Dark Pattern: modelli di progettazione ingannevoli

Tratto da www.garanteprivacy.it – 20/04/2023

Dark Pattern: modelli di progettazione ingannevoli che possono influenzare il comportamento di chi naviga online e ostacolare la protezione dei dati

Con la definizione di “modelli di progettazione ingannevoli” vengono indicate quelle interfacce e quei percorsi di navigazione progettati per influenzare l’utente affinché intraprenda azioni inconsapevoli o non desiderate – e potenzialmente dannose dal punto della privacy del singolo – ma favorevoli all’interesse della piattaforma o del gestore del servizio.

Detti anche Dark Pattern, i modelli di progettazione ingannevoli mirano dunque a influenzare il nostro comportamento e possono ostacolare la capacità di proteggere efficacemente i nostri dati personali.

Il 24 febbraio 2023, il Comitato europeo per la protezione dati (EDPB) ha pubblicato le linee guida su come riconoscere ed evitare questi sistemi. Il documento offre raccomandazioni pratiche a gestori dei social media, a designer e utenti su come comportarsi di fronte a queste interfacce che si pongono in violazione del Regolamento europeo in materia di protezione dati.

Le linee guida dell’EDPB individuano sei tipologie riguardo alle quali si può parlare di “modelli di progettazione ingannevoli”:

• quando gli utenti si trovano di fronte a una enorme numero di richieste, informazioni, opzioni o possibilità finalizzate a spingerli a condividere più dati possibili e consentire involontariamente il trattamento dei dati personali contro le aspettative dell’interessato (overloading)

• quando le interfacce sono realizzate in modo tale che gli utenti dimentichino o non riflettano su aspetti legati alla protezione dei propri dati (skipping)

• quando le scelte degli utenti sono influenzate facendo appello alle loro emozioni o usando sollecitazioni visive (stirring)

• quando gli utenti sono ostacolati o bloccati nel processo di informazione sull’uso dei propri dati o nella gestione dei propri dati (hindering)

• quando gli utenti acconsentono al trattamento dei propri dati senza capire quali siano le finalità a causa di un’interfaccia incoerente o poco chiara (flickle)

• quando l’interfaccia è progettata in modo da nascondere le informazioni e gli strumenti di controllo della privacy agli utenti (leftinthedark).

Ricordiamo che interfacce e informazioni sottoposte agli utenti dovrebbero sempre riflettere fedelmente le conseguenze dell’azione intrapresa ed essere coerenti con il percorso di esperienza-utente.

L’approccio alla progettazione deve essere dunque quello di non mettere in discussione la decisione della persona per indurla a scegliere o mantenere un ambiente meno protettivo nei confronti dei propri dati. Il modello deve invece essere utilizzato per avvisare la persona che una scelta appena compiuta potrebbe comportare rischi per i propri dati e la privacy.

La difesa in giudizio non giustifica l’accesso alla posta elettronica del lavoratore

Tratto da www.garanteprivacy.it – Newsletter del 15/03/2023

Il legittimo interesse a trattare dati personali per difendere un proprio diritto in giudizio non annulla il diritto dei lavoratori alla protezione dei dati personali. Tanto più se riguarda una forma di corrispondenza, come i messaggi di posta elettronica, la cui segretezza è tutelata anche costituzionalmente.

È una delle motivazioni con cui il Garante privacy ha sanzionato un’azienda che, dopo l’interruzione della collaborazione con un’esponente di una cooperativa, ne aveva mantenuto attivo l’account di posta elettronica, prendendo visione del contenuto e impostando un sistema di inoltro verso un dipendente della società.

La collaboratrice, prima che si definisse il rapporto di lavoro con l’azienda, aveva raccolto, a nome dell’azienda stessa e tramite una casella mail aperta per l’occasione, i riferimenti di potenziali clienti incontrati a una fiera.

Secondo l’azienda poi, il successivo tentativo di contattarli a nome della propria cooperativa aveva in seguito portato a un contenzioso giudiziale.

Quindi, nel timore di perdere i rapporti coi potenziali clienti, l’azienda non si era limitata a scrivere per spiegare loro che la persona era stata rimossa, ma ne aveva anche visionato le comunicazioni. Secondo il Garante, né l’esigenza di mantenere i rapporti con i clienti né l’interesse a difendere un proprio diritto in giudizio, legittimano un tale trattamento di dati personali. Per realizzare un adeguato bilanciamento degli interessi in gioco (necessità di prosecuzione dell’attività economica del titolare e diritto alla riservatezza dell’interessato) sarebbe stato sufficiente attivare un sistema di risposta automatico, con l’indicazione di indirizzi alternativi da contattare, senza prendere visione delle comunicazioni in entrata sull’account.

Nel corso del procedimento è inoltre emerso che l’azienda, in quanto titolare del trattamento, non aveva fornito all’interessata né idoneo riscontro alla richiesta di cancellazione della casella e-mail né l’informativa sul trattamento dati. A nulla vale il fatto che il contratto di assunzione non fosse stato ancora firmato. Come ricorda l’Autorità, nell’ambito di trattative precontrattuali, infatti, l’obbligo di informare gli interessati è espressione del principio generale di correttezza.

ChatGPT al centro di una campagna phishing

Tratto da www.bitdefender.it – 06/03/2023

Bitdefender ha pubblicato una nuova ricerca su una crescente truffa finanziaria che utilizza una versione fake di ChatGPT.

La campagna inizia con un’email di phishing che indirizza le vittime a una versione fake di ChatGPT. Il sito offre allettanti opportunità finanziarie utilizzando l’intelligenza artificiale per analizzare i mercati e consigliare azioni a fronte di un investimento minimo di 250 euro.

L’oggetto della email include frasi come per esempio:

– ChatGPT: Il nuovo bot AI fa impazzire tutti

– Il nuovo ChatGPT chatbot sta facendo impazzire tutti – ma molto presto sarà uno strumento comune come Google

– Perché tutti sono nel panico per il bot ChatGPT?

Il “chatbot” della falsa piattaforma inizia con una breve introduzione al suo ruolo di analisi dei mercati finanziari che può consentire a chiunque di diventare un investitore di successo. I ricercatori di Bitdefender hanno accettato di stare al gioco e hanno permesso alla chatbot di aiutarli ad arricchirsi: hanno così chattato con l’intelligenza artificiale (che poteva selezionare solo risposte predefinite) e hanno scoperto che la campagna è abbinata a un call center in cui operatori reali convincono le vittime a creare un conto (per iniziare a investire) fornendo informazioni personali e finanziarie come il numero di carta di credito.

La campagna al momento è attiva maggiormente in Danimarca, Germania, Australia, Irlanda e Paesi Bassi, ma Bitdefender consiglia agli utenti di tutto il mondo di stare all’erta, poiché la campagna sembra stia crescendo a livello globale.

L’intero articolo, con link a immagini e ricerca completa, pubblicato sul sito Bitdefender, è disponibile qui

Direttiva UE NIS2: l’open source è la chiave del successo

Tratto da www.endian.com – 16/02/2023

L’Unione Europea alza l’asticella: con la direttiva NIS2, le aziende incluse nell’area dei servizi critici aumenteranno considerevolmente di numero e allo stesso tempo i requisiti di sicurezza informatica si faranno più stringenti. Le aziende devono prepararsi subito alla transizione: la tecnologia open source può aiutare a raggiungere gli obiettivi di cybersecurity.

Fra i rischi che le aziende corrono, quello di un attacco informatico e di una conseguente interruzione dell’attività è fra i più impattanti al mondo. In risposta al crescente numero di attacchi, l’Unione Europea ha rafforzato i requisiti normativi per la sicurezza informatica e ha adottato la direttiva NIS2 a dicembre 2022.

Gli Stati membri sono obbligati a convertire la direttiva in legge entro ottobre 2024: un tempo che le aziende dovrebbero sfruttare per allinearsi ai numerosi requisiti stringenti della direttiva.

La sicurezza informatica come priorità assoluta

L’obiettivo di creare le basi per una maggiore sicurezza informatica si basa su una serie di misure tecniche: la NIS2 richiede ad esempio, come misure minime la crittografia di dati e informazioni, la gestione delle vulnerabilità e un controllo sistematico degli accessi.

Non è tuttavia comunque sufficiente per raggiungere un livello di sicurezza adeguato, poiché anche metodologie e strumenti di attacco stanno diventando sempre più sofisticati. Il chatbot ChatGPT, per esempio, è in grado di comporre testi che non differiscono quasi per nulla da quelli scritti da un essere umano e questo rende ancora più difficile rilevare le e-mail di phishing con un allegato infetto da malware.

È importante perciò monitorare costantemente il traffico per individuare qualsiasi evento che si discosti dalla condizione di normalità. Se un attacco è riuscito a superare il firewall, il sistema di rilevamento delle intrusioni (IDS) può segnalare eventuali irregolarità, come un maggiore trasferimento di dati, mentre il sistema di prevenzione delle intrusioni (IPS) può bloccare l’attacco. Anche la Deep Packet Inspection (DPI) sta acquisendo sempre più importanza: questo strumento analizza i pacchetti di dati inviati in rete, fino al livello dell’utente, per individuare e classificare protocolli e applicazioni.

Oltre ai provvedimenti tecnici, diventeranno obbligatorie tutta una serie di misure organizzative: innanzitutto predisporre una gestione del rischio cyber, predisporre piani di emergenza e formare regolarmente i propri dipendenti in materia di sicurezza informatica. Ciò significa che il management non potrà più assegnare la responsabilità della cybersecurity esclusivamente al reparto IT, ma sarà chiamato a risponderne in prima persona.

Un altro fattore che sta diventando chiave nell’analisi e nella prevenzione del rischio è la supply chain: un attacco anche grave in termini di conseguenze può passare attraverso i fornitori o i sistemi di altre aziende. In questo contesto, le certificazioni che attestino l’affidabilità di sistemi e componenti, saranno particolarmente rilevanti e per questa ragione l’UE ha invitato gli Stati membri a definire standard industriali adeguati per la certificazione.

I vantaggi della tecnologia open source

La tecnologia open source consente di utilizzare standard di comunicazione aperti e offre quindi una buona soluzione per il collegamento in rete e la protezione di infrastrutture eterogenee. Ciò offre alle aziende la flessibilità necessaria anche per accogliere innovazioni future, senza dipendere da un singolo produttore o provider.

Inoltre, la NIS2 afferma che: “Le politiche che promuovono l’introduzione e l’uso sostenibile di strumenti di cybersecurity open-source sono di particolare importanza per le piccole e medie imprese che devono affrontare costi significativi per l’implementazione, riducendo al minimo la necessità di applicazioni o strumenti specifici“.

Sanzioni severe

Eventuali violazioni delle linee guida e degli obblighi di rendicontazione, sono soggette a severe sanzioni. In caso di mancato adeguamento, le sanzioni previste arrivano fino a 10 milioni di euro o al 2% del fatturato globale. Questo dato ci dice l’UE attribuisce alla sicurezza informatica la stessa importanza che attribuisce alla protezione dei dati.

Nonostante le sanzioni severe e gli obblighi estesi, la NIS2 rappresenta nel complesso un deciso passo in avanti: se le aziende metteranno effettivamente al centro la sicurezza informatica, sarà possibile contenere le minacce che arrivano dalla rete, e, in ultima analisi, saranno le stesse aziende a trarne vantaggio.

L’intero articolo, pubblicato sul sito endian, è disponibile qui

Attacco hacker: rilevato lo sfruttamento massivo della CVE-2021–21974 in VMWare ESXi (AL01/230204/CSIRT-ITA)

Tratto da www.csirt.gov.it

Autore: Computer Security Incident Response Team – CSIRT – 04/02/2023

Qui di seguito riportiamo quanto pubblicato dal CSIRT, sul suo sito ufficiale www.csirt.gov.it , in merito al recente attacco hacker.

Il CSIRT Italia è istituito presso l’Agenzia per la cybersicurezza nazionale (ACN) e ha i seguenti compiti:

il monitoraggio degli incidenti a livello nazionale;
l’emissione di preallarmi, allerte, annunci e divulgazione di informazioni alle parti interessate in merito a rischi e incidenti;
l’intervento in caso di incidente;
l’analisi dinamica dei rischi e degli incidenti;
la sensibilizzazione situazionale;
la partecipazione alla rete dei CSIRT.

Tratto da www.csirt.gov.it:

Sintesi

Rilevato il massiccio sfruttamento attivo in rete della vulnerabilità CVE-2021–21974 – già sanata dal vendor nel febbraio 2021 – presente nei prodotti VMware ESXi.

Rischio

Stima d’impatto della vulnerabilità sulla comunità di riferimento: ALTO/ARANCIONE (70,25/100)¹.

Descrizione

È stato recentemente rilevato lo sfruttamento massivo, ai fini del rilascio di ransomware, della vulnerabilità CVE-2021–21974 trattata da questo CSIRT nell’alert AL03/210224/CSIRT-ITA. Sulla relativa campagna il Computer Emergency Response Team Francese (CERT-FR) ha pubblicato un security advisory, disponibile nella sezione riferimenti, in cui si evidenziano i relativi dettagli.

Dalle analisi effettuate la campagna risulta indirizzata anche verso soggetti nazionali.

Qualora sfruttata, tale vulnerabilità, con score CVSS v3 pari a 8.8, di tipo “heap buffer overflow” e relativa alla componente OpenSLP – con riferimento ai prodotti VMware ESXi e Cloud Foundation (ESXi) – potrebbe consentire l’esecuzione di comandi arbitrari (RCE) sui dispositivi target.

Per eventuali ulteriori approfondimenti si consiglia di consultare il security advisory, disponibile nella sezione Riferimenti.

Prodotti e versioni affette

VMware ESXi 6.5

VMware ESXi 6.7

VMware ESXi 7.0

VMware Cloud Foundation (ESXi) 3.x

VMware Cloud Foundation (ESXi) 4.x

Azioni di Mitigazione

Ove non già provveduto, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Riferimenti

https://www.csirt.gov.it/contenuti/vulnerabilita-su-prodotti-vmware-al03-210224-csirt-ita

https://www.vmware.com/security/advisories/VMSA-2021-0002.html

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-015/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.