Archivi categoria: news

L’informatica forense per l’eredità digitale su Focus Familia

Sul numero di maggio della rivista Focus Familia è stato gentilmente pubblicato un mio articolo intitolato “Il contributo della Digital Forensics all’eredità digitale“, nel quale affronto i temi legati alla perdita – od ove possibile al passaggio – d’informazioni legata alla perdita delle persone.

Focus Familia - Rassegna Giuresprudenziale

In particolare, sulla Rassegna Giurisprudenziale dedicata al Diritto di Famiglia, in tema di eredità digitale nell’articolo di Focus Familia tratto e approfondisco tre temi spesso affrontati durante le attività quotidiane di perizia informatica forense:

  1. l’accesso ai dispositivi informatici, protetti in genere da una password impostata dal defunto e molto spesso non nota ai suoi parenti, che perdono l’accesso a dati, informazioni, conti bancari, password e ricordi anche della loro vita con i cari estinti;
  2. l’accesso alle aree web, cloud o account remoti degli utenti passati a miglior vita, che come nel caso Apple trattato dalla Dott.ssa Guglielmetti spesso non viene concesso agli eredi, figli o congiunti di chi è scomparso;
  3. l’eredità digitale in criptovalute (es. Bitcoin, Ethereum, Zcash, Monero e altre criptomonete) che i defunti spesso non hanno provveduto a condividere – prima della loro morte – con chi rimane in vita, che quindi non ha modo di accedere al wallet lasciato in eredità dai loro cari.

Molto interessante l’editoriale a cura della collega Marilena Guglielmetti dal titolo “Mutatis mutandis: il cambiamento tecnologico, gli effetti sulla nostra vita e le sinergie tra professioni” oltre al contributo su “Storico del diritto e pioniere del digitale: il notaio oggi” del Notaio Dott. Fabio Auteri.

La rivista è scaricabile gratuitamente da questo link.

Account Instagram, Facebook e Whatsapp hackerati: nuovo servizio per Le Iene

Questa sera è andata in onda la puntata de Le Iene durante la quale Nicolò De Devitiis ha presentato alcuni casi di hackeraggio di account Instagram, Facebook e Whatsapp che hanno portato alla perdita dell’account da parte de legittimi proprietari, che spesso lo utilizzavano anche per attività lavorativa, oltre che per diletto.

Il mio piccolo contributo al servizio de Le Iene sugli account Instagram, Facebook e Whatsapp hackerati è stato quello d’illustrare tecnicamente come vengono attaccati i profili e come ci si può difendere. Il problema dell’hacking di account e conseguente hijack, cioè appropriazione da parte di terzi e dirottamento, è sempre più frequente e spesso colpisce negozianti, aziende, VIP che utilizzando il Facebook Business Manager gestiscono le proprie pagine o il proprio advertising e di colpo vengono tagliati fuori dal proprio account, spesso trovandone un altro al suo posto, con conseguente perdita anche delle pagine gestite tramite Facebook Business Manager o dei profili Instagram. Lo stesso avviene anche per gli account Whatsapp, che ultimamente subiscono furti e attacchi da parte di soggetti che inviano il codice a sei cifre di accesso a utenti ignari che poi lo comunicano perdendo così il proprio profilo, che rimane a volte fino a sette giorni in uso agli attaccanti.

Paolo Dal Checco a Le Iene su Hack di Profili Instagram e Facebook

In diversi casi, a seguito del furto e hacking dei profili Facebook e Instagram sono arrivate alle vittime richieste di riscatto in bitcoin per poter riavere accesso al proprio account. Nicolò De Devitiis ha provato a contattare uno dei ricattatori che, una volta rubato un profilo Instagram, chiedeva il riscatto di 300 dollari per restituire il maltolto.

In sostanza, esistono diverse maniere di hackerare un profilo Facebook o Instagram, in genere quella più semplice è tramite riutilizzo di password, ma anche il furto di cookies che spesso avviene tramite pagine di phishing o App che simulano l’accesso con identficazione tramite Facebook ma in realtà procedono con la sottrazione dei token di autenticazione.

Le Iene - Hackerati Profili Instagram, Facebook e Whatsapp

Una delle possibili contromisure è quella d’impostare un secondo fattore di autenticazione – detto anche 2FA – che permetta agli utenti di proteggersi anche nel caso in cui la loro password venisse resa nota agli attaccanti tramite phishing, brute force oppure riutilizzo di credenziali.

Ovviamente l’autenticazione a due fattori non è la panacea ma in diversi casi un semplice messaggio SMS sul cellulare, una App di autenticazione o una chiavetta Yubikey possono proteggere dal furto dell’account Instagram, Facebook ma anche Linkedin, Twitter o di posta elettronica.

L’amico Stefano Fratepietro ha poi spiegato come sia difficile recuperare un account Instagram o Facebook rubato e hackerato, perché ci sono così tante richieste di ripristino di account hackerati che Facebook e Instagram – essendo servizi gratuiti – non riescono a stare dietro a tutti. La soluzione quindi è cercare di evitare di farsi sottrarre i profili Instagram e Facebook proteggendoli ad esempio con autenticazione a due fattori, che però essendo facoltativa e non obbligatoria spesso non viene utilizzata.

Servizio sulle truffe bancarie con Striscia La Notizia

Oggi è andato in onda il servizio di Max Laudadio per Striscia La Notizia dal titolo “Il raggiro del finto call center Banca Intesa” dove il conduttore intervista diverse vittime di una truffa ben nota al termine della quale i conti correnti vengono svuotati tramite bonifici fraudolenti immessi da criminali che hanno avuto accesso al conto bancario tramite App o web banking.

Questo tipo di truffe è ormai nota alle Forze dell’Ordine ma purtroppo ancora sconosciuta a molti correntisti che, fidandosi delle telefonate o degli SMS apparentemente provenienti dai numeri della banca, comunicano credenziali o accettano d’installare software non verificato sul proprio smartphone, con il risultato che i delinquenti hanno la possibilità, a un certo punto, di disporre bonifici o persino fare ricariche di carte di credito o prelievi di contanti al bancomat.

Paolo Dal Checco a Striscia La Notizia

Durante il servizio per Striscia La Notizia ho dato il mio piccolo contributo con alcune considerazioni tecniche sulle modalità con le quali i truffatori riescono a telefonare alle vittime o inviare SMS fingendosi la loro banca, facendo comparire come mittente il numero di telefono o il nome esatto dell’istituto bancario e traendo così in inganno i correntisti.

Esistono infatti diverse App e servizi online – così come conferma anche Banca Intesa San Paolo in un comunicato ufficiale a Striscia La Notizia – che permettono di fare telefonate o inviare messaggi di testo SMS mascherando il mittente con numeri di telefono o nomi a scelta, agevolando così purtroppo le truffe definite “vishing” (voice phishing) e “smishing” (SMS phishing) basate proprio sul mascheramento del numero o dell’identità del chiamante.

Spiegazione fornita da Intesa San Paolo a Striscia La Notizia delle truffe tramite telefonate o sms fraudolenti.

La truffa delle telefonate e degli SMS provenienti da finti call center colpisce non soltanto Banca Intesa San Paolo e i suoi correntisti, ma anche clienti di altre banche, proprio perché purtroppo chi riceve una telefonata non ha modo di verificare se il numero del chiamante è autentico oppure mascherato tramite uno dei servizi di caller id spoofing.

Per questo motivo, i consigli che vengono proposti da Banca Intesa San Paolo e riportati a Striscia La Notizia sono da seguire alla lettera:

  1. mai fornire codici ricevuti via SMS o telefonata a presunti operatori che chiamano o inviano SMS, con la minaccia di “chiudere il conto” in caso di mancata comunicazione;
  2. mai fornire credenziali del proprio profilo online via telefono o messaggio;
  3. mai inserire nome utente e password in siti ove si è arrivati cliccando su link ricevuti via email, sms o indicati tramite call center;
  4. mai installare App su richiesta di operatori della banca, soprattutto App non presenti all’interno dello store ufficiale.
Consigli di Intesa San Paolo per evitare le truffe

A questi consigli forniti da Banca Intesa San Paolo per rendere consapevoli i propri clienti dei rischi delle telefonate e degli SMS fraudolenti, possiamo aggiungere anche l’indicazione di non cliccare mai su link ricevuti via email o telefono, di chiamare sempre la banca digitando il numero ufficiale (non richiamando il numero da cui si è ricevuta una chiamata o un messaggio di testo), di non fidarsi di chi contatta insistendo sulla comunicazione di dati, codici, cifre, nominativi o altro che possa permettere ai delinquenti di accedere al proprio conto bancario e disporre bonifici, fare versamenti tramite carte di credito o prelevare contanti al posto.nostro.

OSINT sul social network ClubHouse per OsintOps

È uscito ieri un mio pezzo, pubblicato sul blog del team OsintOps, che tratta delle attività di OSINT su ClubHouse e di come sia possibile ricavare informazioni interessanti a partire dai dati divulgati in modo più o meno trasparente dal social network ClubHouse, che sta raggiungendo proprio in questi giorni un picco di utilizzatori in Italia, dopo aver spopolato all’estero già da aprile 2020. Poiché le attività di ricerca online tramite OSINT sono spesso legate alla digital forensics e investigazioni digitali, ho fatto alcuni esperimenti con un’utenza Club House per verificare quali informazioni fosse possibile ricavare tramite tecniche e metodologie di OSINT sulle fonti aperte.

OSINT su ClubHouse App e Social Network

Tramite semplici ricerche online è possibile eseguire attività di OSINT su App e Social Network ClubHouse, a partire dall’interessante proprietà degli inviti, che su ClubHouse non possono essere nascosti e che quindi mostrano in modo perenne i collegamenti tra soggetti basati proprio sulla catena d’inviti. Chi si occupa di ricerche online, informatica forense e giornalismo investigativo può beneficiare di questa rete di contatti che gli utenti disegnano inconsapevolmente nel momento in cui invitano qualcuno su ClubHouse o accettano un invito.

Altra proprietà particolarmente rilevante del social network ClubHouse, che ne permette un’analisi OSINT di buon livello, è il fatto che di ogni utenza telefonica è possibile visionare (fino a quando non si registra sulla piattaforma) il numero di utenti di ClubHouse che la possiedono in rubrica fra i propri contatti.

Nell’articolo pubblicato su OsintOps ho riportato alcune perplessità sull’impossibilità di cancellare manualmente il proprio account e sulla necessità, invece, di dover contattare l’assistenza Clubhouse per la rimozione. Allo stesso modo, alcune questioni sulle modalità con le quali ClubHouse gestisce la rubrica telefonica e i contatti dello smartphone hanno sollevato alcune questioni sulla sua conformità o meno al GDPR, data protection e privacy.

Seminario su OSINT per ForensicNews e StopSecret

Giovedì 28 gennaio 2021 si è tenuta l’ultima giornata del Forensic Virtual Summit organizzato da ForensicNews e StopSecret, durante la quale ho tenuto un’ora e mezza di seminario su OSINT e ricerche online a fini investigativi e forensi. Per quanto il seminario sia stato poco più che una introduzione a un tradizionale corso su OSINT, la lezione è stata una bella occasione per parlare di alcune metodologie di ricerca online e raccontare alcuni aneddoti su alcune situazioni nelle quali mi sono imbattuto negli anni.

Corso OSINT per ForensicNews e StopSecret

L’OSINT – acronimo di “Open Source Intelligence” – è una disciplina che negli ultimi anni sta assumendo sempre più importanza per le implicazioni che riveste in diversi campi, dall’informatica forense alla network security, dalla due diligence alla giornalismo investigativo.

Durante il breve corso su OSINT tenuto per StopSecret e ForensicNews durante Forensic Virtual Summit sono stati presentati alcuni esempi di utilizzo dell’Intelligence sulle Fonti Aperte e descritti in maniera introduttiva alcuni strumenti utili per realizzare ricerche online su siti web, indirizzi di posta elettronica, numeri di cellulare, profili social network.

Attraverso semplici strumenti e servizi è stato mostrato come, utilizzando alcune nozioni di base, è possibile in diverse situazioni ricavare tramite OSINT informazioni di rilievo, verificarle, classificarle e ottenere un risultato utilizzabile per fini privati, aziendali, giudiziari o investigativi. Nel corso della redazione di perizie informatiche si rende spesso necessario validare le risultanze ottenute tramite ricerche OSINT e analisi delle fonti aperte, per questo motivo si ritiene che una base di conoscenza su OSINT, anche costruita partendo da corsi, seminari, incontri o lezioni su OSINT, possa essere un elemento strategico per il digital forenser.