Un noto consiglio di sicurezza inizia a sembrare incompleto: non cliccare sui link sospetti. Una nuova serie di segnalazioni afferma che lo spyware ha infettato i dispositivi dei giornalisti attraverso annunci pubblicitari su cui non hanno mai cliccato. La stessa rassegna stampa ha anche segnalato uno zero-day sfruttato nei firewall Palo Alto, una vulnerabilità critica di Drupal e accuse penali contro un ingegnere di OpenAI accusato di aver installato dispositivi di sorveglianza in una sala riunioni. Il primo punto è il più importante per chiunque lavori con fonti sensibili, perché lo spyware zero-click distribuito tramite annunci malevoli che i giornalisti incontrano durante la navigazione cambia il modo in cui si configura la difesa personale.

Come lo spyware pubblicitario zero-click raggiunge i giornalisti

La parola chiave è "zero-click". Il phishing tradizionale richiede che una persona apra un file o tocchi un link. Un attacco zero-click non richiede alcuna azione da parte del bersaglio. Qui il canale di distribuzione è la pubblicità online: un annuncio viene mostrato a una persona mirata, e quell'annuncio è sufficiente per avviare una compromissione.

Secondo la copertura della ricerca di The Citizen Lab, l'unità di ricerca sui diritti digitali dell'Università di Toronto, questa è la prima volta che prove tecniche vengono pubblicamente diffuse per mostrare spyware mercenario sofisticato distribuito attraverso annunci mirati. Alcune segnalazioni descrivono anche un'agenzia pubblicitaria israeliana che piazzava annunci che esponevano le persone che li vedevano ad attacchi spyware. Abbiamo solo dettagli a livello di riassunto sui meccanismi tecnici, quindi trattate i dettagli con cautela finché la ricerca completa non sarà letta.

Il quadro più ampio è comunque chiaro. Le reti pubblicitarie sono costruite per individuare pubblici specifici e consegnare loro contenuti senza il loro coinvolgimento. Questa stessa precisione è attraente per i fornitori di sorveglianza che vogliono raggiungere una persona specifica, come un giornalista, senza che la persona faccia nulla di sbagliato. Un caso precedente ha coinvolto decine di dispositivi presso un'organizzazione mediatica: il nostro articolo sui risultati di Citizen Lab riguardo ai dispositivi di Al Jazeera violati tramite annunci malevoli descrive come la stessa categoria di attacco sia stata documentata in quella circostanza.

Perché una VPN da sola non ferma questo attacco

Questo è un sito sulla privacy, quindi la questione VPN merita una risposta diretta. Una VPN crittografa il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questi sono vantaggi reali, ma affrontano un problema diverso.

Un annuncio malevolo viene distribuito attraverso il web normale, e il contenuto raggiunge comunque il tuo browser o la tua app indipendentemente dal fatto che la tua connessione sia tunnelizzata o meno. Se il dispositivo sottostante presenta una vulnerabilità non corretta che il contenuto dell'annuncio può sfruttare, la VPN non cambia la situazione. Alcuni prodotti VPN includono il blocco di annunci o tracker a livello DNS, il che può ridurre l'esposizione, ma si tratta di una funzionalità separata e non di una garanzia. Una VPN è un livello di protezione e non va confusa con la protezione contro lo spyware distribuito attraverso i contenuti che carichi.

Protezioni che riducono l'esposizione: aggiornamenti, blocco annunci e modalità di blocco

Nessun singolo passo rende una persona immune a un attaccante ben finanziato, ma diverse misure restringono l'apertura.

  • Installa gli aggiornamenti tempestivamente. Lo spyware di questo tipo dipende da vulnerabilità del software. Gli aggiornamenti del sistema operativo e del browser chiudono queste falle, quindi ritardarli tiene la porta aperta più a lungo.
  • Usa un blocco annunci. Se la via di infezione è un annuncio, allora non caricare l'annuncio rimuove il percorso di distribuzione. I bloccanti basati su browser e il filtraggio a livello di rete sono entrambe opzioni.
  • Attiva le modalità rafforzate. Le principali piattaforme mobili offrono impostazioni di alta sicurezza pensate per persone ad alto rischio di attacchi mirati. Scambiano un po' di comodità per una superficie di attacco più ridotta, il che è un compromesso ragionevole per giornalisti, attivisti e utenti simili.
  • Riduci ciò che viene eseguito in background. Rimuovi le app che non usi, limita le app ricche di pubblicità e mantieni browser e app aggiornati insieme al sistema operativo.
  • Riavvia e monitora. Riavvii regolari e attenzione a consumi anomali della batteria, calore o crash non sono prove di nulla, ma sono abitudini a basso costo. Le redazioni con personale IT o di sicurezza dovrebbero chiedere loro di esaminare i dispositivi dei dipendenti che coprono temi sensibili.

Anche le organizzazioni hanno un ruolo. Un'emittente può stabilire una politica di base che richieda aggiornamenti, modalità rafforzate obbligatorie per i giornalisti ad alto rischio e blocco annunci approvato sui dispositivi di lavoro, invece di lasciare che ogni giornalista se la cavi da solo.

Zero-day di Palo Alto: un promemoria per aggiornare i dispositivi perimetrali

La stessa rassegna ha notato che uno zero-day nei firewall Palo Alto è in fase di sfruttamento. Non abbiamo dettagli dal riassunto oltre a questo, quindi consultate gli avvisi del fornitore per le versioni interessate e le correzioni. La lezione si sovrappone alla storia dello spyware: gli attaccanti prendono di mira il software che le persone presumono le stia proteggendo. I firewall e gli altri dispositivi perimetrali si trovano tra una rete e internet, il che li rende bersagli preziosi, e uno zero-day sfruttato significa che gli attacchi avvengono prima o nel momento in cui una correzione diventa disponibile.

Se gestisci tali apparecchiature, tratta le indicazioni del fornitore come urgenti, limita le interfacce di gestione dall'esposizione pubblica ove possibile e controlla i log per attività insolite. La rassegna ha anche menzionato una vulnerabilità critica di Drupal, che i proprietari di siti che eseguono quella piattaforma dovrebbero verificare rispetto agli avvisi di sicurezza ufficiali.

Cosa significa per te

Se sei un giornalista, un ricercatore, un attivista o chiunque possa interessare a un governo o a un appaltatore di sorveglianza, "non clicco su link strani" non è più sufficiente. Il rischio può arrivare attraverso la normale navigazione. Per la maggior parte degli altri lettori, il rischio pratico è inferiore, ma le misure che aiutano gli utenti ad alto rischio giovano anche a tutti: aggiornamenti, blocco annunci e un approccio ragionevole a quali app mantenere.

L'accusa di intercettazione contro OpenAI è una storia separata, ma si inserisce in un tema: le minacce di sorveglianza vanno dal software remoto ai dispositivi fisici, e le conversazioni sensibili meritano attenzione in entrambi i mondi.

Punti chiave

  • Lo spyware zero-click tramite annunci malevoli che i giornalisti possono vedere può compromettere un dispositivo senza alcun clic, quindi la sola cautela sui link non è una difesa.
  • Una VPN protegge la tua connessione, non il tuo dispositivo dai contenuti exploit, quindi non affidarti ad essa per questa minaccia.
  • Applica gli aggiornamenti del sistema operativo e del browser non appena sono disponibili.
  • Attiva le modalità di blocco o rafforzate sul tuo telefono e usa il blocco annunci.
  • Aggiorna rapidamente i dispositivi perimetrali come i firewall Palo Alto e segui gli avvisi del fornitore.

Per un esempio documentato di compromissione tramite annunci malevoli, leggi il nostro articolo sull'indagine di Citizen Lab su Al Jazeera, poi dedica dieci minuti oggi ad aggiornare i tuoi dispositivi e ad attivare le protezioni più forti che offrono.