Quanto è pericoloso il WiFi pubblico?

Le connessioni WiFi pubbliche, messe a disposizione da istituzioni, ristoranti, bar e altri esercizi commerciali, sono una buona soluzione per controllare la posta, dare un’occhiata alle notifiche di Facebook e navigare senza prosciugare il proprio piano dati su rete cellulare (quando funzionano). Il problema è che talvolta le reti cui ci si collega mentre si è in giro non sono per nulla sicure, al punto da permettere a utenti malintenzionati di ottenere informazioni come le credenziali di accesso al proprio account email, ai social network cui si è iscritti o al proprio conto in banca. Le raccomandazioni da parte degli esperti di sicurezza informatica per proteggere i propri dati sono ricorrenti ma finiscono quasi sempre inascoltate. Maurits Martijn del magazine olandese De Correspondent ha passato una giornata in giro per i bar di Amsterdam insieme con un hacker, dimostrando quanto siano poco sicure le reti WiFi pubbliche.

Martijn racconta che per ottenere informazioni da computer e smartphone collegati al WiFi dei bar in cui è stato, l’hacker Wouter Slotboom utilizza una piccola scatoletta nera, grande quanto un pacchetto di sigarette, che serve per intercettare le connessioni senza fili e analizzare i dati che vengono scambiati. Di solito gli smartphone e i laptop hanno impostazioni predefinite per fare in modo che siano cercate automaticamente le reti WiFi cui ci si può collegare; e spesso si collegano automaticamente alle reti cui si erano già collegati in passato. La scatoletta di Slotboom crea una rete WiFi che finge di essere una di queste reti molto comuni, come quelle delle catene di ristoranti e bar che offrono la connessione senza fili.

Il dispositivo di Slotboom è in grado di intercettare i dispositivi che cercano la rete e di fingersi il WiFi che questi stanno cercando. Nel mio caso, ho immediatamente visto il nome della rete cui mi collego a casa nella lista dei WiFi disponibili, così come quella del mio posto di lavoro, quelle di alcuni bar, hotel, treni e altri luoghi pubblici in cui sono stato. Il mio telefono si è collegato automaticamente a una di queste reti, che in realtà è gestita dalla scatoletta nera.

Non sempre questo sistema funziona, spiega Martijn, e quindi altre circostanze Slotboom imposta il suo dispositivo in modo che trasmetta il nome di una rete plausibile per il luogo pubblico in cui ci si trova. Se per esempio il nome della rete del locale in cui ci si trova è un insieme casuale di lettere e numeri, Slotboom crea con il suo dispositivo una rete WiFi che si chiama semplicemente come il locale in cui si trova, cosa che rende più probabile che qualcuno abbocchi pensando di collegarsi al WiFi pubblico offerto da quell’esercizio commerciale.

Martijn racconta che con questo sistema in un locale abbastanza affollato in pochi minuti una ventina di dispositivi si sono collegati alla rete creata dall’hacker che lo accompagnava. Stabilita la connessione, e quindi una via di accesso tra il computer di Slotboom e i dispositivi degli ignari frequentatori del bar, è stato possibile visualizzare l’elenco delle reti cui quelle persone si erano collegate in precedenza e in alcuni casi anche i loro nomi, se associati al loro dispositivo.

Utilizzando un programma facilmente reperibile online, l’hacker è poi andato un passo oltre per ottenere informazioni più dettagliate sui dispositivi connessi alla sua scatola nera. Ha per esempio scoperto il modello degli smartphone collegati e il sistema operativo installato. Ogni sistema operativo ha qualche falla, conoscendone la versione è possibile sfruttarle per ottenere l’accesso a informazioni riservate, che solo il proprietario dovrebbe potere vedere. Il programma usato da Slotboom elenca le falle note di ogni versione dei sistemi operativi, facilitando molto il compito a chi vuole sfruttarle.

Davanti a Martijn, Slotboom ha fatto altre cose: ha visto in tempo reale a quali siti si stesse collegando un determinato computer, quali dispositivi stessero usando particolari servizi online come per esempio DropBox per salvare i file in rete o Tumblr per pubblicare post online. L’hacker ha anche rilevato un check-in effettuato su FourSquare, e da quello è potuto risalire facilmente all’identità della persona che lo ha effettuato e che si trovava a pochi metri dal tavolo occupato insieme a Martijn. Slotboom ha usato il suo sistema anche per scoprire quali applicazioni fossero installate su alcuni smartphone, grazie al fatto che queste inviano e ricevono in automatico informazioni per aggiornare il loro stato, anche quando non sono usate direttamente dal proprietario del telefono.

Per proteggere meglio i dati che sono trasmessi online, molte applicazioni, programmi e servizi online utilizzano sistemi per criptare le informazioni, in modo che siano comprensibili solo al dispositivo che le invia e a quello che lo riceve. Se però il mittente di questi dati viene dirottato sulla rete fittizia creata da Slotboom, le cose cambiano e diventa meno complicato decodificare le informazioni.

Spiega Martijn:

Abbiamo potuto vedere il nome e cognome di una donna che stava usando il sistema di social bookmarking Delicious. Il servizio permette di condividere indirizzi e di creare segnalibri di contenuti cui si è interessati. Le pagine create da Delicious sono visibili pubblicamente, eppure non abbiamo potuto che sentirci dei voyeur quando ci siamo resi conto di quanto fosse possibile scoprire di questa donna sulla base di queste informazioni.

Prima abbiamo cercato su Google il suo nome, che ci ha permesso di scoprire il suo aspetto e di identificarla all’interno del locale. Abbiamo scoperto che non è nata nei Paesi Bassi e che si è trasferita qui solo di recente. Tramite Delicious abbiamo scoperto che ha consultato un sito per prendere lezioni di olandese e che ha messo tra i preferiti un sito su un corso di integrazione per chi si trasferisce nei Paesi Bassi. In 20 minuti abbiamo scoperto: dove è nata, dove ha studiato, che le piace lo yoga, che ha cercato sistemi per smettere di russare, che è stata di recente in Thailandia e nel Laos e che ha uno spiccato interesse per i siti che danno consigli su come tenere in piedi una relazione.

Slotboom ha inoltre mostrato a Martijn un’applicazione sul suo smartphone che permette di cambiare i contenuti di un qualsiasi sito che viene visitato da qualcuno collegato alla sua rete fittizia. Con questo sistema si possono cambiare i testi visualizzati sul sito, o cambiare le immagini caricate. Cosa potenzialmente pericolosa, perché un utente malintenzionato potrebbe caricare fotografie a contenuto pedopornografico, facendole finire nella memoria del dispositivo dirottato, e in molti paesi possedere immagini di questo tipo costituisce reato.

Alla fine del loro giro tra i locali di Amsterdam, Martijn ha chiesto a Slotboom di dimostrargli che cosa avrebbe potuto fare per rovinargli davvero la vita. L’hacker gli ha chiesto di visitare un servizio di posta elettronica online e di inserire una username e una password a caso. Pochi istanti dopo, quelle informazioni sono comparse sullo schermo di Slotboom, che avrebbe quindi potuto collegarsi alla posta elettronica e da lì avere accesso a molti altri account di altri servizi, collegati a quell’indirizzo.

“La prima cosa che farei”, ha spiegato Slotboom a Martijn, “sarebbe cambiare la password del tuo account di posta elettronica e di dire agli altri servizi che usi di avere dimenticato la password. Molte persone usano lo stesso indirizzo email per tutti i loro servizi. Quelle nuove password sarebbero inviate alla tua posta elettronica, cosa che mi permetterebbe di averle a disposizione”. Martijn racconta che in meno di 20 minuti l’hacker è riuscito a ottenere i dettagli del suo account di posta elettronica, del suo conto corrente online, di Facebook e di altri servizi online. E tutto era partito dalla decisione di provare a collegarsi a una rete WiFi pubblica in un bar e guardare la posta.