Twitter senza pace: dopo Musk ci si mettono anche gli hacker

08 Agosto 2022 29

Twitter è sotto attacco: no, non stiamo parlando delle accuse di Elon Musk rivolte al social, reo di nascondere la verità sul numero di account fake - il numero uno di Tesla è tornato di recente a provocare il CEO Parag Agrawal con un sondaggio, i cui risultati tra l'altro danno ragione allo stesso Musk (link nel VIA). In questo caso ci riferiamo ad attacchi da parte di hacker intenzionati a rubare i dati personali degli utenti.

L'attacco è stato reso possibile da una vulnerabilità: in pratica, inserendo un numero di telefono o un indirizzo e-mail sul social network il malintenzionato era in grado di verificare se questo fosse associato ad un account Twitter esistente, identificandolo.

LA FALLA RISALE ALLO SCORSO ANNO

La falla è stata scoperta a inizio anno attraverso il bounty program - il programma di ricompense rivolto agli sviluppatori che trovano bug di vulnerabilità - ed è stata (involontariamente) generata l'anno precedente (giugno 2021) con un aggiornamento del codice. Il processo, come detto, è davvero semplice: basta inserire a sistema una mail o numero telefonico e si ricevono immediatamente tutti i dati relativi all'account (se esiste) ad esso collegato.

A quel tempo (2021, ndr) non avevamo prove che suggerissero che qualcuno avesse approfittato della vulnerabilità,

ammette l'azienda. Il fatto è emerso dopo che qualcuno aveva cercato di vendere le informazioni rubate con questa procedura. Twitter dice di aver chiuso la falla, e sta attualmente contattando gli account che sono stati vittima della vulnerabilità. Il social network consiglia in modo particolare a tutti coloro che utilizzano un account pseudonimo su Twitter di "non aggiungere un numero di telefono o indirizzo mail pubblicamente noti sul tuo account Twitter".

Ed è sempre meglio attivare l'autenticazione a 2 fattori. Twitter dice che la falla non sarebbe stata sfruttata dai malintenzionati, altri rapporti rivelano invece che un hacker sarebbe riuscito a rubare 5,4 milioni di account rivendendoli (cercando di rivenderli) su un forum a 30 mila dollari.


29

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
PyEr ADKR

Sulla mail secondaria concordo, numero di telefono temporaneo...cioè?

Si chiaramente se notassimo un calo nelle registrazioni lo toglieremmo. L'utente preferisce validare il num di tel piuttosto che essere truffato da qualcuno, di solito.

ErCipolla

Si si, non sto dicendo sia difficile, ma la chiave sta tutta nella tua ultima frase: la NECESSITA' aguzza l'ingengo. E io penso che il 99.99% della popolazione non senta questa "necessità", quindi neanche si pone il problema, da il suo numero vero e basta.

ErCipolla

Certo, ci mancherebbe, poi sta all'utennte decidere se registrarsi o no. Io non ho Twitter, ma se volessi registrarmi e mi chiedessero obbligatoriamente il numero di telefono sarebbe un ulteriore "disincentivo" a registrarmi.

J0k3r_IT

ti dirò che è più difficile da spiegare che da fare ovvero da mostrare: a ogni modo la necessità aguzza l'ingegno.

Noi lo usiamo per verificare che a registrarsi sia un utente un po' più reale ed italiano (il nostro servizio è solo per l'Italia) che non un truffatore X da un paesello africano o dalla Russia.

ErCipolla

Per quanto poco costi rimarrà sempre una soluzione di nicchia, la gente "normale" (passami il termine) non si prenderà mai la briga di fare sto giri...

J0k3r_IT

tu puoi informarti dove vuoi l'IMPORTANTE è che poi ammetti che QUALCUNO all'interno delle istituzioni ti ha mentito e imbrogliato quando è lampante.

Vabbè giornali seri mi stai citando l'organo di propaganda del partito democratico negli USA, l'organo di propaganda dei labour in UK, il Corriere la voce degli Agnelli, il Post proprio roba di sinistra sinistra... LOL! Suvvia siamo seri :) Sono gli stessi insieme a Open che decidono cosa è fake news o meno XD

Ripeto ma puoi credere a quel che vuoi, l'importante è solo che da cittadino intelligente ammetti quando ti hanno mentito e continuano a farlo :) CYA!

ROOT

Joker quando tu mi dici "informati" sono sicuro che fai riferimento a blog e siti gestiti da persone che non ci stanno con la testa. I profili di Twitter che segui, i blog dove dicono che non siamo mai andati sulla luna, ste robe così non sono "informazione", non rappresentano il concetto di "critical thinking". Capisci che dobbiamo avere un minimo di fiducia verso varie istituzioni che esercitano un minimo di controllo su determinati ambiti? Se io voglio informarmi dei vaccini per dire, faccio riferimento al Ministero della Salute, poi ai vari ministeri europei, poi all'OMS, etc. Magari sento qualche professore disposto a ricevermi all'università o nel suo studio. Non mi informo su Twitter, per dire.

Scusa per gli esempi estremi ma è così. Informiamoci su giornali degni di questo nome, tipo il NYT, The Guardian, Il Corriere, il Post, non su Facebook ;)

J0k3r_IT

quello che tu chiami "complotto" è il mondo reale, si viene discriminati per le proprie opinini o peggio e non in qualche paese sperduto in paesi occidentali, perdi il lavoro per opinioni assolutamente lecite non mainstream, etc... informati ti si aprirebbe un mondo di come funziona

ROOT

Vabbè e via con il complotto ancora una volta. Le alternative sono poche, non ci sono, per quello scritto sopra. Sarà per un'altra volta.

J0k3r_IT

SPID europeo per entrare su internet e commentare... fantastico il sogna bagnato dei regimi... dove poi se hai opinioni divergenti dalla cantata mainstream arrivano le penalizzazione stile credito sociale. No grazie. Io rimangono fermo sullo spirito originario di Tim Berners-Lee

ROOT

Vabbè, adesso stiamo andando sullo specifico, poi ripeto, non ho la necessità di eseguire queste procedure. Altrimenti di certo non commenterei su un blog, userei TailOS basato su rete Tor, GrapheneOS sul telefono, etc.

ROOT

Sì, lo so, guarda il mio commento sopra fuori dalle risposte di questa conversazione. Cito:

"Mah, è un discorso delicato, poi i siti si riempono di troll e persone che insultano perchè "protette" dall'anonimato. D'altra parte le aziende
non ti possono chiedere passaporto e selfie per identificarti perchè anche lì si tratta di dati mooolto personali. Forse una via di mezzo è istituire uno SPID europeo, dove i controlli vengono fatti
dall'istituzione principale che danno la conferma alle varie aziende dell'autenticità dell'individuo. Ovviamente gli americani potrebbero fare lo stesso, i russi e cinesi già lo fanno probabilmente e il resto
del mondo potrebbe adeguarsi. Ma anche qua, se c'è un giornalista o un cittadino (penso per esempio ad Assange o Snowden in USA) che deve comunicare a giornali e testate informazioni sensibili, verrebbe bloccato immediatamente, dovrebbe bypassare tutti questi sistemi di
controllo."

J0k3r_IT

guarda che non è un abbonamento, paghi one-use finché non ti serve nuovamente. Usando il trucco che ho sopra descritto eviti anche di doverlo riusare per verifiche o quant'altro!

J0k3r_IT

Firefox Relay o servizi simili sono comunque collegati a una tua identità verificata cui sono collegate tutte una serie dati e servizi se il tuo obiettivo è rimanere il più invisibile possibile non è una strategia adeguata anche perché le varie società specie con sede negli USA anche se dicono di no si scambiano i dati.

Non è un modo efficiente per costruire una catena forte che rende molto oneroso scavare negli affari tuoi.

ErCipolla

Ecco, allora si, però devi tenere conto che sono strumenti "di nicchia"... la maggior parte della popolazione non si abbona a servizi a pagamento per evitare di usare il suo numero di cell quando si registra a fessbuk.

J0k3r_IT

se vuoi mantenere la catena forte devi utilizzare tutti servizi terzi dove chi tu sei non è facilmente intuibile perché la catena è forte quanto l'anello più debole. Quelo che fanno sia twitter nella censura che certi fastidiosi personaggi su twitter è cercare di capire chi sei per poi infamarti e tormentarti. La strategia che ho accennato sopra elimina questo tipo di problematica :)

J0k3r_IT

io non parlo di servizi gratuiti che oltretutto sono tutti blacklistati :) parlo di servizi che paghi anche pochi euro dove il numero (non virtuale) lo puoi riutilizzare qualora ti servisse, a ogni modo c'è un trucco che ti svelo: utilizzando un'app rigorosamente opensource come autenticator risolvi la quasi totalità delle problematiche di recupero/verifica se poi hai certi specifici IP in certi paesi specifici non ti chiedono neanche il numero di telefono come "conferma di identità", questo in primis per Twitter.

ROOT

Mah, è un discorso delicato, poi i siti si riempono di troll e persone che insultano perchè "protette" dall'anonimato. D'altra parte le aziende non ti possono chiedere passaporto e selfie per identificarti perchè anche lì si tratta di dati mooolto personali. Forse una via di mezzo è istituire uno SPID europeo, dove i controlli vengono fatti dall'istituzione principale che danno la conferma alle varie aziende dell'autenticità dell'individuo.

ErCipolla

Alle brutte si, anche se a quel punto sorgono problemi di sicurezza. Per dire: se poi più avanti ti serve il numero per recupero/verifica account e non ci hai più accesso è un casino.

ROOT

No, Yandex no, forse Protonmail. Però non è ho mai avuto la necessità, allora in quel caso conviene fare il Login with Apple o usare Firefox Relay.

J0k3r_IT

email usa e getta se bastasse solo per la registrazione, con twitter per esempio non puoi molti (diciamo praticamente tutti) sono già in blacklist. A quel punto usa protonmail o yandex

J0k3r_IT

come ho detto basta usarne uno "temporaneo" e annessi ulteriori accorgimenti di varia natura per essere "sicuri" in modo soddisfacente.

ROOT

Ma più che email secondaria è più intelligente usare qualcosa come Firefox Relay (tremendamente efficace) oppure email usa e getta per quei pochi servizi che non dovrai usare spesso o che devi consultare una tantum (tipo TempMail, etc). Oppure una cosa più sicura è usare il Login with Apple dove ti permette di nascondere la mail e creare un alias (un po’ come Firefox Relay) dove il gestore del servizio non può vedere il tuo account mail principale (tanto che Gmail identifica come spam le mail che vengono inviate a questo alias). In alternativa usare sempre Login with Google e cose simili. Almeno da un solo pannello puoi gestire tutti i controlli e bloccare vari servizi con un click. Ovviamente l’account principale deve avere una protezione forte attiva (2FA, Yubikey o simili, etc). E usare sempre un password manager (tipo Keepass XC su pc/Mac o su iOS/Android).

Patrocinante in Cassazione

Sarebbe cosa utile che quando ci si iscrive da qualche parte su internet bisognerebbe usare dati falsi

ErCipolla

In generale io eviterei qualsiasi servizio che chiede il numero di telefono senza un valido motivo.

J0k3r_IT

motivo per il quale è sempre saggio usare un'email secondaria, un numero di telefono "temporaneo" e un'altra decina di accorgimenti che non sto qui a svelare.

Jotaro

Povero...

Apple

Recensione iPhone 15 Pro Max, si conferma al TOP senza stravolgere

Articolo

Prime Video: tutti i film e le serie TV in arrivo a ottobre 2023

Android

Recensione Sony Xperia 5 V: funziona alla grande, ma è fuori tempo massimo? | VIDEO

Android

Samsung Galaxy S24, primi render svelano il design: avrà bordi piatti e squadrati