[Guerre di Rete - newsletter] Bezos e i ricatti; smartwatch e bambini; sorveglianza e homeless; reddito di cittadinanza
Guerre di Rete - una newsletter di notizie cyber
a cura di Carola Frediani
Numero 21 - 10 febbraio 2019
Oggi si parla di:
- il ricatto a Jeff Bezos
- smartwacth e bambini
- polizia e software predittivi
- sorveglianza e homeless
- riconoscimento facciale e autorità
- Garante privacy e reddito di cittadinanza
- e altro
#BEZOSBLACKMAIL
Il ricatto a Bezos, Trump e i sauditi, un nuovo Watergate?
“Ieri mi è successo qualcosa di insolito. Veramente, per me non era solo insolito - è stata una prima volta assoluta. Ho ricevuto un’offerta che non potevo rifiutare”. Quest’attacco narrativamente meraviglioso non l’ha scritto Philip Roth, ma Jeff Bezos.
Preparatevi che la storia di oggi è un intreccio che fa impallidire House of Cards. Però ha tante implicazioni importanti, al di là degli aspetti da telenovela. La storia è quella della rivelazione choc di Bezos. Il fondatore e Ceo di Amazon, nonché editore del Washington Post - che come sapete ha una linea molto critica e dura verso Trump, e verso l’amministrazione saudita, specie dopo l’uccisione da parta dei sauditi del giornalista Jamal Khashoggi che scriveva proprio sul Post, poi vedremo perché queste due sottolineature - ha infatti pubblicamente denunciato di aver subito un tentato ricatto da parte di un tabloid scandalistico legato a Trump e ai sauditi.
Il National Enquirer e Bezos
Prima un minimo di contesto. Il 9 gennaio Bezos ha annunciato che lui e sua moglie MacKenzie avrebbero divorziato dopo 25 anni di matrimonio. Dopo poche ore dall’annuncio il tabloid scandalistico National Enquirer rivelava che il boss di Amazon si vedeva da tempo con una ex giornalista televisiva, Lauren Sanchez, sposata, anche se separata da qualche mese. E che da quattro mesi stavano addosso alla coppia, inseguendoli per “40mila km” tra elicotteri, limousine, cene, escursioni, jet privati e tutto il repertorio alla Dinasty che potete immaginare. Ora fino a qui sembrerebbe una noiosa e sgradevole vicenda da paparazzi e potenti se non fosse che il National Enquirer è edito da AMI, società guidata da David Pecker, amico di lunga data di Trump, accusato di aver più volte comprato e silenziato storie scomode sul presidente Usa. Nel consiglio di amministrazione di AMI c’è anche un altro amico di Trump, David Hughes, che è stato direttore finanziario del Trump Entertainment Resorts, compagnia del settore alberghiero e dell’azzardo, fino alla sua bancarotta nel 2014. Inoltre le cose iniziano a complicarsi quando il magazine mostra di avere messaggi intimi della coppia, e fa intendere di possedere anche altra roba più scottante.
Il 30 gennaio la testata Daily Beast riferisce che Bezos sta finanziando una indagine su quel leak di messaggi al National Enquirer. Secondo le prime indiscrezioni, a una prima analisi nessuno dei telefoni della coppia risulterebbe essere stato hackerato. A guidare l’indagine un veterano della sicurezza di personaggi famosi, e ora responsabile di quella di Bezos, Gavin de Becker, secondo il quale - riferisce il Daily Beast - il leak sarebbe stato “politicamente motivato”.
Si arriva dunque a giovedì, quando Jeff Bezos pubblica un esplosivo post su Medium (da leggere tutto) in cui accusa AMI e Pecker di “estorsione e ricatto”. AMI ha infatti minacciato di rilasciare foto intime tra Bezos e Sanchez - scrive il fondatore di Amazon - se lui non smetteva di indagare sui leak e non negava pubblicamente che dietro agli stessi ci fosse una ragione politica.
Forse l’aspetto più impressionante sono le email riportate da Bezos, inviate dallo stesso direttore generale dei contenuti di AMI all’avvocato del Ceo di Amazon, che descrivono in dettaglio i contenuti che ancora potrebbero pubblicare, tra cui quello che sembra di capire sia considerato il pezzo forte: “un selfie sotto la cinta - altrimenti colloquialmente noto come “d*ck pick” (con l’asterisco, perché a scrivere la minaccia è pur sempre una persona di buone maniere). Ma sono descritte anche altre foto di Bezos, o di Sanchez, a dire il vero neanche tanto sconvolgenti. Anche se l’intento di chi le impugna è chiaro. “Spero che possa prevalere il buon senso - e rapidamente”, intima infatti la missiva. E il buon senso ha davvero prevalso, ma solo quello di Bezos, che dall’alto della sua posizione ha deciso di denunciare pubblicamente questa “offerta che non si poteva rifiutare” (secondo la celebre citazione di Don Corleone) non solo rifiutandola, ma contrattaccando da ogni punto di vista. Quando l’uomo più ricco del mondo scrive di aver chiesto al suo uomo di fiducia, de Becker, di “procedere con qualsivoglia budget necessario per arrivare alla verità sulla vicenda” si può stare quasi certi che ci saranno ulteriori sviluppi. E, c’è da scommettere, poco positivi per AMI (che, per altro, avrebbe i suoi server, quelli del National Enquirer, ospitati da Amazon, secondo vari osservatori… Protip: quando ricatti qualcuno dovresti almeno accertarti che costui non abbia l’interruttore della tua infrastruttura e possa scollegarti in un minuto).
Pecker, Trump e i sauditi
Ma veniamo alla parte interessante. Lo stesso Bezos sottolinea che AMI ha ottenuto da poco l’immunità in un accordo col Dipartimento di Giustizia che indagava sui suoi rapporti con Trump. E che era sotto indagine anche per i rapporti col governo saudita. E ricorda come il Washington Post abbia creato scontento sia con gli articoli su Trump che con quelli sull’assassinio di Khashoggi. Secondo Bezos, la sua controindagine per capire cosa c’era dietro al leak dei suoi stessi messaggi avrebbe mandato in fibrillazione AMI (Pecker) al punto da spingerlo a rilanciare con un “ricatto” esplicito, e con un evidente passo falso. “Per ragioni ancora da comprendere meglio, l’angolo saudita sembra aver colpito un nervo particolarmente sensibile”.
Bezos dice infine un’altra cosa piuttosto rilevante. “Qualsiasi imbarazzo personale che AMi può procurarmi passa in secondo piano perché c’è una questione molto più importante qua. Se nella posizione in cui sono non posso resistere a questo tipo di estorsione, quante persone possono farlo?”.
In questo Watergate digitale e sotto steroidi (anzi, sotto sali da bagno, come è stato detto, ma nella duplice accezione), si sta scoperchiando intanto un bel verminaio. Sta infatti emergendo che le stesse tecniche persuasive sarebbero state usate, o almeno tentate, dal National Enquiry, contro una serie di giornalisti, dell’AP, del Daily Beast, e con Ronan Farrow per i loro reportage su Trump. Inoltre c’è chi pensa che l’accordo per l’immunità preso fra AMI e il Dipartimento di Giustizia possa saltare dopo questa vicenda, con una serie di ulteriori ricadute nel già intricato Russiagate.
Da notare che difficilmente Bezos arriverebbe a essere così esplicito se non avesse in mano qualcosa sui sauditi e la connessione con AMI/Trump; forse ha già passato quello che ha alle autorità, nota qualcuno. Del resto nel post parla di “indagini”, plurale.
Come hanno ottenuto i messaggi?
Secondo lo stesso WashPost (che sul tema è fonte ben informata), il team di Bezos ritiene possibile che una “entità governativa” abbia avuto accesso ai messaggi di Bezos, e come ha detto qualcuno, è una dichiarazione non da poco. Ma quale entità? Una agenzia americana “deviata”? I sauditi? E come li hanno ottenuti? E che messaggi erano, inviati come? I primi articoli parlavano genericamente di sms ma erano molto poveri di informazioni. Per ora ci sono solo tante, diverse ipotesi. La più banale: è stato violato un account di lei (social, o mail o icloud ecc) da qualcuno che ha semplicemente trovato il suo indirizzo mail e la sua password in un vecchio leak di database (l’ipotesi presuppone che lei abbia riusato le stesse password - via Errata Rob). La più inquietante e telenovelistica: ci sono arrivati sempre dal telefono di lei, ma attraverso il fratello, Michael Sanchez, un sostenitore di Trump, per di più legato a suoi alleati, tra cui Roger Stone, consulente del presidente, finito in manette a gennaio nell’ambito dell’inchiesta sul Russiagate. Poi ci sono ipotesi più tecniche: se davvero hanno usato gli sms, questi sono vulnerabili a un attacco noto come SS7, accessibile da governi, telco (quindi anche attraverso loro dipendenti corrotti), criminalità informatica. Oppure, se hanno usato altri sistemi di messaggistica più protetti, c’è l’ovvia ipotesi che i loro dispositivi siano stati attaccati (anche se sembrerebbe esclusa da de Becker), magari con un malware e un exploit zeroday (che non mancano né ad agenzie americane, né a quelle saudite. Sulla politica cyber di spionaggio e sorveglianza dei sauditi vedete qua in newsletter).
Le reazioni
Infine, Bezos ha ricevuto un quasi unanime plauso da sostenitori e critici per il modo in cui ha reagito. Molti ricordano che questo genere di ricatti può portare alcune persone fino al suicidio, specie quando sono molto più vulnerabili di uno come lui. Curiosamente, non c’è stato victim-blaming, colpevolizzazione della vittima, questa volta. Forse perché la vittima è un uomo, ricco e potente. E per tutti gli altri? Qualcuno spera che ora ci possa essere più attenzione al tema (Benjamin Wittes). Non sarà l’ora di disinnescare culturalmente questo genere di ricatti? si chiedono i più giovani e svegli.
Qui un report sulle sextortion.
Thread di riflessioni sul caso (Leigh Honeywell)
Qui Vox sul possibile ruolo di Roger Stone nei leak contro Bezos
L’analisi di The Intercept (molte interessanti riflessioni, ma uno sguardo più politico alla questione privacy)
SORVEGLIANZA 1
SMARTWATCH E BAMBINI, ANCHE NO
La Commissione europea ha ordinato il richiamo di uno smartwatch per bambini che permetteva a malintenzionati di individuare l’esatta posizione del suo possessore o addirittura di comunicare con lo stesso. Un rischio serio, ha valutato la Commissione, che ha mandato degli alert agli Stati membri poiché il dispositivo non rispetta la direttiva sulle apparecchiature radio (RED). Lo smartwatch in questione si chiama Safe-KID- One, prodotto dall’azienda tedesca Enox, ed è pubblicizzato dal produttore come uno strumento per tenere un occhio sui bambini e aumentarne la sicurezza. Ma per la Commissione l’app mobile che accompagna lo smartwatch usa comunicazioni non cifrate con i server, ed è possibile accedere in modo non autenticato al dispositivo. Ciò significa che un attaccante può inviare comandi a uno qualsiasi di tali smartwatch, può fargli chiamare un numero a scelta, può comunicare con il bambino o localizzarlo via Gps. Per tutti questi motivi è partito il richiamo attraverso RAPEX, il sistema di allerta europeo e di intervento immediato sul mercato che garantisce il ritiro di prodotti pericolosi per i consumatori. Secondo Chtistian Bernieri, è la prima volta che il RAPEX richiama un prodotto considerato pericoloso in termini di protezione dati e privacy. (The Register)
Che gli smartwatch per bambini siano problematici da molti punti di vista, a cominciare dalla sicurezza, lo aveva già segnalato a fine 2017 una organizzazione no-profit norvegese - il Norwegian Consumer Council - che aveva analizzato quattro modelli. I quali erano risultati inefficienti, inaffidabili, privi di elementari protezioni, irrispettosi dei dati degli utenti e per di più pure a rischio di essere facilmente violati da un attaccante (La Stampa- archivio)
Qualche mese prima, invece, in Germania l’Autorità garante delle telecomunicazioni aveva messo al bando Cayla, una bambola interattiva. Che era accusata di poter essere abusata per registrare e trasmettere di nascosto conversazioni private. E come tale violava la sezione 90 della legge nazionale sulle telecomunicazioni. Per cui chi l'aveva doveva distruggerla. (La Stampa – archivio)
SORVEGLIANZA 2
HOMELESS E DATI
Sono circa 7500 i senzatetto che vivono a San Francisco. Un numero elevato, in cui alle tradizionali cause che portano a una vita homeless (problemi di salute fisica e mentale, abusi di sostanze, povertà ecc) si aggiungono gli affitti stellari della zona, provocati dal fiorire di aziende tech. Da alcuni mesi la città ha deciso di affrontare il problema con un approccio molto Silicon Valley e un programma digitale, chiamato ONE System, che intende tracciare e monitorare ogni clochard dell’area, raccogliendo tutta una serie di informazioni che dovrebbero aiutare a fornire servizi e aiuti mirati. Ma i primi risultati non sono incoraggianti, anche perché la raccolta di informazioni su queste persone si scontra contro la loro diffidenza rispetto a un’attività che interpretano come sorveglianza. Hanno ragione?
ONE System, realizzata dalla startup BitFocus, mette insieme dati da 15 diverse agenzie statali. Inoltre gli homeless avvicinati devono rispondere a 17 domande che dovrebbero permettere di valutare la loro situazione, domande che vertono su salute, tempo passato in strada e altre loro vulnerabilità. Tutto ciò, insieme ai posti frequentati dagli stessi, viene poi usato per creare un profilo digitale dell’individuo. Ma come nota Bloomberg il programma resta un po’ inquietante. E quali assicurazioni ci sono che i dati raccolti non possano essere usati contro queste persone? Non ci sono, in realtà.
E gli esempi del fatto che qualcosa possa andare storto non mancano. Nel 2017 in Gran Bretagna il ministero dell’Interno (Home Office) ha usato i dati sugli homeless raccolti dalla autorità metropolitana di Londra (Gretaer London Authority) per individuare chi era da espellere. Lo stesso sembra essere accaduto con le informazioni raccolte da una organizzazione caritatevole che aveva mappato dove dormivano i clochard (Guardian).
Proprio a San Francisco, nel 2017, sono stati usati dei robot (prodotti dall’azienda californiana Knightscope e usati dall’organizzazione animalista San Francisco SPCA) in funzione ronde anti-homeless, per tenere le strade sgombre da accampamenti di fortuna (Business Insider, archivio). Anche se va detto che si è trattato di una iniziativa privata e per fortuna i responsabili sono stati anche multati dal comune (li potete vedere qua i simpatici robottini, peccato che il loro uso non fosse affatto simpatico). Per altro alcuni homeless non l’avevano presa bene e avevano rovesciato della salsa barbecue sui loro sensori (Guardian, archivio). Tra luddismo e cyberpunk, insomma.
Alcune settimane fa l’organizzazione in difesa degli homeless Right 2 Survive, dell’Oregon, ha denunciato una crescente tendenza al vigilantismo verso i senza fissa dimora. E in particolare il programma della Montavilla Iniziative, che si era messo a mappare e sorvegliare sistematicamente gli accampamenti di queste perone, per poi passare i dati alla polizia e farle sgombrare. Con tanto di liste di veicoli e persone sospette, di app mobili con cui scattare foto e riportare segnalazioni e via dicendo. Un’attività che porta ad arresti e sgomberi.
Come si può dunque ben vedere da questi esempi mettere in piedi un programma di raccolta dati e profilazione di categorie vulnerabili, anche quando sulla carta ci siano ottime intenzioni (a qualcuno in Italia stanno fischiando le orecchie, vedi più sotto), è sempre un’attività problematica e a rischio di abusi. A meno di non essere sicuri che esistano delle salvaguardie per cui quei dati non possano essere usati contro gli stessi soggetti su cui sono prelevati. Come ricorda Right 2 Survive il problema della crescita degli homeless ha a che fare con i tagli ai programmi di salute mentale e all’assenza di una politica abitativa per fasce più deboli. Prima di fare i maghi dei dati, si potrebbe partire dai fondamentali.
SORVEGLIANZA 3
RICONOSCIMENTO FACCIALE
San Francisco vuole metterla al bando
Una proposta di legge di un membro dell’assemblea legislativa della città di San Francisco vuole mettere una moratoria sull’uso del riconoscimento facciale da parte del governo locale. Sarebbe la prima messa al bando di questo tipo negli Stati Uniti. La Stop Secret Surveillance Ordinance vieterebbe a tutti i dipartimenti della città di usare tali tecnologie, richiedendo l’approvazione specifica del Consiglio dei Supervisori (il consiglio comunale, più o meno) per l’acquisto di nuovi apparati di sorveglianza. L’ordinanza regolerebbe solo l’utilizzo da parte di enti pubblici, non quello privato. Altre città come Berkeley e Oakland hanno già approvato regole simili, che però si limitano a richiedere una consultazione pubblica o una policy sulla privacy prima di implementare certe tecnologie; non si arriva cioè fino al divieto. Anche se delle proposte di messa al bando si trovano, a uno stadio preliminare, nello stato di Washington e in quello del Massachusetts. La differenza è che la proposta di San Francisco potrebbe diventare operativa già ad aprile e aprire una stagione di maggior ostilità (o anche solo di attenzione) all’uso indiscriminato del riconoscimento facciale da parte delle autorità. L’ordinanza della città californiana stabilisce anche che un dipartimento che voglia comprare un qualsivoglia sistema di sorveglianza - da videocamere CCTV a lettori delle targhe - debba presentare al consiglio comunale una policy sulla sorveglianza, ovvero spiegare quali informazioni saranno raccolte, per quanto tempo saranno conservate, con chi verranno condivise, dove è possibile presentare rimostranze, e quali usi sono esplicitamente autorizzati e quali proibiti. Oltre a una serie di audit, di controlli periodici per verificare che tali tecnologie siano usate propriamente. Insomma, l’abc del futuro dei nostri diritti minimi. Da seguire (The Verge; o The Atlantic)
Intanto la città di Seattle pubblica la master list of surveillance technologies utilizzate.
SORVEGLIANZA 4
Software predittivi in UK
Almeno 14 forze di polizia in Gran Bretagna hanno usato software predittivi o stanno pianificando di farlo, denuncia l'associazione Liberty, che ha ottenuto i dati attraverso una serie di richieste di accesso all'informazione.
Il rapporto di Liberty si concentra su due tipi di software. I primi sono quelli di mappatura predittiva (predictive mapping), che individuano zone più a rischio e aumentano i controlli sulle stesse. I secondi - più inquietanti - sono quelli di valutazione del rischio individuale (individual risk assessment) che tentano di predire la probabilità che un individuo possa commettere un'offesa (o anche essere vittima di un crimine). Uno dei software più noti del primo tipo (predictive mapping) viene realizzato da un'azienda americana, PredPol.
Mentre un programma del secondo tipo, usato da alcune polizie locali britanniche, si chiama HART, e raccogliendo vari dati (anche dal data broker Experian), attraverso il machine learning, dà un punteggio a una persona sulla possibilità che torni a delinquere nei successivi due anni. HART è stato sviluppato dal Centre for Experimental Criminology dell'istituto di Criminologia dell'università di Cambridge (come si trova scritto sul sito della stessa università).
Ad ogni modo, per Liberty tali programmi possono portare a politiche e strategie discriminatorie, tanto più che c'è una grave assenza di trasparenza sugli stessi. "Questi opachi programmi usano algoritmi per analizzare grandi quantità di dati della polizia già viziati in partenza, identificando schemi e adottando un approccio di gestione della sicurezza basato su una profilazione discriminatoria", scrive Liberty.
BBC
Il rapporto di Liberty
SICUREZZA E PASSWORD
Arriva un’estensione di Chrome per controllare la password
Con tutti i milioni di indirizzi email e password che circolano per la Rete - le più vecchie delle quali sono ormai date via come briciole ai piccioni, vedi le scorse edizioni di questa newsletter, ad esempio la vicenda delle varie Collection (raccolte) di database scambiate e condivise online - arriva con grande tempismo un nuovo servizio di Google.
Si tratta di una estensione del browser Chrome di nome Password Checkup. Permette di controllare - ogni volta che un utente immette le proprie credenziali in un sito qualsiasi - che queste non siano presenti in un possente archivio di 4 miliardi di credenziali compromesse, archivio che ha raccolto la stessa Google. Se è in quel mega database, Google ti avvisa di cambiarle. L'estensione va dunque a chiudere una delle vulnerabilità più diffuse e legate al comportamento delle persone: l'uso (o il riuso) di password ormai violate. E la pratica usata da vari cybercriminali di provare a usare l'abbinamento (la combo) di una email e password trovata su un sito violato su altri siti (proprio perché gli utenti tendono a riusarle).
Ovviamente una estensione del genere solleva molte criticità a livello di sicurezza e privacy. Google ha risposto sviluppando un sistema, insieme alla Stanford University, che mette assieme diversi strati di cifratura, hashing e tecniche di anonimizzazione. Insomma Google non "legge" le vostre password. Per i dettagli tecnici rimando al post di Google o anche Wired.
Qui il blog-comunicato di Google invece
Qui l'estensione Password Checkup
AGGIORNATE IPHONE/MAC
Apple ha rilasciato un importante aggiornamento di sicurezza che chiude la falla di FaceTime ma anche altre vulnerabilità zeroday, che erano sconosciute ma già in uso da parte di attori malevoli. Dunque aggiornate. (The Hacker News)
INTERNET OF SHIT
Ti stacco il frigo con un clic
Migliaia di frigoriferi industriali connessi a internet possono essere facilmente sbrinati con un comando da remoto da un attaccante. È quanto scoperto da alcuni ricercatori, secondo i quali 7mila frigoriferi dotati di un sistema di controllo della temperatura prodotto dalla azienda britannica Resource Data Management sono accessibili da internet e possono essere controllati semplicemente immettendo le credenziali di default che si trovano nella documentazione sul sito aziendale. Tale sistema è usato da ristoranti, ospedali, e supermercati in Gran Bretagna, Irlanda, Svezia, Germania e Cina. (Techcrunch)
(Internet of shit si riferisce alle meraviglie dell’internet delle cose, e a questo account Twitter imperdibile)
APPS
Molte troppe app per iPhone registrano tutto quello che fate con la app sullo schermo facendo anche screenshot (TechCrunch)
PRIVACY DE’ NOANTRI
Il reddito, la privacy, e il Garante
Il sito e il meccanismo alla base del Reddito di Cittadinanza è un enorme punto interrogativo sulla privacy, con rischi non valutati adeguatamente né mitigati. Anche perché concentra dati delicati, monitora gli acquisti e presenta varie criticità. Il Garante della Privacy dà una bastonata al neonato provvedimento simbolo del governo (qua la memoria del Garante)
Vedi anche Motherboard Italia.
CYBERCRIMINE
Due gruppi principali dietro ai furti di bitcoin
"Due gruppi di hacking professionali" sono responsabili della maggioranza (il 60 per cento) dei furti e degli attacchi informatici a danno di exchange e altre organizzazioni legate alle criptovalute e finora avrebbero generato la bellezza di 1 miliardo di dollari di ricavi per loro stessi. Lo sostiene un rapporto della società di analisi dei dati di Bitcoin e sorelle, Chainalysis. I due gruppi, chiamati Alpha e Beta, tendono a fare moltissime transazioni con la refurtiva per far perdere le tracce. In media muovono i fondi 5mila volte. Nella descrizione dei due gruppi, Alpha è il più rilevante, attento a nascondersi e impegnato da obiettivi non necessariamente economici. Beta invece è più rozzo e più focalizzato sui soldi.
Chainalysis
Bitcoinmagazine
HUAWEI E ITALIA
Il governo italiano tira dritto sul 5G, nessuna preoccupazione per Huawei (mio tweet)
APPROFONDIMENTI
Comprendere la strategia sull’AI della Cina (bello, da leggere)
Cnas
Il consenso attraverso i termini di servizio è davvero consenso? Noi, la privacy, e le piattaforme (NYT)
PODCAST
Nel podcast Risky Business parla l’ex consigliere alla cybersecurity di Trump, Rob Joyce (Risky Business)
Ti è piaciuta? Inoltrala a chi potrebbe essere interessato.
Per iscriversi a questa newsletter: https://tinyletter.com/carolafrediani
Se vuoi mandarmi suggerimenti basta rispondere.
Buona domenica!