pirati
Cos i ladri di privacy vendono i nostri segreti
"Repubblica" di oggi 10 maggio 2011


L'INCHIESTA
La sicurezza  sempre pi in pericolo: un gruppo di pirati informatici 
ha attaccato il network della Playstation e ha saccheggiato i "segreti" 
personali di decine di milioni di utenti per darli al miglior offerente. 
Siamo alla merc di chi entra nei grandi sistemi online. Per rubare la 
nostra identit
di ERNESTO ASSANTE

Cos i ladri di privacy vendono i nostri segreti
LA NOSTRA vita digitale  in pericolo. E in vendita. Lo hanno detto e 
scritto in tanti, ci hanno messo sull'avviso decine se non centinaia di 
volte: i nostri dati, quelli che affidiamo ai servizi online, di 
qualsiasi tipo siano, non sono al sicuro. E c' chi  interessato a 
metterci le mani sopra per venderli al miglior offerente. Lo ha 
ampiamente dimostrato il caso del Playstation Network. Cosa  accaduto? 
Lo scorso 20 aprile la Sony ha improvvisamente "spento" la propria rete, 
quella che collega decine di milioni di utenti in cinquantasette paesi 
del mondo ai propri server, per giocare online, vedere film, ascoltare 
musica, scaricare intrattenimento e informazione. Lo ha fatto perch ha 
scoperto un'intrusione sui server di un centro dati di San Diego, in 
California.

Inizialmente, pensando ad un classico attacco degli hacker, quelli che 
molto frequentemente colpiscono i data center delle aziende o delle 
strutture governative di mezzo mondo, la Sony ha chiesto a una societ 
di sicurezza informatica di indagare. Ma, una volta compresa l'entit 
del problema l'azienda ha dovuto coinvolgere non solo una seconda 
societ di sicurezza, ma anche l'Fbi.

Perch gli hacker sono entrati in possesso dei dati personali, delle 
password e dei numeri di carta di credito di pi di settanta milioni di 
abbonati al network della Sony, il pi ampio furto di dati personali mai 
riuscito nella storia.

Prove certe di cosa sia realmente finito nelle mani dei pirati 
informatici la Sony, nonostante siano passati quasi venti giorni 
dall'accaduto, ancora non ne ha, ma la possibilit che gli hacker 
abbiano catturato anche i dati del database criptato che contiene le 
informazioni personali dei circa dieci milioni di abbonati (e una grossa 
fetta di loro ha associato al loro account anche il numero della carta 
di credito),  molto elevata. " stata usata una tecnica molto 
sofisticata per accedere al nostro sistema", ha detto uno dei manager 
della Sony, ed  evidente a tutti che non si tratti di una operazione 
dimostrativa o dell'iniziativa di un hacker solitario. I pirati hanno 
superato ben tre diversi firewall, mascherando inizialmente l'attacco 
come se fosse una normale procedura di acquisto, per poter aggirare i 
sistemi di sicurezza e sfruttare le vulnerabilit della rete della Sony, 
che erano state scoperte dagli hacker presumibilmente nelle settimane 
che hanno preceduto l'attacco.

Lo scopo del furto? Vendere al mercato nero i dati degli utenti, fornire 
al migliore offerente informazioni "sensibili" e personali, di chi  
iscritto al Playstation Network. Secondo l'azienda tedesca di sicurezza 
informatica GData  gi partita la compravendita su Internet dei dati 
rubati, nomi, indirizzi, email, date di nascita, id e password, 
indirizzi di fatturazione, numeri di carte di credito con date di 
scadenza. I prezzi al mercato nero variano a seconda della completezza e 
della utilit dell'informazione. Si va dai 70 dollari per una carta di 
credito con codice di sicurezza ai 3 dollari per un semplice numero, 
fino ai pochi centesimi per un indirizzo di mail, ma i prezzi possono 
salire se accanto ai numeri della carta o alle mail ci sono altre 
informazioni personali utili, mentre degli sconti notevoli vengono fatti 
per l'acquisto in blocco dei dati.

Rubare un'identit  un business internazionale che interessa pirati 
informatici in ogni parte del mondo. Il mercato pi florido  quello 
delle email che vengono inserita in un "bot", programmi che funzionano 
in maniera automatica e che, nell'ipotesi migliore, inviano milioni di 
messaggi di pubblicit indesiderata alle caselle di posta elettronica, 
mentre nei casi peggiori appaiono come se fossero state inviate da amici 
o da grandi aziende o da negozi nei quale gli utenti acquistano 
abitualmente, con lo scopo di indurre a cliccare su un link che provoca 
il caricamento di virus o causa ulteriori furti di informazioni 
personali. I dati che sul mercato nero costano di pi restano quelli 
delle carte di credito, che possono essere usati per tempi brevi, prima 
che vengano disabilitate, ma garantiscono guadagni maggiori e immediati 
per i ladri.

Kevin Stevens di TrendMicro, un'altra societ specializzata nella difesa 
della privacy online, ha segnalato qualche giorno fa che gli hacker 
responsabili del furto hanno gi iniziato a cercare degli acquirenti per 
l'intero blocco dei dati. Secondo Stevens gli hacker hanno offerto alla 
Sony di ricomprare i dati, ma l'azienda giapponese ha rifiutato 
l'accordo. Sony, attraverso le parole di uno dei capi internazionali, 
Patrick Seybold, ha smentito il contatto con gli hacker, cercando di 
tranquillizzare gli utenti: "L'intero database con i dati delle carte di 
credito era criptato e non abbiamo nessuna prova che gli hacker abbiano 
preso questi numeri". Ma, come hanno sottolineato molti esperti, non ci 
sono nemmeno le prove del contrario e i sospetti che questo sia avvenuto 
sono avvalorati dal fatto che i pirati informatici sono riusciti ad 
avere accesso alla banca dati principale del sistema e anche dalla 
denuncia fatta, come riporta la Abc, da un utente australiano che ha 
trovato 2000 dollari di accrediti sulla sua carta di credito.

Il caso della Playstation  certamente il pi clamoroso e ampio, nulla 
di simile era avvenuto fino ad oggi ma, con il crescere dei social 
network e dello spostamento dei servizi online sui "cloud", il problema 
della sicurezza dei dati, della privacy delle nostre informazioni 
disseminate sul web, sta diventando sempre pi importante. Anche perch 
non c' bisogno di hacker particolarmente esperti per mettere le mani su 
dati "sensibili". Ad esempio moltissime delle nostre informazioni 
personali che diamo alle agenzie governative o ai negozi online pi 
piccoli sono protette in maniera relativamente sicura e sono facili da 
trovare per chi sa dove cercare all'interno dei server. E i tentativi 
dei pirati informatici per rubare le nostre informazioni personali sono 
sempre frequenti. Nei giorni scorsi il tentativo pi ampio di furto di 
dati  stato collegato alla morte di bin Laden, con un link ai video 
resi pubblici dall'amministrazione americana, distribuito attraverso i 
social network, che in realt rimandava a degli indirizzi che 
infettavano con virus in grado di leggere il contenuto dei pc degli 
utenti. Secondo Dimitry Bestuzhev, esperto di sicurezza IT di Kaspersky 
Lab in pochi giorni ci sono stati due ondate di attacchi, tutti 
evitabili con dei normali antivirus o, pi efficacemente, senza cliccare 
sui link. E poi ci sono i casi in cui sono gli stessi dipendenti delle 
aziende a trafugare i dati e a venderli sul mercato nero, com' accaduto 
lo scorso anno alla Bank Of America.

Il numero dei furti di dati personali  andato crescendo di anno in 
anno, fino ad arrivare, negli Stati Uniti, il paese pi "connesso" al 
mondo, a 336.655 casi nel 2009, calati per nel 2010 a 303,809, sia per 
un maggiore controllo da parte delle molte societ che si occupano di 
sicurezza, sia per una crescente consapevolezza da parte degli utenti.

Che la privacy dei dati, per, non sia la preoccupazione maggiore di chi 
vive on line  un dato di fatto: a parte le proteste da parte di 
associazioni di consumatori, che hanno lamentato il ritardo da parte 
della Sony nel comunicare l'avvenuto furto da parte dei pirati, non c' 
stato il temuto "abbandono" del servizio da parte degli utenti vittime 
degli hacker. "Gran parte degli utenti del Playstation Network, come di 
Facebook o degli altri servizi online", dice Rick Wallace, ricercatore 
alla Tiversa, un'azienda che si occupa di sicurezza cercando i file che 
vengono trafugati alle grandi aziende, "danno per scontato che il 
rischio di perdere i propri dati c' e che vale la pena correre il 
rischio rispetto ai benefici che si hanno utilizzando la rete e i social 
network".

Intanto il network della Sony  ancora fuori servizio e non  previsto, 
ha affermato ieri Shigenori Yoshida, portavoce della societ giapponese, 
che il sistema torni on line prima del 31 maggio. "Vogliamo estendere le 
nostre scuse ai molti utenti PlayStation Network e Qriocity", hanno 
detto alla Sony, "Abbiamo potenzialmente compromesso i propri dati 
clienti. Offriamo le nostre scuse sincere". Ma le scuse potrebbero non 
bastare in un mondo in cui la privacy  messa sempre pi in pericolo.

(10 maggio 2011)