Il vero Mr. Robot

Ken Westin è uno stalker online. Scrive malware, insegue i suoi obiettivi tramite i loro dispositivi e usa i social media per raccogliere informazioni su come riuscire a penetrare dentro le reti. Ed è bravo. C'è chi lo chiama "Mr. Robot," in riferimento alla serie televisiva di successo che racconta la controcultura hacker.

"Era il mio soprannome su Crimewatch Daily, dove abbiamo hackerato una smarthome da 6 milioni di dollari e dei baby monitor il mese scorso," ha detto Westin in una mail.

Ma, a meno che non siate criminali, non avete nulla da temere.

Westin usa le sue capacità per aiutare le agenzie investigative, tra cui LAPD, NYPD e FBI, a risolvere casi. Una richiesta tipica può implicare l'uso di trojan, o prendere il controllo in remoto di un computer o un tablet rubato. In diverse occasioni, i dispositivi in questione hanno condotto a gruppi criminali ricercati, e gli agenti sono stati in grado di ottenere le prove di altri crimini—tra cui spaccio, traffico di armi e, in un altro caso, furto d'auto—commessi dal crimine organizzato.

Ha anche creato il search engine CameraTrace, in risposta ad un'ondata crescente di furti di macchine fotografiche di fascia alta. Queste macchine inseriscono numero di serie, marca e modello nelle immagini che producono. CameraTrace indicizza tutte le foto su Flickr e altri social media, per scovare i numeri seriali che corrispondano alla macchina fotografica rubata.

Nel suo lavoro di tutti i giorni, Westin è un senior security analyst alla Tripwire, dove calcola minacce reali e potenziali e lavora con aziende per rendere le loro infrastrutture più sicure.

Parte delle sue mansioni prevedono che operazioni di stalking mirate su persone, sulla base dei loro profili sui social media. Chiama la cosa "ricognizione passiva."

"Mi è bastato usare la ricognizione passiva per spaventare a morte le aziende," ha detto, spiegando che, senza bisogno di entrare nelle reti aziendali, era comunque in grado di sapere quale database, quale sistema operativo e quali applicazioni di sicurezza adoperassero i suoi clienti.

I profili degli impiegati su LinkedIn citano spesso i sistemi con cui quegli impiegati lavorano al momento. Anche gli annunci di lavoro sono utili per raccogliere informazioni su una determinata rete aziendale.

"Sono dettagli utilissimi per chiunque voglia sferrare un attacco," ha detto. "Tutto ciò che è su Facebook e LinkedIn può essere usato contro di te."

Inoltre, usa i profili sui social media per attuare campagne di spear-phishing verso gli amministratori di sistema.

Westin parlerà della sua storia quest'anno a SecTor, una conferenza di sicurezza informatica che si tiene a Toronto, in una talk intitolata Confessions of a Professional Cyber Stalker. Inutile dire che chiunque sia interessato ai temi di privacy e sicurezza non dovrebbe perdersela, dato che le stesse tecniche usate da Westin per inseguire i criminali possono essere utilizzate per tracciare chiunque di noi.

Come possiamo difenderci dagli stalker online?

"Per prima cosa, mettete un pezzo di nastro adesivo sulla vostra web cam," ha detto Westin. "Secondo, fate attenzione a quali app installate, sia sul computer portatile che sul telefono. Guardate che permessi state dando."

I permessi richiesti sugli smartphone sono spesso molti di più di quelli davvero necessari, ha detto. LinkedIn ha un sistema di preferenze di privacy che vi permette di nascondere certe informazioni, per esempio. Usatelo, ha consigliato, e state attenti con chi vi mettete in contatto sul sito.

"Terza cosa, leggete le norme sulla privacy delle app," ha detto. "Se non state pagando un prodotto, vuol dire che il prodotto siete voi. Raccolgono informazioni grazie a voi, e la cosa può mettervi nei guai."