Perché non bisogna MAI usare le chiavette USB trovate in giro

In quello che forse è il più coinvolgente episodio dell'hacker drama Mr. Robot, uno degli hacker della fsociety molla una manciata di chiavette USB nel parcheggio di una prigione, nella speranza che qualcuno le raccolga e le inserisca nel suo computer d'ufficio, permettendo agli hacker di penetrare nella rete del carcere. Ovviamente, poco dopo un secondino abbocca all'amo.

Sfruttare delle chiavette USB-trappola è una delle più classiche tecniche hacker. Ma quanto è realmente efficace? Un gruppo di ricercatori dell'Università dell'Illinois hanno deciso di scoprirlo, lasciando 297 chiavette USB presso il campus Urbana-Champaign dello scorso anno della scuola.

La sorpresa è che funziona. Nel nuovo studio, i ricercatori stimano che almeno il 48 percento delle persone raccoglieranno una chiavetta USB trovata a terra e la inseriranno nel loro computer, poco prima di aprire i file dentro di essa. Inoltre, praticamente tutti i dispositivi (il 98 percento) sono stati spostati dal luogo in cui erano stati lasciati dai ricercatori.

Pochissime persone hanno affermato di essere preoccupato per la loro sicurezza. Il 68 percento delle persone ha detto di non aver adottato precauzioni, secondo lo studio, che apparirà nel 37th IEEE Symposium on Security and Privacy, in uscita a maggio.

"Credo che il mio macbook sia un'ottima difesa contro i virus," ha detto uno dei partecipanti allo studio, mentre un altro è sembrato cosciente dei rischi, ma non gli importava granché: "Ho sacrificato un computer dell'università."

135 persone hanno effettivamente aperto i file contenuti nelle chiavette, secondo lo studio. I ricercatori non hanno inserito alcun malware nelle USB, ma ma hanno lasciato un file HTML contenente un'immagine che permetteva ai ricercatori di rilevare l'apertura del documento. Il file HTML conteneva anche un sondaggio, che aveva lo scopo di informare gli studenti del fatto che fossero diventati parte di un esperimento, e cercava di scoprire perché avessero raccolto la chiavetta e avessero aperto i file contenuti in essa.

"È facile ridere di questo tipo di attacchi, ma la cosa che spaventa è che funzionano davvero—è una tendenza di cui bisogna parlare per davvero," mi ha spiegato per mail il ricercatore principale dello studio, Matt Tischer.

Nello studio, i ricercatori concludono che "l'aneddoto secondo cui gli utenti raccolgono e inseriscono nel loro computer qualunque chiavetta USB trovino è vero."

Sulla base delle risposte dei partecipanti al sondaggio, i ricercatori hanno concluso che la maggior parte delle persone lo fanno mossi da "intenzione altruistiche." Infatti, il 68 percento delle persone ha detto di averlo fatto nel tentativo di trovare il proprietario, mentre il 18 percento ha ammesso che si trattava di mera curiosità. In ogni caso, considerate le azioni, sembra che molti abbiano sopravvalutato le loro buone intenzioni. Al di là del fatto che alcune chiavette USB contenevano un file di spiegazione, quasi la metà degli utenti non lo ha aperto, e invece si è messo a guardare le foto di una vacanza contenute nella chiavetta, "sopraffatti dalla curiosità," come dicono i ricercatori.

Tischer ha detto che è difficile riuscire a prevenire che accada qualcosa del genere. "Non ci sono soluzioni semplici a questi problemi, ma senza dubbio vanno oltre il mero errore tecnico e servono per comprendere a fondo i fattori sociali, comportamentali ed economici che influenzano il comportamento umano," ha spiegato in una mail. "C'è una differenza tra avvisare l'utente che una determinata azione è pericolosa e convincerlo a evitarla in tutto e per tutto. Dobbiamo restringere la forbice che separa questi due concetti."