Tag: sicurezza

Formazione
3 Dicembre 20200

Perché WhatsApp non sarà mai sicuro

“WhatsApp non sarà mai sicuro”. A pronunciare queste parole è stato il capo di Telegram Pavel Durov. L’ultimo attacco hacker i danni dell’app di messaggistica di proprietà di Facebook, con cui un virus spiavi i telefoni colpiti, non poteva far tacere il fondatore dell’app rivale.

WhatsApp non è sicuro: parla il fondatore di Telegram

L’enorme falla di sicurezza di WhatsApp che ha messo a rischio la privacy di un miliardo e mezzo di utenti, non sarà l’ultimo e potrebbe anche non essere il peggior incidente del genere, ha avvertito il fondatore di Telegram.

L’imprenditore russo Pavel Durov si è unito alle voci critiche nei confronti dell’app che fa capo a Facebook. Questo dopo che è stato scoperto il virus che può spiare tutto sul telefono di un utente, dalle foto ai video, passando per email e messaggi.

In questa illustrazione della foto un logo dell'app di messaggistica WhatsApp ...

In un post sul blog intitolato Perché WhatsApp non sarà mai sicuro Durov ha spiegato tutti i motivi per cui non è affatto sorpreso dall’ultimo scandalo sulla privacy. “Dall’iniziale assenza della crittografia a una serie di problemi di sicurezza stranamente adatti a scopi di sorveglianza. In 10 anni di servizio, non c’è stato un solo giorno in cui WhatsApp è stato sicuro”, ha detto.

L’app non è open source, il che significa che i ricercatori di sicurezza non sono in grado di verificare facilmente le vulnerabilità all’interno del software sottostante. Ciò può consentire ai governi e agli hacker di creare backdoor nell’app che aggirerebbero le misure di sicurezza esistenti.

La crittografia end-to-end non basta

WhatsApp ha introdotto la crittografia end-to-end su ogni forma di comunicazione all’interno dell’app nel 2016. Il sistema è finalizzato a impedire la lettura dei messaggi da parte di chiunque, se non agli interlocutori. Tuttavia gli esperti di sicurezza hanno più volte affermato che affidarsi esclusivamente alla crittografia end-to-end non è sufficiente per proteggere la privacy e la sicurezza degli utenti.

Il recente attacco hacker per mano dello spyware israeliano Pegasus, insinuato nei dispositivi iOS, Android e Windows Phone attraverso una falla nella funzione chiamata di WhatsApp, non ha intaccato la crittografia in quanto ha attaccato direttamente i telefoni. In questo modo l’hacker ha potuto accedere ai dati pre-crittografati e post-crittografati.

Durov ritiene che WhatsApp non sarà mai sicuro a meno che non cambi il modo in cui funziona alla base. “Perché diventi un servizio orientato alla privacy e alla sicurezza, WhatsApp deve rischiare di perdere interi mercati e scontrarsi con le autorità nel loro paese d’origine. Ma non sembra essere pronto per questo”, ha scritto Durov. “Ogni volta che WhatsApp deve risolvere una vulnerabilità critica nell’app, al suo posto ne subentra una nuova. Tutti i loro problemi di sicurezza sono adatti per la sorveglianza e funzionano come backdoor”.

WhatsApp: la privacy è ancora una priorità?

Durov non critica WhatsApp per pura e semplice rivalità. Telegram ha affrontato intrighi di alto profilo con regimi autoritari come Iran e Russia proprio perché ha preferito resistere alle pressioni atte a indebolire la sua sicurezza e non consentire l’accesso ai messaggi privati degli utenti.

Quando Facebook ha acquisito WhatsApp nel 2014, i fondatori dell’applicazione di messaggistica hanno affermato che la privacy degli utenti restava una priorità assoluta.

“Il rispetto della tua privacy è codificato nel nostro DNA”, aveva scritto Jan Koum all’epoca. “Se l’ingresso in Facebook avesse significato dover cambiare i nostri valori, non avremmo accettato”. Ma cinque anni dopo sia Koum che il collega fondatore di WhatsApp Brian Acton hanno lasciato Facebook a causa di divergenze inconciliabili con la società di Zuckerberg riguardo le politiche sulla privacy di Facebook e i suoi tentativi di indebolire il criptaggio sui dati.

contattaci
Tech
10 Ottobre 20200

Il drone Amazon sorveglierà la casa volando da una stanza all’altra

C’è un nuovo dispositivo della famiglia Ring che si aggiunge ai videocitofoni intelligenti e alle videocamere per interni ed esterni ad individuare potenziali minacce alla propria abitazione.
Amazon ha infatti lanciato l’Always Home Cam, una sorta di piccolo drone dotato anch’esso di videocamera e capace di spostarsi nei diversi ambienti della casa.
Always Home Cam si muove del tutto in autonomia partendo da una base all’interno di cui si trova stabilmente e dove si ricarica, un po’ come i robot aspirapolvere che già oggi ci aiutano nelle pulizie domestiche.

Si attiva da solo

Il dispositivo non può essere guidato manualmente dalla distanza, ma deve essere programmato dal proprietario in modo tale da indicare quale percorso seguire nelle sue perlustrazioni casalinghe. Il padrone di casa però potrà osservare in diretta sull’app cosa viene registrato dalla videocamera. Il piccolo drone può essere attivato su richiesta, anche nel caso si volesse verificare di aver chiuso una finestra prima di uscire, oppure programmato per controllare l’abitazione quando il sistema di allarme Ring si attiva dopo aver registrato qualche movimento inconsueto. 

L’importanza del rumore

Always Home Cam registra solamente quando è in volo, mentre disattiva la sua fotocamera nel momento in cui ritorna nella sua base. Amazon ha anche precisato che il dispositivo quando si sposta fa un rumore facilmente distinguibile: non è possibile che possa riprendere le persone in casa senza che queste se ne accorgano. Il nuovo membro della famiglia Ring sarà disponibile a partire dal prossimo anno al costo di 250€.

Internet, Sicurezza informatica
2 Luglio 20200

25 app da eliminare subito: sottraggono le credenziali di Facebook

Scoperte 25 applicazioni Android che rubavano le credenziali d’accesso di Facebook degli utenti. Ecco come funzionavano e quali sono

C’era un po’ di tutto, dai giochi di solitario agli sfondi e alle torce flash, tra le 25 app pericolose scoperte dalla società di cybersicurezza francese Evina e rimosse dal Play Store da Google. Queste app, però, prima della rimozione erano già state scaricate 2,34 milioni di volte.

Si tratta dell’ennesimo buco nella sicurezza dei sistemi di prevenzione del Play Store di Google. Un buco, tra l’altro, particolarmente grave perché queste 25 app erano tutte infette dallo stesso malware, che tentava di rubare le credenziali di accesso all’account Facebook degli utenti. Non si trattava, quindi, di app spione o di app che giocavano coi permessi e le autorizzazioni, ma di vere e proprie app infette. App che, in altre parole, Google dovrebbe scovare in un batter d’occhio e che, invece, anche questa volta sono state trovate sul Play Store da un’azienda esterna.

Come funzionavano le app infette

Le 25 app apparivano all’utente come normali e sicure, perché facevano quello che promettevano. Contemporaneamente, però, installavano sul dispositivo un virus in grado di capire quali app l’utente aveva usato recentemente e quali stavano girando in background sullo smartphone. Ogni volta che il virus capiva che l’app in uso era Facebook, però, entrava in azione aprendo una finestra del browser contenente una pagina fake per il login al social. L’utente credeva che era necessario reimmettere i propri dati per accedere a Facebook (app che effettivamente aveva aperto e che era stata messa in background dal virus) e spesso lo faceva. I dati dell’account venivano così spediti al server di controllo del malware, mentre la finestra del browser veniva chiusa e l’utente poteva accedere normalmente all’app di Facebook (quella vera).

App che rubano il profilo Facebook: quali sono

Queste app in totale erano 25 e ora sono state rimosse dal Play Store. Ecco i loro nomi:

  • Super Wallpapers Flashlight,
  • Padenatef,
  • Wallpaper Level,
  • Contour level wallpaper,
  • iPlayer & iWallPaper,
  • Video Maker,
  • Color Wallpapers,
  • Pedometer,
  • Powerful Flashlight,
  • Super Bright Flashlight,
  • Super Flashlight,
  • Solitaire Game,
  • Accurate snanning of QR Code,
  • Classic card game,
  • Junk File Cleaning,
  • Synthetic Z,
  • File Manager,
  • Composite Z,
  • Screenshot Capture,
  • Daily Horoscope Wallpapers,
  • Wuxia Reader,
  • Plus Wheater,
  • Anime Live Wallpaper,
  • iHealth Step Counter,
  • com.tqyapp.fiction.

Come difendersi dalle app pericolose

I sistemi di protezione del Google Play Store non sono molto efficaci, come dimostrano le centinaia di app pericolose scoperte negli ultimi mesi. Ciò vuol dire che deve essere l’utente ad aumentare il proprio livello di sicurezza, partendo dall’installazione di un buon antivirus, fino all’analisi delle recensioni e della software house che l’ha sviluppato.

Sicurezza informatica
1 Luglio 20200

Mail dall’Agenzia delle Entrate sui pagamenti: attenzione alla truffa

A lanciare l’allarme è l’Amministrazione finanziaria con il comunicato stampa del 30 giugno 2020.

Si tratta di un tentativo di phishing, la truffa che viaggia online, solitamente via mail, con l’obiettivo di ottenere informazioni dai destinatari utilizzando format di comunicazioni simili a quelli di enti affidabili.

Non è la prima volta che l’Agenzia delle Entrate segnala mail ingannevoli in circolazione, e recentemente anche
l’INPS  ha più volte richiamato l’attenzione degli utenti sul tema.

Se si riceve una mail dall’Agenzia delle Entrate, bisogna fare molta attenzione: il pretesto di verificare la conformità dei pagamenti può essere la strategia per mettere in atto una truffa via web e acquisire informazioni riservate ai destinatari.

Come comportarsi in caso di comunicazione sospetta

Ma come comportarsi in caso di mail sospetta da parte dell’Agenzia delle Entrate?

Nel comunicato stampa alcune raccomandazioni utili sempre:

  • verificare con attenzione i mittenti sconosciuti;
  • non aprire allegati o seguire collegamenti presenti nelle mail (anche per evitare danni ai propri pc, tablet e smartphone);
  • cestinare i messaggi.

L’Agenzia delle Entrate, inoltre, sottolinea con enfasi che non invia mai ai contribuenti delle comunicazioni via mail che contengono dati personali.

Le informazioni sono disponibili esclusivamente nel Cassetto fiscale, che è accessibile tramite sul portale Istituzionale accedendo con le proprie credenziali.