Contro il cyberbullismo nasce il CNAC, un istituto di protezione e prevenzione, completamente gratuito, contro l’uso illecito della rete.

Manca sempre meno all’applicazione del GDPR, il nuovo Regolamento Europeo sulla protezione dei dati personali, che tra i suoi focus principali ha il rafforzamento sulle regole di raccolta dati che riguardano i minori, nonché la previsione di misure di prevenzione e la gestione del fenomeno, purtroppo ormai dilagante, del cyberbullismo.

Il cyberbullismo è un evento (o una serie di prepotenze ripetute) subito online che comporta una diffusione di dati personali della vittima in rete, che porti a “qualunque forma di pressione, aggressione, molestia, ricatto, ingiuria, denigrazione, diffamazione, furto d’identità, alterazione, acquisizione illecita, manipolazione, trattamento illecito di dati personali in danno di minorenni, realizzata per via telematica, nonché la diffusione di contenuti online aventi ad oggetto anche uno o più componenti della famiglia del minore il cui scopo intenzionale e predominante sia quello di isolare un minore o un gruppo di minori ponendo in atto un serio abuso, un attacco dannoso, o la loro messa in ridicolo” (L’art. 1, comma 2, della legge 71/2017).

L’Istituto Italiano per la Privacy e la Valorizzazione dei Dati (IIP), un centro di studi e di advocacy dedicato alle tematiche della protezione e della valorizzazione dei dati personali, dell’informazione e dell’identità in ambito ICT, finanziato da soggetti privati e dall’Unione Europea, ha creato durante lo scorso anno il CNAC: il Centro Nazionale Anti Cyberbullismo.

Questo centro mette a disposizione dei cittadini, a titolo gratuito, specialisti italiani del diritto e della privacy, con l’obiettivo di guidare gli utenti colpiti in qualche modo da bullismo virtuale a reagire alla minaccia.

Il CNAC permette infatti alle vittime, alla famiglia, ai docenti o al cyberbullo stesso, che magari vuole rimediare in qualche modo alle sue azioni, di ottenere gratuitamente consulenze legali, che aiuteranno l’utente a comprendere gli strumenti giuridici a sua disposizione per far fronte alle violenze subite. Le consulenze possono essere offerte da remoto o di persona.

Chiunque si senta in qualche modo coinvolto in atti di cyberbullismo può contattare il CNAC, via mail all’indirizzo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. o telefonicamente al numero verde 80064237. Un operatore prenderà una prima segnalazione e valuterà il tipo di assistenza di cui l’utente necessita, per poi metterlo in contatto con un avvocato qualificato che, gratuitamente, aiuterà le vittime o i bulli a gestire al meglio le situazioni, comunicando coi social network, segnalando i fatti alle autorità competenti o più semplicemente promuovendo l’incontro tra vittima e bullo, così da trovare un accordo senza ricorrere alla giurisprudenza.

Il centro si rivolge a utenti di tutte le età, con particolare attenzioni ai minorenni che potranno essere accompagnati nel percorso di denuncia e anche nella comunicazione con la propria famiglia.

Il CNAC partecipa attivamente, attraverso un programma di Cyber coaching, al progetto del MIUR “Generazioni Connesse”, un’idea nata nel 2016 e finanziata dall’UE, volta a promuovere strategie finalizzate a rendere internet un luogo sicuro per i giovani, insegnando loro un uso consapevole e positivo degli strumenti digitali.

É uscito il nuovo Internet Security report rilasciato da Watchguard e c'è una sorpresa: nella TopTen dei primi 10 scareware, dei software dannosi, inutili, che vengono installati dall'utente quasi inconsapevolmente e che aprono la strada delle proprie macchine ai malintenzionati, troviamo un macOS scareware.

Per tutti coloro che pensavano che i Mac fossero invulnerabili, ecco arrivare quindi una delusione.

Il virus si chiama MAC.OSX.AMCleanerCA e si è classificato in sesta posizione nella classifica Watchguard.

Questo scareware mostra all'utente una pagina HTML nella quale è contenuto l'avviso di un'analisi che avverte di problemi al computer.

Le criticità secondo questo avviso, sono risolvibili scaricando un programma, ovviamente malevolo, dotato di un certificato digitale valido che gli permette di eludere eventuali protezioni. Proprio grazie a questo trucco, probabilmente, il malware riesce a circolare con grande facilità tra gli utenti Mac.

A questo punto il MAC.OSX.AMCleanerCA apre una finestra di attivazione, segnalando u nuomero verde da chiamare che, sebbene sembri fasullo, risulta veramente usato da truffatori: 800-1234567.

Insomma, dopo i problemi di Apple delle ultime settimane, questa forse non ci voleva.

Ecco l'Internet Security report 2018 di Watchguard:

Source: Internet Security Report Q3 2018 (Infographic)

Si presentano come call center e contattano gli utenti a seguito di una loro segnalazione. Tramite Whatsapp chiedono dati come i documenti e l’IBAN. Ovviamente, si tratta di una truffa

Una nuova insidia si presenta ai clienti dei maggiori fornitori di servizi internet (Tim, Vodafone, Wind 3) e questa volta arriva tramite Whatsapp.

La truffa funziona così: un cliente, a seguito di un problema tecnico, apre una segnalazione al suo operatore. Dopo qualche giorno viene contato tramite Whatsapp da un numero non italiano (ad esempio un +355, Albania). Il profilo ha il logo ufficiale Vodafone, Tim o Wind 3 e questo può sicuramente trarre in inganno più facilmente.

L’operatore (o operatrice) si presenta dicendo che la segnalazione è stata presa in carico da un tecnico e chiede se il problema sia stato o meno risolto.

Sia che il guasto sia stato riparato, sia che persista l’operatore richiede che gli vengano inviati i documenti di riconoscimento, in modo da poter chiudere la segnalazione o per gestirla in alta priorità.

Di seguito riportiamo un esempio di queste conversazioni, postata su un forum da un utente:

Il sospetto concreto è che si tratti di una manovra da call center (quelli indipendenti, che vivono di prospect) per imporre agli utenti un cambio di operatore. Pare infatti che, grazie ai documenti e all’IBAN, si occupino di disdire il contratto col vecchio operatore e ne attivino uno nuovo con un altro, così da prendere la percentuale sul contratto firmato.

Rimane da capire come facciano questi call center ad avere l’informazione dell’apertura di una segnalazione di un guasto oltre, ovviamente, al numero di telefono di chi l’ha aperta.

Cadere in questo tipo di truffe è estremamente facile, ecco perché è necessario prestare attenzione e tenere bene a mente che nessuno degli operatori (Vodafone, Tim O Wind 3):

• usa Whatsapp per comunicare disservizi, cambi tariffari, interventi di manutenzione ordinari e/o straordinari
• richiede documentazione aggiuntiva oltre quella già fornita dal gestore della linea all’atto della sottoscrizione (siglando un contratto infatti fornito già la copia dei vostri documenti di cui quindi sono già in possesso)
• MAI si sognerebbe di proporre un’offerta alternativa con un provider in competizione

È buona norma inoltre, nel caso riceveste uno di questi messaggi, sporgere regolare denuncia presso la Polizia Postale.

Qualora aveste dei dubbi una semplice ricerca su Google vi aiuterà a capire meglio la situazione.

Siamo a fine anno ed è ora di tirare le somme: vediamo i peggiori data breach del 2018

Siamo a fine anno e, come ogni anno, è il momento di tiare le somme. Questo vale anche per la sicurezza informatica.

Il 2018 è stato un anno pieno di avvenimenti in campo di protezione dei dati, il più importante fra tutti è sicuramente l’entrata in vigore del GDPR del 25 maggio.

Da quella data sono iniziati a venire fuori le dichiarazioni riferite a diversi attacchi subiti dalle aziende nel corso di questi 12 mesi (o comunque scoperti durante l’anno) che hanno colpito i dati personali di migliaia di persone.

Vediamo la top 10 dei più disastrosi data breach del 2018.

10. Facebook: luglio 2017 - settembre 2018

Per Facebook il 2018 è stato sicuramente un anno nero. I guai passati dal social network sono stati moltissimi e le falle sulla sicurezza dei loro sistemi non sono certo passate inosservate, soprattutto al Parlamento Europeo.

L’accatto al numero 10 della nostra classifica ha permesso ad alcuni malintenzionati di sfruttare vulnerabilità nel codice di Facebook per mettere le mani su “token di accesso” (essenzialmente chiavi digitali che consentono loro l’accesso completo agli account degli utenti compromessi) e quindi a scansionare i dati degli utenti.

Questo data breach si stima abbia causato danni a 29 milioni di utenti.

Ne avevamo parlato qui.

9. Chegg: 29 aprile 2018 – 19 settembre 2018

Chegg è una azienda specializzata in noleggio di libri di testo online (sia in formato fisico che digitale), aiuto per i compiti, tutoraggio online, borse di studio e matching per stage. È pensato per aiutare gli studenti delle scuole superiori e del college.

In questo caso l’azienda è stata violata e sono state sottratti nomi utenti e password. Il danno stimato è di circa 40 milioni di profili violati.

8. Google+: 2015 – marzo 2018, 7 novembre – 13 novembre

Nemmeno il colosso Google è stato risparmiato. Il punto debole, in questo caso, è stato il social Google+ che ha permesso, a causa di un bug, l’esportazione dei dati personali dei suoi utenti.

Il danno stimato è di 52,5 milioni di sottoscrittori violati e la chiusura del social prevista per aprile 2019.

Più info qui.

7. Cambridge Analytica feat. Facebook: anno 2015

Non è stato il caso che ha messo a rischio più utenti in assoluto ma è sicuramente quello che ha destato il maggior effetto mediatico: una app realizzata per definire la personalità di chi la scaricava, chiamata “thisideourdigital life”, trasmetteva impropriamente informazioni degli utenti a società terze, tra cui Cambridge Analytica, un’azienda che pare abbia usato queste informazioni per creare annunci mirati e fake news a sfondo politico, favorendo la vittoria di Trump alle presidenziali USA.

Cosa c’entra Facebook? L’app è stata scaricata da “soli” 270.000 utenti ma, grazie alle politiche di condivisione di informazioni del social, i dati raccolti sono stati, grazie alle connessioni di “amicizia” virtuale, 87 milioni.

Qui ne avevamo parlato meglio. 

6. MyHeritage: 26 ottobre 2017

Il sito MyHeritage, che conserva informazioni sul dna di milioni di utenti per collegarli attraverso le parentele di antenati, è stato attaccato a fine 2017, mettendo a rischio 92 milioni di password e email.

Qui la storia e gli effetti del GDPR.

5. Quora – scoperto nel novembre 2018

Il sito di domande Quora è stato attaccato da alcuni hacker che sono riusciti a entrare nei loro server, ottenendo un accesso non autorizzato.

Le informazioni coinvolte nella breccia alla sicurezza del sito, legate direttamente agli account, sarebbero nome, indirizzo email e IP, password crittografata e dati importati da reti collegate dagli utenti. Altre informazioni trafugate riguarderebbero dei contenuti e azioni pubbliche sul sito come le domande, le risposte, i commenti e gli upvotes. Infine sarebbero stati trafugati contenuti e azioni non pubblici, ad esempio richieste di risposta, downvotes e messaggi privati.

Gli utenti colpiti sono circa 100 milioni.

Qui la storia. 

4. MyFitnessPal – febbraio 2018

Cos’è successo: un “soggetto non autorizzato” ha ottenuto l’accesso ai dati dagli account utente su MyFitnessPal, un’app di fitness di proprietà di Under Armour.

Utenti colpiti: 150 milioni.

3. Exactis – giugno 2018

Un esperto di sicurezza informatica ha individuato un database “con praticamente tutti i cittadini statunitensi” esposti “su un server accessibile pubblicamente”, anche se non è chiaro se qualche hacker abbia avuto accesso a tali informazioni. Questi dati comprendevano numeri di telefono, indirizzi, mail e nominativi di circa 340 milioni di persone.

Qui c’è la storia ma è in inglese.

 2. Hotel Marriott Starwood – 2014 – settembre 2018

Dal 2014 un’intrusione ai sistemi di prenotazione degli hotel Starwood ha permesso di violare e copiare le informazioni private (nomi, numeri di telefono, delle carte di pagamento con data e scadenza) di 500 milioni degli ospiti.
Ecco cosa è successo. 

 1. Aadhaar – non si sa quando sia iniziata la violazione ma è stata scoperta a marzo 2018

Ed ecco il vincitore.

Il database ID del governo indiano, che memorizza l’identità dei cittadini e le loro informazioni biometriche, ha avuto “una fuga di dati su un sistema gestito da una società di servizi statali di nome Indane”. Indane non aveva protetto correttamente la API, che è utilizzata per accedere al database, che ha dato a chiunque l’accesso alle informazioni di Aadhaar.

Si stima siano stati colpiti circa 1.1 miliari di utenti.

Sono stimati a 300 milioni di euro i danni imputabili agli attacchi informatici subiti dalle imprese, ma non solo, di Veneto e Friuli Venezia Giulia

Il cybercrime sembra essere diventata la prima minaccia da cui si devono ben guardare le aziende oggi. Sono infatti state stimate perdite per circa 300 milioni di euro, relative alle aziende di Friuli Venezia Giulia e Veneto.

I dati sono stati forniti a cybersecurityitalia.it da un’azienda informatica friulana che si occupa di sicurezza e ha visto le richieste di intervento salire di oltre il 40% nel 2018.

Pare quindi non essere un problema solo per Facebook, Google e i grandi nomi del web, al contrario anche piccole e medie imprese vengono prese di mira sempre più sovente e sicuramente con meno difficoltà: sembra infatti che, nonostante l’entrata in vigore del GDPR e l’aumentare dell’informazione relativa alla sicurezza informatica, molte compagnie non abbiamo preso le dovute precauzioni, e siano state quindi vittime di attacchi spesso evitabili.

Se infatti da un lato abbiamo dei sistemi non aggiornati, una protezione debole e un backup parziale o del tutto assente, dall’altro frequentemente troviamo un personale impreparato non solo a gestire un attacco, ma soprattutto a prevenirlo, rispettando semplici good practice.

L’elemento umano infatti è spesso il più pericoloso perché, aprendo banalmente una mail, si rischi di dare l’accesso a un malware che può provocare danni anche molto seri.

La diffusione della cultura informatica, soprattutto tra i dipendenti delle aziende e delle PA, sembra essere la strada migliore per evitare di cadere nelle trappole dei malintenzionati. Sono quindi manager, dirigenti o chi comunque prende decisioni a dover capire quali siano i danni reali di una mancata diffusione della conoscenza digitale: l’apertura di una mail da parte di un dipendente poco attento può causare anche migliaia di euro di danni all’azienda.

La cultura da sola però non basta. L’errore umano deve infatti sempre essere previsto, è buona norma affiancare dei buoni comportamenti a degli strumenti solidi e adatti alla propria realtà.

Come riportato nell’ultima indagine Clusit della scorsa estate, i danni per l’Italia, derivanti da sole attività cyber criminali, sono stati calcolati in quasi 10 miliardi di euro, pari a dieci volte tanto il valore attuale degli investimenti italiani in ICT Security.

È iniziato il Patch Tuesday. Come ogni secondo martedì del mese sono partiti i nuovi aggiornamenti di sicurezza di Windows, gli ultimi per il 2018. Le novità serviranno per correggere diverse vulnerabilità critiche. Vediamo di cosa si tratta e come comportarsi con gli aggiornamenti

L’11 dicembre 2018 è iniziato, negli USA, il Patch Tuesday e cioè il giorno (il secondo martedì del mese) in cui Windows rilascia il pacchetto di aggiornamenti di sicurezza, volti a risolvere alcune criticità riscontrate nella versione attuale.

In Europa la giornata dedicata agli aggiornamenti è solitamente il mercoledì successivo ma molto dipende anche dalle impostazioni che ognuno ha programmato sul proprio pc.

L’aggiornamento di dicembre è volto a correggere 38 vulnerabilità e ben 9 di queste sono segnate come critiche. È quindi opportuno non rinviare troppo a lungo il lavoro e ricavarsi il tempo necessario affinché il pc lavori su queste patch.

I prodotti che verranno aggiornati sono:

• Microsoft Windows
• Internet Explorer
• Microsoft Edge
• Microsoft Office
• Microsoft Office Services e Web Apps
• NET Framework
• Microsoft Dynamics NAV
• Microsoft Exchange Server
• Microsoft Visual Studio
• Windows Azure Pack (WAP)
• ChakraCore
• Adobe Flash Player

Come riportato da CyberSecurity360, 5 dei 9 aggiornamenti critici sono volti a correggere le vulnerabilità di Chakra, lo scripting engine di Microsoft Edge e in particolare il modulo che gestisce gli oggetti nella memoria del browser.Queste falle potrebbero danneggiare la memoria, permettendo l’ingresso a un malintenzionato, semplicemente facendo entrare il proprietario del pc in una semplice pagina web creata ad hoc.

Nel pacchetto dei bollettini di sicurezza segnati come critici c’è un aggiornamento che serve a correggere una vulnerabilità legata all’errata gestione dell’input nel framework Microsoft, un altro che corregge una vulnerabilità legata all’errata gestione delle richieste DNS su Windows Server che permette l’esecuzione di codice in modalità remota, ne abbiamo poi uno che corregge una vulnerabilità legata all’esecuzione di codice in modalità remota, dovuta al modo in cui Internet Explorer gestisce gli oggetti in memoria. In uno scenario web, l’attaccante dovrebbe indurre la vittima a visitare un sito appositamente predisposto per sfruttare la vulnerabilità di Internet Explorer:

CVE-2018-8631 | Internet Explorer Memory Corruption Vulnerability

Infine un aggiornamento che corregge l’esecuzione del codice remoto in Windows che si presenta quando il motore di text-to-speech di Microsoft non riesce a gestire correttamente gli oggetti in memoria. In particolare, la vulnerabilità è dovuta alla corruzione della memoria in Microsoft Edge.

Procedere con gli aggiornamenti è molto semplice: Windows 10 è già impostato per verificarne la disponibilità ed installarli automaticamente. È possibile però programmare manualmente un giorno e un orario andando sulle impostazioni -> aggiornamenti e sicurezza –> cambia data e ora. In questo modo il sistema sa quando usiamo più frequentemente il pc e imposta un orario comodo per procedere con le modifiche automatiche, così da non interrompere l’operatività.

Sempre in questa sezione delle impostazioni è possibile verificare se ci siano aggiornamenti disponibili ed effettuare manualmente l’update.