Paolo Attivissimo

Syndicate content
Un blog di Paolo Attivissimo, giornalista informatico e cacciatore di bufale.
Questo blog è tutelato dal diritto d'autore, ma i contenuti sono liberamente ripubblicabili seguendo alcune semplici regole. Le donazioni di focaccia sono comunque gradite.
Updated: 13 min 59 sec ago

Hacker “attaccano banche svizzere”? Non proprio, risponde MELANI

Sat, 08/09/2014 - 16:23
Allarmati per le notizie recenti di attacchi informatici alle banche svizzere? Tranquilli: il malware Retefe di cui si parla in queste notizie è una vecchia conoscenza dei servizi di sicurezza informatica e le banche si sono già premunite da mesi per contrastarla. Lo dice MELANI, la Centrale d'annuncio e d'analisi per la sicurezza dell'informazione, in risposta a questo articolo di Trend Micro, che parla di un'operazione denominata, con grande sforzo creativo, Emmental.

L'attacco in realtà non prende di mira i siti delle banche, ma i dispositivi utilizzati dagli utenti per effettuare transazioni bancarie via Internet e in particolare la cosiddetta autenticazione a due fattori: in pratica il sito della banca, oltre a chiedere all'utente qualcosa che sa (la password), gli chiede anche qualcosa che ha (per esempio il telefonino, al quale viene inviato un ulteriore codice usa e getta di autenticazione). Se non vengono forniti entrambi i fattori di autenticazione, il sito della banca rifiuta l'accesso.

La tecnica criminale descritta da Trend Micro non si basa sulla consueta infezione del computer della vittima con malware-spia persistente: usa invece un malware che altera la configurazione del computer, specificamente i parametri DNS che indirizzano il traffico dell'utente, e poi si cancella senza lasciare tracce. Questi parametri vengono modificati in modo che quando l'utente digita il nome di un sito attendibile (per esempio la propria banca), il computer lo porti al sito dei truffatori, che è realizzato a immagine e somiglianza di quello della banca e che usa un certificato SSL di provenienza illecita per sembrare ancora più credibile.

A questo punto il sito-trappola invita l'utente a installare un'app Android, dicendo che si tratta di un generatore di codice di sessione. Invece l'app cattura gli SMS provenienti dalla banca e li dirotta su un computer o un telefonino gestiti dai truffatori. In questo modo i criminali ottengono il primo fattore di autenticazione (login e password) tramite il falso sito e il secondo fattore attraverso l'app. Hanno quindi tutto quel che serve per violare il conto della vittima.

La difesa contro questo attacco piuttosto sofisticato è in realtà semplice: basta non installare app che non provengono da Google Play. MELANI sottolinea inoltre che le banche svizzere non chiedono mai ai propri clienti di fornire informazioni di connessione o di installare un'app su uno smartphone, ricorda la necessità di installare un antivirus, di attivare e aggiornare regolarmente un firewall, di aggiornare il sistema operativo e il browser insieme a tutti gli altri software installati, e di fare attenzione alle mail di origine sconosciuta che contengono allegati o link.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Credete alle “scie chimiche”? Allora state accusando Alitalia. Vedete un po’ voi

Sat, 08/09/2014 - 16:10
Pochi giorni fa ho preso un volo Alitalia per andare ad Agrigento per il Festival della Scienza (bellissima esperienza, fra l'altro) e ho trovato nella rivista Ulisse della compagnia aerea (numero 357, agosto 2014) la pagina che trovate qui accanto. È firmata da Roberto Germano, direttore delle operazioni di volo di Alitalia, e spiega come si formano le scie dietro gli aerei.

Se credete alle teorie sulle “scie chimiche”, allora dovreste spiegare come mai Germano dice che invece le scie degli aerei sono semplicemente “condensazione del vapore acqueo”. Ve la sentite di accusare il direttore delle operazioni di volo di Alitalia di mentire e di coprire la cospirazione? Alitalia fa parte del megacomplotto?

O magari, dico solo magari, vi siete fatti fregare da una panzana fabbricata da paranoici e alimentata da incompetenti (come RedRonnie su Twitter poco fa) sulla quale lucrano venditori di paccottiglia come Envioshield, la pastiglia contro le “scie chimiche”? Fatevi questa domanda. Non chiedo di più.

Per qualunque ulteriore dettaglio o dubbio, date un'occhiata alle risposte degli esperti che ho raccolto presso Scie-chimiche.info.

Per chi non può leggere l'immagine della pagina di Ulisse, che è cliccabile per ingrandirla, eccone il testo.

LE CODE DEGLI AEREI

Come si formano le scie di vapore

Chissà quante volte vi sarete chiesti, guardando nel cielo le code che lasciano gli aeroplani, come si formano?

Per spiegarlo dobbiamo partire dall'atmosfera e dai motori. L'atmosfera è la massa gassosa che avvolge la Terra, con temperature diverse, poiché i raggi del sole causano un gradiente termico tra i Poli e l'Equatore. I fenomeni meteorologici che si manifestano sono generati da questi moti dell'aria e dalla presenza di vapore acqueo, proveniente dalla superficie degli oceani e dai cicli vitali degli esseri viventi.

Passiamo ora ai motori a reazione che sono composti da:

1. una presa d'aria che cattura e convoglia l'aria esterna;

2. un compressore dove l'aria aspirata raggiunge rapporti di compressione molto elevati;

3. una camera di combustione dove si provoca la combustione (circa 1.000°C) iniettando il kerosene nell'aria compressa;

4. la turbina che sfrutta l'energia dei gas (pressione e temperatura) per l'azionamento del compressore.

I gas che escono dalla turbina vengono poi avviati all'ugello di scarico, qui, subendo un'ulteriore espansione e uscendo a elevata velocità, formano il getto. Questo getto in uscita provoca la spinta in avanti che fa poi muovere gli aerei. È appunto questa massa d'aria calda a formare le “exhaust contrails”. Si tratta di scie che si generano dalla condensazione del vapore acqueo – contenuto nei gas di scarico – al contatto con un'atmosfera estremamente fredda e prossima alla saturazione. La condizione critica per il formarsi delle scie di condensazione è l'alta umidità e la bassa temperatura. Due fattori che troviamo generalmente sopra gli 8.000 metri.

Guardando il cielo, quindi, quando vediamo nello stesso momento un aereo con la scia visibile e un altro senza, lo dobbiamo alla diversa quota di altitudine oppure alle diverse condizioni dell'atmosfera nella quale si muovono.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

La foto del “bracconiere di dinosauri” infiamma la Rete? Un momento

Sat, 08/09/2014 - 14:17
Se ne parla un po' dappertutto: un utente di Facebook, Jay Branscomb, ha pubblicato una foto di Steven Spielberg scattata sul set di Jurassic Park accanto a un modello in grandezza naturale di un triceratopo, l'ha condita con una didascalia nella quale la definiva una “foto vergognosa di un cacciatore per diletto che posa allegramente accanto a un triceratopo che ha appena massacrato. Condividete, affinché il mondo possa dare un nome a quest'uomo riprovevole e svergognarlo”.

Alcuni utenti non hanno capito l'umorismo della didascalia, non hanno riconosciuto né Spielberg né tanto meno il dinosauro, e hanno preso sul serio le parole di Jay Branscomb, commentandole con indignazione. La foto è stata commentata oltre 5000 volte e condivisa oltre 30.000, spingendo alcuni a presentarla come una dimostrazione dell'ignoranza abissale degli utenti di Facebook, che non solo non sanno identificare uno dei più famosi registi contemporanei ma non sanno neppure che i dinosauri sono estinti da qualche milione di anni.

Ma in realtà non è possibile sapere se i commenti sono seri o se sono invece una risposta altrettanto umoristica alla battuta iniziale di Branscomb, e comunque 30.000 condivisioni sono nulla rispetto al miliardo e 300 milioni di utenti di Facebook: non rispecchiano di certo la visione o la cultura generale di tutti gli utenti di questo social network.

Si tratta probabilmente, insomma, di quella che in inglese viene chiamata manufactroversy, ossia una controversia fabbricata a tavolino per ottenerne un guadagno. Il guadagno, in questo caso, deriverebbe dalle visite degli utenti a siti come il Daily Mail britannico, che ospitano questa “notizia” e ne approfittano per propinare pubblicità agli utenti.


Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Antibufala: attenti ai salassi in bolletta per chiamate ricevute!

Sat, 08/09/2014 - 02:45
Questo articolo vi arriva grazie alla gentile donazione di “picchiopier*”.

Davvero in Italia c'è una truffa telefonica che causa addebiti a chi semplicemente riceve una chiamata? Così sembrerebbe stando al Giornale, sul quale c'è un articolo (segnalatomi da un lettore, Daniele P.) a firma di Sergio Rame che s'intitola Non rispondete al telefono: ecco come vi rubano il credito.

L'articolo inizia con queste frasi:

“Le telefonate arrivano da un numero normale. Non certo di quelli che iniziano col prefisso 899 e che mettono subito in guardia perché chiaramente a pagamento. Come riporta il Secolo XIX, la trappola arriva da un numero "geografico", cioè da un abbonato fisico: 0824052. Si tratta di un'utenza di Benevento anche se non risulta operativo. Eppure basta una risposta perché il credito inizi a scalare.”

Il titolo e l'ultima frase sono fortemente ingannevoli: fanno sembrare che basti rispondere alla chiamata per trovarsi degli addebiti. In realtà l'addebito truffaldino scatta solo se si richiama il numero.

Questa differenza fondamentale è chiarita dal testo dell'articolo del Secolo XIX (a firma di Marco Menduni) citato dal Giornale, che ha comunque un titolo altrettanto ingannevole: Allarme telefonini: dici «pronto» e sei truffato. Niente affatto: per essere truffati non basta dire “pronto” quando squilla il telefonino, bisogna richiamare il numero che ci ha chiamato.

Soluzione semplice: se vedete chi vi hanno chiamato da un numero che non riconoscete e non avete in rubrica, non richiamate quel numero. Se siete giornalisti o titolisti, invece, ripassate la differenza fra rispondere e richiamare.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

La farsa del “diritto all’oblio” online: nasce il servizio che rivela cosa è stato rimosso

Sat, 08/09/2014 - 02:44
L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Di recente l'Unione Europea ha imposto a Google di rimuovere certi link dai propri risultati, in nome del “diritto all'oblio”. Ma la norma vale soltanto per le ricerche effettuati da utenti i cui computer risultano essere nell'Unione Europea.

Per cui basta usare Google.com invece di Google.it o Google.fr e simili (meglio se da un indirizzo IP non-UE reale o simulato con un tunnel/proxy, ma non sempre è necessario) per vedere anche i risultati rimossi.

Ovviamente è nato Hidden from Google, un servizio che cataloga i risultati censurati e permette di sapere che cosa non si vuole che gli utenti UE possano leggere, attirando quindi maggiore attenzione proprio su quello che si voleva nascondere.

Certo, la norma UE serve per proteggere gli innocenti. Ma guardate chi sta usando la norma per nascondersi a Google e al mondo: Scientology su Der Spiegel, banche sulla BBC, pedofili confessi e condannati, e molto altro. Non vengono rimossi blog offensivi di dilettanti rabbiosi, ma pagine di giornalismo autorevole.

Per esempio, ho cercato in Google.ch “Fred Anton” (tra virgolette) insieme a scientology da un mio IP in UE (o Svizzera): l'articolo di Der Spiegel che lo cita in relazione a Scientology, datato 1995, non compare. Compare invece questo (notate l'ultima riga e il fatto che ora viene elencato il risultato citato da Hidden from Google):


Se immetto la stessa ricerca in Google.com riappare il risultato oscurato. Se vi sembra molto simile a una censura, e se vi sembra assolutamente inutile, non siete i soli. Di certo è un Effetto Streisand perfetto: non appena vedi l'avviso di Google che mi dice che è stato rimosso qualcosa, ti viene la curiosità di sapere cos'è. E lo puoi sapere.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Microsoft dice che le password deboli servono e vanno riusate. Non ha tutti i torti

Sat, 08/09/2014 - 02:41
È una delle regole fondamentali della sicurezza informatica, ripetuta fino alla nausea, che le password debbano essere complesse e che si debba usarne una differente per ciascun sito, allo scopo di rendere difficile agli aggressori il compito di indovinarle e ridurre la propagazione del danno (se riescono a trovarne una, non potranno riusarla sugli altri account dell'utente). Ora un trio di ricercatori della Microsoft mette in discussione questo dogma con un articolo tecnico intitolato Password portfolios and the Finite-Effort User: Sustainably Managing Large Numbers of Accounts.

La loro idea di base è che la nostra capacità di ricordare è limitata, per cui non possiamo tenere a mente tante password complicate: meglio allora andare contro il dogma e usare password semplici per i siti a basso rischio o che non comportano nessun rischio, in modo da riservare per i siti importanti le password sofisticate.

Non hanno tutti i torti: ci sono molti siti che chiedono di creare login e password per avere accesso a dati che se diventassero pubblici non comporterebbero alcun problema. Per esempio, serve davvero una password di sedici caratteri, con obbligo d'includere cifre e simboli di punteggiatura, su un sito che permette di aggiungere didascalie a immagini di gatti? Chi usa uno pseudonimo per creare su Instagram un account nel quale non pubblica foto personali o altri dati identificativi ha davvero bisogno di una password di livello bancario?

La proposta dei ricercatori di Redmond è pragmatica: posto che nonostante tutte le raccomandazioni un inglese su 25 usa la stessa password su tutti i propri account e che in media gli utenti britannici usano in tutto cinque password differenti per proteggere i propri ventisei account, tanto vale adeguarsi alla realtà.

Un altro dogma che viene messo in discussione è il reset periodico delle password, imposto spesso sui luoghi di lavoro: secondo i ricercatori, l'obbligo non rafforza la sicurezza ma la indebolisce, perché spinge gli utenti a scegliere password più facili da ricordare.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Come fa una sola persona a scrivere quasi 3 milioni di voci di Wikipedia?

Sat, 08/09/2014 - 00:09
Sta circolando in Rete la notizia che un uomo solo, il cinquantatreenne svedese Sverker Johansson, sarebbe l'autore di 2,7 milioni di articoli di Wikipedia. In altre parole, da solo avrebbe redatto l'8,5% di tutti gli articoli dell'enciclopedia online. Certo, ci avrebbe messo sette anni, diventando il redattore più prolifico in assoluto, ma anche così si tratterebbe di una media impressionante che potrebbe far dubitare dell'attendibilità di Wikipedia. Sembra improbabile, ma la notizia è reale. Però c'è il trucco.

Johansson, infatti, utilizza un software che genera automaticamente gli articoli attingendo a fonti attendibili. Ovviamente questo metodo funziona bene soltanto in alcuni campi nei quali l'informazione è ben strutturata e non ambigua, e infatti Johansson genera solitamente articoli sulla classificazione delle specie animali più disparate oppure sulle località filippine (sua moglie è delle Filippine).

Il suo software, chiamato Lsjbot, riesce a partorire fino a 10.000 voci dell'enciclopedia in un giorno. Certo, sono soltanto abbozzi, ma sono la base sulla quale altri, poi, possono costruire i dettagli trovandosi già pronta tutta la parte standard automatizzabile.

La pratica è controversa anche per i Wikipediani, e Johansson non è l'unico a usare software per creare articoli: anzi, la percentuale di contenuto generata in questo modo è in aumento. Del resto ci sono tantissimi argomenti per i quali non ci sono autori disposti a spendere anni a scrivere a mano contenuti, per cui il software è meglio di niente. In ogni caso le voci generate da sistemi automatici sono identificate chiaramente come tali in Wikipedia, per cui l'utente è avvisato.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Disastro aereo in Ucraina, attenzione alle immagini false e alle trappole

Sat, 08/09/2014 - 00:06
Il disastro del volo MH17 caduto in Ucraìna (a quanto pare in seguito a un attacco missilistico) ha scatenato anche gli sciacalli della Rete. Rimbalzano infatti sui social network e in generale su Internet immagini scioccanti dell'area dello schianto, ma molte sono falsi di pessimo gusto.

Un esempio è qui accanto: si tratta di una manipolazione di un fotogramma tratto da telefilm Lost. Vedete l'originale qui sotto, tratto dagli archivi di Getty Images. Un altro esempio è questo video, che in realtà non si riferisce al volo MH17.

Come sempre in questi casi, quando una notizia crea grande clamore e interesse si scatenano i creatori di falsi siti di scoop e di campagne di mail, tweet e post su Facebook che propongono link a immagini e rivelazioni sensazionali ma portano in realtà a siti che tentano di infettare gli utenti, per esempio chiedendo di installare un apposito software visualizzatore.

Non cascateci: se vi servono informazioni su questa tragica notizia, state sui siti delle principali testate giornalistiche, su Wikipedia o Flightradar24, e non fidatevi di inviti, neppure se vi arrivano da persone che conoscete.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Cryptolocker, “hacker buoni” recuperano le chiavi per annullare l'estorsione

Fri, 08/08/2014 - 23:41
Ricordate CryptoLocker, il malware che infettava i computer, ne cifrava i dati con una password complicatissima e poi chiedeva alla vittima un riscatto in denaro (tipicamente 300 dollari) per avere la password e quindi sbloccare i dati? C'è una buona notizia: un gruppo di ricercatori è riuscito a recuperare le chiavi di cifratura usate dai criminali e a ricostruire il funzionamento del malware.

È stato creato pertanto un sito, Decryptcryptolocker.com, che permette alle vittime di recuperare la password che blocca i loro dati se non hanno pagato il riscatto e non hanno una copia di sicurezza dei dati stessi: basta mandare al sito uno dei file cifrati e un indirizzo di mail sul quale ricevere la password. Le aziende alle quali appartengono i ricercatori e il sito di recupero password sono serie, ma per prudenza è comunque meglio mandare loro soltanto documenti cifrati non riservati.

Si stima che l'attacco, che ha colpito nei mesi scorsi numerose aziende in tutto il mondo, abbia fruttato ai suoi creatori circa 3 milioni di dollari e che l'1,3% degli utenti ha scelto di pagare il riscatto.

Risolto il problema di Cryptolocker, però, i criminali si sono rimessi al lavoro e sono in circolazione nuove varianti di malware che usano la stessa tecnica di cifrare i dati della vittima e chiedere un riscatto, come segnalato in dettaglio dalla Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI della Confederazione: è già in giro, per esempio, SynoLocker, che però prende di mira soltanto i dispositivi NAS collegati a Internet della Synology, che sono molto diffusi e sono un bersaglio ghiotto perché normalmente custodiscono grandi quantità di dati che gli utenti considerano preziosi. Synology ha già predisposto un aggiornamento che riduce il danno e MELANI fornisce chiare istruzioni in italiano su come procedere e prevenire il problema.

Le regole di sicurezza sono comunque le solite: fate periodicamente una copia separata, scollegata da Internet, di tutti i dati che volete proteggere e fate attenzione a qualunque messaggio contenente allegati, anche se sembra provenire da mittenti apparentemente attendibili. Questi malware si diffondono infatti quasi sempre tramite allegati in formato Word o PDF il cui mittente è stato falsificato.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Archeoinformatica: la prima pagina Web di Microsoft compie vent'anni

Fri, 08/08/2014 - 11:45
Quello che vedete qui accanto era l'aspetto della pagina iniziale di Microsoft.com vent'anni fa, nel 1994, quando la parte Web di Internet era ancora embrionale e doveva fare i conti con il fatto che le velocità di connessione degli utenti erano scarsissime rispetto agli standard di oggi.

Non stupitevi, quindi, se la pagina di allora sembra scarna e minimalista: all'epoca ogni byte pesava e, come racconta Microsoft, era normale che quella paginetta ci mettesse anche cinque secondi a caricarsi.

Operazione nostalgia: Microsoft ha rimesso online quella pagina in versione funzionante. Unica concessione alla modernità: i link oggi portano alla versione attuale del sito Microsoft.com.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Furto di più di un miliardo di login e password, ma occhio a chi se ne approfitta

Fri, 08/08/2014 - 11:16
Un bottino senza precedenti: oltre un miliardo di login e password rubate in mano a un gruppo di criminali informatici russi. Lo ha annunciato una società di sicurezza del Wisconsin, la Hold Security: si tratterebbe di una collezione di nomi utente e di password relative a circa 420.000 siti grandi e piccoli, compresi quelli di molte aziende di punta.

Secondo le informazioni fornite da Hold Security, i criminali userebbero quest'immensa raccolta principalmente per fare spamming diretto ma anche per vendere credenziali d'accesso ad altre bande: si tratterebbe di una dozzina di persone che risiedono in una cittadina nella zona fra Kazakistan e Mongolia e si dividono i compiti: c'è chi scrive il software per rubare dati e chi effettua materialmente il furto usando il software che sfrutta le falle dei siti.

I furti sarebbero avvenuti grazie a vulnerabilità dei siti, non degli utenti, ed è anche per questo che la notizia è un buon promemoria del fatto che non bisogna utilizzare mai la stessa password per più di un sito importante, ma va comunque presa con circospezione, perché la società che l'ha diffusa ora sta chiedendo agli utenti ben 120 dollari a testa per sapere se il loro sito o il loro account è fra quelli violati.

La faccenda, insomma, puzza un po' di trovata autopromozionale, ma il messaggio di fondo resta valido: in generale, non fidatevi dei siti che propongono di “verificare” se le vostre password sono state rubate, perché potrebbe essere una tecnica astuta per convincervi a digitarle e quindi farvele rubare proprio da chi diceva di volervi proteggere.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Svizzera: dava ordini via mail su conto bancario milionario, la banca li accettava. Indovinate cos'è successo

Mon, 08/04/2014 - 22:03
Nel 2014 esistono ancora clienti milionari di banche svizzere che mandano ordini di bonifico via mail. Già questo è un bell'esempio di ottusità informatica: ma la cosa incomprensibile è che esistono ancora banche che accettano ordini del genere, buttando allegramente nel cesso decenni di raccomandazioni sulla sicurezza informatica di base e badilate di soldi spesi nello sviluppo di applicazioni e siti web di e-banking cifrati e sicuri e nella formazione del personale sulla sicurezza dei dati dei clienti.

Oggi è arrivata dalla RSI la notizia che un cliente di una banca luganese non meglio precisata si è trovato con il conto bancario alleggerito di un milione di franchi. Come è stato possibile? Intrusi informatici superscaltri che hanno violato i computer della banca? Noooo. Semplicemente, il cliente “effettuava i pagamenti per e-mail”.

E così, come era ovvio che dovesse accadere, un aggressore dall'estero (genericamente dall'Asia, secondo l'articolo) ha preso il controllo della sua casella di mail e l'ha usata per mandare alla banca ordini di bonifico verso “un conto estero aperto per l'occasione” e poi “ha prelevato i soldi ed è scomparso prima che si scoprisse l'ammanco”.

Non si sanno ancora i dettagli della vicenda, che ora è sotto indagine da parte della magistratura, ma per quel poco che conosco dell'ambiente bancario ticinese non sarei sorpreso se la banca avesse avvisato il cliente del rischio colossale di usare a) una mail in chiaro b) per dare ordini di bonifico con importi milionari c) verso conti non preventivamente concordati, e il cliente avesse insistito per mantenere un metodo di dare disposizioni che non lo facesse tribolare con codici, password e altre menate da informatici. Tanto, cosa poteva mai andare storto?

Della notizia si parla anche su Tio.ch, Ticinonews.ch e Cdt.ch, senza dettagli ulteriori. 








Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Instagram, account rubabili usando Wi-Fi pubblici

Thu, 07/31/2014 - 12:33
Questo articolo vi arriva grazie alla gentile donazione di “stefano@gr*”.

C'è una falla in Instagram che permette di rubare gli account di chi lo usa su una rete Wi-Fi pubblica: la correzione è stata promessa, ma non è ancora attiva, per cui fino a quel momento è meglio usare Instagram soltanto su reti Wi-Fi private (o che non possano ospitare aggressori) oppure tramite la trasmissione dati della rete cellulare.

Stando alla descrizione di questa falla, rubare un account Instagram via Wi-Fi è davvero semplice a causa di una scelta tecnica ottusa da parte di Facebook, a riprova dell'idea che noi utenti, per i gestori dei social network, siamo carne da cannone: della nostra sicurezza e della nostra privacy, a loro, non frega assolutamente nulla.

Il problema è stato segnalato a Facebook da uno sviluppatore londinese, Stevie Graham, che però si è sentito dire che non verrà ricompensato per la sua segnalazione responsabile, come invece è avvenuto in altri casi, perché la falla è già nota a Facebook. Per cui ha deciso di rendere pubblica la vulnerabilità, in modo da spingere finalmente Facebook (proprietaria di Instagram) a sistemarla invece di ignorarla.

La falla sta nel fatto che l'app di Instagram usa l'HTTP per buona parte del proprio scambio di dati: il nome dell'account e il relativo numero vengono scambiati senza cifratura, per esempio, e c'è un cookie che può essere intercettato per accedere a Instagram spacciandosi per l'utente senza doversi riautenticare, potendo quindi leggere i messaggi dell'utente e postare a suo nome.

La tecnica è questa: l'aggressore si collega alla stessa rete Wi-Fi usata dalla vittima. Non importa se la rete è cifrata (Graham specifica WEP) o aperta. Poi l'aggressore mette la propria interfaccia di rete in modalità promiscua, ascoltando tutto il traffico della rete Wi-Fi, e lo filtra alla ricerca di riferimenti a i.instagram.com. Quando la vittima si collega a Instagram su quella rete Wi-Fi, l'aggressore cattura il cookie che viene trasmesso e lo usa per sostituirsi alla vittima e controllare il suo account. Tutto qui.

I dettagli sono descritti in questo post di Graham: nei miei test fatti di corsa, tuttavia, non sono riuscito a replicare l'attacco sui miei account Instagram usando dispositivi iOS e Android su una mia rete Wi-Fi senza cifratura. Se qualcuno riesce a fare di meglio, lo segnali nei commenti.

L'attacco è molto simile al Firesheep di qualche anno fa, tanto che Graham l'ha battezzato Instasheep. Un attacco praticamente identico è descritto qui da Mazin Ahmed, che consiglia di evitare l'app e di usare invece il sito Web per accedere a Instagram da dispositivi mobili.

Resta valida la raccomandazione di sempre: qualunque cosa postiate su un social network, date per scontato che sia pubblica e intercettabile.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

L’Italia vista di notte, senza nubi, dallo spazio lascia senza parole gli astronauti

Wed, 07/30/2014 - 08:52

Reid Wiseman, dalla Stazione Spaziale Internazionale, ci sta regalando una serie di fotografie spettacolari del nostro pianeta. Guardate come è riuscito a fotografare l'Italia. Via Twitter (@astro_reid) ha condiviso la foto scrivendo “I looked on in awe and was rendered speechless by so much beauty”. Ha contemplato con stupore ed è stato ammutolito da così tanta bellezza.

Qualcuno riesce a recuperare l'originale ad alta risoluzione di questa foto? Sarò ad Agrigento prossimamente per parlare di Luna e di spazio, e questa è una chicca che mi piacerebbe molto presentare sul grande schermo della serata.


2014/07/30 - ufffff e peppe hanno trovato i link alla versione originale di questa foto e di un'altra molto simile: uno, due. Buona visione!Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Fukushima, “un suicidio ogni dieci minuti” secondo il Fatto Quotidiano

Tue, 07/29/2014 - 22:53
Questo articolo vi arriva grazie alla gentile donazione di “rush777” e “aldo.da*” e alla segnalazione di @fabioghibli ed è stato aggiornato dopo la pubblicazione iniziale.

Regola numero uno del giornalismo: se sbagli, ammettilo.

Regola numero uno del giornalismismo: se sbagli, prova a far sparire ogni traccia dello sbaglio e fa' finta di niente, tanto su Internet si può e non ti sgama nessuno.

Indovinate qual è stata la scelta del Fatto Quotidiano: ieri ha pubblicato un articolo, a firma di Pio d'Emilia, intitolato “Fukushima, la città del disastro nucleare con un suicidio ogni dieci minuti”. Mio screenshot:



Nell'articolo c'era questo calcolo che giustificava il dato davvero impressionante sui suicidi: “Dall'aprile 2011, nella prefettura di Fukushima, si sono registrati 1500 suicidi: più di 5 l'ora, uno ogni 10 minuti”. Sì, avete letto bene. Mio screenshot per gli increduli:


Il numero dei suicidi è drammatico, ma sarà vero? Se Pio d'Emilia riesce a massacrare l'aritmetica di base in questo modo, come faccio a fidarmi di qualunque cifra che mi propone? E in subordine, come è stato possibile commettere un errore così colossale e oltretutto pubblicarlo?

Il Fatto Quotidiano a questo punto aveva un problema: l'aritmeticretinata si poteva anche togliere dall'articolo facendo finta di nulla, ma l'URL dell'articolo era basato sul titolo e quindi avrebbe conservato “un-suicidio-ogni-dieci-minuti” come chiara prova del misfatto. L'URL, infatti, era questo: http://www.ilfattoquotidiano.it/2014/07/28/fukushima-la-citta-del-disastro-nucleare-con-un-suicidio-ogni-dieci-minuti/1071175/.

Soluzione: ammettere l'umana fallibilità e chiedere scusa? Assolutamente no. Quell'URL ora porta infatti a quest'altro URL immacolato: http://www.ilfattoquotidiano.it/2014/07/28/fukushima-nella-citta-del-disastro-nucleare-1500-suicidi-da-aprile-2011/1071175/, dove c'è un articolo riscritto e corretto. Errore? Quale errore? Non c'è mai stato nessun errore. Screenshot attuali:





Ecco fatto! Problema risolto! Figuraccia evitata! Non siamo mai stati asini in aritmetica! Nessuno si accorgerà mai che abbiamo scritto una scempiaggine che squalifica tutto l'articolo e chi l'ha scritto.

...Come hai detto? La copia cache di Google? E cos'è?

Sveglia, Fatto Quotidiano. I tempi in cui le cazzate giornalistiche si coprivano cacciandole nel dimenticatoio della carta stampata, che oggi è giornale e domani è carta igienica, sono finiti da un pezzo. Oggi, se si vuole essere presi sul serio, bisogna essere trasparenti. Perché i lettori non sono scemi, non vogliono essere presi per scemi e oggi hanno a disposizione gli strumenti per farvi le pulci.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Ci vediamo ad Agrigento il 5 agosto al Festival della Scienza?

Tue, 07/29/2014 - 19:57
Il 4 agosto prossimo inizierà ad Agrigento, nella Valle dei Templi, il Festival della Scienza: fra gli ospiti ci saranno gli astronauti Paolo Nespoli (10 agosto, in carne e ossa) e Luca Parmitano (sempre 10 agosto, in collegamento da Houston) e molti divulgatori di scienza, in particolare di astronomia e tecnologia spaziale. Sono previste osservazioni del cielo con il telescopio insieme a molti altri eventi fra scienza e arte.

Io sarò insieme a Paolo D'Angelo e Raimondo Moncada il 5 agosto, dalle 21 in poi, per la serata Una notte di 45 anni fa: il racconto della Luna tra realtà e fantasia, nella quale io mi occuperò delle tesi di complotto lunare vere e fasulle, D'Angelo combinerà musica e testi dedicati alla Luna e alle stelle e Moncada sarà la voce narrante delle parti letterarie.

Come consueto, porterò con me una manciata di copie del mio libro sul lunacomplottismo e un po' di penne USB contenenti il mio documentario Moonscape. Vi aspetto! Per tutti i dettagli e il calendario completo degli eventi, visitate questa pagina di Notteconlestelle.it.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Record spaziale: quaranta chilometri su un altro pianeta

Tue, 07/29/2014 - 15:27
Questo articolo vi arriva grazie alla gentile donazione di “lawg*” e “emme-pi” ed è stato aggiornato dopo la pubblicazione iniziale.

A volte sembra che l'esplorazione spaziale sia un po' ferma, probabilmente perché dal 1972 le missioni umane, di grande impatto sul pubblico, sono limitate all'orbita terrestre, con distanze da Terra misurate in centinaia di chilometri anziché in centinaia di migliaia, ma in realtà l'avventura nello spazio è attiva come non mai, grazie alle missioni robotiche. Abbiamo sonde spaziali al lavoro un po' dappertutto nel sistema solare.

Da Marte è arrivata ieri la notizia del superamento di un record spaziale che era imbattuto dagli anni Settanta: quello per la massima distanza percorsa sulla superficie di un altro corpo celeste.

Il veicolo Opportunity della NASA, atterrato su Marte nel 2004, ha totalizzato quaranta chilometri di percorrenza sulle proprie ruotine, togliendo il primato al Lunokhod russo, che lo deteneva dal 1973 per aver percorso sulla Luna 39 chilometri. Al terzo posto c'è ora il rover di Apollo 17, che coprì quasi 36 chilometri sulla Luna nel 1972 ma si merita una menzione speciale perché aveva a bordo due astronauti.

Abbiamo costruito un robot che ha fatto quaranta chilometri su Marte ed è riuscito a durare dieci anni in un ambiente ostile senza riparazioni. Mica male. Di fronte a massacri, tragedie e continue dimostrazioni dell'idiozia umana, ogni tanto è bene ricordarsi di cosa siamo capaci quando smettiamo di litigare.

Questa è una mappa della strada fatta fin qui da Opportunity:

Credit: NASA/JPL-Caltech/MSSS/NMMNHSScritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

La regola delle cinque W del giornalismo? La Stampa la applica alla lettera

Tue, 07/29/2014 - 11:24
Questo articolo vi arriva grazie alla gentile donazione di “mariantg” e alla segnalazione di @DPlavan.

In inglese le cinque W (who, what, when, where, why) sono la base assoluta della composizione giornalistica: l'articolo deve spiegare chi, cosa, quando, dove e perché è successo il fatto raccontato.

Ma a La Stampa qualcuno, specificamente Raphaël Zanotti, le ha prese un po' troppo alla lettera (link). Trattare così la morte di due persone non è una bella dimostrazione di serietà redazionale.




Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Regole di sicurezza informatica semiserie per luddisti digitali

Fri, 07/25/2014 - 11:49
SecMeme, un sito dedicato ai memi umoristici riguardanti la sicurezza informatica, ha pubblicato l'immagine di un bizzarro articolo di giornale che propone una serie di regole di sicurezza informatica un po' particolari.

Sembra una di quelle liste classiche di consigli pratici: una “guida su come gestire quel virus informatico letale che ti sta venendo incontro”. Poi la si legge e si capisce che è un po' diversa:

1. Compra una penna e un taccuino.

2. Compra un diario vero e un giornale vero.

3. Vai a fare acquisti in un negozio reale.

4. Comprati un'enciclopedia le cui voci non possono essere cambiate per divertimento dalla gente.

5. Procurati degli amici veri.

6. Vai a un negozio di scommesse e perdi tutti i tuoi soldi.

7. Comprati un po' di riviste per adulti come si deve.

Ovviamente è una presa in giro, ma ha un fondo di verità: in effetti la maggior parte dei problemi informatici deriva dai comportamenti degli utenti, che usano Internet come diario personale, s'informano e fanno acquisti su siti totalmente inattendibili, usano impropriamente Wikipedia come fonte primaria, si confidano con sconosciuti e usano siti discutibili sui computer che poi adoperano anche per lavoro.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web

Promemoria: ci vediamo stasera a Spotorno?

Fri, 07/25/2014 - 04:25
Come avevo preannunciato, stasera sarò a Spotorno per Scienza Fantastica, rassegna di scienza, fantascienza e dintorni organizzata dal Comune di Spotorno: oltre alla premiazione del concorso letterario di fantascienza, terrò una conferenza divulgativa sul tema di quest'anno della rassegna, ossia l'intelligenza artificiale. L'ho intitolata, con un'ovvia citazione, Gli androidi sognano pecore elettriche?

L'appuntamento è a Piazza della Vittoria alle 21,30. L'ingresso è libero per tutte le forme di vita senzienti, androidi e replicanti compresi.Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Categories: Ultime dal web