Questi articoli erano stati pubblicati inizialmente il 17/6/2011 sul sito
della Rete Tre della Radiotelevisione Svizzera, dove attualmente non sono
più disponibili. Vengono ripubblicati qui per mantenerli a disposizione per
la consultazione.
Chi c'è dietro LulzSec e l'ondata di attacchi informatici?
Sony, Nintendo, le emittenti statunitensi Fox e PBS, il Senato USA,
un'affiliata dell'FBI (Unveillance) e adesso addirittura la CIA: questi sono
alcuni dei bersagli presi di mira dal gruppo anonimo che si fa chiamare
LulzSec o Lulz Security. A seconda dei gusti e delle simpatie, le loro
scorribande informatiche, caratterizzate da un'insolita autoironia, vengono
interpretate come atti vandalici aggravati da motivazioni futili o come
manifestazioni di "hacktivismo" mirate a mettere in evidenza le debolezze di
Internet e la superficialità con la quale le grandi aziende tutelano i dati
dei clienti e ad incoraggiare un approccio più serio alla sicurezza
informatica.
In estrema sintesi, di Lulz Security non si sa quasi nulla. Si sa che ci
sono un sito (lulzsecurity.com) e un
profilo Twitter (twitter.com/lulzsec), attraverso i quali vengono annunciate le attività del gruppo e
pubblicati i risultati delle loro imprese, ma tutto è gestito in forma
anonima e difficilmente tracciabile. Sembra trattarsi di un gruppo nel quale
non c'è un vero e proprio leader, ma potrebbe anche trattarsi di una sola
persona con tanto tempo a disposizione.
Il nome deriva da una storpiatura di una delle abbreviazioni più usate di
Internet, ossia LOL, che sta per "laughing out loud", che in
inglese significa "sto ridendo forte". E Lulz Security dichiara di
agire senza motivazioni politiche o di lucro, a differenza di altre
organizzazioni analoghe, ma solo per ridere.
Di recente ha aperto un numero telefonico al quale chiunque può suggerire i
bersagli più desiderati per i prossimi attacchi informatici. Cita
tweet
come
"ho comperato una grossa confezione di preservativi per una signora
anziana su Amazon"
(usando l'account Amazon della signora, violato grazie alle password
pubblicate da Lulz Security). Inserisce nel sito della PBS una
notizia falsa
secondo la quale il rapper Tupac Shakur sarebbe ancora vivo e nascosto in
Nuova Zelanda. Tutte mosse che sembrano far parte di una strategia
comunicativa mirata a creare attenzione e simpatizzanti: LulzSec ha quasi
184.000 seguaci su Twitter.
Tuttavia alcuni dei bersagli scelti hanno chiare connotazioni ideologiche:
per esempio, l'attacco all'emittente televisiva PBS è stato effettuato in
risposta a un suo documentario che criticava Wikileaks. Inoltre la ripetuta
divulgazione da parte di Lulz Security di password Yahoo, Gmail, Paypal e
World of Warcraft appartenenti a utenti innocenti (oltre
62.000
solo nell'infornata più recente, scaricabili da chiunque) causerà danni
personali ed economici non trascurabili.
Inoltre va considerato che nonostante Lulz Security voglia proiettare
un'aura di invincibilità e potenza, le tecniche informatiche usate sono
piuttosto banali e rivelano più che altro la preoccupante superficialità con
la quale molte organizzazioni commerciali e governative gestiscono la
sicurezza. Il recente
“attacco”
al sito pubblico della CIA (Cia.gov) di mercoledì scorso è stato un semplice
denial of service, ossia l'equivalente informatico di un gruppo di
persone che si piazza davanti a un negozio per impedire agli altri di
entrare, ma non risulta ci sia stata alcuna vera intrusione.
Fonti aggiuntive:
BBC,
PC World.
Furti di password, come difendersi
È scaricabile da Internet un
elenco di ben 62.000
password riferite ad account Gmail, Paypal, Yahoo e World of Warcraft e
diffuse da Lulz Security: molte sono già obsolete, ma se siete preoccupati
che in quest'elenco ci sia la vostra potete fare un test attraverso il
servizio apposito di Gizmodo.
Più in generale, la raffica di furti di password (come quello di un milione
di account Sony o quello di
1,3 milioni di account
presso Gawker e altri siti alcuni mesi fa) ha permesso agli esperti di
analizzare
gli errori più comuni da parte degli utenti, che rendono facile il compito a
chi vuole rubare l'account di mail o Facebook e farsi i fatti vostri oppure
quello di PayPal o di un altro servizio presso il quale sono custoditi soldi
o valori equivalenti.
Lunghezza. Il minimo consigliato è 8 caratteri, ma il 50% degli
utenti sta al di sotto di questo minimo. Il 93% usa non più di undici
caratteri.
Tipi di carattere. Oltre alle lettere maiuscole e minuscola, una
buona password dovrebbe includere anche cifre e altri caratteri, ma solo il
4% ha tre o più tipi di carattere; la metà ne usa un tipo solo e il 90% è
tutto in minuscolo; solo l'1% contiene almeno un carattere che non sia una
lettera o una cifra.
Senso compiuto. Una buona password non deve essere una parola di
senso compiuto o una sequenza facilmente intuibile, eppure nelle 25 password
più ricorrenti brillano esempi di disastro annunciato come
"password", "123456" e "abc123".
Presenza nei dizionari d'attacco. Esistono degli elenchi di
password, denominati dizionari (nonostante contengano anche parole
prive di senso), usatissimi per tentare di indovinare una password per forza
bruta, tramite tentativi automatici. Le indagini rivelano che il 36% delle
password usate è presente in questi dizionari.
Unicità. Il pericolo principale è costituito dalla
compromissione a catena: se un utente utilizza la stessa password per
più di un servizio di Internet, quando uno di questi servizi viene
compromesso rivelandone la password i criminali informatici tentano subito
di usare la stessa password presso gli altri servizi adoperati dal
bersaglio. Ma almeno i due terzi degli utenti ricicla la stessa password per
siti differenti.
In molti casi sono le aziende a non custodire correttamente le password,
come dimostrato dai recenti attacchi, ma anche l'utente deve fare la propria
parte: esaminate le vostre password e chiedetevi quante soddisfano i criteri
minimi di sicurezza: soprattutto quello dell'unicità.
Come fuziona un'estorsione via Internet
Spesso il Disinformatico ha sottolineato l'importanza di tutelare la
sicurezza delle password per evitare il furto di dati, ma c'è anche un altro
motivo per il quale ognuno di noi deve essere vigile con il proprio
computer: la tendenza sempre più frequente a infettare i computer degli
utenti in modo discreto, senza farsi notare, per utilizzarli in massa come
soldati di un esercito digitale (denominato botnet) e attaccare un
sito o bloccarne l'accesso e quindi l'attività commerciale intasandolo di
visite fasulle secondo la tecnica del DDOS (distributed denial of service).
Sembrano scenari da film, ma in realtà sono molto concreti; dalla Germania
arriva infatti la
notizia
che un uomo che viveva nella zona di Francoforte aveva preso a noleggio una
di queste botnet, realizzata da un'organizzazione russa, al costo di 65
dollari (circa 55 franchi) al giorno, e aveva minacciato sei agenzie di
scommesse dicendo che con questa botnet ne avrebbe reso inutilizzabili i
siti in un momento di grande attività (in occasione dei mondiali di calcio)
se non avessero pagato 2500 euro (circa 2100 franchi).
All'uomo, però, è andata male: è stato condannato a due anni e dieci mesi
di carcere e a un risarcimento che potrebbe arrivare a 350.000 euro (circa
420.000 franchi). È uno dei pochi casi tedeschi di condanna per DDOS, una
tecnica che viene utilizzata sempre più spesso anche per motivi politici: il
problema giuridico, infatti, è dimostrare che l'intento delle raffiche di
visite, provenienti da un vastissimo numero di computer, è davvero ostile e
non fa parte del normale traffico di visitatori.
La prima linea di difesa contro questo genere di crimine è evitare che il
nostro computer venga infettato per arruolarlo nella botnet: usate quindi un
buon antivirus su tutto quello che scaricate o ricevete (anche su CD, DVD,
penne USB e dischi), installate puntualmente gli aggiornamenti di sicurezza,
non visitate siti a rischio, e cambiate periodicamente le vostre
password.
Bitcoin: moneta virtuale, furti reali
Una delle domande che spesso arriva alle coordinate online del
Disinformatico riguarda il modo in cui i criminali informatici pagano
e si fanno pagare per le loro attività, visto che raramente s'incontrano di
persona e di certo non è il caso di usare bonifici bancari o carte di
credito, facilmente tracciabili.
Uno degli strumenti di pagamento che sta andando per la maggiore su
Internet, e non solo per le attività illecite, è
Bitcoin, una valuta digitale
creata nel 2009 da una
persona che si fa chiamare Satoshi Nakamoto ma la cui identità reale non è
nota.
A differenza delle altre valute, Bitcoin non ha una "banca centrale" o un
istituto di emissione, ma usa una rete peer-to-peer e un sistema di firme
digitali per registrare le transazioni senza rivelare l'identità di chi le
fa ma al tempo stesso rendere pubblico ogni scambio di denaro, garantire che
non si possano generare soldi digitali fasulli (la quantità di Bitcoin è
fissa) e non si possano spendere più volte gli stessi soldi.
Per acquistare dei Bitcoin si deve offrire tempo di elaborazione sul
proprio computer, rivolgersi a uno dei siti che fanno da "agenzia di cambio"
(elencati nelle
FAQ di Bitcoin.org) oppure vendere beni o servizi facendosi pagare in Bitcoin.
Il problema di questo sistema è che anche il portafogli digitale, come
quello reale, si può rubare: si tratta di un file, wallet.dat, che
viene custodito sul computer del titolare del "portafogli", ed esistono già
i primi virus, come
Infostealer.Coinbit, il cui unico scopo è cercare questo file nei computer che infetta e
mandarlo via mail al criminale che controlla Infostealer. Una valuta
interessante, ma attenzione a non affidarsi troppo a queste nuove
tecnologie: ci sono già segnalazioni di furti per decine di migliaia di
franchi.
Fonti aggiuntive:
The Economist,
Bitcoin.org.