
18 Agosto 2022
Twitter è sotto attacco: no, non stiamo parlando delle accuse di Elon Musk rivolte al social, reo di nascondere la verità sul numero di account fake - il numero uno di Tesla è tornato di recente a provocare il CEO Parag Agrawal con un sondaggio, i cui risultati tra l'altro danno ragione allo stesso Musk (link nel VIA). In questo caso ci riferiamo ad attacchi da parte di hacker intenzionati a rubare i dati personali degli utenti.
L'attacco è stato reso possibile da una vulnerabilità: in pratica, inserendo un numero di telefono o un indirizzo e-mail sul social network il malintenzionato era in grado di verificare se questo fosse associato ad un account Twitter esistente, identificandolo.
La falla è stata scoperta a inizio anno attraverso il bounty program - il programma di ricompense rivolto agli sviluppatori che trovano bug di vulnerabilità - ed è stata (involontariamente) generata l'anno precedente (giugno 2021) con un aggiornamento del codice. Il processo, come detto, è davvero semplice: basta inserire a sistema una mail o numero telefonico e si ricevono immediatamente tutti i dati relativi all'account (se esiste) ad esso collegato.
A quel tempo (2021, ndr) non avevamo prove che suggerissero che qualcuno avesse approfittato della vulnerabilità,
ammette l'azienda. Il fatto è emerso dopo che qualcuno aveva cercato di vendere le informazioni rubate con questa procedura. Twitter dice di aver chiuso la falla, e sta attualmente contattando gli account che sono stati vittima della vulnerabilità. Il social network consiglia in modo particolare a tutti coloro che utilizzano un account pseudonimo su Twitter di "non aggiungere un numero di telefono o indirizzo mail pubblicamente noti sul tuo account Twitter".
Ed è sempre meglio attivare l'autenticazione a 2 fattori. Twitter dice che la falla non sarebbe stata sfruttata dai malintenzionati, altri rapporti rivelano invece che un hacker sarebbe riuscito a rubare 5,4 milioni di account rivendendoli (cercando di rivenderli) su un forum a 30 mila dollari.
Recensione iPhone 15 Pro Max, si conferma al TOP senza stravolgere
Prime Video: tutti i film e le serie TV in arrivo a ottobre 2023
Recensione Sony Xperia 5 V: funziona alla grande, ma è fuori tempo massimo? | VIDEO
Samsung Galaxy S24, primi render svelano il design: avrà bordi piatti e squadrati
Commenti
Sulla mail secondaria concordo, numero di telefono temporaneo...cioè?
Si chiaramente se notassimo un calo nelle registrazioni lo toglieremmo. L'utente preferisce validare il num di tel piuttosto che essere truffato da qualcuno, di solito.
Si si, non sto dicendo sia difficile, ma la chiave sta tutta nella tua ultima frase: la NECESSITA' aguzza l'ingengo. E io penso che il 99.99% della popolazione non senta questa "necessità", quindi neanche si pone il problema, da il suo numero vero e basta.
Certo, ci mancherebbe, poi sta all'utennte decidere se registrarsi o no. Io non ho Twitter, ma se volessi registrarmi e mi chiedessero obbligatoriamente il numero di telefono sarebbe un ulteriore "disincentivo" a registrarmi.
ti dirò che è più difficile da spiegare che da fare ovvero da mostrare: a ogni modo la necessità aguzza l'ingegno.
Noi lo usiamo per verificare che a registrarsi sia un utente un po' più reale ed italiano (il nostro servizio è solo per l'Italia) che non un truffatore X da un paesello africano o dalla Russia.
Per quanto poco costi rimarrà sempre una soluzione di nicchia, la gente "normale" (passami il termine) non si prenderà mai la briga di fare sto giri...
tu puoi informarti dove vuoi l'IMPORTANTE è che poi ammetti che QUALCUNO all'interno delle istituzioni ti ha mentito e imbrogliato quando è lampante.
Vabbè giornali seri mi stai citando l'organo di propaganda del partito democratico negli USA, l'organo di propaganda dei labour in UK, il Corriere la voce degli Agnelli, il Post proprio roba di sinistra sinistra... LOL! Suvvia siamo seri :) Sono gli stessi insieme a Open che decidono cosa è fake news o meno XD
Ripeto ma puoi credere a quel che vuoi, l'importante è solo che da cittadino intelligente ammetti quando ti hanno mentito e continuano a farlo :) CYA!
Joker quando tu mi dici "informati" sono sicuro che fai riferimento a blog e siti gestiti da persone che non ci stanno con la testa. I profili di Twitter che segui, i blog dove dicono che non siamo mai andati sulla luna, ste robe così non sono "informazione", non rappresentano il concetto di "critical thinking". Capisci che dobbiamo avere un minimo di fiducia verso varie istituzioni che esercitano un minimo di controllo su determinati ambiti? Se io voglio informarmi dei vaccini per dire, faccio riferimento al Ministero della Salute, poi ai vari ministeri europei, poi all'OMS, etc. Magari sento qualche professore disposto a ricevermi all'università o nel suo studio. Non mi informo su Twitter, per dire.
Scusa per gli esempi estremi ma è così. Informiamoci su giornali degni di questo nome, tipo il NYT, The Guardian, Il Corriere, il Post, non su Facebook ;)
quello che tu chiami "complotto" è il mondo reale, si viene discriminati per le proprie opinini o peggio e non in qualche paese sperduto in paesi occidentali, perdi il lavoro per opinioni assolutamente lecite non mainstream, etc... informati ti si aprirebbe un mondo di come funziona
Vabbè e via con il complotto ancora una volta. Le alternative sono poche, non ci sono, per quello scritto sopra. Sarà per un'altra volta.
SPID europeo per entrare su internet e commentare... fantastico il sogna bagnato dei regimi... dove poi se hai opinioni divergenti dalla cantata mainstream arrivano le penalizzazione stile credito sociale. No grazie. Io rimangono fermo sullo spirito originario di Tim Berners-Lee
Vabbè, adesso stiamo andando sullo specifico, poi ripeto, non ho la necessità di eseguire queste procedure. Altrimenti di certo non commenterei su un blog, userei TailOS basato su rete Tor, GrapheneOS sul telefono, etc.
Sì, lo so, guarda il mio commento sopra fuori dalle risposte di questa conversazione. Cito:
"Mah, è un discorso delicato, poi i siti si riempono di troll e persone che insultano perchè "protette" dall'anonimato. D'altra parte le aziende
non ti possono chiedere passaporto e selfie per identificarti perchè anche lì si tratta di dati mooolto personali. Forse una via di mezzo è istituire uno SPID europeo, dove i controlli vengono fatti
dall'istituzione principale che danno la conferma alle varie aziende dell'autenticità dell'individuo. Ovviamente gli americani potrebbero fare lo stesso, i russi e cinesi già lo fanno probabilmente e il resto
del mondo potrebbe adeguarsi. Ma anche qua, se c'è un giornalista o un cittadino (penso per esempio ad Assange o Snowden in USA) che deve comunicare a giornali e testate informazioni sensibili, verrebbe bloccato immediatamente, dovrebbe bypassare tutti questi sistemi di
controllo."
guarda che non è un abbonamento, paghi one-use finché non ti serve nuovamente. Usando il trucco che ho sopra descritto eviti anche di doverlo riusare per verifiche o quant'altro!
Firefox Relay o servizi simili sono comunque collegati a una tua identità verificata cui sono collegate tutte una serie dati e servizi se il tuo obiettivo è rimanere il più invisibile possibile non è una strategia adeguata anche perché le varie società specie con sede negli USA anche se dicono di no si scambiano i dati.
Non è un modo efficiente per costruire una catena forte che rende molto oneroso scavare negli affari tuoi.
Ecco, allora si, però devi tenere conto che sono strumenti "di nicchia"... la maggior parte della popolazione non si abbona a servizi a pagamento per evitare di usare il suo numero di cell quando si registra a fessbuk.
se vuoi mantenere la catena forte devi utilizzare tutti servizi terzi dove chi tu sei non è facilmente intuibile perché la catena è forte quanto l'anello più debole. Quelo che fanno sia twitter nella censura che certi fastidiosi personaggi su twitter è cercare di capire chi sei per poi infamarti e tormentarti. La strategia che ho accennato sopra elimina questo tipo di problematica :)
io non parlo di servizi gratuiti che oltretutto sono tutti blacklistati :) parlo di servizi che paghi anche pochi euro dove il numero (non virtuale) lo puoi riutilizzare qualora ti servisse, a ogni modo c'è un trucco che ti svelo: utilizzando un'app rigorosamente opensource come autenticator risolvi la quasi totalità delle problematiche di recupero/verifica se poi hai certi specifici IP in certi paesi specifici non ti chiedono neanche il numero di telefono come "conferma di identità", questo in primis per Twitter.
Mah, è un discorso delicato, poi i siti si riempono di troll e persone che insultano perchè "protette" dall'anonimato. D'altra parte le aziende non ti possono chiedere passaporto e selfie per identificarti perchè anche lì si tratta di dati mooolto personali. Forse una via di mezzo è istituire uno SPID europeo, dove i controlli vengono fatti dall'istituzione principale che danno la conferma alle varie aziende dell'autenticità dell'individuo.
Alle brutte si, anche se a quel punto sorgono problemi di sicurezza. Per dire: se poi più avanti ti serve il numero per recupero/verifica account e non ci hai più accesso è un casino.
No, Yandex no, forse Protonmail. Però non è ho mai avuto la necessità, allora in quel caso conviene fare il Login with Apple o usare Firefox Relay.
email usa e getta se bastasse solo per la registrazione, con twitter per esempio non puoi molti (diciamo praticamente tutti) sono già in blacklist. A quel punto usa protonmail o yandex
come ho detto basta usarne uno "temporaneo" e annessi ulteriori accorgimenti di varia natura per essere "sicuri" in modo soddisfacente.
Ma più che email secondaria è più intelligente usare qualcosa come Firefox Relay (tremendamente efficace) oppure email usa e getta per quei pochi servizi che non dovrai usare spesso o che devi consultare una tantum (tipo TempMail, etc). Oppure una cosa più sicura è usare il Login with Apple dove ti permette di nascondere la mail e creare un alias (un po’ come Firefox Relay) dove il gestore del servizio non può vedere il tuo account mail principale (tanto che Gmail identifica come spam le mail che vengono inviate a questo alias). In alternativa usare sempre Login with Google e cose simili. Almeno da un solo pannello puoi gestire tutti i controlli e bloccare vari servizi con un click. Ovviamente l’account principale deve avere una protezione forte attiva (2FA, Yubikey o simili, etc). E usare sempre un password manager (tipo Keepass XC su pc/Mac o su iOS/Android).
Sarebbe cosa utile che quando ci si iscrive da qualche parte su internet bisognerebbe usare dati falsi
In generale io eviterei qualsiasi servizio che chiede il numero di telefono senza un valido motivo.
motivo per il quale è sempre saggio usare un'email secondaria, un numero di telefono "temporaneo" e un'altra decina di accorgimenti che non sto qui a svelare.
Povero...