Come rubare una identità senza nemmeno sapere come ti chiami, o quasi

Il 26 Giugno di quest'anno 2016, Aaron Thompson, un ventitreenne di Pontiac, Michigan si accorge che non può più accedere al suo account Facebook e che la mail e il numero di telefono a questo associati sono stati cambiati.

Verificando la propria posta elettronica, ha scoperto immediatamente il motivo: un estraneo, spacciandosi per lui, ha scritto alla assistenza clienti di FB chiedendo di disattivare l'autenticazione a due fattori (che verifica l'accesso da terminali diversi da quelli già approvati) e il code generator: “Hi. I don’t have anymore access on my mobile phone number. Kindly turn off code generator and login approval from my account. Thanks.” 

La richiesta non proveniva, ovviamente, dalla mail di Aaron Thompson.

FB risponde prontamente, chiedendo la copia di un documento di identità che provi che lo scrivente sia veramente quello che dice di essere; la copia del documento (il passaporto) viene subito spedita e FB sblocca l'account, consentendo all'intruso di prenderne il controllo.

Peccato che il passaporto inviato in immagine riporti solo il nome corretto, mentre tutti gli altri dati nemmeno corrispondono.

In sostanza, FB ha consentito ad un terzo di assumere il controllo di un profilo senza altro elemento che il nome del titolare.

La vicenda è raccontata dallo stesso Thompson su Redditt - e senza quel racconto FB non avrebbe nemmeno corretto il proprio errore, a quanto si scrive. FB si scusa allegando trattarsi di un errore unmano, non avendo rispettato le ordinarie prassi di sicurezza.

Come ebbi più volte a dire, i social network are in it for the money, e così tutti gli interessati malevoli: Thompson ha una serie di pagine commerciali, altamente spendibili, quantomeno per i milioni di like che queste hanno.

Sul tema ricordo il volume di Bruce Schneier, Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World, reperibile in Italia da Amazon. 

 

Ricordo, inoltre, un vecchio post, sulla inopportunità di lasciare in giro copie dei propri documenti di identità ... Identificazione della Clientela e Furto di Identità.

Wiretapping, Italian Style

Due conti sulle statistiche delle intercettazioni telefoniche in Italia, a confronto con i dati del precedente post su quanto avviene negli Stati Uniti d'America.

Secondo il Ministero della Giustizia, nel 2009 in Italia sono stati intercettati 132.384 bersagli (leggi: numeri telefonici), con un costo medio, per bersaglio, di 1.565 euro.

Confrontiamo questi numeri con quelli forniti dagli americani, facendo però una piccola opera di armonizzazione dei numeri; vediamo, cioè, se stiamo parlando delle stesse cose.

Gli americani parlano di 2.376 attività di intercettazione autorizzate, di cui 1.764 effettivamente implementate.

Ogni attività di intercettazione autorizzata, ha interessato in media 113 persone; avremmo quindi un totale di 199.332 persone coinvolte. Le intercettazioni incriminanti sono state, secondo il rapporto, 1.213.632.

Ora, i bersagli americani sarebbero un po' meno di quelli italiani, perché su ogni telefono intercettato parlano più interlocutori: l'intercettato di cui al relativo RIT, e i telefoni che lo chiamano o sono da questo chiamati.

Ma, ancora una volta, non stiamo parlando della stessa cosa. In Italia, il Giudice deve autorizzare qualsiasi tipo di intercettazione, mentre negli USA non è necessaria autorizzazione se uno dei telefoni coinvolti viene autorizzato da chi ne ha la disponibilità.

Esempio, brutale: nel corso di una rapina, violenta, viene sottratto un cellulare, e per identificare i criminali si "mette il telefono sotto controllo". Negli USA questa intercettazione (sul numero, la SIM, e/o sull'apparecchio, l'IMEI) viene fatto senza autorizzazione del Giudice, in Italia invece sì (anche se vi è più d'uno che contesta la necessità di questo passaggio). Ancora, un commerciante che denuncia un estorsore, una vittima di stalking. La vittima autorizza e si procede, qui no, ci vuole il Giudice.

Di questo tipo di intercettazione ne è piena la cronaca recente.

Abbiamo quindi una considerevole quota di autorizzazioni in meno da considerare, perché nei dati delle Corti Federali questi numeri non sono compresi, mentre sono compresi nei numeri del Ministero della Giustizia /che non mi fornisce il numero di inchieste, il numero di telefoni riconducibili allo stesso individuo, e tutta una lunga serie di numeri).

Negli USA sono escluse da autorizzazione una lunga serie di attività di monitoraggio, ovvero le attività relative alla sicurezza nazionale: qui contiamo tutte le intercettazioni dell'antiterrorismo.

Il conto torna, non siamo una anomalia. 

Servizi in linea con i bisogni di mercato ?

In data 15 Dicembre 2009, il Responsabile Commerciale (entità priva di nome e cognome) per il Mercato Privati di Poste Italiane SpA, ha fatto trovare ai titolari di caselle postali, una poco piacevole letterina.

L'anonimo Responsabile comunica che Poste Italiane, ha effettuato una rivisitazione del servizio "Caselle Postali", con l'obiettivo di offrire servizi in linea con i bisogni del mercato.

La valorizzazione della fruibilità del Servizio si sintetizza in un prezzo più che triplicato del canone annuo, che passa (rispettivamente, secondo dimensione della casella) da 35, 42 e 50 Euro a 100, 150 e 200 Euro.

In cambio di cosa? Della possibilità di estendere l'utilizzo della Casella Postale fino a due familiari, e la possibilità di immissione di Fax in Casella Postale, attraverso il numero messo a disposizione dall'Ufficio Postale.

Familiari in una casella intestata ad una azienda o ad un professionista? Fax in casella? E questo sarebbe un servizio in linea con i bisogni di mercato ?

Mi domando se il Signor Responsabile Commerciale abbia una seppur pallida idea di cosa significhi quel che sottoscrive.

Due considerazioni, e due conti. 

La casella postale sarebbe un utilissimo strumento per  le piccole aziende, in quanto consente di avere un luogo ove ricevere la propria corrispondenza (non solo lettere e bollette, ma anche pacchi, postacelere e quant'altro), senza essere costretto a mantenere un luogo presidiato per l'incombenza. Poste Italiane, di converso, guadagna (e non poco) dal fatto che per ogni dieci caselle aperte c'è un postino in meno che gira per la città.

Della estensione ai familiari, abbiamo già detto. 

Per il servizio fax, il Signor Responsabile Commerciale dovrebbe farsi un giro in Internet, e controllare quali e quanti servizi fax esistono. Ad un costo intorno ai cinquanta euro l'anno, si acquista un numero di fax esclusivo, gestibile direttamente per posta elettronica, e che non passa sotto gli occhi di un intero ufficio postale, alla faccia di privacy e riservatezza; inoltre, tali servizi forniscono esplicitamente o implicitamente il valore aggiunto della certificazione del fax ricevuto o inviato, poiché viene generato un file pdf, a richiesta con firma digitale, che fissa nel tempo data e ora della trasmissione ed il suo contenuto. Vedi ad esempio, popfax (se indicate il codice 6228 9950 7005 7402 vi fanno il 20% di sconto sulla tariffa).

L'opzione fax è pertanto, assolutamente fuori mercato.

Nulla si dice circa la qualità del servizio, però.

Nella mia casella, la posta arriva una volta a settimana, o anche meno, tutta insieme.

La ricezione della postacelere e dei pacchicelere, sopratutto se in contrassegno, viene lasciata al buon cuore degli addetti al recapito e degli addetti all'ufficio. Per il contrassegno, anzi, spesso il plico non solo non viene lasciato in casella ma non viene nemmeno lasciato l'avviso di giacenza presso altro ufficio (alla faccia del rispetto dei contratti di servizio sottoscritti).

Un elementare servizio, in uso fino a qualche anno fa, quale l'impostazione diretta in casella degli invii consegnati presso lo stesso ufficio dove è ubicata la casella, non è più consentito. Invece di percorrere i sei-sette metri tra lo sportello e la casella, una raccomandata viene inviata al CMP di competenza (che è sempre in un'altra città, Roma-Fiumicino, Milano-Roserio, ecc.) , e poi effettua tutta la trafila per ritornare allo stesso ufficio in cui è stata impostata. A quanto pare, il Responsabile Commerciale non ha cognizione di una esoterica disciplina nota come Gestione dei Costi di Impresa.

I plichi che passano "dogana" lecitamente o illecitamente (visto che negli ultimi tempi qualsiasi cosa viene bloccata in dogana, anche se trattasi di materiale esente da tributi e balzelli) non viene consegnato in casella, sempre per la questione dell'incasso degli eventuali (e spesso più che arbitrari: libri e riviste passate con l'IVA al 20% !) importi a carico del destinatario.

E ancora, in casella non si possono ricevere corrispondenze recapitate tramite entità diverse da Poste Italiane, alla faccia della libertà di impresa e di concorrenza. Tra queste, le lettere affidate ad un qualsiasi correre privato, ovverosia i tre quarti delle fatture e delle comunicazioni bancarie. Dobbiamo pagare anche per l'abuso di posizione dominante di Poste Italiane.

Interessante come ci chiamino Clienti, quando si tratta di incassare, e Utenti quando si tratta di giustificare disservizi e incapacità imprenditoriale, e non solo con Poste Italiane.

Offrire servizi in linea con i bisogni del mercato è cosa ben diversa. Dopo il cloud computing il cloud management ?...

Privacy e ricerca dei documenti presso uffici privati

Il (cosiddetto) Codice della Privacy, le Linee Guida per Periti e Consulenti emanate dal Garante per la Tutela dei dati Personali e le Leggi che regolano l'espletamento della Perizia e della Consulenza Tecnica già lo prevedevano molto chiaramente, ma una Sentenza di Cassazione è sempre utile, e non tanto per chiarire legittime perplessità, quanto per tacitare gli abusi burocratici e di diritto.
La Sentenza numero 15327/2009 del 30 Giugno 2009, pronunciata dalla Sezione Lavoro della Suprema Corte di Cassazione (Presidente Dott. Guido Vidiri) ribadisce un principio che doveva essere più che chiaro; semmai, i dubbi sulle modalità di accesso a documenti conservati presso uffici privati (ad esempio, società presso cui si lavora, enti di gestione quali il condominio di residenza, eccetera) non sono del tutto esplicitati e risolti.
Nell'ordine.
Il Tribunale di Milano, nel lontano 2003, rigettava la domanda del ricorrente contro la società presso cui lavorava, diretta ad ottenere il risarcimento del danno derivatogli dall'avere, il datore di lavoro, messo a disposizione di terzi documenti con la sua sottoscrizione o da lui scritti a mano, al fine di rendere possibile una perizia grafica volta ad accertare se egli fosse o meno l'autore di scritti ingiuriosi anonimi inviati ad alcuni colleghi.

Il fatto, importantissimo ai nostri fini, come si legge nel dispositivo della sentenza, è che la richiesta motivata dei documenti, in quanto "scritture comparative" è stata fatta ed ottenuta dalla parte offesa, e non dalla Autorità Giudiziaria, per poter far eseguire una Consulenza Grafica con la quale giustificare una eventuale Denuncia.
Incidentalmente, il processo che ne è seguito si è risolto con la assoluzione dell'imputato (poi ricorrente nel giudizio civile contro l'azienda).

Il Tribunale di Milano, e ora la Suprema Corte hanno sottolineato che in questi casi non si parla di privacy (ormai divenuta il lucchetto con cui negare ogni e qualsiasi accesso ad ogni e qualsiasi documento, sia presso la P.A. che presso qualsiasi altro soggetto), giacché prevale la necessità di indagine, ad impedire che fatti criminosi di qualsiasi genere vengano premiati con l'impunità per abuso di diritto, ed in margine hanno osservato come i documenti in fattispecie non contenevano dati personali come definiti dalla Legge, nè il loro trattamento (sic) ai fini della Consulenza Grafica (di parte!) rientra tra quelli per i quali è previsto il consenso dell'interessato.

Alcuni problemi procedurali, però. restano.
È possibile, sì, richiedere scritture di comparazione anche a uffici privati, e senza il consenso dell'interessato, ed è possibile che la richiesta venga fatta anche dalla parte offesa. Il rifiuto da parte dell'ufficio però non è sanzionato, poiché non esiste l'obbligo da prte di questo a fornire i documenti a soggetti diversi dalla Autorità Giudiziaria.
Inoltre, esistono documenti che possono essere integralmente o parzialmente negati, in quanto contengono dati definiti sensibili secondo Legge. E una volta acquisiti, il Consulente (della parte) dovrà attenersi con il massimo (e documentato) scrupolo alla difesa dei dati sensibili che risultino ultronei rispetto all'oggetto di indagine. La firma in calce ad un certificato medico potrà cioè essere acquisita, ma il contenuto del certificato dovrà essere mantenuto segreto ed offuscato in ogni documentazione prodotta dal Consulente.
L'offuscamento dei dati estranei all'indagine vale anche per il CTPM ed i Periti del Giudice, me viene tutt'ora largamente disatteso e assolutamente non sanzionato come, invece, la Legge prevede chiaramente.

Identificazione della Clientela e Furto di Identità

È prassi generallizzata la conservazione da parte di terzi delle fotoriproduzioni [*] dei documenti di identità esibiti per ottenere alcuni atti o servizi.
Per attivare una SIM telefonica, per effettuare alcune operazioni finanziarie, per l'attivazione di utenze, financo per il ritiro della corrispondenza alla firma viene richiesta la fotoriproduzione di un documento di identità, che viene conservata da chi fornisce il servizio richiesto.
Il Garante per la Protezione dei Dati Personali ha da tempo prescritto, con più che particolare attenzione agli Uffici Postali ed agli istituti di credito, norme specifiche per l'identificazione della clientela secondo le prescrizioni di Legge. Queste sono riportate nel documento del 27 Ottobre 2005, numero 1189435:

Quando identificare e fotocopiare i documenti di riconoscimento dei clienti - 27 ottobre 2005

Publish at Scribd

La fotoriproduzione dei documenti di identità è quindi lecita qualora sussistano i presupposti di liceità, pertinenza e non eccedenza. Tra l'altro, aggiungo, si dovrebbe chiaramente e compiutamente informare il cliente circa uso e modalità di conservazione delle copie fotostatiche dei suoi documenti personali, cosa che avviene pressoché mai.

Ora, le fotoriproduzioni dei documenti sono eseguite tal quali, senza alcun riferimento al momento ed allo scopo dell'acquisizione degli stessi.
L'assenza di tali dati impedisce, di fatto, ogni e qualsiasi controllo sulla eccedenza, la liceità e la pertinenza dell'acquisizione. Non è, cioè, possibile collegare univocamente quella determinata acquisizione alla particolare operazione richiesta; l'esistenza della fotoriproduzione di un documento di identità non è sufficiente a provare la presenza (e la volontà) dell'interessato.
È nella ordinaria prassi professionale vedersi consegnare, ai fini di perizia o consulenza, documenti da verificare cui sono allegate fotoriproduzioni di documenti di identità: la disponibilità della fotoriproduzione di un documento di identità, priva di riferimenti sul dove, quando e perché è stata ottenuta, è uno strumento di eccezionale redditività criminale.
Con la fotoriproduzione di un documento di identità è possibile, con enorme facilità, ottenere "di tutto", dalle operazioni finanziarie illecite all'ottenimento di beni e servizi utilizzando l'altrui identità, fino al completo furto dell'identità dell'interessato, ottenendo duplicati reali dei documenti fotoriprodotti.

Eppure, una difesa tanto elementare quanto efficace è l'apposizione "robusta" sulla fotoriproduzione in oggetto dei dati prima citati: dove, quando e perché il tal documento è stato fotoriprodotto, ad esempio scrivendoli sopra l'immagine del documento.
"Copia eseguita il tal giorno, in tal luogo, per ottenere il tal servizio; firma dell'interessato".

Praticamente, così:

Questo semplicissimo atto fissa le condizioni di eccedenza, liceità e pertinenza prescritti dalla Legge, ed ostacola il riutilizzo fraudolento della copia.

Inoltre, ai fini della perizia grafica e documentale, quando tali dati siano stati fatti manoscrivere dall'interessato sulla copia da conservare agli atti, forniscono una scrittura di eccezionale valore probatorio sia ai fini dell'accertamento dell'autenticità che della falsità degli atti posti in verifica.

Infine, questo semplice accorgimento non protegge solo il titolare del documento di identità fotoriprodotto, ma anche l'istituto che ne acquisisce (in forma lecita e regolamentare) la copia perché, come visto, si rende molto più difficile un disconoscimento di comodo.

[*] Fotoriproduzione, in quanto l'acquisizione dell'immagine del documento non viene effettuata solamente per focopiatura, su carta, ma anche per acquisizione della sola immagine (che tra le altre cose facilità l'eventuale elaborazione fraudolenta dell'immagine).

Il Decreto Legge 23 Febbraio 2009, n° 11

Decreto Legge 23 Febbraio 2009 n. 11, Misure urgenti in materia di sicurezza pubblica e di contrasto alla...

Publish at Scribd or explore others: Other Business & Legal

Linee guida in materia di trattamento di dati personali da parte dei consulenti tecnici e dei periti ausiliari del giudice e del pubblico ministero

Questo è il testo delle "linee guida" pubblicate dal Garante per la privacy lo scorso Luglio.


Linee Guida in Materia di Trattamento di Dati Personali da parte dei Consulenti Tecnici e dei Periti Ausili...

Get your own at Scribd or explore others: Law Case Law privacy autorità giudiziaria