Senza fare troppi giri di parole vi spiego subito quale sarebbe il problema. Al momento in cui è scritto questo articolo, ho notato un bug concettuale di programmazione dell’applicazione ufficiale di uno dei maggiori operatori telefonici in italia. Non so se questo sia un problema già noto ma l’assistenza clienti che ho avvisato appena me ne sono accorto mi ha detto che non era una cosa nota. Faranno presente la cosa al reparto tecnico e ci terranno informati.
Non nominerò in questo articolo il nome di questo operatore telefonico per evitare di danneggiarlo e di incorrere in problematiche di natura legale.
In pratica si tratta di una vulnerabilità concettuale che espone ad un attacco cosiddetto MAN IN THE MIDDLE. Tale tipo di attacco generalmente, consente ad un malintenzionato di intrufolarsi in mezzo ad una connessione con lo scopo di eseguire comandi oppure semplicemente acquisire informazioni.
In questo specifico caso, si fa riferimento ad una gran parte delle informazioni che l’app mette a disposizione.
Come funziona il bug di questa applicazione
Immaginiamo due telefoni cellulari smartphone, il primo lo chiameremo ALFA o primario ed il secondo lo chiameremo BETA o secondario. Lo smartphone primario condivide la connessione dati con lo smartphone secondario in modalità hotspot. Poiché, per ragioni presumibilmente riconducibili alla semplicità d’uso e comodità, l’applicazione per smartphone ufficiale dell’operatore telefonico, al momento in cui si scrive, contempla anche l’accesso diretto tramite indirizzo ip appartenente al pool di ip assegnabili dall’operatore in questione (quindi senza l’inserimento di credenziali), lo smartphone BETA, ovvero lo smartphone che si aggancia alla connessione condivisa, ereditando lo stesso indirizzo ip, eseguendo la stessa applicazione, ha accesso ai medesimi dati dello smartphone che condivide la connessione, ovvero l’ALFA.
Perchè questo potrebbe essere un problema
Sebbene normalmente si condivida la connessione per permettere ad una o più persone a noi note di connettersi, è giusto che si sappia che insieme alla connessione, si sta dando anche la possibilità di accedere anche ad informazioni che potremmo non voler condividere come ad esempio il nostro credito residuo e tutte le informazioni che sono disponibili sul telefono ALFA in merito al nostro contratto con l’operatore telefonico.
Quali sono i dati a rischio
- Il numero di telefono di chi sta condividendo la connessione;
- Il piano tariffario;
- Le spese: totale, messaggi, servizi digitali, ricariche;
- Accesso alle ricariche ed alle offerte, compresi eventuali profili paypal. Possibilità di ordinare una ricarica con questi dati, modificare le offerte, ordinare altre offerte, annullare le offerte telefoniche associate alla scheda di chi condivide la connessione come se si trattasse del proprio profilo;
- Il codice puk per sbloccare la scheda;
- Accesso limitato ai numeri chiamati. Per visualizzare le ultime cifre è necessaria una conferma tramite codice che arriva via sms.
Come risolvere il problema
Attualmente, l’unico modo per evitare che il problema si verifichi è per l’appunto quello di non condividere la propria connessione. Sebbene sia vero che generalmente si condivide la propria connessione con persone fidate e si inserisce una password, è altrettanto vero che non dovrebbe, a mio modesto avviso, essere possibile la visualizzazione e la modifica delle offerte e quant’altro tramite un’app che si autentica con l’indirizzo ip.
Come ho scoperto questo errore
Dopo anni che non andavo in vacanza, ho deciso di portare la mia compagna in un’isola italiana. Anche se sul sito dell’agenzia immobiliare c’era scritto che c’è la connessione ad internet wifi per tutti gli appartamenti, sono stato costretto a condividere la mia connessione dal cellulare perchè lei ha un piano con un quantitativo di gigabytes molto limitato. Entrambi abbiamo lo stesso operatore telefonico e quindi accediamo alle informazioni relative alle promozioni ed al credito tramite l’applicazione ufficiale di questo operatore. Ero nell’altra stanza quando la mia fidanzata mi chiamò, stringendo il suo telefono cellulare in mano, perchè sulla sua applicazione risultavano sessanta euro in meno rispetto al credito che aveva visualizzato il giorno prima. Inoltre, ella mi informava che vi erano diversi servizi attivi che lei non aveva mai richiesto. Abbiamo quindi chiamato il numero dell’assistenza clienti ed un operatore molto gentile ci ha informati del fatto che il credito che risultava ai loro monitor era diverso da quello che noi visualizzavamo nell’applicazione. Ci è stato detto che forse poteva essere un malfunzionamento temporaneo ma guardando meglio nell’applicazione installata nel cellulare della mia compagna, scorgo il mio numero di telefono. A quel punto ho informato l’operatore della cosa e ne abbiamo dedotto che la motivazione è relativa al fatto che, poiché l’autenticazione avviene anche tramite indirizzo ip, ci doveva essere un problema concettuale nell’applicazione. Per verificare che il problema vi fosse veramente e che non si trattasse di un caso, abbiamo fatto diverse prove. Prima di chiamare l’assistenza clienti, la mia compagna voleva disattivare i servizi non richiesti che lei pensava fossero stati attivati arbitrariamente sulla sua scheda direttamente dall’applicazione. Che cosa sarebbe successo se vi fossero state delle penali? Che cosa accadrebbe se vi fossero attivazioni malevole o accidentali di servizi vincolanti? Alla fine ci ha salutato assicurandoci che avrebbe aperto un caso al reparto tecnico e che ci avrebbe informati dell’esito. Immagino che una rispettabile azienda non tardi molto a risolvere questa problematica. Ma nel frattempo ho ritenuto una buona idea informarvi che condividere la connessione con il cellulare può causarvi dei grattacapi.
Lo scopo di questo articolo ed a chi potrebbe essere utile
Ho scritto questo articolo per evitare che accada ad altri ciò che stava per accadere a me. Scopo di questo articolo è infatti evitare che vi sia una fuga non intenzionale di informazioni riservate. Per sapere se l’applicazione del vostro operatore, è soggetta a questa problematica, è sufficiente infatti che facciate la prova con due smartphone. Aprite l’applicazione del vostro operatore in entrambi i cellulari dopo aver connesso il secondo smartphone alla connessione condivisa del primo e se vedrete dall’applicazione del secondo cellulare i dati dell’applicazione presente nel primo allora vuol dire che anche l’applicazione del vostro operatore è affetta da questa problematica. Nel caso in cui vogliate “salvare” i vostri amici o conoscenti da situazioni particolarmente imbarazzanti vi consiglio di condividere questo articolo con loro.
