Le password per internet sono poco sicure. Lo rivela uno studio pubblicato da SplashData, azienda californiana che si occupa di sicurezza, che sottolinea come nonostante i pericoli di "infiltrazione" attraverso le connessioni siano sempre più alti, e nonostante la gente sia sempre più consapevole dei rischi, molte persone formulano parole chiave banalissime e facilmente ricostruibili da truffatori e cyber spie.
Cina contro Resto del Mondo ShadyRAT è un virus trojan scoperto da Symantec nel 2011 ma attivo già dal 2006. Arrivato via email come allegato infetto dal nome potenzialmente innocuo (budget2008.xls, list_update.pdf, ecc) una volta aperto si installava nel PC dell’ignaro utente, trasformandolo in una macchina "zombie" pronta a eseguire ordini impartiti da remoto.
In particolare ShadyRAT rubava documenti e files contenuti nel computer ospite inviadoli al suo creatore.
Il malware ha colpito e infettato macchine e reti in 72 grandi organizzazioni di 14 paesi, tra cui le Nazioni Unite, alcuni contractor del settore difesa e il Comitato Olimpico Internazionale.
Alcune similitudini tra il codice di ShadyRAT e quello di altri attacchi informatici isolati in quegli anni (Operation Aurora e Night Dragon in particolare) hanno convinto gli esperti che il virus fosse stato messo a punto in ambienti governativi cinesi.
Foto: © Symantec
Nato (?) contro Russia Red October è un malware dal funzionamento simile a quello di ShadyRAT, scoperto da Kaspersky nel 2013. In un report pubblicato dagli esperti di sicurezza dell’azienda si legge “Gli attaccanti hanno creato un malware unico e flessibile, in grado di rubare dati e informazioni geopolitiche dai computer infettati, dai telefoni cellulari e dagli apparati di rete”.
Red October, all’epoca diffuso soprattutto in Russia e in Kazakhstan, aveva preso di mira enti governativi, banche e grandi aziende e il suo codice presentava tracce di software utilizzato in ambienti militari della NATO e dell’Unione Europea.
Il malware, che arrivava nascosto in documenti Word o Excel, inviava le informazioni rubate dai computer bersaglio a una ventina di server sparsi in tutto il mondo. Una volta portata alla luce l’operazione, l’intera rete è stata spenta e disattivata, rendendo di fatto impossibile risalire ai mandanti.
Foto: © Kaspersky Lab
Cina contro Occidente Una mail come esca, l’invito a cliccare su un link infetto e migliaia di computer colpiti: è, in estrema sintesi, la storia di APT1, un malware di fabbricazione cinese che tra il 2006 e il 2013 ha fatto incetta di dati e informazioni sensibili sulle reti di enti, aziende e istituzioni dei paesi occidentali.
Secondo gli esperti di Mandiant, l’azienda specializzata nella sicurezza informatica che lo ha identificato nel 2013, APT1 è stato messo a punto nei laboratori dell’Unità 61398, il reparto dell’esercito cinese che si occupa di spionaggio digitale.
Latinos (?) contro Resto del Mondo Identificato nel 2014 da Kaspersky, Mask (o Careto) è uno dei più evoluti malware per lo spionaggio mai rilevati.
In azione dal 2007, è sopravvissuto indisturbato a generazioni di antivirus grazie a un trucchetto digitale: il software utilizzava infatti una firma elettronica falsa, che lo qualificava come programma “innocuo” ai controlli dei più noti e diffusi programmi di protezione.
Era in grado di infettare qualunque sistema operativo, compresi iOS e Android, e di intercettare ogni tipo di comunicazione, dalle email alle conversazioni su Skype. Ha colpito i sistemi di 380 tra enti governativi e aziende e secondo gli esperti è così sofisticato che può essere stato realizzato solo in ambienti di intelligence.
I suoi programmatori non sono mai stati identificati, ma alcune particolarità del codice fanno pensare a una produzione in paesi di lingua spagnola.
Ignoti contro Tutti Duqu è uno dei più insidiosi malware mai realizzati: identificato nel 2011 dall’Università di Budapest, è scritto in un linguaggio di programmazione sconosciuto. Colpisce i grandi computer industriali utilizzati per controllare le attività nevralgiche di un paese: dai sistemi di distribuzione dell’energia a quelli che controllano i trasporti o le comunicazioni.
Arrivava nei computer bersaglio mascherato da font all’interno di un documento Word: per attivarlo era sufficiente aprire l’allegato.
Il suo scopo non era quello di distruggere le infrastrutture ma rubare dati: il bersaglio di Duqu erano i certificati digitali, cioè quell’insieme di credenziali che permettono a un software di qualificarsi come “buono” presso un computer ospite. Le informazioni venivano esportate nascoste all’interno di un file jpg.
I creatori di Duqu cercavano insomma di procurarsi le chiavi per accedere in futuro a quegli stessi sistemi per metterli KO.
Israele contro Iran Scoperto nel 2012 dalle unità di cyber sicurezza del Governo Iraniano, Flame venne definita dagli esperti come la più sofisticata arma digitale prodotta fino ad allora.
Colpiva i computer con sistema operativo Windows e poteva diffondersi attraverso chiavette USB infettate o attraverso reti locali. Era in grado di catturare le schermate visualizzate dagli utenti, di registrare le conversazioni su Skype e di rubare ogni tipo di documento.
Flame poteva trasformare ogni computer dotato di Bluetooth in una spia silenziosa in grado di intrufolarsi in smartphone e tablet con la stessa tecnologia per sottrarre dati, sms, email e altre informazioni.
In pochi mesi ha colpito i sistemi di numerose organizzazioni governative e finanziarie in tutto il Medio Oriente: progettato per infiltrarsi nei computer bersaglio sotto forma di documento AutoCad, PDF o testuale, presenta schemi e strutture tipiche dei software sviluppati in Israele.
Russia (o Iran) contro USA Nel 2010 il Segretario americano alla Difesa William Lynn III ha rivelato al Congresso che qualche mese prima i sistemi del CentCom, la più avanzata unità per la guerra elettronica del Governo a stelle e strisce, era stata messa in ginocchio da un malware.
Il software si era inflitrato nella rete militare dal computer di una base americana in Medio Oriente nel quale era stata inserita, da un soldato distratto, una chiavetta USB infetta trovata in un bagno pubblico nei pressi della struttura. L’origine dell’attacco era stata fatta risalire ai servizi di intelligence ex sovietici.
Una volta ripuliti i sistemi il Pentagono è corso ai ripari, bloccando l’accesso alle porte USB di tutte le sue macchine.
Foto: © Chris Yarzad / Flickr
Usa contro Iran Nel 2010 un potente malware, Stuxnet, mette in crisi l’impianto nucleare di Natanz, in Iran: le centrifughe che raffinano l’uranio impiegato nel reattore impazziscono, rendendo il minerale del tutto inutilizzabile. Nessun sistema di allarme aveva segnalato agli operatori della centrale il malfunzionamento.
Stuxnet era stato inoculato nella rete informatica di questa struttura iperprotetta da una penna USB infetta, sfruttando una vulnerabilità di Windows. Il malware era in grado di riprogrammare i computer industriali della Siemens utilizzati a Natanz in maniera del tutto silenziosa e invisibile.
Si tratta di una vera e propria arma elettronica che secondo le rivelazioni di Edward Snowden sarebbe stato sviluppato dall’NSA, l’agenzia per la sicurezza nazionale del governo americano, con la collaborazione dell’intelligence israeliana.
Il trionfo delle sequenze. L'analisi, che prende in esame le peggiori password utilizzate lo scorso anno negli Stati Uniti, racconta come circolino ancora "stringhe" della stessa complessità di quelle che si usavano 25 anni fa. Ecco la top ten di quelle più ingenue:
1. 123456
2. password
3. 12345678
4. qwerty
5. 12345
6. 123456789
7. football
8. 1234
9. 1234567
10. baseball
Assodato che la sequenza "123456" si mantiene al primo posto per il secondo anno consecutivo (a discapito di "password", che ha dominato fino al 2013), la lista (online sul blog di SplashData) prosegue con altre banalità in lingua inglese, come "welcome", "abc123" e "1111". Anche "1qaz2wsx", che potrebbe sembrare frutto di una mente brillante, è in realtà il risultato della digitazione in sequenza dei tasti incolonnati sotto 1 e 2 sulla tastiera del computer.
Il 44% dei computer degli italiani viene attaccato durante la navigazione sul web: è quanto risulta dal rapporto Clusit 2013 sulla sicurezza informatica. Il nostro Paese sarebbe il primo in Europa per numero di tentativi di intrusione, mentre all'ultimo posto di questa classifica inversa si attestano i danesi col 20% di attacchi sul totale dei loro navigatori.
Stando allo studio, questo accade perché siamo particolarmente sprovveduti e poco attenti a proteggere i nostri cosiddetti dati sensibili, e in questo modo cadono in mani altrui informazioni, pin vari e password. E pare che tutto ciò costi al Paese 10-15 miliardi di euro l'anno, tra danno diretto a privati e aziende, tempo, costi per le denunce e le indagini.
Quali sono gli attacchi più comuni? Malintenzionati e pirati hanno a disposizione diverse tecniche di intrusione. Tolta quella banale - e molto frequente! - dell'accesso diretto al contenuto di un computer lasciato acceso la sera o in pausa pranzo, ed esclusi i furti di portafogli e cellulari dove abbiamo incautamente annotato il pin del bancomat e la password della posta, ci sono 8 principali strategie di attacco: eccole, con qualche suggerimento per difendersi.
Mentre navighiamo in internet, anche via tablet o smartphone, capitiamo su un link, dietro cui si nasconde un programma truffladino che permetterà all'hacker di entrare nel nostro computer. Basta un clic per attivarlo.
La soluzione: un buon antivirus - ce ne sono di ottimi anche gratuiti. E vale sempre la regola d'oro di "non accettare caramelle dagli sconosciuti", perciò è meglio evitare siti e link sospetti.
Nelle pagine di un sito di cui ci fidiamo è stato inserito del codice malevolo (il malware) che, per esempio, farà sì che i dati inviati - come ciò che viene digitato nelle caselle username e password di una pagina web - vengano reindirizzati all'hacker, senza alcun indizio di quanto avviene e senza destare sospetti.
La soluzione: aggiornare il browser. Le nuove versioni hanno uno scudo contro questo tipo di attacchi.
È una tecnica di spionaggio molto diffusa e relativamente facile: il pirata prende informazioni su di noi via Internet, approfittando soprattutto delle tracce che lasciamo sui social network. E in seguito le usa per ricavare password e altri dati sensibili.
La soluzione: usare nickname (username) e password diversi per i vari siti che si frequentano. E lasciare il minor numero possibile di informazioni personali in moduli di iscrizione e documenti online.
È una tecnica subdola che, al clic su di un collegamento a un sito noto, consente di reindirizzare la navigazione verso un sito "clone", fraudolento, senza che sia possibile riconoscerlo come falso.
La soluzione: firewall e antivirus (anche gratuiti) possono aiutare. Ma bisogna anche fare attenzione a che il sito in cui si inseriscono dati sensibili, come il numero della carta di credito, abbia un certificato di sicurezza (se manca, in genere viene segnalato da firewall e browser) o utilizzi il protocollo https (http secure) anziché il normale http.
Si manifesta con un'email di un ente o un'istituzione realmente esistente (la banca, il social network preferito, la società erogatrice della carta di credito eccetera) che ci invita a cliccare su un link e inserire successivamente username e password. Ma si tratta di un falso, costruito ad arte per ingannarci e ottenere i nostri dati.
La soluzione: nessuna banca (e tantomeno le Poste) ci chiederà mai di aprire un sito via email e di inserire la nostra password! Quanto ai social network, bisogna fare attenzione all'indirizzo che si apre cliccando il link
dell'email: può differire dall'originale di una sola lettera.
Indica la capacità di dedurre informazioni da ciò che si apprende. In questo caso i pirati non hanno bisogno di un malware per entrare nel
nostro computer e captare i dati che vogliono. Per ottenere date di nascita e altre
informazioni utili a ricavare una password, basta osservarci e
studiare il nostro comportamento. I più arditi si spingono anche a
rovistare nella spazzatura, ossia tra i documenti finiti nel cestino e che per un po' restano recuperabili anche se il cestino è stato svuotato.
La soluzione: quasi tutti gli antivirus (anche molti di quelli gratuiti) e i software per la gestione e l'ottimizzazione del computer consentono di effettuare una "cancellazione profonda" dei documenti da buttare e di ciò che potrebbe essere ancora recuperato dal cestino. Ed è meglio evitare troppe confidenze con persone conosciute solamente online.
Consiste nel contraffare la propria identità: va dalla falsificazione del proprio indirizzo IP (per entrare in una rete di computer) a quella del numero di telefono per mandare messaggini ingannevoli (sms spoofing).
La soluzione: un firewall aggiornato e il buon senso possono aiutare contro lo spoofing, che rimane una delle tecniche di intrusione più pericolose.
Il malware si trova su una chiavetta usb (o un altro dispositivo simile): inserita la chiavetta nel computer, il software dannoso si avvia e permette al pirata di mettere il naso nei nostri affari, a nostra totale insaputa.
La soluzione: prima di collegare un dispositivo (chiavette, dischi, memorie) è meglio accertarsi che l'antivirus sia aggiornato.
IL RITORNO DELLO JEDI. Lo studio è anche uno specchio dei tempi: l'enorme popolarità del settimo episodio di Guerre Stellari ha indotto molti a rispolverare parole chiave non esattamente a prova di hacker, come "princess", "solo" (il personaggio interpretato da Harrison Ford) e "starwars".
Le password dovrebbero aiutarci ad aumentare la sicurezza dei dati digitali, dunque è importante sceglierle con cura: le più sicure devono avere almeno 12 caratteri, mescolare numeri e lettere maiuscole e minuscole e non devono essere mai usate per accedere a più siti. E se avete troppe password da ricordare, suggerisce SlpashData, meglio usare un software per la gestione delle password, un password manager.
Vedi anche
The Imitation Game (2014). Storia del matematico inglese Alan Turing, che durante la Seconda guerra mondiale costruì un precursore dei moderni computer per decifrare il codice dei nazisti (vedi come funzionava la macchina Enigma).
Precisione storica: 7. È un resoconto veritiero, ma ci sono dettagli fantasiosi. Ad esempio, il vero Turing non era così incapace di relazionarsi con le persone, né il comandante della divisione per cui lavorava Turing era così cocciutamente ostile al suo lavoro (tanto che la famiglia di Alastair Denniston, il comandante, si è detta offesa dal film).
Giudizio artistico: 7+. È ben recitato e ha il pregio di mettere sul piatto due questioni spinose: cosa significa sacrificare vite umane per un bene superiore e cosa significa perseguitare una persona per la sua omosessualità.
Il quinto potere (2013). Come Julian Assange e il suo collega Daniel Domscheit-Berg hanno fondato WikiLeaks, una piattaforma per la diffusione di informazioni riservate in forma anonima che ha scosso i governi.
Precisione storica: 3. Già prima che il film uscisse nelle sale, Julian Assange aveva criticato il libro da cui è tratto («pieno di falsità») e l'intenzione che stava dietro l'adattamento («perseguire una vendetta contro di me e la mia organizzazione»).
Giudizio artistico: 5. È una sorta di thriller giornalistico svogliato e fiacco, che pigia l'acceleratore sugli elementi drammatici e sorvola sul nocciolo dell'argomento trattato.
The Social Network (2010). Lo studente di Harvard Mark Zuckerberg crea il social network Facebook: sappiamo come andrà. Più tardi viene citato in giudizio da due fratelli (sostengono abbia rubato loro l'idea) e dal suo ex socio d'affari (sbattuto fuori dall'azienda).
Precisione storica: 6. Zuckerberg ha criticato l'eccessiva drammatizzazione della sua vita, in particolare il fatto che sembra ruotare quasi interamente intorno a una delusione amorosa. Nel complesso, però, il film illustra bene l'impatto di Facebook nel mondo.
Giudizio artistico: 9. Merito soprattutto dello sceneggiatore Aaron Sorkin e del regista David Fincher, due nomi che sono una garanzia.
The Queen of Code (2015). Durante la Seconda guerra mondiale, la signora ammiraglio Grace Murray Hopper è elemento determinante nella costruzione del primo computer e nell'affermazione del ruolo delle donne in un mondo prevalentemente maschile, e successivamente ebbe un ruolo di primo piano nell'elaborazione del linguaggio di programmazione COBOL.
Precisione storica: 10. È un documentario breve che raccoglie numerose testimonianze di chi ha lavorato accanto a Grace Hopper.
Giudizio artistico: 6. L'attrice Gillian Jacobs esordisce dietro la cinepresa e porta a casa un film di montaggio senza sbavature, ma vecchiotto nell'impianto formale e narrativo.
Jobs (2013). La storia di Steve Jobs dal 1974 (quando era studente del Reed College) al 2001, anno di introduzione dell'iPod.
Precisione storica: 4. Il documentarista Robert X. Cringely, che conosceva Steve Jobs e lo intervistò in diverse occasioni, ha rilevato «molte imprecisioni storiche» del film.
Giudizio artistico: 4. Sbagliato il tono (troppo sentimentale e celebrativo) e sbagliato il casting del protagonista (Ashton Kutcher).
Anonymous: l'esercito degli hacktivisti (2012). Storia dei primi hacker e dell'evoluzione del loro gruppo più famoso, che inizia come realtà scanzonata e ridanciana per diventare un movimento globale di attivisti.
Precisione storica: 8. Il docu-film offre un inedito sguardo dall'interno, intervistando numerosi membri di Anonymous, però tende a relegare in secondo piano le voci degli hacker che dissentono dall'evoluzione del gruppo.
Giudizio artistico: 6+. Monumentale sforzo produttivo, meno significativo quello artistico in fase di montaggio.
Revolution OS (2001). La nascita del sistema operativo Linux e del movimento dei software open source.
Precisione storica: 9. Le interviste ai principali protagonisti della vicenda offrono uno sguardo accurato su ciò che è accaduto nell'arco di una ventina d'anni di storia dell'informatica.
Giudizio artistico: 6+. Il regista tenta di tenere alto il ritmo, adottando anche un piglio da comedy. Ma il risultato finale è appesantito dalla massa di dati sciorinati davanti alla cinepresa.
I pirati di Silicon Valley (1999). Il racconto abbraccia gli anni dal 1971 al 1997 e narra la rivalità fra Steve Jobs (Apple) e Bill Gates (Microsoft), figure chiave per lo sviluppo dei personal computer.
Precisione storica: 8+. Bill Gates ha trovato il film «piuttosto veritiero», Steve Wozniak (co-fondatore di Apple) è dello stesso parere, mentre Steve Jobs l'ha pesantemente criticato.
Giudizio artistico: 7. Rende estremamente glamour una vicenda che in fondo lo è molto poco, nonostante l'impatto che ha avuto nel mondo.
