Mastodon

Mastodon è un social network nato nel 2016, che tuttavia solo negli ultimi mesi ha avuto un notevole incremento di popolarità come alternativa a Twitter.

Cos’è

Anche Mastodon è infatti basato sulla condivisione di messaggi brevi, video non troppo pesanti, immagini, link e sulla ripubblicazione dei contenuti degli account seguiti. Perché dunque quest’improvvisa popolarità? Quali sono i suoi pro e contro?

La gestione “decentrata”

La più importante differenza con i social network tradizionali sta nella gestione “decentrata”: Mastodon non è legato a una singola proprietà, ma è gestito da una moltitudine di amministratori indipendenti fra di loro,

No Profit e Open Source

Mastodon è infatti una No Profit che utilizza software Open Source: in altri termini non ha finalità commerciali e il suo codice è ispezionabile liberamente da chiunque.

Diverse app

Un’ulteriore differenza rispetto ai social network tradizionali è la presenza di più app per iOS, Android, Windows e Mac, che riflette la sua natura “decentrata”. Sul sito ufficiale è presente il link a un’app “base”, dalla quale poi eventualmente spostarsi in base alle proprie esigenze. E’ inoltre presente una versione web.

Istanze

Un’ulteriore differenza rispetto ai social network tradizionali è la presenza di più app per iOS, Android, Windows e Mac, che riflette la sua natura “decentrata”. Sul sito ufficiale è presente il link a un’app “base”, dalla quale poi eventualmente spostarsi in base alle proprie esigenze. E’ inoltre presente una versione web.

Istanze

La differenza più marcata è invece probabilmente la necessità di selezionare un’istanza particolare in sede di registrazione. Le istanze sono “sottogruppi” all’interno del social network, ciascuno con i suoi amministratori e le sue regole: in pratica scegliere un’istanza significa scegliere a quali fra i “federati” di Mastodon fare riferimento. E’ possibile cambiare istanza dopo la registrazione.

Crittografia e messaggi modificabili

Parlando delle funzionalità, Mastodon consente a chiunque di modificare i propri messaggi dopo l’invio. Consente inoltre l’invio di messaggi “privati”, fra virgolette perché non visibili da tutti ma sempre e comunque visibili agli amministratori (il social network stesso ricorda con un banner che non possiede crittografia end-to-end).

Utenze “quasi” verificate

Non esiste la funzionalità di verifica di un utente, quanto meno non direttamente. Esiste qualcosa di simile, che permette di verificare che la persona associata all’utenza sia effettivamente legata a uno o più siti web.

I problemi del no profit

Va inoltre ricordato che la formula no profit, se da un lato porta vantaggi in termini di privacy e assenza di pubblicità, dall’altro porta con sé gli inevitabili svantaggi di un progetto sostenuto senza fine di lucro. Ad esempio, visto che chi si occupa dell’infrastruttura tecnica non viene pagato per questo, chiaramente Mastodon è soggetto a più problemi di lentezza rispetto ai concorrenti più tradizionali.

L’acquisizione

Lo scorso 27 ottobre è stata completata l’acquisizione del popolare social network Twitter da parte di X Holdings di Elon Musk, il che ha comportato tutta una serie di novità per quanto riguarda la piattaforma (e non solo).

Le spunte blu

Una delle modifiche più discusse è quella al sistema delle “spunte blu”, che dal 2009 consente di distinguere i “veri” profili ufficiali di celebrità, gruppi e organizzazioni da eventuali impersonificatori.

Come funzionava

Fino ad ora la “spunta blu” veniva richiesta dagli utenti ed eventualmente concessa dalla moderazione di Twitter dopo opportuni approfondimenti. Un sistema di successo, tanto da essere poi adottato da altri social network (pur con le truffe e gli abusi del caso, di cui abbiamo parlato nel caso di Instagram).

Come funzionerà

La novità (per ora in fase di test) consiste nel fatto che la “spunta blu” diventerà un servizio in abbonamento, Twitter Blue, al costo di 8 dollari mensili.

L’indagine.

Nel rapporto trimestrale sulla diffusione degli attacchi di phishing relativo al terzo trimestre del 2021, Check Point Research ha stilato la classifica dei marchi più “contraffatti” dai criminali informatici che elaborano le famigerate “mail con i link malevoli da cliccare”.

Microsoft.

Il poco invidiabile primato di “marchio più taroccato” è andato a Microsoft, che guida la classifica con il 29% delle mail di phishing che pretendono di provenire dalla casa di Redmond. Probabilmente complice di questo risultato è l’estrema diffusione del sistema operativo Windows e dei software della suite Office, nonché del provider mail Outlook.

Amazon.

La seconda posizione va al colosso dell’e-commerce Amazon, seppur fermandosi al 13% (meno della metà di Microsoft). La popolarità del colosso di Jeff Bezos, ormai non più solo e-commerce (basti pensare a servizi come Prime Video o Twitch) fa sì che le false promozioni di Amazon siano fra le mail di phishing più gettonate.

E-commerce.

In generale, dopo l’incredibile boom del periodo pandemico, i marchi di e-commerce e derivati sembrano molto gettonati, come dimostra il terzo posto del servizio corriere DHL (9%) e il quarto di Best Buy (8%). Legato a questo fenomeno è anche il nono posto di PayPal (2,3%).

Google.

“Misero” quinto posto di Google, con il 6% dei messaggi che tenta di imitare il suo marchio. Big G è altresì vittima di un curioso fenomeno per cui molte delle false mail di Google pretendono di essere avvisi di sicurezza, chiedendo all’ignaro utente di cliccare un link proprio per meglio proteggere i suoi dati.

Social.

Completano la classifica, seppur molto staccati dalle posizioni di testa, social network, intrattenimento e messaggistica: si va dal 3% di WhatsApp (sesto posto) al 2,2% di Facebook (decimo), passando per Netflix (2,6%) e Linkedin (2,5%).

Il disservizio.

A distanza di qualche giorno, si è fatto più chiaro il quadro del disservizio che ha reso l’intera rete del gruppo Facebook inaccessibile per sei ore (compreso quindi Instagram, WhatsApp e tutte le funzioni ad essi collegate) nella giornata del 4 ottobre.

Errore umano.

Il particolare più rassicurante è che non si è trattato di un attacco hacker, ma “semplicemente” di un errore umano. Non si è dunque verificata alcuna fuga di dati, personali o meno.

BGP.

Durante un aggiornamento interno, infatti, è stato commesso un errore di configurazione che ha reso inaccessibili da remoto i computer responsabili del BGP, ovvero l'”instradamento” dei dati verso gli indirizzi IP corretti.

Strada perduta.

In questo modo i dati destinati a Facebook non riuscivano a “trovare la strada”, causando il mancato funzionamento del servizio (che fosse lo stesso Facebook, i servizi ad esso correlati come il login con Facebook, WhatsApp o Instagram).

Una soluzione molto difficile.

L’unica possibilità di correggere l’errore è stata a questo punto l’intervento fisico sui data center Facebook, reso ancora più difficile dal fatto che gli stessi ospitano anche le comunicazioni interne dell’azienda (mail aziendali, sistemi “smart”, protocolli di sicurezza e molto altro…).

Reazione a catena.

La situazione ha messo in difficoltà anche servizi di terze parti non coinvolte come Twitter, Netflix e Disney+ a causa del picco di traffico dovuto alle mancate connessioni ai servizi del gruppo Facebook.

La soluzione.

Fortunatamente il gruppo Facebook è riuscito a risolvere la situazione nel giro di 6 ore, ripristinando il regolare funzionamento dei suoi servizi.

Ban-as-service.

Fra le innumerevoli truffe diffuse via internet, merita particolare menzione per la sua natura particolare il ban-as-service: si tratta sostanzialmente di far sospendere o addirittura cancellare l’account social di qualcuno (solitamente un’azienda, un personaggio pubblico o comunque qualcuno che con i social lavora) in modo da causargli un danno, spesso su commissione operata da qualche concorrente.

Instagram.

Motherboard ha pubblicato un’interessante ricerca sul fenomeno nel social network Instagram, di proprietà di Facebook. In questo caso i criminali informatici offrono ad eventuali “clienti” interessati il servizio al prezzo di 60 dollari.

Il profilo rubato.

Il meccanismo della truffa è tanto semplice quanto ingegnoso, e prevede innanzi tutto la presenza di un account verificato (“con la spunta” che certifica la sua effettiva autenticità) preventivamente rubato dai criminali.

Copia & incolla.

A questo punto il truffatore modifica il profilo in modo che sia IDENTICO a quello del bersaglio: stesso nome, stesse foto, stessa bio, stessa descrizione. In questo modo crea una copia esatta del profilo della vittima… con la “spunta” di account verificato.

La segnalazione.

A questo punto i truffatori segnalano il profilo della vittima come “clone” del loro. E Instagram, di fronte alla segnalazione di un profilo verificato, provvede a bannare l’ignara vittima della truffa.

La beffa.

60 euro per un truffatore potrebbero sembrare effettivamente pochi. Questo perché il grosso del guadagno non viene estorto al committente, ma alla vittima. Una volta realizzata la truffa, infatti, i truffatori contattano la vittima fingendosi volenterosi disposti ad aiutare a riavere indietro l’account… per un compenso che va dai 3500 dollari in sù.

Nessuna prevenzione.

Il brutto di questa truffa è che non è possibile nessuna forma di prevenzione, se non quella (generica) della persona a cui è stato inizialmente rubato l’account verificato. Trattandosi non di dati rubati o credenziali sottratte, ma del social network stesso che esclude un account, non è possibile fare assolutamente nulla preventivamente.

Cosa fare?

Se si viene colpiti da questa truffa, l’unica cosa da fare è contattare il Centro Assistenza di Instagram e richiedere il ripristino dell’account. E’ importante tuttavia rilevare come il ripristino non sia in alcun modo garantito, secondo i termini di servizio del social network.

Data breach.

I dati di 533 milioni di account Facebook sono stati violati e resi pubblici via internet, fra cui 36 milioni di account italiani (un dato impressionante se si considera che la popolazione totale italiana si aggira sui 60 milioni, pur considerando account multipli e aziendali).

Numeri di telefono.

La notizia è tanto più grave quanto più la maggior parte dei dati trafugati riguarda i numeri di telefono degli account in questione, spesso e volentieri associati e nome e cognome del proprietario (a volte accompagnati anche da email, residenza, status e altre informazioni personali). Fra i numeri di telefono violati anche quelli di personalità conosciute a livello mondiale come Donald Trump e, ironicamente, lo stesso Mark Zuckerberg.

Sono stato colpito?

Per verificare se il numero di telefono personale rientra fra quelli trafugati si può usare il sito http://Haveibeenpwned.com (attivo dal 2013 e strumento di monitoraggio dei data breach ben conosciuto). Basterà inserire il proprio numero di telefono preceduto da un “39” (prefisso internazionale dell’Italia, non serve il +) per verificare se il proprio numero rientra fra quelli trafugati.

Perché ora?

In caso negativo si può tirare un sospiro di sollievo: la vulnerabilità che ha consentito la fuga di questi dati è stata infatti risolta nel settembre 2019. Questo significa ovviamente che i dati personali degli utenti colpiti circolano in rete da poco meno di due anni. Se ne parla oggi perché, se fino ad ora i dati erano circolati in maniera relativamente limitata a causa delle alte cifre che venivano chieste per diffonderli, ora sono disponibili a prezzi molto più bassi (se non addirittura gratis). E questo ha aiutato a far luce sulle dimensioni del data breach.

Scraping.

Ma come sono stati sottratti così tanti dati? In realtà il meccanismo di scraping, così viene definito, è piuttosto semplice concettualmente: “basta” un algoritmo che calcoli tutti i numeri di telefono possibili, attivando quindi la ricerca amici tramite numero di telefono per ottenerne nomi e cognomi.

Cosa fare?

Se il proprio numero risulta “trafugato”, cosa si può fare? Purtroppo assolutamente nulla, se non considerarlo di possibile dominio pubblico o, nel caso limite, cambiar numero. I dati sono stati trafugati molto tempo fa e sono disponibili attraverso diversi canali illegali, anche rimuovere totalmente i propri dati o cancellare l’account Facebook non migliorerà la situazione.

Autenticazione a due fattori.

Per coloro che avessero paradossalmente affidato a Facebook il proprio numero proprio per ragioni di sicurezza, nell’ambito dell’autenticazione a due fattori, consigliamo di cambiare il metodo di autenticazione da SMS a codice generato da un’apposita app di sicurezza (come Google Authenticator). Se la violazione non fosse già avvenuta, è un ottimo modo per prevenire eventuali futuri casi analoghi.

Informativa sulla privacy

L’aggiornamento dell’informativa sulla privacy è un procedimento del tutto normale per una qualsiasi app, essendo legalmente vincolata a notificare qualsiasi variazione nel trattamento dei dati forniti (direttamente o indirettamente) dall’utente. La maggior parte di questi aggiornamenti vengono notificati e prontamente accettati dall’utente senza troppa preoccupazione, in generale con un livello di interesse piuttosto basso.

La controversia

La variazione notificata da WhatsApp nel mese di gennaio ha invece suscitato attenzione, perplessità e in certi casi aperta polemica da parte di molti utenti, tanto da far rimandare l’effettiva entrata in vigore delle modifiche dall’8 febbraio al 15 maggio.

Elon Musk

Su tutte è da segnalare l’aperta protesta di Elon Musk (fondatore di PayPal, Tesla e SpaceX) che con un tweet ha apertamente invitato ad usare Signal, uno dei principali competitor di WhatsApp. Ma in cosa consistono queste novità così controverse?

Approvare o disinstallare

Parte della controversia è dovuta al fatto che non è possibile continuare ad usare WhatsApp senza accettare le nuove condizioni. Certo, al momento è possibile posticipare, ma dal 15 maggio non si potrà più usare WhatsApp senza accettare le nuove condizioni.

GDPR

Prima di addentrarci in merito è necessaria una doverosa premessa: i cambiamenti in Europa (UE e altri stati che WhatsApp considera nella “regione europea” come Svizzera e Regno Unito) sono limitati dal GDPR entrato in vigore nel 2016, che ridimensiona fortemente l’impatto delle modifiche rispetto al resto del mondo.

I cambiamenti in Europa

Cosa cambierà dunque per la privacy degli utenti europei? Tecnicamente molto poco. Dopo il clamore suscitato dalle modifiche, WhatsApp ha pensato di chiarirle con un apposito spazio FAQ sul suo sito, affermando che:

• i contenuti delle chat (singole e di gruppo) sono e restano privati;
• i contatti con cui si interagisce non vengono registrati;
• le posizioni condivise non vengono rilevate né da Facebook né da WhatsApp;
• per una maggiore privacy esiste l’opzione “messaggi effimeri” che li rende non più visibili subito dopo l’invio;
• in qualsiasi momento è possibile scaricare e verificare i dati personali in possesso di WhatsApp.

Facebook e WhatsApp Business

In particolare, WhatsApp ha chiarito che l’interazione con Facebook riguarderà principalmente l’hosting della versione Business, ospitando quindi i dati delle aziende che lo richiedono nei più sicuri server di Facebook. Questo significa che interagendo col canale di un’azienda che ha scelto i server di Facebook i dati potrebbero essere immagazzinati da Facebook per finalità di marketing. Ad ogni modo, nelle FAQ si garantisce che i suddetti canali verranno chiaramente contrassegnati.

I cambiamenti nel resto del mondo

Questo per quanto riguarda l’Europa: diversa la questione negli Stati Uniti e in generale nei paesi extra-europei. Qui infatti le modifiche riguarderanno la condivisione di informazioni personali con le altre piattaforme del gruppo Facebook, in precedenza facoltativa e resa obbligatoria proprio con questo aggiornamento. Si parla in questo caso di informazioni di carattere commerciale, mentre in Europa l’app potrà comunicare al gruppo Facebook solo informazioni di carattere tecnico, necessarie al mantenimento e al miglioramento dell’infrastruttura.

Contenuti protetti

Occorre in ogni caso ricordare nuovamente che WhatsApp non può accedere ai contenuti delle conversazioni, in nessuna parte del mondo. Questo perché le conversazioni sono protette da crittografia “end-to-end” (la stessa peraltro usata da Signal), che impedisce al provider di avere accesso alle comunicazioni (in chiaro solo per mittente e destinatario). I dati di cui si è parlato finora sono quindi di altro tipo: ad esempio nomi, foto profilo, rete dei contatti e dati tecnici sul dispositivo in uso.

Facebook e fake news.

Non è facile essere il primo social network al mondo, anche solo perché questo significa automaticamente essere il primo vettore di false notizie. Lo sforzo di Facebook per contenerle, già imponente prima dello scoppio dell’emergenza CoVid-19, si è rafforzato in un periodo in cui possono risultare più che mai pericolose.

Cancellazioni controverse.

Già da fine gennaio infatti il colosso di Menlo Park ha deciso di cancellare le false notizie che mettono in pericolo la sicurezza individuale e collettiva, secondo le indicazioni delle organizzazioni sanitarie.

Fact checker.

Lo sforzo del social network di Zuckerberg non si è tuttavia fermato, tanto che da marzo si avvale della collaborazione di fact checker esterni in diverse lingue (italiano compreso), che attirano l’attenzione della piattaforma sui contenuti più pericolosi affinché siano cancellati.

Notifiche.

Risale invece a giovedì 16 aprile l’annuncio che coloro che hanno interagito con fake news pericolose (clic, like, commenti) riceveranno una notifica apposita da parte di Facebook, con tanto di link alla pagina “Myth busters” (letteralmente “demolitori di miti”, nel senso di leggende metropolitane) dell’Organizzazione Mondiale della Sanità.

Risultati.

Inutile dire che le rimozioni delle notizie hanno causato diverse critiche incentrate sulla libertà d’informazione, a cui Facebook ha risposto affiancando alle cancellazioni semplici comunicazioni sull’attendibilità della fonte, in sovraimpressione rispetto alle notizie stesse. Secondo i dati di Facebook, il 95% delle volte in cui questo avviso è comparso, la notizia non è stata poi effettivamente visualizzata.

Al vostro servizio.

In tutto questo, vi ricordiamo che in ottemperanza delle normative vigenti i servizi di MelaC restano assicurati da remoto, mentre possiamo garantire solo gli interventi on-site più urgenti. Se doveste aver bisogno di aiuto nel predisporre lo smart working nella vostra azienda, abbiamo esperienza nel settore e possiamo aiutarvi.