Redazione RHC : 9 Ottobre 2025 07:29
Milioni di persone utilizzano VPN mobili per nascondere il proprio traffico, aggirare i blocchi e navigare sul web in sicurezza. Una ricerca di Zimperium zLabs ha rivelato che un numero significativo di app gratuite non solo non fornisce una protezione efficace, ma crea anche nuovi rischi. Il team ha analizzato quasi 800 VPN gratuite per Android e iOS e ha osservato un comportamento coerente in molte app.
Offrono poca privacy, richiedono autorizzazioni inutili e pericolose, perdono dati e utilizzano codice obsoleto. Con le politiche BYOD, questo non è più un evento comune, ma una vulnerabilità della sicurezza aziendale, poiché anche un client popolare può diventare un anello debole e far trapelare dati sensibili.
Una VPN dovrebbe crittografare il canale tra il dispositivo e il server remoto. Questo nasconde il vero indirizzo IP e rende l’intercettazione del traffico molto più difficile. Idealmente, dovrebbe essere come una lettera in una busta sigillata, non una cartolina. Il problema è che alcune applicazioni presentano delle fessure nella busta e alcune vengono persino manomesse durante la consegna.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
L’osservazione più allarmante riguarda le librerie di terze parti. Gli sviluppatori continuano a integrare vecchi componenti con bug critici noti da tempo. È stato scoperto che tre applicazioni contenevano una vecchia build di OpenSSL con la vulnerabilità Heartbleed, identificata come CVE-2014-0160. Questa vulnerabilità consente l’accesso remoto alla memoria e l’esfiltrazione di chiavi di crittografia, password e altri segreti. È passato più di un decennio, esistono patch, eppure queste versioni vengono ancora rilasciate. Ciò è indicativo di scarsa igiene nello sviluppo e di disattenzione per i dati degli utenti.
Anche il canale di comunicazione non è dei migliori. Circa l’1% dei client verificati era vulnerabile ad attacchi man-in-the-middle. Questo comporta una convalida impropria dei certificati. L’applicazione accetta un certificato falso, stabilisce una connessione apparentemente sicura con l’aggressore e quindi inoltra il traffico per ulteriori analisi. L’utente è sicuro che tutto vada bene, il server non se ne accorge, eppure i dati riescono comunque a passare nelle mani sbagliate.
Un problema separato relativo alla trasparenza è emerso su iOS. Apple richiede che la raccolta e l’utilizzo dei dati siano divulgati in modo trasparente nel profilo dell’app e tramite il manifesto della privacy. Le ricerche dimostrano che le dichiarazioni formali spesso non sono in linea con la logica operativa effettiva. Un quarto delle app non contiene nemmeno un manifesto della privacy adeguato. Per i software che promettono anonimato e riservatezza, tale opacità rappresenta di per sé un rischio. L’utente non può fornire un consenso informato, l’azienda non può verificare correttamente il fornitore e flussi di telemetria e identificativi nascosti possono essere facilmente trasformati in profili utente.
Poi ci sono le autorizzazioni che l’app richiede al sistema. Negli ecosistemi Android e iOS, ci sono richieste completamente inutili per lo scopo previsto di una VPN. Su Android, ad esempio, si tratta di AUTHENTICATE_ACCOUNTS, che consente la gestione di account e token, e READ_LOGS, che consente la lettura dei log di sistema. La prima apre le porte al furto di identità, mentre la seconda trasforma l’app in una spia con accesso alle azioni dell’utente e all’attività di altre app. Su iOS, ci sono richieste di accesso costante alla geolocalizzazione e alla rete locale. La prima fornisce una cronologia completa dei movimenti, mentre la seconda consente la scansione silenziosa dei dispositivi di casa e ufficio e la ricerca di obiettivi di attacco. Gli sviluppatori spiegano queste autorizzazioni citando la selezione automatica dei nodi o i controlli di sicurezza della rete, ma per una VPN si tratta di funzionalità eccessive e pericolose.
Un altro dato allarmante riguarda i permessi privati in iOS. Oltre il sei percento delle app, trenta in totale, ha richiesto permessi che garantiscono un accesso approfondito alle funzionalità di sistema. Una richiesta del genere è un campanello d’allarme. Anche se la piattaforma non li concede, il solo fatto di tentare di farlo indica l’intenzione di andare oltre le API pubbliche. Con questi permessi, è possibile eseguire chiamate di sistema, recuperare dati sensibili dalla memoria e aumentare i privilegi.
La conclusione è semplice e spiacevole.
Non tutte le VPN sono ugualmente utili, soprattutto se gratuite. Per gli utenti domestici, questo rappresenta un rischio per la privacy, mentre per le aziende che utilizzano dispositivi sia proprietari che personali nello stesso ambiente, rappresenta anche un rischio aziendale.
RedazioneSarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...
La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...
Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...
Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
