Si moltiplicano le segnalazioni di violazioni, attacchi hacker, sottrazioni di password pubblicate poi on line. E’ evidente che la cultura della sicurezza proprio non ci appartiene!
Un breve elenco delle ultime, più eclatanti violazioni:
7 marzo Lulzsec_ITA parla di 26 mila set di dati riferiti ad indirizzi di posta elettronica e a password per accedervi sottratti con un attacco in grande stile contro il Ministero dell’Istruzione, dell’Università e della Ricerca. L’agenzia AGI riporta anche di numeri di telefono, indirizzi fisici e altri dati sensibili relativi a uomini e donne che lavorano per il Miur.
6 maggio Il collettivo Lulzsec_ITA dirama sui suoi canali social un messaggio con cui afferma di aver compromesso i siti web degli Ordini degli Avvocati di Caltagirone e Matera. Il giorno successivo lo stesso collettivo rende noto di aver violato ulteriori 232 utenti del sito del consiglio dell’ordine di Piacenza.
07 maggio La bomba esplode nel pomeriggio, con il collettivo che rilancia quanto fatto da Anonymous IT, ovvero la diffusione dei dati di accesso di 30.000 PEC degli avvocati romani, ospitate sul dominio pec ordineavvocatiroma.org.
Si susseguono poi una serie disordinata di annunci di violazioni di ulteriori siti di avvocati su tutto il territorio nazionale.
15 maggio Sul blog di Anonimus vengono pubblicate le credenziali di accesso degli utenti dell’Associazione Nazionale Primari Ospedalieri.
Scorrendo troviamo pubblicate le credenziali sottratte dai siti di Assist Sanità, Associazione Medici e Dirigenti del SSN, dell’Ordine dei Medici Chirurghi o degli Odontoiatri di Savona, e la lista potrebbe continuare a lungo.
Ci siamo presi la briga di andare a verificare, rapidamente, le credenziali di accesso e viene in evidenza un aspetto sconvolgente: quasi tutte le password sono pin di 4 caratteri o estremamente semplici, così semplici che anche il pappagallo di nonna sarebbe in grado di violarle.
Inoltre la maggioranza degli utenti, avvocati e medici, ma non ho ragione di pensare ad un comportamento diverso da parte di tutti gli utenti in tutti i settori, usa le stesse password da molti anni (le PEC dei legali dal 2017), quando sarebbe giusta regola, oltre che obbligo, cambiarle almeno ogni 6 mesi.
E’ di tutta evidenza da un lato la inadeguatezza degli utenti e dei sistemi informatici utilizzati, dall’altro sul modo con cui i legali, ma non solo, trattano tali strumenti informatici ed il tema della sicurezza.
Con l’entrata in vigore, orami da più di un anno, del GDPR, dovremmo, tutti, aver ben compreso quali sono le responsabilità in casi di sottrazione di dati, non solo per le conseguenze che tali eventi possono avere sulla sopravvivenza di una azienda o organizzazione, ma anche e soprattutto sugli utenti e clienti dei quali deteniamo e trattiamo, in modo del tutto irresponsabile, i dati.
Non è possibile parlare di adeguatezza della sicurezza dei dati personali trattati, di cui all’art. 5 par. 1 lett. f) del GDPR, quando abbiamo delle password ferme da due anni, quando non dotiamo le organizzazioni degli strumenti e delle procedure minime per la protezione, quando non abbiamo nessuna formazione e nessuna cultura della sicurezza e trattiamo questo aspetto come marginale o secondario se non addirittura come una vessazione senza alcuna utilità: i sistemi che utilizziamo contengono informazioni anche vitali delle persone che ce li affidano, clienti e utenti, spesso anche costoro con la più completa inconsapevolezza!
Forse, ma non ho tante speranze, un giorno si capirà che, continuando a trattare la sicurezza in questo modo e ad usare password da imbecilli non si potrà che passare per tali.
Di seguito i link ad alcuni siti e blog, anche fonti dirette, con maggiori dettagli sugli ultimi attacchi informatici.
https://twitter.com/Anon_ITA/status/1128599842874376192
Questi alcuni link con gli elenchi delle credenziali pubblicati:
https://privatebin.net/?2113c7c96a2f7b7d#f98VNtsTCf9d7jHAR4MtS03O7nwrjDV22gD1fFu5/fU=
https://privatebin.net/?733c77b53f0a18bb#mOfP7ehglNAogRlakrBvJqi/LUil8ld4tm6VoECNZqw=
https://privatebin.net/?dc657405e5860ef0#Oi7zKlYpwtD8frwkjO2AtxLt8Dg/GhljuU2cnIJ1w9M=
Il pericolo aumenta di molto perché il messaggio arriva dall'account di un vostro vero contatto WhatsApp. La segnalazione arriva dalla Questura di Brescia. Per mettere da questa nuova truffa social è stata pubblicata anche la schermata del profilo di un utente raggiunto dal falso messaggio (v. immagine). Quello che sembra un amico, o un proprio contatto, chiede un favore: "Ho comprato da internet ma la mia carta di credito è scaduta. Posso usare la tua e ti faccio un bonifico?". L’italiano non...
Scritto da: Luigi DuraccioBastano un computer portatile o uno smatphone, un ricevitore gps e un software o app per rilevare il segnale Wi-Fi e violare una rete. Cos’è il wardriving E’ una attività illegale, non molto diffusa ma estremamente pericolosa, che consiste nello di spostarsi in auto in una determinata zona alla ricerca di reti Wi-Fi non protette ed effettuare un accesso illegale. Spesso il malvivente si limita ad accedere ad internet a spese del malcapitato ma altre volte il fine è la sottrazione di...
Scritto da: Luigi DuraccioCome bloccare le minacce prima che entrino nelle reti. Proteggendo a monte le infrastrutture e le reti proteggi il business della tua azienda, anche quando lavori fuori sede. Proteggere i sistemi informatici al giorno d'oggi è una vera sfida. I cyber criminali si dotano di strumenti sempre più sofisticati mentre i sistemi di sicurezza tradizionali sono pensati per fronteggiare i virus come si faceva 5, 10 o 15 anni fa. La soluzione? Ad esempio fare in modo che le macchine si difendano da sole, prevedendo...
Scritto da: Luigi DuraccioSecondo l’autorità per la protezione dei dati personali, il provvedimento mette a rischio i diritti e le libertà delle persone. Il Garante aveva già evidenziato, sia al presidente del consiglio che al titolare del ministero della salute, le possibili criticità in merito alla adozione del c.d. “Pass vaccinale” ma senza alcuna risposta. A seguito delle misure anti-Covid, contenute nel dl riaperture in vigore da lunedì 26 aprile, il Garante invia un avvertimento formale: "La norma appena approvata per la creazione e la...
Scritto da: Luigi DuraccioIl ransomware era stato rilevato già dallo scorso 19 aprile (ID-Ransomware), ma in queste ore si registra un aumento esponenziale degli attacchi. Ecco come risolvere il problema. In tutto il mondo è in corso una massiccia campagna malware, tramite il ransomware Qlocker, che prende di mira i NAS e i dispositivi di storage prodotti da QNAP. L’attacco mira a criptare tutti i file presenti nel sistema con conseguente richiesta di riscatto (circa 500€) per ricevere la password e sbloccare i file. Come...
Scritto da: Luigi DuraccioLa scorsa settimana la casa farmaceutica Zambon è stata oggetto di un attacco hacker che ha bloccato la produzione, anche nello stabilimento di Vicenza, per 5 giorni. L’attacco è partito verso un server di una sede all’estero ma è stato subito identificato ed isolato. Tuttavia l’azienda, in via precauzionale, ha sospeso tutte le attività anche nello stabilimento di Vicenza. Secondo la nota diffusa dal gruppo farmaceutico: «È stato un accesso non autorizzato a uno dei suoi server aziendali all’estero, che è stato identificato...
Scritto da: Luigi DuraccioPer le aziende è fondamentale proteggere i dati e le informazioni aziendali. Si tratta di tutelare non solo una singola informazione, ma tutto il flusso di lavoro dell’azienda. Implementare piani di disaster recovery, per proteggere i dati e per lavorare in sicurezza e senza rischi. Le informazioni aziendali sono al sicuro? Grazie alla digitalizzazione oggi è possibile lavorare ovunque, accedendo a dati importanti per la nostra azienda dentro e fuori dall’ufficio. L’utilizzo dei supporti tecnologici e una sempre più costante attenzione all’impatto ambientale hanno influito su una maggior digitalizzazione di documenti,...
Scritto da: Luigi DuraccioDa qualche giorno in vendita sul Dark Web c’è praticamente di tutto: documenti, multe, email, ecc Sembrava “solo” un attacco ransomware, invece da ieri i dati sottratti ai comuni italiani nelle scorse settimane sono in vendita sul darkweb. Articolo originale su In4mati.com Autore: Luigi Duraccio All’inizio sembrava “solo” un attacco ransomware, finalizzato ad ottenere un riscatto per la restituzione dei dati criptati. Da qualche giorno, invece, sul Dark Web, sono in vendita i dati personali dei cittadini coinvolti nell’attacco informatico. Per il comune di Brescia, in particolare,...
Scritto da: Luigi DuraccioVaccini ai dipendenti, le Faq del Garante Privacy „ "Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19" Vaccini ai dipendenti, le Faq del Garante Privacy „Il datore di lavoro non può chiedere ai propri dipendenti di fornire informazioni sul proprio stato vaccinale o copia di documenti che comprovino l‘avvenuta vaccinazione anti Covid-19. Questo è solo uno dei chiarimenti del Garante della Privacy intervenuto, sul tema...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.