Il Disinformatico di Paolo Attivissimo del 27 Gennaio 2017 - #Apple #Trump #Twitter #RomanceScam #JavaScript #Gmail #SocialEngineering

PUNTATA 488

I titoli di ogni notizia contengono un link all'articolo originale pubblicato sul blog Il Disinformatico di Paolo Attivissimo.

Argomenti della Puntata




Aggiornamenti macOS e iOS 

Aggiornamento iOS (10.2.1) e macOS (10.12.3) | Il Disinformatico

Se non l'avete già fatto, aggiornate i vostri dispositivi iOS alla versione 10.2.1, rilasciata il 23 gennaio: risolve varie falle di sicurezza e magagne nelle applicazioni, e in particolare elimina un difetto che consentiva di aggirare il blocco delle attivazioni ( Activation Lock), che impedisce a un ladro di utilizzare un iPhone o iPad rubato ripristinandolo: senza l'Apple ID originale e la password corrispondente, il ripristino non funziona.

Aggiornamenti per tuttti gli utenti Apple: iOS si aggiorna alla versione 10.2.1 (disponibile dall'iPhone 5 in poi) e corregge un bug che limitava l'efficacia dell'antifurto.

I mac si aggiornano invece alla versione  10.12.3.




Trump e la sua gestione "allegra" di Twitter

Oggi le comiche: la Presidenza Trump e la sicurezza di Twitter | Il Disinformatico

Considerato che Twitter è il canale di comunicazione online preferito dal neopresidente statunitense Donald J. Trump e che un tweet sbagliato del presidente degli Stati Uniti può far crollare mercati e creare tensioni internazionali, ci si potrebbe aspettare che lui e il suo staff lo usino con le migliori impostazioni possibili, ma non è così: le disavventure informatiche della Presidenza Trump stanno facendo sbellicare gli informatici e preoccupare chi si occupa di sicurezza.

Twitter è il canale preferito del neo presidente degli USA Trump e ci si aspetterebbe che le condizioni di sicurezza legate all'account siano strettissime. Ecco perchè il tweet del suo addetto stampa Sean Spencer contenente con tutta probabilità le password dell'account di Trump suona molto bizzarro se non comico.

Un informatico noto per aver violato gli account di 500 combattenti ISIS, WauchulaGhost, ha notato che gli account "presidenziali" sono estremamente vulnerabili in quanto, in caso di smarrimento della password, la procedura di recupero permette ad un attaccante di conoscere abbastanza facilmente l'indirizzo mail del bersaglio.



 Correzione di sicurezza

Se usate Twitter, potete evitare anche voi di fare questo errore di sicurezza: entrate nel vostro account, scegliete Impostazioni - Sicurezza e privacy e attivate l’opzione Richiedi informazioni personali per reimpostare la password.In questo modo chi clicca su Password dimenticata non vede l’indirizzo di mail associato al vostro account Twitter ma vede invece la richiesta di questo indirizzo e ha quindi un appiglio in meno per tentare di rubarvi l’account.[citazione articolo]

Boom di truffe sentimentali negli UK

Otto consigli per evitare le truffe sentimentali | Il Disinformatico

Il Telegraph segnala gli ultimi dati delle forze anticrimine britanniche che si occupano di romance scam o truffe sentimentali, notando che l'anno scorso sono state circa 4000 le vittime che si sono fatte avanti per segnalare il raggiro crudele e che le cifre sottratte a queste vittime ammontano a circa 39 milioni di sterline (circa 49 milioni di franchi, 45 milioni di euro).

Le forze anticrimine britanicche mettono in guardia dalle Romance Scam. L'anno scorso 4000 vittime hanno segnalato la truffa: il giro di affari è di circa 45 milioni di euro.

Ecco perchè sono state stilate delle regole per non essere truffati online da questi subdoli professionisti

Ecco le regole segnalate dal Telegraph:

1.  Se avete dubbi su un profilo, segnalatelo al sito d’incontro o all’app in modo che venga verificato.
2.  Chiedete al vostro interlocutore il nome e cognome completi e cercateli su Google e nei social network.
3. Non fatevi scrupoli a mettere in dubbio la loro autenticità: se sono sinceri non si faranno problemi di fronte alle vostre richieste di verifica.
4. Non dimenticate che i truffatori possono passare mesi a costruire una finta relazione sentimentale e chiederanno soldi solo quando vi hanno coinvolto emotivamente.
5. Chiedete un parere a un amico fidato e ascoltatelo: essendo meno coinvolto, noterà cose che le vostre emozioni non vi fanno vedere.
6. Cercate foto false o rubate: usate siti come Tineye.com o la ricerca per immagini di Google per controllare le immagini del profilo del vostro interlocutore.
7. Non date mai troppe informazioni personali come l’indirizzo di casa, il numero di telefono o l’indirizzo di mail.
8. Create un indirizzo di mail apposito per le comunicazioni con i siti d’incontri e valutate l’idea di prendere un telefonino prepagato per telefonare e ricevere chiamate dai vostri interlocutori sentimentali incontrati online.[citazione articolo]

GMail dichiara guerra a JavaScript

In automatico dal 13 febbraio usare la posta di gmail sarà iù sicuro perchè gli allegati con estensione .js saranno automaticamente bloccati. Si tratta quasi sempre di estensioni malevole in JavaScript.

Funzionaerà su tutte le edizioni di posta (sia business che private).



Le PMI e la minaccia del Social Engineering

Melani segnala che gli attacchi alle imprese con Ingegneria Sociale sono in forte aumento.

In pratica un truffatore telefona ad una impresa spacciandosi per un'operatore finanziario della banca di quella azienda e cerca di farsi accreditare una somma: questi attacchi hanno un apercentuale di successo notevole se le aziende pubblicano online dati privati come l'organigramma.

Il Disinformatico di Paolo Attivissimo dell'11 Novembre 2016 - #Antibufala #WhatsApp #HuffingtonPost #Philips #Trump

PUNTATA 478

I titoli di ogni notizia contengono un link all'articolo originale pubblicato sul blog Il Disinformatico di Paolo Attivissimo.


Argomenti della Puntata



Antibufala


La bufala dei raggi cosmici distruggi tablet in un appello che gira su WhatsApp

Antibufala: stanotte spegnete telefonini e tablet, arrivano i raggi cosmici pericolosi! | Il Disinformatico

Ho ricevuto una raffica di messaggi che segnalano un allarme decisamente insolito: "URGENTE. Stasera alle 00 : 30-03 : 30 assicurarsi di spegnere il telefono , cellulare , tablet , ecc ... e mettere lontano dal corpo . Televisione Singapore ha annunciato la notizia . Informi la vostra famiglia e gli amici.

Più bufala di così si muore: basterebbero pochi minuti ad una persona per verificare la falsità del messaggio (come se l'italiano abbozzato con cui è stato scritto non fosse abbastanza).

Non diffondete certe bufale senza prima fare una ricerca in rete, per favore.



La semibufala della Superluna

Antibufala: la "Superluna" del 14 novembre | Il Disinformatico

Grande subbuglio in Rete per la cosiddetta "Superluna" annunciata per il 14 novembre prossimo: stando a quello che si legge in giro, sarebbe un evento spettacolare che non capita dal 1948. Ma la realtà è parecchio diversa. Come spiega bene la rivista Sky and Telescope, il 14 novembre prossimo la Luna sarà semplicemente un pochino più grande e luminosa del normale.

Sarebbe un evento spettacolare che non avviene dal 1948: ma in realtà il prossimo 14 Novembre la Luna sarà solo un po' più grande del solito in cielo.

Il fenomeno si basa sul fatto che la Luna gira intorno alla Terra seguendo un’orbita che non è perfettamente circolare ma ellittica, per cui ci sono momenti in cui è più vicina e altri in cui è più lontana (la variazione è del 5% in più e in meno).

Quando una Luna piena si verifica in un periodo di massima vicinanza, si parla comunemente di “Superluna” (termine coniato nel 1979 da Richard Nolle, che era un astrologo, non un astronomo). Il 14 novembre ci sarà una Luna piena quando la Luna sarà a 348.401 chilometri dalla Terra: la distanza minore degli ultimi 69 anni. [artiolo]

 
Nulla a che fare con l'illusione ottica che il nostro crevello crea quando male interpretando la posizione della Luna quando il satelitte è basso sull'orizzonte.

Le maree saranno però davvero più alte del normale, circa il 2%.



I Leoni Marini depongono le uova secondo l'Huffington Post

Secondo Huffington Post i leoni marini fanno le uova | Il Disinformatico

Spesso non vengo creduto quando racconto che le testate giornalistiche spesso fanno scrivere articoli a persone completamente incompetenti pur di contenere i costi, infischiandosene della professionalità e del dovere di informare correttamente il pubblico. In effetti è difficile credere che una redazione possa far scrivere degli incapaci: in teoria dovrebbe essere un autogol, perché se una testata scrive panzane non la leggerà nessuno.

Seconod la didascalia del video il Leone Marino catturato per errore dai pescatori russi sarebbe rimasto intrappolato nella rete mentre deponeva le uova.
Insomma è un #Clicbait, forse voluto.



Malware inviato per posta dopo l'elezione di Trump

Criminali informatici sfruttano lo shock dell'elezione di Donald Trump | Il Disinformatico

Poche ore dopo la diffusione della notizia dell'elezione di Donald Trump a presidente degli Stati Uniti sono partite almeno cinque ondate di attacchi informatici piuttosto sofisticati e mirati che sfruttano l'emozione e l'interesse per l'evento.

Alcuni hacker hanno sfruttato l'elezione di Trump per diffondere mail con allegati infetti da link che conducono su siti trappola e prendono di mira i lavoratori statali di tutto il mondo e le organizzazioni non governative.

I messaggi sembrano provenire per esempio da un professore di Harvard che apparentemente inoltra una notizia diffusa dalla Clinton Foundation e promette di rivelare “cosa è successo veramente durante le elezioni”. La cosa più preoccupante è che alcuni antivirus non rilevano la trappola, che è un allegato in formato ZIP protetto da una password fornita nel messaggio. [articolo]

La cifratura dell'allegato serve agli hacker per eludere i controlli dell'antivirus: includere la password nel messaggio stesso è un controsenso dal punto di vista della sicurezza. Oltre ad utilizzare il buonsenso è bene ricordare che i link sospetti possono essere analizzati con servizi online come UrlQuery o VirusTotal.



Attaccare le luci "smart" di un edificio con un Drone

Come spegnere le luci "intelligenti" usando un drone | Il Disinformatico

Se avete acquistato le lampadine "smart" Hue della Philips, quelle che si possono comandare tramite computer e telefonino, ho una brutta notizia per voi: sono attaccabili a distanza e possono essere usate per disseminare un attacco che si diffonde con una reazione a catena.

Le lampadine “smart” Hue della Philips sono spesso al centro della cronaca informatica data la scarsa sicurezza implementata in questi prodotti. I ricercatori di sicurezza del Weizmann Institute of Science in Israele e della Dalhousie University in Canada hanno dimostrato di poter attaccare a distanza questi dispositivi con effetti che si diffondono a catena su tutte le altre lampadine. In pratica il drone è in grado di inviare segnali radio capaci di alterare il firmware dei dispositivi che poi si diffonde sulle lampadine adiacenti.
L'attacco ha permesso di far lampeggiare le lampadine ad intermittenza utilizzando il segnale morse (SOS era il messaggio che si può vedere nel video).

La ZigBee Alliance ha dichiarato che questo difetto è stato risolto e distribuito a tutti i clienti. Non è chiaro come facciano a sapere che tutte le lampadine del mondo sono state aggiornate e non sono più vulnerabili.[articolo]

Quando si parla di Internet delle Cose (#IoT o Internet of Things) bisogna stamparsi in testa le parole di Mikko Hypponen, ricercatore di sicurezza presso la F-Secure: ogni volta che sentite “smart”, sostituite mentalmente questa parola di marketing con “vulnerabile”.

Il Disinformatico di Paolo Attivissimo del 21 Ottobre 2016 - #Geofeedia #Trump #Clinton #Sosumi #TinEye #RevEye

PUNTATA 475

I titoli di ogni notizia contengono un link all'articolo originale pubblicato sul blog Il Disinformatico di Paolo Attivissimo.


Argomenti della Puntata



Social Network per tracciare manifestanti

Social network usati per tracciare e arrestare manifestanti: succede anche nei paesi democratici | Il Disinformatico

"Ma io non ho niente da nascondere, che mi traccino pure": quante volte avete sentito questa frase? I social network contano proprio su quest'indifferenza per fare soldi vendendo le informazioni degli utenti. In realtà non bisognerebbe parlare di nascondere, ma di proteggere. Perché i dati non vengono venduti solo agli inserzionisti pubblicitari.

La privacy è un argomento più serio di quanto possa sembrare e nell'epoca dei social network i propri dati devono essere protetti più che nascosti: i dati personali sono ormai la moneta con cui paghiamo applicazioni che solo all'apparenza sono gratuite ("Se è gratis, il prodotto sei tu").

Le nostre informazioni in rete possono comportare abusi e molestie: si va da una banale telefonata di marketing sino allo stalking nel portone di casa.

Il problema è che i dati dei social network come Twitter, Facebook e Instagram non finiscono solo nelle mani degli inserzionisti, ma possono essere acquisiti anche da società esterna come Geofeedia. Le informazioni dei social venivano elaborati da Geofedia in tempo reale per realizzare una mappa da trasmetere alle forze dell'ordine: la mappa conteneneva l'identità dei manifestanti che partecipavano a cortei pubblici (e che nel frattempo pubblicavano info sulle loro attività).

Scoperta la notizia Twitter e Facebook hanno cessato la collaborazione con Geofeedia. 

Informatica ed Elezioni USA

È bastata una mail per fregare l'account di posta al capo della campagna Clinton | Il Disinformatico

Pochi giorni fa ho raccontato l' epic fail informatico di John Podesta, capo della campagna presidenziale di Hillary Clinton, che si è fatto fregare gli account iCloud e Twitter perché non erano protetti dalla verifica in due passaggi nonostante fosse chiaramente sotto attacco, visto che le sue mail riservate di lavoro erano finite in mano a Wikileaks.

La settimana scorsa John Podesta, il capo della campagna presidenziale di Hillary Clinton, è stato protagonista di un Epic Fail: si è fatto sottrarre gli account di iCloud e Twitter, in quanto non protetti dalla verifica in due passaggi (significa dare al social network il proprio numero di telefonino), nonostante fosse già sotto attacco, data la quantità di email riversate in rete nei mesi scorsi.
L'hacker ha preso controllo di Twitter per qualche minuto e ha postato un tweet a favore di Trump.

Le mail contenute su Gmail sono state rese pubbliche invece a seguito di un banalissimo attacco: Podesta aveva cliccato su un link malevolo contenuto in una falsa email di allerta in cui il provider gli intimava di cambiare password; il link conduce infatti ad un sito trappola realizzato appositamente per carpire le credenziali dell'utente.

Nella trappola sono caduti dversi membri dello staff Clinton e per quanto si dica  che questo "attacco" sia stato condotto dai servizi segreti russi, la banalità delle tecniche messe in campo lascia comunque interdetti i più esperti.

La morale è: mai cliccare su un link presente in un messaggio di allerta, specialmente se il link è mascherato con un tool per l'abbreviazione degli indirizzi di rete (bit.ly, ty.co...). Il trucco consigliato dagli esperti consiste nel prendere questi link corti come quelli di bit.ly, metterli nel browser e aggiungere il segno +. In questo modo si viene condotti sul sito Bitly e si ha una preview del sito che si andrebbe a visitare con un click diretto. In alternativa si può sottomettere il link all'ottimo servizio UrlQuery.

Donald Trump usa server obsoleti e insicuri e finti contatori di donazioni | Il Disinformatico

Anche il candidato repubblicano alla presidenza, Donald Trump, ha qualche problema con l'informatica. Sul suo sito elettorale, DonaldJTrump.com, fino a ieri c'era un contatore a scorrimento (in alto nell'immagine qui accanto) che sembrava essere un elenco in tempo reale dei nuovi donatori e sostenitori della sua campagna elettorale.

Sul sito elettorale di Trump era presente sino a giovedì scorso un contatore fasullo di donazioni a favore della sua campagna elettorale: sembrava essere un elenco in tempo reale e a scorrimento dei nuovi sostenitori della campagna, ma in realtà presentava in rotazione sempre gli stessi nomi.

Le mail di Trump, poi, erano contenute su un "ottimo" Windows Server 2003 (oramai fuori supporto da un anno) mal configurato, ossia anche qui senza autenticazione a due fattori.

Addirittura anche lo shop online per acquistare i gadget della sua campagna elettorale gira su un sito che non implementa l'https: ciò significa che i dati non vengono criptati e tutto gira in chiaro, compresi i numeri delle carte di credito.




La Principessa Leia e i suoi spostamenti in Italia tracciabili su Twitter

In cerca della principessa Leia: ricerca per immagini (anche nei video) | Il Disinformatico

La signora accucciata con il proprio cane nella foto qui accanto non è una signora qualsiasi: è Carrie Fisher, nota a generazioni di appassionati come la Principessa Leia di Star Wars, in viaggio in Italia in incognito. L'altroieri era a Orvieto. Come faccio a saperlo?

Per tracciare le celebrità si possono usare i dati da loro consivisi sui social network: ma spesso le info di geolocalizzazione non bastano affatto ed occorre usare altre tecniche di ricerca inversa.

Il sito Exposing The Invisible raccoglie tutte queste tecniche per permettere a chiunque di verificare la veridicità delle foto pubblicate online.

Oltre all’osservazione attenta dei dettagli visivi, però, sono utili alcuni strumenti. La ricerca per immagini di Google è ben conosciuta, ma l’articolo segnala anche altri siti analoghi meno famosi ma altrettanto efficaci, come TinEye, e l’estensione per Google Chrome RevEye, che consente di effettuare ricerche per immagini con un semplice clic in Google, Yandex, Bing, TinEye e Baidu. [Articolo]

Anche Amnesty International ha messo in campo uno strumento piuttosto utile per raccogliere informazioni sui video messi in rete su Youtube: il suo Data Viewer permette di conoscere la data di caricamento di un video e ne estrae alcuni fotogrammi in modo da verificare se fosse una rielaborazione di qualche video precedentemente pubblicato (utile per la verifica delle fonti).

Archeoinformatica e Sosumi

Archeoinformatica: 25 anni di Sosumi | Il Disinformatico

Se avete un Mac, e probabilmente anche se non avete un Mac, conoscete benissimo il suono Sosumi: è uno degli effetti sonori di allerta più frequenti in Mac OS. Lo trovate in Preferenze di Sistema - Suono - Effetti sonori. C'è una storia curiosa dietro questo nome orientaleggiante.

Il Sosumi è un effto sonoro di allerta piuttosto noto per gli utenti MacOS. Il nome orientaleggiante risale al 1991 ai tempi delle battaglie legali con la Apple Corps, la casa discografica dei Beatles, per questioni di omonimia.

Con il boom della musica computerizzata Apple voleva distinguersi dai beep dei normali PC e realizzò effetti sonori piuttosto innovativi per l'epoca, tanto da preoccupare gli avvocati di Apple Computer che si erano accordati con la Apple Corps per non entrare in campo musicale (così come la Apple Corps non poteva sconfinare in ambito informatico).

I legali si misero a controllare tutti gli effetti sonori e addirittura anche i nomi dei suoni. Jim Reekes proprose così ai colleghi di rinominare un effetto con il nome provocatorio LetItBeep: il successivo diniego del termine fece rispondere a Reekes in modo piccato "So sue me" (fatemi causa). "So sue me" divenne così Sosumi.

Ricorda molto la vicenda del povero Hodor.

La Copertina di Crozza a diMartedì del 26 Aprile 2016

Crozza nel paese delle Meraviglie - puntata dell'11 Marzo 2016