La foto in copertina è di Michal Bar Haim ed è disponibile su Unsplash
Michal Bar Haim
Ieri è stata veramente una giornata difficile per l’INPS e ne scrivevo qui:
Oggi la mia gioranta viene allietata da un recruiter italiano che mi propone un’attività di project manager junior. Io gli dico che non sono interessato ma che vorrei capere come mai valuta il mio profilo come junior.
Dovete sapere che sono profondamente molto critico con me stesso e tendo a sminuirmi parecchio. Penso siano tutti più bravi di me, salvo poi ricredermi dopo poco. Penso quindi di aver scritto qualcosa nel mio background o nel mio profilo LinkedIN, che tra l’altro potete vedere qui, che possa far pensare che io sia un junior.
La motivazione arriva dopo poco, ed apprezzo molto in realtà che sia stato onesto con me:
No, solamente che il Security manager lo fai da poco più di un anno, per questo abbiamo valutato il profilo junior
Quindi, 19 anni di carriera con conferenze a cui ho partecipato, software opensource che ho scritto, certificazioni che ho preso, shell che ho fatto comparire da applicazioni web e tanti # e SYSTEM conquistati, non contano nulla perché io sono junior perché sono Security Manager da poco più di un anno.
Da una parte un ragionamento potrebbe filare per un lavoro che non c’entra nulla con il mio, che ne so… un sales specialist, un contabile o altro. Rimanendo nel mio campo, è veramente curioso essere valutato come junior.
Io e il mio essere Security Manager
Mi sembra doveroso quindi scrivere due cose su di me. Da poco più di un anno sono Security Manager, è vero. Tuttavia sto conducendo questo ruolo in maniera diversa da quello che ho visto fare in 19 anni di esperienza.
Ho sempre visto il security manager impegnato in riunioni, agnostico sulla tecnologia, spesso attorniato da squadre di consulenti da mandare in altre riunioni ancora più noiose.
Pochissimo contenuto tecnologico, la maggior parte del quale è demandata ai consulenti. Un lavoro di puro coordinamento.
Intendiamoci, questo non è male. Se sei un buon leader ci può anche stare che lasci spaccare il bit agli altri e tu stai al timone con qualcuno che ti dice di quanti gradi girare.
Non fa per me.
Io nel mio piccolo cerco sempre di demandare, in modo da permettere al mio team di crescere ma voglio essere protagonista di qualche attività tecnica. Se gestisco un dominio, io devo saperlo padroneggiare. Il timone non solo devo tenerlo in mano, ma sapere anche di quanto girarlo.
Ho proprio consegnato oggi un report di un security assessment fatto da me ed ho appena installato una componente del tool di vulnerability management aziendale.
Avere una voce in capitolo e fare in prima persona anche attività che portano ad un deliverable (che può essere tecnologico o meno, come ad esempio una linea guida di hardening), mi fa sentire attivo nella mia parte di leader.
Questo sono io e questa cosa non la faccio da 1 anno e su questa cosa, mi spiace, ma non sono proprio un junior.
nota: prima di andare live, quest’ultima parte è stata letta ed approvata dal team
Enjoy it!
Codice Insicuro, blog di Cyber Security, sviluppo sicuro, code review e altro.
I Silent Librarian (Bibliotecari Dormienti, TA407) sono una banda di cybercriminali iraniani specializzata in furti di informazioni ai danni di università e aziende private: libri, documenti, brevetti.
Ovviamente su di loro pendono mandati di cattura internazionali e la FBI li ha inseriti in una lista etichettandoli come altamente pericolosi.
Questa band, negli anni, è diventata esperta nel furto di identità digitali e intrusioni in sistemi informatici, dai quali hanno sottratto dati per un valore complessivo di oltre 3 miliardi di euro (dal 2013 al 2017).
Il mercato è appunto quello della proprietà intellettuale, fatto di competenze ed invenzioni provenienti da centri di ricerca, università ed aziende (spionaggio industriale).
Nove di questi sono stati individuati ed identificati dai servizi segreti statunitensi ad inizio del 2018 per aver rubato più di 31 terabyte di informazioni accademiche, conducendo campagne contro almeno 144 università statunitensi e altre 176 in 21 nazioni diversi.
Tra le altre vittime, anche 5 agenzie federali e statali statunitensi, 36 compagnie private americane, 11 società non americane e 2 organizzazioni non governative internazionali.
Ma quali sarebbero le tecniche utilizzate dai Silent Librarian? Principalmente attacchi phishing (anche per mail con oggetti del tipo: “Renewal of loaned items”, “Renew your loaned items”, “Renewal of materials”, “Overdue notice on loaned items”, and “Library Services”), in cui inducono l’utente a inserire le proprie credenziali su pagine clone di quelle delle istituzioni bersaglio, come dimostra una ricerca condotta dalla società di cyber security Proofpoint.
In seguito procedono a compromettere il sistema informatico attaccato, sostituendosi a loro nell’accesso al materiale riservato (per saperne di più: Threat Actor Profile: TA407, The Silent Librarian).
In un recente rapporto pubblicato dal Centro statunitense per il controspionaggio e la sicurezza, l’Iran è indicato come una “realtà emergente”, che permette a Teheran di sviluppare tecnologie avanzate per accelerare la propria crescita interna, modernizzare l’esercito e aumentare le esportazioni.
Pare però che anche l’Iran sia da anni attaccata dallo spionaggio americano (in particolare dalla CIA).
La prima generazione di Amazon Echo aveva dei punti deboli, consentendo ai pirati informatici di impossessarsi dei dati e prendere il controllo del device. Gli assistenti virtuali possono essere vulnerabili, con il rischio di intrusioni di hacker nei dispositivi domestici. Lo hanno scoperto i ricercatori di Eset, società slovacca tra i top player mondiali nella cyber security. E hanno rivelato che la prima generazione di Amazon Echo (lanciata nel 2015) aveva dei punti deboli, consentendo ai pirati informatici di impossessarsi dei dati e prendere il controllo del device. I timori su questo tipo di incursioni erano già emersi in passato, ma adesso gli specialisti di Eset sono riusciti a individuare il tallone d’Achille di Echo. E a novembre pubblicheranno un rapporto sugli altri «smart home hub» per mostrare le vulnerabilità che hanno scovato. Perchè questi home assistant, secondo gli esperti di sicurezza cibernetica, per le loro caratteristiche continueranno a essere bersagli privilegiati degli attacchi hacker. Al «Global press event 2019» organizzato a Bratislava, la società slovacca ha messo in evidenza i risultati di questa attività investigativa su alcuni oggetti simbolo dell’Internet of Things (IoT). C’è un tipo di videocamera usata in diversi dispositivi, la D-link Camera 2132L, che presenta «molteplici vulnerabilità». E così un hacker può intercettare il flusso di immagini raccolte prima che vengano criptate, appropriandosi di quei video all’insaputa dell’utente. La «patch» di Amazon Le indagini di Eset, hanno spiegato i due ricercatori Robert Lipovsky e Stefan Svorencik, si sono allargate quindi ai dispositivi come Amazon Echo, conosciuto anche con il nome della sua assistente vocale Alexa. Hanno scoperto che c’era la possibilità di penetrare nello scambio di dati tra il device e il router wifi presente in casa. Un hacker, per esempio, avrebbe potuto avere accesso ai comandi vocali usati magari per aprire la porta dell’abitazione. Questa falla pericolosa è stata subito segnalata al colosso di Seattle a ottobre del 2018, una vulnerabilità che interessava anche il Kindle 8. Riconosciuto il problema, a gennaio del 2019 Amazon è corsa ai ripari con una «patch» che ha messo al sicuro gli Echo di prima generazione. Ma per difendere gli home assistant, avvertono i ricercatori di Eset, bisognerà stare sempre in guardia. Perchè sono strumenti sempre connessi a internet, hanno dei punti deboli che possono essere sfruttati dai «pirati» e non hanno grandi difese rispetto ai malware. Per gli utenti, invece, le raccomandazioni di base restano quelle di scegliere password più complesse e ricordarsi di disattivare i device quando non vengono più usati. https://www.diariodelweb.it/innovazione/articolo/?nid=20191018-543868
L’articolo Gli assistenti virtuali sono «vulnerabili»: rischio intrusioni hacker nei dispositivi domestici proviene da .
Il phishing e lo smishing sono i due tentativi di frode online maggiormente utilizzati dai cyber-criminali per rubare dati e denaro agli utenti. Ecco di cosa si tratta e come evitare di essere truffati. Il phishing e lo smishing costituiscono i due tentativi di frode più sfruttati dai cyber-criminali al fine di ottenere dati e denaro di numerosi utenti. Nonostante le differenti denominazioni, in realtà, si tratta della stessa tecnica, infatti l’unico fattore che li distingue e il mezzo utilizzato dagli hacker per diffondere la truffa. Nel primo caso, il messaggio fraudolento arriva tramite email false contenenti file da scaricare o link da utilizzare per seguire i passaggi indicati dai malfattori. Nel secondo caso, invece, si presenta tramite SMS. Truffe online: cosa sono il phishing e lo smishing e come affrontarli senza perdere dati e denaro! Come già detto le due truffe seguono la stessa strategia e variano soltanto per lo strumento tramite il quale arrivano agli utenti. In entrambi i casi, dunque, i malfattori si nascondono dietro un falso mittente, solitamente nomi di aziende o istituti bancari, e diffondono una comunicazione fittizia. In molti casi i vari utenti ricevono messaggi circa insoliti problemi riguardanti le loro carte di credito o l’improvvisa notizia di aver ricevuto un premio totalmente inaspettato. Leggi anche: Conti Correnti a rischio: circolano SMS che possono prelevare i risparmi Questi messaggi contengono al loro interno dei file o dei link e l’invito ad utilizzarli per procedere con dei passaggi ritenuti necessari al fine di sbloccare la propria carta di credito o riscuotere l’iPhone ricevuto. In realtà proprio evitando di cliccare sui link e i file suggeriti si eviterà la truffa. I malfattori utilizzano questi strumenti per richiedere di inserire i propri dati in pagine in grado di trafugarli e utilizzarli illecitamente; o per danneggiare i dispositivi e carpire le informazioni sensibili lì presenti. Quindi, non offrendo loro la possibilità di raggiungere lo scopo desiderato si avrà l’opportunità di sfuggire ad un inganno che, se sottovaluto, potrebbe costare caro. In sostanza, al fine di affrontare truffe online come il phishing e lo smishing, è sufficiente leggere attentamente il messaggio ricevuto ed eliminarlo senza cliccare su alcun file o link e senza fornire dati personali. https://www.tecnoandroid.it/2019/09/30/truffe-phishing-e-smishing-599322
L’articolo Truffe via email ed SMS: cosa sono il phishing e lo smishing e come evitarli proviene da .