Furto password: consigli di Kaspersky per la sicurezza degli account

Il furto dei cinque milioni di account Gmail riaccende la questione della sicurezza sul web. Kaspersky Lab ha colto l’occasione per dare alcuni consigli. Gli utenti spesso sottovalutano l'interesse che gli hacker possono sviluppare verso i loro dati personali e, normalmente, trattano con indifferenza la scelta delle password. Tuttavia, usare password identiche o molto simili per accedere a vari servizi online significa che, se in qualche modo una sola password dovesse cadere nelle mani dei cyber criminali, gli utenti potrebbero perdere il controllo di tutti i loro account.

Falsa schermata Facebook minaccia dispositivi Android e conti online

Un nuovo malware prende di mira gli utenti di Facebook e minaccia i conti correnti bancari, attraverso un attacco agli smartphone con sistema Android. A scoprirlo - scrive Adnkronos - gli esperti internazionali per la sicurezza digitale di ESET NOD32, che hanno lanciato l’allarme su una schermata fake che potrebbe apparire in fase di accesso a Facebook, chiedendo di inserire per fittizi motivi di sicurezza il proprio numero di cellulare a scopo identificativo. Il messaggio non è generato da Facebook.

Google compra startup SlickLogin per elaborazione password sonore

Nel futuro comunicheremo con i siti Internet con gli ultrasuoni. Un pò come si fa con i cani. Almeno così parrebbe, stando all'ultima acquisizione annunciata da Google. Il gigante americano dei motori di ricerca non bada a spese quando di stratta di scovare nuovi talenti (ha superato Intel nel numero di aziende assorbite): l'ultimo acquisto milionario è quello di SlickLogin. Dimenticate codici strani come i "captcha" o i dati biometrici come le impronte digitali. 

Con il sistema sviluppato da questa startup israeliana (nata neanche sei mesi fa e composta da sole tre persone) è possibile autenticarsi online grazie a particolari sequenze sonore studiate per non essere udibili all'orecchio umano. SlickLogin utilizza anche localizzazione come parte della autenticazione. Tutti e tre i fondatori sono neolaureati della IDF elite cyber security unit, e hanno speso oltre 6 anni di lavoro per progetti di sicurezza informatica. 

SlickLogin non ha specificato i dettagli finanziari dell'operazione. Sul sito web della società si legge: "Abbiamo fondato SlickLogin perché le misure di sicurezza erano diventate troppo complicate e fastidiose. I nostri amici pensavano che fossimo pazzi, ma sapevamo che potevamo fare di meglio. Così abbiamo deciso di migliorare la sicurezza, pur rendendo più semplice il login delle persone di login".

"Oggi stiamo annunciando il team di SlickLogin si unisce a Google, una società che condivide le nostre convinzioni di base che il login dovrebbe essere facile, invece di frustrante, e l'autenticazione dovrebbe essere efficace senza intralcio. Google è stata la prima azienda ad offrire a tutti, gratuitamente, un sistema di identificazione a due fattori e sta lavorando ad alcune idee grandiose che renderanno internet più sicuro per tutti. Non potremmo essere più contenti di unirci ai loro sforzi". 

SlickLogin ha sviluppato una tecnologia che consente ai siti web di identificare gli utenti da onde sonore generate dagli altoparlanti del proprio computer. Visitando il sito web nel quale si desidera effettuare l'accesso, gli altoparlanti del computer producono un suono univoco, quasi impercettibile all'orecchio dell'uomo, che viene intercettato da un'applicazione ad hoc sullo smartphone. L'app che analizza le onde sonore e invia conferma dell'utente.

Il codice suono è diverso ogni volta e l'utente che richiede l'accesso deve essere ogni volta in camera. Il suono è anche un mezzo compreso e controllabile dagli utenti. Se gli utenti non vogliono che avvenga la loro autenticazione SlickLogin, hanno bisogno solo di disattivare i loro diffusori. In effetti, l'uso normale di SlickLogin richiede agli utenti di non ricordare nulla, fatta eccezione per la necessità di caricare l'applicazione del telefono e tenere il telefono vicino al computer.

Fonte: Euronews

Via: La Stampa

Attacco hacker a Yahoo mail, rubate username e password di accesso

Attacco alla sicurezza per gli account Yahoo Mail. Ad annunciarlo è stata la stessa società americana, che ha anche spiegato di aver già preso provvedimenti, senza però precisare il numero di account colpiti. "Attacchi alla sicurezza stanno purtroppo diventando un evento più regolare. Recentemente, abbiamo identificato uno sforzo coordinato per ottenere l'accesso non autorizzato agli account Yahoo Mail. Al momento del ritrovamento, abbiamo preso misure immediate per proteggere i nostri utenti, spingendoli a reimpostare le password sugli account colpiti", si legge in un post su Tumblr.

Google aggiorna termini di servizio: nome e foto utenti nella pubblicità

Tra circa un mese Google effettuerà alcune modifiche alle sue politiche sulla privacy e termini di servizio. A partire dalla tarda serata di ieri, accedendo al motore di ricerca o ad uno dei tanti servizi offerti da Mountain View, chiunque avrà notato nella parte superiore dello schermo, una sottile barra di colore blu con un messaggio che recita testualmente: "Abbiamo aggiornato i Termini di servizio". Si tratta dei nuovi termini e condizioni che entreranno in vigore l'11 Novembre 2013. 

Nel documento che Google ha pubblicato sul proprio sito internet, si legge: "Stiamo aggiornando i Termini di servizio di Google. I nuovi Termini verranno pubblicati online l'11 novembre 2013. Dato che molti utenti sono allergici ai testi legali, per comodità è disponibile un riepilogo in un linguaggio semplice". I termini di utilizzo servizi di  Mountain View ora permettono al gruppo di usare le informazioni degli iscritti - compresi il nome, le foto e i commenti - all'interno di pubblicità su internet.  

Google ha apportato principalmente tre cambiamenti: un chiarimento su come il nome e la foto del profilo potrebbero apparire nei prodotti Google (fra cui recensioni, pubblicità e in altri contesti commerciali); un promemoria relativo all'utilizzo sicuro dei dispositivi mobili; dettagli sull'importanza di mantenere riservata la password. Nel processo di integrazione di Google Plus con gli altri servizi di Mountain View arrivano i "consigli condivisi", che si basano essenzialmente sul pulsante [+ 1].

Per offrire agli utenti, ai loro amici e alle persone nelle loro cerchie le informazioni più utili, la società ha bisogno di far vedere il nome e la foto del profilo di un utente, nonché contenuti come le recensioni che condivide o gli annunci su cui ha fatto +1. "Ciò accade - spiega Google - solo quando l'utente svolge un'azione (fa +1, aggiunge un commento o segue qualcuno) e le uniche persone che vedono tutto questo sono quelle con cui l'utente ha scelto di condividere tali contenuti"

"Su Google - sottolinea la società - gli utenti hanno il controllo di ciò che condividono". Questo aggiornamento a Termini di servizio, "non modifica in alcun modo la scelta delle persone con cui sono stati condivisi i contenuti in passato né la capacità di controllare con quali persone condividere i contenuti in futuro". Per quanto riguarda le conferme condivise negli annunci, è possibile controllare l'utilizzo del proprio nome e della propria foto del profilo tramite l'impostazione "Conferme condivise".

Se tale impostazione viene disattivata il nome e la foto del profilo non verranno mostrati nell'annuncio. "Questa impostazione si applica solo all'utilizzo negli annunci e non influisce sull'eventuale utilizzo del nome o della foto del profilo in altri contesti, come Google Play", si legge nel documento. Mountain View chiarisce che se in passato è stato indicato a Google di non visualizzare i propri +1 negli annunci, la società continuerà a "rispettare tale scelta nel contesto di questa impostazione aggiornata". 

Per gli utenti che hanno meno di 18 anni, "le loro azioni non appariranno nelle conferme condivise negli annunci e in determinati altri contesti". Per avere un maggior controllo sulla tipologia degli annunci visualizzati di Google, è inoltre possibile utilizzare lo "strumento Impostazioni annunci". Infine, la priorità di Google "è mantenere al sicuro le informazioni degli utenti". Il nome utente e la password Google consentono di accedere a molti servizi ed è importante che l'account Google resti al sicuro.

Se Google nota qualcosa di sospetto, "ad esempio dei tentativi non riusciti di accedere al proprio account o due accessi all'account in un breve lasso di tempo, ma da computer situati a grande distanza l'uno dall'altro", il sistema di sicurezza potrebbe visualizzare un avviso di attività insolita. È possibile leggere informazioni su altri modi per mantenere sicuro l'account Google, inclusi l'aggiunta della verifica in due passaggi e l'utilizzo delle password specifiche per le app. Per maggiori informazioni: http://goo.gl/phxJbe

Via: Google Policy

Twitter lancia il sistema di autenticazione a due fattori contro hacker

Dopo alcuni mesi di speculazioni e voci, Twitter ha svelato il suo sistema di autenticazione a due fattori. La caratteristica è adesso attiva, rendendo finalmente l'account Twitter più sicuro.  La novità arriva ad un mese dall'attacco all'account Twitter dell'agenzia Associated Press. Il nuovo sistema non sarà attivo di default ma dovrà essere esplicitamente richiesto mettendo. "Oggi stiamo introducendo una nuova funzionalità di sicurezza per proteggere al meglio il tuo account Twitter: verifica di login", ha spiegato la società in un post sul blog. 

"Si tratta di una forma di autenticazione a due fattori. Quando accedi a twitter.com, c'è un secondo controllo per assicurarsi che sei davvero tu. Ti verrà chiesto di registrare un numero di telefono verificato e un indirizzo email confermato", ha aggiunto. Abilitare la funzione è abbastanza semplice, basta andare alla pagina Impostazioni account su Twitter e selezionare "Richiedi un codice di verifica all'accesso". Verrà chiesto di fornire un numero di telefono a cui verranno inviati i codici, inserire il codice che si riceve e il gioco è fatto.

Il sistema a due fattori s'ispira a quello adottato da Facebook, che richiede agli iscritti un numero di telefonino a cui Twitter  può inviare un codice unico, per controllare, con un second check, che l'utente sia colui che afferma di essere. Le applicazioni esistenti che sono state collegate a Twitter non saranno influenzate da questo sistema, ma bisognerà generare una nuova password temporanea, unica per ogni nuova applicazione che si collega al proprio account, molto simile alle password di Google specifiche delle applicazioni. 

Ogni volta che si vuole entrare nel profilo si riceve un codice di sei cifre via sms da inserire per poter concludere il login. La funzione è importante per gli utenti normali e dovrebbe notevolmente migliorare la sicurezza dei loro account. Le organizzazioni in cui più persone condividono un account non saranno così entusiaste perché, ovviamente, possono utilizzare un solo telefono tra i dipendenti. Tuttavia, questo non dovrebbe essere in realtà un problema dal momento che queste organizzazioni utilizzano regolarmente client Twitter piuttosto che la versione web standard di Twitter.

Via: Twitter

Immagine: Future Web Net

Syrian Electronic Army rivendica tweet AP su falso attentato a Obama

Si fanno chiamare "Syrian Electronic Army" e si autodefnisicono "un gruppo di giovani siriani entusiasti che non possono rimanere indifferenti di fronte alle distorsioni dei fatti sulla guerra in Siria". Sono loro gli hacker dietro l'attacco all'account Twitter di Associated Press, una delle più prestigiosa agenzie di stampa internazionali. Il falso tweet "La casa Bianca è stata colpita e Obama ferito" partito dal profilo Ap, quasi 2 milioni di follower, ha scatenato immediatamente il caos sui mercati, spiega TMNews, facendo bruciare soldi veri, non virtuali.

Il gruppo, che afferma di essere vicino al governo di Bashar al Assad, già in passato aveva portato a termine altri attacchi contro giganti dell'informazione come la National Public Radio, BBC e CBS News, Reuters e Al Jazeera. Non solo, gli hacker intervengono nel dibattito online inondando di commenti pro Assad i social network. Blitz mirati che fanno toccare con mano le conseguenze e i rischi della cyber guerra. L'account del SEA è stato sospeso, mal 'episodio lancia un ombra sull'affidabilità di Twitter, ormai un sistema di informazione parallelo rispetto alle fonti tradizionali.

L'Associated Press ha poi confermato la compromissione, dicendo che il Syrian Electronic Army, ha rivendicato la responsabilità di un hack che è stato preceduta da una campagna di attacco di phishing su reti AP. Contrariamente a quanto è stato ampiamente riportato, l'AP non ha detto con certezza che questo account è collegato alla precedente campagna di phishing. I sistemi di autenticazione a due fattori richiedono agli utenti di autenticarsi con un meccanismo, di solito una password, prima di chiedere loro di autenticarsi con un secondo di solito codice numerico inviato via SMS a un dispositivo mobile.

Molti profili sono stati colpiti da hacker ma è la prima volta che viene coinvolta una fonte d'informazione affidabile come l'Ap. Il falso tweet ha riaperto quindi anche il dibattito sulle pratiche di sicurezza e privacy su Twitter. Il gruppo di hacker online e attivisti affermano di essere sostenitori del presidente siriano Bashar al-Assad e cercano di contrastare quello che definiscono "notizie inventate" sulla Siria trasmesse dai media arabi e occidentali. Sul loro sito web -  spiega la BBC -  il SEA si descrive come "un gruppo di entusiasti giovani siriani che non potevano rimanere passivi verso la massiccia distorsione dei fatti circa la recente rivolta in Siria".

Utilizzando le piattaforme di social media Facebook e Twitter, il SEA ha lanciato campagne di spamming organizzate e attacchi denial of service individuali, di gruppo e siti web di organizzazione che credono minare la legittimità del governo siriano. Tra i primi obiettivi di spam gli account Facebook del presidente americano Barack Obama e l'ex presidente francese Nicolas Sarkozy. L'obiettivo del SEA è chiaramente politico. Sul  loro sito web, gli hacker accusano gruppi pro-opposizione e gli attivisti di usare Facebook per "diffondere le loro idee distruttive... esortando i manifestanti a terrorizzare i civili che si rifiutano di unire le loro dimostrazioni e attaccare le strutture pubbliche".

Mentre ancora non è chiaro a chi sia legato il SEA, se non del tutto, al governo siriano, una rivendicazione del gruppo sembra averlo finora respinto. Un sito web affiliato, che ha detto di essere progettato dai membri del gruppo nega di ricevere ordini da parte delle autorità siriane. Il ricercatore del Citizen Lab dell'Università di Toronto, Helmi Noman ha effettuato il monitoraggio del gruppo dalla sua prima attività online nel 2011. Noman ha scoperto che il sito ora defunto del SEA è stato registrato dalla Syrian Computer Society, una organizzazione non governativa che sembra legata al presidente siriano Bashar al-Assad.

"La nostra è un'azione di protesta contro la copertura che i media occidentali riservano all'opposizione siriana - spiega l'autoproclamato leader del gruppo che dice di chiamarsi Mohammed - Le loro inchieste ingannevoli hanno ferito la Siria e il popolo siriano". "È importante capire cosa sia successo - spiega Dan Gallagher a Euronews, commissario per la sicurezza dei mercati - e assicurarci che nessun investitore sia stato danneggiato". Problemi alla sicurezza nel 2009 hanno costretto Twitter a scontrarsi con la Federal Trade Commission Twitter, impegnandosi a controlli e audizioni sul fronte della sicurezza per i prossimi due decenni.

Via: Associated Press

Google sperimenta token autenticazione fisici al posto delle password

In un documento di ricerca, due esperti di sicurezza di Google hanno delineato un futuro in cui la via principale per garantire chi diciamo di essere on-line sarà il possesso di un token fisico, forse integrato in smartphone o anche gioielli. Gli esperti di sicurezza del più grande colosso Web hanno aggiunto ciò alle rivendicazioni crescenti sulle password che sono sia intrinsecamente insicure e sempre più impraticabili.

Attacco hacker a Dropbox, la società conferma e annuncia contromisure

Dropbox è stato afflitto nella seconda metà di luglio da un problema di sicurezza degli account che ha esposto gli indirizzi e-mail di alcuni utenti, conseguentemente colpiti da spam. Con un post sul blog ufficiale, l'azienda ha comunicato di avere terminato le indagini e di essere in grado di affermare con sicurezza che un certo numero di password e nomi utenti rubati recentemente da altri siti sono stati utilizzati per violare un ristretto numero di account Dropbox.

"Un paio di settimane fa, - si legge sul Dropbox blog - abbiamo iniziato a ricevere messaggi di posta elettronica da parte di alcuni utenti che ricevevano spam a indirizzi e-mail utilizzati solo per Dropbox. Abbiamo lavorato duramente per andare a fondo di questo, e vogliamo darvi un aggiornamento. La nostra inchiesta ha accertato che i nomi utente e password rubate di recente da altri siti sono stati utilizzati per accedere a un piccolo numero di account Dropbox".

"Abbiamo contattato questi utenti - si legge ancora - e li abbiamo aiutati a proteggere i loro account. Una password rubata è stata utilizzata anche per accedere a un account di un dipendente Dropbox, contenente un documento di progetto con gli indirizzi di posta elettronica degli utenti. Crediamo che questo accesso improprio è quello che ha portato allo spam. Questo ci dispiace, e abbiamo messo in atto ulteriori controlli per assicurarci che non accada di nuovo".

Tra le precauzioni che Dropbox introdurrà prossimamente per salvaguardare gli utenti ci saranno l'autenticazione a due fattori, come per esempio l'inserimento di una password e di un codice temporaneo inviato su telefonino al momento dell’accesso; nuovi meccanismi automatici in grado di identificare attività sospette, una nuova pagina che consente di visualizzare gli accessi attivi al proprio account e l'invio di richieste saltuarie di modificare la password nel caso in cui, per esempio, non venisse cambiata da molto tempo.

Dropbox consiglia vivamente per migliorare la sicurezza online degli utenti di impostare una password univoca per ogni sito web che si usa. Anche se la medesima password è semplice da riutilizzare su diversi siti web, questo significa che se un sito viene compromesso, tutti gli account sono a rischio, spiegano i tecnici di Dropbox. Strumenti come 1Password consentono di gestire password sicure attraverso più siti. Se avete domande o dubbi, non esitate a contattare il support+security@dropbox.com.

Via: Dropbox

Società di sicurezza RSA conferma attacco al token di autenticazione

Il presidente di RSA ha rilasciato in una dichiarazione al recente RSA Security Conference tenutosi a Londra, in una lettera aperta per descrivere l’attacco subito lo scorso marzo dalla sua compagnia, che ha portato alla totale compromissione degli algoritmi di funzionamento della tecnologia SecurID. "Come ogni grande azienda, le esperienze EMC respingono con successo gli attacchi informatici più sulla propria infrastruttura IT ogni giorno", ha dichiarato il presidente di RSA, Art Coviello.

"Recentemente, i nostri sistemi di sicurezza hanno individuato un attacco informatico estremamente sofisticato in progress che è montato contro RSA. Abbiamo preso una serie di misure aggressive contro la minaccia per proteggere il nostro business e i nostri clienti, tra cui un ulteriore indurimento della nostra infrastruttura IT. Abbiamo anche subito iniziato un'ampia indagine di attacco e stiamo lavorando in stretta collaborazione con le autorità competenti"., ha aggiunto.

Secondo l'indagine di RSA si tratta di un attacco di tipo Advanced Persistent Threat (APT).  L'indagine avrebbe anche rivelato che l'attacco ha portato a determinate informazioni che vengono estratte dai sistemi di RSA. Alcune di tali informazioni sono specificamente relative a RSA SecurID a due fattori dei prodotti di autenticazione.

Mentre le informazioni estratte non consentirebbero un attacco diretto su qualsiasi dei propri clienti RSA SecurID, queste informazioni potrebbero essere utilizzate per ridurre l'efficacia di una corrente implementazione di autenticazione a due fattori come parte di un attacco più ampio.

RSA comunicando questa situazione ai clienti RSA fornisce le misure immediate per rafforzare le loro implementazioni SecurID. E 'importante notare che RSA non crede che sia le informazioni sui clienti o dipendenti che vengono identificati personalmente siano stata compromessi a seguito di questo incidente.

RSA è impegnata ad applicare tutte le risorse necessarie per dare ai propri clienti SecurID, strumenti e il supporto di cui hanno bisogno per rafforzare la sicurezza dei propri sistemi IT di fronte a questo incidente. RSA invita caldamente i  propri clienti a seguire i passi descritti nella propria Nota SecurCare Online [qui il documento PDF]. Le minacce APT minacce stanno diventando una sfida significativa per tutte le grandi aziende.

Google introduce la doppia autenticazione per gli utenti di Gmail

Google ha introdotto una nuova funzionalità di autenticazione a due fasi per gli utenti Gmail che aumenterà in modo significativo la sicurezza del suo servizio di posta. Il sistema consente agli utenti di impostare un metodo che fornisce un codice segreto che verrà richiesto, insieme alla password, per accedere all'account Gmail, come si fa tuttora nelle banche. 

Il secondo codice si ottiene via cellulare per mezzo di SMS o tramite applicazione per smartphone Android, BlackBerry o iPhone. Il codice così ottenuto permette di autenticare in modo univoco il proprio account, che diventa così formato da un username, da una password e da un codice che può essere ottenuto solo tramite un oggetto personale. 

Collegandosi alla pagina di gestione dell'Account Google, si può evitare di effettuare la doppia verifica ad ogni accesso attivando la voce "Remember verification for this computer for 30 days" durante la prima introduzione del codice secondario; in questo modo il computer su cui viene effettuato l'accesso ricorderà le cifre inserite per 30 giorni. 

In alternativa, è possibile impostare una password unica che racchiude i due identificativi, necessaria nel caso di accesso da "non-browser", che spesso non supportano l'inserimento di un secondo codice. L'opzione "Using 2-step verification" sarà disponibile nel corso dei prossimi giorni all'interno delle impostazioni del proprio account personale, raggiungibili dall'interfaccia di Gmail. 

Un hacker avrebbe adesso bisogno di accedere sia al telefono che alle informazioni di login di Google per accedere all'account. Gmail, come tutti i servizi di webmail, è frequente bersaglio di attacchi, spesso anche molto sofisticati, che mirano a rubare i dati degli account degli utenti.

Via: PMI