Da OnePlus che colleziona dati sensibili a WhatsApp che spia le abitudini degli utenti: 12 pericoli a privacy e sicurezza da conoscere

Privacy

Smartphone & dispositivi

#1 – I Google Home Mini rischiano di uscire dal mercato prima ancora di entrarvi

Quando l’azienda di Mountain View ha presentato all’evento dello scorso 4 ottobre i Google Home Mini – che, insieme ai Google Home Max, rappresentano la nuova linea low-cost e high-end dei prodotti per smart home di Google – certamente non poteva immaginare che questi stessi dispositivi avrebbero rischiato di uscire dal mercato senza nemmeno averci messo piede.

Nel caso remoto in cui dovesse capitare, l’azienda non potrà che incolpare sè stessa: come riportato da Android Headlines, dieci gruppi promotori di una maggiore difesa della privacy (raggruppati nella Consumer Product Safety Commission (CPSC) che include l’Electronic Privacy Information Center (EPIC), il Consumer Federation of America (CFA) e il Center for Digital Democracy (CDD)) hanno infatti chiesto la revoca della commercializzazione del prodotto a causa di un malfunzionamento ai sensori che provocava gravi lesioni della privacy altrui.

A rilevarlo non sono stati cittadini qualunque, ma gli stessi recensori che avrebbero dovuto tessere le lodi del Google Home Mini e che invece hanno più volte notato l’avvio automatico ed involontario del dispositivo – dunque senza alcun tipo di interazione da parte dell’utente – che provocava la ricezione, ed in alcuni casi la registrazione delle conversazioni circostanti. Questo naturalmente ha suscitato preoccupazioni e vive perplessità, tanto da spingere la compagnia a specificare come il problema si fosse presentato solamente in un numero ristretto di Google Home Mini, e che in ogni caso un successivo update avrebbe provveduto a risolvere il bug.

La CPSC non è però così sicura che Google sia in grado di gestire efficacemente la situazione chiedendo così la rimozione dal mercato degli smart assistant del Google Home Mini, incoraggiando al contempo una più profonda riflessione sull’impatto di questa tipologia di device sulla privacy dei consumatori.

#2 – I carrier telefonici forniscono i dati dei propri clienti a chiunque possa permetterseli

I gestori telefonici non sono mai stati i migliori amici degli utenti Android, ma ultimamente la fiducia nei loro confronti sembra essere stata particolarmente intaccata da recenti scandali di privacy e di rispetto delle regole del libero mercato.

Se in Italia infatti carrier come Vodafone e TIM vengono sanzionate per via di pratiche considerate scorrette nella gestione dei piani tariffari o del sistema di organizzazione delle offerte, negli USA i problemi sembrano essere più gravi.

Non soltanto infatti lo scorso anno Verizon – uno dei principali gestori del Paese, insieme ad AT&T e T-Mobile – venne scoperta, sanzionata e mediaticamente linciata per la rilevazione, da parte della FCC, di un sistema di tracciamento delle attività di rete dei propri utenti senza che questi avessero mai concesso il proprio consenso in merito, ma oggi la situazione non sembra essere mutata nonostante i processi, le cause e le proteste intentate dalle associazioni di settore.

Il sito Tech Crunch in seguito alla segnalazione del ricercatore Philip Neustrom ha infatti scoperto la presenza di enormi database nelle mani di alcuni carrier minori accessibili a pagamento da parte di clienti privati e pubblici, nei quali vengono archiviate le principali informazioni personali dei propri utenti e i sistemi di tracciamento ad essi associati. Anche se in parte il loro utilizzo potrebbe avere finalità legittime – come, per esempio, la verifica dell’identità da parte della banca di cui l’utente è cliente nel momento del suo primo accesso al proprio conto tramite un nuovo smartphone – è stato verificato che difficilmente tali servizi si preoccupino a loro volta di controllare l’affidabilità del cliente a cui tali informazioni vengono vendute. Generando dunque un circolo vizioso in cui l’unico sconfitto è – ancora una volta – il consumatore.

Social Network & Social Media

#3 – Arriva su Facebook la nuova truffa dei Contatti Fidati

Nonostante si tratti di una funzionalità introdotta da almeno due anni, veramente pochi utenti conoscono la modalità di recupero delle credenziali denominata “Contatti Fidati”.

Accedendo alle “Impostazioni” del social network > “Protezione e accesso” è infatti possibile notare un’opzione relativa alla segnalazione alla piattaforma di un numero variabile da tre a cinque contatti – registrati su Facebook, naturalmente – che in caso di necessità potranno aiutarvi a recuperare i dati d’accesso. Il meccanismo alla sua base è molto semplice: al momento dell’attivazione della modalità, Facebook invierà tramite questi tre/cinque contatti una porzione di codice e un URL via email, da inserire poi nel portale d’accesso dedicato – così di riacquistare il controllo dell’account in caso di smarrimento della password o delle principali opzioni di recupero dei dati di login.

Stando alle segnalazioni di The Next Web, un nuovo malware utilizza proprio la modalità Contatti Fidati per spingere l’utente a fornire all’hacker la chiave d’accesso al proprio profilo. Partendo dal presupposto che l’infezione sembri veicolarsi tramite account già colpiti dal virus, la vittima solitamente riceve un messaggio da un profilo amico in cui si chiede di controllare l’email per via dell’invio del già citato codice ed URL di sicurezza. L’email che però l’utente troverà nella propria casella non sarà relativa alla modalità Contatti Fidati, bensì al più comune servizio di recupero della password.

Il malware spera infatti che l’utente, non accorgendosi della differenza di contenuto tra quanto riportato nel messaggio e quanto effettivamente scritto nell’email del social network, per disattenzione o fretta si riduca ad inviare alla falsa vittima/hacker il codice d’accesso temporaneo al profilo, garantendogli così la possibilità di impostare una nuova password ed espellendo il legittimo proprietario dell’account dalla sessione in corso.

Il metodo più semplice di prevenzione, in caso di strane richieste da parte di profili amici, è di contattare i mittenti di tali messaggi e chiedere loro spiegazioni in proposito.

#4 – WhatsApp rivela le tue abitudini, e non puoi farci niente

Ed è sempre stando a The Next Web che sarebbe una vulnerabilità, irrisolvibile, a mettere questa volta a repentaglio la privacy degli utenti della popolare applicazione di messaggistica WhatsApp.

Si tratta di una querelle vecchia di anni: la possibilità che la modalità di visualizzazione dello status “Online” degli utenti concede ad eventuali spioni ben equipaggiati di controllare le abitudini degli utenti coinvolti. A dimostrare la fattibilità della procedura è stato Rob Heaton, programmatore che già in passato aveva condotto similari ricerche, sempre su WhatsApp. Dopo aver infatti sviluppato un’estensione maligna per Chrome capace di monitorare gli orari d’accesso a WhatsApp Web degli utenti che ne avessero eseguito il download, Heaton è stato in grado di sviluppare un grafico delle abitudini di conversazione, arrivando a desumere anche gli orari abituali di sveglia, riposo, pranzo e così via.

Non solo: mettendo a confronto le conversazioni tra due contatti, è possibile anche scoprire il livello di intimità tra due profili analizzandone la frequenza di conversazione sulla base dell’orario d’accesso contemporaneo.

Questa tipologia di dati può essere estratta servendosi di modalità illegali, così come operato da Heaton, ma anche legali – ossia da parte dell’applicazione stessa, qualora fosse previsto dai TOS – e successivamente vendute a centri pubblicitari e promozionali per l’elaborazione di campagne di vendita di prodotti.

Aziende & Servizi

#5 – OnePlus scoperta a collezionare dati sensibili sugli utenti

Si è trattata solamente di una “infelice scoperta“, così come i vertici della società vorrebbero che gli utenti interpretassero quanto accaduto nelle scorse ore, oppure OnePlus è stata veramente scoperta con le mani nella marmellata o, meglio nel traffico di informazioni?

Qualunque sia la prospettiva che decidiate di adottare, non si potrà negare il fastidio generato nella Rete nel momento in cui il programmatore Christopher Moore ha scoperto – per caso, tra le altre cose – che il proprio smartphone OnePlus era solito inviare alla società dati e statistiche sin troppo dettagliate. Dopo aver messo sotto osservazione il traffico telefonico del proprio device per via di un hackaton a stava partecipando, Moore si è insospettito riguardo la grande quantità di informazioni personali (tra cui indirizzo MAC, numero di cellulare, rete WiFi e così via) che lo smartphone consegnava ai server della società non solo in seguito ad un crash del software, ma anche in ogni occasione l’utente avviasse un’applicazione.

Interrogata in merito e travolta dalle accuse di “spionaggio“, l’azienda ha prima specificato che i dati raccolti facevano parte di un servizio volto a migliorare l’esperienza utente nella fase post-vendita, per poi accogliere le richieste di una minore intrusività della propria ROM promettendo che, per la fine di ottobre, ogni utente OxygenOS sarà in grado di interrompere il flusso di dati attraverso un semplice e chiaro pop-up. Fino ad allora, se siete in possesso di un device OnePlus potrete semplicemente accedere a “Impostazioni” > “Avanzate” e qui disattivare la voce “User Experience Program“. Che abbia agito in malafede oppure no – e indipendentemente dai comportamenti analoghi attuati da quasi tutte le società produttrici di smartphone -, certamente OnePlus ha perduto parte della fiducia accordatale in quanto azienda partita “dal basso“, e dunque vicina ai sentimenti e desideri dell’user base.

#6 – PureVPN è davvero così sicura come sembra?

Avevamo segnalato qualche settimana fa un report riguardante le reti VPN (o Virtual Private Network) su Android, che dipingeva a tinte decisamente fosche quello che dovrebbe essere il principale e più sicuro sistema di difesa per smartphone e che invece si rivela essere il più delle volte una truffa, se non un malware.

Una rete VPN per definizione si occupa del filtraggio della rete in uscita ed entrata dallo smartphone (a differenza dei firewall), potendo così visualizzare ogni contenuto visitato dall’utente con tanto di orari d’accesso (i cosiddetti “logs“), posizione geografica e molto altro ancora. Le reti VPN più affidabili (che abbiamo elencato QUI) dispongono di solide privacy policy che mettono al sicuro le coscienze dei consumatori, ma può capitare che quanto riportato in tale documento non corrisponda al vero.

“We Do Not monitor user activity nor do we keep any logs. We therefore have no record of your activities such as which software you used, which websites you visited, what content you downloaded, which apps you used, etc. after you connected to any of our servers.“

PureVPN privacy policy

Ed è quasi per caso che The Next Web ha scoperto indizi alquanto evidenti sulla contradditorietà della privacy policy di PureVPN, a contrasto con gli eventi di cronaca riportati dal quotidiano The Register: stando ai fatti raccontati, l’FBI si sarebbe servita dei log d’accesso di un sospettato di stalking per provare l’attività persecutoria online nei confronti di una propria ex-fidanzata. Un episodio a lieto fine, che però non sarebbe potuto (o dovuto) accadere se i log forniti da PureVPN non fossero esistiti proprio come scritto nella privacy policy ufficiale del servizio, che nominalmente non registra alcuna attività dei propri clienti ma che in realtà sembra monitorare qualsiasi attività online, e di essere disposta a fornire tali dati alle forze dell’ordine in caso di richiesta.

Edward Snowden is not amused.