I criminali informatici hanno trovato un modo astuto e pericoloso per aggirare i filtri Antispam, sfruttando il Microsoft 365 Admin Portal per inviare email di Sextortion. Ma la vera sorpresa? Queste email provengono da un account Microsoft legittimo, il che le rende incredibilmente difficili da rilevare. Un attacco che sta mettendo a rischio milioni di utenti in tutto il mondo.

Minacce sessuali mascherate da comunicazioni legittime

Le email in questione sono un mix di minacce sessuali e ricatti. I truffatori affermano di avere catturato contenuti sessuali compromettenti riguardanti la vittima o il suo partner e minacciano di diffonderli se non vengono pagati tra i 500 e i 5.000 dollari. La paura di una divulgazione pubblica spinge le vittime a cedere, ma la vera insidia sta nel fatto che questi messaggi non provengono da indirizzi sospetti. Vengono inviati tramite un indirizzo o365mc@microsoft.com, che, sebbene possa sembrare sospetto, è effettivamente legittimo, ed è proprio questa la chiave del successo di questa truffa.

Bypass dei filtri Antispam

Ciò che rende questa truffa ancora più insidiosa è come i criminali riescano a superare i filtri Antispam. L’email proviene da una fonte che, per tutti gli algoritmi di sicurezza, è considerata sicura: o365mc@microsoft.com. Questo indirizzo è associato a comunicazioni legittime da Microsoft, come aggiornamenti e avvisi su nuove funzionalità. I filtri, di conseguenza, non bloccano questi messaggi, facendo sì che i truffatori possano veicolare le loro minacce senza che vengano etichettate come spam.

La chiave per aggirare i controlli risiede nel Microsoft 365 Message Center, un servizio progettato per inviare avvisi e informazioni ai clienti. Quando si condivide un messaggio, gli utenti possono aggiungere una nota personale. È proprio in questa sezione che i truffatori nascondono il loro messaggio di extorsione. Sebbene il campo di testo sia limitato a 1.000 caratteri, questo limite è facilmente aggirato utilizzando strumenti di sviluppo del browser, come l’opzione “ispeziona elemento”. Modificando il valore del limite di caratteri, i truffatori riescono a inviare messaggi molto più lunghi, senza alcuna troncatura.

Microsoft ignora il controllo lato server

Questa falla nella sicurezza è ancora più grave perché Microsoft non applica alcun controllo lato server per limitare la lunghezza dei messaggi. Nonostante il limite dei 1.000 caratteri sia presente sul lato client, senza un controllo server-side, i criminali possono facilmente eludere il sistema e inviare messaggi completi, che appaiono perfettamente legittimi. Questo errore ha permesso alla truffa di prosperare senza ostacoli.

Il colosso di Redmond è consapevole del problema e sta indagando sulla questione, ma la vulnerabilità non è ancora stata corretta. Fino a quando non verranno implementati i controlli adeguati lato server, gli utenti sono vulnerabili a questa minaccia. Se ricevi una email sospetta con minacce o richieste di denaro, è fondamentale non cedere al ricatto. Microsoft non invierà mai email del genere. Segnala immediatamente il messaggio come spam e, soprattutto, non rispondere ai truffatori. È fondamentale mantenere un livello elevato di attenzione per proteggere i propri dati e prevenire il rischio di cadere in truffe sofisticate.

Conclusione

Questo episodio mette in luce un problema cruciale: anche le piattaforme di fiducia, come Microsoft 365, non sono immuni da abusi. I criminali informatici sono sempre più ingegnosi nel mascherare le loro truffe, utilizzando metodi sofisticati per ingannare i sistemi di sicurezza e sfruttare la paura delle vittime. Le email di sextortion, che sembrano provenire da fonti affidabili, sono un chiaro esempio di come il phishing e il ricatto digitale possano evolversi.

Non c’è dubbio che la protezione dei dati e la sicurezza online debbano essere priorità assolute per tutti gli utenti, dalle grandi aziende agli utenti privati. Microsoft sta investigando sulla vulnerabilità, ma fino a quando non verranno adottati controlli adeguati, gli utenti devono rimanere cauti e segnalare tempestivamente qualsiasi attività sospetta.

In un mondo sempre più connesso, è fondamentale che tutti, dai singoli utenti alle aziende, adottino un approccio proattivo verso la sicurezza informatica. Essere consapevoli delle minacce è il primo passo per proteggere se stessi e le proprie informazioni da attacchi sempre più subdoli e dannosi.

L'articolo Sextortion via Microsoft 365: la nuova minaccia che supera i filtri antispam! proviene da il blog della sicurezza informatica.

Nel Regno Unito, Apple è stata denunciata. Which.co afferma che la società sta costringendo circa 40 milioni di utenti del Regno Unito a utilizzare iCloud e che i prezzi del cloud storage sono troppo alti. Se il tribunale si pronunciasse dalla parte dei consumatori, Apple potrebbe pagare un risarcimento di 3 miliardi di sterline (circa 3,78 miliardi di dollari) e quindi circa 70 sterline (88,4 dollari) per cliente.

Apple ha negato le accuse e ha affermato che l’utilizzo di iCloud è facoltativo. Secondo l’azienda, molti utenti scelgono servizi di terze parti e trasferire loro i dati è il più semplice possibile.

I dispositivi Apple ti offrono gratuitamente una piccola quantità di spazio di archiviazione nel cloud, ma per avere più spazio devi pagare. Ad esempio, 50 GB costano 0,99 sterline al mese e 12 TB costa 54,99. Tuttavia, i servizi di terze parti non possono funzionare completamente con i dispositivi Apple. L’azienda spiega questo con la preoccupazione per la sicurezza, ma gli esperti notano che le restrizioni portano anche enormi profitti all’azienda.

Witch sostiene che dal 2015 Apple ha effettivamente “bloccato” gli utenti nel suo ecosistema e aumentato i prezzi. L’organizzazione ritiene che tali azioni siano ingiuste e violino i diritti dei consumatori.

I rappresentanti di Which hanno affermato che il loro obiettivo è restituire ai consumatori i soldi pagati in eccesso, punire le aziende e rendere il mercato più giusto. Apple ha già dichiarato che difenderà la sua posizione in tribunale. L’azienda ritiene che il suo approccio ad iCloud non violi la legge. Anche le autorità di regolamentazione del Regno Unito hanno avviato una propria indagine sul mercato dei servizi cloud. Which spera che Apple risolva il problema senza ricorrere al tribunale e restituisca i soldi agli utenti.

Allo stesso tempo, gli esperti prevedono che tali richieste di risarcimento si presenteranno sempre più spesso, soprattutto a causa dell’elevato costo di un potenziale risarcimento. La causa contro Apple fa parte di una tendenza più ampia in cui le grandi aziende tecnologiche si trovano ad affrontare denunce di azioni collettive, come è avvenuto con Google e altri giganti del settore. Secondo gli avvocati, tali procedimenti potrebbero compromettere seriamente l’attività delle aziende nei prossimi anni.

L'articolo Trappola per Apple! 40 milioni di utenti del Regno Unito potrebbero ottenere miliardi! proviene da il blog della sicurezza informatica.

Trovate qui sotto la traduzione di un articolo di Louis Derrac, il testo è distribuito con licenza Creative Commons BY-SA

Nota: con web "progressista" sto deliberatamente usando un termine vago (che va oltre la divisione destra/sinistra) per includere la parte del web che non si riconosce nella deriva ultraconservatrice e di estrema destra di parte della tecnologia americana, incarnata da Elon Musk e X, tra gli altri.

Con l'elezione di Trump/Musk(1)Il social network X (ex Twitter) sta vivendo un altro episodio di "esodo" di massa. O, per essere più precisi, i social network concorrenti stanno assistendo a un nuovo episodio di arrivo di massa. Che non è proprio la stessa cosa. E non è esattamente una novità, visto che episodi del genere si verificano regolarmente da quando Elon Musk ha acquistato X.

Mentre un gran numero di utenti cerca un luogo meno tossico per esprimersi, molti lasciano (per alcuni⋅e⋅ in modo permanente) X per motivi morali.(2). E così, il social network che si sta gonfiando in questo momento è Bluesky.

Così la settimana scorsa ho creato un account Bluesky, giusto per vedere. Ho letto diversi articoli su questo social network, alcuni dei quali entusiasti, altri molto più sfumati e altri ancora molto negativi.(3). Oggi ho deciso: il web progressista farebbe bene a migrare direttamente su Mastodon, non su Bluesky. E perché no? Perché, a meno di un miracolo, Bluesky è il prossimo TwitterX.

Bluesky è stato creato da Jack Dorsey, lo stesso uomo che ha creato Twitter. Da allora ha lasciato il progetto, ma le idee sono sempre le stesse, le stesse ideologie (libertaria, tecno-utopica), le stesse persone. Riuscite a vedere l'inizio del problema? Bluesky è finanziato da grandi venture capitalist della Silicon Valley, non da persone che si accontentano di creare una rete sociale decentralizzata per il bene comune. Avevamo il diritto di essere ingenui a metà degli anni 2000, quando il social web ci veniva venduto come un'utopia. Oggi non è più così. Tra gli investitori, i primi sostenitori e i primi dipendenti di Bluesky c'è la galassia delle criptovalute. Quella che ha fatto attivamente campagna elettorale... per Donald Trump(4).

In termini morali, quindi, Bluesky sarà anche un social network molto giovane, ma non è già molto convincente. Ma ormai sappiamo che i progetti ideologici e politici giocano un ruolo decisivo nella tecnologia statunitense. In termini economici, Bluesky è nelle mani della classica big tech della Silicon Valley. Sperare che faccia qualcosa di diverso da quello che hanno fatto tutte le altre Big Tech (massimizzazione dei profitti, chiusura progressiva, economia dell'attenzione, cattura dei dati personali, pubblicità sempre più invasiva, diffusione virale dei contenuti tossici, ecc. Sarebbe addirittura come credere ai miracoli. Bisognerebbe credere che una società capitalista, finanziata da cripto-addetti e da Venture capitalist americani tecno-soluzionisti, si prenda davvero la briga di progettare un'infrastruttura tecnica che sia veramente open-source e interoperabile. Per il bene comune e l'interesse generale. A (molto) lungo termine(5). Yuhuu! Vi ricordate di OpenAI (la società dietro ChatGPT), che in origine era un'organizzazione no-profit il cui scopo era produrre scienza aperta sull'IA?

In breve, i progressisti del web, soprattutto quelli più militanti, non hanno tempo ed energia illimitati. Penso che sarebbe nel loro interesse risparmiare un po' di tempo saltando la fase Bluesky e migrando direttamente a un'istanza Mastodon. O, più in generale, a scoprire il Fediverso.(6). Non è perfetto, ovviamente, e ci sono ancora diversi problemi: i finanziamenti, perché nulla è gratuito, la moderazione, l'ergonomia, ecc... Naturalmente, come ogni nuovo strumento, ci vuole un po' di tempo per abituarsi e per costruire nuovi punti di riferimento. Ma esiste, funziona e fa progressi ogni giorno!

Vi aspettiamo, utenti progressisti del web alla ricerca di nuovi punti di riferimento. Venite ad aiutarci a costruire il social web alternativo di cui abbiamo disperatamente bisogno.
Nota: sto continuando le mie riflessioni in un altro articolo. Et si le problème des réseaux sociaux, c’étaient les phares ?

Note a piè di pagina
1. E quello che scopriamo gradualmente sul modo in cui Musk ha usato X per aiutare Trump a vincere, o sulla crescente influenza della tecnologia di destra negli Stati Uniti.
2. Meglio tardi che mai, personalmente già nel dicembre 2022 ritenevo che Twitter fosse (già) diventato il nuovo Truth Social e che abbandonarlo fosse diventata una scelta morale.
3. Li trovate nella mia raccolta di articoli da segnalare
4. The crypto industry plowed tens of millions into the election. Now, it’s looking for a return on that investment
5. A questo proposito dobbiamo tenere presente l'eccellente concetto di Cory Doctorow sulla "enshittification (merdificazione) " dei servizi digitali. In un suo articolo analizza in dettaglio il caso Bluesky.
6. Più che Mastodon, con molte altre piattaforme sociali che possono comunicare tra loro

#Mastodon
#Bluesky
#fediverso
@informapirata ⁂ :privacypride:

If you’ve ever worked with guitar pedals or analog audio gear, you’ve probably realized the value of a resistor decade box. They substitute for a resistor in a circuit and let you quickly flick through a few different values at the twist of a knob. You can still buy them if you know where to look, but [M Caldeira] decided to build his own.

At its core, the decade box relies on a number of 11-position rotary switches. Seven are used in this case—covering each “decade” of resistances, from 1 ohm to 10 ohm and all the way up to 1 megaohm. The 11 positions on each switch allows the selection of a given resistance. For example, position 7 on the 100 ohm switch selects 700 ohms, and adds it to the total resistance of the box.

[M Caldeira] did a good job of building the basic circuit, as well as assembling it in an attractive, easy-to-use way. It should serve him well on his future audio projects and many others besides. It’s a simple thing, but sometimes there’s nothing more satisfying than building your own tools.

We’ve seen other neat designs like this in the past, including an SMD version and this neat digital decade box. Video after the break.

youtube.com/embed/Wq_XsgqvS1k?…

hackaday.com/2024/11/22/build-…

There was a time when no self-respecting electronics engineer would build a big project without at least one panel meter. They may be a rare part here in 2024, but we find ourselves reminded of them by [24Eng]’s project. It’s a 3D printed housing for one of those common small OLED displays, designed to be mounted on a panel with just a single round hole. Having had exactly this problem in the past trying to create a rectangular hole, we can immediately see the value in this.

It solves the problem by encasing the display in a printed shell, and passing a coarsely threaded hollow cylinder behind it for attachment to the panel and routing wires. This is where we are reminded of panel meters, many of which would have a similar sized protrusion on their rear housing their mechanism.

The result is a neatly made OLED display mounting, with a hole that’s ease itself to create. Perhaps now you’ll not be afraid to make your own panels.

hackaday.com/2024/11/22/oled-s…

La sala d'aspetto[b][/b]

Chi non ha casa e non ha letto
si rifugia in sala d'aspetto.

Di una panca si contenta,
tra due fagotti s'addormenta.

Il controllore pensa: "Chissà
quel viaggiatore dove anderà?"

Ma lui viaggia solo di giorno,
sempre a piedi se ne va attorno:

cammina, cammina, eh, sono guai,
la sua stazione non la trova mai!

Non trova lavoro, non ha tetto,
di sera torna in sala d'aspetto:

e aspetta, aspetta, ma sono guai,
il suo treno non parte mai.

Se un fischio echeggia di prima mattina,
lui sogna d'essere all'officina.

Controllore non lo svegliare:
un poco ancora lascialo sognare.

(Gianni Rodari)

Ever get home, tired after work, sit down on a couch, and spend an hour or two sitting down without even managing to change into your home clothes? It’s a seriously unpleasant in-between state – almost comfortable, but you know you’re not really at rest, likely hungry, and even your phone battery is likely about to die. This kind of tiredness can get self-reinforcing real quick – especially if you’re too tired to cook food, or you’re stuck in an uncomfortable position. It’s like the inverse of the marshmallow test – instead of a desire, you’re dealing with lack thereof.

I’ve been dealing with this problem a lot within the last two years’ time. Day to day, I could lose hours to this kind of tiredness. It gets worse when I’m sick, and, it’s gotten worse on average after a few bouts of COVID. It’s not just tiredness, either – distractability and tiredness go hand in hand, and they play into each other, too.

My conclusion, so far, was pretty simple. When I’m tired, delayed but proper rest is way better than “resting” in a half-alert state, even if that takes effort I might not have yet. So, it’s important that I can get up, even if I’m already in a “crashed” position. Sure, I could use tricks like “do not sit down until I’m ready to rest”, but that only works sometimes – other times, the tiredness is too much to handle.

Audio files and sound playback library in hand, negative reinforcement methods fresh in my mind, I went and cooked together a very simple solution.

Anti-Crash Script

When I noticed myself being tired and in a “crash” state, I would think “oh, no worries, I’m going to get up any minute now”. Of course, it was never just a minute, and I decided to hook into that realization, subsurface but close enough that I could justify some intervention to myself.

Would you be surprised if I told you the solution was to ring a siren into my headphones? The algorithm is simple – every time I’m “crashed” and planning to get up “real soon”, I press a button that starts a five-minute timer, programmed to ring a siren into my headphones. When the seconds stop ticking and the siren triggers, I have a choice – get up and then re-trigger the alarm for five more minutes. There is no second choice, really – I don’t give myself one. The part where I get up before turning the siren off is crucial, of course – though, in case of missing willpower, an accelerometer measuring activity could do as well.

Not that much of my willpower would be required – turned out, it typically would be enough of a shock to realize just how quickly five minutes have passed. Consistently, every time I got tired, time would pass much quicker than I could feel it, and the “oh damn it’s been five minutes already” thought made for a surprisingly powerful reality check.

Initially, the script was a tiny local webserver – I had some Flask examples fresh in my mental toolbox, so I took those and wrote two tiny HTML pages, crash and uncrash. The crash page received a seconds argument, indicating how many seconds to wait before ringing the alarm, and the uncrash page stopped the alarm. Keep the two webpages open, and hit Ctrl+R on the page I need – simple enough.

Resistance Is Counterproductive

Later on, I beautified the pages a little – adding background colours, so that it’d be easy for me to find the pages in my laptop’s window switcher and not get confused between them. That was my first attempt to make the crash/uncrash “hooks” more accessible – since, unsurprisingly, having to Alt-Tab a couple times before finding the right page required some mental energy, so I would often forget about them altogether, and developing a habit of using these pages was significantly harder. Thinking back to the very first article and principles I outlined in it – reducing resistance to use was a must.

So, the “crash” webpages got turned into keybinds accessible on my laptop globally. Surprisingly, despite the crash endpoint’s arbitrary integer delay, I didn’t need much granularity. Right now, I only use three buttons , “uncrash”, “crash in 300 seconds” (5 minutes), and “crash in 1 second” (immediate). The “immediate crash” button was a surprisingly helpful one, too. See, the “oh, five minutes truly can pass quicker than expected” lesson has stuck with me – so, when I’d notice myself crashing, I knew better than to waste time trusting in the “just a few minutes” notice.

The keybinds got me to use the script more often – which has helped me find more usecases, and use it even when I’m not sick or super tired. Really, most of the trouble nowadays is noticing when I need to press the button – which, generally, is in the mornings, when I am still groggy and a scheduled appointment might not feel as important as it actually is.

One important aspect turned out to be retriggering the alarm instead of turning it off after five minutes. I get up either way, but usually, the crash doesn’t – I might “crash” immediately afterwards, or a minute-two later. Stopping the alarm ended up being a very intentional “crash is over” decision – so, the “stop” button never got into my muscle memory. I’ve indeed had muscle-memory cycle restarts, giving myself five more minutes without realizing – but I’ve never had muscle-memory stops, which is nice, because stopping the script without even realizing it would be a critical failure condition.

Retrospective: It’s Great, Somehow

Anything missing? Definitely! For one, there are some good keybinds I could add, even if maybe they wouldn’t fundamentally impact how the script is functioning. Say I’ve woken up, and I have to get somewhere early – so I use the “crash” script to get up and get with the gravity of my current situation. As I run around the house doing morning chores, five minutes pass and the alarm rings again, even though I’m currently actively doing something around the house.

Now, running back to the laptop and pressing a keybind isn’t a problem. The problem is that I could be pressing the “reset alarm” button in two different states – either I’m doing well, or I’m not, but it’s the same button. Making two different buttons, one “doing good” and one “still crashed”, would help me collect metadata I could use for a good purpose – and, quite likely, add a trigger for some sort of positive reinforcement.

Other than that? This script has eliminated yet another common failure mode from my life – and, once again, helped improve focus. It’s as simple as simple goes, and, it’s gotten me to a more comfortable point – often, making a difference between an evening lost to tiredness, and an evening of recuperation.

One thing you might notice – to actually work properly, this script requires always-on, wireless headphones. In the next article, I’ll talk about the wireless headphone device I’ve built, why I had to build one instead of buying one, and how that device has helped me solved a bunch of other problems I didn’t realize I had.

hackaday.com/2024/11/22/hack-o…

A questo punto amici della Rogue Records vi attendiamo al varco.

Eh sì perché continuare a dare luce a prodotti di così alto lignaggio senza sbagliare un colpo sembra impresa davvero titanica. Certo, conosciamo la vostra competenza e la vostra passione, ma perdio fatelo uscire un 7" un po' inferiore alla media.
iyezine.com/the-woggles-anyway…
@Musica Agorà

The Woggles - Anyway the Wind / Slippin'out 7"

The Woggles - Anyway the Wind / Slippin'out 7" - The Woggles - Anyway the Wind / Slippin'out 7" se tale occasione ci sarà non si tratta comunque di questa perché la recente infornata di singoli offertaci dall'etichetta di Tolosa è nuovamente di una q…

^{Il Santo (In Your Eyes ezine)}