Supponiamo che riceviate la prova che qualcuno, non una famosa e sexy attrice ma un signore con tanto di nome e cognome, sia oggetto di un attacco del suo account cloud. Voi cosa fareste? Il "bruteforce", che è un modo molto più raffinato per dire "indovinare la password", resta uno dei vettori di attacco più efficaci contro i sistemi telematici.

Avrete certamente letto fino alla nausea dell' "affaire" nato dalla pubblicazione di selfie piccanti di note attrici, cantanti e modelle. I dettagli dell'accaduto in questa sede ci interessano poco, la marca degli smartphone anche meno, ma il cambiamento rispetto al famoso caso di Cappuccetto Scarlatto è molto importante. Infatti nel caso dell'attrice Scarlett Johansson è provato che fu il telefono in quanto tale a essere violato con mezzi informatici da un singolo cracker. Un attacco classico, come a qualunque server degli anni passati, sofisticato e fatto a mano.

La questione dei selfie piccanti è completamente diversa, perché pare oramai assodato che non i telefoni ma i loro backup nel cloud siano stati attaccati, e non con mezzi manuali ma automatici, forse addirittura botnet.

Questo è stato reso possibile dal fatto che le credenziali da offrire per accedere alla "nuvola" (in questo come in altri casi) è semplicemente un nome utente (spesso un indirizzo di posta) e una password scelta dall'utente (quella con cui acquistava musica). Ed è perfettamente inutile difendere il terminale (lo smartphone) con un lettore biometrico quando l'accesso a tutte le informazioni che contiene può essere fatto via Internet, semplicemente indovinando una password debole con i consueti attacchi a dizionario.

Per approfondire:

Google sperimenta il login via selfie

Passkey in pratica: proteggere un account Google

I peggiori 20 tipi di password

Arrestato dipendente guardone di Yahoo, violava migliaia di account

Ora che il problema ha raggiunto i media, lo stesso Tim Cook si è precipitato a garantire la massima attenzione all'argomento, e l'introduzione di una autenticazione a due fattori.

Il mio problema è che hanno iniziato ad arrivarmi messaggi fake che pretendono di essere della Apple (molto ben fatti) e che chiedono a un quasi mio omonimo, identificato con nome e cognome (il signor M.C.) di autenticarsi al suo account iCloud.

Consigliamo la lettura di:

Perché i ladri digitali preferiscono rubare account di gioco che conti banc...

Per il quinto anno di fila, 123456 è la password più usata al mondo

Perché mai mi dovrebbero rubare la rubrica degli indirizzi mail?

Le password peggiori dell'anno

L'indirizzo di posta è il mio perché sintetizzato, tra i tanti tentativi che un bot compie durante un bruteforce, formandolo con nome e l'iniziale del cognome, usando il nome di dominio uguale al nome utente e come TLD quello della nazionalità del bersaglio. Insomma, il signor M.C. di cui sopra è quasi certamente uno dei tanti a cui stanno cercando di rubare i backup, le foto e quant'altro. E probabilmente non ci sono ancora riusciti.

E' brutto sapere che i ladri stanno tentando di scassinare la porta di casa di qualcuno di cui sapete nome e cognome, anche se è un perfetto sconosciuto. Il tentativo di identificare e scrivere direttamente alla persona può portare a equivoci, al rischio di essere scambiati per dei cattivi, per degli ingegneri sociali, o nella migliore delle ipotesi di essere ignorati. Infatti, nessuna risposta. Ma forse non era l'M.C. giusto.

A onor del vero, poiché il sito del noto produttore fornisce anche a non clienti la possibilità di porre domande (cosa rara e apprezzabile), e addirittura di richiedere un contatto telefonico su appuntamento, potrei provare tramite loro.

Non perderti anche:

L'app che viola le password per sapere se sono sicure

Lo studio sulla pirateria insabbiato dalla Commissione Europea

Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali ...

La perdita dei dati è causata dall'atteggiamento degli utenti

Ti invitiamo a leggere la pagina successiva di questo articolo:
Buone azioni e serrature ridicole

Non perderti anche:

The Fappening, 18 mesi all'hacker delle celebrità senza veli

Steam sotto attacco: rubati 77.000 account ogni mese

Altri 5 trucchi per evitare di essere hackerati

The Fappening, identificato l'intrusore

Proposte di lettura:

Il software per rubare migliaia di foto nude a inconsapevoli donne

Foto rubate da iCloud, le celebrità fanno causa a Google

Gmail, pubblicate le password di 5 milioni di account

Il Fappening travestito da malware