😱 TABLET PER BAMBINI HACKERATI: il caso VTECH

Il 30 novembre 2015, sul sito di una nota rivista americana, viene pubblicata la registrazione audio di un bambino che parla con sua madre e le dà la buonanotte. Quel file non è stato inviato al giornale dai diretti interessati, ma arriva dal furto dei database di un'azienda di giocattoli, la VTech, che tra le altre cose produce anche dei tablet per bambini. Ovviamente nel database non c'è solo quel messaggio, ci sono oltre 200 GB di dati che ricomprendono le fotografie scattate con la fotocamera del tablet, le conversazioni fra genitori e figli e i profili di 6.300.000 bambini, età media 5 anni, con tanto di nome, sesso, data di nascita e indirizzo di casa. L'attacco a VTech passerà alla storia come il più grande furto di dati di minori mai documentato, ma nonostante questo le conseguenze per l'azienda e per i responsabili saranno praticamente nulle grazie a una serie di cavilli che aiuteranno tutti tranne le vittime. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo del caso Btech, uno di quei casi che magari lasciano anche un po' l'amaro in bocca e in cui le vicende giudiziarie e i tentativi dell'azienda attaccata di evitare sanzioni e risarcimenti sono quasi più interessanti dell'attacco stesso. Ma andiamo con ordine e partiamo intanto dalla protagonista protagonista di questa storia. VTech è una società di Hong Kong nata nel 1976. Il nome probabilmente non vi dice niente, però se avete avuto un bambino in casa negli ultimi 20 anni, le probabilità che abbiate comprato un loro giocattolo sono alte, perché VTech è uno dei maggiori produttori di giocattoli elettronici del mondo, fra libri interattivi, orologi, strumenti musicali e così via. Il prodotto che ci interessa è l'InnoTab, un tablet colorato rivolto a bambini dai 3 ai 9 anni, pensato per avvicinare i più piccoli alla tecnologia con un prodotto pensato appositamente per loro. A parte alcune protezioni aggiuntive come quelle sui siti web visitabili o una copertura in gomma per gli urti, è in tutto e per tutto uguale a un tablet normale. Il genitore come prima cosa deve aprire un account su Linotab inserendo tutta una serie di dati come nome e cognome, indirizzo di casa, email, password, per poi creare un profilo per il bambino specificando nome e cognome, data di nascita e sesso, e impostando anche una sua foto come avatar. Una volta fatte tutte queste cose, si può attivare la sezione messaggistica che permette al figlio di comunicare con il telefono dei genitori, e si può collegare la carta di credito all'App Store del tablet in cui scaricare app, giochi e così via. Tutti questi dati, conversazioni comprese, non restano dentro al LinnoTab ma finiscono nei server dell'azienda che si trovano appunto a Hong Kong. LinnoTab viene lanciato nel 2011 e per qualche qualche anno le cose filano lisce, escono nuove versioni aggiornate del tablet, vari formati. Insomma, sembra un prodotto apprezzato e ben lanciato. La situazione cambia nell'autunno del 2015, quando un britannico ventunenne di nome Zammis Clark incappa in un forum di persone che hanno l'hobby di hackerare l'InnoTab e riuscire a usarlo per cose ulteriori rispetto a quelle previste dall'azienda. Uno di loro, ad esempio, era riuscito a usarlo per giocare a Doom, che è uno dei giochi più violenti e inadatti ai bambini che esista. Zammis inizia a interessarsi alla cosa e decide di approfondire per capire cosa si possa fare in concreto e fino a dove ci si possa spingere dentro i sistemi di VTech. Comincia a girare fra i vari siti dell'azienda fino a trovare un portale di giochi online con una schermata di login contro cui prova un attacco di SQL injection che, con sua somma sorpresa, funziona. Per chi non sapesse cos'è la SQL injection, a cui comunque ho dedicato un video apposito sul canale, faccio una spiegazione molto veloce e molto semplificata. Quando noi inseriamo le nostre credenziali su un sito, il sito le manda ai propri database per verificare la corrispondenza fra le credenziali che noi stiamo immettendo e quelle che sono salvate nel sistema. La SQL injection consiste nell'inserire al posto delle credenziali dei comandi malevoli da far eseguire al database, tipo elimina tutti i dati che hai. È una tecnica che funzionava molto bene 20 anni fa, poi i siti grazie al cielo si sono aggiornati e hanno iniziato a mettere delle protezioni per neutralizzare proprio l'inserimento di eventuali comandi di questo tipo. Zamis infatti le aveva provato senza troppe speranze, quindi immaginate la sua sorpresa quando invece inserendo un comando malevolo ottiene il controllo completo dei server di VTech. Primo grandissimo errore di VTech, che non aveva controllato i propri portali per proteggerli da quella che era una tecnica di attacco famosissima diffusa e contro cui esistevano misure di protezione già consolidate che potevano essere implementate senza alcuno sforzo. Il server in cui entra Zammis però non è quello che contiene i dati dei clienti. Il ragazzo si trova all'interno di un ambiente di prova, una sorta di fotocopia del sito vero che si usa per testare modifiche e innovazioni prima di metterle sul sito reale. Sugli ambienti di prova molto raramente si trovano informazioni sensibili, serve proprio solo per fare qualche test. Vitek invece aveva ben pensato di conservare dentro a questo ambiente di prova anche le credenziali di accesso ai sistemi reali. Secondo errore gigante dell'azienda. Grazie a quelle credenziali Clark si sposta da un sistema all'altro finché non arriva agli archivi interessanti, quelli che contengono i dati dei clienti, e comincia a copiarli. Ci impiega 17 giorni, dal 12 al 29 novembre 2015, e in quei 17 giorni riesce a sfiltrare tutti i dati personali dei genitori e dei bambini, le conversazioni audio e 190 GB di fotografie. E voi potreste chiedervi: ma possibile che in 17 giorni nessuno si sia accorto di niente? Nessuno si sia accorto che c'era qualcuno dentro ai sistemi che stava frugando e copiando roba? La risposta è che VTech non aveva nessun sistema che segnalasse le intrusioni e che verificasse cosa veniva portato via dai propri sistemi. Questo è il terzo grande errore dell'azienda. Alle autorità Vitek dirà poi di aver avuto in programma di installare un sistema del genere, però poi non l'aveva fatto. Ma analizziamo cosa aveva trovato Clark di preciso. Intanto era riuscito a mettere le mani su tutte le password di accesso impostate dai genitori. Le password erano cifrate, quindi non c'era scritta la password reale ma una sequenza alfanumerica casuale. È una prassi molto comune, quindi ci sono anche vari algoritmi di cifratura utilizzabili, alcuni più sicuri, altri meno. Bene, quello che usava VTech era l'MD5, forse il meno sicuro fra tutti, tanto che era stato dichiarato inutile già nel 2008 per quanto era facile violarlo. Quarto errore di VTech. Altra cosa, nel 2015 era diffusa già da tempo la tecnica del salting, che serviva a rendere più sicura la cifratura grazie all'aggiunta di una stringa alfanumerica casuale alla password. Quindi prendo la password, aggiungo qualche cifra, qualche lettera a caso, e poi cifro tutto questo insieme. Vitek la usava questa tecnica secondo voi? Ovviamente no. Siamo al quinto errore? Non so neanche più se ha senso contarli. Le password almeno erano cifrate, anche se malissimo, ma le domande segrete con le relative risposte erano in chiaro, cioè erano leggibili così come le aveva scritte il genitore, e lo stesso valeva per le password dei bambini, quindi lì non ci si doveva nemmeno sforzare. Andiamo avanti con la sfilza di errori. I dati viaggiavano in chiaro, quindi Vitek usava ancora HTTP e non HTTPS, che nel 2015 era già la norma. Vuol dire, semplificando al massimo, che tutto quello che si faceva sul sito dell'azienda poteva essere intercettato e letto perché non c'era alcuna protezione. Evitec sapeva benissimo che questa cosa era sbagliata, tanto che nell'informativa privacy aveva scritto che i dati sarebbero sempre stati trasmessi in forma cifrata. Eppure non era così. L'unica cosa cifrata per il verso erano le fotografie e i vocali dei bambini. L'unico problema di pochissimo conto era però che le chiavi di decrittazione erano conservate dentro agli stessi archivi su cui Clark era riuscito a entrare. Quindi Clark chiaramente riesce a decifrare tutto quanto. 53° grave errore di VTech. In sostanza, a fine novembre, Zamis Clark ha sul suo computer i dati di 11 milioni di persone, una buona metà dei quali sono bambini. La cosa interessante è che questo ragazzo non ha nessun interesse a sfruttare la situazione a proprio vantaggio, vuole solo consapevolizzare le persone, far capire quanto siamo tutti esposti su internet e quanto lo siano anche i nostri figli se mettiamo loro in mano dei dispositivi connessi a internet. In un primo momento pensa di scrivere alla società dicendo cosa ha trovato, ma cambia idea. Con tutta probabilità, pensa, VTech correggerà al volo qualche falla qua e là e insabbierà la vicenda. I genitori potrebbero anche non scoprire mai quello che è successo. Decide quindi di rivolgersi a un giornalista, nello specifico a Lorenzo Franceschi Vicchierato. Italiano ma residente a New York, che lavorava per Motherboard, una delle più famose testate dedicate alla cybersecurity. Lorenzo si ritrova quindi in mano una vicenda incredibile e una mole di file ancora più incredibile. Come prima cosa deve capire se i dati sono reali o se Clark si è inventato tutto. Per farlo si rivolge a Troy Hunt, il ricercatore che gestisce Have I Been Pwned, un sito di cui abbiamo già parlato più volte che serve a controllare se la propria mail è finita in qualche attacco Quaker. Hunt analizza i file rubati da Clark e prende 18 persone a caso, le contatta e chiede a ciascuna di confermare qualche dettaglio per capire se appunto questi dati erano veri o falsificati. Tipo chiede il nome del figlio, l'indirizzo e cose di questo tipo. Tutti coloro che rispondono confermano ogni dettaglio. I dati sono veri, sono stati presi dal reale archivio di Vitec. La storia di Clark non è falsa. A quel punto Lorenzo prova a contattare VTech e ci mette giorni perché l'azienda non fa che rimpallare il problema da un ufficio all'altro senza che nessuno gli risponda nel merito. Alla fine, il 23 novembre 2015, riesce a contattare le persone giuste e a quel punto le cose si muovono in fretta. Il 24 l'azienda avvia un'indagine interna e rileva che effettivamente ci sono state attività irregolari. Il 26 conferma internamente la violazione. Il 27 Motherboard pubblica il proprio articolo articolo e contemporaneamente VTech esce con il primo comunicato cominciando a scrivere ai clienti. Chiaramente non potevano più insabbiare la cosa visto che la notizia sarebbe diventata comunque di pubblico dominio e quindi decidono di intervenire e di avvisare i genitori. La mail che VTech manda agli utenti coinvolti per avvisarli della violazione è un esempio di comunicazione magistrale perché VTech non dice: abbiamo fatto 53 errori, i dati dei vostri figli sono stati resi pubblici, ora tutti conoscono le vostre password, No, scrivono: abbiamo subito una violazione dei dati, ma tranquilli, i dati delle vostre carte di credito sono al sicuro. Che tra l'altro è vero, perché fortunatamente la procedura di pagamento sull'App Store di VTech era gestita da una società esterna, quindi le carte VTech non le vedeva proprio. Meglio così, perché probabilmente le avrebbero conservate in chiaro con tutto il resto. Il 29 novembre l'azienda mette temporaneamente offline il suo e-commerce e altri 14 siti e servizi. Il 30 esce il secondo pezzo di motherboard che contiene le fotografie, disegni fatti dai bambini e i vocali, compreso il messaggio della buonanotte da cui siamo partiti. Lo stesso giorno VTech sospende le contrattazioni delle proprie azioni alla borsa di Hong Kong, temendo quindi probabilmente che la ricaduta di questo evento potesse avere degli effetti anche sulle proprie azioni, sul proprio valore in borsa. Solo il 1° dicembre l'azienda rende noti i numeri delle persone coinvolte: quasi 5 milioni di account di genitori e oltre 6 milioni di profili di bambini. Nella stessa comunicazione, VTech definisce l'accaduto un attacco ben pianificato, opera di un hacker esperto. Troy Hunt, il ricercatore di Have I Been Pwned, risponderà a questa cosa raccontando di aver fatto una prova sul sito VTech. Si è creato due account e mentre era collegato con il primo riusciva ad accedere ai dati del secondo, tutto grazie a un altro erroruccio fatto dall'azienda che aveva associato agli utenti degli identificativi in numero sequenziale. Quindi se il tuo account ha il numero 4000 e nell'indirizzo della pagina cambi il numero in 4001, ti trovi dentro al profilo di uno sconosciuto. Hunt risponde quindi a VTech dicendo che altro che attacco ben pianificato fatto da un hacker esperto, il livello di sofisticazione richiesto per vedere i dati di qualcun altro consisteva nel saper contare. I genitori intanto possono fare poco o niente. Vitek consiglia di cambiare password e domanda segreta ovunque siano state riutilizzate, mentre per quanto riguarda le informazioni personali come nome e data di nascita del bambino e indirizzo di casa c'è poco da fare. Il negozio online riapre il 23 gennaio 2016 con reset obbligatorio della password, mentre i portali dedicati ai giochi da cui era entrato Clark restano chiusi e non riapriranno mai più. Nel frattempo si muovono tutti: il garante di Hong Kong apre una verifica, i procuratori generali statunitensi aprono le loro. L'autorità britannica fa altrettanto e alcuni genitori presentano denuncia. Il 2 dicembre il senatore Ed Markey e il deputato Joe Barton scrivono al fondatore dell'azienda chiedendogli conto di come rispettasse il COPPA, la legge americana del 1998 sulla privacy dei minori online, quella per cui se raccogli dati da dei bambini sotto i 13 anni devi ottenere il consenso verificabile dei genitori e devi proteggere quei dati con misure ragionevoli. Faccio presente, perché ci servirà fra un pochino, che il COPPA punisce soprattutto il modo in cui un'azienda chiede il permesso di accedere ai dati e molto meno il modo in cui poi tratta i dati su cui ha messo le mani. Il vero e proprio colpo di scena si ha però il 15 dicembre, quando la polizia britannica si presenta a casa di Zamis Clark, lo arresta e gli sequestra tutti i dispositivi elettronici. Le accuse sono due, punite ai sensi del Computer Misuse Act del 1990, e sono: l'accesso abusivo a un sistema informatico e l'accesso abusivo finalizzato a commettere altri reati. Il giorno dopo Clark è già fuori su cauzione e per circa un anno non si sa più nulla di lui. Nel frattempo VTech sta cercando faticosamente di costruirsi una difesa che, come vedremo, si baserà più che altro su cavilli giudiziari. Come prima cosa, il 24 dicembre 2015, l'azienda quatta quatta modifica i termini e condizioni del proprio negozio online. Nella sezione sulla limitazione di responsabilità compare improvvisamente un testo in maiuscolo che dice al cliente che le informazioni inviate al sito possono essere intercettate da estranei e che l'uso del servizio avviene a rischio e pericolo del cliente. Il primo ad accorgersene è sempre lo stesso Troy Hunt, che solleva una polemica dicendo che non si può spostare questo rischio a carico del cliente, ma l'azienda risponderà dicendo che clausole del genere sono prassi comuni e che nessuno può garantire di non essere attaccato. Ora, dire che nessun sistema è inviolabile è sicuramente vero. Il problema è il modo in cui si è comportata VTech, perché far accettare a un genitore che i dati di suo figlio potrebbero non essere protetti un mese dopo averli persi è proprio una furbata. In Europa quella clausola avrebbe avuto vita breve. Negli Stati Uniti hanno una mentalità diversa secondo cui l'importante è dire le cose, mettere le mani avanti, e poi per il resto insomma ognuno deve pensare un po' per E in effetti questa cosa li salva. Negli Stati Uniti partono 5 cause collettive riunite davanti al Tribunale federale dell'Illinois e vengono respinte 2 volte, nel 2017 e nel 2018. Il ragionamento del giudice è che i genitori non hanno dimostrato un danno concreto e attuale, perché da quei server non erano uscite carte di credito, quindi niente frodi, quindi niente danno da risarcire. L'azienda fa presente di aver provveduto a dichiarare sul sito che i dati potevano non essere protetti protetti e alle famiglie non andrà neanche un dollaro di risarcimento, proprio grazie a, diciamo, a queste due furbate di comunicazione fatte da VTech: quella di dire che non erano state rubate carte di credito e quella di modificare al volo i termini e condizioni. L'unica conseguenza vera e propria per VTech è una sanzione da $650.000 fatta dalla Commissione Americana per il Commercio. Il motivo era quella famosa frase con cui l'azienda diceva di cifrare i dati mentre in realtà non era vero. Tutto il resto perdonato. Anche il garante canadese pubblica il proprio rapporto facendo tutto l'elenco di errori e carenze che vi ho raccontato e concludendo che alla fine non c'era nessun problema perché nel frattempo l'azienda aveva sistemato le cose. Quindi non arriva nessuna sanzione neanche dal garante né canadese né di Hong Kong, almeno credo, perché su come sia andata poi l'istruttoria di Hong Kong non ho trovato informazioni. L'Avitec nella sua magnanimità deciderà di non sporgere denuncia contro Clark, che riceve solo un richiamo informale. Va detto comunque che è vero che si era introdotto abusivamente, ma non aveva venduto nessun dato nel dark web, non aveva usato quelle informazioni per scopi malevoli. Quindi semmai avrebbe dovuto essere premiato dall'azienda, non denunciato. Però tecnicamente la VTech avrebbe potuto fargli causa se avesse voluto. In sostanza, l'azienda se l'è cavata con una multa da $650.000, l'hacker si è beccato un richiamo e nulla più. Le vittime invece hanno ricevuto giusto un pat pat morale. VTech, per la cronaca, esiste ancora. Non produce più l'InnoTab, che anzi sullo store è come se non fosse mai esistito, ma ha chiuso l'ultimo bilancio con un fatturato di 2 miliardi di dollari e un utile di 130 milioni. Non ha debiti con le banche, insomma sta una crema. Zamis Clark verrà invece poi incriminato in futuro, non per questo caso ma per altre aziende in cui si era infilato come hacker. E fra l'altro, proprio in questi successivi processi verrà fuori quello che era successo con la VTech, quindi il fatto che l'azienda avesse deciso di non sporgere denuncia. In tutto questo, in realtà, direi che Zamis Clark non ha, a mio parere, una responsabilità vera e propria, nel senso che lui ha semplicemente esposto le falle di sicurezza di un'azienda che avrebbe dovuto essere molto più sicura di così, visto che aveva in mano dispositivi dati ai minori, a bambini di età media 5 anni. Però rimane il fatto che comunque teoricamente queste cose, questa ricerca di falle, questa intrusione nei sistemi dell'azienda si fa di solito nell'ambito di un bug bounty, cioè di un contest che organizza l'azienda premiando proprio chi trova falle. D'altra parte, VTech non mi sembra il tipo di azienda che organizza bug bounty, quindi volendo esporre appunto questi problemi ritrovati dentro a VTech, forse la strada che ha seguito Zamis Clark era l'unica possibile. Non mi sento comunque di condannare lui, ma secondo me l'azienda ha veramente ricevuto un trattamento troppo, troppo benevolo. Bene, come sempre spero che il di oggi vi sia piaciuto, anche se il finale non è dei migliori. Fatemi sapere nei commenti se conoscevate già questa storia e cosa ne pensate. E ricordatevi che se volete approfondire, come sempre, in descrizione trovate le principali fonti che ho usato per studiare il caso. Noi ci rivediamo nel video della prossima settimana. A presto!