Che cosa dovete sapere sugli stalkerware

“Il pieno accesso al telefono di una persona è la migliore alternativa al pieno accesso alla sua mente” dice Eva Galperin, esperta di sicurezza informatica. In questo intervento urgente, descrive il crescente pericolo degli stalkerware, software progettati per spiare qualcuno attraverso l’accesso ai suoi dispositivi senza che questi ne sia a conoscenza, ed esorta le società di antivirus a riconoscere questi programmi come malevoli al fine di scoraggiare i molestatori e proteggere le vittime.

Vorrei portarvi con me indietro nel tempo,

al tempo di prima, al 2017.

Non so se vi ricordate,

i dinosauri vagavano sulla Terra.

Ero una ricercatrice di sicurezza,

avevo passato cinque o sei anni

a studiare come gli attacchi ATP,

che sta per
"minacce persistenti avanzate",

vale a dire chi lavora per lo Stato,

spiano giornalisti e attivisti,

avvocati e scienziati

e in generale chiunque parli
con franchezza in faccia ai potenti.

Ci stavo lavorando da un po'

quando scoprii
che un mio collega ricercatore,

con cui avevo lavorato
per tutto quel tempo,

era un presunto stupratore seriale.

Per prima cosa

lessi un sacco di articoli al riguardo.

Poi a gennaio 2018,

lessi un articolo riguardante
alcune sue presunte vittime.

E una delle cose che mi colpì di più
di quell'articolo

era quanto fossero spaventate.

Erano davvero terrorizzate,

avevano coperto col nastro adesivo
la fotocamera del telefono

e del portatile,

e ciò che le preoccupava
era che lui era un hacker

e avrebbe hackerato le loro cose

rovinandogli la vita.

Per questo avevano taciuto a lungo.

Ero su tutte le furie.

Non volevo che nessuno
si sentisse mai più in quel modo.

Così feci quello che faccio di solito
quando mi arrabbio:

scrissi un tweet.

(Risate)

E nel tweet scrissi:

"Se sei stata abusata sessualmente
da un hacker

che ha minacciato di intrufolarsi
nei tuoi dispositivi,

contattami pure

e cercherò di fare in modo

che il tuo dispositivo riceva
un controllo completo, una perizia".

E poi andai a pranzo.

(Risate)

Diecimila retweet dopo,

(Risate)

avevo inavvertitamente
avviato un progetto.

Così ogni mattina mi alzavo
e trovavo la casella di posta piena.

Piena di storie di uomini e donne

che mi raccontavano la cosa peggiore
che gli fosse mai capitata.

Mi contattavano donne
spiate da uomini,

uomini spiati da uomini,

donne spiate da donne,

ma nella maggioranza dei casi

erano donne che erano state
abusate sessualmente da uomini

i quali ora le stavano spiando.

Un caso particolarmente interessante

riguardava un uomo rivoltosi a me

perché il suo ragazzo
aveva rivelato che era gay

alla sua famiglia coreana
ultraconservatrice.

Quindi non è solo una questione
di uomini che spiano le donne.

E io sono qui per condividere

quello che ho imparato
da quest'esperienza.

Ovvero che c'è una fuga di dati.

Come con l'acqua.

Arriva dove non vorresti.

Fughe umane.

Gli amici rivelano informazioni su di noi.

La famiglia rivela informazioni su di noi.

Andate a una festa,

qualcuno tra i presenti vi tagga.

Ecco uno dei modi

in cui i molestatori
raccolgono informazioni private

che non vorremmo sapessero.

Capita che un molestatore
vada da amici e parenti

a chiedere informazioni sulle vittime

con la scusa di interessarsi
alla loro "salute mentale".

Tra le falle che ho visto

c'era quella che di fatto chiamiamo
compromissione dell'account.

Il vostro account Gmail,

l'account Twitter,

l'account Instagram,

l'iCloud,

l'ID Apple,

Netflix, TikTok,

ho dovuto scoprire cosa fosse TikTok.

Dove c'era un login,

ho visto una compromissione.

La ragione è che non sempre
ad approfittare del vostro account

è un molestatore.

È molto comune che in una relazione
si condividano le password.

Inoltre, le persone molto intime,

che sanno molto l'una dell'altra,

possono indovinare
le domande di sicurezza.

O possono sbirciare da dietro

per vedere il codice usato
per bloccare il telefono.

Spesso hanno accesso fisico al telefono

o hanno accesso fisico al portatile.

E questo dà loro un sacco di opportunità

per compiere azioni negli account altrui,

il che è molto pericoloso.

Per fortuna esiste un consiglio

su come bloccare l'account in sicurezza.

Il consiglio esiste già
e si riduce a questo:

usate password sicure e uniche
per ciascun account.

Usate altre password sicure e uniche

come risposte alle domande di sicurezza,

così che chi conosce il nome dell'animale
che avevate da bambini

non possa reimpostare la password.

E infine, attivate il più alto livello
di autenticazione a due fattori

che vi risulti comodo usare.

Così che anche se un molestatore
riuscisse a rubarvi la password,

non avendo il secondo fattore,

non sarà in grado di accedere
al vostro account.

Un'altra cosa che dovreste fare

è controllare la scheda
"Sicurezza e privacy"

dei vostri account.

La maggior parte degli account
ha questa scheda

che vi mostra i dispositivi connessi,

e vi dice da dove si stanno connettendo.

Per esempio, eccomi qui,

collegata a Facebook da La Quinta,

dove si sta svolgendo quest'incontro,

e, se per esempio,

dessi un'occhiata
ai miei accessi a Facebook

e ne vedessi uno da Dubai,

la cosa sarebbe sospetta,

perché non ci vado da un po'.

Ma qualche volta
si tratta davvero di un RAT.

Se per RAT intendete
"strumento di accesso remoto".

E tale strumento

è essenzialmente quello che intendiamo
dicendo stalkerware.

Così, una delle ragioni per cui
l'accesso completo a un dispositivo

è davvero allettante per i governi

è la stessa per cui il pieno accesso
al vostro dispositivo

è allettante per partner violenti ed ex.

Andiamo in giro
con dei localizzatori in tasca.

Ci portiamo dietro dispositivi
che contengono tutte le nostre password,

le nostre comunicazioni,

inclusi i messaggi privati criptati.

Tutte le email, tutti i contatti,

tutti i selfie,
è tutto nello stesso posto,

spesso perfino le informazioni economiche.

E così, il pieno accesso
al telefono di qualcuno

diventa l'alternativa migliore
al pieno accesso della sua mente.

E quello che fa uno stalkerware
è darvi quest'accesso.

Vi chiederete come funzioni.

Beh, uno stalkerware

è un programma disponibile in commercio,

che un molestatore compra,

installa sul dispositivo che vuole spiare,

di solito perché ne ha accesso fisico

o può raggirare la vittima
perché lo installi lei stessa,

dicendo, magari:

"È un programma davvero importante,
dovresti installarlo sul tuo dispositivo".

E poi paga la società dello stalkerware

per accedere a un portale

che raccoglie tutte le informazioni
contenute nel dispositivo.

Di solito costa qualcosa tipo
40 dollari al mese.

Quindi questo tipo di spionaggio
è davvero a buon mercato.

Ma queste società lo sanno

che i loro strumenti

vengono usati impropriamente?

Certo.

Se date un'occhiata al copy
pubblicitario di Cocospy,

uno di questi prodotti,

proprio nel sito dice

che Cocospy ti consente
di spiare tua moglie facilmente;

"Non devi preoccuparti di dove va,

con chi parla o quali siti visita".

Mette i brividi.

HelloSpy, un altro di questi prodotti,

aveva un sito in cui
la maggior parte del copy era dedicata

a parlare del tasso di tradimenti

e di quanto sia importante beccare
chi tradisce,

mostrando questa bell'immagine di un uomo

che ha chiaramente appena beccato
la partner a tradirlo

e l'ha picchiata.

Ha un occhio nero
e la faccia insanguinata.

E non penso ci siano davvero molti dubbi

su da che parte stia HelloSpy
in questo caso specifico.

E a chi stiano cercando di vendere
il proprio prodotto.

Si è scoperto che avere o no
uno stalkerware sul telefono o sul pc,

non è affatto semplice da capire.

E uno dei motivi

è che le società di antivirus

spesso non riconoscono
lo stalkerware come malevolo.

Non lo riconoscono come un trojan

o come le altre cose
per le quali normalmente trovereste

degli avvisi da parte loro.

Ecco alcuni risultati di inizio anno
forniti da VirusTotal.

Credo che per un campione
che ho analizzato

ho trovato tipo 7 piattaforme su 60

che hanno identificato
lo stalkerware che stavo testando.

E qui ce n'è un altro
in cui sono riuscita a ottenere 10,

10 su 61.

Si tratta di risultati
ancora davvero pessimi.

Sono riuscita a convincere
un paio di società di antivirus

a iniziare a segnalare
gli stalkerware come malevoli.

Così tutto ciò che dovete fare

se temete di averne uno sul computer

è scaricare il programma,

eseguire una scansione che avverte:

"Ehi, sul tuo dispositivo c'è un
programma potenzialmente indesiderato".

Ti fornisce l'opzione di eliminarlo,

ma non lo fa automaticamente.

E una delle ragioni di questa scelta

è il modo in cui funziona la molestia.

Spesso le vittime di abuso non sono sicure

di voler allertare o meno
il loro molestatore

bloccandogli l'accesso.

O sono preoccupate che le molestie
degenerino in violenza

o forse anche in una violenza maggiore

di quella in cui sono già coinvolte.

Kaspersky è stata una delle prime società

a dire che avrebbero iniziato
a prendere la cosa sul serio.

E a novembre di quest'anno

hanno pubblicato un rapporto che diceva

che dall'inizio delle rilevazioni
sugli stalkerware tra i loro utenti

hanno visto un aumento del 35%.

Parimenti, Lookout se n'è uscito
con una dichiarazione

dicendo che avrebbero preso la questione
molto più seriamente.

E infine, pure la società Malwarebytes
ha dichiarato

di aver trovato 2.500 programmi,

durante la fase di ricerca,

che potevano essere classificati
come stalkerware.

Infine, a novembre ho contribuito
al lancio di una coalizione,

la Coalition Against Stalkerware,

formata da accademici,

gente che sta lavorando
a questo genere di cose sul campo,

specialisti che aiutano le persone
a fuggire dalla violenza domestica,

e società di antivirus.

E il nostro obiettivo è sia quello
di educare le persone su questi programmi,

sia quello di convincere
le società di antivirus

a cambiare la prassi

con cui agiscono nei confronti
di questi software davvero spaventosi,

così che presto, se vi avrò davanti

per riparlarne il prossimo anno,

potrei dirvi
che il problema è stato risolto,

che tutto quello che dovete fare
è scaricare un antivirus qualsiasi

e che è normale
che questo rilevi lo stalkerware.

È il mio auspicio.

Grazie infinite.

(Applausi)