Lensa AI

Lensa AI è un’app di fotoritocco disponibile per Android e iOS, che sfrutta un’intelligenza artificiale “creativa” per certi versi simile a quella di Dall-E, di cui abbiamo parlato in questo articolo.

Magic avatar

Tuttavia, a differenza di Dall-E, Lensa AI è un’app di fotoritocco e quindi lavora su un’immagine di partenza. In particolare ha avuto gran successo la funzione Magic Avatar dell’app, che consente di creare avatar a partire dalla propria foto.

Foto personali

In questo caso ci si può legittimamente chiede come vengono immagazzinati dati personali così delicati come le foto: al riguardo le policy di LensaAI sono chiarissime, specificando che vengono salvate nei server aziendali (negli Stati Uniti) e poi cancellate non appena creata l’immagine definitiva.

Dati di marketing

L’app immagazzina inoltre altri dati “tecnici” per finalità di marketing, specificandolo comunque chiaramente nelle condizioni d’uso (ove è anche indicato come disabilitarli delle opzioni di Android/iOS).

La polemica

La criticità principale dell’app è però causata dalla possibilità di eluderne i filtri in modo da creare immagini fortemente sessualizzate, magari di qualche celebrità (a cui si può eventualmente aggiungere il volto in un secondo momento) o a fini di persecuzione/cyberbullismo. Si noti come questo sia un uso scorretto dell’app e che gli sviluppatori stanno comunque lavorando per rendere i filtri più difficili da aggirare.

Il consiglio

Questa vicenda ci ricorda come vada tenuta la massima cautela nel diffondere online proprie foto o comunque informazioni personali, anche nel contesto apparentemente più sicuro e innocuo.

Password

Abbiamo già parlato in altre occasioni dell’importanza di utilizzare password sicure ed efficaci, ma essendo le tecniche degli hacker in continua evoluzione è bene tenersi al passo con le strategie più efficaci.

Attacchi hacker

Sono infatti ormai molteplici i modi con cui dei malintenzionati possono rubare le password altrui:

• Phishing: Forse la più comune, in cui è l’utente stesso ad inserire le proprie credenziali in un sito visivamente identico a uno reale a cui l’utente è iscritto, magari invitato da un messaggio (SMS o mail) allarmistico.
• Man-in-the-middle: Versione un po’ più elaborata, che prevede la presenza fisica di un malintenzionato. Questi infatti si collega a un Wi-Fi pubblico e “dirotta” un altro dispositivo connesso allo stesso Wi-Fi presso una pagina fasulla come quella usata nel phishing.
• Keylogger: Anche in questo caso è l’utente ad inserire le proprie credenziali, ma in questo caso è un malware precedentemente scaricato sul computer a “leggere” ogni singolo carattere digitato sulla tastiera e a trasmetterlo ai malintenzionati.
• Attacco a dizionario: In questo caso il malintenzionato “tira ad indovinare” con una lista di password (“dizionario”) fra le più comuni, contando sulla legge dei grandi numeri.
• Attacco di forza bruta: L’unico da cui non ci si può difendere, se non attraverso autenticazione a due fattori e cambio password. In questo caso non è infatti l’utente ad essere attaccato ma il server del sito legittimo che ospita le credenziali.

Le norme di sicurezza

Com’è evidente, scegliere una password sicura non mette al riparo al 100% da tutte le insidie, ma consente se non altro di evitarne alcune. Ma quali sono le norme di sicurezza da seguire per scegliere una password?

• Utilizzare sia maiuscole che minuscole, possibilmente in maniera non prevedibile. L’uso della maiuscola solo ad inizio parola ad esempio è meno sicuro, come è meno sicuro disporre le lettere in maniera prevedibile (per esempio alternandole).
• Utilizzare numeri, possibilmente che non richiamino dati facilmente scopribili (come l’anno di nascita). Un buon metodo è quello di usare numeri al posto di lettere a cui somigliano, come ad esempio 0 (zero) al posto di O (lettera O), oppure 3 al posto della lettera E.
• Utilizzare password lunghe almeno 12 caratteri, dato che più una password è lunga più è difficile da violare. La maggior parte dei siti consente ad oggi di creare password lunghe dai 12 ai 24 caratteri.
• Utilizzare anche i caratteri speciali, dato che difficilmente sono inclusi nei “dizionari” degli hacker.

La regola d’oro

C’è poi un’ulteriore regola, forse la più importante di tutte anche se spesso sacrificata sull’altare della praticità: le password devono essere il più possibile diverse. L’ideale sarebbe averle tutte diverse. E’ infatti (quasi) inutile una password altamente sicura utilizzata ovunque, perché basta un “attacco di forza bruta” ad uno solo dei server su cui è custodita per dare al malintenzionato di turno le “chiavi” della nostra vita digitale.

Password manager

Per questo motivo, dato che è difficile ricordarsi a memoria una gran quantità di password, è raccomandato l’uso di un buon password manager. La scelta è ormai molto ampia, che sia su Windows, Mac, iOS o Android, ed è compreso un ventaglio notevole di soluzioni gratuite.

Cos’è?

Vi è mai capitato di cercare un ristorante su internet, e dopo qualche minuto di trovare una pubblicità navigando in rete di un ristorante simile e  vicino a quello che avete cercato precedentemente? Ecco questo è real-time bidding.

Come funziona?

Ogni qualvolta che si visita una pagina, le informazione delle ultime ricerche e attività fatte in rete, la posizione da dove si sta effettuando la ricerca, l’età e il sesso di chi la sta effettuando, vengono analizzate. Il tutto viene gestito da un algoritmo, il quale è in grado di trovare in qualche millesimo di secondo, la pubblicità più adatta a ciò per cui il visitatore ha mostrato interesse recentemente.

La violazione della privacy.

“La più grande violazione di dati personali mai vista”, così la definisce la Irish Council for Civil Liberties o ICCL, associazione irlandese per la tutela dei diritti, che ha effettuato un rapporto sul caso. La ICCL ha evidenziando anche come i dati raccolti possano essere anche sensibili, come per esempio: l’etnia, l’orientamento sessuale, lo stato di salute, da dove si effettua la ricerca e altre informazioni simili.

Chi le gestisce? Chi riceve le informazioni?

Le società che gestiscono il real-time bidding e raccolgono i dati, sono principalmente i big di internet, come Google, Microsoft ma anche Facebook e Amazon. I dati vengono salvati in delle schede, associate a un id che non ha però nessun riferimento al nome e cognome degli utenti a cui sono riferiti i dati. Queste schede vengono poi condivise con migliaia di aziende, per profilare gli utenti, e per adattare la navigazione in rete.

Il GDPR non aiuta.

Il regolamento generale sulla protezione dei dati (RGPD) non aiuta, in quanto si esprime così al riguardo: “In qualità di azienda/organizzazione, è spesso necessario trattare dati personali per svolgere compiti legati alle attività aziendali. […] In questi casi, il trattamento dei dati personali può essere giustificato sulla base del legittimo interesse”. É quindi doveroso ricordare che si lascia sempre traccia, qualunque cosa si faccia su internet.

Ban-as-service.

Fra le innumerevoli truffe diffuse via internet, merita particolare menzione per la sua natura particolare il ban-as-service: si tratta sostanzialmente di far sospendere o addirittura cancellare l’account social di qualcuno (solitamente un’azienda, un personaggio pubblico o comunque qualcuno che con i social lavora) in modo da causargli un danno, spesso su commissione operata da qualche concorrente.

Instagram.

Motherboard ha pubblicato un’interessante ricerca sul fenomeno nel social network Instagram, di proprietà di Facebook. In questo caso i criminali informatici offrono ad eventuali “clienti” interessati il servizio al prezzo di 60 dollari.

Il profilo rubato.

Il meccanismo della truffa è tanto semplice quanto ingegnoso, e prevede innanzi tutto la presenza di un account verificato (“con la spunta” che certifica la sua effettiva autenticità) preventivamente rubato dai criminali.

Copia & incolla.

A questo punto il truffatore modifica il profilo in modo che sia IDENTICO a quello del bersaglio: stesso nome, stesse foto, stessa bio, stessa descrizione. In questo modo crea una copia esatta del profilo della vittima… con la “spunta” di account verificato.

La segnalazione.

A questo punto i truffatori segnalano il profilo della vittima come “clone” del loro. E Instagram, di fronte alla segnalazione di un profilo verificato, provvede a bannare l’ignara vittima della truffa.

La beffa.

60 euro per un truffatore potrebbero sembrare effettivamente pochi. Questo perché il grosso del guadagno non viene estorto al committente, ma alla vittima. Una volta realizzata la truffa, infatti, i truffatori contattano la vittima fingendosi volenterosi disposti ad aiutare a riavere indietro l’account… per un compenso che va dai 3500 dollari in sù.

Nessuna prevenzione.

Il brutto di questa truffa è che non è possibile nessuna forma di prevenzione, se non quella (generica) della persona a cui è stato inizialmente rubato l’account verificato. Trattandosi non di dati rubati o credenziali sottratte, ma del social network stesso che esclude un account, non è possibile fare assolutamente nulla preventivamente.

Cosa fare?

Se si viene colpiti da questa truffa, l’unica cosa da fare è contattare il Centro Assistenza di Instagram e richiedere il ripristino dell’account. E’ importante tuttavia rilevare come il ripristino non sia in alcun modo garantito, secondo i termini di servizio del social network.

Aggiornamento.

Avevamo già parlato del discusso cambiamento alle privacy policy di WhatsApp, inizialmente previsto per l’8 febbraio e poi spostato al 15 maggio. Nonostante la data in questione sia ormai alle spalle, ci sono novità sia sul fronte dell’aggiornamento in sé che in quello delle funzionalità di WhatsApp (e di riflesso, sulla lotta con le app competitor).

Rifiutare le condizioni.

Per quanto riguarda l’aggiornamento, WhatsApp ha infatti annunciato che chi rifiuta le nuove condizioni potrà continuare ad usare l’app senza alcuna limitazione, mentre in precedenza si parlava di limitazioni via via sempre più stringenti fino all’esclusione.

Piani futuri.

E’ bene sottolineare come il gruppo Facebook abbia specificato che al momento non ci sono piani per limitare le funzioni, non specificando quindi se si tratta di una decisione definitiva o di una soluzione momentanea.

Quattro dispositivi.

Sul fronte delle nuove funzionalità, WhatsApp ha inoltre annunciato che a breve debutteranno due nuove funzioni finora adottate solo da alcune app concorrenti. Innanzi tutto diverrà possibile installare e usare WhatsApp su un massimo di quattro dispositivi contemporaneamente, anche diversi (per esempio smartphone e tablet). Sarà quindi possibile, ad esempio, continuare una conversazione sul tablet se il proprio smartphone non ha più batteria, senza necessariamente ricorrere a WhatsApp Web.

Messaggi effimeri.

In arrivo su WhatsApp anche una delle funzionalità più apprezzate del rivale Telegram, ovvero i messaggi effimeri, pensati per svanire senza lasciare traccia dopo un periodo di tempo deciso che chi li invia.

Ransomware.

Non è certamente una novità che negli ultimi anni i virus ransomware siano sempre più diffusi, un dato allarmante considerando che si tratta degli attacchi informatici in grado di essere più dannosi in assoluto per le aziende, che si trovano improvvisamente tutti i loro dati crittati dietro a chiavi in possesso degli hacker. L’unica soluzione, se non si è provveduto a un opportuno backup, a quel punto è quella di pagare il “riscatto”; altrimenti non resta che rassegnarsi alla perdita dei propri dati.

Bose.

Nessuna azienda è al riparo da questo tipo di attacchi, grande o piccola che sia. Emblematico è il caso di Bose, azienda leader nel settore delle apparecchiature audio, il cui socio di maggioranza è il prestigioso MIT (Massachussets Institute of Technology). La società americana ha infatti dichiarato di essere stata colpita da un attacco di questo genere lo scorso 7 marzo.

Le conseguenze.

Fortunatamente, le conseguenze sono state ben limitate: grazie ad un adeguato backup, la normalità è stata prontamente ripristinata. L’azienda non ha quindi registrato nessun grave danno sul lungo periodo.

I dati personali.

L’unico possibile effetto (nemmeno sicuro) è la sottrazione dei dati personali di 6 ex dipendenti, che né Bose né le autorità riescono ad escludere. Ad ogni modo, fortunatamente ad ora questi dati non risultano essere stati messi online nel dark web.

L’importanza dei backup.

E’ importante sottolineare come i ransomware non si possano “curare”, solo prevenire tramite adeguate policy di backup come quelle che tipicamente impostiamo per i nostri clienti. In questo caso è possibile riprendere tranquillamente il proprio lavoro senza essere costretti a scegliere fra perdere i propri dati e pagare un esoso riscatto ai pirati informatici che li hanno rubati.

I contenuti crittografati.

Chi usa WhatsApp probabilmente sa che i contenuti delle chat sono protetti da crittografia end-to-end, in modo che siano fruibili solo da mittente e destinatario. Lo stesso però non si può dire dello stato online (se il contatto in questione è appunto online o offline), del classico avviso “sta scrivendo…”, dell’orario di ultimo accesso e delle conferme di lettura.

I contenuti non nascondibili.

Del resto le FAQ di WhatsApp dicono chiaramente che l’utente finale non ha la possibilità di nascondere il proprio stato online o le varie notifiche “Sta scrivendo…”. Allo stesso modo non è possibile nascondere i dati relativi all’ultimo accesso o le conferme di lettura (le famose “spunte blu”).

Le conseguenze.

Purtroppo, come spesso succede su internet, se è impossibile nascondere determinati dati aumenta la possibilità che qualcuno li raccolga a fini malevoli. Ed è esattamente ciò che succede in questo caso: alcuni siti esterni, non legati in alcun modo a Facebook, permettono di analizzare i dati di WhatsApp che non è possibile nascondere.

Cyberstalking.

Tecnicamente questo fenomeno si chiama cyberstalking. Questi siti permettono in effetti di “stalkerare” i profili WhatsApp in questione, restituendo una cronologia precisa dei momenti di attività necessitando del solo numero di cellulare come input. Non è tutto qui: questi “servizi” (a cui non intendiamo far pubblicità per evidenti motivi) offrono anche un’intelligenza artificiale in grado di fare controllo incrociati sull’attività di più numeri, indicando con quanta probabilità stanno chattando fra loro.

La ricerca.

Il giornalista Paolo Attivissimo ( http://disinformatico.info ) ha messo alla prova uno di questi siti (link), notando una capacità di analisi impressionante relativamente al singolo numero: il sistema era effettivamente in grado di sapere quando fosse online e quando stesse scrivendo. Un po’ meno preciso è risultato nell’analisi delle possibili interazioni fra contatti diversi, non a caso il “servizio” parla di probabilità che i due numeri stiano effettivamente scambiando messaggi su WhatsApp.