Privacy Letters #56
Chat Control, ToolShell, React2Shell e molto altro
Dal nodo #56, tra traffico cifrato e log cancellati. Questi i frammenti che resistono:
Chat Control: Sorveglianza digitale e libertà
L’operazione ToolShell e la regia cinese
React2Shell: cosa sta succedendo davvero
Il Pentagono lancia GenAI.mil
Encrypted Cloud Storage
Scoperta falla critica su WhatsApp e Signal
Boot:
Mentre il mondo si prepara ad una nuova era di minacce digitali, con hacker sponsorizzati da stati o gruppi indipendenti pronti a colpire infrastrutture critiche, aziende e dati personali, alcuni governi europei sembrano completamente fuori rotta. La loro soluzione? Controllare le chat dei cittadini.
Il cosiddetto Chat Control vuole filtrare messaggi privati su piattaforme come WhatsApp, Telegram o Signal, con l’illusione di prevenire crimini o abusi online. È una misura che appare ridicola, quasi grottesca, se confrontata con i veri pericoli che incombono. Nessun algoritmo potrà fermare hacker motivati, ben organizzati e supportati da risorse statali. Le vere minacce non passeranno dalle conversazioni private, ma attraverso vulnerabilità nei sistemi energetici, sanitari, finanziari o nelle reti aziendali.
Questo episodio mette in luce una verità inquietante: i governi spesso faticano a distinguere il simbolico dal reale, concentrandosi su strumenti di controllo visibile mentre ignorano le vulnerabilità sistemiche che possono avere impatti devastanti. Il rischio non è la privacy compromessa dalle chat, ma la sicurezza nazionale e la stabilità economica compromessa dagli attacchi digitali di domani.
Invece di preparare eserciti digitali di cybersecurity, investire in infrastrutture resilienti e formare esperti capaci di prevenire e reagire agli attacchi, le istituzioni inseguono illusioni legislative. Il risultato è chiaro: la società rimane esposta e vulnerabile, mentre l’attenzione governativa resta su fantasmi, e non sulle minacce concrete.
In un mondo dove le minacce digitali crescono ogni giorno in sofisticazione e pervasività, il Chat Control è la prova lampante di un’incapacità strategica che potrebbe costare molto cara.
Arresti domiciliari digitali: come l’UE rischia di togliere potere alle famiglie
Negli ultimi mesi il dibattito sul cosiddetto chat control ha smesso di essere un tema tecnico per diventare il vero punto di svolta nel rapporto tra cittadini e istituzioni nell’era digitale. Ciò che sta emergendo nei negoziati europei non riguarda soltanto il contrasto agli abusi online, ma una trasformazione profonda del modo in cui comunichiamo, ci informiamo e tuteliamo la nostra vita privata.
Un cambio di rotta che divide
Il nuovo Commissario europeo agli Affari Interni ha dichiarato nei giorni precedenti ai negoziati di preferire l’impostazione del Parlamento Europeo, favorevole a controlli mirati e basati su un sospetto concreto, anziché alla sorveglianza generalizzata. Una posizione che è entrata in tensione con quella dei governi nazionali, che continuano a sostenere meccanismi molto più invasivi, come la scansione preventiva delle comunicazioni private. Questo inatteso allineamento del Commissario ha colto di sorpresa molti osservatori, mettendo in luce una frattura sempre più evidente tra istituzioni europee: da un lato un approccio che tutela i diritti fondamentali, dall’altro una spinta verso strumenti di controllo potenzialmente sproporzionati.
Il compromesso definito volontario, che volontario non è…
L’intesa attualmente in discussione in Europa si fonda su un concetto ambiguo: le piattaforme potrebbero teoricamente aderire su base volontaria alla scansione dei messaggi, ma nella pratica questo meccanismo aprirebbe la strada a un sistema di controllo esteso. Colossi come Meta o Google avrebbero la facoltà di analizzare qualsiasi comunicazione privata attraverso algoritmi poco trasparenti e non privi di errori. Sarebbe una sorta di delega implicita di funzioni giudiziarie a imprese straniere, senza garanzie e senza un sospetto specifico.
È difficile ritenere accettabile che la nostra corrispondenza venga aperta “volontariamente” da un postino. La risposta, nel nostro contesto costituzionale, è evidente.
Un Internet con il tesserino: la fine dell’anonimato
La proposta contiene anche un secondo elemento, ancor più critico: l’obbligo di presentare un documento per aprire un’email o utilizzare un’app di messaggistica. Un dettaglio solo in apparenza tecnico che, in realtà, segnerebbe la scomparsa dell’anonimato online.
Un dipendente pubblico che vuole denunciare un abuso, un attivista che teme ritorsioni, un giornalista che protegge le proprie fonti: tutte queste figure verrebbero identificate e registrate. Se un archivio centrale di identità digitali fosse violato, i rischi di truffe, furti d’identità o ricatti sarebbero enormi.
In nome di una sicurezza più apparente che reale, si finirebbe per indebolire quella autentica.
Lo Stato-tutore che isola gli adolescenti
La parte più sorprendente delle proposte riguarda i minori. Secondo la posizione dei governi, agli under 17 potrebbe essere proibito installare qualsiasi app che potrebbe essere utilizzata per tentativi di adescamento. Poiché quasi tutte le piattaforme di messaggistica o social network rientrano in questa categoria, la norma equivarrebbe a un divieto quasi totale di comunicazione digitale.
Il risultato sarebbe paradossale: un sedicenne non potrebbe più scrivere ai propri insegnanti e nemmeno ai propri genitori tramite le app più comuni.
Lo Stato finirebbe così per sostituirsi ai genitori nelle scelte educative, limitando la possibilità delle famiglie di guidare i propri figli con responsabilità e buon senso. Non sarebbe protezione, sarebbe isolamento.
La realtà dei falsi positivi
Gli investigatori sanno che questo approccio non funziona. In diversi Paesi una percentuale significativa delle segnalazioni prodotte da sistemi automatici riguarda contenuti del tutto innocui, come le foto di una giornata al mare. Un flusso di allarmi poco affidabili sottrarrebbe tempo e risorse proprio alle indagini più importanti.
Un Parlamento più equilibrato dei governi
Il Parlamento Europeo propone una linea diversa: controlli mirati solo in presenza di un sospetto concreto, nessun obbligo generalizzato di identificazione e nessun divieto preventivo per i minori. È una visione fondata sulla proporzionalità e su un equilibrio reale tra sicurezza e diritti fondamentali.
Il nodo politico
La domanda ora è semplice. I governi europei vogliono davvero adottare un modello in cui ogni cittadino può essere osservato e ogni adolescente rischia di essere escluso dalla vita digitale? Oppure sceglieranno di difendere quei principi di riservatezza e libertà che, dalle dichiarazioni dei diritti umani in poi, rappresentano la base stessa della nostra democrazia?
Il rischio è chiaro: una società in cui la tutela si trasforma in controllo e la paura diventa il pretesto per trasformare la dimensione digitale in una prigione senza sbarre.
Tre gruppi di hacker, due falle Microsoft e un’unica regia: perché lo sguardo è puntato sulla Cina
A marzo, sul palco del Pwn2Own di Berlino, ricercatori di sicurezza hanno dimostrato come fosse possibile violare da remoto Microsoft SharePoint, il software utilizzato da governi, ministeri e grandi aziende per archiviare documenti riservati.
Quella dimostrazione avrebbe dovuto restare riservata: Microsoft avrebbe corretto le falle e la vicenda si sarebbe chiusa.
Non è andata così.
Quattro mesi dopo, centinaia di organizzazioni in tutto il mondo hanno scoperto i propri server SharePoint compromessi. È stata l’inizio della campagna ToolShell. E l’aspetto più inquietante è che gli aggressori non erano uno, ma tre diversi gruppi di hacker cinesi, attivi nello stesso periodo e sugli stessi difetti.
Come è stato aperto il varco: le falle 49704 e 49706
L’8 luglio Microsoft ha pubblicato le patch per due vulnerabilità classificate come critiche.
Ma già il giorno precedente, secondo l’azienda, almeno tre gruppi cinesi le stavano sfruttando.
In meno di due settimane gli stessi gruppi hanno individuato un metodo per aggirare le correzioni. Microsoft è stata costretta a intervenire di nuovo, riconoscendo che gli attaccanti avevano una “comprensione sorprendentemente profonda” del funzionamento interno del software.
Nel frattempo, una società olandese di cybersicurezza ha confermato che oltre 400 enti pubblici e imprese in Europa, negli Stati Uniti e in altri Paesi erano già stati violati. Anche agenzie federali e statali statunitensi risultavano coinvolte.
La domanda che inquieta gli analisti: come hanno fatto così in fretta?
Tre gruppi distinti, tutti collegati alla Cina, che sfruttano la stessa vulnerabilità nella stessa finestra temporale sono un evento raro. Le possibili spiegazioni sono due.
1. Una fuga di informazioni all’interno della rete di difesa Microsoft
Prima di rilasciare una patch, Microsoft avvisa un gruppo ristretto di partner (MAPP) per permettere loro di prepararsi. Fra questi partner ci sono aziende cinesi che, per legge, devono comunicare ogni vulnerabilità al governo di Pechino prima ancora di avvisare il produttore del software.
La Cina dispone inoltre del CNNVD, un database di vulnerabilità gestito dal Ministero della Sicurezza dello Stato. Diversi esperti temono che questo meccanismo possa aver funzionato come canale di trasferimento involontario verso servizi d’intelligence e gruppi collegati.
Microsoft, dopo un’indagine interna, ha infatti limitato l’accesso MAPP ad alcuni partner cinesi.
2. Una struttura di coordinamento interna alla Cina
Il fenomeno non è nuovo. Era già accaduto con ProxyLogon nel 2021 e con la falla Ivanti nel 2023: più gruppi si sono mossi contemporaneamente su vulnerabilità Microsoft, sempre nel breve intervallo tra la scoperta del difetto e la pubblicazione delle patch.
Per questo diversi analisti ipotizzano l’esistenza di una sorta di centrale di coordinamento che distribuisce exploit e informazioni tecniche ai vari gruppi, ufficiali e non.
Chi sono i tre gruppi
Linen Typhoon
Legato all’Esercito Popolare di Liberazione, mira a ottenere accessi persistenti nelle reti governative e industriali. I suoi obiettivi principali sono difesa, telecomunicazioni e infrastrutture critiche.
Violet Typhoon
Associato al Ministero della Sicurezza dello Stato, è specializzato in operazioni di spionaggio politico e industriale.
Storm-2603
Il caso più anomalo. Formalmente classificato come gruppo ransomware, prende di mira ministeri, operatori telefonici europei e un’organizzazione con legami nel settore nucleare. Obiettivi atipici per criminali mossi dal profitto.
L’ipotesi più accreditata è che il ransomware sia una copertura e che le reali motivazioni siano di natura intelligence.
Una minaccia che sta cambiando forma
Nell’operazione ToolShell la sequenza è stata chiara:
acquisizione su vasta scala dell’accesso iniziale
selezione dei bersagli più rilevanti
sfruttamento rapido prima della chiusura della finestra di opportunità
Questa tattica appare sempre più diffusa nel panorama cinese: sfruttare ogni nuova vulnerabilità nel minor tempo possibile e bruciare la falla con attacchi su larga scala, invece di riservarla a obiettivi isolati.
La convergenza di più gruppi sulla stessa vulnerabilità non è più un’eccezione. Sembra emergere un modello operativo coordinato.
Perché questa vicenda è cruciale
SharePoint è utilizzato in tutto il mondo, nei ministeri come nelle infrastrutture critiche e in migliaia di aziende.
Tre gruppi distinti che lo colpiscono simultaneamente rappresentano una minaccia di portata globale.
La distinzione tra attori statali e criminali diventa sempre più sfumata, complicando la difesa.
La finestra di tempo tra scoperta e sfruttamento di una vulnerabilità è ormai prossima allo zero.
Per governi e imprese occidentali il messaggio è inequivocabile: le vulnerabilità non sono più semplici difetti tecnici, ma strumenti strategici utilizzati in modo coordinato all’interno dell’ecosistema cyber cinese.
La domanda non è più se accadrà di nuovo. È quanto rapidamente succederà.
React2Shell: cosa sta succedendo davvero
Negli ultimi tempi, una nuova vulnerabilità critica — soprannominata React2Shell (CVE-2025-55182) — ha fatto tremare aziende, governi ed esperti di sicurezza informatica. Non è un bug qualsiasi: è un caso che intreccia tecnologia, geopolitica e una corsa globale al contenimento.
React2Shell: oltre 30 organizzazioni compromesse, legami con l’intelligence cinese
L’ondata di attacchi legata alla vulnerabilità React2Shell, emersa poche settimane fa, si sta rivelando molto più ampia di quanto inizialmente stimato. I ricercatori di Palo Alto Networks Unit 42 hanno confermato oltre 30 organizzizzazioni già compromesse, un numero destinato a crescere mentre il quadro si chiarisce.
Secondo gli analisti, gli aggressori stanno sfruttando il bug per:
individuare sistemi vulnerabili,
raccogliere informazioni sensibili,
tentare il furto di configurazioni AWS,
installare software malevolo collegato a server di comando e controllo.
Unit 42 attribuisce le intrusioni a un broker di accesso iniziale legato al Ministero della Sicurezza di Stato cinese (MSS) — la stessa struttura di intelligence già collegata a numerose operazioni di cyberspionaggio.
Strumenti usati: Snowlight e Vshell
Gli attaccanti hanno impiegato due famiglie di malware già note, Snowlight e Vshell, precedentemente associate a contractor dell’intelligence cinese dagli esperti di Mandiant. Questo conferma un pattern coerente con operazioni statuali o semi-statuali.
Una vulnerabilità “perfetta”: inserita in migliaia di strumenti
React2Shell colpisce un componente open-source ampiamente integrato in prodotti commerciali e servizi cloud.
Il problema? Molte aziende lo utilizzano senza nemmeno saperlo, perché incorporato come parte delle configurazioni di default di diversi framework moderni.
Per questo la vulnerabilità ha ottenuto un punteggio 10/10, la massima criticità possibile.
Dopo la divulgazione pubblica del bug e il rilascio della patch, organizzazioni di tutto il mondo hanno iniziato a osservare:
scansioni automatizzate massicce,
tentativi di sfruttamento da parte di cybercriminali,
attacchi mirati attribuiti a gruppi legati a stati nazionali.
Il fenomeno è stato rilevato da realtà come Shadowserver Foundation, Censys e GreyNoise.
Shadowserver segnala più di 10.000 sistemi vulnerabili negli Stati Uniti, con migliaia di casi anche in Brasile, Russia, Germania, Francia, India e Cina.
Pressione massima dalle agenzie di sicurezza
Il clima è così teso che l’FBI, tramite l’assistant director Brett Leatherman, ha lanciato un appello diretto ai team IT:
“Aggiornate immediatamente. Avviate attività di threat hunting. La superficie esposta è più ampia di quanto molti credano.”
L’agenzia sollecita controlli soprattutto su:
portali clienti,
interfacce SaaS,
console amministrative,
servizi di terze parti basati su framework moderni.
Nel frattempo, la Cybersecurity and Infrastructure Security Agency ha incluso la vulnerabilità nella lista delle Known Exploited Vulnerabilities, imponendo alle agenzie federali statunitensi la patch entro il 26 dicembre.
Sullo sfondo, la geopolitica
La vicenda si intreccia con decisioni politiche di alto livello: l’amministrazione statunitense ha annunciato l’intenzione di ritirare alcune sanzioni contro il Ministero della Sicurezza di Stato cinese, originariamente introdotte dopo una serie di attacchi contro grandi aziende di telecomunicazioni e per l’accesso illecito a corrispondenze riservate di figure politiche di rilievo.
Il tempismo non passa inosservato, soprattutto alla luce delle nuove evidenze raccolte dai ricercatori.
Conclusione: vulnerabilità tecnica, impatto globale
React2Shell è destinata a diventare un caso di studio:
un singolo difetto in un componente open-source, sfruttabile in modo automatico e diffuso, ha creato una superficie d’attacco enorme per attori altamente organizzati.
La lezione è chiara:
l’ecosistema software moderno è profondamente interconnesso,
la supply chain digitale è fragile,
e i confini tra criminalità, intelligence e politica internazionale sono sempre più sfumati.
Il Pentagono presenta GenAI.mil: la nuova piattaforma interna basata su intelligenza artificiale
Il Dipartimento della Difesa statunitense ha annunciato il lancio di GenAI.mil, una piattaforma dedicata all’uso dell’intelligenza artificiale da parte di militari, funzionari federali e personale contrattualizzato. L’iniziativa, illustrata dal Segretario alla Guerra Pete Hegseth in un video pubblicato su X, punta a semplificare attività operative e amministrative attraverso strumenti basati su IA.
Secondo le informazioni diffuse dal Pentagono, GenAI.mil utilizza una versione personalizzata di Google Gemini for Government, progettata per gestire dati sensibili ma non classificati. La piattaforma, accessibile via browser, consente ricerche approfondite, analisi di immagini e video, sintesi documentali e automazione di processi d’ufficio.
Le dichiarazioni ufficiali
Presentando il progetto, Hegseth ha spiegato che l’obiettivo è offrire uno strumento in grado di aumentare velocità di analisi e produttività, sottolineando che la piattaforma rientra in un più ampio percorso di modernizzazione tecnologica del Dipartimento della Difesa.
Emil Michael, sottosegretario per la ricerca e l’ingegneria, ha evidenziato il ruolo dell’iniziativa nel contesto della competizione internazionale sull’IA. In una nota ha dichiarato che gli Stati Uniti “stanno procedendo rapidamente per implementare capacità avanzate” a supporto delle attività governative e militari.
Funzioni e sicurezza
Il Pentagono ha precisato che:
Google Gemini è certificato per l’uso con informazioni sensibili ma non classificate (CUI)
il modello è web grounded, quindi integra risultati di ricerca per fornire risposte aggiornate
la piattaforma riduce il rischio di errori o distorsioni tipici dei modelli linguistici
Durante una conferenza stampa, Michael ha aggiunto che GenAI.mil sarà in futuro esteso ad altri modelli e potrebbe includere funzionalità per la gestione di dati classificati.
Accesso per il personale
Secondo le previsioni del Dipartimento della Difesa, entro la fine della settimana circa 3 milioni di dipendenti, tra personale militare, civili federali e appaltatori, potranno accedere a GenAI.mil dai propri computer. È inoltre prevista una fase di sperimentazione interna per individuare nuovi casi d’uso dell’IA nelle attività quotidiane dell’amministrazione.
Il contesto più ampio
Il lancio di GenAI.mil avviene in una fase di forte attenzione del governo statunitense verso l’innovazione tecnologica. Negli ultimi mesi l’amministrazione ha introdotto misure per favorire lo sviluppo di infrastrutture digitali, data center e tecnologie basate su IA, ritenute una priorità strategica nazionale.
Disponibilità della piattaforma
Al momento dell’annuncio pubblico, il sito GenAI.mil risultava temporaneamente non disponibile, probabilmente a causa dell’elevato traffico o di attività di manutenzione legate al lancio. Il Pentagono prevede comunque una distribuzione completa della piattaforma nelle prossime settimane.
Encrypted Cloud Storage: come proteggere i tuoi dati con soluzioni open source
Nel mondo digitale odierno, dove i dati sensibili viaggiano continuamente tra dispositivi e server remoti, l’Encrypted Cloud Storage è uno strumento imprescindibile per garantire privacy e sicurezza. Ma cosa significa davvero e come è possibile proteggere i propri file senza dipendere da provider commerciali?
Cos’è l’Encrypted Cloud Storage
L’Encrypted Cloud Storage non è solo un cloud tradizionale con password. I dati vengono cifrati localmente prima di lasciare il dispositivo, usando algoritmi robusti come AES-256 o ChaCha20. Solo chi possiede la chiave può decifrarli, mentre il provider del servizio non può leggere o manipolare i contenuti.
Esistono due modelli principali:
Client-Side Encryption (CSE): la cifratura avviene sul dispositivo dell’utente prima dell’upload. Questo è il modello più sicuro perché il server gestisce solo dati già cifrati.
Server-Side Encryption (SSE): la cifratura è applicata dal provider una volta che i dati arrivano sui server. È più semplice da usare ma meno sicuro, perché le chiavi potrebbero teoricamente essere accessibili dall’azienda o da attori esterni in caso di violazione.
Vantaggi della cifratura end-to-end
Protezione dai leak e ransomware: anche se i server vengono compromessi, i dati rimangono illeggibili.
Controllo completo: chi ha la chiave controlla l’accesso, con possibilità di condivisioni sicure e temporanee.
Privacy normativa: utile per rispettare regolamenti come GDPR o HIPAA.
Sicurezza in mobilità: dispositivi smarriti o compromessi non espongono dati, perché rimangono cifrati fino alla decifrazione locale.
Sfide tecniche
Gestione delle chiavi: la perdita della chiave significa perdita dei dati. Backup sicuri o sistemi di recovery sono essenziali.
Prestazioni: cifratura e decifratura richiedono risorse, con possibili rallentamenti di upload/download.
Compatibilità: non tutti i software supportano cifratura end-to-end in modo trasparente.
Soluzioni open source da considerare
Per chi vuole il pieno controllo dei propri dati senza affidarsi a servizi commerciali, esistono diverse soluzioni open source affidabili:
Nextcloud: piattaforma self-hosted che permette di archiviare file, calendario e contatti con cifratura lato client tramite plugin come End-to-End Encryption. Ideale per chi vuole un cloud personale sicuro.
Cryptomator: software semplice e leggero che cifra file e cartelle prima di salvarli su qualsiasi cloud. Supporta Windows, macOS, Linux, iOS e Android.
Seafile: offre sincronizzazione e condivisione di file con supporto per cifratura end-to-end. È performante anche su grandi volumi di dati.
Nextcloud + Vaultwarden: combinando Nextcloud con un password manager self-hosted come Vaultwarden (implementazione open source di Bitwarden), puoi creare un ecosistema totalmente cifrato e controllato internamente.
Rclone + gpg: per utenti avanzati, Rclone permette di sincronizzare qualsiasi cloud storage mentre GPG cifra i file localmente prima del trasferimento, creando una soluzione flessibile e sicura.
Il futuro dell’archiviazione sicura
Le minacce digitali sono sempre più sofisticate ed avere un cloud in cui l’utente detiene le chiavi non è più un optional, ma una necessità strategica. Le soluzioni open source permettono non solo di proteggere dati sensibili, ma anche di ridurre la dipendenza da servizi commerciali, aumentando controllo e resilienza.
Per chi lavora nel mondo IT o gestisce informazioni sensibili, implementare sistemi di encrypted cloud storage open source non è solo una scelta tecnica: è un investimento sulla propria privacy e sicurezza digitale.
WhatsApp e Signal: scoperta una falla che permette il tracciamento invisibile e il consumo extra di batteria
Una nuova vulnerabilità è stata scoperta nei protocolli di WhatsApp e Signal, che permette a chiunque conosca un numero di telefono di monitorare l’attività del dispositivo in modo invisibile, senza ricevere messaggi o notifiche visibili. La falla è stata individuata da ricercatori dell’Università di Vienna, che hanno rilasciato anche un tool dimostrativo su GitHub, accessibile anche a utenti con competenze tecniche limitate.
Come funziona l’attacco
L’attacco sfrutta le tempistiche di risposta dei pacchetti inviati dal server (round-trip time), analizzando i modelli di attività dell’utente. Questo consente di determinare se la persona è online, inattiva o in movimento, senza accedere ai contenuti dei messaggi o ad altre informazioni sensibili.
In pratica, l’attaccante invia pacchetti invisibili all’account della vittima e misura il tempo impiegato per ricevere una risposta. Monitorando queste risposte a intervalli regolari, è possibile profilare comportamenti quotidiani, come gli orari di attività o i momenti di inattività, creando una sorta di “orologio digitale” dell’utente.
Effetti collaterali: batteria e dati
Oltre al tracciamento, l’attacco può causare un consumo significativo di batteria e traffico dati, soprattutto se i pacchetti vengono inviati a frequenze elevate. Nei test effettuati su diversi dispositivi, il consumo della batteria è aumentato di circa 14-18% all’ora durante l’attacco. Signal, grazie a un meccanismo di rate-limiting, subisce un impatto minore rispetto a WhatsApp, ma la vulnerabilità rimane presente in entrambe le applicazioni.
Misure di mitigazione parziali
Al momento non esiste una soluzione definitiva integrata nelle app per bloccare completamente questo tipo di tracciamento. Alcune contromisure suggerite includono:
Limitare la ricezione di messaggi da numeri sconosciuti.
Disattivare la conferma di consegna e lettura dei messaggi.
Queste precauzioni riducono l’impatto dell’attacco, ma non eliminano completamente la possibilità di monitoraggio.
Conclusioni
Questa vulnerabilità mostra come anche applicazioni con crittografia end-to-end avanzata possano essere sfruttate per ottenere informazioni indirette sugli utenti. Non si tratta di accesso ai contenuti dei messaggi, ma di un vero e proprio profiling invisibile, con possibili conseguenze sulla privacy e sulla durata dei dispositivi.
Per gli utenti attenti alla sicurezza, è fondamentale monitorare aggiornamenti delle app e adottare misure preventive, perché le minacce invisibili possono essere altrettanto pericolose quanto quelle che compromettono dati e messaggi.
Blink News:
Un emendamento recentemente approvato in commissione alla Assemblée nationale francese propone di rendere obbligatoria la dichiarazione dei portafogli crypto auto-gestiti (cioè quelli non custoditi da exchange centralizzati) all’amministrazione fiscale.Diversi esperti considerano questa misura problematica per vari motivi. È difficile da applicare perché l’amministrazione fiscale non ha strumenti per verificare l’esistenza o il contenuto dei wallet. Potrebbe introdurre una forma di sorveglianza patrimoniale più severa rispetto ad altri beni come oro o opere d’arte. Espone inoltre i detentori di crypto a potenziali rischi di sicurezza personale, come estorsioni o rapimenti, rendendo note informazioni sensibili. Infine, solleva questioni legate alla privacy e alla libertà individuale. L’iniziativa si inserisce nel più ampio sforzo del governo francese di rafforzare i controlli fiscali sulle criptovalute.
Gli Stati Uniti stanno considerando una nuova regola che richiederebbe ai visitatori provenienti dai Paesi partecipanti al programma ESTA (Visa Waiver Program) di fornire informazioni dettagliate sui loro profili social media degli ultimi cinque anni prima di entrare nel Paese. La proposta, avanzata dal dipartimento di Customs and Border Protection e dal Dipartimento della Sicurezza Interna, trasformerebbe l’attuale dichiarazione facoltativa di account social in un requisito obbligatorio per l’autorizzazione elettronica di viaggio. Oltre alla cronologia dei social media, i viaggiatori potrebbero dover fornire numeri di telefono utilizzati negli ultimi cinque anni, indirizzi email degli ultimi dieci anni, dettagli sulle persone a carico e altri dati personali, nonché un selfie per la verifica dell’identità.
L’obiettivo dichiarato dalle autorità statunitensi è rafforzare i controlli di sicurezza e migliorare la verifica dell’identità e la prevenzione di minacce potenziali. La misura rispecchia una tendenza più ampia delle autorità americane ad ampliare lo screening digitale dei richiedenti, già applicata in parte ad altri tipi di visto.
React e Next.js hanno reso note due nuove vulnerabilità gravi scoperte nei componenti server di React mentre venivano testate le correzioni per un difetto critico rivelato la settimana precedente. I team di sviluppo invitano gli amministratori e gli sviluppatori a installare subito gli aggiornamenti perché le patch pubblicate in precedenza risultano incomplete. Le nuove vulnerabilità non consentono l’esecuzione remota di codice come il problema precedente, ma permettono attacchi di tipo denial of service che possono bloccare un server e vulnerabilità che possono far esporre il codice sorgente di funzioni server, rivelando magari segreti o logiche interne. Le falle sono state identificate nei processi di deserializzazione delle richieste HTTP e colpiscono anche il framework Next.js quando usa il router applicativo. La scoperta di questi nuovi difetti mentre si testavano le correzioni precedenti è relativamente comune e riflette l’analisi approfondita che segue la rivelazione di una vulnerabilità critica. In ogni caso, gli sviluppatori devono aggiornare nuovamente le loro dipendenze per proteggere le applicazioni da possibili abusi di questi bug.
L’Information Commissioner’s Office del Regno Unito ha multato LastPass UK Ltd per un totale di 1,2 milioni di sterline a causa di una violazione dei dati avvenuta nel 2022 che ha compromesso le informazioni personali di circa 1,6 milioni di utenti britannici. Secondo l’autorità, LastPass non ha implementato misure di sicurezza tecniche e organizzative sufficientemente robuste per proteggere i dati, consentendo a un hacker di accedere al database di backup dell’azienda attraverso una combinazione di due attacchi collegati. Non risulta che le password memorizzate nei vault degli utenti siano state decriptate grazie all’uso di un sistema di crittografia “zero knowledge”, ma sono stati sottratti dati come nomi, indirizzi email, numeri di telefono e URL dei siti salvati. La decisione del regolatore sottolinea l’importanza di adottare controlli di sicurezza rigorosi e invita altre organizzazioni a rivedere le proprie procedure per ridurre il rischio di attacchi simili. Le indagini hanno inoltre evidenziato come l’hacker abbia prima compromesso un laptop aziendale e poi il dispositivo personale di un dipendente con accesso a chiavi di decriptazione, riuscendo così a ottenere l’accesso necessario per estrarre i dati dal sistema di backup.
Sono giorni che leggo della proposta del controllo dei social e delle email da parte delle autorità statunitensi.
Sarei proprio curiosa di sapere cosa succede se una persona non ha i social (non è mica obbligatorio averli) o se ha cambiato email negli ultimi 10 anni. Ti arrestano subito perché se non hai IG sei sospetto? 🤷♀️ chissà come credono di gestirla.