Gli ultimi anni sono stati un disastro a livello informatico. Dalla pandemia in poi lo smart working è servito per diminuire spostamenti e inquinamento, ma ha portato ad una serie di altri disagi. Ad esempio una minor sicurezza informatica e lavoratori sempre più “reperibili”. Ma il cyber crime è un affare di tutti. Come ricordano i colleghi di Red Hot Cyber, sono stati molti i Comuni italiani colpiti da ransomware. Uno degli ultimi episodi è capitato a Torre del Greco (NA) il 17 novembre. Da allora i cittadini e le istituzioni sono alle prese con un blocco degli uffici comunali, il caso è persino stato portato all’attenzione del Ministero dell’Interno e della Pubblica Amministrazione per condurre un’indagine al fine di verificare che i dati dei cittadini siano ancora a rischio.

A livello europeo sul tavolo c’è una proposta di legge sulla ciberresilienza e cibersicurezza. Le sanzioni inflitte ai produttori di tutti i tipi di dispositivi connessi che non si adegueranno alle nuove norme di sicurezza informatica potrebbero arrivare fino a 15 milioni di euro o al 2,5% del fatturato annuo globale, a seconda di quale sia il più alto. La proposta si è concretizzata ieri, dopo che la presidente Ursula von der Leyen esattamente un anno fa l’ha annunciata nel corso del suo discorso sullo stato dell’Unione. I produttori vedranno dunque aumentare la responsabilità dei prodotti attraverso l’obbligo di fornire assistenza in maniera di sicurezza e update software. Ma frattanto, ecco come l’utente comune può prepararsi nella protezione del proprio patrimonio, della propria privacy e essere conoscente di alcune tecniche sicurezza informatica in generale. Questo post sarà aggiornato con le ultime novità in termini di sicurezza: potete arricchire il post con vostri consigli o suggerimenti attraverso i commenti.

A: la sicurezza informatica passa dagli acquisti online

I periodi cruciali dedicati allo shopping, come i saldi, la programmazione delle vacanze, le offerte natalizie, etc, sono anche quelli preferiti dai cybercriminali. Nei giorni di shopping frenetico si intensificano gli attacchi phishing e ransomware. Secondo Check Point Software il mese di novembre 2022 ha mostrato che il 17% di tutti i file malevoli distribuiti via e-mail erano relativi a ordini, consegne e spedizioni. Inoltre il 4% di tutti i nuovi siti web legati allo shopping erano illegittimi. Oltre a questo, il Brand Phishing Report del terzo trimestre 2022 di Check Point, ha rilevato che DHL è stato il brand più imitato per ingannare gli utenti.

Come non cascare in trappola nello shopping online

Abbiamo raccolto tutti i consigli di tutte le aziende di sicurezza informatica, che hanno fornito i consigli chiave agli utenti nel periodo natalizio. Ecco una serie di norme da tenere sempre bene a mente prima di acquistare un prodotto e un servizio rischiando di subire un danno economico.

• Compra da fonti attendibili (cerca sui motori di ricerca e non cliccare su sms o e-mail)
• Fare attenzione ai domini simili con errori di battitura
• Diffida dalle offerte troppo belle per essere vere
• Cerca sempre il lucchetto nella barra degli indirizzi del browser (deve esserci scritto https)
• Trova soluzioni di sicurezza endpoint
• Non fidarti delle e-mail che chiedono di resettare la password
• Utilizza le carte virtuali
• Evitare le Wi-Fi non protette, pubbliche o sconosciute

Secondo una ricerca recente di NordVPN, nel dark web esistono milioni di carte di credito o di debito vendute al prezzo di circa 10 dollari cadauna. Quelle italiane sarebbero poco più di 80.000, vendute ad un prezzo medio di 15 dollari. Il sistema utilizzato dai malintenzionati per reperire i dati necessari è piuttosto semplice e secondo gli analisti, servono appena 6 secondi.

D come Doxing e Dating: tra truffe e malware

Le app di dating portano a tantissime storie. Da quelle a lieto fine, alle brucianti delusioni, fino a truffe e persino tragedie. Nell’ultimo anno sono state al centro della cronaca per via delle truffe inflitte a danni di sportivi e non solo, che hanno fornito ingenti quantità di denaro a persone che ritenevano care, dietro alle quali in realtà vi erano ingegnosi truffatori. Una delle truffe più note, individuate da Sophos, era CryptoRom, in cui attraverso tecniche di ingegneria sociale (qui un esempio, anche da social), i malcapitati si trovavano ad investire grandi somme di denaro in criptovalute che non riuscivano più a riscattare.

Secondo Kaspersky invece il 14% degli utenti di app di dating è stata vittima di doxing. Il neologismo vede nel suo termine la contrazione di “dropping dox” (dove dox sta per docs) e cioè “distribuire documenti”. La pratica che consiste nella raccolta e nella condivisione pubblica di dati personali, anche sensibili, da parte di altre persone senza autorizzazione. Questo avviene perché vengono fornite direttamente o indirettamente informazioni sensibili sui social e sulle app di dating e può portare anche al cyber stalking. Qui un corso gratuito di Kaspersky per difendersi da questa fastidiosa pratica.

Ma non è un pericolo solo per le app di dating. Ma anche per i minori. Secondo un’indagine di Kaspersky, il 40% dei minorenni ha infatti rivelato che, nonostante avessero ricevuto consigli e istruzioni da familiari e insegnanti sulle inside presenti online, condivide informazioni come indirizzo di casa, scuola e lavoro dei familiari.

M: Malware Mobile, attenzione a cosa scarichi

La scorsa primavera Proofpoint ha allertato gli utenti riguardo un vertiginoso aumento dei Mobile Malware. Secondo l’agenzia di sicurezza informatica è stato riscontrato infatti un +500% nei tentativi di invio di software malevolo. I principali mezzi di diffusione dei malware sono lo smishing, ovvero gli SMS che cercano di ingannare l’utente invogliandolo a cliccare su link che portano a siti compromessi. Ma non solo, alle volte anche gli store delle piattaforme ufficiali, quali Play Store e App Store, possono contenere delle minacce sfuggite ai rigidi controlli di Google e Apple. Il mobile malware più diffuso la scorsa primavera era FluBot, che usava come esca ancora DHL e FedEX. Altri malware inoltre possono installare sul telefono codici che inducono il telefono ad eseguire attività che possono incidere sull’abbonamento.

Guardando lo schema di sopra viene naturale notare come i malware abbiano come obiettivo principalmente dispositivi Android. Il motivo è presto detto. Secondo i dati di Panda Security, il settore mobile è diventato un duopolio tra Google e Apple che detengono rispettivamente il 75% e il 25% delle quote di mercato dei sistemi operativi usati nel mondo. Ecco perché i cybercriminali si concentrano su Android e poi su iOS. Tuttavia l’agenzia di sicurezza si aspetta un aumento delle minacce informatiche anche per iPhone, dal momento che il dato è in crescita.

Non solo FluBot, ma anche MaliBot. Questo malware colpiva i dispositivi Android di utenti italiani e spagnoli, secondo un’indagine dei laboratori di F5. L’intento era quello di reperire credenziali e rubare criptovalute. Il metodo di trasmissione è sempre lo stesso: truffe via SMS (InfoBip qui illustra le principali), app malevoli su siti web compromessi e così via. Ma cosa bisogna fare per non prendere virus sul proprio telefono? Non c’è una linea guida, basta stare un po’ attenti ed usare il buon senso. In genere su Play Store la scansione delle app avviene in autonomia, ma per aggiungere un livello di sicurezza in più, è possibile installare un’app dedicata, sviluppata dalle agenzia di sicurezza. Inoltre Panda Security suggerisce di non effettuare il jailbreak di dispositivi iOS, ovvero gli iPhone.

Panda Security riferisce che anche gli iPhone possono prendere virus informatici, benché accada raramente e che il sistema operativo (cioè iOS) è più sicuro rispetto a Windows o Android. Tuttavia se non si effettua un update costante del software o se si sottoponga l’iPhone a jailbreak, potrebbe essere vulnerabile agli attacchi, anche da spento, come spiegato in questo post da Panda Security.

Come difendersi dai link dannosi

Premesso che il buonsenso e l’attenzione sono strumenti che tutti abbiamo a portata di mano per poterci difendere dai malintenzionati, alle volte anche il supporto di un software, potrebbe essere molto più che utile per la sicurezza informatica. BitDefender ad esempio ha introdotto la Chat Protection, sulla sua app per Android Bitdefender Mobile Security. L’app permette di individuare i link dannosi e avvisare l’utente quando il rischio è reale.

Lo smishing è una parte del phishing, che ha molte forme. Come detto può prendere di mira i principali brand per emularne le sembianze e trarre in inganno gli utenti, ma possono avvenire attacchi anche tramite i pop-up del browser del PC. Una delle tecniche più recenti vedono infatti i pop-up che invitano a loggarsi utilizzando le credenziali dei propri social, replicando l’aspetto di un sito web autorevole. Un altro metodo di attacco è il Pharming, ma è più difficile del phishing da individuare. Ecco sotto le differenze.

Come capire se l’iPhone ha un virus

Come ogni virus che si rispetti, anche quelli informatici presentano all’ospite dei sintomi. In genere è abbastanza facile individuarli e infatti potrebbe essere sintomo di un virus i seguenti segnali:

• Surriscaldamento del dispositivo
• Consumo eccessivo di dati
• Popup al di fuori del browser o delle app
• Presenza di app sconosciute
• App che vanno in crash o si bloccano
• Batteria che si scarica rapidamente
• Rallentamento del dispositivo
• Falsi avvisi di virus

Le regole per mantenere al sicuro i dispositivi sono sempre le stesse, ovvero non visitare siti non attendibili, non cliccare su SMS o e-mail sospette e se possibile installare app di sicurezza sul proprio dispositivo da fonti autorevoli. Per cancellare un virus, bisogna disinstallare l’app incriminata e riavviare il device o effettuare un ripristino di fabbrica se ciò non dovesse bastare.

Attenzione ai proxyware e ai ransomware

Se i primi sono dannosi perché permettono agli utenti di dividere le spese condividendo anche la connessione e lasciando sensibili informazioni personali esposte, i secondi sono molto più dannosi e negli ultimi anni hanno preso di mira imprese e ospedali, fino a istituzioni governative. L’utente o il PC infettato si vede privato di materiale importante, che può essere recuperato tramite una chiave di decrittazione, che può essere fornita dallo stesso cybercriminale dietro richiesta di denaro o dagli sviluppatori di app di sicurezza informatica. Qui i ransomware più popolari.

N di NFT: occhio alle truffe!

Acquistare NFT potrebbe esporre gli utenti meno esperti a rischi di truffe anche particolarmente gravi. Tanto per cominciare, è meglio non lasciarsi prendere dalla cosiddetta FOMO (Fear of Missing Out, ovvero la paura di perdere un’opportunità). Meglio valutare caso per caso e prestare attenzione al rischio phishing. Inoltre è bene individuare le piattaforme più sicure e regolamentate, con servizi che prevedono prove e verifiche riguardo all’autenticità, nonostante le commissioni più elevate. Quando le cifre diventano importanti, è sempre bene effettuare approfondite ricerche online riguardo all’opera che si vuole acquistare. Fondamentale inoltre investire in due wallet sicuri. Uno per le operazioni correnti e uno hardware per fare holding e conservare i guadagni. Infine è una buona idea fare parte di una community di investimenti in NFT, in modo da partecipare a discussioni, informarsi sui termini tecnici e le procedure.

P: Non usare “password” come password!

Recentemente un’azienda di cybersicurezza statunitense ha scoperto che il controllo ortografico di Google Chrome e Microsoft Edge invia le password al server dell’azienda per farle esaminare. Questo esporrebbe al rischio di essere intercettate o rubate. Un problema riscontrato inizialmente sul browser di Google, poi su quello di Redmond. Quest’ultimo vede a rischio chi ha installato l’add-on Microsoft Editor Spelling & Grammar Checker. Un’implementazione che non sarebbe totalmente sicura, nemmeno in termini di privacy.

Panda Security ha reso noto che Google ha però riferito che le password non vengono salvate sui server e nemmeno associate ad altri dati degli utenti. Secondo Mountain View inoltre la responsabilità è da attribuire a chi ha sviluppato i siti web che non hanno disattivato il controllo ortografico per determinati elementi con un codice del sito. L’opzione del controllo ortografico è comunque disattivabile, per chi non si sentisse al sicuro. Tuttavia la vulnerabilità non è stata sfruttata dai malintenzionati, e a breve verrà comunque aggiornata da Microsoft e Google. Panda Security si è posta una domanda un po’ provocatoria, chiedendosi quanto fossero sicuri i browser. In realtà sono strumenti molto sicuri e per parafrasare l’agenzia di sicurezza, è l’umano l’anello debole. Basti pensare alle password e che la password più utilizzata al mondo è password.

Cosa fare e non fare con le password

Panda Security consiglia cinque pratiche per non avere problemi con le credenziali.

• Non salvare password in un file che un malware o un malintenzionato potrebbe compromettere
• Non riutilizzare le password: utilizzare la stessa per più account è deleterio
• Non condividere le password via chat o per e-mail (è il primo posto dove guardano i cybercriminali)
• Usa password complesse, le combinazioni casuali di numeri lettere e caratteri sono al top. Le meno efficaci sono quelle che si possono dedurre dai social (nomi di animali, date di nascita, etc)
• Utilizza un password manager al posto del browser: crea e salva le password ed è più sicuro del browser.

Creare una password sicura

Qui invece puoi trovare cinque consigli per creare una password sicura, secondo Check Point:

1. Utilizzare una combinazione di caratteri
2. Una password diversa per tutto
3. Più è lunga più è sicura
4. Cambiare password regolarmente
5. Autenticazione a due fattori

L’autenticazione a due fattori è essenziale. Le misure consigliate precedentemente sono ottime strategie per migliorare l’efficacia di una password, ma è anche basilare implementare l’autenticazione a due fattori. Le nuove minacce sono sempre in agguato, per essere protetti è meglio essere al corrente di ogni accesso richiesto ad un determinato account.

Quali sono i rischi di una password violata

Non si può fare un elenco, sarebbe lunghissimo. Certo è che tra danni economici e, forse il più grave, il furto di identità, sono davvero infiniti. Secondo CybergON l’Italia è dodicesima al mondo per quanto riguarda i furti di identità (e si prevede che sarà uno dei mali del metaverso). Secondo i dati rilevati dall’Osservatorio sulle frodi creditizie e furti d’identità realizzato da CRIF, nel 34% dei casi il furto di dati si conclude con l’attivazione di un prestito finanziario.

Come scoprire se la propria password è stata violata

Uno dei siti più utilizzati e completi per scoprire se i propri dati non sono più al sicuro, è Have I Been Pwned?. Il sito è un enorme database che annovera tutti i servizi violati e permette all’utente di scoprire se la propria e-mail, il proprio numero di telefono. Inoltre, per scoprire se la propria password è stata rubata, è possibile inserirla nel campo di ricerca nella sezione Passwords. Non solo, ha una sezione in cui sono elencati tutti i servizi che hanno subito un data breach e un’altra in cui è possibile registrarsi con l’indirizzo e-mail per venire notificati se i propri dati sono al centro di una violazione. HIBP è un servizio totalmente gratuito e tra i più completi e affidabili che ci siano sul Web. Il suo fondatore, Troy Hunt è un direttore regionale di Microsoft ed esperto di sicurezza informatica.

Ispirato da Have I Been Pwned?, il servizio di Have I Been Sold? permette di verificare se i propri dati siano stati venduti online. Il servizio è gratuito, ed è sufficiente inserire i propri indirizzi e-mail per verificare che i propri dati siano al sicuro. Come il precedente, inserendo il proprio indirizzo e-mail si può facoltativamente registrarsi a notifiche in caso di eventuali future violazioni.

S: La Smart Home sicura

I dispositivi della smart home stanno sempre prendendo più piede (anzi, spazio) nelle nostre case. Gli assistenti vocali, le telecamere, i citofoni, le lampadine intelligenti e le prese di correnti sono oggetti che possono semplificare la vita e farci risparmiare un po’ di tempo in azioni che ci permettono di dedicarne di più agli hobby o alla famiglia. Ciò non vuol dire però che, benché gli acquisti vedono i principali brand di domotica primeggiare, si possa dimenticare la questione sicurezza informatica. Sababa Security ha dunque stilato un decalogo per avere dispositivi connessi sicuri:

1. Modificare username e password di default
2. Impostare le funzioni di sicurezza sul dispositivo
3. Aggiornare costantemente il dispositivo
4. Disattivare/scollegare i device inutilizzati
5. Impostare la privacy nella smart tv
6. Monitorare impostazioni IP delle telecamere di sorveglianza
7. Mantenere al sicuro i dati aziendali
8. Riconoscere una e-mail di phishing
9. Bloccare il PC quando non si utilizza
10. Autenticazione a due fattori (2FA)

U come Update

Le ultime linee guida di GSMA sull’uso dei dispositivi mobili, vedono la necessità di aumentare la longevità degli smartphone e ridurre al massimo sprechi e rifiuti elettronici. Una serie di dettami utili ma difficili da perseguire, almeno fino a poco tempo fa. Riparare uno smartphone è costoso, inoltre tra obsolescenza programmata e update di terminali Android assicurati solo per un paio d’anni, allungare la vita dello smartphone è sempre molto difficile. Anche da quando la batteria non è sempre sostituibile in autonomia (per via di un design sempre più moderno), è difficile allungare la vita di un dispositivo e la batteria è uno degli elementi, insieme al display, che ne determinano la longevità.

Tuttavia ultimamente alcuni dei produttori, per aiutare l’ambiente e le tasche degli utenti, hanno pensato a programmi di aggiornamento sempre più lunghi. Un dispositivo aggiornato è un dispositivo sicuro, che può essere dunque venduto o utilizzato per un uso alternativo senza temere per la propria privacy o per la sicurezza informatica. Gli ultimi smartphone di Nokia, realme e probabilmente in futuro anche OnePlus, offrono aggiornamento dai 3 anni in poi, lato software e di sicurezza. Gli aggiornamenti sono necessari perché potrebbero anche risolvere delle falle di sicurezza capitate ad UNISOC. Sono rare, ma possono comunque accadere.

V di VPN

Secondo NordVPN 1 viaggiatore su 4 avrebbe subito un attacco informatico mentre si recava in vacanza all’estero. La ricerca ha rivelato che l’attacco avveniva mentre le vittime erano connesse ad un Wi-Fi pubblico. Le violazioni sono avvenute perlopiù durante il transito in stazioni ferroviarie, degli autobus o aeroporti. Il raggiro all’estero avviene più facilmente, perché i viaggiatori potrebbero non conoscere i nomi autentici delle reti Wi-Fi. Questo rende più semplice dunque per gli hacker impostare gli “evil twins“, ovvero falsi hotspot Wi-Fi, in posti visitati da turisti (aeroporti, stazioni ferroviarie, etc). Una volta connessi all’hotspot malevolo, diventa più semplice per il malintenzionato reperire informazioni sensibili, come dettagli sulle carte di pagamento, e-mail private e credenziali. Meglio quindi disattivare le connessioni automatiche né condividere le credenziali con chicchessia.

Le VPN perlopiù sono dei servizi per la protezione della connessione, del proprio traffico e dei propri dati. Alcuni servizi di VPN sono offerti ad esempio da realtà di sicurezza informatica, come ad esempio Kaspersky o AVG. Ciò che si fa online potrebbe essere oggetto di sguardi indiscreti, una VPN aggiungerebbe un livello di sicurezza in tal senso. Inoltre, i provider e i motori di ricerca, utilizzano l’IP per raccogliere informazioni sulle abitudini della ricerca degli utenti. Per questo motivo spesso ci si imbatte in annunci allineati con le precedenti ricerche effettuate. Da tenere a mente però che vengono cifrati solo i dati Internet e non le chiamate vocali o gli SMS. Qui la nostra guida per utilizzare le VPN da smartphone. Tuttavia è bene ricordare che le VPN non sono tutte sicure al 100%. Panda Security ha infatti riferito i vari casi in cui lo strumento potrebbe non funzionare o avere delle perdite di dati, come ad esempio capitato ad Apple.

Aiutaci a completare questo post: segnala servizi o tecniche in modo da creare un vademecum completo.