allarme web: le reti degli atenei usate per derubare i conti correnti degli utenti

da la repubblica del 16\01\2009.

La polizia: il phishing parte da lì. Hacker anche alla Bocconi

Ed ora, un po' di pubblicità

Un professore ha scoperto che gli studenti avevano rubato mail con la
traccia d´esame
ORIANA LISO

MILANO - Studenti maghi del computer e hacker professionisti. Nelle
reti informatiche delle università italiane entra chi vuole. Per rubare le
tracce d´esame o per svuotare indisturbati conti correnti: qualunque sia
l´obiettivo, quel che è certo è che i computer di molti atenei sono dei veri
colabrodo, per colpa di macchine vecchie, di antivirus obsoleti, oppure in
nome di un libero Web che diventa un "liberi tutti". A farne le spese, però,
potrebbe essere anche la sicurezza nazionale: il decreto Pisanu sul
terrorismo stabilisce norme severe per la registrazione dei dati del
traffico telematico necessari per ricostruire la "tracciabilità" di ogni
accesso.
Sono norme che valgono anche per le università, ma che vengono spesso
ignorate, come dimostra l´esposto fatto alla polizia postale da una grande
banca in cui si spiega: «Nel corso delle attività di controllo per la
prevenzione di fenomeni fraudolenti ai danni della nostra clientela è stato
riscontrato che frequentemente, qualche giorno prima o in alcuni casi subito
dopo l´effettuazione delle disposizioni fraudolente di bonifico, sono stati
effettuati accessi da indirizzi IP diversi da quelli normalmente utilizzati
dal cliente assegnatario dell´utenza». Tra le classi IP identificate, sei
appartengono a università: il Politecnico di Torino, l´università di
Trieste, la Statale di Milano, la Federico II di Napoli, l´università di
Pisa e la Sapienza di Roma. Tutte accomunate - ma non sono le sole - dallo
stesso destino: quello di aver fatto da "nascondigli" per truffatori
informatici. Il meccanismo ricostruito dagli investigatori è tutto sommato
semplice: un "phisher" riesce ad ottenere con email-truffa i dati di un
comune cittadino che ha un conto online. Con quei codici il truffatore
potrebbe, dal suo computer, svuotare il conto del povero truffato. Ma
lascerebbe una traccia: quel codice IP che identifica ogni computer
collegato a una rete telematica. Invece, utilizzando gli IP delle
università, la traccia si perde e a quel punto, per gli investigatori, è
impossibile arrivare al vero colpevole.
Altra storia. Un docente della Bocconi di Milano fa una denuncia in
procura: «Dispongo di un pc dell´università in mio uso esclusivo: per
l´accesso - anche per la email istituzionale consultabile anche con
webmail - servono nome utente e password, che sono di mia sola conoscenza.
Il pc è nel mio ufficio che chiudo sempre a chiave». Fatta questa premessa,
il professore racconta che una sua collega gli aveva spedito una email con
il compito che qualche giorno dopo lui avrebbe fatto sostenere agli
studenti: il professore la legge e poi va a lezione chiudendo a chiave il
suo ufficio. Racconta: «Il giorno successivo si sono presentati nel mio
ufficio due studenti che non conosco e mi hanno posto domande sul compito.
Mi hanno lasciato perplesso in quanto erano molto specifiche, come se
l´avessero già letto. Pertanto l´ho subito riscritto». Il tarlo, però,
resta, così il professore contattata l´help desk dell´università: «Mi hanno
detto che non risultavano accessi se non dalla mia stanza: dieci accessi
abusivi nelle ore in cui ero a lezione».
Problemi di sicurezza noti agli esperti del settore. «Le università
italiane sono sicuramente all´avanguardia per molti aspetti legati alla
Rete - spiega Marco Maglio, avvocato che si occupa di protezione dei dati
personali - ma per altri c´è ancora molto da fare: servirebbe uno sforzo in
più, una presa di coscienza della pericolosità di alcuni comportamenti, per
evitare che i loro sistemi siano immensi "passaggi" aperti a tutti».
Resta un altro fronte, il più volatile. È quello delle reti wireless:
permettono agli studenti di utilizzare Internet gratis, ed è sicuramente un
bene. Ma permettono - se non debitamente protette - anche a chi è appena
fuori le mura dell´ateneo di navigare gratis grazie al canale universitario.
Una possibilità non solo teorica, che ha - tra le sue applicazioni
illecite - anche l´ipotesi di accessi illegali alle informazioni riservate
di ogni ateneo. Spiegano dalla Cattolica: «La rete wi-fi è fisicamente
separata dalla rete aziendale e abbiamo un sistema di riconoscimento delle
identità con user e password, che verrà attivato anche sulla rete interna:
questo dovrebbe scoraggiare notevolmente le attività illecite e lasciare
comunque la libertà di navigare».