Redazione RHC : 9 Ottobre 2025 07:29
Milioni di persone utilizzano VPN mobili per nascondere il proprio traffico, aggirare i blocchi e navigare sul web in sicurezza. Una ricerca di Zimperium zLabs ha rivelato che un numero significativo di app gratuite non solo non fornisce una protezione efficace, ma crea anche nuovi rischi. Il team ha analizzato quasi 800 VPN gratuite per Android e iOS e ha osservato un comportamento coerente in molte app.
Offrono poca privacy, richiedono autorizzazioni inutili e pericolose, perdono dati e utilizzano codice obsoleto. Con le politiche BYOD, questo non è più un evento comune, ma una vulnerabilità della sicurezza aziendale, poiché anche un client popolare può diventare un anello debole e far trapelare dati sensibili.
Una VPN dovrebbe crittografare il canale tra il dispositivo e il server remoto. Questo nasconde il vero indirizzo IP e rende l’intercettazione del traffico molto più difficile. Idealmente, dovrebbe essere come una lettera in una busta sigillata, non una cartolina. Il problema è che alcune applicazioni presentano delle fessure nella busta e alcune vengono persino manomesse durante la consegna.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
L’osservazione più allarmante riguarda le librerie di terze parti. Gli sviluppatori continuano a integrare vecchi componenti con bug critici noti da tempo. È stato scoperto che tre applicazioni contenevano una vecchia build di OpenSSL con la vulnerabilità Heartbleed, identificata come CVE-2014-0160. Questa vulnerabilità consente l’accesso remoto alla memoria e l’esfiltrazione di chiavi di crittografia, password e altri segreti. È passato più di un decennio, esistono patch, eppure queste versioni vengono ancora rilasciate. Ciò è indicativo di scarsa igiene nello sviluppo e di disattenzione per i dati degli utenti.
Anche il canale di comunicazione non è dei migliori. Circa l’1% dei client verificati era vulnerabile ad attacchi man-in-the-middle. Questo comporta una convalida impropria dei certificati. L’applicazione accetta un certificato falso, stabilisce una connessione apparentemente sicura con l’aggressore e quindi inoltra il traffico per ulteriori analisi. L’utente è sicuro che tutto vada bene, il server non se ne accorge, eppure i dati riescono comunque a passare nelle mani sbagliate.
Un problema separato relativo alla trasparenza è emerso su iOS. Apple richiede che la raccolta e l’utilizzo dei dati siano divulgati in modo trasparente nel profilo dell’app e tramite il manifesto della privacy. Le ricerche dimostrano che le dichiarazioni formali spesso non sono in linea con la logica operativa effettiva. Un quarto delle app non contiene nemmeno un manifesto della privacy adeguato. Per i software che promettono anonimato e riservatezza, tale opacità rappresenta di per sé un rischio. L’utente non può fornire un consenso informato, l’azienda non può verificare correttamente il fornitore e flussi di telemetria e identificativi nascosti possono essere facilmente trasformati in profili utente.
Poi ci sono le autorizzazioni che l’app richiede al sistema. Negli ecosistemi Android e iOS, ci sono richieste completamente inutili per lo scopo previsto di una VPN. Su Android, ad esempio, si tratta di AUTHENTICATE_ACCOUNTS, che consente la gestione di account e token, e READ_LOGS, che consente la lettura dei log di sistema. La prima apre le porte al furto di identità, mentre la seconda trasforma l’app in una spia con accesso alle azioni dell’utente e all’attività di altre app. Su iOS, ci sono richieste di accesso costante alla geolocalizzazione e alla rete locale. La prima fornisce una cronologia completa dei movimenti, mentre la seconda consente la scansione silenziosa dei dispositivi di casa e ufficio e la ricerca di obiettivi di attacco. Gli sviluppatori spiegano queste autorizzazioni citando la selezione automatica dei nodi o i controlli di sicurezza della rete, ma per una VPN si tratta di funzionalità eccessive e pericolose.
Un altro dato allarmante riguarda i permessi privati in iOS. Oltre il sei percento delle app, trenta in totale, ha richiesto permessi che garantiscono un accesso approfondito alle funzionalità di sistema. Una richiesta del genere è un campanello d’allarme. Anche se la piattaforma non li concede, il solo fatto di tentare di farlo indica l’intenzione di andare oltre le API pubbliche. Con questi permessi, è possibile eseguire chiamate di sistema, recuperare dati sensibili dalla memoria e aumentare i privilegi.
La conclusione è semplice e spiacevole.
Non tutte le VPN sono ugualmente utili, soprattutto se gratuite. Per gli utenti domestici, questo rappresenta un rischio per la privacy, mentre per le aziende che utilizzano dispositivi sia proprietari che personali nello stesso ambiente, rappresenta anche un rischio aziendale.
RedazioneGli sviluppatori del gestore di password LastPass hanno avvisato gli utenti di una campagna di phishing su larga scala iniziata a metà ottobre 2025. Gli aggressori stanno inviando e-mail contenenti f...
I ricercatori di NeuralTrust hanno scoperto una vulnerabilità nel browser di ChatGPT Atlas di OpenAI. Questa volta, il vettore di attacco è collegato alla omnibox, la barra in cui gli utenti inseris...
Wordfence lancia l’allarme su una campagna malware su larga scala in cui gli aggressori stanno sfruttando vulnerabilità critiche nei popolari plugin di WordPress GutenKit e Hunk Companion. L’azie...
Un nuovo post sul dark web mette in vendita l’accesso amministrativo a un negozio online italiano basato su Magento. Prezzo: 200 dollari. Clienti e ordini in chiaro, e un rischio enorme per la sicur...
Microsoft Teams riceverà un aggiornamento a dicembre 2025 che consentirà di monitorare la posizione dei dipendenti tramite la rete Wi-Fi dell’ufficio. Secondo la roadmap di Microsoft 365 , “quan...
