Articoli

Vuoi aprire un sito per vendere online? Ecco perché scegliere WordPress per creare un e-commerce vincente ed efficace.

Leggi Perché usare WordPress per un e-commerce

È un po’ di tempo che si parla poco di spyware, ossia dei software che permettono di tracciare o spiare una persona a sua insaputa. Google ha pubblicato un rapporto del proprio gruppo di analisi delle minacce (Threat Analysis Group) che fa il punto della situazione sulle aziende che fabbricano spyware e lo vendono ad operatori sostenuti da vari governi. I ricercatori segnalano che sette delle nove vulnerabilità più gravi, le cosiddette zero day, scoperte da loro nel 2021 sono state sviluppate da fornitori commerciali e vendute a questi operatori governativi.

Una volta tanto si fanno i nomi e i cognomi e viene presentato un caso specifico e molto vicino a noi: quello di RCS Labs, un rivenditore italiano al quale gli esperti di Google attribuiscono queste capacità di sorveglianza sofisticata, indicando di aver anche identificato “vittime situate in Italia e in Kazakistan”.

Secondo il rapporto, gli attacchi di questo spyware iniziavano con un link univoco che veniva inviato alla vittima. Se la vittima vi cliccava sopra, veniva portata a una specifica pagina web, www.fb-techsupport[.]com, che sembrava essere il Centro assistenza di Facebook e cercava di convincere la vittima a scaricare e installare su Android o iOS un programma che si spacciava per un software di ripristino dell’account sospeso su Whatsapp.

La pagina era scritta in ottimo italiano, e diceva di scaricare e installare, “seguendo le indicazioni sullo schermo, l’applicazione per la verifica e il ripristino del tuo account sospeso. Al termine della procedura riceverai un SMS di conferma sblocco.”

Fin qui niente di speciale, tutto sommato: si tratta di una tecnica classica, anche se eseguita molto bene. Ma i ricercatori di Google aggiungono un dettaglio parecchio inquietante: in alcuni casi l’aggressore ha lavorato insieme al fornitore di accesso Internet della vittima per disabilitare la sua connettività cellulare. Una volta disabilitata, l’aggressore mandava via SMS il link di invito a scaricare l’app che avrebbe, a suo dire, riattivato la connettività cellulare. Siamo insomma ben lontani dal crimine organizzato: qui c’è di mezzo, almeno in alcuni casi, la collaborazione degli operatori telefonici o dei fornitori di accesso a Internet.

Per eludere le protezioni degli iPhone, che normalmente possono installare soltanto app approvate e presenti nello store ufficiale di Apple, gli aggressori usavano il metodo di installazione che si adopera per le app proprietarie, quello descritto nelle apposite pagine pubbliche di Apple. Non solo: gli aggressori davano all’app un certificato di firma digitale appartenente a una società approvata da Apple, la 3-1 Mobile Srl, per cui l’app ostile veniva installata sull’iPhone senza alcuna resistenza da parte delle protezioni Apple, e poi procedeva a estrarre file dal dispositivo, per esempio il database di WhatsApp.

Per le vittime Android c’era una procedura più semplice: l’app ostile fingeva di essere della Samsung e veniva installata chiedendo all’utente di abilitare l’installazione da sorgenti sconosciute, cosa che fanno molti utenti Android.

Il sito degli aggressori non esiste più e gli aggiornamenti di iOS e di Android hanno bloccato questo spyware, ma il problema di fondo rimane: come dicono i ricercatori di Google, questi rivenditori di malware “rendono possibile la proliferazione di strumenti di hacking pericolosi e forniscono armi a governi che non sarebbero in grado di sviluppare queste capacità internamente.” I ricercatori aggiungono che “Anche se l’uso delle tecnologie di sorveglianza può essere legale in base a leggi nazionali o internazionali, queste tecnologie vengono spesso usate dai governi per scopi che sono il contrario dei valori democratici: per prendere di mira dissidenti, giornalisti, attivisti dei diritti umani e politici di partiti d’opposizione.”

Ed è per questo che Google, anche se in questo caso si tratta chiaramente di malware di tipo governativo, interviene e rende pubblici attacchi come questo.

Capita sempre più spesso di fare riunioni e incontri in videoconferenza, a distanza, e anche i colloqui di lavoro, per selezionare candidati per un impiego, stanno vivendo la stessa tendenza ad avvenire online invece che di persona. Ma l’FBI ha pubblicato un avvertimento che segnala un aumento parallelo dell’uso di dati personali rubati e di deepfake, ossia di immagini video false generate in tempo reale, nell’ambito di questi colloqui. In pratica il candidato si spaccia per qualcun altro e mostra, durante il colloquio, immagini di un volto che non è il suo o fa sentire la voce di qualcun altro.

I colloqui di lavoro falsificati, dice l’agenzia statunitense, riguardano offerte per impieghi che verranno svolti da remoto o da casa, per cui è possibile che il datore di lavoro non incontrerà mai di persona il lavoratore. In particolare, questi colloqui deepfake avvengono quando il lavoro riguarda il settore informatico e darà quindi accesso a dati personali di clienti, dati finanziari, database aziendali o informazioni tecniche confidenziali.

Questo suggerisce che il movente di queste falsificazioni sia l’accesso fraudolento a questi dati preziosi, spesso a scopo di spionaggio o sabotaggio, come segnalato anche da altre agenzie governative statunitensi a maggio scorso.

Alcuni stati, secondo queste segnalazioni, stanno formando numerosi informatici che poi fingono di risiedere in paesi fidati usando VPN e documenti d’identificazione rubati, usando vari software per alterare voce e video per sembrare affidabili e rassicuranti nei colloqui di selezione fatti attraverso le normali piattaforme di offerta e ricerca di lavoro, e si fanno assumere dalle aziende per poi trafugarne dati o facilitare intrusioni da parte di loro complici.

L’FBI, le altre agenzie statunitensi e gli esperti del settore raccomandano alcune semplici verifiche. I dettagli della storia personale del candidato, come per esempio gli studi svolti, il luogo dove dichiara di risiedere, sono coerenti? Cosa succede se lo si chiama a sorpresa in videochiamata? Come reagisce alla proposta di spedire un plico all’indirizzo che ha dichiarato sui documenti che ha fornito? Se si tratta di un impostore, queste situazioni lo metteranno in seria difficoltà.

Le autorità e gli esperti segnalano anche alcuni trucchi per riconoscere un deepfake video o fotografico durante una videochiamata: per esempio, i gesti e i movimenti delle labbra della persona che si vede in video non corrisponderanno completamente al parlato. Oppure suoni inattesi, come un colpo di tosse o uno starnuto, non verranno falsificati correttamente dai programmi per creare deepfake in tempo reale.

L’MIT Media Lab ha creato una guida e un sito, Detect Fakes, che consente a ciascuno di valutare la propria capacità di riconoscere immagini personali falsificate e consiglia altri trucchi per rivelare una falsificazione: per esempio, guardare le guance e la fronte della persona che appare in video, perché se la pelle di queste zone è troppo liscia o troppo rugosa rispetto al resto del volto è probabile che si tratti di un falso. Si possono anche guardare le ombre della scena, che spesso nei deepfake non sono coerenti, oppure gli occhiali, che spesso hanno riflessi eccessivi, o ancora la barba o le basette o i nei, che i deepfake sbagliano facilmente. Un altro trucco è guardare fissa la persona negli occhi per vedere se sbatte le palpebre o no: anche questo è un errore frequente dei software che alterano il volto.

Cimentatevi, insomma, con il test dell’MIT Media Lab, che trovate presso detectfakes.media.mit.edu. Fra l’altro, saper riconoscere un video falso potrebbe servirvi anche fuori dell’ambito di lavoro, dato che anche molti truffatori online in campo privato usano queste stesse tecniche per fingere di essere persone seducenti e corteggiatrici per poi spingere le vittime a mostrarsi in video in atteggiamenti estremamente ricattabili.

Fonti aggiuntive: Gizmodo, Graham Cluley, Gizmodo.