Claudio Tamburrino

USA, furto password offresi

Numerosi siti gestiti da cracker offrono il servizio a pagamento. Una donna lo usa per minacciare l'amante e finisce nei guai

Roma - Se una donna inizia ad aver dubbi sul proprio fidanzato, una delle prime cose che fa è controllare gli SMS inviati sul cellulare. Se questa stessa donna ottiene invece le password delle email la questione si fa più seria, gli indizi aumentano e la rabbia anche. Se poi esplode in telefonate di minaccia con tanto di voce contraffatta con un servizio ad hoc di camuffamento, ecco che la questione diventa un reato ancora più serio.

Il caso della signora Elaine Cioni è stato riportato dal Washington Post e trascina sotto i riflettori quei siti gestiti da hacker che mettono a disposizione un efficiente servizio di recupero password (naturalmente a pagamento) e la generica mancanza di sicurezza quando si parla di Web mail.

Cento dollari a password è una cifra "ragionevole" soprattutto quando servono a smascherare inganni sentimentali o frodi. E facilmente gli hacker che stanno dietro a questi servizi possono ottenere password di sistemi come AOL, Yahoo, Gmail, Hotmail e Facebook. E pubblicizzano la loro abilità apertamente.
Piratecrackers.com, ackmail.net, YourHackerz.com, sono alcuni esempi di siti operanti in questo nascosto settore di mercato dei servizi (che dall'Italia non sono apparentemente raggiungibili). Alcuni hanno anche una costituzione etica, come SlickHackers.com che afferma di voler aiutare "persone serie per cui il recupero di una password significherebbe salvare un matrimonio, scoprire la verità, prevenire una frode o proteggere i propri interessi/famiglia/lavoro, solamente quando i metodi tradizionali non funzionano". Una sorta di Mr Wolf 2.0, pronto a trovare una soluzione digitale ai tuoi problemi. Altri, come un sito del Regno Unito (almeno a giudicare dalla valuta che accetta, dal momento che la reale locazione è segreta) nasconde la password rubata in scene Shakspeariane.

Anche se le leggi federali statunitensi proibiscono l'hackeraggio delle e-mail, senza ulteriori attività illegali a corredo viene considerato un reato minore. E la mancanza di risorse costringe i federali a lasciar correre, occupandosi solo dei casi più seri. Soprattutto perché l'hacking di Web mail non lasciando traccia è praticamente impossibile da rintracciare.

Nel caso della signora Cioni, che ha scoperto i molti tradimenti dell'amante (già sposato e che coltivava relazioni extraconiugali multiple), l'attenzione è stata attirata dalle minacce e telefonate con voce camuffata che ha fatto al "fedifrago". Che le sono costate una condanna a 15 mesi.

Claudio Tamburrino
Notizie collegate
8 Commenti alla Notizia USA, furto password offresi
Ordina
  • semplicissimo phishing.

    Welcome to Google Accounts.  To activate your account and verify your e-mail address, please click on the following link:
     
    **  http://www.google.com/accounts/VE?c=CNa188Xrt7_UoQ...

     
     If you have received this mail in error, you do not need to take any
     action to cancel the account. The account will not be activated, and
     you will not receive any further emails.
     
     If clicking the link above does not work, copy and paste the URL in a
     new browser window instead.
     
     Thank you for using Google.
     
     For questions or concerns regarding your account, please visit the
     Google Accounts FAQ at
     http://www.google.com/support/accounts/.

     
     This is a post-only mailing.  Replies to this message are not monitored
     or answered

    =========================
    **( questo link é un hyperlink spoofato che in realtá manda a : "http://www.verify.google.de.md/?slogin=xxxxxx@gmai...")
    il mio mailer (pegasus) lo segna immediatamente come link truffaldino, se uno legge da web non so come si comporti il browser, é da verificare.
  • Come farebbero questi loschi figuri a rubare le password dei citati servizi?
    Social engineering? Brute force?
    Oppure sganciano una bella mazzetta a qualche interno e in un qualche modo ottengono l'accesso?
    non+autenticato
  • E' quello che mi sto domandando io...

    Poiché l'articolo non menziona l'utilizzo di keyloggers, sniffer di rete e altri sistemi "eseguiti in locale" a cura del partner geloso rimane solo la possibilità che costoro lavorino "in remoto" e che il bersaglio possa essere o il PC della persona di cui si vuol conoscere le password oppure i server stessi dei servizi che usa.
    In quest'ultimo caso a meno di clamorose vulnerabilità non ancora diffuse e patchate la sola possibilità è che abbiano diversi "inside men" per i siti più comuni (Facebook, Yahoo, Hotmail ecc...) che dietro pagamento passino le informazioni richieste.
    Nell'altro caso è sicuramente più facile bucare un PC domestico soprattutto se usa Windows e non è ben protetto... ma comunque devono venire a sapere quando questo è acceso e connesso alla rete oltre all'indirizzo IP in quel momento assegnato.
    non+autenticato
  • - Scritto da: Star
    > Poiché l'articolo non menziona l'utilizzo di
    > keyloggers, sniffer di rete e altri sistemi

    Eheh, mica puoi pretendere che ti forniscano anche l'indirizzo da dove scaricarli.
    Mi sembra comprensibile che certi dettagli se li risparmino per non mettere strane idee in testa alla gente.


    > rimane solo la possibilità che costoro lavorino
    > "in remoto" e che il bersaglio possa essere o il
    > PC della persona di cui si vuol conoscere le
    > password oppure i server stessi dei servizi che
    > usa.


    Salvo botte di fortuna (con la C maiuscola) senza un po' di social engineering al giorno d'oggi da remoto si fa ben poco su un PC con IP dinamico.

    > In quest'ultimo caso a meno di clamorose
    > vulnerabilità non ancora diffuse e patchate la
    > sola possibilità è che abbiano diversi "inside
    > men" per i siti più comuni (Facebook, Yahoo,
    > Hotmail ecc...) che dietro pagamento passino le
    > informazioni
    > richieste.

    Troppa gente dovrebbe mantenere segreti, troppa gente corrotta non si dovrebbe far notare.

    > Nell'altro caso è sicuramente più facile bucare
    > un PC domestico soprattutto se usa Windows e non
    > è ben protetto...

    Anche questo è più facile a dirsi che a farsi, sono passati i tempi in cui potevi fingere di essere una ragazza su ICQ e diffondere (tipo malattia venerea) il Netbus camuffato da "perizoma_nuovo.exe".

    > ma comunque devono venire a
    > sapere quando questo è acceso e connesso alla
    > rete oltre all'indirizzo IP in quel momento
    > assegnato.

    In oltre c'è da considerare che adesso la maggior parte delle persone si connette ad Internet tramite un router e non direttamente con un modem.
  • è l'ultima

    non hai idea di quanti impiegati sottopagati e residenti in Paesi del terzo mondo ci sono dietro ai bei servizi di google, yahoo, ms, amazon e compagnia

    i reati sul web dipende per un decimo o poco più all'uso di sniffer, keylogger e spyware vari, il resto è fatto tramite impiegati delle stesse società coinvolte

    per esempio su alcuni forum vendono un servizio per recuperare la data di nascita dei possessori di carte di credito, ovviamente carte da svuotare

    è ovvio che solo qualcuno che ha accesso ai db di visa e mastercard può avere simili informazioni

    oppure c'è gente che offre il servizio di cambio del numero telefonico dei conti online, cosa che puoi fare solo dall'interno senza causare l'intervento della banca stessa

    è chiaro che tutte queste operazioni vengono fatte dall'interno e non dall'esterno come molti vorrebbero far credere
  • - Scritto da: pabloski
    > è l'ultima

    Io ho i miei dubbi.

    > non hai idea di quanti impiegati sottopagati e
    > residenti in Paesi del terzo mondo ci sono dietro
    > ai bei servizi di google, yahoo, ms, amazon e
    > compagnia

    Tanti, ma ti faccio qualche domanda:
    Hai mai gestito un server?
    Sai come funziona?
    Pensi che esista il file /etc/password con la lista di tutti gli username e le password in chiaro?
    Hai fatto caso che se perdi la password della tua email non ti viene rispedita, ma te ne viene fornita una nuova?


    > i reati sul web dipende per un decimo o poco più
    > all'uso di sniffer, keylogger e spyware vari,

    Questo può essere vero.
    Gli sniffer si usano principalmente nelle LAN, i programmi "sospetti" contenenti spyware sono diminuiti grazie alla diffusione del software opensource ed i keylogger sono da sfigati Sorride

    > il
    > resto è fatto tramite impiegati delle stesse
    > società coinvolte

    Credo che al momento il 90% degli attacchi sia di tipo DOS, sql injection & co.
    Chissà allora a cosa servono le botnet... forse per archiviare tutte queste fantomatiche giga di password e numeri di carte di credito.

    > per esempio su alcuni forum vendono un servizio
    > per recuperare la data di nascita dei possessori
    > di carte di credito, ovviamente carte da
    > svuotare

    Come se ti servisse a qualcosa la data di nascita del proprietario...

    > è ovvio che solo qualcuno che ha accesso ai db di
    > visa e mastercard può avere simili
    > informazioni

    Allora perché rivenderle e non usarle direttamente?
    Sono tutti scemi?

    > è chiaro che tutte queste operazioni vengono
    > fatte dall'interno e non dall'esterno come molti
    > vorrebbero far credere

    La cospirazione dei colletti bianchi sottopagati...


    Chiunque (con il giusto know how) abbia accesso fisico ad una macchina può prendere tutte le password che vuole. I keylogger sono un modo, ma ce ne sono anche altri.
  • preso da yourhackerz:

    "We now do Facebook hacking!

    We are now able to hack Facebook passwords. If you have a request please email us at yourhackers(at)hotmail.co.uk. Put Facebook in subject line. We Charge 200USD for this service."

    Come dire: adesso abbiamo anche admins che lavorano in facebook che possono darci le passwords... Più che acari mi sembrano scarafaggi A bocca aperta
    non+autenticato
  • - Scritto da: Nome e cognome

    > Come dire: adesso abbiamo anche admins che
    > lavorano in facebook che possono darci le
    > passwords...

    Ovviamente non posso pretendere di sapere esattamente in che modo "lavorino" loro, ma so che in passato simili crew di cracker hanno agito diversamente.
    Per prima cosa tentano di entrare tramite bruteforce e/o social engeneering nell'email di qualche amministratore del server in questione. Ottenuto ciò fingono di essere il vero sysadmin e si procurano le password che gli interessano.

    Per ogni sysadmin che si è accorto di questo scherzetto ce ne sono migliaia che non se ne accorgeranno mai.

    Ecco perché si dovrebbero usare password sicure (almeno 12 caratteri alfanumerici con maiuscole e minuscole) e solo da connessioni SICURE.
    C'è gente che ancora scarica la posta col pop3, magari da una rete wifi lasciata aperta da qualcuno più furbo di lui.