Bitdefender pubblica oggi una ricerca sulle vulnerabilità delle telecamere di sorveglianza EZVIZ, invitando gli utenti ad applicare le patch disponibili e ad aggiornare immediatamente il software e controllare il sito web ufficiale del produttore per qualsiasi novità relativa alla sicurezza delle telecamere EZVIZ.

La ricerca conferma che gli hacker, sfruttando diverse vulnerabilità, hanno potuto compromettere completamente le telecamere, accedendo al feed della telecamera stessa, rubando le immagini, iniettando codice dannoso e recuperando le password memorizzate. Si stima che siano stati colpiti oltre 10 milioni di dispositivi.

Bitdefender ha lavorato a stretto contatto con EZVIZ in tutte le fasi della divulgazione della vulnerabilità.

I risultati principali:

• La vulnerabilità Stack-Based Buffer Overflow può portare all’esecuzione di codice remoto durante la procedura di rilevamento del movimento. (Remoto)
• La vulnerabilità Insecure Direct Object Reference in più endpoint API consente a un hacker di recuperare immagini e impartire comandi per conto del reale proprietario della telecamera. (Remoto)
• La vulnerabilità Storing Passwords nel formato Recoverable (in [3}/api/device/query/encryptkey) consente a un hacker di recuperare la chiave di crittografia delle immagini. (Remoto)
• La vulnerabilità Improper Initialization permette a un hacker di recuperare la password di amministratore e di prendere il pieno possesso del dispositivo. (Locale)

Questa ricerca ha riguardato diversi modelli di telecamere EZVIZ che sono elencati all’interno del report disponibile qui.

Il diritto all’oblio, conosciuto anche come “Diritto ad essere dimenticati”, è una misura prevista dal GDPR, che conferisce alle persone il diritto di richiedere alle diverse organizzazioni, motori di ricerca o redazioni giornalistiche, di cancellare i propri dati personali o notizie di cronaca che li riguardano direttamente.

Le organizzazioni, tuttavia, non sempre sono costrette a riconoscerlo. In questa guida spiegheremo che cos’è il diritto all’oblio e quando possiamo pretendere la cancellazione delle informazioni che ci riguardano.

Che cos’è il diritto all’oblio?

Un tempo il diritto all’oblio, anche chiamato “Diritto ad essere dimenticati”, rappresentava un ideale che non conosceva una reale applicazione. Invece il GDPR, il regolamento generale sulla protezione dei dati approvato da tutti i paesi europei, nell’art. 17 afferma che l’interessato ha il diritto di ottenere dal titolare del trattamento dei dati la cancellazione delle informazioni personali che lo riguardano, senza ingiustificato ritardo, e il titolare del trattamento ha l’obbligo di cancellare tutti i dati personali qualora sussistano una serie di condizioni ben specifiche per le quali il diritto all’oblio può essere applicato. 

Da un lato il titolare del trattamento dei dati è costretto all’eliminazione, qualora sia dovuta, entro un mese, mentre colui che richiede la cancellazione dei propri dati o dei contenuti che lo riguardano deve dimostrare di essere realmente l’interessato e di avere il diritto alla cancellazione.

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Quando si applica il diritto all’oblio

L’art. 17 del GDPR delinea le circostanze specifiche che permettono di avvalersi del diritto all’oblio un individuo ha diritto alla cancellazione dei propri dati personali qualora:

–  I dati personali sono stati raccolti e trattati senza il consenso dell’interessato

–  I dati non sono più necessari per le finalità che hanno originariamente dato luogo alla raccolta degli stessi

–  Una organizzazione ha richiesto il consenso dell’individuo per raccogliere ed elaborare i tuoi dati e tale consenso viene ritirato

–  Un’organizzazione raccoglie ed elabora dei dati per degli interessi legittimi e a norma di legge, l’individuo si oppone a questo trattamento dei dati e non vi è alcun interesse prevalente per continuare il trattamento

–  Un’organizzazione tratta i dati personali per scopi di marketing diretto e la persona si oppone a tale trattamento

–  Un’organizzazione  ha raccolto ed elaborato dati personali illecitamente

Tuttavia, come spesso accade nella giurisprudenza, il diritto all’oblio viene bilanciato da altri diritti, come il diritto di cronaca, sancito dall’Art. 21 della Costituzione Italiana e il diritto ad informare il pubblico di un fatto che sia per loro utile è rilevante. In particolare:

–  La pubblicazione e il trattamento è lecito quando i dati sono stati utilizzati per esercitare il diritto alla libertà di informazione di espressione

–  I dati vengono utilizzati per adempiere ad una disposizione o ad un obbligo legale

–  I dati vengono raccolti ed utilizzati per svolgere un compito nell’interesse pubblico o nell’esercizio di pubblici poteri di una organizzazione

–  I dati sono necessari per scopi di salute pubblica o servono all’interesse pubblico

–  I dati rappresentano informazioni importanti che servono all’interesse pubblico, alla ricerca scientifica, alla ricerca storica o per fini statistici e la cui cancellazione potrebbe compromettere o arrestare il raggiungimento di un obiettivo di interesse pubblico

–  I dati vengono utilizzati per l’istituzione di una difesa legale o per l’esercizio di altri diritti legali

Come si applica il diritto all’oblio

Il diritto all’oblio, qualora sussistano le motivazioni per poterlo legalmente richiedere, funziona solamente se la richiesta è svolta seguendo una sequenza precisa. La richiesta del diritto all’oblio deve quindi essere riassunta in un modulo che deve essere strutturato come segue:

Dettagli della persona che richiede l’esercizio del diritto all’oblio

Per prima cosa, colui che chiede l’esercizio del diritto all’oblio deve fornire  i propri dati identificativi.

–  nome cognome

–  indirizzo di residenza

–  numero di telefono

–  indirizzo email valido

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Prova di identità dell’interessato

In secondo luogo, colui che richiede l’esercizio del diritto all’oblio deve fornire una prova della sua identità. 

–  Prova d’identità quale passaporto, patente con foto, carta d’identità o certificato di nascita

–  Prova di validità dell’indirizzo di residenza attraverso documenti come bolletta, estratto conto o estratto conto della carta di credito non più vecchio di tre mesi o patente di guida 

Motivo della richiesta di cancellazione

Dato che la cancellazione dei dati personali, secondo l’art. 17 par. 1 del GDPR richiede che vengano soddisfatte determinate condizioni prima che la richiesta possa essere presa in considerazione, è necessario indicare al proprio interlocutore il preciso motivo per il quale si richiede la cancellazione delle informazioni.

Tra gli esempi di motivazioni valide troviamo:

–  Ritieni che i tuoi dati personali non siano più necessari per gli scopi per i quali sono stati raccolti

–  Non vuoi più acconsentire al trattamento dei dati personali

–  Ti opponi al trattamento dei dati personali come tuo diritto ai sensi dell’articolo 21 del GDPR

–  Ritieni che i tuoi dati personali siano stati trattati e pubblicati illecitamente

–  Ritieni che la presenza dei tuoi dati personali non abbia più alcuna utilità per la comunità e sia venuto definitivamente meno l’interesse per il pubblico.

Quando si applica il diritto all’oblio? La decisione avviene caso per caso

Nonostante siano state definite in occasione del GDPR delle regole precise per l’applicazione del diritto all’oblio, la decisione viene sempre presa a caso per caso, e deve essere opportunamente valutata e circostanziata. 

Infatti, come detto, la protezione della propria privacy personale o dei propri dati deve essere costantemente bilanciata con il diritto di cronaca e il diritto di informare adeguatamente il pubblico di un fatto che abbia utilità o rilevanza. Per questo motivo, ogni domanda può avere un esito diverso.

Normalmente, qualora i dati siano stati effettivamente pubblicati in ottemperanza al diritto di cronaca ma sia passato del tempo ragionevole, è possibile comunque ottenere la cancellazione o la deindicizzazione dei propri dati e del proprio passato. 

Il tempo che viene ritenuto congruo va da un minimo di 2 ad un massimo di 5 anni, ma nuovamente viene di volta in volta stabilito a seconda della situazione personale. A questi tempi, inoltre, possono esserci delle eccezioni in casi particolari, come ad esempio coinvolgimento in processi o condanna per reati particolarmente gravi o nelle situazioni in cui sono state ricoperte delle cariche pubblica dall’interessato. 

VUOI CANCELLARE ARTICOLI DA GOOGLE?

CONTATTACI SENZA IMPEGNO

Gli attacchi informatici avvenuti durante la guerra in corso in Ucraina stanno creando un pericoloso precedente per le norme informatiche e la sicurezza delle infrastrutture, secondo la giornalista e autrice Kim Zetter, alla convention Black Hat Usa di Las Vegas.

Chi è Kim Zetter? E’ una giornalista investigativa e autrice americana che si occupa di cybersecurity e sicurezza nazionale dal 1999. Nel corso degli anni ha raccontato numerose storie sulla sorveglianza della NSA, WikiLeaks. Sebbene sia nata negli Stati Uniti, ha iniziato come giornalista in Israele, quando ha vissuto lì per tre anni. Alcuni dei suoi primi articoli sono stati scritti per il Jerusalem Post. Parla inglese ed ebraico e il suo libro sulla Kabbalah è stato pubblicato in più lingue.

“Naturalmente, la situazione in Ucraina è senza precedenti” – ha continuato Zetter – “E questo non intende criticare il Paese per aver fatto ciò che ritiene necessario per difendersi. Ma la comunità della sicurezza e i governi devono essere consapevoli del potenziale percorso a cui questo ci sta portando”.

Nel 2015 le Nazioni Unite hanno incaricato 20 nazioni, tra cui Stati Uniti, Regno Unito, Cina e Russia, di sviluppare linee guida per l’applicazione del diritto internazionale nel cyberspazio, soprattutto considerando la crescente probabilità di attacchi informatici in futuri conflitti. 

Il risultato finale di questa discussione è stato un rapporto che ha delineato il comportamento e i principi consentiti nel cyberspazio e ha messo in evidenza i pericoli derivanti dagli attacchi informatici contro le infrastrutture critiche.

“Hanno convenuto che gli stati non dovrebbero danneggiare intenzionalmente le infrastrutture critiche di altri stati o altrimenti compromettere il funzionamento delle infrastrutture critiche che forniscono servizi pubblici“, ha riassunto Zetter.

“Hanno anche convenuto che gli stati non dovrebbero consentire che il loro territorio venga utilizzato per attacchi informatici contro altri stati e dovrebbero adottare misure per mitigare l’attività dannosa proveniente dal loro territorio quando è rivolta a infrastrutture critiche di altri stati“.

Zetter si è concentrata sugli hacktivist e sui simpatizzanti ucraini.

Poco dopo che la Russia ha invaso e ha iniziato a condurre attacchi di cancellazione dei dati contro organizzazioni e infrastrutture ucraine, il vice primo ministro ucraino Mykhailo Fedorov ha lanciato un appello alle armi per gli hacktivisti volontari per lanciare operazioni informatiche offensive contro la Russia e ha pubblicato un elenco di 31 siti web governativi e commerciali da attaccare.

Il cosiddetto IT Army si è rapidamente mobilitato e in pochi giorni ha lanciato attacchi DDoS contro la borsa di Mosca, il ministero degli Esteri russo e una banca statale. Nel frattempo, l’elenco iniziale di 31 organizzazioni target è cresciuto fino a superare le 600.

Altre bande di criminali informatici, tra cui Anonymous, si sono presto unite a più attacchi DDoS e hack-and-leak e l’elenco delle organizzazioni russe colpite dagli hacktivist è salito alle stelle.

“Inoltre, sembra che ci siano squadre interne che conducono operazioni più sofisticate per l’esercito IT che è composto da personale della difesa e dell’intelligence ucraino, o ha legami diretti con loro e potrebbe anche ricevere incarichi da loro“, ha detto Zetter, citando un rapporto di giugno del ricercatore sulla difesa informatica Stefan Soesanto per il Centro svizzero di studi sulla sicurezza.

Un terzo elemento potenzialmente problematico, secondo Zetter, sono le società di sicurezza di proprietà ucraina dentro e fuori il paese che forniscono strumenti di supporto all’esercito IT.

Questo, ha affermato, include gli sviluppatori dietro disBalancer, un prodotto di test di penetrazione distribuito per aiutare a identificare le vulnerabilità DDoS. A marzo ha lanciato una nuova app chiamata Liberator, che è essenzialmente lo stesso strumento che può essere utilizzato per condurre attacchi DDoS contro i siti web russi.

In quel periodo, un’altra società estone ha lanciato un programma di ricompense alla ricerca di vulnerabilità nei sistemi di infrastrutture critiche russe con l’obiettivo di trasmetterle agli hacktivist ucraini.

“Nonostante il fatto che queste due società abbiano entrambe sede in Estonia, membro della NATO e dell’UE, la loro attività non sembra aver suscitato critiche da parte di altri Stati membri della NATO e dell’UE“, ha affermato Zetter.

“Ovviamente, ci sono circostanze uniche da considerare“, ha aggiunto. Vale a dire: la Russia ha invaso il paese vicino in violazione del diritto internazionale e ha commesso presunti crimini di guerra contro gli ucraini. Inoltre, questi attacchi informatici contro obiettivi russi vengono effettuati durante una guerra.

“Anche l’esercito IT sembra mostrare una certa moderazione nel non distruggere o interrompere i servizi di emergenza russi“, ha detto Zetter.

Ma, ha aggiunto, citando Soesanto: “Questa attività rischia di creare precedenti legali ed etici non intenzionali che potrebbero creare un significativo contraccolpo politico in futuro“.

“E se una società di proprietà russa con sede in Germania organizzasse un programma di ricompense che prende di mira le infrastrutture critiche ucraine e condivide le vulnerabilità scoperte con la comunità dell’intelligence russa? Berlino, Bruxelles e Washington riterrebbero accettabile questo comportamento da parte del settore privato ?” ha chiesto retoricamente Zetter

Inoltre, cosa succede all’esercito IT quando la guerra finisce? Gli hacktivist semplicemente si sciolgono e bloccano tutte le attività informatiche eticamente oscure? Probabilmente no.

“Soesanto afferma che continuare a ignorare l’essenza dell’esercito IT devasterà la futura stabilità del cyberspazio e, con esso, il panorama della sicurezza nazionale in Europa e oltre“, ha affermato Zetter. Nel frattempo, “l’infrastruttura civile è nell’agenda degli aggressori e diventerà solo un obiettivo più grande in futuro“.

TikTok ha deciso di sospendere un aggiornamento della politica sulla privacy che coinvolge l’Europa. Avrebbe significato che la piattaforma avrebbe smesso di chiedere agli utenti di tracciare il loro consenso per ricevere pubblicità mirata.

La Commissione irlandese per la protezione dei dati (DPC), il principale regolatore della privacy di TikTok per il regolamento generale sulla protezione dei dati dell’Unione europea (GDPR), ha affermato che la saranno fatti ulteriori controlli per aderire meglio alle direttive europee.

“TikTok ha accettato di sospendere l’applicazione delle modifiche per consentire al DPC di eseguire la sua analisi“, ha detto un portavoce del DPC.

“Mentre ci impegniamo a rispondere alle domande delle parti interessate sulle modifiche alla gestione della pubblicità personalizzata in Europa, mettiamo in pausa l’introduzione di quella parte dell’aggiornamento della nostra politica sulla privacy.” – ha detto Tik Tok in un comunicato.

“Riteniamo che la pubblicità personalizzata offra la migliore esperienza in-app per la nostra comunità e ci metta in linea con le pratiche del settore, e non vediamo l’ora di interagire con le parti interessate e affrontare le loro preoccupazioni“.

L’avviso di violazioni formali della Privacy è arrivato dall’Italia, l’autorità di regolamentazione italiana ha segnalato che il passaggio pianificato, evitando di chiedere agli utenti il ​​loro consenso per pubblicare annunci “personalizzati” elaborando i dati in base all'”interesse legittimo”, che evita la necessità di chiedere il consenso agli interessati, violerebbe la Direttiva Privacy e, a suo avviso, anche il GDPR.

Gli esperti di privacy avevano anche messo in dubbio l’adeguatezza di TikTok sul sistema di pubblicità comportamentale.

Alla domanda sull’avvertimento formale del Garante italiano, un portavoce di TikTok ha risposto: “stiamo valutando l’avviso, e siamo impegnati a rispettare la privacy degli utenti, vogliamo essere trasparenti sulle pratiche sulla privacy e vogliamo operare in conformità con tutte le normative pertinenti “.

Affinché l’interesse legittimo sia una base giuridica valida per il trattamento dei dati personali ai sensi del diritto dell’UE, un responsabile del trattamento deve condurre una serie di test per valutare, in primo luogo, se ha una finalità legittima per l’esecuzione del trattamento; e, in secondo luogo, che il trattamento è necessario per la finalità individuata.

Le infrastrutture adtech e gli algoritmi che si nutrono del trading ad alta velocità di dati personali per condurre aste di pubblicità comportamentale hanno, nel frattempo, dimostrato di non avere un’adeguata sicurezza per proteggere le informazioni delle persone, come richiede la GDPR.

Tale è il livello elevato stabilito dal test di bilanciamento degli interessi legittimi del GDPR, che un DPA dell’UE, l’autorità olandese, ha – secondo i resoconti della stampa locale – deciso che gli interessi legittimi non possono essere utilizzati per un interesse commerciale. La giurisprudenza è più sfumata, ma il tentativo di fissare un intero modello di business della pubblicità comportamentale merita sicuramente un’attenzione molto particolare da parte delle autorità di regolamentazione.