Tempo di lettura: 2 minuti.

La terza edizione della Privacy Week, intitolata “Exposed”, si terrà a Milano dal 25 al 29 settembre 2023, focalizzandosi sull'esposizione delle informazioni personali online. L'evento vedrà la partecipazione di ospiti internazionali, tra cui Max Schrems, noto attivista e legale austriaco, e Patrick Breyer, europarlamentare che discuterà di ChatControl, una proposta di legge dell'Unione Europea per la ricerca di materiale pedopornografico nelle e-mail o chat attraverso l'IA.

Eventi in programma:

• Privacy Debate Championship: un confronto tra studenti delle superiori su temi di privacy e digitale.
• Privacy Night: una serata dedicata allo sharenting, condotta da Diego Passoni.
• Hackathon: sul tema “Privacy by Design”, per coinvolgere le start-up.
• Intervento di Max Schrems: Schrems discuterà della sua battaglia legale per la protezione dei dati dei cittadini europei contro le Big Tech.
• Discussione su ChatControl: con Patrick Breyer, focalizzata sulla ricerca di materiale pedopornografico attraverso l'IA.
• Tavola Rotonda su GDPR e AI ACT: discussione sulle normative europee relative alla privacy e all'intelligenza artificiale.
• Talk sulla Sanità Digitale: discussione sulle opportunità e i rischi legati alla gestione dei dati nel settore sanitario.
• Conversazioni sull'IA: discussione sulle innovazioni portate dall'IA in vari settori.
• Workshop sulle Criptovalute: spiegazioni e discussione sulle criptovalute e la loro percezione nel sistema bancario.
• Privacy Debate Championship: competizione tra scuole superiori su temi di privacy e digitale.
• Presentazione sugli Errori Comuni delle Aziende: relazione sugli errori più comuni commessi dalle aziende in relazione alla data protection nel 2023.

Dettagli organizzativi:

• Quando: 25-29 settembre 2023
• Dove: Streaming online e eventi dal vivo a Milano
• Programma e Registrazione: Sito Ufficiale della Privacy Week
• Partner: Cisco, OneTrust, EUservice, Gruppo Spaggiari, Findomestic, Net Patrol Italia, BSD Legal, SAB Consulting, e altri.

Privacy Week 2023 promette di essere un evento ricco di informazioni e discussioni su temi cruciali relativi alla privacy, alla sicurezza dei dati e alle tecnologie emergenti, fornendo spunti di riflessione e soluzioni pratiche per affrontare le sfide attuali in questi ambiti

Tempo di lettura: 2 minuti.

La scorsa settimana, il Threat Analysis Group (TAG) di Google, in collaborazione con The Citizen Lab, ha scoperto una catena di exploit 0-day in-the-wild per iPhone. Sviluppata dal fornitore di sorveglianza commerciale Intellexa, questa catena di exploit viene utilizzata per installare in modo subdolo il suo spyware Predator su un dispositivo. In risposta, Apple ha prontamente corretto i bug in iOS 16.7 e iOS 17.0.1 come CVE-2023-41991, CVE-2023-41992 e CVE-2023-41993. Si consiglia a tutti gli utenti iOS di installare questi aggiornamenti il prima possibile.

Consegna dell'exploit tramite attacco Man-in-the-Middle (MITM)

La catena di exploit di Intellexa è stata consegnata tramite un attacco “man-in-the-middle” (MITM). Se il bersaglio visita un sito web utilizzando ‘http', l'attaccante può intercettare il traffico e inviare dati falsi al bersaglio per indirizzarlo verso un sito diverso. Nel caso di questa campagna, se il bersaglio accedeva a qualsiasi sito ‘http', gli aggressori iniettavano traffico per reindirizzarli silenziosamente a un sito Intellexa, c.betly[.]me. Se l'utente era l'utente bersaglio previsto, il sito avrebbe poi reindirizzato il bersaglio al server di exploit, sec-flare[.]com.

Catena di exploit iOS

Non appena l'attaccante ha reindirizzato il bersaglio al proprio server di exploit, la catena di exploit ha iniziato ad eseguirsi. Per iOS, questa catena includeva tre vulnerabilità:

• CVE-2023-41993: Esecuzione remota del codice iniziale (RCE) in Safari
• CVE-2023-41991: Bypass PAC
• CVE-2023-41992: Escalation di privilegi locali (LPE) nel Kernel XNU

Catena di exploit Android

L'attaccante aveva anche una catena di exploit per installare Predator sui dispositivi Android in Egitto. TAG ha osservato questi exploit consegnati in due modi diversi: l'iniezione MITM e tramite link one-time inviati direttamente al bersaglio. Siamo stati in grado di ottenere solo la vulnerabilità iniziale di esecuzione remota del codice renderer per Chrome, che sfruttava CVE-2023-4762.

Protezione di Chrome contro gli attacchi MITM

Chrome ha lavorato per anni per l'adozione universale di HTTPS su tutto il web. Inoltre, Chrome ha una modalità “HTTPS-First” che può ridurre la probabilità che gli exploit vengano consegnati tramite iniezione di rete MITM.

Questa campagna è un altro esempio degli abusi causati dalla proliferazione dei fornitori di sorveglianza commerciale e del loro grave rischio per la sicurezza degli utenti online. TAG continuerà a prendere provvedimenti contro e a pubblicare ricerche sull'industria dello spyware commerciale.

Tempo di lettura: 2 minuti.

La NATO (Organizzazione del Trattato dell'Atlantico del Nord) e l'Unione Europea (UE) si sono incontrate per rafforzare ulteriormente gli impegni nella difesa cibernetica. Esperti di sicurezza cibernetica della NATO si sono consultati con il Servizio Europeo per l'Azione Esterna per discutere delle minacce online rivolte sia alle infrastrutture militari che civili.

Collaborazione per la difesa cibernetica

David van Weel, Segretario Generale Aggiunto per le Sfide di Sicurezza Emergenti, ha sottolineato l'importanza della collaborazione, affermando: “Il cyberspazio può essere difeso solo in uno spirito collaborativo”. Ha inoltre evidenziato che una maggiore sinergia tra le iniziative cibernetiche della NATO e dell'UE potenzia il benessere e la sicurezza dei cittadini, delle economie, compresa la protezione delle infrastrutture critiche, nonché delle difese cibernetiche.

Deterrenza, difesa e contrasto

Negli ultimi anni, la difesa cibernetica è emersa come una grave minaccia per la NATO, poiché stati e attori ostili hanno potenziato le loro capacità cibernetiche. Una delle principali evoluzioni nella difesa cibernetica della NATO è stata la creazione del Centro di Eccellenza per la Difesa Cibernetica Cooperativa nel 2008. Da allora, sono state fornite ricerche, sviluppo e formazione sia ai membri della NATO che ai non membri per espandere e potenziare le difese cibernetiche a livello globale.

Gli attacchi cibernetici commessi da gruppi sponsorizzati da stati, e persino dagli stessi stati, rappresentano una seria minaccia. Ad esempio, l'attacco ransomware WannaCry del 2017, avviato dalla Corea del Nord, ha colpito oltre 300.000 computer in 150 paesi, causando danni stimati in 4 miliardi di dollari a livello mondiale. La Russia ha mostrato il volto mutevole della guerra cibernetica con i suoi attacchi senza precedenti contro le infrastrutture civili e militari ucraine. La NATO ha formalmente stabilito che “attività cibernetiche maliziose significative potrebbero in certe circostanze essere considerate un attacco armato”, portando il Consiglio dell'Atlantico del Nord a invocare l'articolo 5.