Pec pec pec
peeeec pec pec
È praticamente dalla sua nascita che
continuo a dire una cosa banale: usare la PEC è molto pericoloso.
Non è che è una cosa pericolosa in
sé, tecnicamente, dopotutto non è più pericolosa di usare una come hotmail, ma
è dannatamente pericoloso il fatto di considerarla una posta
certificata quando la PEC è una banalissima e stronzissima mail
qualsiasi.
Questa situazione mi ricorda molto gli
albori degli antivirus. Esisteva gente che dopo aver acquistato un
antivirus 3 anni prima con delle firme ormai divenute museali si
sentivano sicure semplicemente perché avevano un antivirus.
Anche se l'antivirus era scaduto come
una mozzarella di 15 anni si sentivano protetti dal misterioso
antivirus.
La conseguenza della presunzione della
protezione totale portava a costoro a comportarsi in maniera da
essere facile preda.
La supponenza di essere protetti li
portava ad essere ancora più colpiti rispetto a chi non aveva nessun antivirus.
anche in questo caso la stupidità e' di
voler chiamare la Pec anziché "
posta elettronica comune" come sarebbe
piu' corretto, posta elettronica certificata. Bene, questo ha causato ALTRI milioni
di euro di danni.
Del resto era gia' avvenuto, no?
Il fatto è avvenuto circa tre mesi fa
ma solo ora pubblico il post perché speravo che da una faccenda così
seria potesse scaturire qualcosa di importante come evitare che le
aziende fossero obbligate a intervenire o subire all'immediata
ricezione di una maledetta posta elettronica comune (PEC).
Ricordiamo infatti che l'unica cosa che
è in grado di certificare la posta statale pseudo certificata è il
fatto di aver inviato qualcosa (come del resto fa persino libero.it)
ma non se lo riceviamo o chi cavolo lo manda.
Grazie questo fatto, e al fatto che le
riviste e i venditori di questa oscenità continuano a picchiare duro
sul fatto che è una cosa sicura e certificata è possibile per dei
truffatori da due soldi andare ad operare in maniera garibaldina
spacciandosi per qualcun altro e ottenere divertenti soldi facili
semplicemente usando un mezzo che DOVREBBE essere certo ma non lo e'.
Essendo questi truffatori gente di
mezza tacca si è fatta beccare.
L'unico motivo per il quale sono
collassate intera società e non ci sono stati danni per miliardi è
la fortuna, se così si può dire, che l'italiano medio è un
completo ignorante di tecnologia avendo la cultura tipica di un uomo
delle caverne. I ladri preferiscono usare il martello che la testa.
Vediamo che cosa dicono i giornali,
ancora immaginano che la posta elettronica comune ( PEC) sia in
qualche modo certificata e quindi, quando funziona in maniera
perfetta, danno per scontato che qualcuno abbia fatto qualche magia
come quelle dei telefilm per farla funzionare come una mail tradizionale.
Mi dispiace ma con una vera posta
certificata tutto questo non sarebbe capitato e non sarebbe capitato
soprattutto se le aziende coinvolte non fossero state obbligate a
operare come ricevere un calcio nel culo anziché una banale lettera.
Cybercriminali esperti nel modificare
gli indirizzi di posta certificata per sottrarre soldi dai conti di
ignari clienti di banca.
Ancora una volta vediamo che qualcuno
pensa che sia stato necessario modificare gli indirizzi di posta
certificata.
In realtà non è stato necessario modificare nulla
poiché nulla certifica questo tipo di posta.
Corollario: tutte le PEC esistenti
sono state modificate.
Pec violate, svuotati conti in banca
Anche in questo caso danno per scontato
due cose abbastanza strane:
innanzitutto la possibilità di violare
un indirizzo di posta elettronica, una cosa non semplice.Pensare che
una società che gestisce la posta elettronica sia in qualche maniera
violabile da per scontato che tutte le e-mail di quella data azienda,
per esempio infocert, siano contemporaneamente state violate.
Ma ovviamente lo scribacchino di merda
non se ne neanche accorto della stronzata che ha detto oppure se n'è
reso conto perché considera queste società pessime.
Inoltre siccome il software che girano
per far funzionare quel bidone delle pec è sostanzialmente un
software di posta elettronica normale taroccato, e verrebbe da
chiedersi a che livello di patch viene mantenuto visto che l'update non penso possa avvenire da chi lo sviluppa, automaticamente, se
si può violare una pec, si possono violare tutte.
“Nel corso dell’inchiesta è stato
accertato che, mediante tale espediente, i pirati informatici
riuscivano, da un lato, ad interporsi tra i titolari dei conti
correnti online e i rispettivi istituti - secondo una modalità di
attacco cibernetico nota come M.I.T.M. (Man in the middle) - e,
dall’altro, ad entrare in possesso delle credenziali.”
Viene da chiedersi se chi scrive
giornale sia una persona dedita al grande uso di crack oppure sia
semplicemente deficiente.
Innanzitutto non è stato compiuto
nessun attacco informatico.
Ripeto, nessun attacco informatico o
cibernetico (forse piace molto la fantascienza per usare questo
termine) è stato compiuto.
Gli attaccanti non erano esperti di
informatica.
O meglio, esperti abbastanza da capire che differenza
c'è tra una e-mail certificata e quella schifezza della Pec.
L'attacco “uomo nel mezzo” non è
genericamente possibile neppure con una banale e-mail gratuita. Sarebbe necessario
per farlo una notevolissima preparazione, un dispendio di forze
incredibile per il poco risultato ottenuto.
Con una e-mail certificata, quella vera,
non certo quella dello stato italiano, è di fatto impossibile.
Chiamare pirati informatici
persone che hanno semplicemente scoperto che esiste una bugia creata dal
chiamare certificato ciò che non è certificato mi sembra un tantinello esagerato.
“Ritenuta la garanzia assoluta di
sicurezza in termini di comunicazione e operazioni con banche e
pubblica amministrazione, la posta certificata è stata violata per
la prima volta.“
Ancora una volta si va a sottolineare
la possibilità che la PEC sia stata violata quando in realtà
non è stato violato alcunché ma è solo tipico del sistema.
Ovvero
il sistema funziona così, non c'è bisogno di violarlo per ottenere
questi risultati.
I truffatori, dunque, ricevevano la PEC
del cliente che credeva di contattare la propria banca per
rappresentare le proprie necessità (ad esempio chiusura o apertura
di conti correnti ovvero successioni mortis causa) e, una volta
stabilito il contatto, ottenevano la fiducia delle vittime e le
inducevano a fornire le credenziali di accesso ed i codici operativi
dei conti che utilizzavano per sottrarre il denaro.
Anche in questo caso abbiamo come
funzionava la truffa, ovvero come funzionava la Pec.
Abbiamo un cliente che manda una Pec
alla banca.
Il cliente cerca l'indirizzo della
maledetta pec di merda non sul sito della banca, troppo difficile. La
stessa banca per proteggere i propri clienti potrebbe non aver
indicato in maniera facilmente raggiungibile l'ignobile indirizzo.
Il cliente, trasformandosi in
consumatore, anziché chiedere alla banca quale sia l'indirizzo di
una e-mail qualsiasi per fare determinate operazioni o chiedere come
possano essere svolte va a cercare l'indirizzo da qualche parte.
Gli e' stato insegnato che mandare una PEC e' legalmente dare un calcio in culo. E dare un calcio in culo ad una baca, amici dal pugno chiuso, e' bellissimo.
Il da qualche parte, puo' essere andare da alcuni siti pseudo istituzionali che non hanno
nessuna ragione di esistere sino a siti di nessuna importanza come
questo blog, magari mantenuto da un truffatore.
E già, perché una e-mail del tipo
nomedibanca.ufficiodeltubo@legalmail.it essendo una PEC
certificata automaticamente ha un mantello di aloure cosmica.
Per
un consumatore idiota.
Io leggo che un signore che passa in strada ha
comprato presso un piccolo provider una banale mail.
Una banca DEVE avere la mail ufficio_disdette@BANCA.IT. Legalmail e' per l'azienda legalmail.
Altrimenti cosa mi vieta di spacciarmi per "canalecinque@legalmerdameil.it"?
Ma il consumatore a forza di sentirsi
picchiare da parte della pubblicità del fornitori, dello stato,
della pubblica amministrazione e del commercialista bastardo
dell'importanza di una e-mail guasta da per scontato che sia
automaticamente certificante di perfezione.
Che cosa certifichi nessuno gli ha mai
spiegato.
Se fosse una vera posta
certificata durante lo scambio di battute, addirittura durante
l'invio, apparirebbe sul client del consumatore chi è quella persona
con la quale sta parlando.
Invece lo scambio di battute che
avviene tra truffato il truffatore continuerà incredibilmente senza
che il primo abbia nessun sentore che ci sia qualcosa di sbagliato.
Non solo, non puo' neppure verificare l'identita' della controparte.
Dopotutto una e-mail, che contiene il nome della banca nel posto sbagliato perche' lo stato vuole cosi', per il
truffato che è stato così tanto pompato negli ultimi anni su questa
favolosa che tutto può PEC, non può che essere della banca stessa.
Altrimenti cosa servirebbe la certificatura tanto sbandierata?
Nel momento che il truffato si sente
sicuro di parlare con la propria banca, perché il canale e'
certificato secondo la pubblicità, riusciamo a capire che è
possibile passare molte barriere di diffidenza che esistono per
esempio in una comunicazione via fax o attraverso una e-mail normale.
Anche una persona che normalmente avrebbe
qualche problema a fornire informazioni che possono portare a truffe
diviene automaticamente un agnellino.
In questo caso e' sbagliato dire che ottenevano la fiducia delle vittime, come avviene in
una truffa classica, perché questo meccanismo era fornito dal
poderoso stato italico attraverso la posta elettronica comune (PEC).
Dopotutto i bancari, come medici e
altre professioni, ancora oggi hanno una aura di serietà.
Nel
momento che una persona, magari non un genio, si ritrova convinta
grazie alla PEC di interloquire con un'entità a cui ha dato già la
fiducia di conservare tutti i propri averi è abbastanza ovvio che
e' prona, ad esempio, a fornire delle credenziali “per far prima” nel
momento nel quale, per esempio, esiste una fretta dovute agli impegni
che sopravvengono per una morte di un familiare.
Non pensiamo infatti che siano tutti
degli idioti quelli che si sono fatti truffare.
Vi crepa il genitore?
Voglio vedere quanto state sul pezzo con la testa per estinguere tutte le
pendenze che vi arrivano addosso in una situazione del genere.
“Una donna inconsapevole di aver
affidato i suoi dati bancari ai cybercriminali e che si è vista
sottrarre 49 mila euro con un falso bonifico, un'altra donna truffata
con lo stesso metodo, convinta di aver chiuso un conto bancario
tramite la posta certificata”
Come vedete non hanno fatto niente di
particolare, se seguite il filo del discorso.
Soprattutto la seconda che sembra essere il caso piu' diffuso.
Probabilmente ha
mandato a una PEC di un truffatore tutto ciò che è necessario per
chiudere un conto corrente. (ricordiamo che l'indirizzo della banca non e' all'indirizzo della banca ma spesso ad un arruBBa qualsiasi?)
Il truffatore, probabilmente, ha
semplicemente re-inviato quei dati dalla sua PEC ma con il numero del
conto corrente di destinazione diverso. Alla faccia del
cybercriminale! conoscenza mega per inoltrare una mail...
Come ho già detto è un tipo di posta
(la maledetta PEC) che non fornisce l'identità dell'inviante o del
destinatario perciò è indifferente che la richiesta provenga dalla
donna che ha chiuso conto corrente o del truffatore.
“i responsabili sono riusciti ad
interporsi tra i clienti e gli istituti bancari utilizzando degli
indirizzi di posta elettronica certificata registrati con servizi
come Aruba e Legalmail e poi inseriti in portali istituzionali come
www.inipec.gov.it e www.registroimprese.it “
Lasciamo stare un attimo la ridicolaggine che un paio di elenchi (con doppioni e indirizzi scaduti) che si puo' cambiare attraverso mera iscrizione possa definirsi certificante della proprieta' di un indirizzo di e-mail.
Ancora una volta vediamo la pochezza
del sistema sottostante.
Non è tanto che la PEC faccio schifo.
Dopotutto ci sono sistemi ben peggiori dell'invio di una posta
elettronica comune (PEC).
Il problema nasce quando si chiama sicura
una cosa che non lo è.
Per esempio:
se io dico che i freni di quell'auto
sono regolari e poi in autostrada vi accorgete che non ci sono più è
un problema.
Se invece vi informo che i freni di
quell'auto frenano molto poco perché guasti probabilmente non la
tirate fuori dal parcheggio o se lo fate marciate a velocità da
passo d'uomo per portarla dal meccanico.
Stessa auto, stessi freni diverso
vostro comportamento.
Quello che cambia è l'informazione che
è arrivata.
Una persona che utilizza la PEC è una
persona che è convinta che sia un mezzo migliore della posta
elettronica che trova gratuitamente ovunque.
Questa miglioria è
strombazzata in tutte le maniere e spesso viene, erroneamente,
considerata obbligatoria dal commercialista.
Perché, se ci pensiamo, chi fa uso di
una e-mail a pagamento alquanto strana lo fa solo per un motivo:
un'informativa che lo ha convinto che quel tipo di trasmissione dei
dati è migliore che una banale telefonata alla propria banca o una
vecchia raccomandata.
Sarebbe strano pensare che una persona
che fa uso di una costosa e-mail lo faccia per un motivo estetico (
ho il SUV più grosso del tuo).
Fa uso della Pec solo ed
esclusivamente per un maledetto motivo: la Pec gli sembra più
sicura, anzi, per la strombazzata che è stata fatta nel suo cervello
da centinaia di attori, la Pec protegge tutto e certifica l'universo.
È banale, ovvio, che se qualcuno pensa
che la Pec sia uno strumento maledettamente sicuro, molto più di una
e-mail normale gratuita, da per scontato che il canale sia, come gli
è stato detto, certificato.
Se si va a vedere cosa significa in
italiano la parola certificato appare chiaro che chi usa la posta
elettronica citrulli (PEC) da per scontato che:
l'interlocutore sia assolutamente
certo,
la comunicazione sia avvenuta
certamente,
Il contenuto sia invariante e
che possa essere letta solo di
esclusivamente dal destinatario.
Il truffatore ha semplicemente capito
che nulla di questo e' vero.
Alla faccia del cybercriminale che hanno tanto pompato.
Forse e' solo uno che ha letto la legislazione italiana.
Siamo in attesa della prossima avventura della posta costruita dagli stupidi per complicare la vita.