Supponiamo che riceviate la prova che qualcuno, non una famosa e sexy attrice ma un signore con tanto di nome e cognome, sia oggetto di un attacco del suo account cloud. Voi cosa fareste? Il "bruteforce", che è un modo molto più raffinato per dire "indovinare la password", resta uno dei vettori di attacco più efficaci contro i sistemi telematici.

Avrete certamente letto fino alla nausea dell' "affaire" nato dalla pubblicazione di selfie piccanti di note attrici, cantanti e modelle. I dettagli dell'accaduto in questa sede ci interessano poco, la marca degli smartphone anche meno, ma il cambiamento rispetto al famoso caso di Cappuccetto Scarlatto è molto importante. Infatti nel caso dell'attrice Scarlett Johansson è provato che fu il telefono in quanto tale a essere violato con mezzi informatici da un singolo cracker. Un attacco classico, come a qualunque server degli anni passati, sofisticato e fatto a mano.

La questione dei selfie piccanti è completamente diversa, perché pare oramai assodato che non i telefoni ma i loro backup nel cloud siano stati attaccati, e non con mezzi manuali ma automatici, forse addirittura botnet.

Questo è stato reso possibile dal fatto che le credenziali da offrire per accedere alla "nuvola" (in questo come in altri casi) è semplicemente un nome utente (spesso un indirizzo di posta) e una password scelta dall'utente (quella con cui acquistava musica). Ed è perfettamente inutile difendere il terminale (lo smartphone) con un lettore biometrico quando l'accesso a tutte le informazioni che contiene può essere fatto via Internet, semplicemente indovinando una password debole con i consueti attacchi a dizionario.

Per approfondire:

Passkey in pratica: proteggere un account Google

I peggiori 20 tipi di password

Arrestato dipendente guardone di Yahoo, violava migliaia di account

Perché i ladri digitali preferiscono rubare account di gioco che conti banc...

Ora che il problema ha raggiunto i media, lo stesso Tim Cook si è precipitato a garantire la massima attenzione all'argomento, e l'introduzione di una autenticazione a due fattori.

Il mio problema è che hanno iniziato ad arrivarmi messaggi fake che pretendono di essere della Apple (molto ben fatti) e che chiedono a un quasi mio omonimo, identificato con nome e cognome (il signor M.C.) di autenticarsi al suo account iCloud.

Consigliamo la lettura di:

Per il quinto anno di fila, 123456 è la password più usata al mondo

Perché mai mi dovrebbero rubare la rubrica degli indirizzi mail?

Le password peggiori dell'anno

L'app che viola le password per sapere se sono sicure

L'indirizzo di posta è il mio perché sintetizzato, tra i tanti tentativi che un bot compie durante un bruteforce, formandolo con nome e l'iniziale del cognome, usando il nome di dominio uguale al nome utente e come TLD quello della nazionalità del bersaglio. Insomma, il signor M.C. di cui sopra è quasi certamente uno dei tanti a cui stanno cercando di rubare i backup, le foto e quant'altro. E probabilmente non ci sono ancora riusciti.

E' brutto sapere che i ladri stanno tentando di scassinare la porta di casa di qualcuno di cui sapete nome e cognome, anche se è un perfetto sconosciuto. Il tentativo di identificare e scrivere direttamente alla persona può portare a equivoci, al rischio di essere scambiati per dei cattivi, per degli ingegneri sociali, o nella migliore delle ipotesi di essere ignorati. Infatti, nessuna risposta. Ma forse non era l'M.C. giusto.

A onor del vero, poiché il sito del noto produttore fornisce anche a non clienti la possibilità di porre domande (cosa rara e apprezzabile), e addirittura di richiedere un contatto telefonico su appuntamento, potrei provare tramite loro.

Spunti di approfondimento:

Lo studio sulla pirateria insabbiato dalla Commissione Europea

Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali ...

La perdita dei dati è causata dall'atteggiamento degli utenti

The Fappening, 18 mesi all'hacker delle celebrità senza veli

Ti invitiamo a leggere la pagina successiva di questo articolo:
Buone azioni e serrature ridicole

Articoli raccomandati:

Steam sotto attacco: rubati 77.000 account ogni mese

Altri 5 trucchi per evitare di essere hackerati

The Fappening, identificato l'intrusore

Il software per rubare migliaia di foto nude a inconsapevoli donne

Proposte di lettura:

Foto rubate da iCloud, le celebrità fanno causa a Google

Gmail, pubblicate le password di 5 milioni di account

Il Fappening travestito da malware

Password? Robuste, sempre differenti e modificate spesso