Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 9 Ottobre 2025 07:29
Milioni di persone utilizzano VPN mobili per nascondere il proprio traffico, aggirare i blocchi e navigare sul web in sicurezza. Una ricerca di Zimperium zLabs ha rivelato che un numero significativo di app gratuite non solo non fornisce una protezione efficace, ma crea anche nuovi rischi. Il team ha analizzato quasi 800 VPN gratuite per Android e iOS e ha osservato un comportamento coerente in molte app.
Offrono poca privacy, richiedono autorizzazioni inutili e pericolose, perdono dati e utilizzano codice obsoleto. Con le politiche BYOD, questo non è più un evento comune, ma una vulnerabilità della sicurezza aziendale, poiché anche un client popolare può diventare un anello debole e far trapelare dati sensibili.
Una VPN dovrebbe crittografare il canale tra il dispositivo e il server remoto. Questo nasconde il vero indirizzo IP e rende l’intercettazione del traffico molto più difficile. Idealmente, dovrebbe essere come una lettera in una busta sigillata, non una cartolina. Il problema è che alcune applicazioni presentano delle fessure nella busta e alcune vengono persino manomesse durante la consegna.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
L’osservazione più allarmante riguarda le librerie di terze parti. Gli sviluppatori continuano a integrare vecchi componenti con bug critici noti da tempo. È stato scoperto che tre applicazioni contenevano una vecchia build di OpenSSL con la vulnerabilità Heartbleed, identificata come CVE-2014-0160. Questa vulnerabilità consente l’accesso remoto alla memoria e l’esfiltrazione di chiavi di crittografia, password e altri segreti. È passato più di un decennio, esistono patch, eppure queste versioni vengono ancora rilasciate. Ciò è indicativo di scarsa igiene nello sviluppo e di disattenzione per i dati degli utenti.
Anche il canale di comunicazione non è dei migliori. Circa l’1% dei client verificati era vulnerabile ad attacchi man-in-the-middle. Questo comporta una convalida impropria dei certificati. L’applicazione accetta un certificato falso, stabilisce una connessione apparentemente sicura con l’aggressore e quindi inoltra il traffico per ulteriori analisi. L’utente è sicuro che tutto vada bene, il server non se ne accorge, eppure i dati riescono comunque a passare nelle mani sbagliate.
Un problema separato relativo alla trasparenza è emerso su iOS. Apple richiede che la raccolta e l’utilizzo dei dati siano divulgati in modo trasparente nel profilo dell’app e tramite il manifesto della privacy. Le ricerche dimostrano che le dichiarazioni formali spesso non sono in linea con la logica operativa effettiva. Un quarto delle app non contiene nemmeno un manifesto della privacy adeguato. Per i software che promettono anonimato e riservatezza, tale opacità rappresenta di per sé un rischio. L’utente non può fornire un consenso informato, l’azienda non può verificare correttamente il fornitore e flussi di telemetria e identificativi nascosti possono essere facilmente trasformati in profili utente.
Poi ci sono le autorizzazioni che l’app richiede al sistema. Negli ecosistemi Android e iOS, ci sono richieste completamente inutili per lo scopo previsto di una VPN. Su Android, ad esempio, si tratta di AUTHENTICATE_ACCOUNTS, che consente la gestione di account e token, e READ_LOGS, che consente la lettura dei log di sistema. La prima apre le porte al furto di identità, mentre la seconda trasforma l’app in una spia con accesso alle azioni dell’utente e all’attività di altre app. Su iOS, ci sono richieste di accesso costante alla geolocalizzazione e alla rete locale. La prima fornisce una cronologia completa dei movimenti, mentre la seconda consente la scansione silenziosa dei dispositivi di casa e ufficio e la ricerca di obiettivi di attacco. Gli sviluppatori spiegano queste autorizzazioni citando la selezione automatica dei nodi o i controlli di sicurezza della rete, ma per una VPN si tratta di funzionalità eccessive e pericolose.
Un altro dato allarmante riguarda i permessi privati in iOS. Oltre il sei percento delle app, trenta in totale, ha richiesto permessi che garantiscono un accesso approfondito alle funzionalità di sistema. Una richiesta del genere è un campanello d’allarme. Anche se la piattaforma non li concede, il solo fatto di tentare di farlo indica l’intenzione di andare oltre le API pubbliche. Con questi permessi, è possibile eseguire chiamate di sistema, recuperare dati sensibili dalla memoria e aumentare i privilegi.
La conclusione è semplice e spiacevole.
Non tutte le VPN sono ugualmente utili, soprattutto se gratuite. Per gli utenti domestici, questo rappresenta un rischio per la privacy, mentre per le aziende che utilizzano dispositivi sia proprietari che personali nello stesso ambiente, rappresenta anche un rischio aziendale.
RedazioneDietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
Nel 2025, le comunità IT e della sicurezza sono in fermento per un solo nome: “React2Shell“. Con la divulgazione di una nuova vulnerabilità, CVE-2025-55182, classificata CVSS 10.0, sviluppatori ...
Cloudflare torna sotto i riflettori dopo una nuova ondata di disservizi che, nella giornata del 5 dicembre 2025, sta colpendo diversi componenti della piattaforma. Oltre ai problemi al Dashboard e all...
