tuttavia, ha scoperto in questa Barbie una serie di vulnerabilità che portano addirittura all’intercettazione delle comunicazioni del bambino. Il bambino parla con la bambola, ma è possibile ascoltarlo anche da remoto, sfruttando un ben noto bug che colpisce la crittografia SSL. Un banale errore, che però porta a una considerazione importante: di fatto, l’Internet of Things non aggiunge niente di nuovo dal punto di vista tecnologico, ma sfrutta per buona parte tecnologie già esistenti. È dunque necessario pensare a come queste tecnologie si comportano in questo settore, così diverso da quelli abituali dove sono utilizzate. E i rischi che ne possono derivare.
Protocolli (webcam) e bug noti da risolvere (SSL), sono due degli esempi dei problemi endemici dell’attuale generazione di dispositivi IoT, ma l’elenco non si esaurisce qui, ovviamente.
 Problemi per tutti
Il problema degli aggiornamenti è quanto mai stringente anche in questo campo, come se già non lo fosse abbastanza nel ramo di computer, smartphone e tablet. Il concetto è molto semplice: se il dispositivo dell’Internet delle Cose poggia su un router per interfacciarsi al web, il router diventa l’apparecchio da tutelare a tutti i costi. Quello dove erigere la barriera più efficace. E invece la scarsa disponibilità di aggiornamenti rilasciati dai produttori rischia di moltiplicare spiacevoli situazioni, come la vulnerabilità che l’anno scorso ha attanagliato D-Link e che consentiva di prenderne il controllo, gestendo i dati che fluttuavano verso i dispositivi wireless. Pensate alle conseguenze, in una casa controllata da dispositivi connessi alla Rete. Ma i problemi non si limitano al solo software.
La corsa all’Internet delle Cose non ammette pause nemmeno tra i progettisti hardware, che spesso e volentieri privilegiano il design e le caratteristiche di grido alla sicurezza. Ne è un esempio la così detta vulnerabilità Rowhammer. In breve: il Project Zero Team, il team di Google dedito alla ricerca sulla sicurezza, ha scoperto che scrivendo dei dati, ripetutamente, in alcuni moduli di RAM, era possibile scavalcare le protezioni del sistema operativo di un apparecchio. Per quante protezioni si possano infilare nel sistema operativo, insomma, se un apparecchio usa quelle RAM è possibile bypassare i controlli e prendere il controllo del dispositivo. E il brutto è che sistemare un bug hardware non è così semplice, e spesso e volentieri è necessario sostituire proprio il componente fisico.
C’è chi ha risolto il problema in modo brillante, anche se ovviamente si tratta di mettere una pezza su una questione più complessa. Tra questi Bitdefender con la sua BOX, un apparecchio che si interpone tra router e dispositivi IoT, controllando il traffico dati, rivelando operazioni sospette e, nel caso, bloccandole. Un firewall smart, in pratica, ma un po’ più raffinato di quelli abitualmente integrati nei router domestici.
Infine, occhio alle interfacce. Quelle pagine web che utilizziamo per accedere, a distanza, ai nostri favolosi aggeggi IoT, non si prendono ancora abbastanza cura della sicurezza. Si deve pensare all’IoT, e i dati di mercato menzionati all’inizio lo confermano, come a un fenomeno di massa. Che, quindi, raggiungerà anche persone che faticano a utilizzare password diverse da “password” o “123456”. Occorre forzare il meccanismo e obbligarle a pensare a password migliori, mentre le interfacce IoT attuali ne accettano anche di cinque o sei lettere, e cioè crackabili in qualche giorno al massimo. Non ci credete? E allora ditemi: vi siete mai preoccupati di verificare che la password del vostro router non sia ancora “admin”, cioè quella di fabbrica?

Fonte: Wired - Autore: Riccardo Meggiato

 

Ecco il piano di Google per eliminare la password

Project Abacus è l'ambizioso progetto di Mountain View per eliminare definitivamente la password, sostituendola con l'autenticazione via smartphone attraverso la lettura di parametri biometrici dell'utente.

Tra i grandi progetti di Google per il 2016 c'è anche Project Abacus. Si tratta dell'ambizioso progetto di Mountain View per eliminare definitivamente la password, sostituendola con l'autenticazione via smartphone attraverso la lettura di parametri biometrici dell'utente. Abacus vorrebbe bloccare o sbloccare i dispositivi e le applicazioni basandosi su quello che gli apparecchi sanno sul proprio utente, ovvero attraverso un trust score. Il telefono infatti monitora continuamente e riconosce i luoghi che frequentiamo, la nostra voce, la parlata, il modo in cui camminiamo e il nostro volto (tra le altre cose).

Durante la conferenza I/O di Google, Regina Dugan ha affermato che con il suo metodo trust score, Project Abacus, "può rivelarsi dieci volte più sicuro di un semplice sensore di impronte digitali". E non è difficile credere che sia vero. Per tenere lontani i pirati informatici e i cybercriminali, la password è una soluzione gestibile che può variare da debole a forte. I normali sistemi di password sono considerati i più deboli, specialmente quelli che richiedono una password breve e semplice.

L'autenticazione a due fattori è l'ultima moda, dove ad ogni tentativo di accesso l'utente si vede recapitare sul telefono un SMS con un codice di sicurezza aggiuntivo, da inserire sul primo dispositivo per completare la procedura di accesso. E poi abbiamo le impronte digitali, che sono molto sicure e onerose da imitare, anche se un'impronta digitale può essere ottenuta con la forza. Ma, a differenza di tutti questi metodi. Tutti i dati e il monitoraggio costante necessario per Abacus sta già avvenendo attraverso lo smartphone.

Per permettere ad Abacus di utilizzare le nostre informazioni come un sistema di sicurezza, basterebbe mettere tutti i parametri insieme. Tuttavia, è richiesta anche la costante sorveglianza invasiva e l'accesso ad alcuni documenti piuttosto intimi. Una grande idea, un po' spaventosa nella vita reale, ma ormai i giganti della tecnologia sanno tutto di noi.

Fonte: Fastweb via engadget.com

Mai più password da ricordare con Everykey

La memoria può attendere: una chiavetta sblocca servizi e dispositivi con la sola prossimità

Altro che doppie chiavi d’accesso: qui non ne serve neanche una. John McAfee – quello dell’Antivirus, esatto – ha inventato Everykey, un dispositivo che sblocca automaticamente prodotti e servizi che necessitano di password, con la sola prossimità.

Ecco come funziona: la chiavetta è una chiave d’accesso per device (telefono, computer, ma anche la porta di casa). Basta avvicinarsi all’oggetto in questione. Appena il soggetto si allontana, si riattiva il blocco. E se si perdesse, si può facilmente “congelare”, fino al recupero, in modo che non possa essere usata da altri.

Il progetto, a 13 giorni dalla fine della campagna, ha già accumulato oltre 60mila dollari su Indiegogo. Il prezzo va dai 128 dollari in su.

Fonte: Wired - Diletta Parlangeli

Dieci cose da dire ai figli prima di dare loro uno smartphone

Prima o poi viene il momento in cui i figli chiedono ai genitori uno smartphone.

Spesso i genitori non hanno la più pallida idea di cosa si possa fare con uno smartphone, per cui la società di sicurezza informatica Intego ha pubblicato una lista molto condivisibile di dieci raccomandazioni per genitori, da dare ai figli in questa tappa importante della loro comunicazione sociale. Questa è la mia versione leggermente reinterpretata.Naturalmente non c'è nessuna garanzia che le raccomandazioni vengano rispettate, ma perlomeno avrete definito chiaramente dei paletti che indicano cosa è accettabile e cosa non lo è.

1. Procurati una custodia protettiva. A differenza dei telefonini normali, gli smartphone sono dannatamente fragili per via delle loro ampie superfici in vetro.

2. Quando sei in aula, concentrati sull'insegnante, non sul telefonino. Spegnilo o mettilo in modalità silenziosa in modo che non squilli durante la lezione.

3. Se ti chiamo e non mi rispondi o non mi richiami ci saranno delle conseguenze. Lo smartphone ti è stato comprato per permetterci di restare in contatto con te, non per giocare ad Angry Birds e chattare solo con gli amici. Rassegnati.

4. Non usare lo smartphone quando cammini o vai in bici o guidi la moto o l'auto. Specialmente per mandare messaggi o ascoltare musica in cuffia a tutto volume. Se ti devo spiegare perché, abbiamo un problema.

5. Non usare lo smartphone per scrivere online cose che non vorresti che leggesse la nonna, e ricordati che le cose messe in Rete ci restano per sempre.

6. Proteggi il tuo smartphone con una password. Contiene tutti i tuoi dati personali e le tue foto, per cui se qualcuno te lo prenderà per curiosare se la spasserà se non l'hai bloccato.

7. Non condividere le password. Specialmente con gli amici; le amicizie passano, le password restano. Scrivile da qualche parte: non nel telefonino, ma su un foglio di carta, magari in una busta chiusa, da tenere in un cassetto a casa.

8. Non fare foto che non faresti vedere ai tuoi genitori. Se qualcuno te le ruba, o se le mandi a qualcuno, rischiano di girare per sempre in Rete e causarti imbarazzi per anni.

9. Non collegarti ai Wi-Fi aperti. Possono intercettare quello che fai. Usa la trasmissione dati cellulare.

10. Abbiamo attivato i filtri e i controlli parentali. Servono per ridurre il rischio di brutti incontri, per proteggerci da bollette salate per l'acquisto di app e di accessori nei giochi e per non farti passare tutta la giornata incollato al telefonino.

Infine una raccomandazione per genitori: date il buon esempio e seguite anche voi queste regole. Scoprirete che rispettarle è difficile tanto quanto imporle. Buona fortuna.

Fonte: (C) by Paolo Attivissimo - www.attivissimo.net

Sicurezza d’autunno, 10 brividi

Abbiamo raccolto 10 tra minacce, vulnerabilità, segnalazioni (con qualche consiglio) cui prestare attenzione, selezionate dal nostro team di esperti in relazione alla loro diffusione negli ultimi giorni. In alcuni casi, si tratta semplicemente di curiosità raccolte nel cyberspazio, in grado di far riflettere su come il problema del crimine informatico non riguardi oramai solo privati  e aziende, ma sia un sistema utilizzato dai governi per mettere in difficoltà i Paesi nemici, oppure ancora, come basti poco per “suggestionare” la società e sfruttare le sue debolezze. Tra l’altro, quando alle vulnerabilità si rimedia con patch non del tutto adeguate, il cybercrime è talmente evoluto da essere in grado di sfruttare ulteriormente queste lacune per sferrare altri attacchi. Pensate poi nell’era di Internet of Things  e delle tecnologie M2M come potrebbero risultare esposti anche gli oggetti che utilizziamo tutti i giorni. Avete già i brividi? Ecco quindi le novità più importanti selezionate per voi.

1. Il virus Ebola riesce a far vittime non solo reali, ma anche nel mondo dei cibernauti. Dovevamo aspettarcelo. Più fonti sul Web segnalano l’ondata di spam (per ora non endemica) con finti suggerimenti per la sicurezza sanitaria che sarebbero  inviati dall’OMS (e ovviamente non lo sono). Le email contengono il trojan DarkComet Rat (questo sì per nulla nuovo). Una volta installato, il vostro computer diventa vulnerabile esponendo i dati in transito per esempio attraverso webcam e microfoni. Il buon senso vi sia sempre di aiuto, l’OMS non invia i consigli sanitari via email!

2. Solo questo martedì, il patch day di Microsoft prevedeva per i suoi sistemi la patch MS114-060, che riguardava il sistema a oggetti OLE. Questa patch non si è rivelata abbastanza robusta tanto che a distanza di poche ore la vulnerabilità è stata sfruttata ancora e sono stati segnalati attacchi contro Taiwan da parte di hacker cinesi. Ancora prima una vulnerabilità simile era già stata sfruttata dalla criminalità informatica russa –  che fa riferimento al Sandworm Team – per attaccare, tra gli altri, anche alcuni organismi della UE.

3. Android con la sua diffusione ha meritato tutta l’attenzione possibile e immaginabile degli hacker. Pochi giorni fa è emersa una vulnerabilità che permette di inserire malware nelle immagini. La vulnerabilità riguarda Android 4.4.2. L’attacco dimostrativo, AngeCryption, ha evidenziato come sia possibile nascondere un APK (Android Package) infetto dietro un’immagine sfruttando la crittografia AES, procedura per cui identificare l’immagine infetta diventa decisamente laborioso. Il consiglio di Google, è sempre il medesimo: utilizzare esclusivamente app da Play store. Non è detto tra l’altro che la patch, quando sarà individuata quella definitiva, sia disponibile anche per tutte le versioni precedenti di Android.

4. Ottobre è stato il mese europeo della sicurezza informatica (ECSM). In Italia se ne sono occupati Clusit, Enisa (Agenzia europea per la sicurezza delle reti e dell’informazione), ma anche il nostro Ministero dello sviluppo economico. Perché questa attenzione? Perché la sicurezza informatica non è un problema solo dei privati cittadini, e delle grandi aziende ma è un problema per tutto il tessuto economico nazionale. Sotto attacco oggi ci sono anche le PMI italiane. Si stima che il costo medio di un singolo attacco a una nostra azienda sia passato dai 50mila agli 80mila euro. Nel 2014 sono aumentati i cyberattacchi contro le istituzioni governativi, i politici e i servizi aziendali. Ma sono aumentati anche gli attacchi contro cloud, social network e servizi in mobilità. Clusit denuncia che il 60% degli attacchi in Rete concerne il cybercrime a differenza del 60% degli attacchi in Rete concerne il cybercrime a differenza del 36% preso in esame nel 2011

  

5. Virtualizzare che passione. Malware, virus, attacchi informatici, con la virtualizzazione generalmente hanno vita più difficile, perché questo? Perché lavorare su un desktop virtualizzato significa spesso avere maggiori possibilità di isolare sia in entrata che in uscita malware e infezioni. Il problema però è spesso dati dai dispositivi mobile. In questo ambito la cultura della virtualizzazione è solo agli inizi, sono pochissime le nostre PMI aziende che dispongono di sistemi di sicurezza ad hoc per i dispositivi mobile. Gli attacchi più pericolosi arrivano, e arriveranno presto ancora di più da questo fronte.

6. Ricorderemo questi giorni perché con l’arrivo dei nuovi smartphone di Apple mezzo mondo ha preso coscienza dei passi in avanti nei sistemi di pagamento mobile. Non li ha inventati Apple i sistemi di pagamento mobile, ma come spesso accade Cupertino, con il suo Apple Pay ha contribuito a rendere popolare le nuove possibilità di pagamento ed è servito ad affinare e a rendere semplice un concetto importante. Le transazioni monetarie effettuate contactless tramite smartphone (qualsiasi OS) saranno sempre più al centro dell’attenzione degli hacker, vedremo cosa succederà, intanto tutti si muovono sull’argomento con i piedi di piombo.

7. Sportelli bancomat svuotati anche senza la scheda. Intanto, per rimanere con i piedi per terra, in questi giorni, ricordiamo che chi con il malware ci sa davvero fare è riuscito a svuotare sportelli bancomat, anche senza la scheda. In questo caso è stato sfruttato un trojan Tyupkin, il trojan è da innestare nel computer che gestisce lo sportello bancomat ed è questa la parte più complessa del piano criminale. Al primo riavvio, l’attaccante ne ha potuto prendere il pieno controllo e praticamente far fare allo sportello quello che voleva, senza che il sistema bancario registrasse alcunché. Ovviamente roba per esperti, che si esercitavano – guarda un po’ – proprio nel week end. Se ne è occupata l’Interpol.

8. Per un Android che certo in termini di sicurezza lascia a desiderare, con le buone trimestrali, anche Apple colleziona però un’attenzione maggiore da parte degli hacker. E’ un dato di fatto che alcune botnet estremamente attive possano contare tra i computer ‘zoombie’ anche MacOs. In america ne hanno individuati 17mila con Mac.BackDoor.iWorm a bordo. Sembra che il sistema di controllo sfrutti Reddit come applicazione dove postare le istruzioni. E per non farsi mancare nulla ecco anche gli attacchi ad iCloud, l’ultimo è di pochissimi giorni fa. Ne parliamo su ITespresso.it.

9. Poodle. Non ci sono bastati Heartbleed e ShellShock, anzi, non li avevamo ancora digeriti ed ecco il nuovo terribile bug. In italiano il nome suona quasi amichevole, perché significa barboncino. Purtroppo si tratta di un brutto affare e il nome è un acronimo: Padding Oracle On Downgraded Legaxy Encryption, il baco riguarda la versione 3 del protocollo SSL, ancora implementato da praticamente tutti i browser, come sistema ‘di scorta’. Poodle consente un attacco di tipo man in the middle, per cui si riescono a decifrare i cookie e magari ottenere informazioni sensibili dell’utente. L’attaccante deve essere nella stessa rete dell’attaccato perché tutto sia più semplice. WiFi pubblico? Ve la siete cercata.

10. Brividi di sicurezza? Fate bene! Il primo passo per non rimanere vittime è la consapevolezza. Quindi come primo punto usare il buonsenso, password complesse, e non fare mai clic in modo affrettato. Con questi consigli già sareste a metà dell’opera. Poi, certo, la protezione di un buon antivirus, e ancora meglio,iniziate a informarvi sull’autenticazione a due fattori che, almeno per gli ambiti più delicati nel financial e sulle comunicazioni personali è già disponibile e può tutelare buona parte delle vostre operazioni. Quando navigate però occhi sempre ben aperti. E non credete mai a chi vi dice con un banner che il vostro computer è infetto. Lasciatelo stabilire al vostro antivirus.

Fonte: Techweekeurope - Autore: Mario De Ascentiis

Facebook, Twitter, Gmail e Yahoo: gli hacker rubano 2 milioni di password

  Nuovo maxi-furto da parte dei pirati informatici ai danni degli internauti di tutto il mondo. Danimarca, Usa, Germania e Paesi asiatici i più colpiti. Scorrendo i dati emerge che in molti utilizzano per accedere agli account la semplicissima sequenza "123456".

Dal 21 ottobre scorso ad oggi sono state rubate nel mondo ben due milioni di password da Facebook, Twitter, Gmail, Yahoo, LinkedIn ma anche Adp, una società che gestisce pure sistemi di buste paga online. La scoperta è dei ricercatori degli SpiderLabs di Trustwave. Gli esperti sospettano che i dati siano stati rubati da computer infettati dal "keylogger", un virus in grado di leggere quello che l'utente digita sulla tastiera e inviarlo poi a malintenzionati. Trustwave è finita sulle tracce di questi hacker mentre - riporta l'edizione online di Bbc - investigava su una 'botnet', cioè una rete di pc infetti che di fatto sono controllati in remoto da cyber-criminali. Ad essere colpiti sono gli internauti di tutto il mondo ma in particolare quelli di Danimarca, Usa, Germania, Singapore e Thailandia. Uno dei server su cui sono stati immagazzinate queste credenziali rubate è stato scovato in Olanda. Secondo Trustwave la piattaforma più colpita, al momento, sarebbe Facebook (318mila account compromessi), poi Google (70mila account tra Gmail, Google+ e YouTube), Yahoo! (60mila), Twitter (22mila), LinkedIn e Adp (8mila). Le aziende coinvolte in questo problema di sicurezza sarebbero state informate. E sembra che Facebook, LinkedIn, Twitter e Adp abbiano avvisato gli utenti coinvolti con un messaggio, mentre Yahoo! e Google siano state meno sollecite nel prendere provvedimenti. Oltre un anno fa più di sei milioni di password furono rubate da LinkedIn, mentre poche settimane fa quasi 3 milioni di credenziali sono state sottratte agli utenti di Adobe. Ma l'attacco hacker recente più grave è stato quello sferrato alla Sony poco più di due anni fa: furono sottratti dati da circa 100 milioni di account della rete Playstation, uno dei fiori all'occhiello della multinazionale nipponica. Per quanto riguarda quest'ultimo attacco, tra le informazioni diffuse dai ricercatori di Trustwave ci sono anche statistiche legate alla tipologia di password rubate. E sorprende come ancora una delle chiavi d'accesso più diffuse tra gli internauti sia la banale sequenza "123456". E' stata trovata migliaia di volte nel database delle password rubate, insieme alla stessa parola "password".

Fonte: Unione Sarda

Twitter, "doppia mandata" contro chi ruba le password Per entrare nel profilo ecco il codice di sicurezza via sms

 Dopo una serie di violazioni dovute agli hacker, Twitter ha introdotto una procedura doppia di log-in per difendere i propri utenti. Sospiro di sollievo per lo scatenato mezzo miliardo di iscritti

Si può lasciare un mezzo miliardo di iscritti in mezzo alla selva affamata degli hacker? Il ruggito della domanda ha trovato una risposta immediata tra i corridoi di Twitter a San Francisco: no, bisogna rafforzare le password dei profili. Come? Con la doppia mandata tipica delle vecchie porte blindate: prima la classica parola col grande valore affettivo (meglio se col numerino alla fine, lo sanno tutti), dopo l'inserimento di un codice inviato dal social network per sms. Dunque, twitter-addicted state tranquilli: i criminali informatici troveranno barricate invalicabili e 140 caratteri non potranno più scatenare ingorghi internazionali. Ma la parte più importante dovrete recitarla voi.

LA PROCEDURA - Vediamo come. La svolta è ufficiale: per proteggere al massimo il proprio account c'è una nuova procedura. Per attivarla è necessario impostare e-mail e numero di telefono. Anche se, spiega Twitter, non tutti gli operatori telefonici potrebbero essere abilitati. Di seguito si va dritti alle impostazioni e si 'spunta' la casella della richiesta di un codice di verifica all’accesso. Dopo l'attivazione partirà l'operazione "doppia mandata": ad ogni accesso l’utente dovrà inserire oltre alla password uncodice a sei cifre che sarà inviato da Twitter tramite sms. Le app dei vari smartphone e tablet continueranno a funzionare, ma in caso di login da un nuovo dispositivo mobile si genera una password temporanea per entrare e autorizzare l’app. Insomma, doppio log-in per distruggere il porto dei pirati. “Ogni giorno un numero crescente di persone si connette a Twitter - ha spiegato Jim O'Leary, membro del team per la sicurezza di prodotto, facendo il punto sui sempiterni sistemi di hackeraggio -. Di solito i relativi log-in sono svolti dagli utenti dei loro account ma in alcuni casi gli account delle persone sono compromessi da schemi phishing o da furti di password avvenuti sul web”.

LA FALLA - Il sistema è collaudato, ma bisogna stare attenti allo storico tallone d'Achille. Quale sarebbe? La semplice vulnerabilità di una password "debole", che potrebbe essere bypassata. Twitter ora invita gli stessi utenti a munirsi di una password !solida! e sottolinea che la misura appena implementata non e’ che un primo passo. Altri ne seguiranno per migliorare ancora il profilo sicurezza. Anche perché la brutta esperienza dell'agenzia di stampa Ap, che "grazie" a un hacker ha twittato la falsa notizia di un attacco alla Casa Bianca, non la vuole emulare proprio nessuno.

Fonte: Quotidiano.net - Autore: Paolo Rosato

Posso lasciare che i miei bambini navighino su Facebook o Twitter?

Puoi dire ai tuoi bambini di stare alla larga dai social networks e puoi credere che ti daranno retta, ma l’occasione fa l’uomo ladro e troveranno qualche modo per navigarvi a tua insaputa. Perciò saremo realisti e faremo del nostro meglio per far sì che i loro account Facebook e Twitter siano protetti e privati e che usino il network nel modo più sicuro e responsabile possibile.

È un dato di fatto che Twitter e Facebook (oltre a essere dei social networks molto famosi) sono anche data brokers. Ciò significa che si arricchiscono vendendo qualsiasi cosa e in qualsiasi luogo tutto ciò che l’utente pubblica ad aziende di marketing esterne, agenzie pubblicitarie e altre compagnie che poi usano i dati per creare pubblicità più mirate e istituire campagne di prodotti su misura per te o, come in questo caso, per i tuoi ragazzi. È inoltre importante rendersi conto che tracciano ogni ricerca in rete effettuata mentre sei connesso, ma che è possibile cercare di prevenirlo. Le informazioni potrebbero essere rese anonime o no prima di essere vendute. Ciò dipende da chi vende cosa a chi e per che cosa verranno usate.  Anonimi o oppure no, lo scorso anno abbiamo seguito la storia di un uomo in Europa che chiese a Facebook i dati del suo profilo, e cioè le informazioni che Facebook aveva acquisito attraverso i suoi post, la chat, le ricerche in rete ecc… Quello che il ventenne ricevette in cambio fù un PDF di 1.200 pagine con tutto quello che aveva fatto in rete, ivi incluso cose che aveva ‘cancellato’. Menziono questo fatto perché sono fatti che avvengono realmente, la raccolta di dati è reale e non c’è una forma efficace per rinunciare o evitarne la trasmissione a terzi. Se sei radicalmente e risolutamente contrario alla vendita all’ingrosso dei tuoi dati personali, allora il social network non è forse lo spazio adatto a te – o per i tuoi bambini. Tuttavia, se accetti le condizioni, ci sono diversi modi per far sì che le informazioni che i tuoi bambini pubblicano su Facebook e Twitter non siano visibili agli altri utenti, chiunque essi siano. La prima cosa che dovresti dire ai tuoi bambini (e questo si applica anche a te) è di stare molto attenti quando si accettano le richieste di amicizia (per lo meno su Facebook). Internet è generalmente un luogo malfamato, in particolare per gli adolescenti. Non sarà mai ripetuto abbastanza: ACCETTA UNA RICHIESTA DI AMICIZIA UNICAMENTE DA PERSONE CHE CONOSCI E DI CUI TI FIDI. Io vado persino oltre. Quando ricevo una richiesta di amicizia, controllo sempre il profilo del mittente per essere sicuro che quella persona è la persona che dice di essere. Ci sono già stati casi di aggressori che si spacciano per persone che i tuoi figli conoscono con lo scopo di indurli a farlo entrare nella sua rete di amicizie. Recentemente abbiamo pubblicato un video su Threatpost che racconta nei dettagli alcuni modi in cui è possibile usare certe impostazioni di Facebook per rinforzare la sicurezza del proprio account. Vi consiglio di darci un’occhiata prima di aprire un account ai vostri figli. Twitter invece funziona diversamente. E’ molto più libero rispetto a Facebook. In default, i tuoi bambini non avranno l’opportunità di fare un controllo su chi li segue; chiunque sarà in grado di vedere ciò che pubblicano. Ci sono però alcune funzioni che, se abilitate, possono aiutare a mantenere il loro account Twitter privato, come  “protecting your tweets”. In questo modo chiunque voglia seguire i movimenti dei tuoi bambini in Twitter, avrà bisogno di un permesso, sia tuo che dei tuoi figli. Inoltre puoi disattivare la localizzazione delle tags. La localizzazione delle tags trasmette la localizzazione fisica dalla quale i tweet vengono inviati. Ci sono anche varie opzioni di notificazione delle e-mails che possono aiutare te e i tuoi bambini a tenere traccia di ciò che sta accadendo nei loro accounts.  Inoltre è necessario avvertire i ragazzi che i truffatori informatici dilagano su Facebook e Twitter. Nessun disastro naturale o evento sportivo, nessuna morte di una pop star o qualsiasi altro evento di interesse mondiale avrà luogo senza che i truffatori non ne traggano vantaggio. Forse tua figlia non saprà chi è Elizabeth Taylor e quando è morta, ma sicuramente sarà tra quelle ragazzine che hanno creduto alla balla (con relativa frode) su Justin Bieber: si racconta che l’anno scorso Justin Bieber sia stato accoltellato alla schiena da un fan impazzito dopo il suo show a Los Angeles. Se un giorno Facebook si riempisse di frodi (come già avviene), sembra che Twitter sia stato progettato per seguirlo. Il limite di 140 caratteri fà sì che la URL sia necessariamente più limitata. Il problema è che risulta impossibile sapere dove ti poterà un determinato link e per questo motivo i malware di solito vengono diffusi attraverso siti infetti. Qualche volta è facile individuare una frode, mentre altre volte no, ma come dice sempre GI Joe (un famoso giocattolo stanunitense, simile a Big Jim) “conoscere significa aver vinto metà della battaglia “.  Considerando che il cyberbullismo è passato da termine assurdo ad avere i suoi annunci di servizio pubblico o quantomeno un annuncio creato per i film TV, è ancora più importante proteggere l’account dei i tuoi ragazzi con una buona password. L’ultima cosa che vorrai (come lo vorrebbe un tredicenne) è che qualche altro bambino della scuola sappia la tua password, abbia accesso al tuo account e pubblichi cose vere o non vere, o umilianti su di te. Il modo più facile di evitare questo è usare una password complessa, non ovvia.  Riguardo ai genitori, dovete sapere che è possibile associare l’account dei vostri figli al vostro indirizzo mail o al vostro dispositivo mobile. In questo modo, se disponete di un settaggio dei vostri dispositivi affidabile (si veda il video), potete monitorare se qualcuno cerca di accedere all’account dei vostri ragazzi da un dispositivo non riconosciuto e potete fermare la minaccia prima che diventi un problema.

Fonte: Kaspersky Daily by Kaspersky Team

Come nascondere messaggi nelle foto di Facebook

Uno studente di Oxford ha sviluppato un'estensione che consente di far circolare dei brevi testi con le immagini pubblicate sul social network

Nel regno della condivisione sfrenata arriva uno strumento per far circolare messaggi in pressoché totale segretezza: Secretbook. L'idea è dello studente di informatica della Oxford University Owen Campbell-Moore, che ha messo a disposizione un'estensione per il browser Chrome che consente di nascondere brevi messaggi all'interno delle foto condivise su Facebook. L'unico modo per sbloccare il contenuto è conoscere la password associata. Abbiamo giocherellato con lo strumento e funziona: una volta scaricata l'estensione, è sufficiente riavviare la pagina del social network e premere ctrl+alt+a. Compare a quel punto una finestra con cui caricare l'immagine, digitare il messaggio segreto e scegliere una password. La foto è così pronta per essere condivisa e chi è a conoscenza del giochino non deve far altro che digitare nuovamente ctrl+alt+a e inserire la password. " La tecnica Jpeg Steganography è stata utilizzata più volte in passato, ma questo è il primo software disponibile pubblicamente che permette la compressione dei file (come quando vengono caricati su Facebook) senza danneggiare il contenuto", spiega Campbell-Moore sul suo blog. Questa procedura è necessaria perché Facebook elabora le foto che pubblichiamo sui nostri profili o su quelli dei nostri amici e, di conseguenza, danneggia il messaggio associato all'immagine. Il giovane studente, che ha un passato anche in Google, ha replicato l' algoritmo di compressione del social network ( qui il documento che spiega l'operazione) così da " ridurre al minimo la quantità di cambiamenti che verranno effettuati e proteggere il contenuto segreto", ha spiegato a Wired.com. Google+, per esempio, non utilizza le stesse tecniche di compressione e non richiede l'utilizzo di soluzioni terze (se volete tentare il fai da te sul social di BigG questa è la pagina che fa al caso vostro). Altra sfida è stata quella di rendereinvisibili le modifiche avvenute: il rischio è quello di inserire il messaggio in una zona poco complessa dell'immagine, come un cielo azzurro. Così facendo sarebbe troppo facile distinguere le superfici di scambio da quelle intonse. Owen-Campbell Moore ha assicurato di aver risolto di il problema e ritiene che la difficoltà nella determinazione dell'area più adatta su cui intervenire sia il vero motivo per cui gli strumenti di steganografia per i social media non hanno ancora preso piede. 

Detto questo, cosa ce ne facciamo? Oltre a diventare il nuovo giocattolo preferito dagli adolescenti,Secretbook viene descritto come veicolo per nascondersi da " governi e amici indiscreti". Punzecchiato dai nostri cugini a stelle e strisce, Campbell Moore ha però chiarito che per i terroristi o per chi deve nascondere comunicazioni particolarmente delicate non è la soluzione più indicata: i file contengono numerose modifiche e potrebbe essere relativamente facile scovare quelli ricchi di informazioni. D'altro canto, però, lo studente fa notare che " bisognerebbe richiedere l'accesso agli oltre 300 milioni di foto caricati su Facebook ogni giorno. Sospetto che neanche l'Agenzia per la sicurezza nazionale lo possa fare". 

Fonte: Wired - Autore: Martina Pennisi