Hacker voyeur: cittadini spiati in tutta Italia

Il mercato nero si allarga anche a video e foto private

di Silvia Cegalin

Chiusa la porta di casa si crede di essere al sicuro, lontani da sguardi indiscreti, un senso di protezione che aumenta grazie al nuovo sistema di videosorveglianza instaurato.

E se il pericolo si nascondesse proprio in quell’occhio elettronico che vede e registra tutto?  

Operazione Rear Window: filmati privati venduti in rete

I primi di Giugno la Polizia Postale di Milano a seguito dell’operazione nominata  “Rear Window”, ha disarticolato una rete criminale cui obiettivo era spiare i cittadini in luoghi privati. L’organizzazione era divisa in 2 gruppi, per uno dei quali si configura il reato di associazione per delinquere. Al primo gruppo era assegnato il compito di scansionare la rete alla ricerca di impianti di videosorveglianza connessi ad Internet, che individuati, venivano attaccati.

Una volta scoperte le password delle Nvr, Network Video Recorder, entravano in azione i componenti del secondo gruppo che analizzavano la tipologia degli impianti, gli ambienti inquadrati e la qualità delle riprese, con la speranza di intercettare situazioni particolarmente intime, registrare le immagini e rivenderle. Abitazioni, hotel, piscine, spogliatoi delle palestre e studi medici erano i luoghi principalmente presi di mira in tutta Italia.

Le vendite si concludevano tramite Telegram e Vkontakte (versione russa di Facebook). L’acquirente per un costo di 20 euro poteva consultare un menù di video e foto hackerate, versando una cifra maggiore invece aveva accesso all’offerta “premium” che consentiva di guardare in diretta i filmati delle videocamere scelte precedentemente.

Dalle perquisizioni effettuate dalla Polizia Postale di Milano, Catania e Napoli sono stati sequestrati: 10 smartphone, 3 workstation, 5 PC portatili, 12 hard disk, vari spazi cloud, uno storage di oltre 50 Terabyte, e gli account social utilizzati dagli indagati per commettere le azioni illecite.

Un giro criminoso valso migliaia di euro (anche in criptovalute), ora confiscato.

Hacker che spiano e clienti Voyeur

Un hackeraggio molto divergente da quelli esaminati fino ad oggi, perché in questo particolare caso il cybercriminale non estrapola alcuna informazione utile per rubare credenziali, denaro o richiedere il riscatto. Questa infiltrazione nei dispositivi informatici ambisce infatti a riprendere istanti di vita privati che, di per sé, non hanno un valore economico, valore che comunque può essere ottenuto non appena le immagini private si trasformano in merce di scambio ricercato, richiesto, o semplicemente venduto.

Un mercato, tuttavia, sui generis se si pensa che nella rete, anche nel surface web, è facile trovare filmati o immagini di questa natura e legali, la differenza però sta che in tali registrazioni le persone sono immortalate a loro insaputa ed è proprio su questo punto che fa leva il piacere del voyeur: ovvero spiare chi non sa di essere osservato, una versione di un Peeping Tom contemporaneo e digitalizzato, che vuole guardare rimanendo in ombra.

Gli IoT sono a prova di hacker?

Quando si parla di sicurezza informatica si fa solitamente riferimento a quella inerente i propri account social e bancari, raramente si parla degli hackeraggi e della fuga di dati degli oggetti connessi, come ad esempio smart speaker, smart tv o videocamere, eppure tutti questi dispositivi essendo collegati ad internet sono anch’essi soggetti a vulnerabilità.

Per l’hacker è sufficiente individuare una rete sensibile, e, o tramite un attacco brute force (provare tutte le soluzioni possibili fino a identificare quella corretta), o la tecnica di mascheramento dello spoofing, bucare la rete, azione che gli permette di poter gestire tutti i device che ne fanno parte, accedendo anche a tutte le informazioni. Basta hackerare un solo strumento per compromettere anche gli altri, per questo la sicurezza degli oggetti IoT (Internet delle cose) è essenziale.

Se si sono potuti verificare i fatti elencati poco sopra è perché molto probabilmente le videocamere non sono state configurate in maniera adeguata o è stata mantenuta la password di default dell’azienda produttrice.

Ricordiamo che gli oggetti intelligenti hanno occhi e orecchie che, come appurato, possono registrare quanto captano, di conseguenza, i nostri dispositivi devono essere a prova di privacy, e in caso di dubbio affidarsi a degli esperti.