Questo blog e' libero dal NOFOLLOW!

Ancora sul caso Poste.it

mercoledì 14 ottobre 2009 scritto da Luigi Vinci Letto 2.042 volte lascia un commento »

Qualche giorno fa anche io ho riportato la notizia del defacemente del sito www.poste.it. Ebbene, pare ci siano degli sviluppi

Poste italiane sapeva

Link sponsorizzato

Sul sito towerlight2002.net c’è un interessantissimo articolo che svela i precedenti di questo attacco.

In pratica qualcuno aveva individuato una vulnerabilità in una pagina di poste italiane, la pagina se non ho capito male era quella della rassegna stampa che tutt’ora non risulta raggiungibile.

La vulnerabilità era stata segnalata ma è rimasta tale fino al giorno del defacciamento del sito poste.it

Intanto è bene ricordare una cosa

Fonte wikipedia
In Italia il defacing si traduce in tre tipi di reato grave previsti dal Codice Penale, quelli di accesso abusivo ad un sistema informatico e di diffamazione:

* Art. 615 Ter (Accesso abusivo ad un sistema telematico o informatico): “Chiunque abusivamente si introduca in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantenga contro la volontà espressa o tacita di chi ha il diritto di escluderlo è punito con la pena della reclusione fino a tre anni.”

* Art 635 bis (Danneggiamento di sistemi informatici e telematici): Chiunque distrugge, deteriora o rende, in tutto o in parte, inservibili sistemi informatici o telematici altrui, ovvero programmi, informazioni o dati altrui, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni.

Se ricorre una o più delle circostanze di cui al secondo comma dell’articolo 635, ovvero se il fatto è commesso con abuso della qualità di operatore del sistema, la pena è della reclusione da uno a quattro anni”.

* Art. 595 (Diffamazione) : Chiunque comunicando con più persone, offende l‘altrui reputazione, è punito con la reclusione fino ad un anno o con la multa sino a lire due milioni (circa 1032 €).

Se l’offesa consiste nell’attribuzione di un fatto determinato, la pena è della reclusione fino a due anni, ovvero della multa fino a lire quattro milioni (circa 2065 €).

Se l’offesa è arrecata col mezzo della stampa, o con qualsiasi altro mezzo di pubblicità, ovvero in atto pubblico, la pena è della reclusione da sei mesi a tre anni o della multa non inferiore a lire un milione (circa 516 €).”

Chiarito questo, dovrebbe essere altrettanto grave ricevere un avviso dove ti dicono che hai un grave problema sul tuo server e decidere di ignorarlo mettendo potenzialmente a rischio i dati di milioni di persone.

Poste Italiane aveva subito dichiarato:

Ripristinata l’home page del sito dopo l’attacco di defacement. Mai stati in pericolo i dati dei correntisti

Un attacco solo superficiale che non ha intaccato minimamente i server con i dati personali degli utenti”: è quanto emerge dall’analisi dell’azione di defacement messa in atto sabato sera intorno alle 20 da alcuni hacker che si firmano Mr Hipo e StutM.
Il defacement è un’azione dimostrativa abbastanza comune, che consiste nello sfregiare un sito. In questo caso l’home page di www.poste.it è stata sostituita dai pirati informatici con una pagina dove campeggiava la parola HACKED accompagnata da una nota in cui gli hacker spiegavano che si trattava di un’azione dimostrativa.
Grazie al potente sistema di controlli che garantisce 24 ore su 24 la sicurezza informatica di Poste Italiane, le squadre di ingegneri delle control room sono intervenute in pochi minuti rafforzando i controlli di sicurezza sull’intero sito e mettendosi ­ insieme alla polizia postale ­ sulle tracce dei pirati informatici. “È solo un ‘defacement’ che riguarda il sito informativo di Poste.it. Non sono stati violati i server con i dati personali degli utenti, che quindi non sono mai stati in pericolo” afferma Gerardo Costabile, responsabile Sicurezza Logica, Poste Italiane. E aggiunge: “I defacement comunque sono un fenomeno abbastanza fisiologico su internet. Negli anni si contano azioni simili contro siti di varie levature, anche istituzionali

Non vorrei essere nei panni dei tanti ingegneri che occupavano le control room e nemmeno in quelli del responsabile del potente sistema di controlli che garantisce 24 ore su 24 la sicurezza informatica di Poste Italiane.

I dubbi per ora rimangono:

Si è trattato veramente di un “semplice” attacco superficiale?
Se chi ha effettuato l’attacco avesse avuto una moralità di basso livello fin dove si sarebbe potuto spingere?
Come mai, nonostante un sistema garantisce 24 ore su 24 la sicurezza informatica di Poste Italiane, la segnalazione del defacciamento del sito è stato scoperto grazie alla denuncia di un privato cittadino?
Domande che rimarranno probabilmente senza risposta ;)

Spazio vuoto, lo vuoi tu? Contattami ;)
  • http://www.google.com/profiles/nexsolost Nexso

    Allora devo lasciar perdere l’idea del postapay?

    • http://www.luviweb.it admin

      Eh no :) non chiedermi un parere di questo tipo.
      Io ho abbandonato anni fa la post pay quando ci misero 35 giorni per resettarmi una password :-|