Gli attacchi informatici più dannosi del 2016, mese per mese

Da Verizon a Yahoo!, da Ashley Madison ad Adult Friend Finder, dalla NSA all’FBI fino ai DNCLeaks: storia di un anno vissuto pericolosamente

Richard Stennion, autore di There Will Be Cyberwar, ha detto che “il 2016 sarà ricordato come l’anno più importante per l’evoluzione dei nation state attacks,” e che lo spionaggio cibernetico è da tempo uno degli strumenti più importanti per hacker e servizi segreti, invitando tutti a migliorare il proprio livello di sicurezza informatica per il nuovo anno.

Difficile dargli torto visto che l’anno è cominciato con il furto dei dati di 20 mila impiegati dell’FBI e finito con gli strascichi delle interferenze russe nelle elezioni presidenziali americane.f

2016, un databreach dopo l’altro

Tuttavia bisogna ricordare che durante tutto il 2016 massicci databreach aziendali hanno colpito le maggiori compagnie mondiali, mettendo a rischio la privacy di moltissimi utenti: dal miliardo di account rubati a Yahoo! ai furti di dati personali e numeri di carte di credito ai danni di Ashley Madison, Adult Friend Finder, LinkedIn, Dropbox, Twitter eccetera.

A commettere questi furti sono stati non precisati “hacker” un termine passepartout per indicare negli esperti di reti e computer gli autori delle intrusioni. Noi preferiamo chiamarli cracker, malevolent hacker o criminali informatici e la parola hacker nel nostro elenco si riferisce esattamente a questi ladri informatici. La galassia hacker infatti è assai più complessa e ricca di professionisti che dedicano la loro vita a migliorare le difese informatiche di stati e aziende: li chiamano anche white hat hacker, blu hat hacker, ethical hacker.

FEBBRAIO

U.S. Department of Justice Febbraio 9, 2016: Per protestare contro l’appoggio statunitense alle politiche israeliane contro il popolo palestinese hacker non identificati nel febbraio del 2016 si sono introdotti nel database Dipartimento di Giustizia Usa. Secondo quanto riportato dalla CNN gli hacker hanno in seguito diffuso online i dati relativi a 10.000 impiegati del Dipartmento per la sicurezza nazionale e successivamente quelli di 20 mila impiegati dell’FBI. Le informazioni riguardavano nomi, ruoli, numeri telefonici e indirizzi email.

MARZO

Snapchat Il 3 marzo del 2016 con un attacco di phishing vengono sottratte le informazioni personali di 700 impiegati di Snapchat facendogli credere che il direttore dell’azienda di messaggistica istantanea, Evan Spiegel, voleva da loro informazioni come nomi, numeri della sicurezza sociale, e buste paga.

Verizon Enterprise Solutions Il 25 marzo 2016 si scopre che i dati di un milione e mezzo di clienti Verizon sono stati sottratti da hacker ancora anonimi. I dati messi in vendita in alcuni forum underground sono stati rintracciati dal giornalista di cybersecurity Brian Krebs. Verizon ha confermato il databreach e l’intenzione di avvertire ogni cliente interessato.

MAGGIO

5 Maggio 2016: Una società di cybersecurity di Milwaukee, la Hold Security, rivela l’avvenuta diffusione di 270 millioni account email completi di username e password nell’underground criminale russo. Hold, che li ha individuati, ne ha contati 57 millioni di Mail.ru, provider russo, 40 milioni di Yahoo!, 33 di Hotmail, e 24 da Gmail.

I dati sarebbero stati diffusi a titolo gratuito e senza controparte economica. Secondo gli esperti centinaia di migliaia di account erano relativi a provider cinesi e tedeschi e le combinazioni username/password trovate erano appartenenti a impiegati di banca e del commercio al dettaglio.

LinkedIn. Il 17 maggio del 2016 è stato scoperto un furto massiccio di dati personali risalente al 2012 ai danni della piattaforma per servizi professionali Linkedin. Anche stavolta la segnalazione è venuta da Krebs onn security. Si tratterebbe di 117 milioni di dati relativi a email e password degli utenti contenuti nello stesso database.

GIUGNO

DNCLeaks Lo scalpore suscitato dal ripetuto furto delle email di alcune figure prominenti del Comitato Nazionale Democratico ha creato una nuova voce per i vocabolari di informatica: DNCLeaks. Insieme ad altri furti di dati, la diffusione di tali email avrebbe compromesso la vittoria di Hillary Clinton nelle presidenziali americane.

I guai per Hillary e i democratici cominciano a metà giugno quando l’azienda di cybersecurity Crowdstrike rende nota la violazione del database del Comitato nazionale democratico e un gigantesco furto di dati, attribuito a due gruppi hacker russi. Oggetto del furto sono 19.250 email con 8mila allegati del Comitato elettorale democratico successivamente pubblicate da WikiLeaks.

LUGLIO

Ashley Madison Il 19 luglio TheHackerNews riporta la notizia che il sito di incontri erotici Ashley Madison è stato oggetto di un attacco che ha esposto al pubblico i dati personali di 37 milioni di utenti, incluse carte di credito e numeri telefonici. La società proprietaria del brand è stata multata di $1.6 di dollari per non aver protetto adeguatamente la privacy dei propri clienti.

AGOSTO

NSA hack Si viene a sapere che gli Shadow Brokers sono venuti in possesso di strumenti per lo spionaggio cibernetico usati dalla National Security Agency: in particolare cyberweapons e trojan. Il gruppo hacker li ha poi messi in vendita sul web.

SETTEMBRE

Yahoo! La società acquisita da Microsoft e specializzata in servizi di corrispondenza digitale Yahoo! rivela di essere stata vittima di un vasto data breach. Il furto riguarderebbe 500 milioni di account rubati nel 2014. La notizia compromette la vendita della società a Verizon che ritenendosi danneggiata chiede uno sconto sul suo acquisto.

Dropbox Settembre 2, 2016: Dropbox, servizio per l’immagazzinamento di file rivela un databreach imponente ai danni dei suoi clienti. Risalente al 2012, gli account sono stati usati fino al 2016 mettendo a rischio 68 milioni di utenti.

OTTOBRE

Dyn Servers. La botnet Mirai  il 21 ottobre con un attacco DDoS (Distributed Denial of Service) mette offline  mezza East Coast degli Stati Uniti rendendo impossibile usare i servizi di Twitter, Amazon, Netflix, New York Times, per diverse ore, con un attacco ai DNS server della società DYN con effetti che si sono sentiti anche in Europa. Mirai lo ha fatto reclutando una botnet di circa 100.000 telecamere connesse a Internet basate su schede della cinese XiongMai Technologies, tutte con lo stessa username e password.

NOVEMBRE

AdultFriendFinder Il 13 Novembre 2016 AdultFriendFinder, sito per incontri sessuali tra adulti viene preso di mira dagli hacker per la seconda volta in due anni. Vengono rubate le credenziali di 412 milioni di utenti, pubblicate e messe in vendita in anonimi marketplaces del dark web compresi di status utente, email e cronologia di navigazione. AdultFriendFinder non ha mai voluto confermare la rivelazione di LeakedSource.

San Francisco Municipal Transportation Agency Il 25 Novembre 2016 un attacco al sistema informatico dell’autorità per il trasporto pubblico di San Francisco, Muni, blocca per due giorni i sistemi di pagamento della metropolitana facendo viaggiare gratis i pendolari. Ma gli hacker rivendicano di essere entrati in possesso di 30GB di dati degli impiegati e degli abbonati chiedendo un riscatto di 100 Bitcoins, circa $73,000 dollari.

DICEMBRE

Yahoo! Il 14 dicembre del 2016 Yahoo! annuncia che imprecisati hacker al soldo di uno stato non identificato hanno rubato nomi, indirizzi email, numeri di telefono, date di nascita e domande e risposte di sicurezza criptati o in chiaro da più di 1 miliardo di account. L’attacco risalirebbe al 2013 ma non avrebbe compromesso dati finanziari.

Fonte: startupitalia.eu

Gli esperti dell’azienda di sicurezza Anomali Labs hanno condotto un interessante studio, intitolato “The FTSE 100: Targeted Brand Attacks and Mass Credential Exposures” sugli attacchi alla reputazione delle 100 principali aziende del FTSE e sulla disponibilità nel Dark Web di dati relativi ai loro dipendenti.

Il Brand Spoofing è una pratica illegale che causa danni ingenti ad aziende in tutto il mondo, tipicamente i truffatori pubblicano siti che clonano quelli legittimi con l’intento di indurre gli utenti a fornire dati riservati.

“L’obiettivo di questo rapporto è quello di analizzare le registrazioni di domini sospetti per attacchi contro le aziende del Financial Times Stock Exchange 100 (FTSE 100 Index) e di identificare abusi ed account potenzialmente compromessi che potrebbero essere utilizzati come parte di un attacco.” – riporta lo studio.

Il rapporto ha rivelato che per 81 delle aziende del FTSE 100 sono state osservate registrazioni di domini potenzialmente dannosi negli ultimi tre mesi, mentre il numero totale di nomi domini maligni registrati è 527, una media di cinque domini per azienda.

I settori più colpiti da questo tipo di pratica illegale sono quello finanziario (376 registrazioni di domini maligni), vendita al dettaglio (175) ed infrastrutture critiche (75).
Analizzando le registrazioni di dominio sospetti per nazione è possibile notare che la maggioranza dei domini sospetti è stata registrata con indirizzi cinesi, seguita da Stati Uniti e Panama.

Gli attaccanti in rete utilizzano domini fasulli come componenti fondamentali di schemi fraudolenti più o meno complessi che fanno leva sul social engineering per ingannare le vittime e riuscire a far loro inserire dati personali e sensibili in pagine composte ad arte e che appaiono come legittime. Gli stessi domini sono anche utilizzati per ospitare exploit kit in grado di compromettere i sistemi di utenti che li visitano utilizzando browser vulnerabili.

I dati raccolti con questa tecnica sono solitamente venduti nell’underground criminale per poi essere riutilizzati in ulteriori attacchi contro le società.

“Data breach che causano l’esposizione di grandi volumi di dati stanno diventando un problema importante. I dati provenienti dai siti web compromessi sono raccolti per poi essere rilasciati in rete o venduti” – continua il rapporto. “E’ un problema, perché la stragrande maggioranza degli utenti utilizza le medesime password per l’accesso a molti siti web, e molte aziende ancora non utilizzano meccanismi di autenticazione a più fattori. Ci sono molti dipendenti che utilizzano la loro posta elettronica aziendale e la password su siti non lavorativi. La compromissione di questi siti è la principale causa della disponibilità delle credenziali di molte aziende dark web.”

Gli esperti della società Anomali hanno trovato i dati di 5.275 dipendenti delle aziende del FTSE 100 nel dark web, in forum utilizzati da cyber criminali oppure pubblicati accidentalmente in rete.

I dati sono allarmanti se consideriamo che in media le credenziali di 50 dipendenti di ciascuna delle aziende del FTSE 100 è stato esposto online.

“L’elenco non solo comprende aziende con sede nel Regno Unito, ma anche qualsiasi sussidiaria di tali società” – afferma il rapporto. “Il settore dell’energia rappresenta quasi il 20% con 1.090 account esposti in rete”.

Gli esperti hanno sottolineato la cattiva abitudine di dipendenti nel visitare i siti non legati al lavoro che a loro volta sono stati successivamente violati. Questo è il caso di un importante sito di calcio britannico che ha subito una violazione dei dati nel mese di aprile ed i cui dati sono finiti nel deep web.  In questo caso, Anomali ha stimato che circa 40 credenziali di utenti appartenenti a 23 aziende sono state esposte in questa violazione della sicurezza.

Per ovviare a questi problemi è necessario che si istruiscano in maniera corretta i dipendenti nell’uso di strumenti aziendali, compresi gli account email. 

Una politica di sicurezza chiara ed esaustiva, opportunamente condivisa in azienda, è sicuramente un ottimo inizio.

Fonte: Techeconomy - Autore: P. Paganini

I consigli di ESET Italia per aiutare i vostri figli a non cadere nella rete dei cybercriminali mentre giocano online

Con l’arrivo del periodo natalizio i bambini e i ragazzi passeranno più tempo a casa e avranno più occasioni per giocare online, se il vostro sarà spesso davanti al computer è bene sapere che persino mentre sta giocando, vostro figlio può essere minacciato dai criminali informatici in cerca di dettagli sulle vostre carte di credito e altre informazioni che possono essere monetizzate. O ancora possono essere ingannati da piccole truffe come screensaver infetti o “trucchi per i giochi” che contengono malware.

Per questo ESET Italia ha messo a punto una serie di consigli per aiutare i giovani giocatori a non cadere nella trappola dei cybercriminali:

1. Adottate una soluzione di sicurezza

Installate una soluzione di sicurezza affidabile sul computer o sul dispositivo che i vostri figli usano per giocare e assicuratevi che sia sempre aggiornato. I criminali informatici non dormono mai e lo stesso vale per i sistemi di difesa che proteggono i vostri figli. Assicuratevi che i vostri ragazzi non la disabilitino per migliorare le prestazioni dei giochi o che ignorino i popup che si riferiscono a potenziali minacce.

2. Rendete il browser più sicuro

Molte delle truffe di cui sono vittime i giocatori riguardano persone che offrono “affari” irrinunciabili in chat – sia per i giochi stessi o per servizi come Steam – e che invece poi dirottano i visitatori verso siti truffaldini. Assicuratevi che il browser utilizzato dai vostri figli sia aggiornato e che siano abilitati gli allarmi sul phishing.

3. Le credenziali sono preziose

Insegnate ai vostri figli a fornire le loro credenziali solamente a siti web e servizi online affidabili. E nel caso in cui i ragazzi non siano sicuri sull’attendibilità della pagina, siate lì per consigliarli.

4. Non scambiate i codici di gioco online

La migliore soluzione per ottenere i codici dei giochi è rivolgersi alle società che li producono e scambiare codici via forum, o anche sui siti di aste, vuol dire cacciarsi nei guai. Se i vostri figli vogliono un nuovo gioco, l’acquisto di codici online potrebbe portare all’esborso di decine di euro per dei codici falsi. D’altra parte, se tentate di vendere alcuni vecchi giochi che i vostri figli non usano più, i truffatori dichiareranno che i vostri codici sono fasulli e pretenderanno un rimborso, svuotandovi le tasche.

5. Giocate su una rete pubblica

Vostro figlio ha grandi ambizioni e adora le competizioni sugli sport elettronici e sui giochi? Assicuratevi che sappia come comportarsi quando si connette a una rete wifi pubblica. Secondo i ricercatori di ESET è fondamentale che i ragazzi siano consapevoli di giocare su una rete pubblica – con tutti i rischi che questo comporta. Se i vostri figli vogliono partecipare a un evento di gioco, magari su un social network, dovrete cambiare la password che di solito usano con una temporanea durante l’evento, per poi ripristinare la solita quando torneranno a casa. Questo li proteggerà dai truffatori che potrebbero tentare di intercettarne i dati e di usarli per rubargli l’account – o da chiunque possa mettersi fisicamente dietro di loro nel tentativo di rubare le loro password.

6. Aiutate i piccoli giocatori a scegliere il nome utente giusto

È un aspetto particolarmente importante per i ragazzi, poiché utilizzare un nome che sia riconducibile a una giovane età può attirare attenzioni indesiderate. Per un giocatore è importante scegliere un tag, un nome di gioco o un alias per i forum che non fornisca in alcun modo informazioni personali. Gli account sono obiettivi di grande valore per i criminali informatici e se inserendo queste informazioni su Google questi riescono a risalire al nome dei vostri figli, i loro account potrebbero essere seriamente a rischio.

7. I trucchi sono spesso peggio di quanto si possa immaginare

Barare è sbagliato e falsa qualsiasi tipo di competizione. Questo è uno dei primi insegnamenti che i genitori devono impartire ai propri figli, ancor di più per il mondo del gioco online. Utilizzare dei trucchi non solo rischia di far espellere a vita i piccoli giocatori dalle community dei loro giochi preferiti ma mette anche a rischio i loro account. Inutile dire che più del 90% dei trucchi comunemente scambiati sono infetti da malware o adware, secondo alcune stime.

8. Non stringete amicizie su Facebook per ottenere “omaggi” nei giochi

L’attenzione dei bambini viene spesso assorbita dai giochi su Facebook dove per ottenere energia supplementare o per effettuare degli scambi si affidano agli amici. Bisogna però stare attenti, perché aggiungendo nuovi amici solo per ottenere codici extra per i giochi potrebbero finire nei guai. I siti di fan sono pieni di persone che offrono la propria amicizia a chiunque proprio per questi scopi – e questo può rendere più rapida l’esperienza di gioco – ma fa si che i bambini si ritrovino con “amici” che non conosco affatto. Ciò significa che queste persone possono vedere le informazioni private che vengono condivise con l’opzione “Solo Amici” su Facebook e utilizzarle per rubare l’identità di vostro figlio.

9. Le persone sui forum non sono vostri amici

I forum per giocatori sono luoghi abbastanza pericolosi o ostili nella migliore delle ipotesi. Voi e i vostri figli non conoscete ancora queste persone – perché dovreste fidarvi di loro?

Fonte: Eset Italia Security Blog

Twitter, "doppia mandata" contro chi ruba le password Per entrare nel profilo ecco il codice di sicurezza via sms

 Dopo una serie di violazioni dovute agli hacker, Twitter ha introdotto una procedura doppia di log-in per difendere i propri utenti. Sospiro di sollievo per lo scatenato mezzo miliardo di iscritti

Si può lasciare un mezzo miliardo di iscritti in mezzo alla selva affamata degli hacker? Il ruggito della domanda ha trovato una risposta immediata tra i corridoi di Twitter a San Francisco: no, bisogna rafforzare le password dei profili. Come? Con la doppia mandata tipica delle vecchie porte blindate: prima la classica parola col grande valore affettivo (meglio se col numerino alla fine, lo sanno tutti), dopo l'inserimento di un codice inviato dal social network per sms. Dunque, twitter-addicted state tranquilli: i criminali informatici troveranno barricate invalicabili e 140 caratteri non potranno più scatenare ingorghi internazionali. Ma la parte più importante dovrete recitarla voi.

LA PROCEDURA - Vediamo come. La svolta è ufficiale: per proteggere al massimo il proprio account c'è una nuova procedura. Per attivarla è necessario impostare e-mail e numero di telefono. Anche se, spiega Twitter, non tutti gli operatori telefonici potrebbero essere abilitati. Di seguito si va dritti alle impostazioni e si 'spunta' la casella della richiesta di un codice di verifica all’accesso. Dopo l'attivazione partirà l'operazione "doppia mandata": ad ogni accesso l’utente dovrà inserire oltre alla password uncodice a sei cifre che sarà inviato da Twitter tramite sms. Le app dei vari smartphone e tablet continueranno a funzionare, ma in caso di login da un nuovo dispositivo mobile si genera una password temporanea per entrare e autorizzare l’app. Insomma, doppio log-in per distruggere il porto dei pirati. “Ogni giorno un numero crescente di persone si connette a Twitter - ha spiegato Jim O'Leary, membro del team per la sicurezza di prodotto, facendo il punto sui sempiterni sistemi di hackeraggio -. Di solito i relativi log-in sono svolti dagli utenti dei loro account ma in alcuni casi gli account delle persone sono compromessi da schemi phishing o da furti di password avvenuti sul web”.

LA FALLA - Il sistema è collaudato, ma bisogna stare attenti allo storico tallone d'Achille. Quale sarebbe? La semplice vulnerabilità di una password "debole", che potrebbe essere bypassata. Twitter ora invita gli stessi utenti a munirsi di una password !solida! e sottolinea che la misura appena implementata non e’ che un primo passo. Altri ne seguiranno per migliorare ancora il profilo sicurezza. Anche perché la brutta esperienza dell'agenzia di stampa Ap, che "grazie" a un hacker ha twittato la falsa notizia di un attacco alla Casa Bianca, non la vuole emulare proprio nessuno.

Fonte: Quotidiano.net - Autore: Paolo Rosato

Violati gli archivi delle università italiane?

Annunciati via Twitter e diffusi via Torrent dati apparentemente provenienti dai database degli atenei. Chi c'è dietro la nuova sigla che ha rivendicato l'intrusione?

Roma - L'appena creato account Twitter @LulzStorm ha divulgato i link BitTorrent a un archivio contenente dati personali di studenti e professori di diverse università italiane. Nei documenti contenuti in un unico file pubblicizzato con tre tweet diversi informazioni ed elenchi di studenti e docenti che variano a seconda della singola università: nelle cartelle relative ad alcune università compaio anche numeri di cellulari di alcuni studenti, per altre si tratta di email corredate dalle relative password, in alcuni casi i danni sono limitati a informazioni di non particolare rilevanza, mentre nei casi peggiori vi è tutto tutto: nome, cognome, email, numero di telefono, indirizzo, password e codice fiscale degli studenti. "Italiani - si legge nel comunicato di LulzStorm - come potete affidare i vostri dati a tali idioti? È uno scherzo? I loro siti sono pieni di debolezze. Cambiate password ragazzi; cambiate concetto di sicurezza, università. Avremmo potuto rilasciare molto di più, avremmo potuto distruggere db e reti intere. Siete pronte per tutto questo?" Pronti o no, il consiglio è che gli studenti delle università coinvolte (Università degli Studi di Bologna, quella di Siena, di Salerno, del Salento, di Cagliari, Bari, Pavia, Foggia, Messina, Urbino, Torino e quella di Modena e Reggio Emilia, La Sapienza di Roma, la Pontifica Università Antonianum, la Seconda Università degli Studi di Napoli, la Bocconi, la Bicocca e il Politecnico di Milano) verifichino di non essere nella lista divulgata e in ogni caso provvedano a cambiare le proprie password. (C.T.)

Fonte: Punto Informatico - Autore: Claudio Tamburrino

Kaspersky: "Trasformare la rete per sconfiggere il malware"

La ricetta del guru (patron dell'omonima azienda di sicurezza informatica): «Social network più responsabili e carte d'identità per tutti gli internauti»

È dalla Russia che provengono i cyber criminali più scaltri e organizzati: per molti giovani (e non), mettere a punto programmi nocivi (malware) e rubare dati, è la maniera più veloce per fare tantissimi soldi con grande rapidità. Russi sono i creatori di alcuni dei virus più diffusi e micidiali come il trojan Zeus e il più recente SpyEye, il cui creatore pare guadagni qualcosa come 50.000 dollari alla settimana semplicemente rivendendo il prodotto ad altri malfattori. Non tutti però scelgono il lato oscuro della forza: le stesse ottime università che formano i cyber criminali sfornano anche alcuni dei migliori cacciatori di virus in circolazione. Russa è infatti anche Kaspersky Lab, la maggiore società produttrice di soluzioni di sicurezza informatica in Europa e una delle prime quattro al mondo. Fondata nel 1997, oggi ha 2300 dipendenti sparsi in tutto il globo, ed è tutt'ora in mano al creatore Eugene Kaspersky, che la controlla assieme a una decina di altri soci e al fondo di investimento General Atlantic. Nel 2010 il fatturato dell'azienda è stato di 538 milioni di dollari, con una crescita del 38 % rispetto all'anno precedente. Il quarantaseienne Eugene, che ha cominciato la sua carriera lavorando come crittografo per il Ministero della Difesa, è un miliardario abbastanza sui generis, a cui piace girare in camicia hawaiana, regalare magliette con la sua faccia al posto di quella di Che Guevara, e parlare a braccio alle presentazione aziendali, giocando sulle pause e infilando qua e là una frase a effetto, con i grafici delle slide in Power Point a fare da semplice scenografia. Gusto per il teatro a parte, non è certo uno che ha paura di prendere posizioni scomode e di parlare chiaro. Lo abbiamo incontrato a Malaga, nel corso del press tour internazionale organizzato da Kaspersky Lab sulle ultime evoluzioni del malware informatico.

Lei ha un'esperienza ormai ultra decennale in materia di lotta al crimine informatico. Come è mutato, in questi anni, lo scenario della delinquenza online?

«È cambiato molto. Il crimine informatico vero e proprio è iniziato attorno al 2002, quando il malware ha cominciato a prendere di mira i salvadanai elettronici come eGold o WebMoney, e a rubare denaro, non solo password e login della connessione a Internet. Ed è cominciato ad opera di singoli individui non organizzati fra loro; ora, invece, sono per la maggior parte professionisti ben strutturati, divisi, per quanto riguarda il malware, in tre categorie: quelli che attaccano computer scelti a caso, solitamente di privati; poi ci sono i cyber criminali più giovani che prendono di mira gli smartphone, e la terza è composta da quelli che prendono di mira le corporation. Un caso a parte sono gli hacker “attivisti” che attaccano le società statali, la Cia, le grandi multinazionali, con una motivazione ideale o politica».

È possibile stimare l'impatto del crimine cibernetico sull'economia mondiale?

«A grandi linee, sì. Da una nostra ricerca, effettuata calcolando il numero di Pc infettati dalle principali organizzazioni criminali e la percentuale di computer contenenti informazioni che possono essere monetizzate (estremi delle carte di credito, password) abbiamo ricavato una cifra di 100 miliardi di dollari all'anno, provenienti dal solo malware. Uno dei nostri principali concorrenti, McAfee, ha effettuato una ricerca simile, ma su tutti i tipi di crimine cibernetico e ha ricavato una cifra di di mille miliardi l'anno».

Lei un paio d'anni fa ha fatto scalpore sostenendo che su Internet non dovrebbe essere consentito l'anonimato. La pensa ancora così, o ha cambiato opinione?

«No, credo ancora che debba esserci un'evoluzione, un superamento dell'anarchia iniziale. La nostra civiltà ha una storia simile: quando hanno inventato le auto all'inizio non c'erano targhe e patenti, ma poi con la diffusione al pubblico hanno cominciato a mettere dei paletti. Credo che avremo sempre più controllo dei governi su Internet; ci sarà una specie di carta di identità per usare la Rete, per accedere al banking online, per votare. Il sistema di identificazione potrebbe consistere in un codice alfanumerico o, più probabilmente, tramite qualcosa di simile alle impronte digitali».

Il crimine sulle nuove piattaforme come tablet e smartphone è diverso da quello tradizionale? E anche le strategie di difesa sono in qualche modo differenti?

«Per quanto riguarda i dispositivi basati su Android non cambia molto, rispetto agli attacchi ai Pc con Windows. Android è basato su Linux, ma Microsoft e Linux vengono entrambi da Unix. Per quanto riguarda invece iOS, Windows Phone e Symbian, il discorso è un po' diverso; in questi sistemi ogni applicazione possiede un certificato digitale crittografato, per cui queste piattaforme sono un po' più sicure; questo però fa sì che sia molto più difficile sviluppare software per esse. Per questo Android dominerà il mercato: già oggi gli ingegneri sviluppano prima programmi per questo sistema operativo, e poi per gli altri. È quello che è successo in passato nel campo dei computer, quando si facevano concorrenza Windows, Novell NetWare, Mac Os e altri, il primo era più facile per i programmatori e perciò si è affermato maggiormente sul mercato».

Cosa ne pensa dei sistemi operativi basati interamente sulla nuvola, come Chrome Os di Google, e della sicurezza del cloud computing in genere?

«Non credo che un concetto di cloud computing come quello proposto da Google avrà una grande quota di mercato, credo che la maggior parte della gente vorrà conservare almeno una parte dei dati sul proprio Pc. Dal punto di vista aziendale credo che dopo vicende come quelle di Amazon, Sony le grandi società porranno molta più attenzione alla sicurezza, è stata una brutta storia, ma positiva come lezione. Il concetto alla base della “nuvola” può comunque essere usato anche per migliorare la sicurezza. Come altri produttori, abbiamo iniziato a inserire nei nostri anti virus dei sistemi di protezione basati sul cloud: se un Pc viene in qualche modo compromesso, l'informazione viene trasmessa agli altri computer della rete e la protezione aggiornata in due o tre minuti. In questo modo il malware non ha la possibilità di diffondersi su larga scala e il crimine diventa molto meno remunerativo».

E per quanto riguarda la sicurezza dei social network?

«I social network devono educare meglio i loro utenti, spiegare i pericoli che corrono e migliorare le procedure di login; prevedere ad esempio un doppio livello di autenticazione: spingere l'utente a inserire oltre ai dati di accesso anche un codice di conferma inviato via Sms. È un sistema costoso, ma necessario. Credo che sia bisogno anche di regole a livello governativo, per costringere i social network a non indurre ai loro utenti a divulgare sempre e sempre più dati. Le reti sociali come Facebook devono diventare responsabili per legge della protezione dei dati dei loro utenti. Per questo sarà necessario un accordo inter governativo a livello internazionale».

Fonte: La Stampa - Autore: Federico Guerrini

Dating online, l'attacco del cracker

Trafugate online decine di migliaia di password, tutte appartenenti al database del sito eHarmony. Il cyberladro ha poi messo in vendita i dati su un forum specializzato. Gli esperti avevano già avvisato il sito

A rivelarlo è stato un post pubblicato sul blog dell'esperto in sicurezza informatica Brian Krebs: un misterioso cracker argentino sarebbe riuscito ad entrare in possesso dei dati personali di un più che nutrito gruppo di utenti registrati al sito di dating eHarmony. Decine di migliaia di indirizzi di posta elettronica e password sarebbero così finite nelle mani del cracker, già responsabile di un'altra fuga di dati osservata dal sito competitor PlentyOfFish. Krebs avrebbe avuto conferma dell'accaduto intrufolandosi in un forum specializzato in attività di compravendita di dati trafugati. Il misterioso cracker - firmatosi semplicemente provider - avrebbe così messo in vendita le informazioni degli utenti di eHarmony, ad un prezzo variabile tra i 2mila e i 3mila dollari. Nella categoria relativa al tipo di crack portata a termine il cyberladro ha indicato nello specifico il database e la posta elettronica di eHarmony.Ma l'esperto Brian Krebs aveva già avvisato in passato i vertici del sito di dating. Un altro esperto argentino di nome Chris Russo era infatti riuscito a scoprire pesanti vulnerabilità nei sistemi di database di eHarmony. Improvvisamente era stato in grado di vedere chiaramente le password di decine di migliaia di utenti. L'allarme era stato tuttavia ignorato dai vertici del sito, che addirittura avevano sospettato Russo di raggiro a scopo di lucro. Nessuna anomalia era stata infatti riscontrata dallo staff tecnico. Pare che ora gli utenti di eHarmony abbiano ricevuto una missiva elettronica per sollecitare un urgente cambio di password.

Fonte: Punto Informatico - Autore: Mauro Vecchio

Password sicure, le regole d'oro

Hackerati gli account di Sarkozy e Zuckerberg. L'esperto di Symantec: ecco i consigli per profili "inviolabili"

Può anche fare piacere scoprire che potenti e semplici cittadini corrono identici rischi quando si tratta di proteggere la propria identità digitale su Facebook. Un “mal comune” dimostrato dal recente caso Sarkozy, il cui account sul social network è stato violato per due volte (l'ultima, martedì), mettendo in imbarazzo il presidente francese e solleticando l'ironia dei detrattori. Di fronte ai pericoli della vita digitale siamo davvero tutti uguali, come dovremmo essere davanti alla legge e a qualche altro inevitabile malanno della vita. Persino il re indiscusso delle reti sociali, Mark Zuckerberg, che Facebook l'ha fondata e resa grande, ha visto la pagina dei suoi fan capitolare nelle mani di un hacker, proprio in queste ore. Ma di chi è la colpa? Degli utenti che scelgono password troppo semplici da individuare, o del sistema di tutela che si basa su una semplice parola d'ordine? Ne abbiamo parlato con Antonio Forzieri, oggi consulente di punta della società specializzata in sicurezza informatica, Symantec, e da sempre addestrato a fronteggiare cyber follie di ogni genere. “La sicurezza digitale è una catena complessa di molti elementi, e l'anello umano è sicuramente il più debole”, ci ha spiegato. “Non sappiamo esattamente come abbiano operato gli hacker che hanno violato l'account – ha precisato -, ma è probabile che abbiano individuato la password usata per accedere al sistema, senza rubarla da qualche database”. Sembra strano che il presidente francese (ammesso che sia lui a gestire questi dettagli del suo accesso a Facebook e non una società specializzata) abbia usato termini facilmente decifrabili, come il nome della moglie usato da tanti di noi, ignorando il fatto che tutto il mondo conosce Carla Bruni, ma le precauzioni prese non sono state comunque sufficienti. “La pigrizia – spiega Forzieri - ci convince a usare password banali: una delle più diffuse è la sequenza numerica '123456', oppure, appunto, nomi di parenti o, anche, della marca di automobile di nostra proprietà. In ogni caso, un sistema di sicurezza basato su una singola password è comunque abbastanza limitato”. Per capire cosa intenda Forzieri basta pensare ai metodi di controllo usati dalle banche, che abbinano ai pin e alle password anche una combinazione numerica, in continuo mutamento, che appare su una chiavetta in possesso dell'utente. “I metodi di sicurezza – prosegue l'esperto di Symantec - si possono basare sulla verifica di qualcosa che l'utente sa (per esempio una password), o che l'utente ha (un documento o qualcosa di simile), o, infine, che l'utente è (un'impronta digitale). Se ci si affida a un solo elemento tra questi, la sicurezza sarà sempre limitata”.

Come scegliere una password sicura

Tutto vero, ma per ragioni anche economiche nessun social network o servizio online simile si sobbarcherà l'onere di simili controlli incrociati, oltretutto mal sopportati dall'utenza. Se quello che ci viene chiesto per proteggere i nostri dati personali è solo una password, bisogna fare in modo che sia la più sicura possibile. Qualche consiglio? “Una password sicura deve essere composta da più di otto caratteri, deve contenere lettere e cifre e possibilmente non riferirsi a elementi della nostra vita facilmente rintracciabili. Bisogna trovare il modo di renderla 'facile da ricordare, ma impossibile da individuare'”. Semplice a dirsi, ma come fare? “Un trucco consigliabile è quello di usare una frase di senso compiuto, o un brano di una poesia che sappiamo a memoria, e di sostituire alcuni caratteri alfabetici con quelli numerici, magari aggiungendo punti eslamativi o interrogativi da qualche parte”. In pratica, si possono trasformare le “i” in “1”, o le “o” in “0”, e così via. Sembra troppo disturbo? Eppure, a quanti e quali dati permettono di accedere le password che scegliamo, e che quasi sempre riutilizziamo per tutti i nostri accessi online: posta elettronica, banche, social network, forum. La sicurezza digitale è qualcosa con cui ancora fatichiamo a confrontarci, ma non riguarda più solo noi. Quando si fa parte di un social network, o di un'azienda, il problema coinvolge inevitabilmente molti altri soggetti, che possiamo esporre, con la nostra imprudenza, a seri inconvenienti. “Il social network è il luogo ideale per la diffusione di virus informatici – conferma Forzieri -, perché lì abbiamo le difese abbassate: non ci aspettiamo che qualcuno nella nostra cerchia di amici ci mandi un malware”. Le ragioni per essere prudenti, dunque, ci sono tutte, anche se non ci chiamiamo Sarkozy e non mettiamo a rischio la nostra credibilità politica. E tuttavia, il braccio di ferro tra i sostenitori della sicurezza e i riluttanti rischia sempre di finire a favore dei secondi. “Ho descritto più volte questo braccio di ferro – racconta il nostro interlocutore – come una sorta di scontro, colpo su colpo. Si comincia con un'azienda che chiede di cambiare password frequentemente, e l'utente risponde reinserendo sempre la stessa. Poi si chiede di inserire una password differente, ma l'utente prima obbedisce, poi chiede di rimodificarla tornando a quella originaria” e così via, finché “finalmente l'impiegato accetta di cambiare spesso la password, ma se l'appunta regolarmente su un post-it incollato al monitor sulla scrivania”. Ed ecco che tutto sfuma. Quando la password si scrive da qualche parte, la sua sicurezza, per quanto complessa e ben scelta, decade. Se proprio si vuole scrivere da qualche parte la propria parola d'ordine, meglio affidarsi ai nuovi strumenti software chiamati Identity Safe, che permettono di archiviare i nostri dati di accesso in ambienti criptati e protetti, certamente meno raggiungibili della nostra scrivania in ufficio o della nostra rubrica telefonica. Ma non farà male un po' di diffidenza anche nei confronti di questi sistemi più evoluti. “Perché un segreto sia tale – è la conclusione – bisogna che noi siamo gli unici a conoscerlo”. Quanti possono dirlo della propria password?

Fonte: La Stampa - Autore: Claudio Leonardi

False identità Facebook: California contro i ladri di profili

Se entri in un social network spacciandoti per qualcun altro rischi una multa di mille dollari e fino a un anno di prigione. Questa la legge Sb 1411 che dal nuovo anno fa della California uno Stato all’avanguardia contro le false identità su Internet. Contrariamente a quel che si crede, lo stato della Silicon Valley ha sempre sofferto di gravi lacune da questo punto di vista, per due ragioni: la presenza, appunto, dei colossi dell’informatica e dei social network, che hanno sempre fatto lobbying per evitare restrizioni che avrebbero potuto incolpare il clima permissivo di questi siti, e anche le leggi contro il terrorismo, nell’alveo delle quali il Web 2.0 avrebbe incontrato molti ostacoli al suo sviluppo. I meno giovani ricorderanno che negli anni Novanta, Internet coltivò una cultura dell’anonimato, spesso satireggiata, uno scenario poi smentito dall’ascesa di siti come Facebook, che pure ha sofferto nei primi anni la diffusione di un grande numero di falsi profili. Alla fine, si è trovata la legge che chiarisce come sottrarre identità sul Web è un reato grave, anche se non è immediatamente iscrivibile a quello di un criminale con le peggiori intenzioni. Spetterà ai giudici distinguere caso per caso, per evitare sovra-interpretazioni che mandino in galera un quindicenne un po’ troppo intraprendente come fosse un membro di Al Qaeda. In Italia esistono già leggi che puniscono i ladri di profili, e quando si configura il reato di diffamazione e viene calcolato il danno all’immagine, si possono raggiungere cifre molto rilevanti per la vittima di questo sopruso. Dunque, resistete ai falsi account ed evitate scherzi con le password di cui siete venuti a conoscenza: ormai anche l’assolata e libertaria California fa tintinnare le manette.

Fonte: Oneweb20.it - Autore: Marco Viviani

La password più usata? "123456"

Imbarazzante, ma anche molto interessante: l'atto di pirateria informatica che ha fatto breccia nel database del gruppo Gawker Media ha rivelato strane abitudini nella scelta delle password da parte degli utenti del web. Tra i siti del gruppo, ci sono santuari della tecnologia digitale come Gizmodo o Lifehacker, eppure non sembra che i frequentatori di questi indirizzi siano poi troppo più saggi e scaltri della media nel decidere con quale parola proteggere i propri dati. Mentre Gawker Media è impegnata a rassicurare i propri iscritti (http://gawker.com/5713056/gawker-security-breach-were-here-to-help) e a proteggerne gli account, con l'invio di 1,5 milioni di e-mail, la stampa internazionale si diverte a guardare dentro i dati di 188.276 registrazioni rese pubbliche dagli hacker domenica notte. La fantasia al potere non deve essere lo slogan preferito da parte di quegli utenti che scelgono come parola d'ordine la sequenza “123456”. Sembra di trovarsi davanti a una gag teatrale del trio Aldo, Giovanni e Giacomo, dove uno smemorato proprietario di bancomat tiene in scacco la fila perché non ricorda il pin (12345, per l'appunto). Ma questo non è teatro: il Wall Street Journal ha stilato una vera e propria classifica delle 50 password più gettonate in base ai dati rubati e diffusi. In cima a tutte c'è la già citata sfilza di numeri, usata da tremila persone, ma al secondo posto non andiamo meglio. La password preferita da circa duemila utenti è... password. Un successo addirittura replicato in bassa classifica, dove si trovano le varianti “Password”, con iniziale maiuscola, e “passw0rd”, con uno zero al posto della vocale. Purtroppo, gli esperti di sicurezza confermano che questa è una parola molto usata anche per lucchettare siti o aree di siti che contengono dati importanti. I tecnici che creano le pagine attribuiscono le credenziali “User” e “Password”, ma nessuno si preoccupa poi di modificare successivamente quella impostazione, anche in molte aziende italiane. Scorrendo verso il basso la classifica del WSJ, si trovano altre perle di sicurezza come “12345678”, oppure, al sesto posto, la variante “abc123”, che introduce almeno l'alternanza tra una banale sequenza alfabetica e una banale sequenza numerica. Uno sforzo eccessivo per circa 500 utenti che scelgono di proteggere l'account con una bella sfilza di “111111”. Scendendo nell'elenco, compaiono alcune citazioni, soprattutto fantascientifiche. Una scelta che non stupisce se si pensa che tra i siti del circuito Gawker ci sono anche indirizzi specializzati in giochi di fantascienza e simili. Ecco dunque che spunta un “trustno1”, non intellegibile da chi non abbia frequentato la serie televisiva X-Files, e non sappia che uno dei protagonisti, l'agente Mulder, usava proprio quella sigla come password. Un po' più colta la scelta di chi usa “thx1138”, titolo dell'esordio cinematografico di George Lucas, che rappresentava un futuro cupo e orwelliano. Non a caso, THX è anche il nome del sistema audio usato al cinema e inventato dai laboratori di Lucas. Chi sceglie, invece, “batman” e “superman”, confida forse che un po' dei superpoteri dei due eroi siano trasmessi alla loro password, e che i cibercriminali siano fermati dal nome dei paladini della giustizia. Lo studio del WSJ ha messo a confronto questi dati con altri, conosciuti, che rigiuardano gli account di posta elettronica. Un conto, infatti, è la protezione di un accesso a un sito, che raramente tutela segreti personali particolarmente delicati, ma è tutt'altra cosa la protezione dell'e-mail. Se è importante la scelta delle lettere e dei numeri nella creazione della password, lo è anche il numero di caratteri che si sceglie di digitare. Tra le password della Gawker ve ne sono fin troppi di soli sei caratteri, ma è effettivamente ancor più sorprendente che anche più del 40% degli utenti di Microsoft e Google adottino una password di sei lettere. Google, però, assieme a Yahoo, può vantare più del 30% di iscritti che sceglie saggiamente di raggiungere gli otto caratteri per la propria parola d'ordine digitale. Eppure, secondo quanto riportato dallo studio, alcune cattive abitudini degli utenti di Gawker si ritrovano pari pari quando si tratta di proteggere la posta elettronica. I fan del termine “passw0rd” sono numerosi in casa Google (0,10%, ma in numeri assoluti sono migliaia di persone), mentre la più romantica “iloveyou” spopola tra le fila degli account di Yahoo e di Microsoft. In Italia, quando si tratta di password, vanno per la maggiore i nomi dei figli e dei compagni di vita, e le loro date di nascita. Un'abitudine frequentata anche all'estero e che il WSJ ha scartato dal proprio studio per evitare possibili identificazioni personali. Un'analisi statistica del 2004 di Visa Europe testimoniava che il 15% delle password nel Vecchio Continente era costituito da compleanni e anniversari e il 14% da nomi di familiari, a cui si aggiungeva un ulteriore 15% attinto dai nomi di cani, gatti e altri amici pelosi (http://passwordresearch.com/stats/statistic150.html). Anche il tifo calcistico è una fonte di ispirazione molto usata da utenti italiani ed europei in genere. Si tratta in fondo di scelte comprensibili, che in altri tempi avrebbero anche potuto dare qualche garanzia di robustezza. Ma non oggi, per noi contemporanei alla moda dei social network. Scoprire i dati anagrafici di mariti, figli e persino amanti non è poi così difficile per gli esperti del cosiddetto “social engineering”. Molto spesso, basta consultare il profilo di facebook della vittima.

Fonte: La Stampa - Autore: Claudio Leonardi

Le 50 password più usate su Gawker Media

All’inizio dell’anno uno studio aveva dimostrato che la maggioranza degli utenti utilizza password facili da individuare con gli strumenti di recupero password. La classifica stilata da Imperva vedeva al primo posto la password “123456” su un totale di 32 milioni di password. Dopo quasi un anno, il recente attacco subito dai siti Gawker Media, ha evidenziato ancora una volta che gli utenti non prestano la necessaria attenzione alla scelta delle password. “123456″ è sempre in prima posizione. Gli hacker appartenenti al gruppo Gnosis sono riusciti a scardinare le difese dei server e ad effettuare il dump completo del database dei commenti che i lettori dei siti del network pubblicano in calce alle news. Le password che gli hacker sono riusciti a decifrare sono circa 190.000, di cui oltre 3.000 sono composte dalla sequenza dei primi sei numeri. In seconda e terza posizione ci sono altre due password che si possono definire “ovvie”: “password” e “12345678“. Tra le prime 50 posizioni non mancano nemmeno termini che fanno riferimento ai siti del network di Gawker Media, come “gizmodo“, “lifehack” o “gawker“. È chiaro quindi che i malintenzionati sono molto agevolati nel compimento delle loro azioni fraudolente dagli utenti stessi. Molto importante è anche la lunghezza di una password, che verrà scoperta comunque se poco complessa, ma almeno aumenta il tempo richiesto per la decifrazione. La maggior parte degli utenti di Gawker Media, così come gli utenti dei servizi email di Google, Yahoo e Microsoft, sceglie password lunghe solo sei caratteri. Anche se le persone che utilizzano i servizi disponibili su Internet hanno “paura” di dimenticare le numerose password di accesso, è sufficiente seguire una semplice guida che aiuta nella scelta di password robuste affidandosi a sistemi metodici ed archetipi strutturati. Esistono anche i generatori automatici di password e software che permettono di memorizzare tutte le password e di proteggerle mediante una “master password”, una funzionalità peraltro simile a quella integrata anche in Firefox.

Fonte: Webnews - Autore: Luca Colantuoni

Regno Unito: 27.000 user e password pubblicati online

Le password per accedere a Internet di 27.000 studenti della high school della Thames Valley sono state pubblicate lo scorso mercoledì sul portale della scuola. Il portale è stato messo offline non appena la violazione è stata segnalata. Alle 16:25 di mercoledì, è apparso un link su Facebook che invitava gli utenti a visitare un sito che esponeva username e password degli studenti della Thames Valley. Ancora non sono state accertate le modalità della fuga di dati, fatto su cui la Polizia di Londra sta indagando. La preoccupazione maggiore risiede nella possibilità che molti utenti abbiamo potuto utilizzare la password di Internet anche per l'accesso ad altri sistemi o applicazioni.

L'estensione della minaccia potrebbe quindi avere una portata superiore a quella.

Fonte: rischioblog.blogspot.com via St.Tomas Times Journal

Facebook invia le One Time Password

Facebook ha ideato un nuovo sistema di autenticazione sul social network in grado di offrire maggior sicurezza agli utenti. Trattasi di una misura pensata per gli accessi in mobilità tramite device pubblici o semplicemente tramite device altrui, qualcosa che impedisca un ritorno successivo sul network una volta abbandonata la postazione fisica utilizzata dal legittimo titolare dell’account. Il sistema prevede semplicemente l’uso di una password una tantum che ha valore “usa e getta”. L’utente non deve far altro che inviare un SMS al numero 32665 scrivendo il messaggio “otp” (One Time Password): in risposta riceverà da Facebook una password temporanea valida per un solo accesso e la quale andrà ad esaurire la sua efficacia nel giro di 20 minuti. La richiesta al sistema dovrà provenire da un numero di telefono autorizzato, dunque per poter accedere al servizio occorrerà aver preventivamente caricato sul proprio profilo il numero del proprio device. Così facendo è possibile accedere al social network da postazione pubblica senza il pericolo di veder sottratta la password: entro 20 minuti l’accesso temporaneo al network viene chiuso ed occorre un nuovo login per poter proseguire con le attività. Al momento il numero 32665 non risulta essere attivo in Italia: Facebook non precisa se si tratterà o meno di un numero internazionale, ma nel post di presentazione firmato Jack Brill spiega che «il servizio dovrebbe essere disponibile per chiunque entro le prossime settimane». Trattasi peraltro di un numero non casuale: sul tastierino numerico dei telefonini, infatti, la numerazione 32665 equivale alle lettere FAOOK. A completamento delle misure di sicurezza per gli accessi al network lontano dalla propria postazione standard, Facebook ha infine corredato il servizio di un tool per la chiusura di sessioni attive da remoto. L’esempio tipico è quello di un collegamento dalla postazione di lavoro dimenticando all’uscita di provvedere al logout: direttamente dalla postazione di casa è ora possibile verificare quali sessioni dell’account siano attive, provvedendo eventualmente a chiuderne l’accesso inibendo così i propri contenuti dalla vista altrui.

Fonte: Webnews - Autore: Giacomo Dotta

Furti online: Vademecum di Adiconsum su come difendersi

Il crimine online non va in vacanza!

Adiconsum: un vademecum per tutelarsiLe vacanze estive sono ormai arrivate e molti villeggianti, oltre al costume e agli attrezzi da spiaggia, porteranno con sé i propri notebook, ignari di essere uno dei bersagli preferiti dai criminali online. L’utilizzo di WLAN gratuite e accessi internet forniti da hotel o internet Café, infatti, li espone al rischio del furto d’identità e di frodi creditizie. Molti operatori di Internet Café, ad esempio, - dichiara Pietro Giordano, Segretario Nazionale Adiconsum - per risparmiare e aumentare i profitti, non utilizzano sistemi di sicurezza adeguati. I computer messi a disposizione della clientela sono spesso infettati con programmi spyware in grado di “rubare” i dati di accesso e di inviarli ai criminali informatici senza che l’utente se ne accorga. A chi non può proprio rinunciare al proprio notebook neppure in vacanza – prosegue Giordano - si consiglia l’utilizzo di sistemi di cifratura dei dati, con un backup completo preventivo prima della partenza. In questo caso, infatti, i danni risultanti da un eventuale furto potranno al massimo essere limitati alla perdita del computer. Ecco un breve Vademecum di Adiconsum su come tutelarsi:

- Non utilizzare nessun dato personale, come ad es. le password, quando si utilizzano connessioni

fornite da hotel, Internet Café o aeroporti;

- Non scaricare o salvare i propri dati personali su Pc pubblici;

- Cancellare sempre i cookies, la cronologia e i file temporanei, dopo una navigazione in Internet su un Pc pubblico o su una WLAN pubblica;

- Per navigare con il proprio portatile utilizzare una UMTS card che, sebbene abbia costi superiori, offre una maggiore sicurezza rispetto a una WLAN pubblica;

- Prima di partire per le vacanze, creare una speciale casella e-mail (da cancellare al termine delle stesse) per mandare delle cartoline elettroniche: in caso di incidente ne risulterebbe compromesso soltanto l'account;

- Utilizzare password diverse da quelle utilizzate per le mail di lavoro o usualmente assicurarsi che tutti i livelli di sicurezza (antivirus, firewall e browser) siano aggiornati e attivi, soprattutto durante le vacanze, e che lo siano anche il sistema operativo, i vari plug-in e tutti i software;

- Creare un profilo utente con diritti limitati da utilizzare quando si è in viaggio e per i servizi

online.

Fonte: AGI

Messenger sotto assedio, alto rischio phishing e spam

Un allarme che riguarda milioni di utenti è stato lanciato dagli esperti. Secondo i dati in possesso di G Data Security Lab, infatti, uno dei client di messaggistica istantanea più diffusi al mondo, ovvero Messenger, sarebbe letteralmente sotto assedio da parte di diversi cybercriminali.
Sembra infatti che vi siano in circolazione diversi inviti di richieste di amicizia, ovviamente fittizie, collegate a loro volta a numerosissimi siti creati ad arte per ingannare gli utenti e rubare possibilmente preziosi dati sensibili o credenziali. I vari link e siti ingannevoli rimandano, sempre secondo le rilevazioni degli esperti, ad un sito Web russo, che presenta l’opportunità di ordinare software a prezzi stracciati cercando di invitare gli utenti a lasciare i propri dati sperando di fare un vero e proprio affare. A queste tecniche di phishing si aggiungono poi numerosi servizi che, dicendo di offrire alcune funzioni utili per gli utenti Messenger, come quella di poter vedere una lista di tutti gli utenti che hanno bloccato un account, cercano di sottrarre le credenziali di login al servizio di messaggistica. Inutile dire come queste false promesse siano assolutamente da evitare, cercando di ricordare sempre di non rilasciare i propri dati su siti di dubbia provenienza e di diffidare dall’immettere username e password di Messenger o di altri software.

Fonte: Oneitsecurity.it - Autore: Giuseppe Cutrone

Le credenziali di più di un milione di account Facebook in vendita

Avete un account su Facebook? Se la risposta è affermativa fareste bene a cambiare almeno la password, poiché in Rete sembrano circolare le credenziali di accesso per 1.500.000 account.
Il laboratorio di VeriSign iDefense ha scoperto su alcuni forum underground la vendita illecita di questi dati, basata addirittura su un listino vero e proprio: 25 dollari per 1.000 account con meno di dieci contatti ciascuno, e 45 dollari per altrettanti account con un numero maggiore di amici.
Non si sa bene come l’hacker, proveniente dall’Europa dell’Est, sia riuscito a recuperare un numero così elevato di credenziali, si suppone però che abbia fatto uso di particolari cookie usati da Facebook per permettere agli utenti appena disconnessi di loggarsi nuovamente senza reinserire la propria password: a questo metodo, particolarmente innovativo, si possono affiancare ovviamente operazioni di keylogging o di phishing.
Come dichiarato da Rick Howard, direttore del reparto iDefense di cyber-spionaggio, gli account potranno essere usati principalmente per operazioni di trasferimento di denaro; continua Howard:
Una volta che si sono acquisiti dati come il nome, l’indirizzo, e altre indicazioni lasciate sul profilo del social network, è possibile usarli per ricavare altre informazioni riguardanti conti bancari o carte di credito. Gli stessi account potranno essere usati inoltre come una piattaforma da cui distribuire malware verso gli altri utenti: per questo motivo, personalmente, controllo sempre più di una volta prima di accettare un utente che non conosco nella mia lista di amici.
Andrew Brandt, di Webroot Software, commenta questa notizia spiegando che purtroppo gli utenti dei social network, Facebook in primis, pongono una fiducia infondata nei messaggi spediti dai loro contatti, e questo porta a sottovalutare la pericolosità dei link contenuti negli stessi.
Facebook, la cui pagina relativa alle impostazioni di sicurezza è, a detta di molti, poco intuitiva per l’utente medio, si difende menzionando le numerose tecniche nascoste che dovrebbero impedire il propagarsi di malware all’interno del sito: nonostante questo il loro portavoce Andrew Noyes non è stato in grado di fornire informazioni chiare circa il numero esatto di account rubati, limitando ulteriormente la fiducia degli utenti sul livello di privacy promesso dal social network. Come al solito non rimane che correre ai ripari, ricordando che la maggior parte delle volte le tecniche di sicurezza implementate nei servizi Web servono a ben poco se non sono supportate da una buona dose di diffidenza e di riservatezza.

Fonte: Oneitsecurity - Autore: Matteo Ratini