Benvenuti a bordo viaggiatori, sono Grizzly e questo è Diario di Viaggio on the road, episodio speciale dedicato al data breach di ho-mobile; cominciamo: sigla!
[🎵🎶]
Vodafone Enabler Italia, società di capitale a responsabilità limitata (o VEI srl) è una società controllata interamente da Vodafone, per l'appunto (da Vodafone Italia, per essere precisi) ed è una società che è intestataria della licenza come operatore mobile virtuale con il brand ho-mobile.
Questa società è finita nel bel mezzo di una tormenta (chiamiamola così…) che è cominciata il 28 dicembre 2020 con un tweet di @Bank_Security (che è un account dalla reputazione piuttosto affermata), che ha segnalato l'esistenza sul Dark Web di un database (di un archivio dati) in vendita, in cui si parla di circa due milioni e mezzo di dati anagrafici (e dati tecnici, come ICCID della SIM) dei clienti dell'operatore ho-mobile.
Il 29 dicembre 2020 la società VEI srl risponde alle perplessità espresse, dal Corriere della Sera, a proposito di questa situazione negando “l'evidenza di accessi massivi al loro sistema informatico”
pur tuttavia, per l'appunto, la società finisce in mezzo alla tormenta, perché il 4 gennaio 2021 su Twitter si conferma - invece - che i dati sembrano essere corretti, perché riguardo a questa vendita di dati (a questo enorme archivio di dati personali), per mostrare che non si parla di dati falsi o costruiti ad arte, viene presentato su Pastebin un pezzettino microscopico di questi dati: praticamente i dati di una decina di utenti, quindi sono: dati anagrafici completi, codice fiscale, email, tutta questa bella roba qua, assieme al codice ICCID della SIM che risulta attivata.
Qualcuno riesce a contattare una di queste dieci persone, e questa persona conferma sia i dati anagrafici, sia i dati tecnici, in particolar modo conferma di essere un utente di ho-mobile e che l'ICCID della SIM risulta corretto.
E - appunto - il 4 gennaio scoppia la bomba: la società si trova una brutta patata bollente tra le mani, salta fuori un messaggio di scuse della società (del quale parleremo tra poco) e viene fuori quello che è l'ovvio importantissimo consiglio: quello di procedere alla sostituzione gratuita di ogni SIM di ogni utente.
Ora parliamo molto brevemente delle scuse ufficiali della società e del modo sbagliato che è stato utilizzato per scusarsi con i propri utenti; modo profondamente sbagliato, ma sono poco esperto di questo genere di argomenti, per cui vi segnalo l'eccellente video di Matteo Flora sull'argomento, lo trovate linkato sul doobly-doo e sulla scheda: dategli un'occhiata… vi faccio solo questa breve anticipazione (perché ci sta benissimo): in mezzo alle considerazioni della fuga di dati di due milioni e mezzo di utenti, la società ha avuto l'ardire di rispondere:
-Beh sì: però si tratta - in molti casi - di dati obsoleti!Stiamo parlando di dati anagrafici, cara Vodafone Italia, e i dati anagrafici NON SONO OBSOLETI: purtroppo qui - sul pianeta Terra - abbiamo la bruttissima abitudine di
- nascere solo una volta;
- solo in un luogo;
- solo in una data;
- di prendere un nome e un cognome (che rimarranno quelli a vita);
- e - qua in Italia - di prendere un Codice Fiscale che - tendenzialmente - rimarrà anche quello lo stesso per tutta la vita.
Forse quelli tecnici della SIM possono diventare obsoleti, ma il resto sono dati reali e sono dati molto pericolosi, perché sono dati con i quali è possibile costruire ogni genere di cosa, dal documento falso all'intestazione di servizi fittizi, quindi piano a dire che sono dati obsoleti!
Il problema che si pone (più grosso) è quello dei dati tecnici della SIM (il numero ICCID) che permette di effettuare la portatilità della SIM (o la sostituzione della SIM) e quindi di creare quella tipologia di attacco che si chiama SIM-Swapping.
Dopo che uno ha basato la propria Autenticazione-a-Due-Fattori sul servizio telefonico (tramite SMS o tramite telefonata di controllo) ecco che diventa un rischio, diventa una possibilità di attacco, perché un malintenzionato, magari con la collaborazione di un negoziante un pochettino disonesto, può attivarsi la SIM di un'altra persona, presentando i dati anagrafici corretti di quella persona e quindi trovarsi la SIM e presentare un attacco (per esempio) al conto corrente bancario in cui gli SMS di controllo arriveranno al malintenzionato.
La società è intervenuta effettuando la sostituzione virtuale dei numeri ICCID di tutte le SIM di tutti gli utenti: questo in ogni caso risulta una soluzione immediata (sul breve termine), ma la soluzione sul lungo termine - comunque - rimane quella di sostituire la SIM; ve lo consiglio caldamente, per almeno due buoni motivi.
Il primo buon motivo è che al momento è semplice: finché ho la SIM funzionante, io posso andare a mandare un SMS con la scritta ‘seriale’ a un numero (non me lo ricordo a memoria: ve lo metto qua) e otterrò un SMS di risposta con il numero seriale della SIM, premesso e preso atto del fatto che voglio vedere come saranno andate a finire tutte le richieste di portatilità presentate nel frattempo dagli utenti (legalmente: non illegalmente, ovviamente!) con il vecchio numero di serie della SIM!
[potete inviare un SMS, da ho-mobile, con scritto ‘seriale’ al 342 407 2211 ndG]
Ma soprattutto il problema si pone quando c'è qualcuno che ha - magari - un telefono di vecchia generazione (che gli SMS li tiene memorizzati sulla SIM): si è fatto mandare il messaggio, c'è il numero di serie della SIM in un SMS (sulla SIM stessa):
Oppure:
Ovviamente è difficile riuscire a reperire le SIM sostitutive, questo è un problema che si sta presentando: qui a Siracusa ci sono poche SIM, sono pochi negozi che hanno poche SIM, hanno chiesto delle SIM aggiuntive, stanno arrivando delle SIM aggiuntive… speriamo di riuscire a farlo: io per ora non sono riuscito a fare questa sostituzione, e ho intenzione di farla!
Sono curioso di vedere quali saranno gli sviluppi futuri, mi stupisce il fatto che pochi operatori abbiano provato a «cogliere la palla al balzo» proponendo delle offerte per chi viene da operatori virtuali come ho-mobile, forse perché è stata una botta talmente forte che non solo Vodafone Enabler si sta leccando le ferite, ma - probabilmente - in questo momento anche tanti altri operatori stanno cercando di controllare molto meglio che cosa succede, per evitare di trovarsi - domani - con una patata così bollente tra le mani (anzi, visto che parliamo dei dati di due milioni e mezzo di utenti, più che una patata bollente direi un pezzo di metallo fuso in questo momento, soprattutto per tutte le maledizioni che staranno tirando tutti gli utenti di ho-mobile in Italia!), e speriamo che non succedano danni molto complessi per via di questo gigantesco leak.
Velocemente la mia domanda: siete utenti di ho-mobile? Vi è arrivato l'SMS, avete già effettuato la sostituzione della SIM?
Non effettuerete la sostituzione della SIM? Avete ricevuto il messaggio di sostituzione del numero seriale e vi siete scritti il numero seriale dappertutto, lo state facendo scolpire su una lastra di granito, affinché non vada perso? 😂
Non lo so: che cosa pensate della situazione? Siete utenti di ho-mobile e avete intenzione di passare ad altro operatore? Siete già passati ad altro operatore?
Nonostante il leak che c'è stato - invece - considerate che ho-mobile sia comunque un operatore affidabile e avete intenzione di attivare nuove SIM (o di fare portatilità verso ho-mobile?
Non lo so: parliamone nei commenti qua sotto, oppure su twitter con l'hashtag #DdVotr: sono curioso di vedere, voi viaggiatori, un pochettino cosa pensate di questa situazione.
Detto questo io sono Grizzly, come sempre grazie per essere arrivati in fondo al vlog, iscrivetevi al canale per il Buon Profumo di Nuovo Iscritto™
Seguite il canale Telegram (sul doobly-doo e sulla scheda) per notifiche, piccole curiosità, dietro le quinte e sapere quando vado live sulle app social… e noi ci vediamo domenica prossima con un normale episodio di #DdVotr, ciao a tutti!
-Vabbè, non c'è problema: faccio in modo di non cancellare questo messaggio!Poi - magari fra un anno - arriva un operatore che fa un'offerta interessantissima
Ma… c'è ancora il servizio per avere il numero seriale della propria SIM, dopo un anno?Se sei utente di ho-mobile per € 1,00/mese ti diamo DUE TERA di internet!-Eh, va bene: facciamo la portatilità! Oddio: per sbaglio ho cancellato il messaggio…
Oppure:
-Vabbè, cosa vuoi che sia? Ho il messaggio salvato! OPS 😅 si è bruciata la SIM! E adesso? Eh: il messaggio col numero di serie era sulla SIM!Quindi comunque vi consiglio di rivolgervi presso il negozio ho-mobile il più vicino per effettuare la sostituzione gratuita della SIM.
Ovviamente è difficile riuscire a reperire le SIM sostitutive, questo è un problema che si sta presentando: qui a Siracusa ci sono poche SIM, sono pochi negozi che hanno poche SIM, hanno chiesto delle SIM aggiuntive, stanno arrivando delle SIM aggiuntive… speriamo di riuscire a farlo: io per ora non sono riuscito a fare questa sostituzione, e ho intenzione di farla!
(sto montando il video e sì: mentre sto montando il video, questa mattina, sono anche riuscito a fare la sostituzione della SIM! Torniamo al video)È la sim secondaria: la mia SIM principale era stata di ho-mobile (ero cliente di ho-mobile nel 2018: quando - si ventila - sia avvenuto questo furto di dati, tra l'altro) ma poi sono passato ad altro operatore con la SIM principale, ma ho una SIM secondaria.
Sono curioso di vedere quali saranno gli sviluppi futuri, mi stupisce il fatto che pochi operatori abbiano provato a «cogliere la palla al balzo» proponendo delle offerte per chi viene da operatori virtuali come ho-mobile, forse perché è stata una botta talmente forte che non solo Vodafone Enabler si sta leccando le ferite, ma - probabilmente - in questo momento anche tanti altri operatori stanno cercando di controllare molto meglio che cosa succede, per evitare di trovarsi - domani - con una patata così bollente tra le mani (anzi, visto che parliamo dei dati di due milioni e mezzo di utenti, più che una patata bollente direi un pezzo di metallo fuso in questo momento, soprattutto per tutte le maledizioni che staranno tirando tutti gli utenti di ho-mobile in Italia!), e speriamo che non succedano danni molto complessi per via di questo gigantesco leak.
Velocemente la mia domanda: siete utenti di ho-mobile? Vi è arrivato l'SMS, avete già effettuato la sostituzione della SIM?
Non effettuerete la sostituzione della SIM? Avete ricevuto il messaggio di sostituzione del numero seriale e vi siete scritti il numero seriale dappertutto, lo state facendo scolpire su una lastra di granito, affinché non vada perso? 😂
Non lo so: che cosa pensate della situazione? Siete utenti di ho-mobile e avete intenzione di passare ad altro operatore? Siete già passati ad altro operatore?
Nonostante il leak che c'è stato - invece - considerate che ho-mobile sia comunque un operatore affidabile e avete intenzione di attivare nuove SIM (o di fare portatilità verso ho-mobile?
Non lo so: parliamone nei commenti qua sotto, oppure su twitter con l'hashtag #DdVotr: sono curioso di vedere, voi viaggiatori, un pochettino cosa pensate di questa situazione.
Detto questo io sono Grizzly, come sempre grazie per essere arrivati in fondo al vlog, iscrivetevi al canale per il Buon Profumo di Nuovo Iscritto™
Seguite il canale Telegram (sul doobly-doo e sulla scheda) per notifiche, piccole curiosità, dietro le quinte e sapere quando vado live sulle app social… e noi ci vediamo domenica prossima con un normale episodio di #DdVotr, ciao a tutti!
0 commenti:
Posta un commento