La truffa con le stellette (ossia la falsa Gdf online) ...

Non occorre studiare il "social engineering" per sapere che due sono i principali motivi che spingono la gente a cadere nelle truffe:

1. il desiderio di ricevere un premio;
2. la paura di ricevere un danno.

Il meccanismo n.1 (il desiderio di ricevere un premio) funziona meglio  quando il premio tutto sommato è inaspettato (o non del tutto meritato), mentre il meccanismo n.2 (la paura del danno) funziona anche meglio quando la vittima già teme l'evento negativo o, caso ancora diverso, ha tutto sommato la coscienza un po' sporca  e quindi si aspetta di essere punita. In questi casi spesso la vittima si 'butta' essa stessa nella trappola senza fare tante domande ...

Lo sanno bene gli inventori del phishing, che hanno sfruttato ampiamente entrambe le tecniche: infatti le mail o attirano la preda con il miraggio di un premio (es. una lotteria alla quale la vittima non ha partecipato) o minacciano un danno che la vittima teme (un attacco di hacker, un'arbitraria chiusura del proprio account da parte della banca ...).

Non ci vuole la tecnologia per prendere il controllo di un computer ... In fondo anche inganni banali, quando incontrano una vittima nella giusta "disposizione d'animo", funzionano, perchè in tal caso la vittima si infila volontariamente nella trappola.

Allora che c'è di meglio - specie di questi tempi - che impersonare la Guardia di Finanza?

Nasce così una truffa che sfrutta il logo (e parzialmente il sito) della Guardia di Finanza convincendo le ignare (e sprovvedute) vittime a fare pagamenti su un sito estero per sanare una violazione di proprietà intellettuale asseritamente rilevata dalla GdF.

Nonostante le modalità inconsuete (e alcuni particolari francamente un po' surreali, come la mail da "servizio_clienti@gdf.it") un po' di gente ci deve essere cascata se sul sito ufficiale della Guardia di Finanza (e in particolare sulla pagina del GAT- Gruppo Anticrimine Tecnologico)  ci sono articolate istruzioni su come evitare la truffa ....

Il virus che ti fa causa

La paura fa novanta e lo sanno bene i truffatori.

Gli elementio fondamentale di ogni truffa sono il desiderio di guadagno (immeritato) o la paura: solo così il truffato infila da solo la testa nel cappio ...

E allora perchè non sfruttare l'onda di inquietudine lasciata da iniziative come quelle di Peppermit o della famigerata Logistep (e magari - diciamolo - il senso di colpa di 'alcuni' navigatori che amano un po' troppo la musica gratis ....)?

E allora è comparso in rete un virus che si 'traveste' da programma di controllo anti-pirateria e che fa apparire una schermata in cui si contesta il ritrovamento di file piratati, prospettando gravi sanzioni a meno che l'utente non accetti di pagare subito una somma a titolo di transazione.

Tutto falso, ovviamente. E l'ulteriore beffa è che il sito indicato per accogliere la transazione tramite carta di credito è un sito non collegato ad alcun circuito di pagamento, ma un sito fasullo (una specie di sito di phishing) che raccoglie dati di carte di credito per futuro uso ....

Aspettando le elezioni americane

Tra circa due mesi si svolgeranno le elezioni americane.

Per evitare lungaggini negli spogli dei voti e incertezze nei risultati (ma ve la ricordate la vicenda dello spoglio dei voti in Florida, decisivo per la prima elezione di George W.Bush?) gli USA hanno fatto massiccio ricorso al 'voto elettronico'.

Quanto all'affidabilità, non è che si siano fatti enormi passi avanti, come testimoniano le scorse elezioni, con notevolissimi problemi in molte zone e risultati al contagocce che hanno suscitato anche non pochi sospetti.

Quanto alla sicurezza di queste macchine, bah ... i dubbi ci sono, eccome, specie seguendo la via americana che elimina le schede cartacee e quindi la possibilità (anche solo teorica) di ricontare i voti.

Il problema, specie in elezioni molto combattute e con candidati ad un'incollatura l'uno dall'altro è enorme.

In attesa delle elezioni, vi suggerisco questo evergreen relativo alle ultime votazioni:

La privacy e il potere

Il web è pieno di notizie e "non-notizie", ma ogni tanto ci sono (anche tra queste ultime) quelle che mi provocano comunque qualche moto di inquietudine.

Quella che mi ha colpito oggi è la notizia di una causa intentata da un avvocato contro il governo statunitense relativamente al fatto che non sarebbe garantito il segreto professionale dei clienti nel caso in cui una "law firm" (chiamali studi legali non si può proprio più: sarebbe meglio chiamarle "aziende di servizi legali", per lo meno la traduzione sarebbe più letterale ...) decida di affidare in outsourcing parte delle proprie attività ad una società residente in uno stato straniero.

Il caso non è peregrino: molte grandi "law firm" statunitensi si avvalgono, in particolare, dei servizi di società operanti in India, paese dove è facile trovare dei giovani scolarizzati, dal buon inglese e a basso costo. Un po' come nell'informatica ...

Il punto che mi ha colpito è stato la motivazione della citazione: il fattore che metterebbe in pericolo la riservatezza dei dati dei clienti non è la situazione (o le autorità) del paese nel quale l'attività è svolta o la serietà degli outsourcers, ma l'attività spionistica del governo statunitense e, in particolare, della NSA che è libera di spiare in tali paesi senza vincoli costituzionali.

Non so che esito possa dare una simile azione legale, ma il problema sottostante è serio.

Noi in Europa certi problemi li sentiamo forse meno, ma il governo degli Stati Uniti, a partire dall'attacco alle torri gemelle (ma molti sostengono che tale pratica esisteva anche prima e stanno venendo fuori riscontri in tal senso): gli esempi hanno creato imbarazzo anche da noi e mi riferisco, in particolare, allo spionaggio sulle transazioni finanziarie che transitano sulla rete SWIFT (una società europea) e al famigerato Echelon.

Comunque il livello del problema negli USA può essere dato dal fatto che è in discussione un progetto di legge (spinto da G.W.Bush) per concedere l'esenzione da responsabilità alle società di telecomunicazione che hanno collaborato agli spionaggi senza mandato del governo .....

Per capire la portata del problema, pensate che tramite Echelon il Governo statunitense è in grado di "filtrare", intercettare e leggere (le mail sono assolutamente in chiaro e non è prevista, a differenza, ad. es. da sistemi come il Blackberry o la 'semplice' telefonia GSM alcuna crittografia) il traffico mail scambiato in altri paesi del mondo. Alcuni mesi fa c'era stato un interessante caso (non c'entrava il governo USA) sulla (in)sicurezza delle comunicazioni via mail tra ambasciate.

E mi vien da ridere pensando a tutte le transazioni importantissime (e segretissime) che vengono negoziate e perfezionate tramite un interminabile flusso di mail al di qua e al di là dell'atlantico.

Altro che indiani ;-)

P.S. è comunque di pochi giorni fa la notizia che il governo indiano (in ossequi al principio del "accà nissuno è fesso" ...) si è fatto consegnare dalla società che produce i Blackberry le chiavi di cifratura per leggere i messaggi scambiati con tale sistema ...

"Tu dare a me i codici del tuo home banking"

Vi ricordate il "virus albanese"?

Era una burla, bonaria e - tutto sommato - spiritosa, anche se non "politically correct".

Il "virus albanese" era una mail redatta più o meno così:

"In questa momenta voi avere ricevuto "virus albanese".

Siccome noi nela Albania no ha esperienza di softuer e programmaziona, questo virus albanese funziona su principio di fiducia e cooperazione.
Allora, noi prega voi adesso cancela tutti i file di vostro ar disc e spedisce questo virus a tutti amici di vostra rubrica.

Grazia per fiducia e cooperazione"

L'altro giorno ho ricevuto questo messaggio di phishing, che mi ha proprio ricordato il "virus albanese":

"Poste Italiane Caro cliente,

Ci dispiace informarvi che Poste Italiane il vostro account potrebbe essere sospeso se non si ri-aggiornare le informazioni sul tuo account.
Per risolvere questo problema si prega di cliccare qui e immettere nuovamente le informazioni sul tuo account.
Se i vostri problemi Non poteva essere risolto il tuo account verrà sospeso per un periodo di 24 Ora, dopo questo periodo, il tuo account verrà chiuso.
Accordo per l'utente, Sezione 9, possiamo rilasciare immediatamente un avvertimento, Sospendere temporaneamente, sospendere o chiudere indefinitamente la propria iscrizione, e rifiutare di fornire i nostri servizi a lei se crediamo che le vostre azioni possono causare perdita finanziaria o la responsabilità legale per lei, i nostri utenti o di noi. Possiamo anche prendere queste azioni vietato utilizzare Poste Italiane in alcun modo. Questo include la registrazione di un nuovo account.
Tieni presente che questa sospensione non esonera dei vostri concordato-upon obbligo di pagare le tasse è possibile Il dovere di Poste Italiane.

Cordiali saluti, sicuro Dipartimento di Poste Italiane, Inc"

Veramente una chiavica ;-)

Però la maggior parte dei messaggi di phishing contiene evidenti errori (frutto di uso non accorto di traduttori automatici) e palesi inverosimiglianze.

Eppure un mare di gente ci è caduta (e ha poi fatto causa alla banca ....).

Ma possibile? Evidentemente sì.

Evidentemente nella foga di associare tutti alle "magnifiche sorti e progressive" dell' e-banking, dell'e-government, dell' e-commerce, della "new economy" (che poi non ci ha mai restituito una diminuzione delle tariffe .....) abbiamo arruolato - come si suol dire - cani e porci.

E ora qualcuno dovrà pagarne le perdite.

Allegria.

La convenzione europea sul "Cybercrime"

Nella giornata di ieri, il Senato ha definitivamente approvato il disegno di legge di ratifica della convenzione di Budapest sul Cybercrime (del 2001).

Era una decisione attesa da tempo, anche se - dato il momento politico attuale - nessuno poteva scommettere sulla sua approvazione.

La legge contiene innovazioni importanti.

Innanzitutto vi è un "aggiornamento" delle norme del codice penale sui, "crimini informatici.

Molto interessanti sembrano, poi, le nuove norme del codice di procedura penale sull'acquisizione di prove informatiche.

Sicuramente dirompente rischia però di essere l'estensione della responsabilità "amministrativa" delle società ai casi di reati informatici e di reati di illecito trattamento di dati personali contenuta nella nuova legge.

Si conferma un atteggiamento di estrema severità del legislatore italiano riguardo al trattamento (specie se automatizzato) delle informazioni e all'esercizio di sistemi informatici in generale.

Peccato che di tanto rigore non si trovi facilmente traccia nell'approccio all'informatica da parte dei responsabili dei dipartimenti IT...

IKEA, spazio alle idee ...

Sembrerebbe che una falla nella sicurezza dei server di Ikea abbia consentito a ignoti malviventi di utilizzare i sistemi del noto fabbricante di mobili per inviare mail contenenti virus.

Il fatto che le mail provenissero da server 'legittimi' ha permesso loro di superare i filtri antispam e di raggiungere un gran numero di utenti.

Sul sito nessun avviso del problema e pare che Ikea abbia mantenuto in funzione i server 'infetti' per cinque giorni dopo essere stati avvertiti .....

Qualche giorno fa Theregister si chiedeva se non fosse il caso di imporre a chi usa un computer un "esame di guida".

Una provocazione, certo, ma non curare la sicurezza del proprio hardware può creare danni (anche) agli altri.

P.S. proprio ora Theregister pubblica la notizia di un server di un'ambasciata olandese che spargeva malware ....

Voto elettronico sicuro ...

Il governo brasiliano sta pensando di ricorrere a Linux per il voto elettronico.

Bene.

E' un passo in avanti , perchè è indispensabile sapere esattamente come funziona il software di controllo di una macchina per il voto elettronico. Credo che sia evidente.

Ma non basta assolutamente, perchè la sicurezza è un processo e non una tecnologia. E non è uno slogan.

Se infatti si raccolgono i dati dello spoglio con le chiavette USB, come ad esempio si è fatto in Italia, si rischiano i disastri delle elezioni americane .......

Le elezioni sono una cosa seria.

Phishing ... l'evoluzione continua

Quanto è sicuro un centro di ricerca nucleare dell'esercito?

Alla fine non molto, perchè non importa se i militari hanno muri di cinta imponenti, filo spinato e guardie armate cattivissime, bravissimi tecnici informatici (ma, poi, bisogna vedere se li hanno davvero e se sono in servizio e operativi o se non sono - magari - dirottati su altri compiti, se si parlano tra loro, etc.....) perchè la sicurezza di una catena si deve misurare sempre sull'anello più debole.

E l'anello più debole spesso risiede nel breve spazio che sta tra la tastiera e la seggiola ......

Già, perchè il fattore umano (il "meatware") è un elemento essenziale e immancabile del sistema.

Capita così che i centri di ricerca nucleare del governo statunitense vengono presi di mira con attacchi di phishing, con risultati - a quanto pare - per lo meno imbarazzanti.

Prevenire un attacco di phishing, soprattutto quando diretto all'interno di un'organizzazione abituata rispondere a sollecitazioni via mail, obiettivamente, non è facile e richiede comunque un attento training del proprio personale. Ma questo training evidentemente non è mai stato fatto, se è vero che l'anno scorso uno di questi centri ha rilasciato informazioni sensibili su test nucleari tramite posta elettronica. Che c'è di grave dite voi? L'e-mail non è uno strumento sicuro, perchè trasferisce informazioni in chiaro e, su reti aperte come le normali reti internet, non è possibile predeterminare su quali e quanti server l'informazione deve essere riprodotta per arrivare al destinatario ...... Ovviamente stiamo parlando di server di posta che possono essere installati da chiunque e in ogni parte del mondo.

Così, oltre a non poterci stupire se, come riportato sempre nell'articolo di PcWorld, addosso ad un trafficante di droga viene trovata una chiavetta USB contentente dati riservati su esperimenti nucleari, comincia a venirci il dubbio che la sicurezza sia un problema globale ......

Do electronic cops dream of electronic thefts?

Leggo su The Register di oggi la notizia di un'imponente operazione contro la criminalità informatica (quella vera, ripeto, non quella dei download illegali che crea allarme solo quando i politici sono in crisi di consensi - come Sarko - o si sono fatti, come agganciare dalle majors - come tutti gli altri).

FBI, niente di meno, annuncia di aver scoperto due milioni (!) di computer ('Zombies') infettati da virus vari che li avevano portati sotto il controllo di organizzazioni criminali che li avevano raggruppati in vaste reti illegali ('Botnets') per compiere ogni sorta di illeciti, dal 'furto di identità' ('Identity theft' o 'Phishing') agli attacchi a sistemi informatici ("distributed denial o services" o "DDoS") sfruttando i pc di ignari utenti.

Tra tanti allarmi, lanciati più o meno a proposito, sta emergendo l'allarme per il cybercrime, che non è più (ma lo è mai stato?) il problema dell'hacker che attacca dall'esterno i mainframe della grandi società e delle amministrazioni statali, ma sta diventando un fenomeno che colpisce (anche dolorosamente, vedi phishing) i singoli internauti vittima dell'ubriacatura collettiva di un internet facile dove "basta un click" per fare qualunque cosa, per spalancare a tutti le porte delle "magnifiche sorti e progressive" dell'e-commerce, dell'e-government (a quando l'e-voting?)

Per tornare ad aspetti più godibili, vi segnalo il nome davvero carino dell'operazione dell'FBI ('bot roast': arrosto di botnet) e di un'analoga e più ristretta iniziativa della polizia giudiziaria italiana 'phish and chips' (che rieccheggia sia il 'fish and chips', pesce e patatine fritte, sia il phishing e i microprocessori delle carte di credito - ossia i 'chip') andata ad udienza ieri.

Il titolo di questo post è invece una libera interpolazione del titolo originale del libro da cui deriva "blade runner" ("do androids dream of electric sheep?" di Philip K. Dick).

Buon w.e a tutti e un caloroso augurio di buon lavoro ("good hunt") a tutti i "botbusters" nostrani e d'oltreoceano.

Phishing, l'evoluzione della specie

Un pezzo su theregister illustra la nuova ondata di phishing mirato alle aziende: mail (grammatica impeccabile, indirizzate a soggetti esattamente individuati nel testo della comunicazione con nome, cognome e società) apparentemente provenienti da un'Autorità (in questo caso il Ministero della Giustizia statunitense) che invitano ad aprire un allegato che conterrebbe un esposto presentato contro la società alla quale il malcapitato appartiene).

Manco a dirlo l'allegato contiene un trojan che si installa e comincia a succhiare dati che allargano la base conoscitiva sulla quale i malfattori si possono basare per successive truffe (o magari possono acquisire password d'accesso a conti correnti o altri dati che hano un valore in sè, come piani di mercato, informazioni di borsa ......).

Le vittime non sarebbero poche .....

Hacking dell'anno?

Da quanto ho inserito il post sulla cattura dell' "hacker dell'anno" non sono riuscito a smettere di domandarmi cosa mai fosse quel network globale tra ambasciate che sarebbe stato bucato dal nostro giovanottone.

I riferimenti negli articoli sono assai fumosi e parlano genericamente di un collegamento telematico utilizzato dalle ambasciate. Tra l'altro non è neppure chiaro quale sia il paese che usa tale network e nemmeno se il paese è impattato è uno solo, anzi sembrerebbero di più ....

Quale sarà lo strumento (ovviamente super sicuro) con il quale alti funzionari trasmettono i loro segreti dall'altro capo del mondo?

.... acc..., ora ho capito: è l'e-mail!

Caspita! Adesso torna tutto quanto.

Proviamo allora ad immaginare quello che successo.

E' ovvio che un diplomatico in missione ha bisogno di un mezzo rapido ed efficiente per ricevere e trasmettere notizie (posto che quella è probabilmente la sua funzione più importante).

Come sempre, però, l'utilizzo di cifrature o di strumenti particolari comporta perdite di tempo e difficoltà "tecniche" non compatibili con le esigenze (e non dimentichiamo lo status ....) delle loro eccellenze. Del resto, poi, tutti usano le e-mail per comunicare sul lavoro, anche i grandi manager e gli avvocati d'affari .......

Diciamo che non se ne può fare a meno e basta.

Via via che il traffico di mail aumenta al nostro "Topo Gigio" (l'esperto di sicurezza dell'ambasciata, ricordate?) iniziano a venire i sudori freddi e non potendo convincere le loro signorie a darsi una calmata con l'e-mail ("pensa alle tue cose tecniche, il mondo cambia ogni minuto e noi dobbiamo lavorare in fretta!") o quanto meno di crittografare i contenuti ("ekkekazzo, che è 'sta pocata? ...non funziona, ... sì funziona, ma si perde tempo e poi è incompatibile con i sistemi dei miei corrispondenti") pensa almeno di mascherare l'ip di partenza tramite TOR che gli permette quanto, meno, di anonimizzare il traffico e di ovviare al fatto che la trasmissione è del tutto in chiaro.

Purtroppo per il nostro Topo Gigio al mondo c'è gente che ha tempo ed energie da spendere (come il nostro "giovanottone"), per tacere di soggetti che hanno anche enormi risorse e infrastrutture in funzione proprio per scandagliare la rete in lungo e il largo (il Governo degli Stati Uniti, ad esempio; tra l'altro TOR l'hanno inventato loro e l'hanno rilasciato con licenza open source, vi dice niente il fatto ? ...... ).

Adesso il nostro giovanottone è alle prese con la polizia e Topo Gigio avrà preso così tanti sberloni che le orecchie gli saranno diventate davvero grosse piatte come quelle del cartone animato, ma finchè la sicurezza non è un problema degli utenti ....

Preso l'hacker dell'anno

Preso a seguito di un movimentato intervento l' "hacker dell'anno".

Che mai avrà fatto questo bel tipo (tra l'altro consulente informatico nel campo della sicurezza) per meritarsi cotanta attenzione dei media (e della polizia ..)?

Sembra che il nostro consulente abbia intercettato traffico tra ambasciate (non crittato!) trasmesso attraverso un circuito telematico (cd. nodi TOR) e abbia potuto così carpire user id e passwords di un centinaio di caselle di posta "diplomatica", che avrebbe poi postato sul suo sito, a disposzione di chiunque ....

Bello, no? Ma chi è il consulente della sicurezza di queste ambasciate: Topo Gigio?

Ora il "nostro" hacker è al fresco (ci dovrebbe andare anche Topo Gigio, secondo me ...) e mi auguro che la pubblicità gli consenta presto (come ad altri suoi 'colleghi' del passato) di staccare lucrosi contratti di consulenza, visto l'evidente skill che ha dimostrato ;-)

Buona lettura. Il racconto dell'hacking è affascinante ;-)

Un "botmaster" alla sbarra ....

Le "botnet" assurgono agli onori della cronaca nella stampa italiana.

Repubblica.it pubblica la storia di un hacker, detto appunto "Botmaster" che verrà presto processato per aver infettato migliaia di PC (250.000, pare) dando vita ad una pericolosissia "botnet", ovviamente illegale.

Cosa sono le "botnet"? "Bot" è l'abbreviazione di "robot" e indica un computer (altri lo chiamano "zombie") che viene infettato da "malware" (virus e altra "monnezza") che lo pone sotto il controllo del "botmaster". In pratica il PC non presenza, per il suo proprietario, particolari sintomi, salvo un certo rallentamento di prestazioni, ma in realtà lavora per un altro padrone e si incarica di ridistribuire spam, phishing, attacchi informatici di vario tipo.

Le botnet, di cui da tempo si presumeva l'esistenza, ma che ora approderanno nelle aule di tribunale, sono il vero e proprio "cavallo da guerra" del cybercrime. E stiamo parlando di crimine, quello vero, quello che può piegare grandi società o stati interi (ricordate l'Estonia?) con la minaccia di un DDoS (Distribute Denial of Service), o svuotare centinaia di conti correnti con il phishing restando nell'ombra ....

Phishing aziendale: ora il gioco si fa duro ....

Sta rimbalzando per il web la notizia che Salesforce è stata vittima di un attacco di phishing.

Che c'entra Salesforce, mica è una banca?

No certo, ma questo è un attacco di tipo diverso: infatti l'attacco non sarebbe stato rivolto - almeno inizialmente - ai clienti di Salesforce, ma ai suoi dipendenti.

Il risultato di questi attacchi, effettuati con le note tecniche del "social engineering" (furbizia, fantasia e un po' di studio dei comportamenti umani) è stato che uno dei dipendenti ha improvvidamente ceduto le sue passwords ai truffatori, i quali ne hanno approfittato per estrarre dai sistemi informativi di Salesforce dati più dettagliati dei suoi clienti (con i riferimenti dei contatti, chi chiamare e a che numero ...) per mirare meglio le truffe (tra l'altro condotte con l'uso combinato di e-mail fasulle e "malware").

Il risultato è un comunicato di Salesforce, tutto sommato imbarazzante, nella quale si avvertono i clienti delle possibili truffe

Bello no?

No, certo, il comunicato è ben scritto, ma il risultato è un incubo sotto il profilo delle pubbliche relazioni e dell'immagine. Se poi si applicasse la normativa italiana sulla sicurezza dei dati personali .......

In realtà abbiamo tutti un grave problema di sicurezza, anzi un problema diffuso, in quanto la gente (colleghi, vicini, parenti) continua a credere - nonostante ogni evidenza - che il fatto che una mai appaia provenire da qualcuno provenga effettivamente da tale soggetto ..... .

Quanto poi al valore di una password, .. ma sì, ... che sarà mai!

Ricordate, poi, il recente caso (italiano) della falsa mail che annunciava la partenza di un'indagine antitrust su Mediaset (già nell'occhio del ciclone per i fatti suoi nell'ambito degli analisti finanziari per il calo dei suoi profitti ...)?

Sicurezza informatica? Ha, ha, ha .....

Chi ha mai detto che un'appropriata sicurezza informatica protegge adeguatamente i nostri dati?

Su theregister una storia paradigmatica su un centro elettronico che subisce furti ingenti di harware "di produzione" (quindi con tutte le memorie cariche di dati) per la quarta volta in due anni insegna come non si debba mai dimenticare qualche apprestamento difensivo più "concreto" rispetto alla semplice "sicurezza logica".

Ad una prossima puntata qualche considerazione sull'aspetto umano (il "wetware", aka "PEBKAC": Problem Exists Between Keyboard And Chair).