Svizzera, falso sito del quotidiano “La Regione” promuove truffa sugli investimenti usando il nome della Presidente della Confederazione

Un lettore, Marco, mi segnala il sito Inform24svi[zz].net (togliete le quadre se volete riottenere il nome originale del sito), che al momento in cui scrivo ospita questa imitazione truffaldina del quotidiano ticinese La Regione (il cui sito reale è Laregione.ch).

Screenshot dell’inizio del falso articolo.

Per i non svizzeri, Viola Amherd è la presidente di turno della Confederazione (il sistema elvetico è complicato) e quindi il suo nome è un richiamo molto forte e autorevole, ma qui viene usato abusivamente, come del resto viene abusato anche il nome della testata giornalistica.

Ovviamente non è vero che “i cittadini Svizzeri potranno ufficialmente andare in pensione a 45 anni”, come dice il titolo del falso articolo.

Lo scopo di questa falsificazione è promuovere una truffa basata su finti investimenti. L’articolo include infatti un modulo di iscrizione a un fantomatico “VortexValor” che promette a chi investe 250 franchi di “ricevere in media 3.000 CHF al mese sul proprio conto bancario. I profitti sono generati dal trasporto di gas e petrolio attraverso il nostro Paese verso altri Paesi. Come potete immaginare, veniamo pagati per questo. Lo ripeto ancora una volta. Non ci sono rischi, tutti gli investimenti possono essere restituiti in qualsiasi momento, il che è garantito dalla Banca Nazionale e dal nostro Ministero.” Ovviamente è tutto falso.

I malcapitati che abboccano a un’offerta troppo bella per essere vera come questa (ci sono sempre; lo so, perché mi contattano piangendo calde lacrime dopo aver “investito” migliaia di franchi) riceveranno una telefonata da un “manager” che li guiderà nel loro “investimento”. Traduzione: li spennerà facendo credere che stiano guadagnando montagne di soldi.

Il meccanismo di queste truffe è tipicamente questo: il “manager” crea un finto conto online di investimento per la vittima e incassa i primi 250 franchi. Il conto, consultabile via Internet dalla vittima, mostra quelli che sembrano essere rendimenti favolosi. È tutto finto: sono solo numeri su una pagina Web, generati dal software, ma sono presentati con una grafica curata e professionale.

Le vittime vengono sedotte da questi apparenti guadagni e, istigati dal “manager”, inviano altri soldi (reali) ai gestori della truffa con la speranza di guadagnare ancora di più. Ma, ripeto, è tutta una finzione.

La cosa che spiazza molte vittime è che se provano a prelevare i loro soldi da questi “conti”, li ricevono davvero, e questo aiuta a far sembrare serio e credibile l’intero meccanismo. Ma attenzione: i truffatori di solito non restituiscono mai più di quanto è stato versato. Ridanno alle vittime quello che hanno versato, ma mai di più. Se la vittima chiede di ricevere anche i presunti “guadagni”, il “manager” risponde con mille pretesti per rinviare o rifiutare la richiesta.

Il guadagno dei truffatori sta di solito nella mazzata finale: se vedono che la vittima è sedotta e investe soldi ma ne ritira anche una parte, gli propongono un affarone speciale, al quale bisogna aderire in fretta e che richiede un investimento ingente: 10.000 o più franchi, che (dice il finto manager) renderanno anche 100.000 franchi o più. La vittima, incantata dalla prospettiva di una cifra del genere, invia i soldi, chiede di prelevare almeno in parte i lauti guadagni... e a quel punto il “manager” scompare insieme ai soldi del malcapitato investitore.

Non inviate denaro a questi criminali; se ne avete inviato, consideratelo perduto per sempre. 

---

Se siete fra le vittime di questi imbroglioni, troncate ogni comunicazione con loro e fate una segnalazione (non una denuncia) alle vostre autorità di polizia. La polizia difficilmente potrà fare qualcosa per acciuffare i criminali o per ridarvi i vostri soldi, ma la segnalazione è importante perché se nessuno segnala questo genere di truffa le autorità non hanno idea di quanto sia diffusa, e senza dati e numeri sulla sua diffusione è difficile stanziare fondi o assegnare risorse al contrasto di questi reati.

Se avete dato ai truffatori numeri di carte di credito o coordinate bancarie, avvisate il vostro gestore o la vostra banca e vi dirà cosa fare. 

Se vi contatta qualcuno dicendo di essere un’autorità che è in grado di recuperare i vostri soldi, non credetegli: è un complice del truffatore, che vi chiederà altri soldi per “sbloccare” i vostri (inesistenti) guadagni. 

---

Se invece vi siete imbattuti in un sito-truffa di questo genere e volete segnalarlo alle autorità affinché venga bloccato, ci sono vari modi per farlo:

• Fare una segnalazione a Netcraft (https://report.netcraft.com/report)
• Fare una segnalazione a Google (https://safebrowsing.google.com/safebrowsing/report_phish/?hl=it)
• In Svizzera, fare una segnalazione all’Ufficio federale della cibersicurezza UFCS (https://www.report.ncsc.admin.ch/it/)

Un’altra cosa importante da fare è parlare in casa e agli amici di queste frodi, perché tutti abbiamo un amico o un parente particolarmente vulnerabile che potrebbe essere ingannato e tentato da questi criminali, che sanno essere convincenti.

Podcast RSI - Svizzera, rapporto federale: raddoppiano gli incidenti informatici. Come rimediare (prima parte)

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

[CLIP: Descrizione di un hackeraggio da “Mr. Robot”]

I toni drammatici di un telefilm come Mr. Robot, dal quale è tratto questo spezzone, possono sembrare fantasiosi ed esagerati, ma non sono poi così tanto lontani dalla realtà degli attacchi informatici.

Le tecniche descritte da questa serie sono infatti realistiche, anche se c’è qualche licenza narrativa per esempio sui tempi di esecuzione, e sappiamo che sono realistiche perché i resoconti reali degli addetti ai lavori raccontano di un mondo sommerso di attacchi veri, sferrati contro aziende e infrastrutture, da cui solo ogni tanto affiora nella cronaca qualche episodio particolarmente sensazionale.

Fra questi resoconti c’è quello semestrale dell’Ufficio federale della cibersicurezza svizzero o UFCS, di cui è appena stata pubblicata una versione aggiornata scaricabile, riferita al secondo semestre del 2023, che contiene dati, statistiche, esempi di casi concreti e tantissime risorse utili da conoscere per evitare di diventare uno di quei dati e di entrare a far parte di quelle statistiche.

Ma è scritto in linguaggio piuttosto tecnico, e a pochi verrà in mente di leggersi quaranta pagine fitte di un testo intitolato, in modo molto pragmatico ma poco accattivante, Rapporto semestrale 2023/II (luglio-dicembre) - Sicurezza delle informazioni - La situazione in Svizzera e a livello internazionale. L’ho fatto io per voi, e così posso raccontarvi le cose più importanti da sapere per essere pronti alle nuove sfide di sicurezza informatica. E se avete pensato che sicuramente ci sarà di mezzo l’intelligenza artificiale, non avete torto.

Benvenuti alla puntata del 10 maggio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Tecniche classiche in aumento, ma cala il ransomware

Per capire correttamente questo rapporto è necessario partire da una premessa che ci riguarda tutti: i suoi dati si basano sulle segnalazioni degli attacchi, fatte alle autorità, ossia all’Ufficio federale della cibersicurezza, da chi li ha subiti. I numeri del rapporto, insomma, non rappresentano tutti i “ciberincidenti”, per usare la terminologia del documento, ma soltanto quelli segnalati.

Questo vuol dire che le segnalazioni sono importantissime per gli addetti ai lavoro, contrariamente a quello che molti pensano, cioè che sia inutile informare le forze dell’ordine di un attacco subìto, perché tanto le speranze di ottenere la punizione dei colpevoli sono minime. Sì, è vero che i criminali informatici risiedono quasi sempre all’estero, in paesi nei quali sanno che non verranno perseguiti, e quindi è improbabile avere giustizia o riavere i soldi o i dati sottratti con la frode informatica, ma segnalare gli attacchi serve per consentire agli esperti di sapere quali sono le tecniche più frequenti e quindi per concentrare i loro sforzi dove c’è maggiore bisogno, per “poter avvisare la popolazione e le imprese in caso di un’escalation della minaccia”, come dice appunto il rapporto, e a volte serve anche per scoprire tecniche inedite.

È importante anche distinguere le segnalazioni dalle denunce: le segnalazioni sono molto più semplici da fare. Il rapporto consiglia di farle online, presso l’apposita pagina dell’Ufficio Federale della Cibersicurezza oppure presso il sito Antiphishing.ch. Trovate i nomi e i link a tutte queste fonti presso Disinformatico.info.

Detto questo, i numeri delle segnalazioni sono impressionanti: nel secondo semestre del 2023 ne sono state inviate oltre 30.000, quasi il doppio rispetto allo stesso periodo del 2022. L’aumento, dice il rapporto, è causato soprattutto dalle truffe, sotto forma di “offerte di lavoro fraudolente” e “chiamate fasulle a nome della polizia”.

Le offerte di lavoro fasulle sono state diffuse soprattutto tramite WhatsApp e hanno seguito uno schema piuttosto complicato che però illustra bene il livello di sofisticazione dei criminali. Chi rispondeva a queste offerte riceveva infatti un elenco di mandati, per esempio redigere recensioni di prodotti, in cambio di un compenso versato su una piattaforma online gestita dai truffatori. Ma

“il numero di mandati disponibili” dice il rapporto “si azzerava rapidamente. Per accelerare l’attività e non dover aspettare, la piattaforma dava la possibilità di generare a pagamento nuovi mandati. Per pochi dollari si potevano così acquistare 50 nuovi mandati di recensione” spiega sempre il rapporto, aggiungendo che “Il guadagno promesso, che a sua volta avrebbe dovuto essere accreditato sulla piattaforma, superava di molto i costi, per cui la vittima pensava che valesse la pena utilizzare quel modello. La brutta sorpresa arrivava quando si voleva incassare il guadagno accumulato. Il gestore della piattaforma richiedeva delle tasse per il versamento del guadagno finché la vittima si accorgeva che si trattava di una truffa.”

Le prese di contatto fasulle a nome della polizia, invece, erano a volte sotto forma di mail nelle quali si comunicava alla vittima che era “ritenuta colpevole di un grave reato (in genere legato alla pornografia minorile)” e che l’unico modo per evitare un’azione penale era versare una somma di denaro. Ma i criminali hanno anche effettuato raffiche di telefonate automatiche, nelle quali una voce sintetica diceva di rappresentare un’autorità di polizia e informava la vittima che per esempio i dati del suo conto corrente privato erano emersi in relazione a un dato reato e che per avere ulteriori informazioni doveva premere il tasto 1. Se la vittima lo faceva, la chiamata veniva inoltrata a un sedicente “operatore” che le chiedeva di scaricare un software di accesso remoto, che poi permetteva al criminale di insinuarsi nel computer o nel telefono cellulare per accedere alle credenziali di e-banking della vittima e usarle per inviare soldi dal conto della vittima a quello dei truffatori.

La classifica delle tecniche criminali più frequenti prosegue citando la cosiddetta “truffa del CEO”, cioè quella in cui gli aggressori fingono di essere un membro importante di un’azienda e contattano uno dei dipendenti di quell’azienda per convincerlo a inviare urgentemente del denaro a un conto bancario controllato dai truffatori, dicendo che si tratta di un pagamento necessario per concludere un grosso accordo commerciale.

Si colloca in alto in classifica anche la tecnica in cui i criminali riescono a manipolare le fatture ricevute da un’azienda, per esempio alterando le loro coordinate di pagamento in modo da dirottare i soldi su un conto ancora una volta gestito dai truffatori.

Tutte queste forme di attacco sono in aumento, mentre sono in diminuzione gli attacchi di ransomware ai danni delle imprese, ossia quelli nei quali i criminali chiedono denaro per sbloccare i computer aziendali di cui hanno preso il controllo oppure per non disseminare i dati aziendali di cui si sono impadroniti.

Ma non sono mancati i tentativi di inganno basati sull’intelligenza artificiale.

Se ti hanno filmato nudo, dì che è un deepfake: IA nel crimine online

Il rapporto dell’Ufficio federale di cibersicurezza (o UFCS) nota che nel 2023 i criminali hanno iniziato a usare l’intelligenza artificiale nei loro attacchi. Per ora, dice il rapporto, non si tratta ancora di un uso sistematico ma solo di “tentativi con cui i truffatori cercano di sondare cosa sia possibile o redditizio”.

In alcuni di questi tentativi segnalati, l’intelligenza artificiale è stata usata “per creare foto o video compromettenti allo scopo di ricattare la vittima. Basta che i criminali siano in possesso di filmati o fotografie del tutto innocenti registrate o scattate personalmente dalla vittima in precedenza o magari accessibili a tutti su Internet. Da questi video innocui l’IA crea filmati pornografici o immagini di nudo”, ossia dei deepfake. L’UFCS “ritiene che questa forma di estorsione crescerà vertiginosamente negli anni a venire”, ma nota anche che l’esistenza dei deepfake è ampiamente conosciuta dal grande pubblico e quindi questa forma di ricatto potrebbe risultare inefficace perché anche chi è stato realmente ripreso dai criminali in video compromettenti potrebbe dire tranquillamente che si tratta di una ripresa fabbricata con l’intelligenza artificiale.

I video falsi generati con l’intelligenza artificiale sono stati usati dai criminali anche in un’altra forma, facendo dire in video a persone famose, come politici o grandi imprenditori, raccomandazioni di investimenti in criptovalute che erano in realtà fraudolenti.

Un altro esempio interessante di uso criminale dell’intelligenza artificiale viene segnalato dal rapporto dell’UFCS notando che varie imprese hanno segnalato di aver ricevuto “telefonate da loro presunti dipendenti che, con voce perfettamente simulata, si sarebbero informati su questioni aziendali interne o avrebbero disposto l’esecuzione di pagamenti. I dipendenti in questione, tuttavia, erano completamente ignari di queste telefonate, che con tutta probabilità vengono generate tramite deepfake”, cioè con voci sintetiche generate usando campioni di quelle reali.

Il rapporto cita anche un caso molto particolare nel quale si sospetta l’uso dell’intelligenza artificiale: sono state segnalate mail truffaldine, in apparenza provenienti da banche, scritte in svizzero tedesco, forse con lo scopo di sembrare più realistiche e familiari, perché in effetti è facile pensare che sia improbabile che un criminale informatico che sta in chissà quale paese lontano sappia scrivere in una lingua così locale. Ma l’UFCS nota che nel mondo degli affari svizzero “si utilizza di prassi il tedesco standard” e che “[u]na presunta e-mail ufficiale proveniente da una banca e scritta in dialetto tenderebbe a insospettire la vittima piuttosto che convincerla a cliccare sul relativo link”. I criminali, in questo caso, hanno insomma preso un granchio.

Tuttavia c’è un altro settore del crimine informatico in cui ha molto senso usare il dialetto: “le truffe legate ai piccoli annunci […]. Questo stratagemma infonde fiducia nella vittima, dando l’impressione che acquirente e venditore provengano dalla medesima regione (linguistica)”. Sono già stati osservati i primi casi di annunci online fraudolenti scritti in buon svizzero tedesco, presumibilmente usando software di traduzione basati sull’intelligenza artificiale, per cui l’uso di questa forma di comunicazione non deve far abbassare la guardia, e sapere questo fatto è il primo passo verso la prevenzione degli attacchi.

Torna il “voice phishing”

Il rapporto dell’Ufficio federale di cibersicurezza si sofferma poi sull’impennata di segnalazioni di una tecnica di attacco solitamente rara: il voice phishing, ossia l’ottenimento delle credenziali di sicurezza di una vittima attraverso una telefonata fatta a voce, in tempo reale, dai criminali.

Verso la fine dell’anno scorso sono stati segnalati molti casi di chiamate “da parte di sedicenti impiegati di banca, che facevano credere di voler bloccare un pagamento fraudolento. In alcuni casi il numero di telefono visualizzato corrispondeva persino a quello ufficiale della banca: si tratta in realtà di un numero che, attraverso la tecnica dello «spoofing», viene falsificato dai truffatori per farlo sembrare credibile.” Conviene insomma sapere che il numero di telefono del chiamante che vedete sullo schermo del vostro telefono non è affatto una garanzia di autenticità, come invece pensano in molti.

Ma l’astuzia dei criminali non si limita alla falsificazione del numero del chiamante. In alcuni casi, segnala il rapporto dell’UFCS, il finto impiegato di banca “consigliava di telefonare immediatamente alla divisione antifrode della Polizia cantonale e comunicava altresì il numero da chiamare”, dice il rapporto. Una cortesia spiazzante, che di certo non fa pensare che l’interlocutore sia un criminale, ma c’è l’inghippo: il numero che veniva fornito non era quello della divisione antifrode ma era anch’esso gestito dai malviventi.

L’altro ingrediente spiazzante usato dai truffatori è l’apparente conoscenza della banca usata dalla vittima. È capitato anche a me di ricevere una di queste telefonate, nella quale la truffatrice (era una voce femminile) diceva che c’era un problema sul mio conto bancario e citava proprio la banca presso la quale ho un conto. Come fanno i criminali ad avere queste informazioni?

In realtà non le hanno, spiega il rapporto dell’UFCS: “gli aggressori si spacciano per impiegati di una grande banca, visto che la probabilità che la vittima vi abbia effettivamente un conto è statisticamente più alta”. In altre parole, tirano a indovinare e spesso ci azzeccano. E se sbagliano, dice il rapporto, “nel corso della telefonata cercano di scoprire quale sia l’istituto bancario della vittima e quindi richiamano poco tempo dopo, ma questa volta a nome della banca «giusta».”

E le loro astuzie non finiscono qui: l’UFCS cita infatti il caso di una vittima alla quale il sedicente impiegato di banca ha chiesto se negli ultimi giorni avesse predisposto un pagamento di una somma consistente a favore di una specifica persona, di cui il finto impiegato ha citato nome e cognome. La vittima conosceva effettivamente quella persona: come facevano i truffatori ad avere un’informazione così precisa e apparentemente rassicurante?

L’UFCS ha scoperto che “sia il nome che il numero di telefono della vittima e del presunto destinatario erano comparsi in una presentazione pubblica che i due avevano effettuato insieme in passato. Questo dimostra che gli aggressori spulciano sistematicamente Internet alla ricerca di informazioni che possono poi sfruttare per attacchi di social engineering mirati.”

Il social engineering è quella tecnica di attacco informatico che si basa sul conquistare la fiducia della vittima mostrando di conoscere informazioni che in apparenza solo un vero impiegato di banca o di un’azienda potrebbe avere. Ma le nostre vite sono sempre più pubbliche e condivise, grazie anche alla quantità di informazioni che noi stessi riversiamo nei social network, e i criminali sanno come trovarle e sfruttarle contro di noi. Anche qui, sapere che i criminali non pescano a caso ma anzi spesso si studiano bene la vittima è il primo passo verso la prevenzione.

Il rapporto dell’UFCS prosegue con la descrizione di molti altri tipi di attacco, anche a livello internazionale e in situazioni di guerra, e con le raccomandazioni su come difendersi bene. Ma queste sono storie che meritano di essere raccontate per bene in una puntata a parte.

Vignetta elettronica svizzera, prova pratica. Utile anche per i turisti

In Svizzera non ci sono mai code ai caselli autostradali semplicemente perché non esistono i caselli: gli automobilisti e motociclisti (anche esteri) che usano le autostrade nazionali contribuiscono al loro finanziamento attraverso una tassa annuale di 40 CHF (43 euro, al cambio attuale) per ciascun veicolo. Questa tassa viene riscossa e verificata tramite un particolare contrassegno adesivo, la vignetta, che va applicato in modo visibile e non rimovibile alla superficie interna del parabrezza dell’auto o a una parte non rimovibile (anche se non visibile) della moto.

Senza vignetta non è consentito circolare sulle autostrade e semiautostrade svizzere ma si può circolare liberamente su tutte le altre strade: per esempio, un turista che non percorre le autostrade può viaggiare in Svizzera senza comprare una vignetta. Se lo beccano in autostrada senza vignetta sono guai. La vignetta dura 14 mesi: da inizio dicembre dell’anno precedente a fine gennaio dell’anno successivo.

Comprare e applicare la vignetta nuova per poi raschiar via quella vecchia (fatta apposta per disintegrarsi in mille pezzetti) è uno dei rituali della vita in Svizzera. Da metà del 2023, però, è possibile acquistare in alternativa il contrassegno elettronico o e-vignetta, che elimina quest’incombenza e ha il grosso pregio aggiuntivo di coprire due veicoli per chi, come me, ha le targhe trasferibili.

* Lo so che sembra strano, ma in Svizzera si possono avere due auto immatricolate con la stessa targa. La targa è facilmente rimovibile e trasferibile da un veicolo all’altro. Le due auto del Maniero, Elsa e Tess, condividono la targa. Questo riduce moltissimo le tasse annuali, ma in compenso può circolare uno solo dei due veicoli in un dato momento; non possono circolare entrambi contemporaneamente. A noi questa soluzione va benissimo, visto che guidiamo una sola delle auto per volta e non ci capita mai di doverle usare contemporaneamente.

La vignetta adesiva tradizionale, invece, copre il singolo veicolo, per cui anche chi ha le targhe trasferibili si trova a doverne comprare due. Così quest’anno sono passato alla e-vignetta, che ha anche altri pregi: può essere comprata online a qualunque ora e anche dall’estero, evitando quindi ai turisti la perdita di tempo dell’acquisto in frontiera.

La procedura è piuttosto semplice. Per prima cosa si va sul sito e-vignette.ch, che porta alla sezione apposita del negozio online della Confederazione. Diffidate di qualunque link o sito alternativo e digitate sempre a mano il nome del sito e-vignette.ch; sono già attivi siti-truffa che cercano di approfittare della novità e della distrazione degli utenti.

Fatto questo, si clicca su Acquistare sotto l’icona del contrassegno elettronico 2024, si sceglie la categoria (nel mio caso, Veicolo a motore), il paese di immatricolazione (Svizzera, per me, ma si può scegliere il proprio paese se si è turisti), si inserisce due volte il numero di targa completo e infine si sceglie se permettere ad altri di sapere se è già stata emessa una e-vignetta valida per quel veicolo (questo è utile per chi usa veicoli a noleggio oppure in car sharing).

Fatto questo, si aggiunge la e-vignetta al carrello (cliccando su Aggiungi al carrello), si immette facoltativamente un indirizzo di mail al quale farsi spedire la conferma d’acquisto, si accetta la dichiarazione sulla protezione dei dati e finalmente si clicca su Vai alla cassa.

Il pagamento è effettuabile con Mastercard, Visa, American Express, Postfinance, l’online banking della Posta, Twint (un servizio di pagamento online molto popolare in Svizzera) e Google Pay.

Quando l’operazione va a buon fine, il sito avvisa che non è necessario stampare la ricevuta o portarla con sé in altra forma: in caso di controllo verrà verificata soltanto la targa. “Il controllo del contrassegno elettronico avviene tramite verifiche a campione della targa di controllo al confine da parte dei collaboratori dell'Ufficio federale della dogana e della sicurezza dei confini (UDSC), nonché all'interno del Paese dalla polizia. Non sono previsti impianti per i controlli automatizzati”, scrive l’UDSC stesso.

Ho lasciato intenzionalmente visibile la targa perché è un riferimento a Star Trek.

Addio raschietti e alcool e truciolini di plastica sparsi per l’abitacolo. I tradizionalisti possono comunque continuare con la vignetta fisica, che rimane disponibile.

La Svizzera si prepara alla guida semi-autonoma con nuove leggi: meglio evitare entusiasmi eccessivi. Ne ho parlato a Ticinonews

Pubblicazione iniziale: 2023/10/21 13:35. Immagine generata da Lexica.art.

Si potranno togliere legalmente le mani dal volante, ma bisognerà sempre essere pronti a intervenire: questa, in sintesi, la novità più importante delle nuove normative svizzere sulla guida autonoma e assistita annunciate nei giorni scorsi.

A primavera scorsa il Parlamento svizzero ha approvato la revisione della Legge federale sulla circolazione stradale, creando le condizioni quadro, e il 18 ottobre scorso il Governo federale ha pubblicato due ordinanze, una sulla guida automatizzata e una sugli aiuti finanziari a soluzioni innovative per i trasporti su strade pubbliche, che definiscono le modalità di attuazione della legge in questione. Ora si avvia il processo di consultazione, che durerà fino al 2 febbraio 2024.

Le novità principali dell’ordinanza sulla guida automatizzata sono due:

• La prima è che i veicoli appositamente attrezzati con sistemi di guida assistita (non autonoma; l’ordinanza usa il termine automatizzata per indicare la guida assistita) consentiranno al conducente di togliere legalmente le mani dal volante nelle situazioni opportune, pur restando sempre responsabile della condotta del veicolo. Oggi ci sono vari sistemi di guida assistita che lo consentono tecnicamente, ma non legalmente (anche se il mantenimento di corsia è affidato all’auto, il conducente ha l’obbligo legale di tenere le mani sul volante).
• La seconda è che il parcheggio automatizzato senza conducente sarà legalmente possibile negli spazi appositi. Le auto adeguatamente equipaggiate potranno quindi essere lasciate a un punto specifico di un parcheggio apposito e andranno a cercarsi da sole un posto per parcheggiare.

Chi ha in mente di comprarsi oggi una Tesla, una Mercedes o una Ford e mettersi a leggere il giornale o fare un pisolino mentre l’auto lo porta a destinazione farà bene a smorzare le proprie attese: neppure sistemi di punta come Autopilot e FSD, Drive Pilot e BlueCruise (dei costruttori che ho citato sopra) consentono di farlo, né tecnicamente (salvo sabotaggi da incoscienti) né legalmente. Il conducente resta legalmente responsabile della condotta del veicolo sempre e comunque e deve essere pronto a intervenire in ogni momento (l’unica possibile eccezione, che io sappia, è Drive Pilot di Mercedes, ma solo in particolari condizioni di guida, e resta ancora da vedere se la nuova normativa svizzera consentirà questo tipo di responsabilità del costruttore).

Un altro aspetto interessante è che i sistemi di assistenza alla guida dovranno essere omologati e spetterà alle case costruttrici dimostrare che funzionano correttamente, garantendo sicurezza e fluidità del traffico per tutti gli utenti delle strade.

Per chi vuole consultare il testo ufficiale delle ordinanze e i rapporti esplicativi, che contengono molti riferimenti normativi utili e anche informazioni sullo stato dell’arte e della legge in altri paesi europei, sono a disposizione in italiano nell’apposita pagina del sito dell’Ufficio federale delle strade. Il comunicato stampa è disponibile in italiano.

Dal Rapporto esplicativo sull’ordinanza sulla guida automatizzata, pagina 4, cito questo paragrafo fondamentale, che chiarisce una situazione spesso fraintesa da molti utenti di auto dotate di assistenti di guida (ho aggiunto io i grassetti):

In Svizzera l’attuale situazione giuridica esclude la possibilità di utilizzare su strada i sistemi di automazione conformemente alla loro destinazione d’uso. La legge sulla circolazione stradale (LCStr) prescrive che il conducente debba costantemente padroneggiare il veicolo in modo da potersi conformare ai suoi doveri di prudenza (dovere di controllo) [Art. 31 cpv. 1], il che implica nello specifico il divieto di lasciare il volante [Art. 3 cpv. 3 ordinanza sulle norme della circolazione stradale (ONC; RS 741.11)]. Finora i veicoli a guida automatizzata hanno pertanto circolato in Svizzera solo con autorizzazioni eccezionali nel quadro di esperimenti.

Segnalo anche altri paragrafi importanti:

I veicoli devono in particolare essere dotati di un registratore di guida che rilevi le interazioni tra sistema di automazione e conducente od operatore e tenga traccia degli eventi che si verificano mentre è attivo il sistema di automazione. È inoltre stabilito chi ha diritto ad accedere ai dati rilevati dal registratore di guida e a che scopo [pag. 5]

L’utilizzo di sistemi di automazione implica anche l’acquisizione di nuove competenze e conoscenze e ciò vale sia per i veicoli che continuano a necessitare di un conducente sia per quelli che ne sono privi. Per non intralciare inutilmente la diffusione di veicoli a guida automatizzata, si rinuncia a un apposito esame di guida e si prescrive una formazione obbligatoria unicamente per i veicoli senza conducente. Chi guida o monitora un veicolo a guida automatizzata è tenuto a conoscere le funzionalità del sistema e prendere visione delle istruzioni d’uso del costruttore, cui spetta l’obbligo di fornirne di idonee. Chi acquista un veicolo a guida automatizzata deve essere informato dal rivenditore sull’utilizzo conforme del sistema di automazione e sui dati memorizzati al riguardo. Nel caso di veicoli privi di conducente, l’operatore o la persona che se necessario guida manualmente un veicolo sprovvisto di comandi convenzionali (ad es. mediante telecomando) deve seguire una formazione presso il costruttore [pag. 8]

Sono intervenuto a Ticinonews sulla questione, cercando di riassumerla in termini semplici e pratici. La registrazione e la trascrizione sono qui sul sito di Ticinonews.

Fonti aggiuntive: TVsvizzera, Corriere del Ticino.

Il governo svizzero sbarca su Mastodon, con una propria istanza: social.admin.ch

Pubblicazione iniziale: 2023/09/12 21:46. Ultimo aggiornamento: 2023/09/13 10:30.

Oggi (12 settembre) è stata annunciata ufficialmente l’apertura di un’istanza Mastodon della Cancelleria federale svizzera: social.admin.ch. Qui sotto trovate il testo del comunicato stampa in italiano.

Notate le osservazioni sull’indipendenza da singole imprese e sulla protezione dei dati personali, ossia tutto il contrario dei social network commerciali, che creano dipendenza da un singolo fornitore e raccolgono dati personali come parte essenziale del loro modello commerciale. L’apertura su Mastodon è un passo molto interessante del governo per offrire informazioni ai cittadini senza costringerli a iscriversi a social network ficcanaso.

La Confederazione dà avvio a un esperimento pilota su Mastodon

Berna, 12.09.2023 - La Cancelleria federale ha aperto un’istanza su Mastodon. Nell’ambito della comunicazione governativa intende così sperimentare un media sociale organizzato in modo decentralizzato. Su questa istanza, Consiglio federale e dipartimenti possono gestire dei conti ufficiali (account). La durata dell’esperimento pilota è limitata a un anno.

Da molti anni il Consiglio federale e l’Amministrazione federale utilizzano i media sociali per comunicare. Questi ultimi li supportano nell’adempimento del mandato legale d’informazione permettendo loro di raggiungere parti di popolazione, soprattutto i più giovani, che sarebbero difficilmente raggiungibili su altri canali.

Nell’ambito di un esperimento pilota, la Cancelleria federale ha deciso di aprire un’istanza su Mastodon. Denominata «social.admin.ch», tale istanza è a disposizione del Consiglio federale e dei dipartimenti affinché possano registrare i loro conti ufficiali. Gli utenti che dispongono di un conto presso un’altra istanza possono seguire i conti registrati sull’istanza social.admin.ch e leggere i relativi contenuti, conformemente alla logica e agli usi di Mastodon.

Attualmente il DFAE, il DFI e il DEFR prevedono di gestire uno o più conti ufficiali sull’istanza social.admin.ch. La Cancelleria federale stessa ne gestisce uno per il portavoce del Consiglio federale.

Mastodon presenta alcune caratteristiche allettanti per la comunicazione a livello governativo. La piattaforma è organizzata in modo decentralizzato e non lavora su un server centrale. Per questo essa si sottrae al controllo sia di una singola impresa sia delle autorità statali di censura. Mastodon rispetta la protezione dei dati. La sorte dei dati degli utenti è decisa dai gestori delle istanze. Molti di loro sono trasparenti; nel rilevare i dati si limitano a quanto strettamente necessario per la gestione dell’istanza ed escludono esplicitamente la vendita e il commercio di dati. Anche l’istanza della Cancelleria federale sarà gestita nel rispetto della protezione dei dati.

I media sociali sono in rapida evoluzione. La Confederazione segue costantemente questi sviluppi anche per verificare se prendere in considerazione nuove piattaforme o piattaforme esistenti non ancora utilizzate dall’Amministrazione federale quali canali d’informazione. L’esperimento pilota con Mastodon va visto in questo contesto. Non ha ripercussioni sull’utilizzo di altre piattaforme di media sociali da parte del Consiglio federale o dell’Amministrazione federale. La durata dell’esperimento è limitata a un anno. L’ulteriore modo di procedere sarà deciso alla luce delle esperienze acquisite.

Per i non svizzeri: DFAE è il Dipartimento federale degli affari esteri; DFI è il Dipartimento federale dell’interno (@EDI_DFI@social.admin.ch); DEFR è il Dipartimento federale dell’economia, della formazione e della ricerca.

L’account Mastodon del portavoce del Consiglio federale, André Simonazzi, è @gov@social.admin.ch.

Per chi volesse iscriversi a Mastodon (gratuitamente e senza dare dati personali a nessuna azienda, ottimo sostituto dell’ormai impresentabile e inutilizzabile Twitter/X), ho preparato una miniguida facile facile.

Raffica di attacchi contro siti istituzionali svizzeri: il punto della situazione stamattina a Modem (RSI)

Stamattina sono stato ospite del programma Modem della Radiotelevisione Svizzera (Rete Uno) per parlare della serie di attacchi informatici che hanno colpito numerosi siti istituzionali nazionali, su due filoni: distributed denial of service da una parte e ransomware con esfiltrazione e pubblicazione di dati sensibili. 

L’annuncio fatto dal gruppo Play dell‘esfiltrazione dei dati dal sito di Xplain. Fonte: Bleepingcomputer.com.

Potete riascoltare la puntata qui sotto:

Questo è il mio rapido riassunto delle informazioni pubblicate sugli attacchi noti fin qui, sugli aggressori e sulle misure di difesa possibili.

• Ci sono rivendicazioni di un gruppo filorusso che si fa chiamare NoName. Il Centro Nazionale per la Cibersicurezza conferma “legami con la Russia del gruppo responsabile” (RSI).
• Il gruppo NoName ha un canale Telegram pubblicamente accessibile, dove annuncia i propri attacchi in inglese (NoName057(16) Eng) e in russo (NoName057(16)).  
• 15 giugno: NoName rivendica DDOS contro RUAG e “ZVV – la  rete di trasporto che copre il cantone di Zurigo e le aree adiacenti – Svizzera turismo e SwissID, i cui siti web sono risultati temporaneamente inaccessibili.” (RSI). 
• 14 giugno: il Centro Nazionale per la Cibersicurezza (NCSC) pubblica un altro comunicato stampa sull’attacco ai danni di Xplain, nel quale precisa che “tra i dati di Xplain rubati e criptati vi erano probabilmente anche dati operativi dell’Amministrazione federale”, diversamente da quanto annunciato inizialmente. “Le diverse autorità e organizzazioni interessate devono chiarire se i dati trafugati sono attuali e se la loro pubblicazione possa comportare implicazioni di ampia portata. [...] Dato che sono stati colpiti dati operativi, diversi servizi dell’Amministrazione federale hanno sporto denuncia penale o stanno prendendo in considerazione misure simili. Ciò permetterebbe di chiarire per quale motivo i dati dell’Amministrazione federale sono finiti nel sistema della ditta Xplain”. Un’ipotesi è che si tratti di dati condivisi con Xplain per risolvere questioni tecniche (cose per esempio del tipo “questo allegato in una mail inviata da un cliente fa scattare l’antivirus/l’antispam, ti giro la mail per fartela analizzare”).
  
• 14 giugno: NoName rivendica DDOS al sito della Città di Bellinzona, effettuato con circa 1500 computer al ritmo di 70.000 richieste/secondo (RSI).
• 14 giugno: NoName rivendica DDOS ai siti del Canton Basilea Città, città di Zurigo, San Gallo (RSI) (La Regione).
• 13-14 giugno: pubblicati nel dark web “altri dati operativi sottratti in precedenza all’Amministrazione federale. Questi attacchi di tipo ransomware erano stati inflitti a fine maggio ai danni di Xplain, ditta svizzera che fornisce software per le autorità e avevano interessato, tra gli altri, l'Ufficio federale di polizia (Fedpol) e l'Ufficio federale della dogana e della sicurezza dei confini (UDSC), nonché le FFS e le autorità di polizia cantonali.” (RSI). Attribuito al gruppo che si fa chiamare Play. “Non vi sono tuttavia ancora prove che i sistemi federali siano stati attaccati direttamente. Visto che sono stati colpiti dati operativi, diversi servizi dell’amministrazione federale hanno sporto denuncia penale o stanno prendendo in considerazione misure simili. Ciò permetterebbe di chiarire per quale motivo questi dati sono finiti nel sistema della ditta Xplain, una società che sviluppa, tra l'altro, applicazioni per i servizi cantonali di esecuzione delle pene.” (RSI).
• 14 giugno: NoName rivendica DDOS contro il sito dell’aeroporto di Ginevra (Swissinfo).
  
• 8 giugno: NoName rivendica DDOS contro il sito del Parlamento svizzero, Parlament.ch (Swissinfo). Non è corretto dire che il gruppo di criminali informatici si è “intrufolato”, come scrive La Regione: un DDOS non sfonda le difese, non entra nel sito, ma lo rende inaccessibile agli utenti legittimi.
• 8 giugno: il Centro Nazionale per la Cibersicurezza (NCSC) pubblica un comunicato stampa sull’attacco ai danni di Xplain.
• 3 giugno: “L'esercito svizzero, l'Ufficio federale della dogana e della sicurezza dei confini (UDSC), l'Ufficio federale di polizia (Fedpol) e diversi corpi di polizia cantonali sono indirettamente toccati da un attacco cibernetico. Secondo rivelazioni pubblicate sabato dal quotidiano romando Le Temps, l'aggressione ha visto come vittima Xplain, una società informatica bernese a cui facevano riferimento tutte le entità in questione... Si parla di sei file compressi contenenti migliaia di documenti, provenienti dalla società con sede a Interlaken (BE) specializzata in servizi di sicurezza informatica... UDSC e Fedpol hanno confermato a Keystone-ATS che sono state divulgate delle informazioni, minimizzando la portata di quanto accaduto: l'Ufficio delle dogane sostiene che non sono stati sottratti dati interni, bensì elementi legati alla corrispondenza con clienti, mentre Fedpol afferma che l'attacco non ha interessato i suoi progetti, ma soltanto "dati di simulazione anonimizzati a scopo di test".” (Tvsvizzera.it)
• L’attacco contro Xplain sembra un classico caso di supply chain attack, nel quale l’aggressore prende di mira un fornitore di servizi o risorse tecniche del bersaglio effettivo e lo usa per raggiungere quel bersaglio. Tecnica molto efficace, usata già per esempio per i grandi attacchi di Solarwinds e NotPetya.
• A fine maggio il gruppo Play ha fatto ransomware a Xplain (annuncio pubblico del gruppo il 23 maggio) e ha colpito anche i media: CH Media e NZZ (The Local). Colpiti indirettamente anche le FSS e il Cantone di Argovia (RSI) il Dipartimento dell'istruzione di Basilea Città, l'amministrazione comunale di Rolle (Vd), “l'Università di Neuchâtel e il caseificio Cremo nel Cantone di Friburgo” (La Regione).

Attenzione al falso “concorso Manor” di San Valentino: è spam che riempie il telefono di pubblicità

In Svizzera sta circolando un finto concorso apparentemente associato alla notissima catena di grandi magazzini Manor. Non condividete il link al “concorso”: è spam.

Il link in questione è http://lever***scramble.cn/Manor-v2w/tb.php?oo=zo1676573320813 (con age al posto dei tre asterischi), che porta poi a 50xun9d(punto)cn. Già il suffisso CN, che indica la Cina, dovrebbe far riflettere: perché mai Manor dovrebbe gestire i suoi concorsi attraverso un sito cinese? Ma forse gli utenti distratti non si accorgeranno del suffisso .cn, visivamente abbastanza simile a .ch, e i truffatori contano proprio sulla disattenzione delle vittime.

Il “concorso” dapprima fa fare un gioco (che in realtà è truccato, per cui si “vince” sempre) e poi chiede di mandare una copia del link/invito ad almeno 20 contatti su WhatsApp o Messenger per poter accedere ai “premi”, che ammonterebbero (dicono i truffatori) a 2000 franchi. Se mandiamo questo link/invito, esponiamo i nostri amici e colleghi alla stessa trappola, di cui probabilmente si fideranno perché arriva da una persona di cui si fidano.

In realtà ho visto che non c'è bisogno di mandare questi inviti: se si clicca tante volte si passa lo stesso al livello successivo. La barra di progressione alla fine arriva al 100% senza aver dato i contatti di nessuno.

Dopo aver chiesto di “registrare” un’app, inizia il bombardamento pubblicitario. La truffa sembra consistere proprio in questo: sfruttare un nome molto conosciuto (quello della Manor) per sembrare credibili e convincere il maggior numero possibile di persone a seguire le istruzioni e condividere il link, in modo da incassare denaro per la visualizzazione di pubblicità.

Ovviamente Manor, che ha già smentito ogni legame con questo “concorso”, ne può subire un danno reputazionale.

Ho già segnalato a Google il sito truffaldino; chiedo anche a voi di fare altrettanto usando l’apposita opzione del vostro browser oppure andando a questo link per Firefox.

Svizzera, cosa fare se la TV digitale di Sunrise non vi funziona più e siete ex clienti UPC (come me)

Se siete utenti della TV digitale diffusa via cavo in Svizzera da Sunrise e improvvisamente non vi funziona più, forse la causa è più banale di quel che potreste immaginare. Io ci ho perso due settimane, restando per ore al telefono con l’assistenza clienti senza che si riuscisse a venirne a capo. Poi è arrivata la rivelazione.

Ve la condivido subito, così non perderete tempo anche voi: se siete ex clienti UPC passati a Sunrise e di colpo il servizio cessa di funzionare, assicuratevi prima di tutto che il vostro TV Box sia marchiato Sunrise. Se è ancora marchiato UPC, ditelo subito all’assistenza clienti e fatevene mandare uno marchiato Sunrise. Insistete e siate inamovibili. Qui sotto spiego perché.

---

Piccola premessa per i non svizzeri: in quasi tutta la Confederazione la TV è diffusa via cavo coassiale da molti anni, dapprima in formato analogico e poi in formato digitale. Le tipiche antenne sui tetti, così diffuse in altri paesi, qui sono rarissime. Oggi c’è la concorrenza dei canali TV satellitari e dello streaming via Internet, ma “la via cavo”, come si chiama comunemente qui, è ancora diffusissima. Sul coassiale viaggia anche Internet, e qui al Maniero Digitale ho una connessione di questo tipo che mi offre un gigabit in download e 100 megabit in upload.

Il mio provider, sia per Internet sia per la TV, è Sunrise. Prima avevo UPC, ma UPC si è fusa con Sunrise e così alcuni mesi fa sono diventato cliente Sunrise (e in questa migrazione sta, temo, l’origine di tutte le mie tribolazioni).

La migrazione inizialmente è andata bene: è cambiato il software sul TV Box (il ricevitore che prende il segnale digitale dal cavo coassiale e lo passa alla TV tramite cavo HDMI), la Dama del Maniero ed io abbiamo continuato a ricevere i programmi TV, e anche il servizio Internet è stato erogato senza interruzioni (a parte il tempo di installare un nuovo “modem” per gestire la connessione a 1 gigabit).

---

Il 5 dicembre scorso la Dama mi ha segnalato che la sua Apple TV personale (foto qui accanto, che mostra solo il monitor ma non l’Apple TV vera e propria) non le permetteva più di vedere i programmi TV tramite l’apposita app di Sunrise. Compariva sullo schermo la dicitura “Accesso non possibile - Per utilizzare la Sunrise TV App sulla tua piattaforma TV, hai bisogno di un abbonamento attuale a Sunrise TV con o senza Sunrise TV box”, seguita dalla richiesta di digitare di nuovo nome utente e password. Anche il TV Box non dava più accesso, con un codice di errore CS9993. Un guasto strano, visto che la Apple TV riceve il servizio TV di Sunrise via Internet (e la connessione a Internet era perfettamente funzionante) mentre il TV Box riceve il servizio TV di Sunrise tramite cavo coassiale.

Ho pensato a un errore di digitazione delle credenziali (erano giuste), poi a un errore di software (ho rimosso e reinstallato l’app di Sunrise), poi a un difetto della Apple TV (ho reinstallato il sistema operativo e ho fatto tutti gli aggiornamenti), ma niente da fare. Intanto il diagnostico del TV Box dava segnale inesistente sul cavo (cosa impossibile, visto che Internet funzionava).

Dopo aver aspettato qualche giorno pensando che potesse trattarsi di un malfunzionamento temporaneo del servizio, il 9 dicembre ho iniziato il calvario delle chiamate al servizio clienti: gentilissimo, per carità, e dotato di pazienza infinita, ma chiaramente gestito da persone che devono seguire un diagramma di flusso scritto da altri e non sanno come funziona l’hardware. Ho spiegato il problema, precisando che ero un ex utente UPC, descrivendo dettagliatamente tutti i sintomi e aggiungendo che avevo già provato a reinstallare sia l’app sia il sistema operativo sulla Apple TV. Ma gentilmente e pazientemente mi hanno chiesto di rifare tutto quanto da capo. Ovviamente non è servito a nulla.

Poi gentilmente e pazientemente hanno provato a cambiarmi nome utente e password tramite i loro sistemi, e io pazientemente ho immesso le nuove credenziali nell’Apple TV. Altrettanto ovviamente, non è servito a nulla neanche questo. La Apple TV ha continuato a non dare accesso ai servizi Sunrise. 

Intanto il TV Box (lo scatolotto nero appena visibile sotto il televisore, sulla destra, nella foto qui accanto) aveva cambiato errore: a questo punto dava il codice Errore del conto CS1011 e diceva “Non siamo in grado di recuperare i dettagli del tuo account. Per favore contattaci”. Cosa che appunto stavo facendo, ma non stava servendo a nulla.

Siamo andati avanti così per un paio di giorni, con infiniti tentativi di cambio password e nome utente e persino con un reset da remoto del modem (fatto prima che io li potessi fermare e costatomi una mezza giornata per reimpostare tutta la configurazione), mentre io dicevo che era chiaro che era inutile continuare a tentare con cambi di password perché non si trattava di un errore nel mio dispositivo o nel suo software ma c’era un problema nella loro gestione degli accessi. Infatti se immettevo nell’Apple TV le credenziali giuste compariva “Accesso non riuscito”; se invece sbagliavo intenzionalmente le credenziali, mi diceva “Nome utente o password non valido”.

Paradossalmente, però, le credenziali funzionavano perfettamente se immesse nell’app Sunrise per telefonini o nel sito Web di Sunrise per vedere la TV in streaming tramite browser.

Dopo l’ennesimo tentativo infruttuoso di rianimare l’Apple TV, l’assistenza clienti telefonica si è arresa e ha finalmente deciso di inviare un tecnico al Maniero.

Ci siamo ingegnati guardando la TV via browser e tramite il servizio concorrente (Zattoo) in attesa della Fatidica Visita.

---

Il 19 dicembre è arrivato il tecnico della Cablex, l’azienda che fa l’assistenza in loco per i clienti Sunrise. ha fatto qualche test di base, confermando che il segnale sul cavo coassiale era ottimo, ha ascoltato pazientemente la mia spiegazione dei sintomi e ha visto che non stavo vaneggiando, e inizialmente ha alzato bandiera bianca: un Apple TV che non accettava le credenziali e un TV Box che non riusciva a recuperare i dettagli dell’account erano chiari indicatori di un problema di gestione delle credenziali stesse (ma che sorpresa), però il servizio tramite browser che le accettava era un controsenso. In ogni caso, tutto indicava un problema nel backend di Sunrise.

All’ultimo momento, però, gli è caduto l’occhio sul frontale del TV Box e si è accorto che era ancora marchiato UPC. Era ancora quello vecchio, di quando eravamo clienti UPC. Sunrise avrebbe dovuto mandarci quello nuovo, ma non lo aveva fatto. E quello vecchio aveva continuato a funzionare per mesi, e quindi io non mi ero posto il problema di doverlo eventualmente sostituire.

Il tecnico ha ordinato subito per telefono un TV Box nuovo, e ha spiegato che tutto si sarebbe risolto installandolo: infatti la gestione dell’autenticazione dell’account dipende non solo da nome utente e password, ma anche dalla presenza online del TV Box abbinato all’account (l’abbinamento è basato sul MAC Address del TV Box). In altre parole, il messaggio della app di Sunrise su Apple TV “Per utilizzare la Sunrise TV App sulla tua piattaforma TV, hai bisogno di un abbonamento attuale a Sunrise TV con o senza Sunrise TV box” è totalmente ingannevole: il TV Box ci vuole eccome.

Non abbiamo pagato nulla e il TV Box nuovo è arrivato il giorno dopo: non appena installato, tutto ha ripreso a funzionare, anche la Apple TV.

---

La spiegazione più probabile di questo gran garbuglio è che quando UPC e Sunrise si sono fuse, il backend di UPC è rimasto attivo in parallelo a quello di Sunrise per un periodo di transizione (e quindi il vecchio TV Box ha continuato a funzionare); alla fine di questo periodo, però, il vecchio backend è stato disattivato e quindi chi aveva ancora il vecchio TV Box si è trovato senza servizio di colpo e soprattutto senza motivo apparente.

Tutto si sarebbe risolto immediatamente se il servizio clienti avesse prestato attenzione alla mia segnalazione del fatto che ero un ex cliente UPC e mi avesse chiesto se avevo ricevuto un TV Box aggiornato; se i messaggi diagnostici fossero stati almeno vagamente informativi invece di creare confusione; o se qualcuno avesse notato che c’era una discrepanza fra il numero di utenti ex UPC e il numero di TV Box nuovi inviati. Insomma, se siete ex clienti UPC e ora siete clienti Sunrise, mi raccomando: per prima cosa controllate che sul vostro TV Box (lo scatolotto nero) ci sia il marchio Sunrise e non quello UPC.

Spero che questi appunti possano essere utili ad altre anime dannate.

Antibufala: Il Sole 24 Ore, La Provincia di Como, HWupgrade e lo “stop ai veicoli elettrici” in Svizzera (spoiler: non c’è nessuno stop)

Pubblicazione iniziale: 2022/11/29 13:33. Ultimo aggiornamento: 2022/12/13 9:10.

La Provincia di Como ha pubblicato il 28 novembre un articolo (copia permanente) a firma di Marco Palumbo che titola “Svizzera, stop ai veicoli elettrici e in autostrada si va a 100 all’ora”. Il titolo fa sembrare che sia una descrizione della situazione attuale o prossima ventura (il sottotitolo parla di “misure in vigore dal 12 dicembre”), e ovviamente gli ottusangoli che odiano le auto elettriche ne gongolano pateticamente (sulla scia per esempio di Francesca Totolo).

Un articolo su HWupgrade (copia permanente) segue la stessa falsariga, usando il titolo “Clamoroso dietrofront della Svizzera: auto elettriche vietate, limite a 100 km/h e riscaldamento a 18 gradi” per un articolo a firma di Massimiliano Zocchi. 

L’8 dicembre Il Sole 24 Ore ha titolato “Auto elettriche: la Svizzera vicina al divieto di circolazione. Svezia stop agli incentivi”, a firma di Giulia Paganoni (copia permanente).

Ma tutti questi titoli sono falsi e ingannevoli. Abito in Svizzera (vicino a Lugano) e ho un’auto elettrica. Posso dire, con la certezza dell’esperienza diretta sul posto, che non c’è nessuna restrizione alla circolazione delle automobili elettriche.

L’articolo de La Provincia spiega che l’idea di limitare l’uso dei veicoli elettrici per gestire la penuria energetica è solamente un’ipotesi. Cito infatti dall’articolo in questione:

[...] l’esecutivo federale ha persino paventato l’ipotesi di introdurre «il divieto di circolazione delle auto elettriche, in caso di penuria energetica»

Il presunto “divieto” non è in vigore oggi e non è previsto che entri automaticamente in vigore dal 12 dicembre. 

La frase virgolettata da Marco Palumbo sembra essere tratta da questo documento PDF del Consiglio Federale, che è un documento consultivo, non dispositivo: è una sorta di FAQ sulle misure per contrastare la penuria di energia elettrica.

Fra le tante misure in consultazione, si propone di limitare a 100 km/h la velocità sulle strade nazionali (attualmente il limite autostradale è 120 km/h) perché “chi viaggia sotto i 100 km/h dovrà ricaricare di meno le batterie, riducendo così il consumo di elettricità.” Quindi nessuno “stop”, ma semmai una eventuale limitazione dei consumi.

Il documento propone anche un divieto di uso delle auto elettriche, ma solamente “[i]n caso di penuria persistente (fase 3)”. In tal caso “si può limitare l'uso privato delle auto elettriche al minimo indispensabile. Rimarrà lecito l'uso per spostamenti assolutamente necessari come la spesa, le visite mediche e l'esercizio della propria professione.” Quindi anche nel caso peggiore, non si tratterebbe di uno stop assoluto. 

Inoltre la condizione di “penuria persistente” citata dal documento è una situazione assolutamente eccezionale. Chi volesse approfondire la questione invece di fermarsi a un titolo sensazionalistico può leggere queste fonti: Energia - situazione attuale (Ufficio federale per l’approvvigionamento economico del Paese); Provvedimenti in caso di penuria di elettricità (Dipartimento federale dell’economia, della formazione e della ricerca); Energia: in consultazione le misure per far fronte a un’eventuale penuria di elettricità (Consiglio Federale); Ticinonews; La Regione; TVsvizzera.it.

2022/12/13 9:10. Sulla questione è intervenuto oggi il Corriere del Ticino con un editoriale di Paride Pelli che nota che “Se non si tratta di fake news, poco ci manca”.

Antibufala: il manifesto che invita gli svizzeri a segnalare chi riscalda troppo la casa è un falso

Pubblicazione iniziale: 2022/09/12 10:26. Ultimo aggiornamento: 2022/09/16 8:35.

In breve: La foto del manifesto che invita gli svizzeri a segnalare i vicini che tengono il riscaldamento a più di 19 gradi è un falso. Nessun manifesto o invito del genere è stato diffuso dalle autorità della Confederazione, che hanno formalmente smentito l’immagine.

Si tratta quasi sicuramente di un fotomontaggio realizzato inserendo digitalmente il falso manifesto in una fotografia stock di una bacheca per manifesti. 

 

In dettaglio: Sta circolando in maniera virale su Internet e in particolare sui social network l’immagine di un presunto manifesto che reca il logo ufficiale della Confederazione Svizzera, il numero del servizio stampa e informazioni dell’Ufficio Federale dell’Energia, la dicitura “Heizt der Nachbar über 19 Grad? Dann informieren Sie uns” (“Il vicino tiene il riscaldamento a più di 19 gradi? Allora avvisaci”) e la promessa di anonimato e di una ricompensa di 200 franchi (circa 200 euro).

L’Ufficio Federale dell’Energia ha dichiarato di non avere nulla a che fare con questa immagine e ne ha preso formalmente le distanze, secondo quanto riferito da 20min.ch e da Mimikama.at, che vi invito a leggere per i dettagli. Non si sa chi sia l’autore del falso, ma Mimikama nota che la sua prima apparizione è stata notata in un forum russo.

La foto stock con la quale è stata quasi sicuramente creata l’immagine falsa. Credit: 20min.ch.

La Regione segnala che “Fra chi ci è cascato con tutte le scarpe, troviamo anche dei politici, come l’europarlamentare italiano, in quota Lega, Marco Campomenosi”. È troppo chiedere ai politici di essere più responsabili nell'uso dei social? Perché è difficile lottare contro le fake news se sono loro stessi a condividerle. 

 ---

21:20. L’indagine tecnica del collega David Puente, pubblicata su Open, ha trovato la fonte di entrambe le immagini usate per costruire quella falsa, rileva che il falso manifesto è stato promosso con forza dalla propaganda russa e che anche Maria Giovanna Maglie (opinionista ed ex giornalista Rai) ha condiviso la bufala.

---

2022/09/15 00:15. La Regione riferisce che la polizia federale svizzera ha “aperto ufficialmente un’inchiesta dopo aver ricevuto una denuncia per uso abusivo dello stemma e altri elementi della Confederazione.” Il Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni (DATEC) ha pubblicato sul proprio sito un avviso (copia permanente): “Notizia falsa - Da sabato circolano sui social media falsi post nei quali si invita a segnalare alla Confederazione i casi in cui un vicino riscalda la propria casa oltre i 19 gradi. La Confederazione non ha nulla a che fare con questo appello e ne prende le distanze in ogni forma. Il logo della Confederazione e il numero di telefono riportati sull'immagine sono stati utilizzati in modo abusivo. Non esistono manifesti né appelli di questo genere della Confederazione, si tratta ovviamente di un caso di manipolazione. La Confederazione ha avviato accertamenti a riguardo.”

Maggiori informazioni e analisi dettagliate sono su RSI e Swissinfo.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

Svizzera, bug bounty di stato per migliorare la sicurezza informatica federale

Il Centro nazionale per la cibersicurezza (NCSC) della Confederazione Svizzera ha annunciato oggi che l’amministrazione federale ha acquisito una piattaforma centrale per gestire dei bug bounty “allo scopo di potenziare la sicurezza dell’infrastruttura IT e ridurre i ciber-rischi in modo efficace ed economicamente vantaggioso”. L’annuncio è stato dato anche dal Dipartimento federale delle finanze.

Secondo lo schema classico dei bug bounty, gli hacker verranno invitati a testare la sicurezza dei sistemi informatici dell’amministrazione rispettando un regolamento e dei vincoli di riservatezza. Il progetto verrà gestito in collaborazione con la società lucernese Bug Bounty Switzerland SA. I dettagli delle condizioni di partecipazione non sono ancora stati resi pubblici.

Non è la prima esperienza federale del genere: per esempio, nel 2021 è stato realizzato un progetto pilota che ha scoperto dieci vulnerabilità (una delle quali era considerata critica) nei sistemi informatici del Dipartimento federale degli affari esteri e del Parlamento. Un analogo test pubblico di sicurezza è stato effettuato a giugno 2021 per verificare la sicurezza dell’app Covid Certificate di gestione dei certificati Covid. Nel 2019 un bug bounty organizzato dalla Posta svizzera per testare il sistema di voto elettronico, offrendo premi fino a 50.000 CHF, ha rivelato errori che hanno poi portato alla sospensione del progetto di e-voting.

I bug bounty possono sembrare strani ai non addetti ai lavori: vengono spesso considerati l’equivalente di pagare uno scassinatore per far valutare la sicurezza di una cassaforte. In realtà il paragone andrebbe fatto coinvolgendo un fabbro più che uno scassinatore. In ogni caso, si è visto che il sistema funziona e costa relativamente poco, tant’è vero che praticamente tutte le società informatiche più grandi del mondo offrono bug bounty, spesso molto sostanziosi.

Fonti aggiuntive: La Regione, RSI, Swissinfo, Netzwoche, Bugbounty.

Svizzera, diritto fiscale internazionale per paese: Tacchino. Bonus: il tacchino di Rambo

Pagina del sito dell’Amministrazione federale delle contribuzioni della Confederazione.

Ho scritto subito una mail chiedendo rettifica, ma prima ho immortalato questa perla, segnalata da Cherubina Ravasi e @latraduzionedim.

10:25. La perla è già stata corretta a tempo di record.

16.15. Per restare in tema di tacchini e di traduzioni farlocche, Marco e SpiderVan mi segnalano nei commenti una spettacolare stupidaggine di traduzione in Rambo a 1:06:28: lo sceriffo va in un bar e, secondo la traduzione italiana, ordina un tacchino.

Nessuno che si sia chiesto se avesse senso ordinare un tacchino in un locale del genere. E ci è andata bene che il labiale era corto, altrimenti chissà, avremmo potuto assistere allo spettacolo di Brian Dennehy che ordina un tacchino selvatico. Perché in originale chiede un Wild Turkey, che è una nota marca di whiskey.

Aggiornamento personale: sono diventato cittadino svizzero

Piccola nota personale: ieri è arrivata al Maniero Digitale una lettera che mi comunica ufficialmente che sono diventato cittadino svizzero dal 13 dicembre scorso. È un traguardo di un percorso durato dodici anni, visto che in un caso come il mio ne servono appunto almeno dodici di residenza ininterrotta, più la frequentazione di un corso di naturalizzazione (con relativo esame, che ho superato) e la dimostrazione di essersi integrati nella società nazionale, per poter tentare di acquisire la cittadinanza.

Da pochi giorni, quindi, ho tre cittadinanze: svizzera, britannica e italiana. Non è obbligatorio rinunciare a nessuna, ma credo che cercherò di semplificare la mia posizione. Qui ho messo radici solide e mi sento a casa.

Cosa assai importante, da oggi ho diritto di voto in Svizzera e potrò quindi partecipare più direttamente alla vita politica del paese e avere voce nelle scelte locali e federali che toccano me e la mia famiglia.

Per chi si stesse chiedendo cos’è l’attinenza che si legge nell’immagine c’è un apposito spiegone. E sì, in burocratese svizzero italiano si dice acquistare la cittadinanza. La procedura di naturalizzazione è descritta qui.

Allerta per Emotet, che usa i documenti Microsoft Office per vuotare i conti bancari

Il Centro nazionale per la cibersicurezza svizzero (NCSC) ha pubblicato pochi giorni fa un avviso che segnala il ritorno di Emotet, un malware che il Centro non esita a definire “il malware più pericoloso al mondo”.

Si parla di ritorno perché a gennaio 2021 Europol aveva annunciato un’importante operazione contro Emotet che aveva permesso di mettere offline i server di comando e controllo e di smantellare la botnet associata a questo malware.

Ma l’NCSC riferisce che “negli ultimi giorni esperti di sicurezza di tutto il mondo hanno segnalato nuovi attacchi perpetrati con questo malware. Da un paio di giorni Emotet è presente anche in Svizzera.” Gli attacchi si basano sull’invio di mail con “allegati Excel contenenti macro nocive” e i mittenti hanno indirizzi con dominio .ch. Il Centro raccomanda pertanto di “di bloccare subito i documenti di Microsoft Office sui gateway di posta elettronica (.xlsm, .docm)”.

Un elenco dei siti infettati da Emotet è disponibile qui presso Abuse.ch.

Emotet è nato come trojan dedicato alla penetrazione dei sistemi informatici delle vittime con lo scopo di ottenere le credenziali di accesso ai loro conti bancari, ma con il passare del tempo i suoi vari gestori lo hanno trasformato in un cosiddetto dropper: un malware che fa da puro agente di penetrazione e poi, una volta arrivato a destinazione, scarica il malware vero e proprio.

Ê anche nato un vero e proprio mercato di compravendita dei siti infettati: spesso un gruppo criminale usa Emotet per entrare in un sistema informatico e poi ne vende il controllo a un altro gruppo, e così via: l’ultimo della catena di acquisti lo usa poi per installare un classico ransomware che cifra i dati della vittima, alla quale viene poi chiesto un riscatto per sbloccare i dati.

Emotet viene considerato particolarmente pericoloso anche perché il suo aspetto può ingannare anche un utente piuttosto smaliziato.

This is what it looks like out of the box on Windows 11. How on Earth is the user supposed to know this is malicious?

Trusted App ✅
Publisher Adobe Inc pic.twitter.com/eEntoWgCch

— Kevin Beaumont (@GossiTheDog) December 1, 2021

L’NCSC prosegue dicendo che una volta che Emotet è entrato in un sistema informatico “è quasi impossibile liberarsene. Ha un’elevata capacità di adattamento ed è ad esempio in grado di leggere i contatti e i contenuti delle e-mail nelle caselle di posta elettronica dei sistemi infetti”. I dati raccolti con questa tecnica consentono di “lanciare altri attacchi. Le nuove vittime ricevono e-mail fasulle apparentemente inviate da collaboratori, soci d’affari o conoscenti e vengono convinte ad aprire un documento Word e ad attivare le macro Office.”

Paradossalmente, le reti informatiche che maggiormente ospitano i siti di distribuzione di malware sono proprio quelle di Microsoft, come segnala Abuse.ch:

The top networks hosting malware distribution sites in November 2021 were...

6'961 MICROSOFT 🇺🇸
5'031 CHINA169 🇨🇳
1'973 CHINANET 🇨🇳
1'894 BSNL 🇮🇳
1'177 UNIFIEDLAYER 🇺🇸
900 WIND Telecom 🇩🇴
698 PUBLIC-DOMAIN-REGISTRY 🇮🇳
591 GOOGLE 🇺🇸
374 ALIBABA 🇨🇳
311 DROPBOX 🇺🇸

— abuse.ch (@abuse_ch) December 1, 2021

Il Centro nazionale per la cibersicurezza propone infine dei consigli per proteggersi da Emotet:

• Siate prudenti anche quando ricevete e-mail da mittenti apparentemente noti, in particolare se contengono allegati e link.
• Se sospettate che l’e-mail è fasulla contattate direttamente il mittente per verificare l’attendibilità del contenuto.
• Bloccate i documenti Office contenenti macro sui programmi di posta elettronica e proxy.
• Installate subito tutti gli aggiornamenti di sicurezza disponibili per i sistemi operativi, i browser, client di posta elettronica e programmi di Office.
• Proteggete gli accessi VPN tramite un’autenticazione a due fattori e installate le patch su tutti i dispositivi esposti.
• Effettuate regolarmente un backup dei dati su un supporto di archiviazione esterno e custoditelo offline.
• Conservate almeno due generazioni di backup.
• Le imprese dovrebbero continuamente sorvegliare gli attacchi sulle proprie reti.
• Inviate le e-mail nocive a reports@antiphishing.ch oppure segnalatele al servizio di contatto dell’NCSC tramite l’apposito modulo.