Mentre aspettiamo con ansia di sapere i dettagli della denuncia del [non attacco a Grillo][1] è ormai noto come la casella di posta elettronica della parlamentare [Giulia Sarti][2] sia stata diffusa da qualcuno che ha avuto accesso alle sue credenziali.
Pare che sedicenti [hacker del PD][3] siano in possesso di numerose altre caselle, che pubblicheranno ogni 7 giorni a meno che Grillo non segua [i dictat della crew][3] ad unico forse merito della quale si può argomentare che non chiede nulla che non sia più che in linea con una **disciplina della trasparenza** che il leader maximo del MoVimento chiede verso tutti gli altri membri della classe politica.
Lascio le considerazioni politico-culturali ad altri più preparati di me ma faccio solamente un paio di considerazioni meramente tecniche: da dove hanno recuperato queste caselle di posta?
Non si tratta, infatti, di un accesso abusivo ad un server di posta gestito direttamente da CasaGrillo (l’account di Giulia Sarti è infatti una mail di Hotmail) e non credo nemmeno il MoVimento ne metta a disposizione. Qualcuno, quindi, ha attaccato le mail private dei singoli parlamentari. Un lavoro tutt’altro che semplice a meno… di avere già user e password.
Ed avere le password non è, sfortunatamente, così complesso, come dimostra il teorema della [“Same Password”][4]: è infatti noto che oltre il [55% degli utenti della rete][5] utilizza la stessa password su molteplici servizi. Per quato stupido possa essere, aggiungerei, visto che la compromissione di uno dei servizi significa la automatica compromissione di tutti gli altri servizi.
E quindi da dove arrivano? Fossi in CasaGrillo darei una profonda occhiata ai servizi esterni come MeetUp: quale migliore obiettivo, infatti, del recuperare le credenziali da un servizio che ospita centinaia (migliaia?) di nomi utenti e Password di seguaci di Beppe Grillo? O, se esistono altri servizi similari nella comunità del MoVimento, farei una profonda revisione.
Cose da imparare da questa esperienza?
Un breve prontuario per il neo-eletto grillino in Parlamento o Camera:
* Mai, MAI, **MAI** usare la stessa password per due servizi. Un servizio, una password. Sempre.;
* Scegliere servizi di posta elettronica che offrano un sistema di [two-way authentication][6];
* Togliere da online gli archivi delle vecchie mail e custodirle offline;
* Cambiare password
Qualche consiglio per Giulia, a cui umanamente va tutta la mia comprensione (mi è successo anche con password sicure):
* Cambiare codici di accesso a TUTTI i servizi che erano nelle mail (consiglio cercare la parola “password” o “codice” nella propria casella e procedere singolarmente per ogni servizio). Ricordarsi account che possono acquistare come Amazon o simili;
* Informare chiunque abbia avuto contatti con lei che le mail possono essere trapelate, soprattutto se vi sono documenti di lavoro della controparte o riservati o numeri di cellulari;
* Considerare che ogni mail personale è potenzialmente a pericolo di essere diffusa. Non credo ci siano testi o immagini “compromettenti” ma in quel caso preparare all’eventualità anche il partner;
* Controllare quali documenti riservati possano esserci nella mail e segnalare se si tratta di materiale sensibile per lo Stato ai competenti organi.
* Prepararsi alla peggiore combinazione di eventi :(
Ora rimane da vedere quanto tempo passerà prima che qualcuno vada a rovistare nella posta elettronica della parlamentare e cosa trapelerà.
Per maggiori info:
* Il mio precedente post sul [presunto attacco alle quirinarie][1]
* La notizia della [diffusione delle mail][2]
* L’account Twitter degli [“Hacker del PD”][3] (poco ma sicuro che NON siano del PD)
* Una vignetta che [spiega bene il problema][4]
* La ricerca di Sophos sugli utenti [che riutilizzano le password][5]
**UPDATE**: Pare si sia espresso anche il [Garante della Privacy][7] condannando *(giustamente)* il gesto.
Estote parati.
[1]: http://mgpf.it/2013/04/12/ma-quale-attacco-acher-a-grillo.html
[2]: http://www.corriere.it/politica/13_aprile_24/hacker-violano-mail-grillini_c52e5ea6-acc6-11e2-9acc-55424bfd851f.shtml
[3]: https://twitter.com/anonpd/
[4]: http://xkcd.com/792/
[5]: http://nakedsecurity.sophos.com/2013/04/23/users-same-password-most-websites/
[6]: http://www.atuttonet.it/forum/entry.php?b=2843
[7]: http://www.ilfattoquotidiano.it/2013/04/25/m5s-interviene-garante-per-privacy-mail-rubate-fatto-gravissimo/575004/
