• I phisher prendono di mira gli utenti Apple in una nuova truffa volta a rubare gli ID Apple.
• La truffa sfrutta email autentiche del Supporto Apple per ingannare le vittime.
• Verificate sempre contattando i canali ufficiali Apple e non fornite mai i vostri codici di autenticazione.

Ti fideresti di un interlocutore sconosciuto che afferma di chiamare da Apple se la sua telefonata coincidesse con avvisi autentici provenienti dal sito ufficiale di Apple? Tutto ciò crea un senso di fiducia ed è esattamente questa sensazione di autenticità che i truffatori stanno sfruttando in una campagna attiva che prende di mira gli utenti Apple, nel tentativo di rubarne i dettagli degli account.

Per l'utente Apple Eric Moret, questo rischio era fin troppo reale. Come descritto in un post sul blog Medium, Moret ha ricevuto all'improvviso un messaggio di testo contenente un codice di accesso per l'autenticazione a due fattori (2FA), anche se non stava tentando di accedere a nessuno dei suoi account. Un minuto dopo, ha ricevuto una chiamata automatizzata da Apple che recitava ad alta voce un codice 2FA. Era chiaro che qualcuno stava tentando di entrare nel suo account.

Poco dopo, Moret ha ricevuto una chiamata da un numero di Atlanta. L'interlocutore ha detto di essere del Supporto Apple, ha spiegato che l'account di Moret era sotto attacco e ha aggiunto che un altro rappresentante lo avrebbe richiamato presto. La richiamata è arrivata nel giro di dieci minuti, dando il via a una "truffa di 25 minuti" in cui il finto operatore ha guidato Moret attraverso il processo di ripristino della password di iCloud.

Ed ecco la parte più astuta: il truffatore ha creato un ticket di Supporto Apple autentico per Moret e, mentre erano in linea, gli ha fatto verificare che il messaggio provenisse da un indirizzo email Apple reale. L'interlocutore era calmo e professionale e tutto ciò ha rassicurato Moret sul fatto che la procedura fosse pienamente legittima.

A Moret è stato chiesto di resettare la password di iCloud, e l'interlocutore non gli ha mai chiesto di condividerla. Tuttavia, il passo successivo è stato decisivo: gli è stato comunicato che a breve avrebbe ricevuto un SMS "con un link per chiudere la pratica".

L'SMS è arrivato e conteneva un link a un sito web fraudolento: appeal-apple.com. La pagina indicava che il processo di messa in sicurezza dell'account di Moret era in corso e che tutto ciò che doveva fare era inserire un codice per chiudere la pratica. In quel momento, Moret ha ricevuto un codice di verifica a sei cifre tramite SMS, che ha subito digitato nel sito web.

Quello era il raggiro. Invece di chiudere la pratica, il numero che Moret aveva ricevuto era in realtà un codice 2FA utilizzato per accedere al suo account. Pochi secondi dopo averlo inserito, ha ricevuto un'e-mail che, a suo dire, "mi ha fatto gelare il sangue". L'e-mail in questione lo informava che il suo account era stato utilizzato per effettuare l'accesso su un Mac mini, sebbene non possedesse un tale dispositivo. Era ormai chiaro che i truffatori avevano ottenuto l'accesso al suo account e, con esso, alla sua "intera vita digitale", inclusi file, foto, e-mail e altro ancora.

Cercando di rassicurarlo, il finto operatore ha detto a Moret che tutto ciò era "previsto come parte della procedura di sicurezza", ma Moret non era convinto. Pensando rapidamente, ha resettato la sua password di iCloud una seconda volta; subito dopo, il Mac mini è scomparso dal suo account e il sito web fasullo ha iniziato a reindirizzare a Google. Era scampato al disastro, ma per un soffio.

Come proteggersi da attacchi come questo

L'attacco ha funzionato perché i truffatori sono rimasti calmi per tutto il tempo e non si sono affrettati né hanno fatto pressioni su Moret, cosa che altrimenti avrebbe potuto sollevare i suoi sospetti.

Ma il punto cruciale è stata l'email autentica del Supporto Apple, che ha sfruttato una falla nei sistemi Apple: chiunque può creare un ticket di Supporto Apple per chiunque altro, senza alcuna verifica. Ciò significa che gli aggressori potevano avviare una pratica utilizzando l'indirizzo e-mail di Moret e ricevere lì l'email del Supporto Apple, conferendo credibilità al loro piano.

Tuttavia, ci sono modi per proteggersi da attacchi come questo. Il più semplice è riagganciare se si riceve una chiamata inaspettata da qualcuno che afferma di lavorare per Apple, quindi chiamare direttamente Apple per verificare se si è effettivamente a rischio.

Oltre a ciò, fate attenzione ai codici 2FA e non forniteli mai a nessuno, anche se affermano di essere di Apple. Non comunicate mai questi codici al telefono né condividete "codici di conferma" con altre persone. E verificate sempre che un sito web sia un dominio Apple autentico, e non uno che utilizzi semplicemente il nome dell'azienda in mezzo ad altri elementi dell'URL, come hanno fatto i phisher in questo caso.

E se volete davvero stare al sicuro, utilizzate una chiave di sicurezza hardware. Queste richiedono di collegare fisicamente la chiave al computer per verificare la vostra identità, cosa che un phisher non sarà mai in grado di fare.

Secondo un memo trapelato, il Parlamento Europeo sta cercando di raggiungere un accordo sulla contestata proposta di legge per la scansione dei contenuti legati agli abusi su minori (CSAM).

Come riportato dall’organizzazione per i diritti digitali Netzpolitik, durante una riunione tenutasi l’11 luglio, il Parlamento ha minacciato di bloccare la proroga del regolamento transitorio sulla scansione volontaria – una norma temporanea che consente ai fornitori di servizi di messaggistica di analizzare le chat degli utenti su base facoltativa – a meno che il Consiglio non accetti di introdurre la scansione obbligatoria.

“Questo ricatto politico costringe a una scelta sbagliata e contraddice la posizione dichiarata del Parlamento contro la sorveglianza di massa,” ha dichiarato a TechRadar Patrick Breyer, ex eurodeputato del Partito dei Pirati tedesco.

La Danimarca, nel primo giorno della sua Presidenza dell’UE, ha rilanciato la proposta di legge, e ora le nuove obbligazioni per tutti i servizi di messaggistica attivi in Europa – che imporrebbero la scansione delle chat degli utenti – potrebbero essere adottate già a partire da ottobre.

"A more radical version"

Proposta per la prima volta nel maggio 2022, quella che i critici hanno ribattezzato “Chat Control” mira a contrastare la diffusione online di contenuti legati agli abusi su minori (CSAM) tramite la scansione di tutte le comunicazioni, comprese quelle criptate.

Nel corso degli anni, tuttavia, la proposta ha subito numerosi cambiamenti, sollevando forti preoccupazioni da parte di attivisti per la privacy, esperti tecnologici e persino politici.

Gli esperti temono soprattutto che le nuove obbligazioni legate alla scansione finiscano per indebolire la protezione offerta dalla crittografia end-to-end, una funzionalità cruciale adottata da servizi come WhatsApp, Signal e Proton Mail, che rende le comunicazioni illeggibili da terzi non autorizzati.

Nella sua prima versione, la proposta prevedeva che tutti i fornitori di servizi di messaggistica dovessero effettuare una scansione indiscriminata dei messaggi privati per individuare materiale CSAM. La reazione fu immediata: la Corte Europea dei Diritti dell’Uomo è arrivata a vietare qualsiasi tentativo legale di indebolire la crittografia delle comunicazioni sicure all’interno dell’Unione.

Nel giugno 2024, il Belgio ha proposto una nuova versione più moderata del testo, mirata esclusivamente a foto, video e URL condivisi, e solo con il consenso dell’utente. Nel febbraio 2025, la Polonia ha cercato un compromesso, proponendo una scansione volontaria delle chat criptate, classificata come misura di “prevenzione”.

Secondo Patrick Breyer, però, la proposta danese è la versione più radicale mai vista: “Questa proposta prevede la scansione di massa obbligatoria delle comunicazioni private e mira a compromettere la crittografia sicura, imponendo la scansione lato client all’interno delle app di messaggistica. È significativo che account governativi e militari saranno esentati da questa sorveglianza invadente e inaffidabile,” ha spiegato.

Il memo trapelato conferma anche che il Servizio giuridico del Consiglio dell’UE ritiene ancora che l’attuale proposta violi i diritti fondamentali dei cittadini europei, sottolineando che “i problemi centrali relativi all’accesso alle comunicazioni di potenzialmente tutti gli utenti restano invariati”.

Tuttavia, molti dei Paesi che si erano opposti a Chat Control nel 2024 sembrano ora più propensi a trovare un accordo. Tra le nazioni che accolgono e sostengono la proposta danese figurano Italia, Spagna e Ungheria. Anche la Francia ha dichiarato che “potrebbe sostanzialmente appoggiare la proposta”.

Al momento, Belgio, Estonia, Finlandia, Germania, Grecia, Slovenia, Lussemburgo e Romania risultano indecisi o in attesa di una revisione parlamentare interna.

Tutti i governi dovranno finalizzare le loro valutazioni entro il 12 settembre, data in cui è previsto il prossimo incontro ufficiale. L’obiettivo dichiarato è arrivare a una delibera finale sulla proposta il 14 ottobre (vedi pagina 31 dell’agenda).

Una cosa è certa: l’accesso legale ai dati criptati dei cittadini è una priorità assoluta per molti legislatori europei. Alla fine di giugno, la Commissione Europea ha anche pubblicato il primo passo della strategia ProtectEU, che punta a permettere alle forze dell’ordine di decifrare i dati privati entro il 2030.

Il gruppo austriaco per i diritti digitali noyb ha minacciato un’ingiunzione contro Meta a causa dei suoi piani di utilizzare i dati degli utenti europei per addestrare i modelli di Meta AI, sostenendo che non rispettano il GDPR.

A partire dal 27 maggio 2025, Meta inizierà a utilizzare tutti i post pubblici e le interazioni degli utenti di Facebook e Instagram per l’addestramento dei suoi sistemi, applicando un sistema di opt-out. Ciò significa che gli utenti europei dovranno compilare un modulo di opposizione se non vogliono che i loro dati vengano utilizzati. Ma secondo noyb, questo approccio viola la normativa europea sulla privacy, che richiede un consenso esplicito (opt-in) per il trattamento di dati personali, soprattutto in scenari come questo.

Il gruppo guidato dall’attivista Max Schrems ha già inviato una diffida ufficiale a Meta mercoledì 14 maggio, chiedendo la sospensione immediata dei piani. Schrems ha aggiunto che, se Meta non dovesse fermarsi, si procederà con un’ingiunzione legale e potenziali class action, che potrebbero portare a richieste di risarcimento danni da parte degli utenti coinvolti.

Il legittimo interesse e i limiti imposti dal GDPR

Secondo noyb, il problema legale legato a Meta AI riguarda l’intenzione del colosso tech di invocare la clausola del "legittimo interesse" prevista dall’articolo 6(1)(f) del GDPR. Questa disposizione consente il trattamento dei dati personali senza consenso esplicito, ma solo in casi circoscritti, come la prevenzione di frodi, l’assistenza clienti o la gestione delle risorse umane.

Nel caso di Meta, però, noyb contesta l’applicabilità di questa base giuridica per l’addestramento dei modelli di intelligenza artificiale, sostenendo che non sia né legittima né necessaria.

"La Corte di Giustizia Europea ha già stabilito che Meta non può invocare il 'legittimo interesse' per la pubblicità mirata. Come può allora sostenere di avere un 'legittimo interesse' ad assorbire tutti i dati per l’addestramento AI?", ha dichiarato Max Schrems, ribadendo che nel contesto di Meta AI questo principio non può essere applicato.

In aggiunta, le aziende devono condurre una valutazione articolata del legittimo interesse per verificare che il trattamento non abbia un impatto negativo sui diritti e le libertà degli utenti. Ma secondo noyb, Meta AI non rispetterà nemmeno altri principi chiave del GDPR, come il diritto all’oblio o il diritto di accesso ai propri dati. Il motivo? Una volta che i dati vengono inglobati in un modello linguistico di grandi dimensioni, diventa estremamente difficile, se non impossibile, recuperarli o cancellarli in modo selettivo.

"Meta afferma semplicemente che il suo interesse a fare soldi è più importante dei diritti dei suoi utenti", ha concluso Schrems.

Meta ha comunicato ufficialmente, il 14 aprile 2025, l’intenzione di riprendere l’addestramento dei suoi modelli di intelligenza artificiale nell’Unione Europea, dopo lo stop forzato avvenuto nel 2024 a causa delle preoccupazioni sollevate da autorità e gruppi per la tutela dei dati personali.

Tra le voci più critiche figura noyb, che già nel giugno dello scorso anno aveva presentato reclami ufficiali per impedire a Meta di utilizzare i dati degli utenti europei per l’addestramento dei suoi sistemi di IA.

Nel suo annuncio, la società madre di Facebook e Instagram ha dichiarato di aver interagito con le autorità europee e di ritenere che il proprio approccio sia conforme alla normativa UE in materia di protezione dei dati.

In particolare, Meta cita un parere dell’EDPB (European Data Protection Board) pubblicato a dicembre, che fornisce linee guida all’Autorità garante per la protezione dei dati irlandese (DPA) per valutare la legittimità dell’utilizzo del "legittimo interesse" come base giuridica per l’addestramento dei modelli di intelligenza artificiale.

Tuttavia, secondo Max Schrems, quanto fatto da Meta non basta a rendere l’addestramento di Meta AI conforme alla legge.

"Per quanto ci risulta, Meta ha 'interagito' con le autorità, ma questo non ha portato ad alcun 'via libera'. Sembra che Meta stia semplicemente andando avanti ignorando le autorità europee per la protezione dei dati", ha dichiarato Schrems.

Finora, solo un’organizzazione tedesca per la tutela dei consumatori, il Centro di Consulenza della Renania Settentrionale-Vestfalia (VZNRW), ha messo in dubbio la legittimità di Meta AI, inviando una richiesta ufficiale a Meta per bloccare i suoi piani di addestramento nell’UE.

Come sottolineato da noyb, le Autorità nazionali per la protezione dei dati (DPA) sono rimaste perlopiù silenziose, pur invitando i cittadini europei a esercitare il diritto di opposizione entro il 27 maggio.

Meta, dal canto suo, ha respinto le accuse del VZNRW, avvertendo che un’ingiunzione contro l’addestramento di Meta AI danneggerebbe sia il mercato tedesco che quello europeo dell’intelligenza artificiale.

E adesso?

Come anticipato, Meta è pronta ad avviare l’addestramento dei suoi modelli di intelligenza artificiale utilizzando i post e le interazioni pubbliche degli utenti europei di Facebook e Instagram a partire dal 27 maggio 2025.

Noyb ha fatto sapere di essere al lavoro per valutare un’ingiunzione o un’azione collettiva nel caso Meta proceda con il piano, sottolineando ancora una volta come ottenere il consenso esplicito degli utenti resti la strada più semplice per risolvere le criticità legate al GDPR.

Nel frattempo, è importante che gli utenti europei optino per l’esclusione dal programma, se non desiderano che i propri dati vengano utilizzati per l’addestramento dell’IA. A ricordarlo è anche Proton, azienda specializzata in privacy digitale, che ha scritto su LinkedIn: "È difficile prevedere come verranno usati questi dati in futuro, meglio prevenire che curare."

Per esercitare il diritto di opposizione, basta accedere al proprio account e compilare il modulo dedicato (uno per Facebook e uno per Instagram). Non è necessario fornire una motivazione.

Il gruppo tedesco per la tutela dei consumatori Verbraucherzentrale Nordrhein-Westfalen ha formalmente richiesto a Meta di sospendere i suoi piani per utilizzare i dati degli utenti dell’Unione Europea nell’addestramento dei modelli di intelligenza artificiale.

In una comunicazione ufficiale del 30 aprile 2025, l’associazione ha inviato una lettera di diffida alla società, esortando le piattaforme Facebook e Instagram a interrompere immediatamente qualsiasi iniziativa in tal senso. Il gruppo ha inoltre dichiarato di essere pronto a intraprendere azioni legali qualora Meta non dovesse adeguarsi.

“È fondamentale intervenire rapidamente, perché una volta che i dati vengono utilizzati per addestrare un’IA, recuperarli diventa estremamente difficile”, ha dichiarato Christine Steffen, esperta di protezione dei dati presso il centro consumatori della Renania Settentrionale-Vestfalia.

Secondo quanto riportato, a partire dal 27 maggio 2025, tutti i post pubblici e le interazioni degli utenti saranno utilizzati per alimentare Meta AI, salvo espressa opposizione. Gli utenti dell’UE che non desiderano che i propri dati vengano utilizzati a questo scopo dovranno effettuare manualmente l’opt-out.

Meta nella bufera in Europa

Dopo il lancio ufficiale di Meta AI nell’Unione Europea avvenuto a marzo, quasi un anno dopo il rinvio iniziale, Meta ha dichiarato di operare in conformità con le normative europee sulla protezione dei dati. “Accogliamo positivamente il parere dell’EDPB di dicembre, che ha confermato come il nostro approccio iniziale fosse conforme agli obblighi di legge”, si legge nell’annuncio ufficiale dell’azienda.

Il parere del Comitato europeo per la protezione dei dati (EDPB) fornisce indicazioni all’autorità irlandese per la protezione dei dati (DPA) sull’utilizzo del cosiddetto interesse legittimo come base giuridica per l’addestramento dei modelli IA.

Tuttavia, le associazioni dei consumatori tedesche contestano l’adeguatezza di questa motivazione. Secondo gli esperti, non è accettabile che le informazioni personali condivise con Meta nel corso degli anni possano ora essere impiegate per l’addestramento dell’intelligenza artificiale, senza un consenso esplicito.

“Non si può escludere che vengano utilizzati anche dati particolarmente sensibili, protetti in modo rafforzato dal GDPR”, ha dichiarato Christine Steffen. “In questi casi, l’opt-out proposto da Meta non basta: è necessario il consenso attivo dell’utente.”

Anche il gruppo austriaco per la tutela della privacy noyb (None of Your Business) si unisce alle critiche contro i piani di Meta per l’addestramento dei suoi modelli di intelligenza artificiale con i dati degli utenti europei.

"Meta sta deliberatamente cercando di ignorare la legge europea, mettendo i propri interessi commerciali al di sopra del diritto fondamentale alla protezione dei dati personali", ha dichiarato Max Schrems, avvocato e co-fondatore di noyb, in un comunicato ufficiale, esprimendo pieno sostegno alle azioni del Verbraucherzentrale NRW.

"Meta dovrebbe semplicemente chiedere il consenso alle persone interessate. Se continuerà a ignorare il diritto dell’UE, ci saranno conseguenze per tutta l’Europa", ha aggiunto Schrems.

Con il lancio ufficiale di Meta AI previsto tra circa due settimane, ci si aspetta che anche altre organizzazioni europee per la privacy, le autorità competenti o persino la DPA irlandese possano intervenire con iniziative simili.

Nel frattempo, esperti e aziende del settore privacy, come Proton – noto fornitore di servizi di posta elettronica cifrata e VPN – invocano maggiore attenzione. In un post su LinkedIn, Proton scrive: "È difficile prevedere come verranno usati questi dati in futuro – meglio prevenire che curare."

Gli utenti dell’Unione Europea hanno tempo fino al 27 maggio 2025 per impedire che Facebook e Instagram utilizzino i propri dati per addestrare i modelli di IA. Per farlo, è necessario accedere al proprio account e compilare un modulo di opposizione (uno per Facebook e uno per Instagram). Non è necessario fornire una motivazione per esercitare questo diritto.

Meta ha annunciato il 14 aprile 2025 di aver ripreso il suo piano per utilizzare i dati degli utenti europei nell’addestramento dei suoi modelli di intelligenza artificiale. A breve, tutti i post e i commenti pubblici condivisi dagli utenti adulti sulle piattaforme social del gruppo verranno inclusi nel processo di training di Meta AI, insieme alle interazioni dirette con il chatbot.

La decisione segue il lancio ufficiale di Meta AI anche nell’Unione Europea, avvenuto a marzo, dopo che l’implementazione era stata temporaneamente sospesa a causa delle preoccupazioni sollevate dai garanti della privacy dei Paesi membri.

Cos'è l'addestramento Meta AI e come abbandonarlo

Nel comunicato ufficiale, Meta ha dichiarato: “Riteniamo di avere la responsabilità di sviluppare un’IA non solo accessibile agli europei, ma pensata per loro. Per questo è fondamentale che i nostri modelli generativi vengano addestrati su una varietà di dati in grado di riflettere le incredibili sfumature e complessità che caratterizzano le comunità europee”.

Secondo l’azienda, questo tipo di addestramento non è una pratica esclusiva né di Meta né dell’Europa: lo stesso approccio viene infatti adottato in tutte le aree in cui Meta AI è attiva. Come già spiegato, il sistema utilizzerà per l’addestramento tutti i post pubblici e i dati relativi alle interazioni degli utenti adulti. I contenuti pubblici degli utenti europei di età inferiore ai 18 anni non verranno inclusi.

Meta assicura inoltre che i messaggi privati scambiati tramite WhatsApp o iMessage non saranno in alcun modo impiegati per scopi di addestramento dell’intelligenza artificiale.

A partire da questa settimana, tutti gli utenti europei delle piattaforme Meta inizieranno a ricevere notifiche, via app o email, riguardo ai nuovi termini relativi all’uso dei propri dati per l’addestramento dell’intelligenza artificiale. Queste comunicazioni includeranno un link diretto a un modulo tramite il quale sarà possibile negare il consenso al trattamento dei dati per finalità di training di Meta AI.

“Abbiamo reso questo modulo di opposizione facile da trovare, leggere e compilare, e daremo seguito a tutte le richieste già ricevute così come a quelle che arriveranno”, ha dichiarato l’azienda. Tuttavia, è importante comprendere che, una volta che le informazioni entrano nel database di un modello linguistico di grandi dimensioni, diventa estremamente difficile – se non impossibile – esercitare il diritto all’oblio previsto dal GDPR.

È proprio per questo motivo che esperti in tutela della privacy, come Proton (noto provider di soluzioni come VPN e email criptate), stanno invitando gli utenti europei più attenti alla propria riservatezza a rifiutare l’uso dei propri dati per l’addestramento di Meta AI. “Raccomandiamo a tutti di compilare il modulo quando lo riceveranno, per tutelare la propria privacy. È difficile prevedere come questi dati verranno usati in futuro – meglio essere prudenti,” si legge in un post pubblicato da Proton su LinkedIn.

L’annuncio di Meta coincide con l’apertura, da parte del garante irlandese, di un’indagine su Grok AI, la piattaforma di intelligenza artificiale gestita da X. L’obiettivo è verificare se i contenuti pubblicamente accessibili su X vengano usati per addestrare l’IA in modo conforme alle normative del GDPR.

L'organizzazione francese per i diritti umani, Ligue des droits de l'Homme, ha accusato Apple di violazioni della privacy, trattamento illecito di dati personali e pratiche commerciali ingannevoli, come riportato da Radio France e Le Monde.

La denuncia sulla privacy si basa su informazioni fornite da un ex dipendente, che avrebbe condiviso prove della raccolta e del trattamento su larga scala delle registrazioni vocali di Siri senza il consenso degli utenti.

Il reclamo è stato presentato alla Procura di Parigi giovedì 13 febbraio 2025, solo poche settimane dopo che il colosso tecnologico ha accettato di pagare 95 milioni di dollari per chiudere una causa simile in California, senza però ammettere alcuna responsabilità.

Invasione della privacy e violazione del GDPR

Il francese Thomas Le Bonniec ha iniziato a lavorare per Globe Technical Services (GTS) a Cork, in Irlanda, nella primavera del 2019. Faceva parte di un team incaricato di migliorare le risposte multilingue di Siri, ascoltando, trascrivendo e catalogando le registrazioni attivate dall'assistente vocale di Apple.

"Il primo giorno ci è stato detto che avremmo lavorato su registrazioni di persone che parlavano con Siri o su registrazioni catturate senza il loro consenso, quando il dispositivo si attivava per errore", ha raccontato Le Bonniec a Radio France.

Il suo compito principale era verificare l'accuratezza delle trascrizioni di Siri e determinare se una registrazione fosse stata attivata accidentalmente. Durante il periodo trascorso presso GTS, ha riferito di aver ascoltato, insieme ai colleghi, un numero significativo di conversazioni private, registrate involontariamente dall'assistente vocale.

Alcuni membri del team si occupavano anche della catalogazione dei dati. "Dovevano confrontare le parole chiave pronunciate in una registrazione con le informazioni memorizzate nei dispositivi, come contatti, posizione geografica, musica, film, marchi, e così via. Questi dati venivano poi associati a specifiche etichette", ha spiegato Le Bonniec.

Secondo i documenti esaminati dall'unità investigativa di Radio France, la denuncia della Ligue des droits de l'Homme (LDH) accusa Apple di violare le normative GDPR sulla protezione dei dati e sul consenso informato.

Parlando a un'emittente televisiva francese, la presidente della Ligue des droits de l'Homme (LDH), Nathalie Tehio, ha spiegato che la denuncia si concentra su due principali violazioni: l’invasione della privacy, attraverso registrazioni effettuate senza il consenso degli utenti, e la violazione delle leggi europee sulla protezione dei dati personali.

"Non si tratta solo di essere spiati, ma anche registrati. C'è ascolto, registrazione e persino trasmissione," ha dichiarato Tehio. "Le registrazioni avvengono senza che le persone ne siano a conoscenza, il che costituisce un’infrazione. Inoltre, c’è una violazione del GDPR, perché non è stato dato un consenso informato per questa raccolta di dati personali. Si tratta di due reati."

Contattata da TechRadar, un portavoce di Apple ha precisato che il caso in Francia, al momento, è solo una denuncia sulla privacy, e che non è stata ancora aperta alcuna indagine ufficiale.

Apple ha anche sottolineato di aver apportato modifiche nel 2019 per garantire che Siri rispetti gli standard sulla privacy dell'azienda. Tra le misure adottate, l’eliminazione della memorizzazione delle registrazioni audio delle interazioni con Siri e la possibilità per gli utenti di scegliere se autorizzare o meno l’utilizzo dei propri campioni audio per migliorare il sistema.

Nel comunicato ufficiale pubblicato a gennaio 2025, Apple ha dichiarato: "Apple non ha mai utilizzato i dati di Siri per creare profili di marketing, non li ha mai resi disponibili per la pubblicità e non li ha mai venduti a nessuno per alcuno scopo. Stiamo continuamente sviluppando tecnologie per rendere Siri ancora più privato e continueremo a farlo."

Cosa c'è dopo?

Se la denuncia della Ligue des droits de l'Homme (LDH) porterà all'apertura di un'indagine più ampia sulle pratiche di gestione dei dati di Apple è ancora troppo presto per dirlo con certezza.

Tuttavia, come già accennato, Apple sta affrontando problematiche simili anche negli Stati Uniti. La class action in California, Lopez et al v. Apple Inc, accusa Siri di aver divulgato conversazioni private agli inserzionisti.

Pur non confermando queste accuse, Apple ha deciso di chiudere la causa con un accordo da 95 milioni di dollari. "Abbiamo scelto di risolvere la questione per evitare ulteriori contenziosi e andare avanti rispetto alle preoccupazioni sulla revisione dei dati da parte di terzi, un problema già affrontato nel 2019," ha dichiarato un portavoce dell'azienda a TechRadar.

Secondo un'indagine di Proton VPN, uno dei principali fornitori di servizi VPN, nel 2024 le Big Tech hanno pagato oltre 8 miliardi di dollari in multe in meno di tre settimane. In questo contesto, la transazione da 95 milioni di dollari per la causa in California sembra rientrare nei costi operativi dell’azienda piuttosto che rappresentare un impatto significativo sulle sue pratiche.

L'autorità per la protezione dei dati della Corea del Sud ha accusato DeepSeek di aver inviato informazioni degli utenti al colosso cinese ByteDance, proprietario di TikTok, tramite il suo chatbot AI. L’accusa arriva appena un giorno dopo la decisione di bloccare temporaneamente i nuovi download di DeepSeek per questioni legate alla privacy.

"Abbiamo confermato che DeepSeek ha comunicato con ByteDance", ha dichiarato un rappresentante della Commissione per la Protezione delle Informazioni Personali (PIPC) all'agenzia Yonhap, aggiungendo però che "non è ancora chiaro quali dati siano stati trasferiti e in che misura".

Sebbene non abbia commentato direttamente l’accusa, DeepSeek avrebbe ammesso di non aver tenuto sufficientemente conto delle leggi locali sulla protezione dei dati e si è detto disponibile a collaborare con l'ente regolatore per chiarire la questione.

La tecnologia cinese è sottoposta a maggiori controlli

La Corea del Sud potrebbe essere la prima a formalmente accusare DeepSeek di aver condiviso illegalmente i dati degli utenti con ByteDance, la controversa società proprietaria di TikTok, ma non è l’unico paese a muoversi contro il nuovo chatbot AI cinese per motivi di privacy.

Dal suo lancio a gennaio, DeepSeek ha suscitato forti reazioni a livello globale. Con 12 milioni di download nelle prime 48 ore, l’app ha attirato l’attenzione dei governi, che stanno guardando con crescente sospetto al fenomeno.

Italia, Francia, Germania, Stati Uniti, Taiwan, Australia e Corea del Sud sono solo alcuni dei paesi che stanno esaminando DeepSeek AI, accusandolo in gran parte di violare le normative nazionali sulla protezione dei dati.

Le problematiche principali riguardano l’archiviazione delle informazioni degli utenti sui server cinesi. Secondo l’informativa sulla privacy della piattaforma, i dati raccolti possono essere utilizzati per “rispettare gli obblighi legali, svolgere compiti di interesse pubblico o proteggere gli interessi vitali degli utenti e di altre persone”.

Le recenti accuse della Commissione per la Protezione delle Informazioni Personali della Corea del Sud stanno rafforzando le preoccupazioni dei governi occidentali su come aziende di questo tipo gestiscono i dati dei loro cittadini.

Le preoccupazioni sul possibile accesso del governo cinese ai dati degli americani sono tra i motivi che spingono gli Stati Uniti verso un possibile divieto di TikTok.

Anche al di fuori degli USA, diversi paesi, tra cui il Regno Unito e alcune nazioni europee, hanno vietato l’uso di TikTok sui dispositivi ufficiali per motivi di sicurezza.

ByteDance, però, ha sempre respinto queste accuse, e lo stesso ha fatto di fronte alle recenti contestazioni della Corea del Sud.

Secondo quanto riportato da The Independent, la società madre di TikTok ritiene che il suo legame con DeepSeek sia dovuto esclusivamente all’uso dei servizi cloud di Volcano Engine, che appartiene a ByteDance. Tuttavia, secondo il quotidiano, questo "non significa che abbia accesso ai dati di DeepSeek".

La Corea del Sud non è l’unica a suggerire che le due aziende cinesi stiano comunicando. Un recente rapporto della società di cybersecurity SecurityScorecard ha individuato elementi di "integrazione con i servizi di ByteDance" all'interno del codice di DeepSeek.

Quel che è certo è che l’operatore di DeepSeek dovrà rispondere alle richieste di chiarimento delle autorità sudcoreane, ora che è stata avviata un’indagine ufficiale sulle sue pratiche di gestione dei dati.

Il 5 dicembre 2024, il Partito Pirata Europeo ha riportato una voce non confermata secondo cui un governo critico potrebbe unirsi ai sostenitori della proposta dell'UE di monitorare le comunicazioni private per contrastare la diffusione di materiale pedopornografico (CSAM). Questa proposta, conosciuta dai critici come "Chat Control", è stata oggetto di accesi dibattiti sin dalla sua presentazione iniziale nel maggio 2022.

L'attuale scenario vede il Consiglio dell'UE diviso sulla questione, con il voto decisivo previsto per il 6 dicembre 2024. La proposta è già stata modificata per mitigare le minacce alla crittografia end-to-end, con il Parlamento europeo che ha adottato emendamenti pro-privacy, sebbene il Consiglio non abbia ancora raggiunto un consenso definitivo. Il voto sarà cruciale per determinare il futuro della privacy digitale in Europa, dato che alcuni Stati membri chiave devono ancora dichiarare la propria posizione definitiva.

Che cos'è la fattura di scansione CSAM dell'UE?

Il disegno di legge dell'UE contro il materiale pedopornografico (CSAM) ha subito modifiche significative, ma continua a suscitare critiche, soprattutto per l'impiego della "scansione lato client" (client-side scanning). Questa tecnologia obbligherebbe le applicazioni di messaggistica a scansionare i contenuti degli utenti prima che siano crittografati, sollevando timori sulla violazione della crittografia end-to-end. Meredith Whittaker, presidente della Signal Foundation, ha definito la "moderazione dell'upload" un'operazione che compromette la sicurezza e la privacy, creando vulnerabilità sfruttabili da attori malevoli o governi autoritari. Inoltre, esperti di privacy e crittografi sottolineano il pericolo per i diritti democratici e la sicurezza digitale globale.

Una seconda versione della proposta, presentata nel giugno 2024, si concentra sulla scansione di foto, video e URL anziché dei messaggi testuali e vocali, ma richiede comunque il consenso preventivo dell'utente per la scansione. Questa formulazione continua a sollevare polemiche tra gli esperti, che la considerano una minaccia alla protezione crittografica e una potenziale vulnerabilità per l'intero ecosistema digitale europeo, simile alle preoccupazioni emerse nel Regno Unito con l'Online Safety Act, che ha sospeso l'implementazione di tali tecnologie fino a quando non saranno tecnicamente sicure.

A settembre 2024, Politico ha rivelato una versione trapelata della proposta di legge dell'UE sul "Chat Control", in cui si afferma che i fornitori di comunicazioni avranno facoltà di scegliere se utilizzare l'intelligenza artificiale per segnalare contenuti sospetti. Tuttavia, saranno comunque obbligati per legge a monitorare tutte le chat degli utenti e segnalare eventuali materiali illegali. Questa proposta è stata ampiamente criticata perché comprometterebbe la privacy degli utenti, introducendo una sorveglianza massiva senza precedenti.

Secondo il Partito Pirata Europeo, la maggioranza degli Stati membri sostiene ormai la proposta, inclusa la Francia, inizialmente contraria. Solo pochi paesi, tra cui Italia, Portogallo e Finlandia, rimangono indecisi, mentre Austria, Belgio, Germania e altri si oppongono fermamente. Patrick Breyer ha dichiarato che esistono "voci non confermate" secondo cui un Paese critico potrebbe cambiare posizione, modificando potenzialmente l'esito del voto previsto per il 6 dicembre.

La proposta dell'UE di scansionare tutte le comunicazioni private per fermare la diffusione di materiale pedopornografico (CSAM) è nuovamente al centro delle discussioni delle autorità di regolamentazione. Quello che è stato definito dai critici come il "Chat Control" ha avuto diversi colpi di scena da quando la Commissione europea ha presentato la prima versione del progetto di legge nel maggio 2022. L'ultimo sviluppo risale a ottobre 2024, quando la decisione dell'ultimo minuto dei Paesi Bassi di astenersi dal voto ha portato la Presidenza del Consiglio ungherese a rimuovere la questione dalla discussione prevista. Ora, a circa due mesi di distanza, la proposta controversa è tornata tra i temi che il Consiglio dell'UE discuterà oggi, 4 dicembre 2024.

Che cos'è la scansione CSAM dell'UE?

Come accennato, i legislatori hanno apportato alcune modifiche al disegno di legge CSAM dell'UE in risposta alle crescenti critiche da parte dei settori della privacy, della tecnologia e della politica. Inizialmente, il piano prevedeva l'obbligo per i servizi di messaggistica e i provider di e-mail di scansionare tutti i messaggi alla ricerca di materiale illegale, indipendentemente dal fatto che fossero criptati, come nel caso delle chat di WhatsApp o Signal, per garantire che le comunicazioni rimanessero private tra mittente e destinatario.

I legislatori avevano suggerito di utilizzare la cosiddetta scansione laterale del client, una tecnica contro la quale gli esperti, tra cui alcuni dei principali fornitori di VPN e app di messaggistica, hanno da tempo messo in guardia, poiché non può essere eseguita senza violare la protezione della crittografia. Anche il Regno Unito ha bloccato questo requisito nell'ambito del suo Online Safety Act fino a quando "non sarà tecnicamente possibile farlo".

Nel giugno 2024, la seconda versione della proposta dell'UE si è concentrata su foto, video e URL condivisi, anziché su messaggi di testo e audio, previa autorizzazione degli utenti. Tuttavia, c'è un'avvertenza: per continuare a utilizzare la funzionalità, gli utenti devono acconsentire alla scansione del materiale condiviso prima che venga crittografato. Questa formulazione ha suscitato la protesta degli esperti di privacy, tra cui Meredith Whittaker, presidente della Signal Foundation, che ha definito la cosiddetta "moderazione dell'upload" un "gioco retorico".

A settembre, una nuova versione della proposta è stata diffusa da Politico. I fornitori di comunicazioni sarebbero liberi di decidere se utilizzare o meno l'intelligenza artificiale per segnalare immagini e chat di testo sospette. Tuttavia, queste aziende sarebbero obbligate per legge a scansionare tutte le chat degli utenti e a segnalare la presenza di contenuti illegali.

Secondo gli ultimi dati del Partito Pirata Europeo, la maggior parte dei Paesi ha già espresso il proprio sostegno alla nuova proposta. Anche nazioni come la Francia, che in precedenza erano tra i governi contrari, si sono ora unite alla lista dei favorevoli.

Al momento in cui scriviamo, solo alcuni membri dell'UE rimangono indecisi (Italia, Portogallo e Finlandia) o contrari (Austria, Belgio, Repubblica Ceca, Estonia, Germania, Lussemburgo, Paesi Bassi, Polonia e Slovenia). La situazione, tuttavia, potrebbe cambiare dopo la riunione del 4 dicembre.

• Una nuova truffa di phishing si presenta come un'e-mail ufficiale di Apple
• Collegamenti a false schermate di login Apple che rubano le vostre credenziali
• Verificate che l'e-mail provenga da un indirizzo Apple.com

I truffatori provano sempre nuove tattiche per rubare le vostre informazioni personali. L'ultima truffa di phishing non fa eccezione: i criminali informatici stanno inviando e-mail che sembrano provenire da Apple, sostenendo che il vostro ID Apple è sospeso e richiede un'azione urgente.

L'e-mail, che appare convincente, chiede di agire per recuperare l'ID Apple sospeso (che da iOS 18 è stato ribattezzato "Account Apple"). Facendo clic sul link contenuto nell'e-mail, si accede a una finta schermata di login Apple. Se inserite i vostri dati, gli hacker ruberanno le vostre credenziali e saranno potenzialmente in grado di accedere al vostro account Apple.

A seconda della sicurezza con cui è impostato l'account Apple, il nome utente e la password potrebbero consentire ai criminali informatici di effettuare acquisti fraudolenti con i metodi di pagamento salvati. Potrebbero anche ottenere accesso a dati personali, come file e foto salvati nel vostro account iCloud.

La truffa si basa su tutte le tecniche utilizzate nelle classiche truffe di phishing. L'e-mail è progettata per sembrare esattamente una comunicazione ufficiale di Apple, con loghi, colori e caratteri che la rendono altamente credibile. Questa coerenza ha lo scopo di guadagnare la fiducia dell'utente.

L'avviso sull'account provoca anche una reazione emotiva. Potreste provare paura o panico al pensiero che il vostro ID Apple sia stato sospeso. Questo è il gancio che potrebbe spingervi ad agire. La truffa combina questo aspetto con un senso di urgenza, richiedendovi di agire rapidamente per recuperare il vostro account. L'idea è di farvi agire in fretta, trascurando eventuali incongruenze nell'e-mail.

Non abboccate all'esca

Con oltre due miliardi di dispositivi Apple attivi in tutto il mondo, non sorprende che i truffatori prendano di mira gli utenti di questi prodotti. Che possediate un iPhone, un iPad, un MacBook o altro, l'ID Apple è la vostra chiave di accesso all'ecosistema Apple. Se viene compromesso, i criminali informatici possono potenzialmente accedere a una vasta gamma di dati.

Questa non è la prima truffa legata all'ID Apple che vediamo: all'inizio dell'anno abbiamo riportato un attacco via SMS che tentava di rubare i dati degli utenti. Con gli attacchi di phishing sempre più comuni, complessi e difficili da individuare, in particolare grazie all'uso dell'intelligenza artificiale, non ci aspettiamo che le truffe relative all'ID Apple (o all'account Apple) scompaiano presto.

Ci sono alcune cose che potete fare per proteggere voi stessi e il vostro ID Apple. Innanzitutto, ogni volta che ricevete un'e-mail relativa al vostro ID Apple, controllate l'indirizzo da cui è stata inviata. Se si tratta di un'e-mail autentica di Apple, l'account terminerà con @email.apple.com. In caso contrario, si tratta quasi certamente di un messaggio fraudolento.

In secondo luogo, è importante controllare attentamente l'e-mail per individuare eventuali incongruenze. Cercate errori di ortografia, errori grammaticali e problemi di formattazione, tutti segni rivelatori di un'e-mail fraudolenta.

Come regola generale, le e-mail di avviso dell'account devono essere viste con una sana dose di sospetto. Apple ha pubblicato un articolo su come stare al sicuro dalle truffe, in cui offre il seguente consiglio: "Se un messaggio, una chiamata o una richiesta inaspettata di informazioni personali, come l'indirizzo e-mail, il numero di telefono, la password, il codice di sicurezza o il denaro, vi insospettisce, è meglio presumere che si tratti di una truffa e, se necessario, contattare direttamente l'azienda".

Apple chiarisce inoltre che non vi chiederà mai di accedere a un sito web, di fornire il vostro codice di accesso o di bypassare l'autenticazione a due fattori. Se un'e-mail vi chiede di fare una di queste cose, sapete che si tratta di una truffa.

Se ritenete che un'e-mail ricevuta in merito al vostro ID Apple non sia autentica, non fate clic su alcun link contenuto. Potete invece inoltrare l'e-mail a reportphishing@apple.com e contrassegnare il messaggio come spam.

Se ritenete che il vostro ID Apple sia stato compromesso, cambiate la password andando direttamente sul sito web di Apple. È inoltre buona norma attivare l'autenticazione a due fattori, che renderà molto più difficile per gli hacker accedere al vostro account Apple, anche se dispongono di nome utente e password.

L'UE sta valutando un nuovo piano per scansionare le comunicazioni criptate dei cittadini in un altro capitolo della sua lotta contro il materiale pedopornografico online (CSAM). 

Dopo aspre critiche, i legislatori hanno abbandonato l'idea di consentire alle forze dell'ordine di accedere a messaggi di testo e audio. Ora l'obiettivo sono foto, video e URL condivisi. Tuttavia, gli esperti continuano ad avvertire che la privacy dei cittadini è a rischio.

Il Belgio, che fino al 30 giugno sarà a capo del Consiglio d'Europa, ha proposto la nuova legge che rappresenta un compromesso rispetto a quella che è stata soprannominata legge sul controllo delle chat lo scorso maggio, ed è ora in fase di revisione.

Tuttavia c'è un cavillo fondamentale: gli utenti devono acconsentire alla scansione del materiale condiviso prima di essere crittografato. Se si sceglie di rifiutare la scansione, agli utenti verrà impedito di utilizzare questa funzionalità. Il mondo tecnologico non ci sta, anzi Romain Digneaux, Senior Public Policy Associate di Proton, lo descrive a TechRadar come "un palese tentativo di ingannarci".

"Questo compromesso della Presidenza belga è un deprimente passo indietro rispetto alla posizione del Parlamento europeo", ha dichiarato Digneaux. 

"Potenzialmente sottoporrà tutti i cittadini dell'UE a una sorveglianza di massa, minando i loro diritti fondamentali e non facendo nulla per affrontare la diffusione del CSAM online, né le critiche del Garante europeo della protezione dei dati e di innumerevoli esperti".

La crittografia, ovvero il processo di scomposizione dei dati in una forma illeggibile per impedire l'accesso a terzi, è alla base della sicurezza delle comunicazioni online dietro gli attuali software per la privacy.

Le VPN, ad esempio, la utilizzano per proteggere le comunicazioni via Internet e nascondere le attività online, ad esempio. Le app di messaggistica più diffuse, come WhatsApp e Signal, o i provider di e-mail sicure come ProtonMail implementano la crittografia per garantire che i messaggi rimangano privati tra l'utente e il mittente (end-to-end). Nemmeno il provider stesso può accedervi. Come dimostra la presentazione trapelata dal gruppo per i diritti digitali Netzpolitik, i legislatori belgi riconoscono ora la necessità di proteggere la crittografia end-to-end. 

"La normativa non creerà alcun obbligo di decodificare o creare accesso ai dati crittografati end-to-end, né impedirà ai fornitori di offrire servizi crittografati end-to-end", si legge nella formulazione proposta. Come si pensa di implementare la scansione del CSAM?

Consenso dell'utente o ricatto?

La chiave è la clausola del "consenso dell'utente". Questo è il modo per rendere la scansione dei file multimediali condivisi privatamente non un obbligo ma una scelta. Il modo in cui si pensa di farlo, tuttavia, assomiglia più a un ricatto. Come abbiamo detto, se si vuole condividere una foto, un video o un URL con un amico su WhatsApp è necessario dare il consenso, oppure limitarsi a messaggi di testo, chiamate e messaggi vocali.

Commentando questo punto, Digneaux ha detto: "Non c'è consenso. Non c'è scelta. Se gli utenti innocenti non accettano che le autorità ficchino il naso nei loro messaggi, e-mail, foto e video, saranno semplicemente tagliati fuori dal mondo moderno".

Proton non è l'unico a pensarla così. Un gruppo di oltre 60 organizzazioni, tra cui Proton, Mozilla, Signal, Surfshark e Tuta, insieme a più di 50 individui, hanno firmato una dichiarazione congiunta per esprimere le loro preoccupazioni contro la nuova proposta.

Un consenso coercitivo non è un consenso liberamente dato", ha scritto il gruppo. "Se l'utente non ha una vera e propria scelta, si sente costretto ad acconsentire o se, in caso di mancato consenso, gli verrebbe di fatto precluso l'accesso al servizio, allora il consenso dato non sarà libero".

Peggio ancora, gli esperti hanno anche avvertito che tali poteri intrusivi potrebbero finire per essere inadatti a catturare i cattivi. Questo perché i criminali informatici potrebbero semplicemente incorporare le foto o i video illegali in un altro tipo di file, ad esempio. Inoltre, come ha sottolineato Digneaux, i criminali utilizzano già i propri servizi per condurre attività illegali.

Un rebrand della scansione lato client

Il piano per eseguire la scansione CSAM proteggendo la crittografia comprende anche una nuova disposizione di "moderazione del caricamento". I legislatori cercano di implementare il rilevamento dei contenuti prima di essere trasmessi, quindi prima di essere crittografati. Anche in questo caso, gli esperti di tecnologia ritengono che questo approccio sia piuttosto "un semplice cambiamento estetico" rispetto alla proposta di legge sul controllo delle chat.

La proposta di legge originale prevedeva invece la scansione lato client, un metodo che prevede che il dispositivo analizzi automaticamente i file alla ricerca di materiale illegale e li segnali alle autorità. Ad oggi, non esiste un modo per farlo senza creare pericolose backdoor nella crittografia. Ciò è ulteriormente confermato dal fatto che il Regno Unito ha rinviato la disposizione sulla scansione laterale prevista dalla legge sulla sicurezza online fino a quando non sarà "tecnicamente fattibile".

Tuttavia, gli esperti sostengono che la scansione dei messaggi anche nel punto di upload vanifica il principio end-to-end - la protezione completa tra mittente e destinatario - che caratterizza la crittografia forte. Inoltre, avvertono che ciò potrebbe creare nuove vulnerabilità di sicurezza che potrebbero essere sfruttate anche da terzi.

Digneaux ritiene che la mossa sia solo un "falso rebrand" della scansione lato client. Mi ha detto: "A prescindere da ciò che sostiene la Presidenza, non è una pallottola d'argento per proteggere la privacy. È semplicemente una backdoor per la crittografia sotto mentite spoglie. Gli utenti europei diventeranno bersagli ideali per gli hacker, mettendo ancora più a rischio persone e aziende". 

Questo è il motivo per cui le app di messaggistica sicure e crittografate end-to-end come Signal (vedi sopra) stanno già ribadendo che lasceranno il mercato dell'UE piuttosto che minare le protezioni della privacy.   

Come riportato da Netzpolitikil nuovo approccio rimane ambivalente tra i Paesi membri. Durante una riunione tenutasi alla fine di maggio, la Germania e la Repubblica Ceca hanno espresso perplessità sulle soluzioni di scansione proposte dal Belgio prima della crittografia dei messaggi. Anche Austria, Estonia e Lussemburgo hanno criticato la disposizione sul "consenso dell'utente". Mentre la Francia ha dichiarato di poter accettare la "moderazione dell'upload" nell'ambito del consenso dell'utente, ma ha chiesto che "non venga aggirata la crittografia".

Nel complesso, però, la Francia sembra più favorevole alla proposta e pronta a trovare un compromesso che possa andare bene per tutti. Anche per questo il sostegno del Paese sarà decisivo per l'accordo finale.

"Contiamo sul fatto che la Francia mantenga il suo sostegno alla sicurezza informatica, ai servizi criptati e alla privacy", mi ha detto Digneaux. Se queste proposte non vengono respinte ora, rischiamo di smantellare le protezioni vitali per la sicurezza informatica offerte dalla crittografia, mettendo tutti a rischio". Ma la cosa più triste è che i cittadini dell'UE saranno trattati come colpevoli prima di essere dimostrati innocenti proprio dalle persone incaricate di proteggerli".

Vale la pena notare che i legislatori intendono esentare dalla scansione del CSAM il personale delle agenzie di intelligence, della polizia e delle forze armate.

È successo a tutti noi. Mentre guardate un video su YouTube o ascoltate un episodio del vostro podcast preferito, una voce vi interrompe per dirvi che un servizio VPN può risolvere tutti i vostri problemi di privacy online. La verità è più complessa di così.

Una VPN aumenta certamente il vostro anonimato e vi protegge da alcune minacce digitali, ad esempio mascherando la vostra posizione virtuale e nascondendo le vostre abitudini di navigazione e i vostri download. Tuttavia, nemmeno i migliori provider vi rendono totalmente invisibili online.

Per essere davvero sicuri, è fondamentale essere pienamente consapevoli dei rischi a cui si è esposti ogni volta che si accede a Internet o si utilizza un servizio online. Tuttavia, non c'è minaccia più grande che credere di essere protetti quando non lo si è. Qui di seguito, vi illustro cinque situazioni da cui una VPN non può nascondervi e cosa dovreste invece fare. 

Cos'è una VPN?

Per cominciare, chiariamo cos'è e cos'è una VPN. Abbreviazione di virtual private network, una VPN è un software di sicurezza che cripta tutto il traffico Internet. Lo fa creando un tunnel sicuro attraverso il quale i dati passano per raggiungere il sito che si desidera visitare, e qui vengono crittografati. Ciò significa che i cyber-attaccanti non possono compromettere la vostra connessione quando utilizzate un Wi-Fi pubblico non protetto e che il vostro ISP non potrà vedere ciò che fate online. 

Allo stesso tempo, una VPN falsifica la vostra posizione nascondendo il vostro vero indirizzo IP. In questo modo potete apparire in una parte del mondo completamente diversa. Questo perché ogni volta che vi connettete a un server VPN - e le migliori app vantano un vasto elenco di località internazionali - assegnate un nuovo indirizzo IP al vostro dispositivo. Questo è vantaggioso per la privacy, in quanto riduce il tracciamento del web, ma consente anche di accedere a contenuti altrimenti soggetti a limitazioni geografiche, come le librerie locali di Netflix. È proprio per questo che molte persone utilizzano una VPN per lo streaming per accedere a siti e servizi censurati.

NordVPN è attualmente in cima alla nostra classifica delle migliori VPN. Oltre alle solide funzioni di sicurezza e all'ottimo sblocco, mi piace soprattutto il fatto che Nord offra una protezione aggiuntiva che va oltre le capacità della maggior parte delle VPN.

1. Fughe di dati dai social

Se da un lato ci sforziamo di nascondere le nostre impronte digitali, dall'altro siamo anche felici di cedere un pezzo della nostra privacy per un post sui social media. Le piattaforme di social media sono un modo semplice per raccogliere le informazioni personali di una persona - lo fanno le forze dell'ordine e, come ci si aspetterebbe, anche gli hacker.

Sebbene una VPN sicura protegga la vostra identità, non può nascondere le informazioni personali che condividete volontariamente sul vostro account di social media. Queste includono il nome, l'indirizzo e-mail e il numero di telefono, ma anche i "Mi piace", le condivisioni e i post.

Prima di postare un video o una foto, è sempre bene assicurarsi che i dati sensibili (ad esempio, l'indirizzo di casa) non siano visibili. Vi consiglio anche di rivedere le impostazioni sulla privacy del vostro account per ridurre al minimo i dati che condividete con gli altri.

2. Attacchi di phishing

Il phishing è una forma di truffa online in cui i malintenzionati utilizzano e-mail, messaggi di testo e persino telefonate per accedere ai vostri dati personali sensibili. Possono farlo inducendovi a rivelare i dati del vostro conto bancario per commettere una frode finanziaria. Un altro modo per farlo è farvi cliccare su un link dannoso che infetterà il vostro dispositivo con malware o virus.

Una VPN può dissuadere un hacker dal cercare di intercettare il vostro traffico Internet, ma non può impedirvi di finire voi stessi su un sito web truffaldino o di condividere i vostri dati personali con qualcuno sul web.

Inoltre, grazie agli strumenti basati sull'intelligenza artificiale, gli aggressori possono creare messaggi sempre più convincenti ad alta velocità. Ciò significa che gli attacchi di phishing continueranno a verificarsi in futuro. La buona notizia è che, nonostante i messaggi siano ben fatti, è sempre possibile riconoscere una truffa. Come regola generale, se qualcosa è troppo bello per essere vero, in genere lo è. Quindi, attenzione alle grandi promesse. Raccomando inoltre di controllare gli indirizzi e-mail dei mittenti, poiché gli aggressori tendono a utilizzare e-mail più generiche anziché, ad esempio, quelle aziendali. Fate attenzione agli errori di ortografia e ad altre imprecisioni grammaticali.

3. Malware e virus

Il phishing non è l'unico modo in cui gli aggressori cercano di compromettere la sicurezza dei vostri dispositivi. Malware e virus sono spesso nascosti in siti web e annunci online, pronti a penetrare nel vostro sistema operativo e a scatenarsi. Anche in questo caso, una VPN di solito non può aiutarvi. 

Esistono tuttavia alcuni servizi VPN che offrono strumenti di blocco del malware. Ad esempio, Threat Protection di NordVPN impedisce automaticamente l'accesso a siti web pericolosi e controlla i download per verificarne la sicurezza. Altri provider, tra cui ExpressVPN e Private Internet Access, sono dotati di protezioni avanzate simili.

Tuttavia, come spiega Mike Williams, esperto di sicurezza di TechRadar: "[NordVPN] Threat Protection è ben lontano dall'essere un antivirus completo. Ad esempio, non monitora i processi alla ricerca di comportamenti sospetti, quindi è improbabile che riesca a individuare le minacce più recenti". Per questo motivo consiglio di combinare lo strumento di blocco del malware della VPN con un software antivirus affidabile per una protezione completa.

4. Cookie di tracciamento

I cookie di tracciamento, il tipo più comune di tracker web, sono piccoli frammenti di codice che vengono memorizzati nel browser una volta che si accede a un sito web. Alcuni cookie sono essenziali per personalizzare il vostro profilo digitale - ad esempio l'indirizzo di fatturazione e il metodo di pagamento sulle piattaforme di e-commerce - ma altri possono essere molto più invadenti e spiare le vostre attività online anche dopo aver lasciato il sito.

Sebbene una VPN vi renda più anonimi online, impedendo alcune forme di tracciamento, funziona solo a livello di rete. I cookie di tracciamento, invece, vengono memorizzati direttamente sul vostro browser web. Pertanto, le VPN non sono di grande aiuto contro questi tracker.

Per ridurre i rischi, vi consiglio di cancellare regolarmente i cookie di Internet sui vostri dispositivi. Perderete un po' di comodità, in quanto verrete disconnessi dai vostri account personali, ma guadagnerete in privacy. 

5. Tracce degli account online

Come nel caso delle interazioni sulle piattaforme di social media, una VPN non può impedire completamente che la vostra identità e le vostre attività vengano tracciate. Ciò significa che, ad esempio, Google conoscerà sempre la cronologia delle vostre ricerche se avete effettuato l'accesso al vostro account, indipendentemente dal fatto che la VPN sia attivata in background.

Come regola generale, è consigliabile disconnettersi dai propri account quando si svolgono attività sensibili. Ricordate che passare alla modalità Incognito non è una vera soluzione, poiché le vostre attività online verranno comunque registrate ogni volta che accederete ai vostri account. Peggio ancora, si è scoperto che Google ha conservato i dati di navigazione in incognito per anni.

Consiglio anche di abbandonare il più possibile i prodotti delle Big Tech. Ad esempio, potete optare per un browser più privato e sicuro. Esistono anche provider di posta elettronica alternativi, come Proton Mail e Tutanota, che criptano le vostre comunicazioni e promettono di non registrare mai i vostri dati sensibili.  

In conclusione

Come abbiamo visto, le VPN non sono una bacchetta magica che allontana per magia le minacce e i pericoli informatici. Ciononostante, questo software vi protegge comunque da una grande quantità di rischi e migliora notevolmente la vostra postura digitale; quindi, tutto sommato, le VPN sono ancora strumenti di sicurezza fondamentali.

Se state cercando di acquistarne una, ricordate che non tutte le VPN sono uguali. Suggerisco di trovarne una che offra alcune protezioni di sicurezza avanzate. Queste includono una rigorosa politica di non registrazione (una garanzia che il provider non registrerà mai le vostre attività), un kill switch affidabile e una forte crittografia. Cercate un fornitore affidabile che sostenga regolarmente le sue affermazioni sulla privacy con controlli VPN indipendenti e approfonditi. 

Nel mio lavoro quotidiano di hacker etico (preferisco il termine Pentester, ma non importa) mi imbatto in una serie di comuni errori di sicurezza che mi permettono di accedere senza autorizzazione ai vostri sistemi informatici. La mia giornata lavorativa è molto più facile quando qualcuno ha lasciato una password scritta sulla scrivania, ma non sono l'unico pigro e amante delle vittorie facili.

Gli hacker che operano in nero, spinti dall'economia, sono soliti cercare i frutti più bassi e, con alcune semplici modifiche, potete rendere molto più difficile per qualcuno violare casualmente la vostra sicurezza e invadere la vostra privacy. A tal fine, ho stilato un elenco delle cinque principali abitudini che dovreste cambiare quando utilizzate Internet, dal punto di vista degli hacker. Forse ne conoscete già un paio, ma le altre potrebbero fare la differenza tra l'essere violati e il mantenersi al sicuro.

1. Usate una VPN

La crittografia è importante e, in un mondo ideale, ogni sito web utilizzerebbe come minimo il protocollo TLS con HTTP Strict Transport Security. Purtroppo questo non è un mondo perfetto, quindi per tutto il resto ci sono le reti private virtuali (VPN). Queste creano un tunnel crittografato che instrada il traffico Internet tra il vostro dispositivo e i server VPN di un provider, il che è essenziale se viaggiate e vi collegate spesso a punti Wi-Fi aperti. Davvero. Uscite un giorno con una copia di Wireshark installata sul vostro portatile e guardate che tipo di informazioni state trasmettendo attraverso il Wi-Fi gratuito dell'aeroporto attraverso il vostro telefono. Non è bello.

È vero che gli esperti di sicurezza discutono sull'opportunità di utilizzare una VPN. Esistono valide argomentazioni contro l'uso delle VPN, principalmente incentrate sull'affidamento dell'instradamento dei vostri dati a una terza parte potenzialmente non affidabile. Il mio argomento è questo: Vi fidate già del vostro ISP, che non può operare senza il consenso del governo. Il vostro governo probabilmente vi sta anche spiando. Perché non rendere le cose un po' più difficili? Sebbene non raccomandi di utilizzare qualsiasi fornitore di VPN, la scelta di una VPN verificata e senza log può fornire un grado di protezione contro la sorveglianza governativa che altrimenti non avreste.

Soprattutto, una VPN di alta qualità offre due vantaggi fondamentali: in primo luogo, oscura il vostro indirizzo IP, complicando notevolmente i tentativi di rintracciare la vostra posizione reale; in secondo luogo, filtra i distributori di malware comuni e gli inserzionisti compromessi attraverso il blocco dei DNS. Il blocco degli annunci pubblicitari riduce già un enorme vettore di malware, quindi ne consiglierei una anche solo per questo.

2. Utilizzate un blocco o una whitelist di JavaScript

L'architettura di Internet fa sì che gran parte dei contenuti che si incontrano nel browser siano forniti tramite JavaScript. Se da un lato JavaScript può migliorare l'aspetto dei siti web, dall'altro funge da vettore per una vasta gamma di attacchi, tra cui clickjacking, denial of service, cross-site scripting e request forgery e, in alcuni casi, persino l'esecuzione di codice arbitrario.

Utilizzando un blocco o una whitelist di JavaScript, è possibile consentire selettivamente gli script provenienti da fonti attendibili, riducendo al contempo i rischi associati agli script dannosi o intrusivi. In questo modo si attenuano gli attacchi che nascono da pubblicità dannose e si riducono drasticamente le possibilità di furto delle credenziali di sessione in un attacco drive-by. NoScript è ancora il gold standard per le suite di blocco Javascript. Lo uso insieme a uBlock Origin per coprire la maggior parte delle mie esigenze online.

3. Seguite voi stessi

Pochissime persone hanno idea di quante informazioni sulla loro vita personale si trovino su Internet, in attesa che qualcuno unisca i puntini. Spesso utilizzo LinkedIn per raccogliere informazioni sui dipendenti, le tecnologie e le sedi fisiche di un'azienda, ma per trattare con gli hacker mirati è necessario un approccio leggermente diverso.

Prendete un'informazione pubblicamente disponibile, come il vostro indirizzo e-mail o il nome utente che utilizzate. Utilizzando le tecniche di base dell'open source intelligence e un po' di ricerca su Google, rimarrete sbalorditi dalla quantità di dati personali facilmente accessibili, tra cui il vostro vero nome, l'indirizzo e altro ancora.

Una volta che vi siete fatti un'idea dei passi che qualcuno dovrebbe compiere per collegare le vostre identità online e reali, la rimozione o l'eliminazione di queste informazioni dai vostri account online può interrompere il collegamento. In questo modo è molto più difficile per i malintenzionati sfruttare le vostre informazioni personali (a sua volta, è molto meno probabile che siate vittime di un giocatore squilibrato di Call of Duty con troppo tempo a disposizione).

Questo è particolarmente importante per piattaforme come Facebook e Twitter. Sarete sorpresi di quante risposte alle domande di sicurezza potrete trovare scorrendo rapidamente la bacheca di Facebook o il feed di Twitter di qualcuno. Già che ci siete, assicuratevi di esplorare le impostazioni di privacy offerte dai siti di social media per garantire che solo le persone che conoscete possano accedere alle vostre informazioni personali. Diventare un maestro dell'open source intelligence (OSINT) non si ottiene dall'oggi al domani, ma anche un piccolo sforzo è meglio di niente.

4. Aggiornate le vostre app

Sì, è un consiglio noioso. Purtroppo, sono le precauzioni di base che spesso fanno la differenza tra successo e fallimento nella sicurezza informatica. Le versioni obsolete del software causano grattacapi ai professionisti della sicurezza di tutto il mondo, quindi vi invitiamo ad aggiornare regolarmente il vostro sistema operativo e il vostro software (soprattutto se si connette a Internet). Basta dare un'occhiata all'elenco Common Vulnerabilities and Exposures per farsi un'idea dell'enorme quantità di exploit software esistenti.

Ciò è ancora più importante per i dispositivi mobili, che spesso sono depositari di informazioni altamente sensibili: il paradiso degli hacker. Avrete probabilmente sentito parlare dello spyware Pegasus, che ha sfruttato diversi exploit complessi all'interno dei sistemi operativi iOS e Android per violare i telefoni di importanti personaggi dei media in modo completamente remoto tramite messaggi di testo.

Tuttavia, i telefoni non sono l'unico luogo in cui avvengono questi attacchi. I vecchi browser, in particolare, sono facili bersagli di attacchi malware zero-click che lasciano il computer compromesso con una semplice visita a un link sospetto.

Se dovete mantenere un vecchio sistema operativo per scopi legacy, come ad esempio l'esecuzione di versioni di software deprecate, prendete in considerazione la possibilità di isolarli come macchine virtuali o sistemi air-gapped privi di connettività Internet.

5.  Smettete di riutilizzare le vostre password

Sono sicuro che ve l'hanno detto mille volte, ma c'è un motivo. Ci sono innumerevoli siti e applicazioni insicuri a cui affidate le vostre password. Alcuni di essi salvano ancora le password in chiaro o in MD5 non salato (in sostanza, una crittografia inutile che non vi protegge).

Se le riutilizzate, è una bomba a orologeria se una di queste piattaforme viene violata e la vostra password inizia a circolare nel dark web. Una volta che ciò accade, è solo questione di tempo prima che qualcuno provi la vostra combinazione e-mail-password su siti web popolari e ottenga un risultato.

Anche se le vostre credenziali non sono trapelate, l'uso di password comuni vi rende vulnerabili agli attacchi. Gli attacchi di forza bruta spesso utilizzano elenchi di password compilati da violazioni di dati, riducendo notevolmente il tempo necessario per trovare credenziali di accesso che funzionino.

Quando cerco di entrare in un sistema, non guardo un utente e provo tutte le password che conosco. Provo le tre password più comuni con ogni utente del sistema. È deprimente constatare quanto spesso funzioni. Cambiate la vostra password!

Detto questo, può essere difficile ricordare una password per ogni sito a cui si accede. Dovreste prendere in considerazione la possibilità di utilizzare un gestore di password (o, come minimo, di attivare l'autenticazione a due fattori). Potete anche verificare se uno dei vostri account è stato compromesso o se state usando una password comunemente sfruttata attraverso strumenti come haveibeenpwned.

Non fidatevi di niente

Esistono numerose altre misure che si possono adottare online per salvaguardare i propri dati personali, ma i cinque passi sopra descritti sono fondamentali. Secondo la mia esperienza, gli hacker spesso non hanno successo grazie a straordinarie abilità tecniche o a sofisticate prodezze ingegneristiche, ma piuttosto sfruttando la pigrizia e la svista umana. Se qualcuno ha lasciato la porta sul retro aperta, perché preoccuparsi di forzare la serratura? Modificando le vostre abitudini, potete ridurre significativamente la probabilità di cadere vittima di un attacco hacker (e rendere il mio lavoro molto più difficile).

Ecco un consiglio in più: se ricevete una strana e-mail da qualcuno di cui vi fidate che vi chiede di controllare un file, chiamatelo e assicuratevi che sia stato lui a inviarla. Fidatevi di me: lo spear phishing funziona molto più spesso di quanto dovrebbe.

La censura in rete sta diventando un rischio concreto, anche in Europa.

Secondo un pool di esperti intervistati da TechRadar, se la nuova legge Europea dovesse passare nella sua forma attuale, nemmeno le migliori VPN saranno più in grado di garantire la privacy e l'anonimato online. 

Conosciuta come eIDAS 2.0, la famigerata proposta di legge è una revisione della precedente norma sull'identità digitale dell'UE, un processo iniziato nel 2020 e in procinto di essere finalizzato. La legge mira a due cose: cambiare il modo in cui i browser web gestiscono la sicurezza e l'autenticazione dei siti web e lanciare un'app di identificazione (EU ID Wallet) per tutti gli europei. Si tratterebbe a tutti gli effetti di una carta d'identità che servirebbe a identificare i cittadini una volta connessi alla rete.

I produttori di browser indipendenti come Mozilla insieme ai crittografi, alla comunità informatica e ai sostenitori della privacy avvertono che le disposizioni proposte nella legge metteranno in pericolo la sicurezza e la privacy dei cittadini di tutto il mondo. Ai fini di questo articolo, ci concentreremo esclusivamente sulle questioni relative all'autenticazione del browser.

L'articolo 45 incrementa la sorveglianza online

"Siamo tutti scioccati nella comunità della sicurezza. Non credo che il Parlamento europeo sapesse cosa stava facendo", ci ha detto Harry Halpin, CEO e co-fondatore di Nym Technologies. "Si tratta di roba super pericolosa, è incredibile che sia passata una norma così idiota".

Halpin è un informatico molto attivo sul tema della privacy che combatte da anni la censura dopo aver sperimentato in prima persona l'impatto dell'invasiva sorveglianza governativa. Negli ultimi 15 anni è stato inserito in una lista di sorveglianza per il suo passato coinvolgimento con gruppi di attivisti impegnati nella lotta contro il cambiamento climatico. Lo scorso novembre ha lanciato NymVPN per offrire un anonimato online migliore rispetto alle soluzioni esistenti. Ora, tutti i suoi sforzi potrebbero essere resi obsoleti dalle nuove norme UE.

Facciamo però un passo indietro per capire qual è il vero problema. Come accennato in precedenza, la Commissione europea sta cercando di cambiare il modo in cui i browser web gestiscono le autenticazioni dei siti web, in un modo che Halpin ha definito "un approccio folle". 

Ma nel concreto, cosa comporterebbe una norma simile?

Probabilmente avrete visto il piccolo lucchetto che si trova sul lato sinistro dell'URL dei siti web nella barra di ricerca del browser (vedi immagine sopra). Ciò indica che il sito web a cui state per accedere è protetto da una connessione HTTPS, ovvero la connessione tra il browser e il server che fornisce il servizio è crittografata. 

Facendo clic sul lucchetto, è possibile leggere i dettagli di chi ha rilasciato il cosiddetto certificato radice, approvando la sicurezza della connessione. È questa l'entità che garantisce che il sito web sia esattamente ciò che dichiara di essere.

Ciò che l'eIDAS vuole cambiare, sollevando molte preoccupazioni all'interno del settore, è il modo in cui vengono gestiti questi certificati. Come ha spiegato Carmela Troncoso, ingegnere informatico e docente all'EPFL, la legge darà agli Stati dell'UE il diritto di emettere queste prove di fiducia che i browser web dovranno accettare come veritiere. Ai fornitori di browser sarà inoltre impedito di rimuovere questi certificati (come avviene attualmente) anche nei casi in cui notino attività dannose, a meno che lo Stato membro non lo consenta.

"La legge cambia l'equilibrio di potere spostando questi controlli di sicurezza sugli Stati membri. Riteniamo che questo sia estremamente pericoloso", ci ha detto Troncoso. "È in gioco la sicurezza dell'intero Internet, perché non si tratta della sicurezza di due pagine, ma dell'intero sistema". 

Ciò significa che i governi saranno in grado di intercettare tutto il nostro traffico Internet. "Un regime di sorveglianza peggiore di quello che hanno Cina e Russia", ha detto Halpin. "Non credo che qualcuno sano di mente lo accetterebbe". 

E, cosa ancora peggiore, sostiene che nemmeno l'applicazione VPN più sicura sarà in grado di impedirlo.

Questo perché il governo agirà come uomo di mezzo tra la nostra macchina e il sito web, "nel mezzo della nostra connessione", come ha detto Halpin. 

"La VPN è a un livello inferiore: difende la connessione di rete, ma poi c'è anche il sito web o l'applicazione che gira sopra la rete", ha detto. "Non importa se sto usando una VPN, perché il governo può intercettare il traffico a livello di browser web. Possono intercettare legalmente tutto il traffico attraverso il browser web, anche se è criptato, e non vogliono che voi o Google lo sappiate".

Allo stesso tempo, però, Halpin ritiene che una VPN possa ancora offrire alcuni vantaggi, in teoria. Ad esempio, si potrebbe falsificare la posizione del proprio indirizzo IP per fingere di non essere in Europa e scaricare un browser più privato e sicuro. "È relativamente assurdo, ma potrebbe accadere", ha detto.

Cosa ci aspetta in futuro?

Sebbene la Commissione europea abbia respinto tali preoccupazioni in materia di sicurezza, al momento in cui scriviamo ha accettato solo un testo provvisorio.

Ecco perché il team del browser norvegese Opera si sente più ottimista. Nonostante sia d'accordo con l'industria in generale sul fatto che nella sua forma attuale la legge non migliorerà la sicurezza del web, il vicepresidente del settore IT e sicurezza Christian Zubel ci ha detto: "Credo davvero che domani potremmo svegliarci e vedere una versione diversa [del testo]".

Tuttavia, gli esperti si aspettano che l'accordo finale venga rivelato entro la fine di marzo, poiché il Parlamento sta spingendo per chiudere tutti i processi legislativi aperti prima delle prossime elezioni europee previste per giugno.

Ciò che è certo è che l'articolo 45 della revisione dell'eIDAS non apre la strada solo a una maggiore sorveglianza. Anche il rischio che la censura online possa aumentare è alto, così come i potenziali attacchi informatici. "Dal punto di vista della sicurezza informatica, l'Europa diventerebbec un posto pericoloso per fare qualsiasi cosa su Internet", ci ha detto Halpin.

Vale la pena notare, tuttavia, che i legislatori sembrano aver ascoltato il grido dell'industria, almeno in parte. Non hanno infatti modificato la disposizione in sé, ma hanno aggiunto una clausola che dovrebbe chiarire le ambiguità e lasciare ai fornitori di browser una maggiore libertà nel garantire la sicurezza del web. Nonostante questo sia un buon inizio, resta da vedere quanto valore avrà alla fine dal punto di vista legale.

Auto in fiamme, vetrine distrutte e violenti scontri tra polizia e manifestanti. Queste le immagini dei disordini durati 8 giorni in Francia, dopo che il 27 giugno un agente ha ucciso il diciassettenne Nahel Merzouk, ragazzo di origine nordafricana, durante un controllo stradale.

L'età media delle oltre 3.300 persone arrestate nel corso di quella settimana è di 17 anni; tra gli arresti risultano anche alcuni ragazzi di appena 12 anni. Nel pieno delle proteste, il presidente francese Emmanuel Macron ha incolpato le piattaforme social come Snapchat o TikTok, e persino i videogiochi, di incitare alla violenza tra i giovani, minacciando di prendere provvedimenti a riguardo.

I politici francesi di entrambi gli schieramenti hanno accusato Macron di fare eco a leader autoritari come quelli di Iran, Cina e Russia, dove i cittadini devono rivolgersi ai servizi VPN per accedere alle app bloccate. Tuttavia, il commissario europeo Thierry Breton sostiene l'appello al dibattito di Macron. Secondo il commissario, se le piattaforme non riuscissero a cancellare rapidamente i contenuti che istigano all'odio durante le rivolte, in base alla nuova legge sui servizi digitali si potrebbe ricorrere alla censura.

(DSA) EU Digital Service Act

"I social media non hanno fatto abbastanza", ha detto Breton durante un'intervista a France Info. "Se non agiscono immediatamente, allora sì, a quel punto saremo in grado non solo di imporre una multa, ma anche di vietare il funzionamento [delle piattaforme] sul nostro territorio".

Analogamente a quanto sta cercando di fare il Regno Unito con l'Online Safety Bill, il Digital Service Act (DSA) cerca di combattere i pericoli online, dai contenuti che istigano all'odio alle frodi ai danni dei consumatori. I promotori del DSA affermano che il suo obiettivo principale è quello di proteggere i bambini e i valori democratici e che il mancato rispetto delle nuove norme potrebbe comportare multe fino al 6% del fatturato globale di un'azienda.

Entrata in vigore il 25 agosto, la DSA introduce alcune importanti norme per i servizi digitali, tra cui una maggiore trasparenza e responsabilità sugli algoritmi e sulle pratiche di moderazione dei contenuti utilizzate, il divieto di design ingannevole e pone particolare attenzione sul monitoraggio delle piattaforme più grandi. Quest'ultimo include l'obbligo di cancellare immediatamente i contenuti che incitano all'odio quando richiesto.

Sebastian Becker Castellaro, Policy Advisor del gruppo europeo di difesa dei diritti digitali EDRi, ha dichiarato a TechRadar: "Le piattaforme online hanno il dovere di implementare il DSA e i suoi termini e condizioni nel rispetto della libertà di espressione". 

Castellaro ha aggiunto: "È problematico che la massima autorità responsabile dell'attuazione delle DSA dichiari quali sono i contenuti odiosi. In base agli standard europei sui diritti fondamentali, 'invito alla rivolta' e persino 'invito a bruciare auto' non sono contenuti odiosi e quindi non sono illegali".

Proprio la vaghezza e l'ambiguità di alcune disposizioni della DSA preoccupano da tempo gli attivisti per i diritti digitali, che ora chiedono alle autorità di regolamentazione di impegnarsi meglio con questi gruppi per ridurre i rischi.

Secondo Eliška Pírková, Europe Policy Analyst e Global Freedom of Expression Lead di Access Now, la DSA mira a proteggere, piuttosto che ostacolare i diritti fondamentali dei cittadini dell'UE.

"Il Digital Services Act non contiene alcuna disposizione che richieda una misura così estrema. I messaggi politici che suggeriscono che la legge giustifichi la chiusura di Internet o il blocco arbitrario delle piattaforme online sono fuorvianti", ha dichiarato.

Come ogni legge che tenta di regolamentare Internet, la DSA è tutt'altro che perfetta. Entrambi gli esperti hanno dichiarato a TechRadar di essere particolarmente preoccupati per l'approccio della legge alle entità incaricate di rilevare e identificare i contenuti illegali online, in quanto consente alle agenzie governative e alle forze dell'ordine di detenere lo status di segnalatori affidabili.

Secondo Pírková, questo potrebbe "aprire le porte a potenziali avvisi, azioni e abusi dei diritti umani", soprattutto tra gli Stati membri dell'UE con uno Stato di diritto già indebolito. 

"Casi come quello francese ci fanno preoccupare per alcune disposizioni", ha detto ancora Becker Castellaro, citando l'enigma dei "segnalatori di fiducia". 

"È problematico che la situazione politica di uno specifico Paese europeo possa influenzare l'attuazione della DSA".

Oscuramento dei social media: "Un vero e proprio dibattito" secondo Macron

Con il quietarsi delle proteste in Francia, il rischio che le app social media vengano bloccate è fuori discussione, almeno per ora. Tuttavia, secondo Macron, la possibilità di imporre il blocco dei social media "quando le cose sfuggono di mano" è un "dibattito reale che dobbiamo fare". 

Lo scorso 3 luglio il senatore di centro-destra Patrick Chaize ha già proposto un emendamento al disegno di legge francese sulle tecnologie per richiedere alle piattaforme social di bloccare i contenuti di odio entro due ore dalla loro pubblicazione. Il 5 luglio, il portavoce del governo Olivier Véran ha accennato alla possibilità di sospendere temporaneamente funzioni come la geolocalizzazione per impedire ai rivoltosi di organizzarsi durante i disordini.

Sebbene sia stato menzionato pubblicamente, il governo non ha discusso di potenziali chiusure con le aziende che stanno dietro a queste piattaforme quando si sono incontrate il 7 luglio.

Dal 27 giugno al 4 luglio, in Francia, un gran numero di manifestanti hanno riempito le strade per chiedere una maggiore responsabilità della polizia e per opporsi al presunto profiling razziale. Le proteste si sono diffuse nelle periferie di diverse città, tra cui Parigi, Lille e Tolosa.

Si pensa che i danni superino il miliardo di euro (1,1 miliardi di dollari), dato che oltre 200 attività commerciali sono state saccheggiate e 300 filiali bancarie e 250 tabaccherie sono state distrutte (fonte: Fortune). Questo non include i danni alle scuole, ai municipi, ai centri sociali, agli autobus urbani e alle auto dei cittadini.

I rivoltosi avrebbero utilizzato le piattaforme dei social media e altre applicazioni di messaggistica per organizzarsi e mobilitare più persone. Da qui le forti prese di posizione contro il loro utilizzo da parte del governo francese, che ha anche invitato le aziende che si occupano di questi servizi a rimuovere l'anonimato di coloro che potrebbero infrangere la legge.

Tuttavia, Becker Castellaro ha dichiarato che: "Contestare le autorità e organizzare manifestazioni sulle piattaforme sociali sono diritti fondamentali dei cittadini, tutelati dall'UE".

Lo scenario diventa ancora più preoccupante se si considera che il 5 luglio i legislatori francesi hanno votato a favore di ulteriori poteri di polizia per spiare i cittadini attraverso telefoni e altri dispositivi se sospettati di aver violato la legge.

Chiusura dei social media: qual è la posta in gioco?

Purtroppo la chiusura dei social media è una tattica sempre più utilizzata in tutto il mondo.

"Disabilitare l'accesso alle piattaforme online, come i social media, senza adeguate garanzie, è uno strumento utilizzato dai regimi autoritari per censurare e opprimere", ha dichiarato Pírková a TechRadar. "Un'azione così miope significherebbe un duro colpo alla democrazia e ai suoi valori fondamentali, da cui sarebbe molto difficile riprendersi".

La limitazione dell'accesso online si tradurrà sempre in un grave abuso dei diritti fondamentali delle persone", ha spiegato l'autrice. 

Anche quando i cittadini riescono a eludere questi blocchi utilizzando strumenti di localizzazione come le reti private virtuali (VPN), le interruzioni di Internet hanno un impatto negativo sul benessere delle persone e costano milioni alle economie nazionali. 

L'UE, compresa la Francia, sa bene che queste misure ostacolano i diritti economici, sociali e culturali dei cittadini. Una dichiarazione congiunta della Delegazione dell'Unione Europea presso le Nazioni Unite del 7 luglio ha chiesto, infatti, di non imporre arresti. Anche il governo francese ha appoggiato in passato diverse risoluzioni delle Nazioni Unite che condannano le interruzioni del servizio.

Pírková ha dichiarato: "Nessuna autorità dovrebbe mai disconnettere - o minacciare di disconnettere - le popolazioni dall'accesso alle informazioni, soprattutto durante le crisi. Durante i periodi di turbolenza, Internet può essere un'ancora di salvezza e dovrebbe essere una priorità per i governi, non una pedina per la manipolazione". 

Stando ai dati presentati nella relazione annuale dell'ACN, l'Agenzia per la Cybersicurezza Nazionale, il 2022 è stato un anno record per numero di cyberattacchi, con un totale di 1094 casi, di cui 160 rivolti alla Pubblica Amministrazione. Tra le varie minacce, il ransomware si è rivelato il più impattante. 

Nel solo 2022 l'ACN ha gestito un totale di 1094 attacchi rivolti sia ad aziende private che Pubbliche Amministrazioni. In particolare, sono stati segnalati 130 attacchi ransomware a danno di enti pubblici e operatori privati.

Questi sono solo alcuni dei dati evidenziati nella relazione annuale dell'ACN presentata di recente alle Camere. Il documento fornisce una panoramica delle attività, dei dati e dei progetti dell'ACN durante il periodo compreso tra il 1° gennaio e il 31 dicembre 2022.

Secondo la relazione, l'82% degli attacchi ha coinvolto il settore privato, mentre il restante 18% ha colpito la Pubblica Amministrazione. Tuttavia, questi numeri rappresentano solo una parte degli effettivi attacchi ransomware, poiché molte vittime, soprattutto le Piccole Medie Imprese prive di competenze e infrastrutture dedicate, tendono a non segnalare gli incidenti e a gestirli autonomamente.

Il settore manifatturiero è stato il più colpito, seguito dai settori tecnologico, commerciale e sanitario.

Tra le aree geografiche più colpite figurano le principali città metropolitane come Roma, Milano, Torino, nonché i distretti manifatturieri del Nord Ovest e Nord Est del Paese. Si ritiene che ciò sia dovuto alla presenza di numerose imprese manifatturiere in queste regioni.

Anche il sito web istituzionale dell'ACN è stato soggetto a un notevole attacco di tipo DDoS a seguito dello scoppio del conflitto in Ucraina. Tuttavia, grazie ai sistemi di sicurezza dedicati, l'attacco è stato efficacemente contrastato. Nel corso del 2022, CSIRT Italia ha affrontato 44 eventi significativi di tipo DDoS che hanno preso di mira soggetti italiani, distribuiti nel tempo come mostrato nella relazione.

È stato un anno complesso per l'ACN, che è stata istituita nel corso della seconda metà del 2021. Nonostante ciò, l'Agenzia ha operato per garantire la sicurezza del Paese, sviluppando la Strategia nazionale di cybersicurezza 2022-2026 e il relativo piano di implementazione. Questo documento guida fondamentale comprende 82 misure volte a potenziare le capacità di cybersicurezza del Paese di fronte alle sfide digitali, con particolare attenzione alla protezione, alla risposta e allo sviluppo digitale del Paese.

L'Agenzia per la Cybersicurezza Nazionale è inoltre responsabile dell'intervento diretto in caso di incidenti cibernetici. Nel corso del 2022, l'Agenzia ha supportato le vittime di incidenti e attacchi cibernetici, identificando e attuando azioni immediate per contenere gli incidenti e ripristinare l'erogazione dei servizi. Inoltre, il team di specialisti DDFIR (Deployable Digital Forensic Incident Response) è intervenuto in 10 diversi incidenti su tutto il territorio nazionale, in coordinamento con la Polizia postale e delle comunicazioni.

La relazione evidenzia anche le principali criticità riscontrate, tra cui politiche di sicurezza errate e gestione inadeguata delle credenziali di accesso. In particolare, sono state rilevate credenziali pubblicamente esposte, talvolta compromesse in precedenti violazioni dei dati, nonché l'assenza di meccanismi di autenticazione forte, come l'uso di autenticazione a più fattori, per l'accesso ai servizi.

Il direttore generale dell'ACN, il prefetto Bruno Frattasi, ha dichiarato che il 2022 è stato un anno intenso e ricco di sfide. L'Agenzia continuerà a seguire la Strategia Nazionale di Cybersicurezza per implementare attività e progetti innovativi al fine di rendere il Paese più forte e sicuro dal punto di vista cibernetico. Sono previste nuove  assunzioni nell'ottica di un ampliamento del personale, con l'obiettivo di raggiungere 300 persone entro la fine dell'anno. Nelle prossime settimane verrà pubblicata la roadmap del piano di Ricerca e Innovazione sviluppato in collaborazione con il Ministero dell'Università e della Ricerca e saranno presentati nuovi bandi per l'utilizzo delle risorse del Piano Nazionale di Ripresa e Resilienza, seguendo il cronoprogramma stabilito.

È possibile scaricare la relazione annuale per ulteriori dettagli.

• Fonte: ACN

Leonardo3 è un innovativo museo e centro di ricerca di Milano che si occupa di studiare, interpretare e rendere accessibile al pubblico il patrimonio culturale italiano attraverso l’uso di metodi e tecnologie all’avanguardia. Tra le sue opere più famose ci sono le ricostruzioni digitali e fisiche delle macchine e dei dipinti di Leonardo da Vinci.

Per realizzare queste opere, Leonardo3 ha bisogno di gestire una grande quantità di dati digitali, come immagini ad alta risoluzione, modelli 3D, animazioni e video. Questi devono essere trasmessi velocemente e in modo affidabile tra i vari dispositivi usati, inoltre, devono essere protetti da eventuali perdite o danni causati da guasti hardware o software o da attacchi informatici. Senza dimenticare, poi, che questi dati devono essere archiviati in modo efficiente e scalabile, per ottimizzare lo spazio di archiviazione disponibile e poter espandere la capacità in base alle esigenze future.

Il bagaglio di competenze in ambito tecnologico ha portato ben presto il museo all’individuazione del NAS quale strumento ad hoc per soddisfare tali esigenze, tuttavia, l’esperienza di Leonardo3 insegna che un prodotto non è sempre sinonimo di risultato.

Infatti, dopo aver installato diversi NAS, che col tempo non si sono rivelati in grado di soddisfare le loro esigenze, e a seguito di un guasto durante l’aggiornamento di un firmware, che di fatto aveva inibito l’accesso a tutti i dati, Leonardo3 ha deciso di affidarsi a QNAP per una risoluzione efficace e definitiva del problema.

QNAP è una delle principali aziende produttrici di NAS e soluzioni di calcolo, rete e archiviazione e, nel corso degli anni, ha collaborato con diverse aziende e realtà per implementare soluzioni sicure, efficaci e a prova di perdita di dati. Senza ovviamente dimenticare il rapporto qualità-prezzo che, soprattutto per le piccole e medie imprese, è di fondamentale importanza. 

Dopo un’attenta valutazione del caso, QNAP ha consigliato al museo di installare il TS-h1283XU-RP, un NAS enterprise all’avanguardia che offre prestazioni server-grade, gestione flessibile dell'archiviazione e protezione completa dei dati grazie al suo sistema operativo QuTS hero basato su ZFS.

Il TS-h1283XU-RP non solo ha permesso a Leonardo3 di risolvere il problema nell’immediato, ma, grazie alle sue caratteristiche tecniche e alle funzionalità avanzate, è stato in grado di soddisfare tutte le varie esigenze del museo.

Infatti, uno dei vantaggi principali derivanti dall’uso di questo NAS, è stata la possibilità di utilizzare la funzione SnapSync che permette di creare una replica sincronizzata dei dati tra due NAS in tempo reale, aiutando il museo a eliminare il rischio di perdita di questi ultimi e garantendo un ripristino rapido in caso di emergenza. In caso di guasto del NAS principale, infatti, il NAS secondario può subentrare per continuare le operazioni senza perdere alcun dato, riducendo in questo modo al minimo i tempi di inattività. Inoltre, SnapSync supporta la sincronizzazione delta, ovvero solo le modifiche apportate ai dati vengono trasferite al NAS remoto, riducendo al minimo la quantità di dati da trasferire e l'utilizzo della larghezza di banda e accelerando il processo di replica.

Oggi più che mai, i dati sono il bene più prezioso per le aziende e realtà di ogni settore e dimensione. QNAP, con il suo NAS enterprise, è riuscita, come dimostrato, ad offrire una soluzione di archiviazione altamente scalabile, affidabile e sicura che garantisce l'integrità dei dati, massimizza i tempi di attività e semplifica la gestione dei dati, il tutto fornendo il massimo livello di prestazioni e protezione. 

Nessuno è più al sicuro sul web. I cracker, hacker che utilizzano le proprie competenze informatiche per arrecare danno ai propri bersagli e trarne profitto, possono intrufolarsi potenzialmente ovunque. 

Eppure, i responsabili delle aziende sono più che pronti a togliere la sicurezza, se questo dovesse portare a più profitti. In altre parole, ci salva solo il fatto che investire in sicurezza informatica è un eccellente modo per prevenire perdite finanziarie anche ingenti. Se così non fosse, saremmo in una situazione grave. 

Nel corso degli anni, l’incremento del numero di servizi offerti dal web è andato di pari passo con una crescita esponenziale delle minacce. Ogni nuova frontiera aperta in rete e dalla rete è stata ed è tuttora un fertile terreno di coltura per crimini informatici di vario genere. 

Secondo il Rapporto Clusit del 2021, solo nel 2020 gli attacchi informatici gravi sono stati ben 1871, un dato che segna complessivamente un incremento del 66% rispetto alle stime dell’anno precedente (via webforma). 

Ad essere oggetto di questi attacchi sono tanto le persone che le aziende, ma ciò a cui i cracker mirano non è più il denaro, quanto piuttosto le informazioni, la nuova valuta del nostro decennio. Dimenticatevi le spettacolari rapine in banca che avete visto su grande schermo dunque. 

La realtà di oggi supera di gran lunga la finzione di ieri: al posto dei lingotti o degli iconici sacchi in tessuto con sopra stampato il simbolo del dollaro, i caveau del ventunesimo secolo contengono informazioni, dati e trend. 

Niente più scassi alla mordi e fuggi, con gli inseguimenti rocamboleschi della polizia e i travestimenti più improbabili. Le grandi rapine di oggi avvengono a distanza e seduti in poltrona, da postazioni non troppo diverse da quelle che abbiamo in casa e in ufficio. 

Il 10 giugno del 2020 ad esempio, un gruppo di cracker è entrato nei server dell’Electronic Arts Inc. (meglio nota ai giocatori come EA) e ha rubato il codice sorgente di FIFA 21 e il Frostbite Engine. Risultato? 780 GB di dati trafugati e poi rimessi in vendita ai migliori offerenti. 

Nello stesso mese, l’Università della California si è vista recapitare un ransomware da ben $3 milioni, con i negoziati che si sono chiusi alla cifra di $1.14. 

Facebook ha dichiarato di aver subito un attacco informatico che ha spolpato l’azienda dei dati di oltre 530 milioni di utenti, con informazioni sensibili quali nomi, date di nascita e situazioni sentimentali che sono state poi pubblicate online nell’aprile 2021. La lista di attacchi si potrebbe allungare praticamente all'infinito. 

La sicurezza costa tanto, quindi non la metto

Ma fino a che punto queste minacce sono concretamente evitabili? Esistono dei margini di prevenzione che possano se non altro limitare il rischio di simili eventi? Detto altrimenti: in che misura queste brecce nella sicurezza sono prevedibili, e fino a che punto i database delle grandi aziende sono disposti a proteggere i nostri dati? La risposta non vi piacerà. 

Secondo un recente sondaggio F5 condotto su un campione di 1500 responsabili dei servizi IT, la stragrande maggioranza di quest’ultimi (76%) sarebbe disposta a disattivare le misure di sicurezza informatica, se ciò significasse un incremento di prestazioni e dunque di profitti per la propria azienda. 

L’esposizione alle minacce non è dunque un fatto accidentale, qualcosa di imprevisto che cade semplicemente dal cielo, ma un rischio che molte aziende sono disposte a correre in nome dell’imperativo al profitto. 

Secondo il vecchio paradigma della sicurezza informatica, le risorse all’interno del perimetro di una rete aziendale dovevano essere ritenute affidabili a priori. I server si impegnavano a garantire la tutela dei dati del proprio bacino di utenza. Investendo sulla prevenzione del rischio, ciascuna azienda si riteneva responsabile di eventuali incidenti hacker. 

Oggi invece, il paradigma è cambiato e il concetto di sicurezza ne è uscito completamente stravolto. La fiducia degli utenti nei confronti delle aziende a cui forniscono i loro dati è vista come un fattore di vulnerabilità esente da qualsiasi garanzia di controllo.

Certo, viviamo in un mondo sempre più digitalizzato, in cui la natura della forza lavoro è ogni giorno più dispersa e remota e in cui le aziende intrattengono tra loro rapporti di crescente collaborazione. 

Tuttavia, non dobbiamo lasciarci abbindolare troppo dal mito della digitalizzazione. Non è che la sicurezza sia diventata oggi qualcosa di intrinsecamente irrealistico. Piuttosto, nella maggior parte dei casi, sono le aziende stesse a fare a esimersi dal tentativo di rendere la propria rete affidabile. 

Semplicemente, la sicurezza è diventata un investimento prorogabile, se non persino opzionale. Perché prevenire i rischi quando si possono risparmiare risorse tentando semplicemente di gestirli? 

Non è un caso che il nuovo paradigma della sicurezza sia stato definito Zero-trust e che il suo mantra sia “non fidarsi mai”. La sicurezza Zero-trust si baserebbe sull’assunto che non esista un perimetro di rete affidabile e completamente protetto. Anziché basarsi su un protocollo di sicurezza univoco, l’approccio Zero-trust inviterebbe a fare affidamento su più metodologie variabili e parziali. 

Zero-trust significa "zero fiducia" ma non significa che bisogna vedere un criminale in ogni altra persona. Semplicemente, fidarsi significa esporsi anche agli errori in buona fede, alle distrazioni, oltre che ovviamente alla malafede. 

Si tratta d cambiare l'equilibrio tra buone intenzioni e capacità che regola le relazioni umane: se sono per strada, ho fiducia che il guidatore nell'altra corsia non mi verrà addosso, e so benissimo che ne è capace. In autostrada questa capacità è rimossa dallo spartitraffico, ed ecco il modello zero-trust. 

Di conseguenza, la porzione di superficie effettivamente protetta risulta estremamente ristretta, in quanto tende a tutelare solo le risorse ritenute critiche. 

Venendo dritti al punto, non esistono più dispositivi sicuri. Ma questa generale vulnerabilità della rete non è da attribuire a qualche genere di oscuro imprevisto. È una scelta cinica e razionale, ponderata in termini di costi-benefici. 

Quasi tutti gli intervistati della ricerca (96%) hanno dichiarato di aver adottato approcci Zero-trust, ma circa la metà di loro (44%) ha ammesso di ricorrere a politiche di sicurezza oggettivamente incoerenti. 

Anche con l’implemento di nuove e più potenti Intelligenze Artificiali, molte aziende non disporrebbero comunque del personale e delle conoscenze adeguate a identificare i dati rilevanti in maniera corretta e farne buon uso.

Poche risorse e pochi investimenti sono una maniera molto efficace di avere un migliore bilancio a fine anno. Che è esattamente quanto accaduto con il Ponte Morandi, crollato il 14 agosto 2018 proprio perché  - come confermato recentemente dai giudici - si è trascurata consapevolmente la manutenzione per ottenere maggiori profitti finanziari. 

• Ucraina, hacker russi tentano di provocare un blackout ma falliscono

Questa settimana si è diffusa la notizia circa la vulnerabilità agli spyware dei dispositivi Apple, a seguito dell'identificazione di una falla di sicurezza nel sistema operativo dell'azienda.

La situazione ha richiesto la diffusione urgente di una patch di sicurezza su tutti i dispositivi, inclusi iPad e iPhone.

Questo incidente ci ricorda che anche le tecnologie più utilizzate e apprezzate sono vulnerabili ad attacchi da parte di hacker esperti. Dobbiamo accettare il prima possibile questo dato di fatto e risolvere i problemi fondamentali.

In questo caso, Apple è stata informata circa la vulnerabilità da Citizen Lab, un'unità di ricerca in ambito informatico che fa capo all'Università di Toronto. I ricercatori stavano esaminando il cellulare di un attivista saudita, quando hanno scoperto una vulnerabilità potenzialmente (e forse effettivamente) utilizzata dai clienti di NSO Group, l'azienda israeliana dedita agli spyware, per violare in modo "invisibile" iPhone e altri dispositivi Apple già da febbraio 2021.

Come sappiamo, Apple è un marchio con una forte diffusione in tutto il mondo (ad esempio in Regno Unito detiene una quota del 50% di tutti gli smartphone sul mercato), di conseguenza milioni di persone si sono affrettate ad aggiornare i propri dispositivi per proteggersi dalla vulnerabilità in questione, che poteva essere sfruttata tramite l'app iMessage di Apple, un sistema noto per essere protetto e sicuro.

• I migliori antivirus del 2021
• Ransomware: tutto quello che c'è da sapere
• Le migliori VPN per iPhone

La patch è stata efficace?

Ciò che è evidente è che il modo in cui ci siamo occupati di sicurezza negli ultimi vent'anni non è più sufficiente a fronteggiare le odierne minacce informatiche.

Dopo che Apple è stata informata dell'exploit, l'azienda si è mossa molto velocemente per implementare una patch. La tempestività di Apple sottolinea sia la gravità della scoperta che l'impegno dell'azienda nell'ambito della sicurezza.

Tuttavia, oggi l'applicazione di patch è una caccia al topo infinita e caratterizzata da un'efficacia non sempre costante. La complessità del mondo digitale è talmente elevata che è difficile avere un quadro completo della situazione, e probabilmente è qualcosa di impossibile per noi umani senza un sostegno tecnologico. Gli hacker sono alla costante ricerca di innovazione e sempre più professionali nel modo di agire, riunendosi in organizzazioni internazionali e investendo tempo e risorse nella ricerca di nuovi punti di ingresso. Non appena i bersagli correggono una vulnerabilità con una patch, ne viene subito identificata una nuova.

Inoltre, sebbene le patch risolvano le vulnerabilità, non possono comunque arginare i danni provocati da quelle già sfruttate, né annullare le violazioni che si sono già verificate. Inoltre, non possono interrompere un attacco in corso d'opera, in cui gli hacker riescono già a muoversi nel sistema ed estrarre dati sensibili.

Le patch da sole non sono un meccanismo di difesa adeguato, dato che agiscono solo sulle vulnerabilità note, restando dunque sempre un passo indietro. D'altronde come potrebbero mai eliminare punti deboli ancora non noti?

Nell'attuale mondo delle minacce informatiche, i team di sicurezza composti da soli esseri umani non possono prevedere tutte le potenziali falle di una data tecnologia.

Per questo motivo, i sistemi di difesa in ambito di sicurezza informatica agiscono solo in modo reattivo (quando si manifesta una violazione), piuttosto che tentare di arginare la minaccia e neutralizzarla prima che il danno sia fatto. Erigere un "muro" intorno a un perimetro non funziona contro gli attacchi avanzati: i bersagli necessitano di una tecnologia in grado di rilevare quando vengono sfruttate le violazioni, incluse quelle che gli operatori umani ignoravano del tutto. Ed è altrettanto fondamentale la presenza di una tecnologia in grado di interrompere le attività di attacco in modo autonomo, prima che i dati finiscano nelle mani sbagliate.

Come funziona lo spyware Pegasus?

Pegasus sfrutta una serie di exploit per ottenere l'accesso a un dispositivo. Tali exploit sono personalizzabili in base al bersaglio o alla "campagna d'attacco". In sostanza gli utenti hanno accesso a diverse vulnerabilità che affliggono Apple e Android. Queste consentono loro di sfruttare alcune app native (a volte basta solo aprire un file inviato tramite e-mail o SMS, oppure fare clic su un link che si apre su Safari o altri browser) per perpetrare l'attacco.

In questo caso, l'exploit identificato era di tipo "zero-click", un tipo che non richiede nemmeno l'apertura dell'allegato da parte del destinatario di un messaggio dannoso, affinché il dispositivo venga infettato. L'exploit consente agli hacker di eseguire il proprio codice, fra cui quello preposto all'installazione dei componenti spyware di Pegasus. Quest'ultimo, a sua volta, è in grado di attivare le fotocamere e il microfono del dispositivo, nonché registrare SMS, e-mail e chiamate, per poi condividerle con i clienti di NSO Group.

Chi erano i bersagli?

Exploit come questo sono molto sofisticati e non deve sorprendere il fatto che i bersagli principali siano spesso soggetti in grado di accedere a informazioni riservate, come agenti dello spionaggio, politici e giornalisti. Nel mondo di oggi, i "soggetti di alto livello" sanno che il proprio nome figura in una qualche lista di target da colpire, e se non lo sanno dovrebbero rendersene conto il prima possibile e mettere in atto tutte le precauzioni per non essere colpiti.

Utilizzando la forma di un toolkit di spionaggio informatico disponibile a livello commerciale, NSO ha ridotto le barriere tecniche di ingresso, consentendo a diverse organizzazioni di eseguire cyber-attacchi nei confronti dei propri bersagli, offrendo a chiunque abbia il budget adeguato di accedere a funzionalità e tecniche di altissimo livello. E come abbiamo visto con il tool CobaltStrike di Red Teaming, è solo una questione di tempo prima di vedere online una versione "crackata". Pertanto, sebbene tali attacchi non appaiano come una minaccia immediata nei confronti dell'utente Apple medio, una volta che strumenti del genere vengono creati, tendono a diffondersi a macchia d'olio.

Ad esempio, i criminali potrebbero utilizzare l'accesso per rubare dati personali in vista di obiettivi più importanti, per truffare le vittime o addirittura bloccare in massa gli utenti e chiedere un riscatto sotto forma di attacco ransomware per sbloccarli.

Una volta inventato uno spyware, la sua diffusione non è più controllabile e può diffondersi rapidamente in tutto il mondo. Se finisce nelle mani sbagliate, gli usi possono essere nefasti, così come i bersagli colpiti possono diventare un gruppo molto più ampio di soggetti. Dobbiamo accettare che, parlando di strumenti di hacking, le possibilità sono infinite e gli hacker più innovativi troveranno sempre il modo per portare a segno i propri attacchi.

Quanto è sicura Apple, anche rispetto al mondo Android?

Aziende come Apple sono un bersaglio molto appetibile per gli hacker. Le sue tecnologie e i suoi dispositivi sono presenti in ogni ambito della società.

Dalla navigazione tramite mappe all'accesso ai conti bancari, i dispositivi smart fanno sempre più parte delle nostre attività quotidiane e custodiscono quantità impressionanti di dati personali.

L'architettura di sicurezza di Apple si basa sul cosiddetto "walled garden", un sistema in cui il sistema operativo alla base dello smartphone è del tutto inaccessibile alle app di terzi. Tali app sono installabili solo tramite l'App Store ufficiale e vengono eseguite da una zona isolata dello spazio di archiviazione e delle risorse di calcolo.

Considerata la severità con cui le app vengono esaminate per l'approvazione e l'inserimento nell'App Store, l'unico modo effettivo per installare malware su un dispositivo Apple è sfruttare il sistema operativo, un processo noto anche come jailbreak. 

L'architettura Android, d'altro canto, offre agli utenti una maggiore libertà per l'installazione delle app, senza i meccanismi di protezione adottati da Apple. Anche sull'app store officiale di Google Play, la verifica e la moderazione per le app sono limitate, pertanto aumenta il rischio di installare malware senza exploit troppo complicati. In ogni caso, Pegasus si trova già caricato in alcuni exploit specifici di Android, simili a quelli utilizzati per colpire i dispositivi Apple.

Apple collabora da sempre con i ricercatori per individuare gli exploit e risolverli velocemente tramite patch. Ma ciò non aiuta sempre i clienti che hanno già subito le conseguenze di un attacco.

Come restare protetti, dunque?

La distribuzione delle patch è una parte fondamentale delle procedure di cyber-sicurezza, dato che protegge l'organizzazione e gli utenti delle tecnologie dalle vulnerabilità note. Tuttavia, le patch hanno efficacia limitata contro i nuovi attacchi più sofisticati e oggi gli hacker sono sempre più veloci a creare nuove minacce di quanto gli addetti alla protezione lo siano a intervenire con le correzioni.

Le aziende moderne e i soggetti ad alto rischio saranno sempre su una lista di bersagli, ma una volta che un dato malware si diffonde, qualunque utente di un dato smartphone può diventare la vittima successiva. La tecnologia ci apre molte opportunità di migliorare il modo in cui lavoriamo e comunichiamo, ma inevitabilmente introduce rischi di sicurezza e questo è un fatto della società digitalizzata di oggi che dobbiamo accettare.

Non c'è modo di impedire per sempre agli hacker di accedere ai sistemi fondamentali, ma quello che possiamo fare è interrompere la minaccia, ridurre i danni e impedire che i dati personali finiscano in mano ai malintenzionati. L'IA con apprendimento automatico consente alle organizzazioni di individuare le attività ostili sui dispositivi dei dipendenti prima che si verifichi una violazione dei dati sensibili.

In buona sostanza, le tecnologie all'avanguardia sono fondamentali per il contrasto delle minacce: gli esseri umani hanno risorse e capacità limitate, e l'azione autonoma e rapida dell'intelligenza artificiale si fa sempre più necessaria per individuare e fermare le minacce prima che sia troppo tardi.

• Autenticazione a due fattori: cos'è e come funziona

Un elenco di oltre 100 milioni di righe riguardante oltre venti milioni di persone. Questo è ciò che contiene il data breach “db8151dd”: ben 90 GB di informazioni personali rubate tra username, password e informazioni correlate. Tutte le informazioni sono disponibili online ma, a differenza del solito, questa volta non se ne conosce l’origine.

Ne ha parlato oggi sul suo blog Troy Hunt, ethical hacker, fondatore e gestore di Have i been pwned. Nonostante l’esperienza sul tema e le capacità di Troy Hunt, le sue stesse informazioni sono state oggetto di furto e rese disponibili in questo file.

Nel post sul blog viene sottolineato che sono state rese pubbliche alcune sue informazioni particolarmente riservate, tra cui il numero di telefono, che è sempre stato attento a proteggere per mantenerlo il più riservato possibile.

Immediatamente accanto alle sue informazioni, Hunt ha trovato dati di alcune persone con cui ha interagito in passato. Proseguendo nelle righe successive ha anche individuato informazioni relative ad alcuni appuntamenti , o dei promemoria relativi a impegni futuri, come se queste informazioni arrivassero direttamente da agende personali.

Le ricerche sull’origine del file si concludono in un nulla di fatto:  Hunt suppone che moltissime di queste informazioni arrivino direttamente da un CRM, ma anche confrontandosi con colleghi e giornalisti (alcuni dei quali presenti nel file) non è riuscito a risalirvi con certezza.

Hunt ha caricato su Have i been pwned gli oltre venti milioni di indirizzi mail reperibili in quel file: per assicurarvi di non aver subito furti di dati sensibili basterà inserire la vostra mail su quel sito, verrà cercata nell’enorme archivio contenente le informazioni che sono state oggetto di furto o data breach scoperte a oggi e vi informerà se e dove sono presenti le vostre informazioni personali (senza dirvi quali: il database contiene solo gli indirizzi email, Have I been pwned non tiene traccia di nient’altro). Nel caso siate stati oggetto di furto di informazioni, una delle prevenzioni migliori è cambiare le vostre password, possibilmente scegliendone una diversa per ogni vostro account online.

• Controllo remoto e backup, ecco dove investire per rispondere a covid 19
• Password sicure, Qwertycards è un sistema geniale, tascabile ed economico
• I migliori antivirus del 2020

Fonte: https://www.troyhunt.com/the-unattributable-db8151dd-data-breach/

Il lockdown che ci è stato imposto a causa della pandemia da coronavirus ha portato a una sensibile crescita del numero di lavoratori in smart working. Con l’ingresso nella cosiddetta fase 2, migliaia di persone proseguiranno continueranno a lavorare da remoto. 

Nella fase 2, lo smart working rimarrà il cardine per la maggior parte dei lavori dipendenti: sebbene si siano susseguiti nelle settimane diversi DPCM (Decreto della Presidenza del Consiglio dei Ministri), il lavoro da remoto non è mai stato messo in discussione, in quanto considerato il miglior punto d’incontro tra sicurezza personale e continuità lavorativa.

Proprio per questo, nella dilagante emergenza sanitaria ed economica, la tecnologia è uno dei pochi settori che non sta subendo particolari contraccolpi negativi: le vendite di software e apparecchiature informatiche come smartphone o computer sono aumentate, e con loro anche il numero di persone che si connettono a Internet con maggiore frequenza. 

Il sensibile aumento di utenza però ha causato il sovraccarico delle infrastrutture di telecomunicazioni, aumentando i pericoli connessi alla fruizione di internet e di tutti i servizi collegati.

• Smart working: cos'è, come funziona, a cosa serve
• Smart working e sicurezza informatica
• Smart working: 7 modi per lavorare da casa in sicurezza

L’inconsapevolezza dei rischi è il problema maggiore

Secondo un’indagine effettuata da INAPP (Istituto Nazionale per l’Analisi delle Politiche Pubbliche) a seguito del lockdown, 3 milioni di lavoratori in Italia si trovano attualmente in smart working.

Per quanto si tratti di una cifra ragguardevole, soprattutto considerata la velocità della transizione, questi numeri portano alla luce un sistema inadeguato e inefficiente, potenzialmente in grado di mettere a rischio imprese e utenti finali. 

I pericoli più diffusi sul web non sono causati da complesse elaborazioni informatiche, ma fanno semplicemente leva sull’inconsapevolezza degli utenti: non saper determinare l’attendibilità di un sito o di una mail, non saper riconoscere un allegato pericoloso o ancora non sapere come proteggere i dati dei propri dispositivi sfruttando dei servizi progettati ad hoc, sono tutte azioni che rendono il lavoro dell’hacker molto semplice.

Nonostante possano essere sufficienti poche attenzioni per prevenire questi rischi, l’organizzazione interna alle imprese dal punto di vista formativo lascia ancora a desiderare, e le informazioni basilari sul tema della sicurezza tardano ad arrivare ai dipendenti, aumentando di conseguenza i pericoli.

• Le migliori stampanti per la casa
• Le migliori stampanti multifunzione

Smart working fase 2: sicurezza e formazione

È ormai chiaro che in fase 2 la maggior parte dei lavoratori italiani rimarrà in smart working, e questo potrebbe rendere molti di loro potenzialmente più vulnerabili, soprattutto i dipendenti delle imprese che non riservano particolare attenzione alla sfera della sicurezza informatica.

La scelta di software adeguati, un sistema di tutela delle informazioni dell’impresa e la formazione dei propri dipendenti dovrebbe essere per le aziende il cardine dello smart working in fase 2.

Viviamo in un periodo storico in cui la sicurezza sul luogo di lavoro è diventata sinonimo di sicurezza informatica, e questo rende necessario intraprendere percorsi di formazione all’interno delle imprese e introdurre i software adeguati per la protezione dei dipendenti e dei dati aziendali. 

Mentre aspettiamo la ripresa dell’attività aziendale, gli italiani continueranno a lavorare da remoto. Se le minacce a cui veniamo esposti giornalmente non verranno affrontate nel modo adeguato, le conseguenze potrebbero avere un impatto non da poco sull’attività anche futura delle aziende, quando spesso sarebbe sufficiente prestare la giusta attenzione ai piccoli dettagli.

• Le migliori VPN del 2020
• I migliori antivirus del 2020

Il social network Facebook è stato ancora una volta oggetto di violazione da parte degli hacker, poiché un numero di profili pari a oltre 267 milioni sono stati messi in vendita online.

Questi dati includono informazioni personali come anagrafica, indirizzi email, ID di Facebook, date di nascita e numeri di cellulare e, fino a qualche tempo fa, erano in vendita nel Dark Web al prezzo di circa €600. 

I dati rubati non contengono password, ma le informazioni disponibili nel suddetto database potrebbero essere utilizzate dai malintenzionati per eseguire campagne di phishing, basate su email o SMS, per rubare le password degli utenti.

• Facebook, esposti online i dati di milioni di utenti 
• Facebook, il traffico è alle stelle. Ecco le alternative per chat e videochiamate 
• Smart working e sicurezza informatica 

Fuga di informazioni

I dati rubati sono stati intercettati dal team di esperti di cyber security di Cyble, che ha acquistato il materiale sospetto per verificarne l'autenticità e comprendere le modalità alla base del furto.

Cyble non ha ancora potuto accertare l'origine del database, ma ha dichiarato: "In questa fase, non siamo a conoscenza di come i dati siano stati rubati e divulgati, ma crediamo che potrebbe trattarsi di una violazione dell’API di terze parti. I dati contengono informazioni sensibili sugli utenti e potrebbero essere utilizzati dai criminali informatici per phishing e spamming."

Purtroppo non si tratta della prima volta in cui i dati degli utenti di Facebook vengono divulgati presso forum di hacker o siti del Deep Web. Nel mese scorso un archivio simile, contenente dati di profili Facebook di utenti con residenza prevalentemente negli Stati Uniti, è stato reso disponibile sotto forma di un database pubblico sul server di ricerca Elasticsearch; l’archivio conteneva informazioni personali come il nome completo degli utenti, il loro numero di telefono e un ID Facebook univoco.

A distanza di pochi giorni da questo attacco, è stato scoperto un altro database online contenente circa 42 milioni di profili Facebook. In questo caso, il gruppo di hacker responsabile dell’attacco ha lasciato un messaggio di esortazione a prestare maggiore attenzione alla sicurezza e alla protezione dei server.

Gli esperti di cyber security suggeriscono agli utenti di ricontrollare le impostazioni di privacy e sicurezza dei propri account Facebook e invitano tutti noi a prestare la massima attenzione in caso di ricezione di email o messaggi di dubbia provenienza. 

La redazione di TechRadar Pro ha contattato Facebook per un commento in merito alle recenti violazioni.

• Le migliori reti VPN del 2020 

Fonte: Bleeping Computer 

Zoom, nota applicazione per la videoconferenza, è diventata popolare negli ultimi mesi, quando la pandemia di Covid-19 ha obbligato le persone a non uscire di casa, quindi per restare in contatto con i propri amici e familiari, molte persone si sono affidate alla tecnologia. Tuttavia, come abbiamo riportato in precedenti occasioni, Zoom è stata protagonista di diversi attacchi informatici e un numero sempre maggiore di aziende sta dicendo al proprio personale di evitare di utilizzare questa applicazione proprio per motivi di sicurezza.

Siemens, colosso industriale tedesco, rientra tra le ultime aziende a evitare l'uso di Zoom, dal momento che ha inviato una circolare interna per sollecitare i suoi dipendenti a non utilizzare questa applicazione per le proprie videoconferenze. Anche Standard Chartered Bank, società finanziaria internazionale con sede a Londra, ha emesso una nota analoga al suo personale. 

Oltre a evitare Zoom, Standard Chartered Bank ha comunicato ai propri dipendenti di non utilizzare nemmeno Google Hangouts, anch’essa diventata popolare nelle ultime settimane per lo stesso motivo riportato all’inizio dell’articolo.

• Zoom: cos’è, come funziona, trucchi e consigli 
• Zoom, ecco le migliori app alternative per la videoconferenza 
• Le migliori webcam economiche del 2020 

Problemi di sicurezza 

Questo è stato il periodo migliore in assoluto di Zoom ma nello stesso tempo anche il peggiore. A marzo, l’azienda ha rivelato di aver superato 200 milioni di partecipanti giornalieri (inclusa sia la versione gratuita che a pagamento) rispetto ai 10 milioni di utenti fatti registrare a dicembre.

Nel momento in cui il numero di utenti è aumentato in modo esponenziale, gli esperti di sicurezza informatica hanno scoperto seri problemi con i protocolli di sicurezza di Zoom e Google Hangouts rispetto ad altre applicazioni aziendali come Microsoft Teams, Webex e Bluejeans.

Zoom è stata particolarmente vulnerabile agli attacchi degli hacker, che sono riusciti a introdursi nelle video chat di altre persone, rilasciando messaggi volgari e insulti razziali.

Zoom ha registrato un aumentato anche nelle scuole, ma i recenti attacchi da parte di intrusi hanno sollevato forte preoccupazione tra gli utenti. Per questo motivo anche le scuole di Stati Uniti e Singapore hanno deciso di vietare l’uso della piattaforma.

Inoltre, è emerso che la ricerca e sviluppo di Zoom proviene dalla Cina e questo ha spinto anche Taiwan e Germania a vietare l’uso dell’applicazione per le proprie comunicazioni ufficiali.

Inoltre, anche dei funzionari dell'intelligence statunitense hanno espresso la loro preoccupazione per un eventuale spionaggio cinese sfruttando le vulnerabilità che sono emerse di recente.

• Smart working: 5 consigli per ottenere il meglio dal vostro team 

Fonte: Reuters

L’agenzia Reuters rende noto che, secondo quanto dichiarato da un alto funzionario della stessa organizzazione, all’inizio del mese l’OMS è stata oggetto di un attacco di pirateria informatica. La fonte ha specificato che l'Organizzazione Mondiale della Sanità si trova a dover fronteggiare un aumento più che raddoppiato di questo tipo di attacchi.

• Le migliori VPN del 2020
• Le migliori VPN per Android
• Le migliori VPN per iPhone

Attacco hacker all’OMS: l’impresa è fallita

L’attività criminale è stata rilevata il 13 marzo, quando gli hacker hanno attivato un sito contraffatto che imita il sistema interno di posta elettronica dell’OMS. L’attacco sarebbe stato notato da Alexander Urbelis, un esperto in sicurezza informatica ed avvocato del Blackstone Law Group di New York durante un’attività di controllo e verifica sulle attività sospette di un gruppo hacker che stava monitorando.

Secondo un altro esperto, Max Heinemeyer, direttore del Threat Hunting di Darktrace, gli addetti al settore non sono sorpresi da questo attacco nei confronti dell’OMS. Nelle ultime settimane si sono intensificati i cosiddetti attacchi “fearware”, ossia finte mail che sfruttano le notizie di attualità e la paura globale per impossessarsi dei dati personali.

Ovviamente, scopo dell’attacco era impadronirsi delle credenziali di accesso di qualche collaboratore interno all’organizzazione e con queste riuscire ad accedere ai dati riservati riguardanti le modalità di diffusione del virus, il suo contenimento, lo stato dell’arte sui vaccini che lo riguardano, ecc. Una mole di dati che, sicuramente, fa gola a più di un servizio segreto. 

Non è solo l’OMS ad essere bersagliata da attacchi diretti, ma anche i siti istituzionali di altre agenzie che vengono attaccati con imitazioni di siti ufficiali dell'OMS stessa, come emerge da quanto dichiarato da Flavio Aggio, Chief Information Security Officer dell’ente.

Urbelis, dal canto suo, ha sostenuto di non conoscere i responsabili, ma altre fonti ben informate fanno ricadere i sospetti sull’hacker team DarkHotel, attivo nel cyber spionaggio almeno fin dal 2007.

Kaspersky, casa produttrice dell'omonimo antivirus, pur non potendo confermare l’identità degli hacker che hanno attaccato l’OMS, ha fatto notare come la stessa infrastruttura malware sia stata impiegata in questi giorni per perpetrare attacchi mirati contro diverse organizzazioni sanitarie e umanitarie.

Inoltre, l’enorme interesse che ruota intorno al Covid-19 e l’immensa richiesta di informazioni sul web hanno portato all'intensificarsi di campagne di phishing. Come sempre, occhi aperti dunque.