Vorrei portarvi con me indietro nel tempo,
al tempo di prima, al 2017.
Non so se vi ricordate,
i dinosauri vagavano sulla Terra.
Ero una ricercatrice di sicurezza,
avevo passato cinque o sei anni
a studiare come gli attacchi ATP,
che sta per "minacce persistenti avanzate",
vale a dire chi lavora per lo Stato,
spiano giornalisti e attivisti,
avvocati e scienziati
e in generale chiunque parli con franchezza in faccia ai potenti.
Ci stavo lavorando da un po'
quando scoprii che un mio collega ricercatore,
con cui avevo lavorato per tutto quel tempo,
era un presunto stupratore seriale.
Per prima cosa
lessi un sacco di articoli al riguardo.
Poi a gennaio 2018,
lessi un articolo riguardante alcune sue presunte vittime.
E una delle cose che mi colpì di più di quell'articolo
era quanto fossero spaventate.
Erano davvero terrorizzate,
avevano coperto col nastro adesivo la fotocamera del telefono
e del portatile,
e ciò che le preoccupava era che lui era un hacker
e avrebbe hackerato le loro cose
rovinandogli la vita.
Per questo avevano taciuto a lungo.
Ero su tutte le furie.
Non volevo che nessuno si sentisse mai più in quel modo.
Così feci quello che faccio di solito quando mi arrabbio:
scrissi un tweet.
(Risate)
E nel tweet scrissi:
"Se sei stata abusata sessualmente da un hacker
che ha minacciato di intrufolarsi nei tuoi dispositivi,
contattami pure
e cercherò di fare in modo
che il tuo dispositivo riceva un controllo completo, una perizia".
E poi andai a pranzo.
(Risate)
Diecimila retweet dopo,
(Risate)
avevo inavvertitamente avviato un progetto.
Così ogni mattina mi alzavo e trovavo la casella di posta piena.
Piena di storie di uomini e donne
che mi raccontavano la cosa peggiore che gli fosse mai capitata.
Mi contattavano donne spiate da uomini,
uomini spiati da uomini,
donne spiate da donne,
ma nella maggioranza dei casi
erano donne che erano state abusate sessualmente da uomini
i quali ora le stavano spiando.
Un caso particolarmente interessante
riguardava un uomo rivoltosi a me
perché il suo ragazzo aveva rivelato che era gay
alla sua famiglia coreana ultraconservatrice.
Quindi non è solo una questione di uomini che spiano le donne.
E io sono qui per condividere
quello che ho imparato da quest'esperienza.
Ovvero che c'è una fuga di dati.
Come con l'acqua.
Arriva dove non vorresti.
Fughe umane.
Gli amici rivelano informazioni su di noi.
La famiglia rivela informazioni su di noi.
Andate a una festa,
qualcuno tra i presenti vi tagga.
Ecco uno dei modi
in cui i molestatori raccolgono informazioni private
che non vorremmo sapessero.
Capita che un molestatore vada da amici e parenti
a chiedere informazioni sulle vittime
con la scusa di interessarsi alla loro "salute mentale".
Tra le falle che ho visto
c'era quella che di fatto chiamiamo compromissione dell'account.
Il vostro account Gmail,
l'account Twitter,
l'account Instagram,
l'iCloud,
l'ID Apple,
Netflix, TikTok,
ho dovuto scoprire cosa fosse TikTok.
Dove c'era un login,
ho visto una compromissione.
La ragione è che non sempre ad approfittare del vostro account
è un molestatore.
È molto comune che in una relazione si condividano le password.
Inoltre, le persone molto intime,
che sanno molto l'una dell'altra,
possono indovinare le domande di sicurezza.
O possono sbirciare da dietro
per vedere il codice usato per bloccare il telefono.
Spesso hanno accesso fisico al telefono
o hanno accesso fisico al portatile.
E questo dà loro un sacco di opportunità
per compiere azioni negli account altrui,
il che è molto pericoloso.
Per fortuna esiste un consiglio
su come bloccare l'account in sicurezza.
Il consiglio esiste già e si riduce a questo:
usate password sicure e uniche per ciascun account.
Usate altre password sicure e uniche
come risposte alle domande di sicurezza,
così che chi conosce il nome dell'animale che avevate da bambini
non possa reimpostare la password.
E infine, attivate il più alto livello di autenticazione a due fattori
che vi risulti comodo usare.
Così che anche se un molestatore riuscisse a rubarvi la password,
non avendo il secondo fattore,
non sarà in grado di accedere al vostro account.
Un'altra cosa che dovreste fare
è controllare la scheda "Sicurezza e privacy"
dei vostri account.
La maggior parte degli account ha questa scheda
che vi mostra i dispositivi connessi,
e vi dice da dove si stanno connettendo.
Per esempio, eccomi qui,
collegata a Facebook da La Quinta,
dove si sta svolgendo quest'incontro,
e, se per esempio,
dessi un'occhiata ai miei accessi a Facebook
e ne vedessi uno da Dubai,
la cosa sarebbe sospetta,
perché non ci vado da un po'.
Ma qualche volta si tratta davvero di un RAT.
Se per RAT intendete "strumento di accesso remoto".
E tale strumento
è essenzialmente quello che intendiamo dicendo stalkerware.
Così, una delle ragioni per cui l'accesso completo a un dispositivo
è davvero allettante per i governi
è la stessa per cui il pieno accesso al vostro dispositivo
è allettante per partner violenti ed ex.
Andiamo in giro con dei localizzatori in tasca.
Ci portiamo dietro dispositivi che contengono tutte le nostre password,
le nostre comunicazioni,
inclusi i messaggi privati criptati.
Tutte le email, tutti i contatti,
tutti i selfie, è tutto nello stesso posto,
spesso perfino le informazioni economiche.
E così, il pieno accesso al telefono di qualcuno
diventa l'alternativa migliore al pieno accesso della sua mente.
E quello che fa uno stalkerware è darvi quest'accesso.
Vi chiederete come funzioni.
Beh, uno stalkerware
è un programma disponibile in commercio,
che un molestatore compra,
installa sul dispositivo che vuole spiare,
di solito perché ne ha accesso fisico
o può raggirare la vittima perché lo installi lei stessa,
dicendo, magari:
"È un programma davvero importante, dovresti installarlo sul tuo dispositivo".
E poi paga la società dello stalkerware
per accedere a un portale
che raccoglie tutte le informazioni contenute nel dispositivo.
Di solito costa qualcosa tipo 40 dollari al mese.
Quindi questo tipo di spionaggio è davvero a buon mercato.
Ma queste società lo sanno
che i loro strumenti
vengono usati impropriamente?
Certo.
Se date un'occhiata al copy pubblicitario di Cocospy,
uno di questi prodotti,
proprio nel sito dice
che Cocospy ti consente di spiare tua moglie facilmente;
"Non devi preoccuparti di dove va,
con chi parla o quali siti visita".
Mette i brividi.
HelloSpy, un altro di questi prodotti,
aveva un sito in cui la maggior parte del copy era dedicata
a parlare del tasso di tradimenti
e di quanto sia importante beccare chi tradisce,
mostrando questa bell'immagine di un uomo
che ha chiaramente appena beccato la partner a tradirlo
e l'ha picchiata.
Ha un occhio nero e la faccia insanguinata.
E non penso ci siano davvero molti dubbi
su da che parte stia HelloSpy in questo caso specifico.
E a chi stiano cercando di vendere il proprio prodotto.
Si è scoperto che avere o no uno stalkerware sul telefono o sul pc,
non è affatto semplice da capire.
E uno dei motivi
è che le società di antivirus
spesso non riconoscono lo stalkerware come malevolo.
Non lo riconoscono come un trojan
o come le altre cose per le quali normalmente trovereste
degli avvisi da parte loro.
Ecco alcuni risultati di inizio anno forniti da VirusTotal.
Credo che per un campione che ho analizzato
ho trovato tipo 7 piattaforme su 60
che hanno identificato lo stalkerware che stavo testando.
E qui ce n'è un altro in cui sono riuscita a ottenere 10,
10 su 61.
Si tratta di risultati ancora davvero pessimi.
Sono riuscita a convincere un paio di società di antivirus
a iniziare a segnalare gli stalkerware come malevoli.
Così tutto ciò che dovete fare
se temete di averne uno sul computer
è scaricare il programma,
eseguire una scansione che avverte:
"Ehi, sul tuo dispositivo c'è un programma potenzialmente indesiderato".
Ti fornisce l'opzione di eliminarlo,
ma non lo fa automaticamente.
E una delle ragioni di questa scelta
è il modo in cui funziona la molestia.
Spesso le vittime di abuso non sono sicure
di voler allertare o meno il loro molestatore
bloccandogli l'accesso.
O sono preoccupate che le molestie degenerino in violenza
o forse anche in una violenza maggiore
di quella in cui sono già coinvolte.
Kaspersky è stata una delle prime società
a dire che avrebbero iniziato a prendere la cosa sul serio.
E a novembre di quest'anno
hanno pubblicato un rapporto che diceva
che dall'inizio delle rilevazioni sugli stalkerware tra i loro utenti
hanno visto un aumento del 35%.
Parimenti, Lookout se n'è uscito con una dichiarazione
dicendo che avrebbero preso la questione molto più seriamente.
E infine, pure la società Malwarebytes ha dichiarato
di aver trovato 2.500 programmi,
durante la fase di ricerca,
che potevano essere classificati come stalkerware.
Infine, a novembre ho contribuito al lancio di una coalizione,
la Coalition Against Stalkerware,
formata da accademici,
gente che sta lavorando a questo genere di cose sul campo,
specialisti che aiutano le persone a fuggire dalla violenza domestica,
e società di antivirus.
E il nostro obiettivo è sia quello di educare le persone su questi programmi,
sia quello di convincere le società di antivirus
a cambiare la prassi
con cui agiscono nei confronti di questi software davvero spaventosi,
così che presto, se vi avrò davanti
per riparlarne il prossimo anno,
potrei dirvi che il problema è stato risolto,
che tutto quello che dovete fare è scaricare un antivirus qualsiasi
e che è normale che questo rilevi lo stalkerware.
È il mio auspicio.
Grazie infinite.
(Applausi)