Cancellare o modificare i piani di volo degli 8 milioni di persone che in media volano ogni giorno risulta, per un esperto in truffe informatiche, relativamente semplice: è la denuncia che arriva da due ricercatori esperti di cyber sicurezza intervenuti martedì al Chaos Communication Congress, un festival sul tema dell'hacking in corso ad Amburgo, Germania.
La maggior parte delle compagnie aree gestisce le prenotazioni dei clienti con sistemi vecchi almeno 10 anni, non pensati per lo sviluppo del web a cui assistiamo oggi, e con codici non sufficientemente sicuri e personalizzati.
Non preparati. Karsten Nohl e Nemanja Nikodijevic hanno analizzato i principali Global Distribution System (GDS), i sistemi informatici che compagnie aeree e agenzie di viaggio utilizzano per la gestione delle prenotazioni di voli, auto a noleggio e altri servizi turistici.
Prevedibili. Quando si acquista un biglietto aereo, si riceve in genere un codice di sei cifre che, in combinazione con un dato personale (per esempio il cognome) consente di accedere al proprio account e modificare la prenotazione fino a poco prima del viaggio. Ma questi codici sono in genere composti solo da lettere maiuscole, limitano gli 1 e gli 0 per non fare confusione con le I e le O, e in due o tre grandi GDS crescono in modo sequenziale.
Ciò significa che un hacker esperto potrebbe facilmente risalire al periodo in cui un codice è stato emesso, e aumentare le probabilità di abbinarlo al giusto cognome. I codici di prenotazione compaiono spesso, inoltre, sui bagagli dei passeggeri, un fatto che rende i viaggiatori ancora più facilmente tracciabili.
Prima o poi... Inoltre, la maggior parte dei GDS non prevede un numero massimo di tentativi di inserimento del codice (salvo permettere soltanto un certo numero di richieste al minuto). Un bot, cioè un programma che acceda alla rete attraverso gli stessi canali utilizzati dagli utenti umani, potrebbe quindi facilmente tentare milioni di possibili combinazioni fino ad arrivare al corretto codice e abbinamento.
Scenari inquietanti. Con queste tecniche, i due ricercatori sono riusciti a rintracciare il posto a sedere di un politico tedesco e a prenotare, accanto a lui, un biglietto aereo per un reporter loro complice nell'esperimento. Ma il sistema potrebbe prestarsi anche a truffe finanziarie. Per esempio si potrebbe cancellare il volo di un passeggero ignaro, ottenere un coupon da una compagnia e riutilizzarlo per volare gratis.
Il 44% dei computer degli italiani viene attaccato durante la navigazione sul web: è quanto risulta dal rapporto Clusit 2013 sulla sicurezza informatica. Il nostro Paese sarebbe il primo in Europa per numero di tentativi di intrusione, mentre all'ultimo posto di questa classifica inversa si attestano i danesi col 20% di attacchi sul totale dei loro navigatori.
Stando allo studio, questo accade perché siamo particolarmente sprovveduti e poco attenti a proteggere i nostri cosiddetti dati sensibili, e in questo modo cadono in mani altrui informazioni, pin vari e password. E pare che tutto ciò costi al Paese 10-15 miliardi di euro l'anno, tra danno diretto a privati e aziende, tempo, costi per le denunce e le indagini.
Quali sono gli attacchi più comuni? Malintenzionati e pirati hanno a disposizione diverse tecniche di intrusione. Tolta quella banale - e molto frequente! - dell'accesso diretto al contenuto di un computer lasciato acceso la sera o in pausa pranzo, ed esclusi i furti di portafogli e cellulari dove abbiamo incautamente annotato il pin del bancomat e la password della posta, ci sono 8 principali strategie di attacco: eccole, con qualche suggerimento per difendersi.
Mentre navighiamo in internet, anche via tablet o smartphone, capitiamo su un link, dietro cui si nasconde un programma truffladino che permetterà all'hacker di entrare nel nostro computer. Basta un clic per attivarlo.
La soluzione: un buon antivirus - ce ne sono di ottimi anche gratuiti. E vale sempre la regola d'oro di "non accettare caramelle dagli sconosciuti", perciò è meglio evitare siti e link sospetti.
Nelle pagine di un sito di cui ci fidiamo è stato inserito del codice malevolo (il malware) che, per esempio, farà sì che i dati inviati - come ciò che viene digitato nelle caselle username e password di una pagina web - vengano reindirizzati all'hacker, senza alcun indizio di quanto avviene e senza destare sospetti.
La soluzione: aggiornare il browser. Le nuove versioni hanno uno scudo contro questo tipo di attacchi.
È una tecnica di spionaggio molto diffusa e relativamente facile: il pirata prende informazioni su di noi via Internet, approfittando soprattutto delle tracce che lasciamo sui social network. E in seguito le usa per ricavare password e altri dati sensibili.
La soluzione: usare nickname (username) e password diversi per i vari siti che si frequentano. E lasciare il minor numero possibile di informazioni personali in moduli di iscrizione e documenti online.
È una tecnica subdola che, al clic su di un collegamento a un sito noto, consente di reindirizzare la navigazione verso un sito "clone", fraudolento, senza che sia possibile riconoscerlo come falso.
La soluzione: firewall e antivirus (anche gratuiti) possono aiutare. Ma bisogna anche fare attenzione a che il sito in cui si inseriscono dati sensibili, come il numero della carta di credito, abbia un certificato di sicurezza (se manca, in genere viene segnalato da firewall e browser) o utilizzi il protocollo https (http secure) anziché il normale http.
Si manifesta con un'email di un ente o un'istituzione realmente esistente (la banca, il social network preferito, la società erogatrice della carta di credito eccetera) che ci invita a cliccare su un link e inserire successivamente username e password. Ma si tratta di un falso, costruito ad arte per ingannarci e ottenere i nostri dati.
La soluzione: nessuna banca (e tantomeno le Poste) ci chiederà mai di aprire un sito via email e di inserire la nostra password! Quanto ai social network, bisogna fare attenzione all'indirizzo che si apre cliccando il link
dell'email: può differire dall'originale di una sola lettera.
Indica la capacità di dedurre informazioni da ciò che si apprende. In questo caso i pirati non hanno bisogno di un malware per entrare nel
nostro computer e captare i dati che vogliono. Per ottenere date di nascita e altre
informazioni utili a ricavare una password, basta osservarci e
studiare il nostro comportamento. I più arditi si spingono anche a
rovistare nella spazzatura, ossia tra i documenti finiti nel cestino e che per un po' restano recuperabili anche se il cestino è stato svuotato.
La soluzione: quasi tutti gli antivirus (anche molti di quelli gratuiti) e i software per la gestione e l'ottimizzazione del computer consentono di effettuare una "cancellazione profonda" dei documenti da buttare e di ciò che potrebbe essere ancora recuperato dal cestino. Ed è meglio evitare troppe confidenze con persone conosciute solamente online.
Consiste nel contraffare la propria identità: va dalla falsificazione del proprio indirizzo IP (per entrare in una rete di computer) a quella del numero di telefono per mandare messaggini ingannevoli (sms spoofing).
La soluzione: un firewall aggiornato e il buon senso possono aiutare contro lo spoofing, che rimane una delle tecniche di intrusione più pericolose.
Il malware si trova su una chiavetta usb (o un altro dispositivo simile): inserita la chiavetta nel computer, il software dannoso si avvia e permette al pirata di mettere il naso nei nostri affari, a nostra totale insaputa.
La soluzione: prima di collegare un dispositivo (chiavette, dischi, memorie) è meglio accertarsi che l'antivirus sia aggiornato.
