Captatore Informatico: i profili di legittimità e come funziona

Il 13 maggio 2021, dalle ore 15:00 alle ore 18:00, ForensicNews e SecureNews organizzano il corso formativo online “CAPTATORE INFORMATICO: i profili di (il)legittimità e come funziona”, rivolto a investigatori privati, avvocati, digital forensics, tecnici informatici e criminologi forensi.

Captatore Informatco - Profili di Legittimità e Come Funziona

Nel corso del webinar sarà illustrata, in termini quanto più semplici e immediati, la cornice normativa e giuridica in cui si inserisce il captatore informatico (talvolta definito “trojan di Stato” o “malware di Stato”) e come esso funzioni tecnicamente.

La parte giuridica dell’intervento sarà curata dall’Avv. Piera Di Stefano, che ripercorrerà, insieme con i partecipanti, la genesi dell’impiego del captatore nelle indagini penali, come mezzo di ricerca della prova, il suo inquadramento nella giurisprudenza e la successiva regolamentazione legislativa. Il focus del webinar verterà, infatti, sui non pochi profili di legittimità dello strumento captativo, dal punto di vista della riserva di legge e delle garanzie costituzionali, e sui vari casi di inutilizzabilità del materiale investigativo raccolto con tale strumento di indagine.

Attraverso il captatore si realizzano infatti (anche) intercettazioni di comunicazioni tra presenti (cd. ambientali), per cui, mediante l’attivazione del microfono del telefono cellulare, è possibile captare le comunicazioni che avvengono in qualsiasi luogo il soggetto si rechi, portando con sé il dispositivo “infetto”, inclusi i luoghi di privata dimora. Questi ultimi, però, sono considerati espressione della libertà di domicilio, tutelata dall’art. 14 della Costituzione, che implica il diritto di preservare da interferenze esterne un determinato ambiente. La libertà di domicilio unitamente a quella della libertà e segretezza delle comunicazioni, protetta dall’art. 15 della Cost., sono espressioni del diritto alla riservatezza della persona e possono essere limitate soltanto per atto motivato dell’Autorità giudiziaria e nei casi espressamente previsti dalla legge.

Il mio contributo invece sarà dedicato agli aspetti tecnici dei captatori informatici, ai loro limiti, alle potenzialità, ai rischi, ai requisiti tecnici cui devono sottostare – spesso guidati da impostazioni giuridiche tutelanti la privacy – in modo da essere il più possibile efficienti e conformi alle normative.

Durante il webinar del 13 maggio parlerò infatti degli aspetti tecnici dei captatori, del loro funzionamento, dei princìpi su cui si basano, approfondendo in particolare i limiti della tecnologia e le ampie potenzialità di captazione di questi strumenti, che vengono di conseguenza sempre più regolamentati dalla legislazione vigente. I captatori informatici – spesso definiti “Trojan di Stato” – sono uno degli argomenti che suscitano maggior interesse sia in ambito tecnico che giuridico, perché sono strettamente legati a questioni importanti come la privacy, la riservatezza, i diritti dell’uomo, ma nel contempo anche alle esigenze investigative, di sicurezza nazionale e tutela di potenziali vittime.

I captatori non sono altro che dei software – dei programmi, in sostanza – più simili concettualmente a un malware che a normali App, benché talvolta possano usare normali App come vettori o mascherarsi dietro esse. Come qualunque programma, per PC/Mac o smartphone, i captatori assumono nell’immaginario comune spesso il ruolo di “virus” o “trojan” e per poter infettare un dispositivo e rimanere attivi devono sottostare ai vincoli imposti dal Sistema Operativo, che tende a essere sempre più restrittivo in quanto a permessi e potenzialità d’accesso delle applicazioni a tutela dell’utente.

Oltre a questi vincoli, esistono poi numerose altre problematiche, come il consumo eccessivo di energia, di banda Internet, di memoria o di spazio di archiviazione, che non devono andare a compromettere il dispositivo per non allarmare l’utilizzatore. Utilizzatore che potrebbe anche aver installato antivirus, firewall, anti-malware e sistemi di protezione atti a bloccare ulteriormente i tentativi di accesso da parte delle App, legittime o meno che siano.

L’utilizzo in ambito investigativo è chiaramente di un’ampiezza tale da richiedere un’attenta regolamentazione, proprio perché tecnicamente il captatore può leggere, ascoltare, visionare in tempo reale tutto ciò che fa l’utente e vede sullo schermo, ma non solo. È possibile per i captatori, in linea generale, attivare le videocamere degli smartphone o la webcam del PC, registrare l’ambiente o le telefonate, vedere le password digitate, accedere alle chat di WhatsApp o agli SMS, conoscere la posizione geografica di un soggetto. Chiaramente tali potenzialità vanno regolamentate da un’attenta analisi delle reali necessità investigative sempre nel massimo rispetto dei diritti e delle libertà delle persone e degli ambiti entro i quali possono essere acquisiti i dati dell’ambiente in cui i soggetti stanno vivendo la loro vita privata o lavorativa.

Pubblicato in eventi, formazione | Contrassegnato , , | Commenti disabilitati su Captatore Informatico: i profili di legittimità e come funziona

La raccolta delle prove dei comportamenti illeciti dei lavoratori

Mercoledì 12 maggio 2021 si terrà il workshop dal titolo “I controlli ‘tecnologici’ sull’attività dei lavoratori”, organizzato dalla società Paradigma, durante la quale verrà analizzato il quadro normativo in materia di controlli a distanza sull’attività dei lavoratori alla luce della recente evoluzione giurisprudenziale, delle indicazioni del Garante Privacy e dei provvedimenti ministeriali in materia.

Un focus particolare sarà dedicato alle peculiarità dei controlli “tecnologici” in caso di smart working e ai controlli sulla performance lavorativa, che possono portare alla copia forense dei dispositivi, analisi tecnica e redazione di una perizia informatica forense per utilizzo in Tribunale. È nota, ad esempio, la problematica dell’attività difensiva in ambito di “dipendenti infedeli”, per i quali l’azienda ha il diritto di difesa e indagine forense, spesso gestita tramite incarico d’indagine difensiva a consulenti informatici forensi o agenzie investigative.

Saranno presentate le corrette modalità di regolamentazione dell’utilizzo degli strumenti di lavoro, al fine di mettere i partecipanti nella condizione di poter valutare la congruità delle privacy policies e dei regolamenti aziendali adottati. Saranno infine individuate le corrette modalità di gestione delle possibili patologie, con specifico riguardo alla corretta impostazione del procedimento disciplinare e del licenziamento.

Controllo dei Lavoratori e Perizia Informatica

Durante il workshop organizzato da Paradigma, porterò il mio piccolo contributo presentando un approfondimento relativo alle attività di perizia informatica svolta in ambito di raccolta delle prove dei comportamenti illeciti dei lavoratori e gli strumenti di forensic investigation, spesso informalmente indicati come parte dell’indagine difensiva dell’azienda in caso di “dipendente infedele“, con il seguente programma di dettaglio dell’intervento di circa un’ora:

  • Le attività illecite condotte dai lavoratori per mezzo di strumenti informatici
  • Le tecniche investigative per l’accertamento di comportamenti illeciti
  • Le criticità delle “ispezioni forensi” e le buone prassi per la loro corretta gestione
  • I limiti dell’utilizzabilità in giudizio di prove digitali erroneamente raccolte
  • Le modalità di cristallizzazione e acquisizione forense dei dispositivi informatici
  • L’analisi forense per la ricostruzione della prova informatica
  • La redazione e produzione in giudizio della perizia informatica forense

Il programma integrale della giornata sul Controllo dei Lavoratori organizzato da Paradigma è scaricabile dal seguente link e viene riportato qui di seguito:

Mercoledì 12 maggio 2021, I controlli “tecnologici” sull’attività dei lavoratori

I limiti ai controlli a distanza sull’attività dei lavoratori, le modalità di effettuazione del monitoraggio “lecito” e i “controlli difensivi”
I limiti del controllo “lecito” alla luce delle disposizioni dell’art. 4 Statuto Lavoratori e della più recente evoluzione giurisprudenziale
Il quadro normativo di riferimento dopo l’entrata in vigore del Regolamento UE 2016/679 (GDPR) e della normativa nazionale di adeguamento del Codice Privacy
Il concetto di “strumento di lavoro” nella norma e nella lettura del Garante Privacy
La legittimità dei “controlli difensivi” alla luce del nuovo quadro normativo e giurisprudenziale
Avv. Annalisa Reale
Chiomenti

Le implicazioni in materia di controlli e di privacy nel remote working e nello smart working
Il lavoro a distanza: telelavoro, remote working e smart working
Il potere disciplinare nell’accordo individuale
Il controllo a distanza e la tutela della privacy dei lavoratori nelle nuove forme di remote working/smart working
Le problematiche connesse agli strumenti utilizzati, alla sicurezza e alla protezione dei dati e del know how aziendale
L’uso autorizzato dei propri dispositivi da parte del dipendente (BYOD)
Gli adempimenti privacy: regolamento interno e informativa ai dipendenti
La regolamentazione del “diritto alla disconnessione”
Avv. Aldo Bottini
Toffoletto De Luca Tamajo e Soci
AGI – Avvocati Giuslavoristi Italiani

Analisi dei recenti orientamenti giurisprudenziali e delle indicazioni del Garante privacy e dell’INL e gli impatti sulla gestione del procedimento disciplinare
I recenti orientamenti giurisprudenziali
Le recenti indicazioni del Garante privacy e dell’INL
L’utilizzo degli strumenti di lavoro e le possibili implicazioni in materia disciplinare
L’esercizio del potere disciplinare: modalità e limiti
Tecniche di redazione delle lettere di contestazione
Le prove nel procedimento disciplinare e le giustificazioni
Tecniche di redazione delle lettere di licenziamento
Il licenziamento per condotte accertate attraverso gli strumenti di controllo a distanza: l’inadempimento contrattuale
Avv. Enrico Barraco
Studio Legale Barraco

I controlli sulla performance lavorativa effettuati tramite applicativi e strumenti informatici e i limiti imposti dalla disciplina dei controlli a distanza
Differenza tra controllo sulla produttività e classico controllo difensivo
I controlli sulla produttività e i limiti dell’art. 4 dello Statuto dei Lavoratori
I limiti al controllo del rendimento della prestazione e i cd controlli difensivi occulti
Il controllo sulla produttività del lavoratore in smart working
I sistemi di controllo sulle chiamate e sui volumi gestiti: la posizione del Garante
L’utilizzabilità in sede disciplinare dei dati raccolti
L’adeguata informazione
Prof. Avv. Arturo Maresca
Sapienza Università di Roma

L’implementazione e l’aggiornamento delle policy e dei regolamenti aziendali sull’utilizzo degli “strumenti di lavoro” e sui social network
La necessità della policy aziendale
Il contenuto degli accordi finalizzati a consentire un utilizzo promiscuo, personale e professionale, delle dotazioni aziendali
L’informativa ai dipendenti sul corretto utilizzo degli strumenti di lavoro
La tensione tra rapporto di lavoro e vita privata: i limiti alla disciplina dell’utilizzo dei social network da parte dei dipendenti
Il fil rouge tra l’art. 4 (divieto di controlli a distanza) e l’art. 8 dello Statuto dei Lavoratori (divieto di indagine sulle opinioni): i dati raccolti occasionalmente sui social e il loro possibile utilizzo nei confronti dei lavoratori
Schemi applicativi di policy e regolamenti aziendali
Le conseguenze in caso di violazione dell’obbligo di informativa: casistica giurisprudenziale
Avv. Alessandro Paone
LabLaw Studio Legale

La raccolta delle prove dei comportamenti illeciti dei lavoratori e gli strumenti di forensic investigation
Le attività illecite condotte dai lavoratori per mezzo di strumenti informatici
Le tecniche investigative per l’accertamento di comportamenti illeciti
Le criticità delle “ispezioni forensi” e le buone prassi per la loro corretta gestione
I limiti dell’utilizzabilità in giudizio di prove digitali erroneamente raccolte
Le modalità di cristallizzazione e acquisizione forense dei dispositivi informatici
L’analisi forense per la ricostruzione della prova informatica
La redazione e produzione in giudizio della perizia informatica forense
Dott. Paolo Dal Checco
Consulente Informatico Forense

Pubblicato in eventi, formazione | Contrassegnato , , , , , , , , , , , , , | Commenti disabilitati su La raccolta delle prove dei comportamenti illeciti dei lavoratori

Emergenza Sanitaria e Cybersecurity per AIGA

Giovedì 6 maggio dalle ore 16:00 alle 18:30 si terrà il seminario organizzato da AMGA – Associazione Monzese Giovani Avvocati, destinato a tutti gli Avvocati, con precedenza ai soci IGA, dal titolo “Emergenza Sanitaria e Cybersecurity – dal rapporto Clusit 2021 al GDPR”.

Convegno sulla Cybersecurity per AIGA Monza e Como

Durante il seminario, introdotto e moderato dall’Avv. Gaia Michela Sala, Consigliere AIGA Monza, interverranno l’Ing. Marco Raimondi (Product Marketing Fastweb), il Dott. Paolo Dal Checco (Consulente Informatico Forense), l’Avv. Raffaele Colombo (Vice Presidente AIGA Como) con argomenti legati alla Cybersecurity.

In particolare, il mio intervento sarà focalizzato sull’introduzione di alcune pratiche di autodifesa digitale per Avvocati e Studi Legali, basate su numerose esperienze di attacchi informatici e data breach occorse in ambito giudiziario. Spesso, infatti, durante le attività di cristallizzazione delle prove e analisi forense finalizzate alla realizzazione di una perizia informatica tramite tecniche di digital forensics emergono situazioni nelle quali una struttura anche minimale di personal security avrebbe potuto ridurre, mitigare o talvolta persino evitare problemi di accesso abusivo, perdita di dati o danneggiamento.

L’evento è stato accreditato con n. 2 crediti formativi in materia non obbligatoria dell’Associazione Italiana Giovani Avvocati (AIGA).

Pubblicato in eventi, formazione | Contrassegnato , , , , , , , , , | Commenti disabilitati su Emergenza Sanitaria e Cybersecurity per AIGA

OSINT Day 2021

Venerdì 30 Aprile 2021, dalle ore 15:00, si terrà il primo OSINT Day italiano, conferenza interamente dedicata all’Open Source Intelligence tutta italiana, organizzata dall’Associazione di Promozione Sociale “OSINTItalia“.

OSINT Day 2021

In un mondo sempre più sommerso d’informazioni, spesso nascoste e non facili da trovare, le tecniche di OSINT e ricerca online possono firnire un fondamentale contributo in ogni ambito, dal pubblico al privato, dalle investigazioni digitali al mondo solidale.

Il primo OSINT Day italiano, organizzato dall’Associazione OSINTITALIA in collaborazione con il Corso di Perfezionamento in Criminalità informatica e investigazioni digitali dell’Università degli studi di Milano tratterà proprio di tematiche quali l’applicazione dell’OSINT alla privacy e data protection, studio di attività criminali, sicurezza aziendale, analisi societarie, supporto alla digital forensics, contrasto alla disinformazione digitale, OSINT solidale.

Speaker e programma dell’evento OSINT Day

Durante le 4 ore dell’evento OSINT Day si altereranno professionisti, volontari e rappresentanti delle istituzioni che ogni giorno operano nel campo, che ci aiuteranno a scoprire cos’è l’OSINT, come può essere utilizzato a fini sociali, iniziative internazionali aperte a volontari in tutto il mondo ed esempi pratici di attività.

ORE 15.00
SALUTI INTRODUTTIVI
con: GIOVANNI ZICCARDI / Università degli Studi di Milano

ORE 15.10
INTRODUZIONE ALL’OSINT SOLIDALE E AL PROGETTO OSINTITALIA
con: MIRKO LAPI / Presidente OSINTITALIA

ORE 15.30
IL CONCETTO DI PRIVACY NELLE ATTIVITÀ OSINT
con: GUIDO SCORZA / Componente del Garante per la protezione dei dati personali

ORE 16.00
L’OSINT NELL’AZIONE DI CONTRASTO ALLE ATTIVITÀ CRIMINALI
con: NUNZIA CIARDI / Direttore della Polizia Postale e delle Comunicazioni

ORE 16.30
APPLICAZIONI DELLE ATTIVITÀ OSINT NELLA SECURITY AZIENDALE
con: ANDREA CHITTARO / Senior Vice President Global Security & Cyber Defence Snam – Presidente AIPSA

ORE 16.50
L’OSINT PER LE ANALISI SOCIETARIE (CASO STUDIO)
con: ANTONIO ROSSI / Membro Consiglio Direttivo OSINTITALIA

ORE 17.20
IL SUPPORTO DELL’OSINT ALLE ATTIVITÀ DI DIGITAL FORENSICS
con: PAOLO DAL CHECCO / Consulente Tecnico in ambito di Perizia Informatica Forense e Indagini Digitali

ORE 17.50
L’OSINT NEL CONTRASTO ALLA DISINFORMAZIONE DIGITALE
con: ROSITA RIJTANO / Giornalista lavialibera

ORE 18.10
GAMIFICATION DELLE INVESTIGAZIONI ONLINE PER L’OSINT SOLIDALE
con: ALESSIA GIANAROLI, VALENTINA LAVORE / Rispettivamente Vice Presidente e Segretario OSINTITALIA

ORE 18.30
SOCIAL NETWORK, RISCHI E OPPORTUNITÀ DELL’OSINT
con: MATTIA VICENZI / Membro Consiglio Direttivo OSINTITALIA

ORE 19.00
SALUTI CONCLUSIVI
con: MIRKO LAPI / Presidente OSINTITALIA

La locandina dell’evento OSINT Day 2021 è scaricabile dal seguente link.

Pubblicato in eventi, formazione | Contrassegnato , , , , , , , , , , , | Commenti disabilitati su OSINT Day 2021

Account Instagram, Facebook e Whatsapp hackerati: nuovo servizio per Le Iene

Questa sera è andata in onda la puntata de Le Iene durante la quale Nicolò De Devitiis ha presentato alcuni casi di hackeraggio di account Instagram, Facebook e Whatsapp che hanno portato alla perdita dell’account da parte de legittimi proprietari, che spesso lo utilizzavano anche per attività lavorativa, oltre che per diletto.

Il mio piccolo contributo al servizio de Le Iene sugli account Instagram, Facebook e Whatsapp hackerati è stato quello d’illustrare tecnicamente come vengono attaccati i profili e come ci si può difendere. Il problema dell’hacking di account e conseguente hijack, cioè appropriazione da parte di terzi e dirottamento, è sempre più frequente e spesso colpisce negozianti, aziende, VIP che utilizzando il Facebook Business Manager gestiscono le proprie pagine o il proprio advertising e di colpo vengono tagliati fuori dal proprio account, spesso trovandone un altro al suo posto, con conseguente perdita anche delle pagine gestite tramite Facebook Business Manager o dei profili Instagram. Lo stesso avviene anche per gli account Whatsapp, che ultimamente subiscono furti e attacchi da parte di soggetti che inviano il codice a sei cifre di accesso a utenti ignari che poi lo comunicano perdendo così il proprio profilo, che rimane a volte fino a sette giorni in uso agli attaccanti.

Paolo Dal Checco a Le Iene su Hack di Profili Instagram e Facebook

In diversi casi, a seguito del furto e hacking dei profili Facebook e Instagram sono arrivate alle vittime richieste di riscatto in bitcoin per poter riavere accesso al proprio account. Nicolò De Devitiis ha provato a contattare uno dei ricattatori che, una volta rubato un profilo Instagram, chiedeva il riscatto di 300 dollari per restituire il maltolto.

In sostanza, esistono diverse maniere di hackerare un profilo Facebook o Instagram, in genere quella più semplice è tramite riutilizzo di password, ma anche il furto di cookies che spesso avviene tramite pagine di phishing o App che simulano l’accesso con identficazione tramite Facebook ma in realtà procedono con la sottrazione dei token di autenticazione.

Le Iene - Hackerati Profili Instagram, Facebook e Whatsapp

Una delle possibili contromisure è quella d’impostare un secondo fattore di autenticazione – detto anche 2FA – che permetta agli utenti di proteggersi anche nel caso in cui la loro password venisse resa nota agli attaccanti tramite phishing, brute force oppure riutilizzo di credenziali.

Ovviamente l’autenticazione a due fattori non è la panacea ma in diversi casi un semplice messaggio SMS sul cellulare, una App di autenticazione o una chiavetta Yubikey possono proteggere dal furto dell’account Instagram, Facebook ma anche Linkedin, Twitter o di posta elettronica.

L’amico Stefano Fratepietro ha poi spiegato come sia difficile recuperare un account Instagram o Facebook rubato e hackerato, perché ci sono così tante richieste di ripristino di account hackerati che Facebook e Instagram – essendo servizi gratuiti – non riescono a stare dietro a tutti. La soluzione quindi è cercare di evitare di farsi sottrarre i profili Instagram e Facebook proteggendoli ad esempio con autenticazione a due fattori, che però essendo facoltativa e non obbligatoria spesso non viene utilizzata.

Pubblicato in news, TV | Contrassegnato , , , , , , , , , , , | Commenti disabilitati su Account Instagram, Facebook e Whatsapp hackerati: nuovo servizio per Le Iene