Hacker a caccia di vulnerabilità

C’è chi è riuscito a violare una satellite governativo statunitense (noi italiani) e chi ha manipolato intelligenze artificiali convincendole a dire e fare le cose più stravaganti, come discutere con un studente di emendamento inesistente alla costituzione degli Stati Uniti. Queste le notizie che hanno fatto parlare dell’ultima edizione del DefCon svoltasi a Las Vegas a metà agosto. Tuttavia, alla più nota convention hacker del mondo non sono mancati altri exploit interessanti o curiosi, di cui si è poco parlato. Tanto per dare un’idea ne ho scelti un paio. Il primo. Omer Attias, ricercatore di SafeBreach, è riuscito a violare Moovit, una delle app più diffuse al mondo per la mobilità, dopo avere scoperto tre diverse vulnerabilità software, che gli hanno permesso di accedere ai dati di registrazione di milioni di utenti di tutto il mondo (nome, cognome, numero di telefono, casella di posta elettronica, e le ultime 4 cifre della carta di credito).

L’aspetto più inquietante della vicenda è stato che ha dimostrato di potere acquistare documenti di viaggio validi per sé stesso addebitandoli sulle carte di credito degli ignari utenti. Il secondo. Più inquietante, almeno a mio avviso, quanto sono riusciti a fare Sam Quinn e Jesse Chick di Trellix. I due ricercatori hanno dimostrato come sia possibile tagliare l’energia elettrica di interi centri di elaborazione dati. Questo dopo avere individuato 12 diverse debolezze in un sistema di distribuzione di gestione e monitoraggio dei consumi energetici e in un’unità per la distribuzione (diciamo una presa elettrica multipla un po’ sofisticata). Altrettanto inquietante il fatto che dei potenziali attaccanti potrebbero sfruttare tali vulnerabilità, non soltanto per spegnere i data center, ma anche per attacchi più sofisticati come caricare all’interno dei sistemi malware per l’esfiltrazione dei dati oppure dei ransomware. L’unica soddisfazione? A fare le scoperte sono stati i “buoni”, ma nel frattempo quante ne avranno fatte i cattivi?