[Guerre di Rete - newsletter] Disinformazione statale su Twitter

Internet blackout; spyware contro giornalisti; rivolte contro il riconoscimento facciale; Facebook e i nostri dati

Guerre di Rete - una newsletter di notizie cyber
a cura di Carola Frediani
N.58 - 2 febbraio 2020

Oggi si parla di:
- censura e internet blackout
- disinformazione statale
- spyware
- riconoscimento facciale
- Facebook e i nostri dati
- e altro

CENSURA
Il blackout record del Kashmir
In Kashmir da agosto quasi otto milioni di persone sono tagliate fuori da Internet. “L’India, la più grande democrazia del mondo, è uno dei paesi dove la pratica dei tagli mirati all’accesso a internet è più diffusa: l’anno scorso ce ne sono stati quasi cento”, racconta Luca Tancredi Barone sul manifesto. “Questa settimana, costretto da una sentenza del Tribunale supremo, il governo indiano ha fatto un piccolo passo indietro, riaprendo i collegamenti ma solo con una lista di 301 pagine web (fra cui alcune pagine di servizi, un paio di motori di ricerca, una manciata di media e qualche web di intrattenimento); molti media indiani sono ancora censurati, così come tutte le reti sociali. I dati dei telefoni sono limitati alla lenta rete 2G, una velocità a cui è difficile persino accedere all’e-mail, e a casa il Wi-Fi è ancora una chimera”.
Come dicevo a Luca nell’articolo, purtroppo negli ultimi anni c’è una tendenza crescente di molti Stati a censurare/bloccare internet in modo selettivo, mirato, su specifiche regioni e in certi momenti, per silenziare o depotenziare manifestazioni, proteste e contestazioni. L’Internet Shutdown Tracker monitora questi episodi in India. A livello globale, si è passati da 75 shutdown nel 2016 a 196 nel 2018, secondo i dati di Access Now.
Intanto, in India, si è impennato l’uso di VPN da parte degli abitanti, anche se la loro diffusione richiede uno sforzo particolare - Vice

SPYWARE
Attaccato un giornalista americano
Il giornalista del New York Times Ben Hubbard è stato preso di mira da un attaccante che avrebbe usato lo spyware, il software spia, Pegasus, prodotto dalla israeliana NSO, sostiene un report di Citizen Lab, noto centro di ricerca che dà la caccia a spyware, specie di origine governativa. L'uomo aveva ricevuto, nel giugno 2018, un messaggio SMS che prometteva dettagli su "Bun Hubbard e la storia della famiglia reale saudita". L'SMS conteneva un link a un sito che sarebbe stato usato da un operatore del software Pegasus (che NSO vende ai governi a fini di indagine), sostengono i ricercatori. Questo operatore, che significativamente è stato soprannominato KINGDOM, sarebbe collegato all'Arabia Saudita.

Chi è Hubbard
Hubbard è il corrispondente da Beirut del New York Times, e prima di quel ruolo ha scritto per anni sull'Arabia Saudita e sul suo principe ereditario Mohamed Bin Salman (MbS), mostrando "l'implacabile consolidamento di potere del principe", secondo le parole usate dello stesso Times al tempo della promozione del giornalista.

Il contesto dei dissidenti sauditi
Difficile non pensare, se avete letto il mio approfondimento sulla vicenda Bezos della scorsa settimana, alla campagna di spyware che aveva preso di mira una serie di dissidenti sauditi proprio nel maggio-luglio 2018 e di cui raccontavo a margine della storia principale. E infatti è il report stesso a ricordarlo: "Nel 2018 KINGDOM ha preso di mira anche dei dissidenti sauditi tra cui Omar Abdulaziz, Ghanem al-Masarir, e Yahya Assiri, oltre a un membro di Amnesty International" sostiene il report. "Sempre all'interno della nostra continua indagine sulle minacce contro i giornalisti, il Citizen Lab ha anche identificato delle prove che suggeriscono come l'operatore di Pegasus (ovvero KINGDOM, ndr) potrebbe avere infettato delle vittime mentre si spacciava per il Washington Post nelle settimane subito prima e dopo l'uccisione di Khashoggi nel 2018. Non c'è coincidenza tra questa attività e gli eventi riportati relativi al telefono di Jeff Bezos" (ribadisco, se non lo avete fatto vi consiglio di leggere prima la storia su Bezos, Khashoggi e l'Arabia Saudita di cui avevo scritto la scorsa settimana).

Riassumendo: secondo questi ricercatori, nello stesso periodo in cui almeno 3 dissidenti sauditi e un membro di Amnesty che stava in Arabia Saudita erano attaccati da uno spyware, un giornalista del NYT era anche preso di mira. Nel mentre gli attaccanti fingevano di essere qualcuno connesso al Washington Post per infettare le vittime. Non ci sono prove che questa campagna abbia collegamenti con il presunto hack del telefono di Bezos.

La descrizione dell'attacco
L'SMS, in arabo, aveva un link a un apparente sito di news, arabnews365[.]com, mandato da un mittente dal nome Arabnews. Hubbard non ricorda di aver cliccato e Citizen Lab non è in grado di determinare se il telefono sia stato infettato. Dunque perché sostengono che il link sia collegato al software Pegasus? Perché, almeno secondo il report, il dominio arabnews365[.]com, al momento dell'invio dell'SMS, sarebbe stato parte dell'infrastruttura di Pegasus (In precedenti report, il Citizen Lab aveva pubblicato una descrizione tecnica di come avrebbe identificato l'infrastruttura dello spyware, ovvero i domini web e i server che sono usati per veicolarlo o inviare comandi ai dispositivi infettati).

La replica di NSO
Dal suo canto, NSO ha replicato dicendo che la sua tecnologia è progettata solo per essere usata da clienti per combattere terrorismo e altri crimini. Che investiga sempre le accuse di eventuali abusi. Che è sbagliato presumere che ogni chiamata non risposta, SMS o videochiamata sia Pegasus. Che altre aziende forniscono strumenti simili. "Che malgrado gli sforzi di Citizen Lab di accusare NSO come reponsabile per ogni presunto abuso di cyber intelligence, NSO è orgogliosa del suo lavoro per le forze dell'ordine", riferisce il Guardian.

Qui il racconto dello stesso Hubbard sul NYT.

RICONOSCIMENTO FACCIALE
C'è chi vuole vederci chiaro in Clearview
Clearview AI, l'azienda che - si era scoperto due settimane fa - aveva ammassato 3 miliardi di foto raccolte da Facebook, YouTube, e altri social media, per creare uno strumento di riconoscimento facciale da vendere alle forze dell'ordine (e a privati), ora si trova a dover affrontare le prime reazioni, anche legali. Twitter le ha mandato una ingiunzione, dicendo che la raccolta (scraping) di foto dal suo sito viola i propri termini di servizio, e che quindi deve cancellare i dati raccolti e cessare ogni altra attività di quel tipo. Mentre il procuratore generale del New Jersey ha mandato una nota alle forze dell'ordine dicendo di smettere di usare quel software (Buzzfeed)

Intanto, 40 organizzazioni americane chiedono in una lettera al governo di mettere al bando le tecnologie di riconoscimento facciale. La lettera cita proprio il caso di Clearview che era stato scoperchiato dal NYT.

Siamo davanti a uno slittamento nella percezione di questa tecnologia? Technology Review nota che non si parla più solo del rischio di pregiudizi verso alcune categorie ma anche di usare tali tecnologie tout court. Del resto abbiamo visto che l'Unione europea sta timidamente considerando una moratoria di 5 anni per studiarne i rischi. Negli Usa il candidato democratico Bernie Sanders è per un ban totale da parte della polizia. Nello Stato di Washington c'è una proposta di legge per regolare il riconoscimento facciale negli spazi pubblici. Città come San Francisco e Somerville hanno vietato l'uso di tale tecnologia da parte delle autorità locali.

Resistenza anche da parte dei campus americani. Crescono le università che hanno dichiarato di non volerlo usare (qui una lista tenuta da un gruppo che si chiama proprio: Stop al riconoscimento facciale nei campus). Tra le adesioni quella della Stanford University e della University of San Francisco che ne hanno terminato l'utilizzo. O la University of Southern California che ha riconosciuto come gli studenti non volessero questa tecnologia nei dormitori.
Times Higher Education

Nel mentre Facebook ha concordato di pagare 550 milioni di dollari per chiudere un’azione legale in Illinois secondo la quale l’azienda aveva violato le leggi locali sul riconoscimento facciale attraverso la funzione sul suggerimento di tag, perché non avrebbe pubblicato una policy, né avrebbe avuto una tempistica sul tempo di conservazione o linee guida per la distruzione di identificativi biometrici, come previsto dalla legge statale, una tra le più avanzate negli Usa in materia.
Zdnet

DISINFORMAZIONE
Analisi comparata dell’evoluzione di campagne statali
Come sono evolute nel corso degli anni 6 operazioni di disinformazione statale su Twitter. Lo descrive la ricercatrice Alexa Pavliuc in una analisi finanziata dalla Mozilla Foundation. A essere presi in considerazione sono stati Egitto ed Emirati (assieme, nel senso che si ritiene ci sia lo stesso soggetto dietro alle operazioni osservate); Ecuador; Russia; Venzuela; Iran e Cina, e i dati scaricati da Twitter, che ha messo a disposizione dei ricercatori un archivio con le operazioni di disinformazione statale che ritiene aver individuato sulla propria piattaforma dal 2016.

Le operazioni studiate sono iniziate circa dieci anni fa, e col tempo hanno cambiato lingue, strutture e hashtags. Ci sono Paesi, come Egitto ed Emirati o Ecuador che sono rimasti concentrati sulla propria lingua, mentre altri - Russia, Venezuela, Iran, Cina - che hanno twittato anche in altre lingue, come inglese e indonesiano. Nella maggior parte dei casi, le operazioni iniziano con hashtags innocenti (#followme,#felizmartes,, #noticias, #news) per rafforzare la propria presenza, raccogliere follower, per poi passare ad hashtag più politici legati a dei picchi di attività come #deleteisrael, #blacklivesmatter, #maga, #HongKong.
Cina
C'è poi una suddivisione tra account vecchi, più longevi, e account nuovi. Ad esempio, la Cina ha usato account inautentici fin dal 2009, e twittavano in modo innocuo (con hashtag come #travel ecc). Per le campagne su Hong Kong gli operatori umani hanno deciso di impiegare account nuovi, e una parte sola di quelli vecchi, tenendosi una riserva per altro. Anche se l'attenzione richiamata con il tam tam su Hong Kong ha portato a far smantellare, da parte di Twitter, tutta la rete.
Russia
Il caso della Russia analizza le attività dell'IRA, l'Internet Research Agency, la fabbrica di troll emersa con le elezioni americane del 2016. Le operazioni dell'IRA hanno coperto lingue diverse. All'inizio gli account inautentici twittavano in russo, con un picco di attività nel 2014, quando l'aereo di linea MH17 fu abbattuto da un missile di fabbricazione russa mentre era in volo sopra l'Ucraina. A essere spinto era l'hashtag che tradotto significava "Kiev ha abbattuto il Boeing". Nel 2015 le attività sono evolute verso l'inglese e sono emersi poi gli hashtag #maga e #blacklivesmatter usati nel 2016. L'IRA ha anche twittato in tedesco, italiano e arabo fra il 2015 e il 2017, scrive la ricercatrice. L'IRA ha anche usato account più vecchi, del 2013, per sostenere le attività più critiche legate alle elezioni americane.
Egitto ed Emirati
Il caso dell'Egitto e degli Emirati Arabi Uniti è interessante perché dietro le operazioni di influenza individuate ci sarebbe una stessa azienda tecnologica. Gli account inautentici prendevano di mira soprattutto il Qatar e altri Paesi come l'Iran. Come la Russia, hanno anche attivato account vecchi per le campagne più recenti, ma quelli di Egitto ed Emirati sembrerebbero essere stati comprati.
Iran
In Iran il picco delle attività è stato nel 2017. In queste operazioni gli account più vecchi twittavano hashtag in diverse regioni e in diverse lingue, una tattica in comune con Cina e Russia.

FACEBOOK E PROFILAZIONE
Off-Facebook: la tua attività fuori dal social che arriva al social
La profilazione e il passaggio di dati tra entità diverse sono così invisibili e pervasive che non mi ero mai resa conto di un dettaglio: l’app che ho sullo smartphone per fare acquisti alle macchinette del caffè e di altri generi di conforto trasmette dati a Facebook. Non ci avevo pensato perché non avevo usato il login via Facebook, né il sito del servizio, né ricordo di aver letto di connessioni nelle condizioni d’uso della app. Ad ogni modo questo è quello che avviene: la mia app trasmette quello che mangio e bevo (ma a che livello di dettaglio?) a Facebook (che ora sa che quanto ami il caffé, o le noci…). Nulla di trascendentale, ma a livello psicologico molto istruttivo.
Tutto nasce da una nuova sezione di Facebook - Off-Facebook Activity - che ora ti dice chi, fuori da Facebook (un sito, una app, una società), condivide i tuoi dati con il social network.
“L'attività fuori da Facebook è un riepilogo delle attività che le aziende e le organizzazioni condividono con noi relativamente alle tue interazioni, ad esempio quando visiti i loro siti web o utilizzi le loro app”, scrive Facebook. “Le interazioni sono le tue azioni su un'app o un sito web. Includono: l'apertura di un'app; l'accesso a un'app tramite Facebook; la visualizzazione di contenuti; la ricerca di un articolo; l'aggiunta di un articolo al carrello; un acquisto; una donazione”
Lo fa attraverso tre strumenti di Facebook per le aziende: il pixel di Facebook, l'SDK di Facebook e Facebook Login. Il Facebook Login è il più evidente, ed è probabilmente alla base di molti dei siti che troverete nella sezione Off-Facebook Activity. Ma il pixel e l’SDK sono probabilmente meno visibili, e saranno quelli che vi faranno dire: ah davvero questa app sta passando i miei dati a Facebook? Troverete app di fitness, se le usate, e app che vedono quello che mangiate.
“Ma in questo caso poco si può recriminare a Facebook”, commenta a Guerre di Rete Matteo Flora, ad di The Fool ed esperto di social media. “Il compito di segnalare l’utilizzo o meno di un tracciante è dello sviluppatore della app o del sito web, che spesso e volentieri omettono di farlo. Il problema vero è anche che se conoscere la presenza di un tracciante su un sito web è semplice, ritrovarla in una applicazione è ben più complesso e non certo alla portata di tutti. Probabilmente è questo il ragionamento che ha spinto Facebook a questa nuova funzionalità, che rimette i dati nelle mani dei proprietari”.
Qui la sezione di Facebook che vi consiglio di visitare (e si può disattivare l’attività futura): https://www.facebook.com/off_facebook_activity/activity_list
Vedi anche SkyTg24

CYBERSICUREZZA E IOT
Nuove regole per gli apparecchi IoT?
Una legge in discussione in UK richiede che gli apparecchi IoT (Internet of Things, insomma dalle videocamere al frigo connesso) venduti nel Paese in futuro debbano seguire 3 regole particolari:
- le password devono essere uniche e non si può fare un reset a impostazioni di fabbrica universali
- i produttori devono fornire un punto di contatto pubblico per poter riportare vulnerabilità e agire in base alle segnalazioni
- i produttori devono esplicitare l’arco temporale minimo in cui l’apparecchio continuerà a ricevere aggiornamenti di sicurezza
Zdnet

CYBERSICUREZZA E AV
I dati di Avast
L’antivirus Avast raccoglie i dati delle attività online degli utenti e tramite la sussidiaria Jumpshot li rivende alle aziende. Sebbene anonimizzati, da questi i colossi del Web potrebbero risalire all'identità delle persone, scrive Repubblica citando lo scoop di Motherboard e PGMag (inglese). Avast ha poi annunciato “l'intenzione di interrompere la fornitura di dati alla sua controllata Jumpshot e avviarne anche la liquidazione”.

AIRBNB
La breve vita dell'emendamento anti-Airbnb
Presentato alla Camera da due deputati Pd, è già stato ritirato. Conteneva una serie di strette per chi affitta per breve tempo: numero massimo di notti, tetto sulle licenze, possesso di partita Iva.
“L’emendamento del Pd non è che l’ultimo capitolo di una questione che tiene banco da anni, e che vede contrapposte due fazioni ben distinte. Al centro soprattutto il tema delle tasse: è stimato che la sola Airbnb valga l’11% dell’ospitalità italiana, ma che al Fisco entri poco nelle tasche”, scrive Wired.
Che prosegue: “Federalberghi è in prima fila nella battaglia e chiede una stretta da anni. Recentemente ha stimato che solo nella città di Roma ci sarebbero 1,4 miliardi di sommerso generati dalle piattaforme. Ma anche i comuni italiani più gettonati dagli affitti brevi hanno iniziato a fare ipotesi per delineare un perimetro d’azione definito. La preoccupazione è che sempre più proprietari, essendo un’attività profittevole, decidano di mettere su piazza la propria casa. Diminuendo l’offerta degli affitti a lungo termine, molto richiesti soprattutto nelle grandi città”.

PRIVACY E MULTE
Garante avanti tutta
Dal Garante Privacy multa da oltre 27 milioni di euro a Tim per marketing illecito. Sotto accusa chiamate promozionali indesiderate effettuate senza consenso, anche a 'non clienti' e utenti che avevano cancellato il nome dagli elenchi. Emerge il mancato controllo sull'attività dei call center: una persona ha ricevuto in un mese 155 chiamate. Per il Garante le violazioni hanno interessato nel complesso milioni di persone, scrive Rainews.

IL GRUPPO DI LAVORO
Odio online, via alla prima task force di governo
“Il gruppo di lavoro avrà una durata di tre mesi, durante i quali potrà invitare a partecipare soggetti pubblici o privati al fine di acquisire informazioni e spunti. Al termine verrà stilata una relazione conclusiva contenente i risultati dell’analisi e una o più proposte concrete per contrastare l’odio online”, scrive Il Corriere delle Comunicazioni.

LETTURE

CAPTATORI
Captatore informatico, le norme partono a luglio 2020: ecco gli impatti
Slittano da gennaio a luglio le nuove norme sui trojan di Stato. L’auspicio è che quando le norme entreranno in vigore il sistema si sia strutturato per evitare i casi di perdite di dati, abusi e diffusioni illecite che, avevano previsto anni fa e che si sono puntualmente verificati, scrive Stefano Aterno su Agenda Digitale

CORONAVIRUS E DISINFORMAZIONE
La disinformazione sul Coronavirus e cosa sappiamo finora
Valigia Blu

Coronavirus, il video delle persone svenute per strada e il rischio di diffondere contenuti non verificati
Valigia Blu

Il coronavirus sta scatenando la fantasia dei complottisti
Se mettiamo insieme un'emergenza sanitaria globale, del giornalismo scadente, la tuttologia che impera sui social e un pizzico di razzismo il risultato è la bomba di disinformazione a cui stiamo assistendo sul corona virus
Il manifesto

Le news non verificate sul coronavirus alimentano la sinofobia
Cina, coronavirus e Italia. È  inaccettabile che la sinofobia finisca per essere istigata da un sistema dell’informazione che, specie in casi come questi, dovrebbe garantire fatti, fonti e dati verificabili e non appoggiati su supposizioni
Il manifesto

EDUCAZIONE AL DIGITALE
In Finlandia insegnano a difendersi dalla disinformazione sin dalla scuola primaria
Valigia Blu

ECOMMERCE
La rivoluzione "dietro le quinte" che sta per cambiare l'ecommerce in Europa
Bruxelles vuole limitare lo strapotere delle piattaforme come Amazon, Booking e Tripadvisor. Da luglio ranking e clausole più trasparenti per aiutare le pmi. Un approfondimento di Wired Italia. Che scrive: “Alessandro Nucara, direttore generale di Federalberghi (associazione di categoria), ricorda “l’esempio eclatante del programma preferiti di Booking. Il consumatore è portato a pensare che siano i preferiti dai clienti, mentre si paga per stare lì dentro, almeno il 5% in più di commissioni. Tanto che a Rapallo un gruppo di hotel, praticamente la maggior parte, è uscito dal programma, poiché essendo tutti dentro, non c’era nessun beneficio”. Così, sommando le commissioni per scalare il ranking, l’iscrizione a questi portali “arriva a pesare anche il 25%-30% dei ricavi” che un albergo ne trae, commenta Nucara”.

(PS Con chi vuole ci vediamo a Torino il 7 febbraio per la seconda tappa del Premio Galileo e la presentazione dei libri finalisti, tra cui il mio #Cybercrime)

Ti è piaciuta la newsletter? Inoltrala a chi potrebbe essere interessato!
E’ gratuita, indipendente, senza sponsor, mandanti o agende altrui, e si diffonde col passaparola dei suoi stessi utenti.
Come viene fatta questa newsletter (e come leggerla)
Per iscriversi: https://guerredirete.substack.com/
Buona domenica!