Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Apr 12, 2019 Marco Schiaffino Gestione dati, In evidenza, Leaks, News, RSS, Vulnerabilità 0
Difficile pensare che i ricercatori di Symantec, quando hanno iniziato a passare al setaccio i siti Internet delle strutture alberghiere, si aspettassero di trovarsi di fronte a una simile voragine in termini di privacy e sicurezza.
A quanto si legge nel post pubblicato da Candid Wueest, però, quella che emerge è un vero scandalo: il 67% dei siti esaminati dal ricercatore di sicurezza contengono componenti gestite da soggetti terzi e permettono loro di accedere a informazioni che dovrebbero essere riservate.
Stiamo parlando, nella maggior parte dei casi di dati anagrafici, indirizzo di posta elettronica, residenza, numero telefonico, del numero di passaporto e alcuni dati della carta di credito come le ultime quattro cifre del numero, il tipo di carta e la data di scadenza.
Quanto basta, insomma, per fornire a chiunque abbastanza informazioni per portare attacchi di phishing o addirittura prendere il possesso dell’account di un qualsiasi servizio Internet che usa queste informazioni come strumento per il recupero della password.
Come mai avviene tutto questo? Secondo Wueest, il vettore principale del leak è dovuto all’abitudine di inviare un’email di conferma ai clienti attraverso un link che permette di accedere direttamente alla prenotazione effettuata.
Siccome, però, la pagina visualizzata contiene normalmente numerosi elementi esterni e ogni richiesta contiene l’url completa, tutti i soggetti coinvolti possono accedere a questi dati.
Secondo il ricercatore, mediamente ogni prenotazione online “condivide” i suoi dati con almeno 30 service provider, compresi social network, aziende pubblicitarie e società di marketing.
Accedendo al link, però, tutti questi soggetti potrebbero non limitarsi a registrare le informazioni, ma anche accedere alla prenotazione per modificarla o cancellarla.
Il problema riguarda anche i siti che offrono servizi di aggregazione delle offerte alberghiere. Dei cinque analizzati dal ricercatore, due trasmettono le credenziali e uno invia i link senza alcuna protezione crittografica.
Una modalità, quest’ultima, che viene adottata dal 29% dei siti di prenotazione e che apre la strada alla possibilità che un pirata informatico possa “sniffare” il link quando la trasmissione avviene per esempio in una rete Wi-Fi compromessa.
Inutile dire che una situazione del genere è assolutamente incompatibile con il nuovo GDPR, che prevede l’implementazione di strumenti per la tutela della privacy e protezione dei dati piuttosto stringenti.
I gestori dei servizi, però, non sembrano preoccuparsene più di tanto. Il tasso di risposta dei responsabili della protezione dei dati alle segnalazioni inviate da Wueest nel corso di sei settimane è sconsolante: il 25% le ha completamente ignorate.
Feb 05, 2024 0
Dic 21, 2023 0
Set 14, 2023 0
Set 05, 2023 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...