Una complessa operazione di attacco è stata individuata recentemente, nella quale gli aggressori digitali utilizzano la struttura di protezione Cisco per eseguire manovre di inganno online. I malintenzionati prendono di mira la tecnologia Cisco Safe Links, ideata per mettere al sicuro gli utenti da indirizzi URL pericolosi, al fine di sviare i sistemi di individuazione e superare i controlli di rete, approfittando della credibilità legata al nome Cisco nel settore della sicurezza.

Secondo l’analisi di Raven AI, il vettore di attacco sfrutta Cisco Safe Links, un componente della suite Secure Email Gateway e Web Security di Cisco che riscrive gli URL sospetti nelle e-mail, indirizzando i clic attraverso l’infrastruttura di scansione di Cisco su secure-web.cisco[.]com. Gli aggressori hanno scoperto diversi metodi per generare Cisco Safe Link legittimi per scopi dannosi.

Quando gli utenti vedono URL che inizia con secure-web[.]cisco.com, istintivamente si fidano del collegamento grazie alla reputazione di Cisco nel campo della sicurezza informatica, creando quella che i ricercatori definiscono “fiducia per associazione”. Inoltre l’attacco aggira i tradizionali gateway di sicurezza della posta elettronica perché molti sistemi concentrano la loro analisi sui domini visibili negli URL.

Le tecniche principali includono sfruttano i servizi cloud che inviano e-mail tramite ambienti protetti da Cisco e riciclando i collegamenti sicuri generati in precedenza da campagne precedenti. Quando il dominio viene visualizzato come secure-web.cisco[.]com, spesso passa attraverso filtri che altrimenti segnalerebbero contenuti sospetti.

Tra gli esempi recenti rilevati da Raven AI figurano e-mail di “Richiesta di revisione documenti” dall’aspetto professionale provenienti da presunti servizi di firma elettronica, complete di branding e terminologia aziendale appropriati.

L’intelligenza artificiale contestuale di Raven AI ha identificato con successo questi attacchi analizzando simultaneamente più segnali, tra cui identità del mittente incoerenti, strutture URL sospette con parametri codificati e modelli di richiesta di documenti comunemente utilizzati nel phishing delle credenziali. La capacità del sistema di comprendere flussi di lavoro aziendali legittimi gli consente di individuare quando le comunicazioni si discostano dagli schemi previsti, anche quando sembrano redatte in modo professionale.

Questo comporta una trasformazione radicale nel panorama delle minacce informatiche, dove i malintenzionati prendono di mira i processi organizzativi e la psicologia dell’utente, andando oltre le semplici vulnerabilità tecnologiche.

L'articolo I Criminal Hacker sfruttano Cisco Safe Links per attacchi di phishing proviene da il blog della sicurezza informatica.

In what sounds like the plot from a sci-fi movie, scientists have isolated an incredibly rare immune mutation to create a universal antiviral treatment.

Only present in a few dozen people worldwide, ISG15 immunodeficiency causes people to be more susceptible to certain bacterial illnesses, but it also grants the people with this condition immunity to known viruses. Researchers think that the constant, mild inflammation these individuals experience is at the root of the immunoresponse.

Where things get really interesting is how the researchers have found a way to stimulate protein production of the most beneficial 10 proteins of the 60 created by the natural mutation using 10 mRNA sequences inside a lipid nanoparticle. Lead researcher [Vagelos Bogunovic] says “we have yet to find a virus that can break through the therapy’s defenses.” Researchers hope the treatment can be administered to first responders as a sort of biological Personal protective equipment (PPE) against the next pandemic since it would likely work against unknown viruses before new targeted vaccines could be developed.

Hamsters and mice were given this treatment via nasal drip, but how about intranasal vaccines when it comes time for human trials? If you want a short history of viruses or to learn how smartwatches could help flatten the curve for the next pandemic, we’ve got you covered.

hackaday.com/2025/08/19/antivi…

A cura di Luca Stivali e Roland Kapidani.

Nel giro di dieci giorni un nickname mai visto prima, mydocs, ha inondato un dark forum con una serie di thread tutti uguali: stesso template, stessa call-to-action su Telegram, stessi sample in alta risoluzione. Cambiano solo i nomi degli hotel.

La geografia delle vittime è sorprendentemente estesa: da Milano a Roma, passando per Rimini, Bardonecchia, Montecatini, Venezia e Ischia, fino a Palma di Maiorca. Ed è proprio quest’ultimo caso, quello di Maiorca, che introduce un dettaglio critico — l’esplicita menzione di un ‘private cloud bucket’ — che ha acceso il nostro campanello d’allarme sull’esistenza di una probabile catena d’attacco unificata, ben oltre gli scenari di compromissione individuale degli hotel.

A ogni post corrisponde un pacchetto di scansioni fronte/retro di documenti d’identità, ordinate “per paese d’origine” e vendute a blocchi da qualche migliaio fino a decine di migliaia di documenti. In totale, oltre 177.000 immagini sensibili messe sul banco.

La tempistica è troppo precisa per essere casuale. I post parlano di “guest management system” e “KYC di check-in”. I nomi dei file nei sample seguono lo stesso schema (UUID con suffisso _front/_back.jpg). In diversi thread la finestra è “fine luglio / inizio agosto 2025”. In quello spagnolo si cita esplicitamente un “private cloud bucket”.

Non è la classica somma di piccoli disastri locali: è l’effetto di un unico punto debole a monte, molto probabilmente un fornitore SaaS che tanti hotel usano per acquisire e archiviare i documenti alla reception. Una volta dentro quel perimetro – pannello multi-tenant, API, bucket di storage – si scarica cliente per cliente. E si monetizza per lotti.

L’economia della campagna è lineare. I pacchetti “turistici” da 20–22 mila immagini stanno a 10.000 dollari l’uno, i dataset “premium” come Venezia (38k) e Ischia (30k) salgono a 20k e 14k. I dump piccoli (Cassino 1,7k, Montecatini 3,6k) fanno da esca: prezzo accessibile, velocità di vendita, feedback sul profilo.

In media siamo intorno a 0,46$ per documento, una cifra che dice tutto sulla disponibilità del mercato nero a pagare per materiale che bypassa i controlli KYC. Perché è questo il punto: scansioni nitide, MRZ leggibile, fronte/retro. Il carburante perfetto per frodi identitarie di nuova generazione.

Cosa ci fanno, davvero, con questi documenti

Il primo utilizzo è banale e devastante: onboarding KYC su neo banche, wallet e exchange crypto che accettano la verifica solo documentale o con selfie liveness di base. Con scansioni in alta qualità e qualche trucco (stampa in scala reale, schermo ad alta luminanza, “document puppeteering”), molte pipeline di verifica cedono.

Si aprono conti “puliti” per riciclare denaro, incassare truffe, far transitare pagamenti di mule. Il secondo è il credito istantaneo: BNPL, microprestiti, linee revolving. Qui contano rapidità e tasso di accettazione; se la piattaforma è poco matura, bastano foto chiare e dati coerenti per ottenere merce o denaro che non verrà mai restituito.

Quando parliamo di onboarding KYC ci riferiamo al momento in cui una banca, un’app di pagamenti o una piattaforma di trading online deve “conoscere il cliente” (Know Your Customer). In pratica, al nuovo utente viene chiesto di caricare la foto del documento e talvolta un selfie, per dimostrare che la persona esiste davvero. È una misura pensata per fermare truffatori e riciclatori di denaro. Ma se i criminali mettono le mani su scansioni autentiche di passaporti e carte d’identità, possono usarle al posto della vittima e ottenere accesso a conti e servizi in maniera fraudolenta.

Poi c’è il mondo delle telecomunicazioni. Con un documento valido e l’abbinata di dati anagrafici reperibili altrove, si forza una portabilità o un duplicato SIM: il passaggio successivo è il SIM swap, con l’accesso ai codici OTP e l’account takeover di servizi bancari e caselle email. Non serve essere un APT: serve il documento giusto e l’operatore sbagliato.

Un altro uso meno evidente è la creazione di identità sintetiche. Si combinano pezzi reali (documento di Tizio) con tracce digitali di Caio (residenza, utenze, social “di supporto”), si costruisce un soggetto semi-plausibile e lo si fa crescere: piccoli acquisti, sottoscrizioni, cronologia “pulita”. Dopo qualche mese quell’identità è abbastanza “viva” da superare score di antifrode più severi. Le scansioni di qualità sono la base iconografica per questi avatar: consentono anche manipolazioni convincenti (cambio foto, ritocchi del background, watermark rimossi) che confondono sia l’occhio umano sia alcuni motori di validazione automatica.

C’è poi l’ingegneria sociale. Con il documento in mano, un helpdesk è più incline a “riconoscere” il chiamante; nei processi di account recovery molti operatori ancora accettano un ID mostrato in video call. Quei file resteranno in circolazione per anni, perché un documento d’identità non “scade” come una password.

Come si buca un fornitore a monte

Il quadro tecnico più verosimile è un pannello multi-tenant o un object storage condiviso tra clienti, con controlli granulari insufficienti. Bastano API key finite in log pubblici, una chiave hard-coded in un device di scansione, o una vulnerabilità nel modulo di upload/consultazione per ottenere un primo accesso. Da lì, se i tenant non sono isolati come dovrebbero, si passa da un hotel all’altro. A volte non serve neppure la vulnerabilità: una exposed bucket policy “list/get” senza ip-allow list è un invito. E se il provider non applica rotazioni e MFA sugli account operativi, l’accesso resta silenzioso per settimane.

Non è un caso che i post abbiano tutti la stessa finestra temporale: fine luglio / inizio agosto. È la fase in cui l’attaccante ha probabilmente stabilizzato l’accesso, schedulato gli export, e assemblato i pacchetti da vendere.

L’inserzione spagnola, con il riferimento esplicito al “private cloud bucket”, è il tassello che unisce i puntini: un servizio transnazionale, non il NAS di un singolo hotel.

Perché succede (e continuerà a succedere)

Abbiamo chiesto direttamente a MyDocs di darci qualche indizio su cosa accomuna tutti gli exploit che hanno colpito gli hotel italiani. Questa la sua risposta:

Thank you for your message.

If we had to point to a common factor behind the recent incidents affecting hotels in Italy, it would likely be the human element — specifically, the tendency not to change default or weak passwords, combined with the effectiveness of social engineering techniques.

These two aspects continue to be exploited across various sectors, and unfortunately, hospitality is no exception.

We hope this small insight is helpful for your research and awareness initiatives.

Best regards, MyDocs

L’attaccante mette in evidenza un punto che a noi di RHC sta particolarmente a cuore: il problema legato alle persone e ai processi. Negli hotel, come in molti altri settori, la priorità è spesso l’esperienza del cliente, mentre la sicurezza rimane in secondo piano. Questo favorisce la persistenza di password di default, scarsa rotazione delle credenziali e bassa formazione del personale: condizioni che aprono la porta a intrusioni malevole.

Come dimostra la risposta di MyDocs, la minaccia non è solo tecnica, ma organizzativa e culturale. Threat actor come lui sfruttano vulnerabilità “semplici” e ripetibili, scalando facilmente da una struttura all’altra con lo stesso approccio.

L’intervento del CERT-AgID

Nel pieno dell’escalation dei post di mydocs, il CERT‑AgID si è attivato con comunicati ufficiali per mettere in guardia sia il settore digitale sia i cittadini. Il primo, pubblicato il 6 agosto 2025, rilevava la presenza “di decine di migliaia di scansioni ad alta risoluzione di passaporti, carte d’identità e altri documenti di riconoscimento” sottratti a hotel italiani attraverso accessi non autorizzati.

Il dipartimento ha anche diramato una circolare ai gestori di servizi fiduciari (ad es. SPID o firma digitale), invitandoli a rafforzare le pratiche di verifica documentale e sensibilizzando le strutture sull’impatto della vendita illegale di documenti. Inoltre, AgID ha rivolto un appello ai cittadini affinché prestino attenzione a possibili utilizzi illeciti dei propri documenti, come richieste di credito sospette o l’apertura non autorizzata di conti, e a segnalarli tempestivamente alle autorità.

E adesso?

La risposta non può essere solo legale, anche se qui il GDPR sarà protagonista: trattamenti ad alta sensibilità, dovere di notifica al Garante e agli interessati, audit sui Data Processing Agreement con il fornitore. Serve rimettere mano all’architettura. Tradotto: conservare meno, per meno tempo, e meglio. Le copie di documenti dovrebbero essere tokenizzate e segregate; gli originali cifrati con chiavi gestite dal titolare; l’accesso ai bucket ristretto a processi server-to-server con policy minimali. Telemetria: se qualcuno scarica ventimila JPG in tre ore, deve accendersi un riflettore, non un LED.

Il conto, alla fine, lo pagano tutti: gli hotel, che vedono la fiducia dei clienti sgretolarsi, i fornitori, che dovranno spiegare tecnicamente l’accaduto, le persone ritratte che scopriranno tra mesi – magari alla prima carta rifiutata o alla SIM disattivata – cosa significa far parte di un dataset “ordinato per paese”. Finché continueremo a trattare il documento d’identità come un semplice allegato JPG dentro un SaaS, la domanda non sarà se vedremo un’altra campagna come questa. Ma quando e quanto grande.

Ed è qui che torna il nodo centrale: le persone e i processi. Nessuna tecnologia, da sola, potrà mai prevenire la mancanza di una cultura alla sicurezza. Senza formazione continua per chi lavora in reception, senza procedure chiare per la gestione delle identità digitali, ogni investimento tecnico rischia di trasformarsi in un castello di sabbia. La sicurezza non è (solo) un firewall o un cloud più robusto: è la somma di scelte quotidiane, di processi corretti e di persone consapevoli.

L'articolo Dark web e hotel italiani: ecco cosa ci ha rivelato MyDocs sui documenti rubati proviene da il blog della sicurezza informatica.

I truffatori del Sud-est asiatico hanno trovato un nuovo modo per riciclare denaro utilizzando carte di credito rubate. I ricercatori hanno segnalato un sistema che chiamano “ghost-tapping“, in cui i dati delle carte rubate vengono caricati su un telefono chiamato “bruciatore” e poi utilizzati per effettuare acquisti nei negozi.

In primo luogo, i criminali ottengono i dati delle carte di credito tramite phishing, ingegneria sociale o virus per dispositivi mobili. Per aggirare la protezione, intercettano i codici monouso che la banca invia al cliente. Le informazioni rubate vengono quindi collegate al telefono sotto il controllo dei truffatori. A volte viene utilizzato un software speciale che consente di inviare i dati a più dispositivi contemporaneamente.

Questi telefoni vengono poi venduti su canali Telegram chiusi. Gli acquirenti sono organizzazioni criminali che assoldano prestanome per fare shopping. Il più delle volte, si tratta di beni di lusso che vengono poi rivenduti, anche attraverso gli stessi canali Telegram.

La polizia di Singapore ha già registrato un aumento di tali attacchi. Solo negli ultimi tre mesi del 2024, sono stati registrati 656 casi in cui i dati delle carte rubate sono stati utilizzati per collegare portafogli mobili. Il danno totale è ammontato a circa 1,2 milioni di dollari. Le autorità avvertono i residenti di non inserire i dati delle carte di credito su siti dubbi e soprattutto di non confermare le transazioni con password monouso.

Lo scorso novembre, la polizia di Singapore ha arrestato quattro cittadini cinesi che cercavano di acquistare beni costosi per conto di gruppi criminali. In primavera, due cittadini taiwanesi sono stati arrestati per azioni simili. Questo si inserisce in una tendenza più ampia: l’Ufficio delle Nazioni Unite contro la Droga e il Crimine ha precedentemente rilevato un rapido aumento delle operazioni fraudolente nella regione e la creazione di un’intera “industria” di servizi a supporto di tali schemi.

Secondo i ricercatori, una parte significativa delle vendite tramite ghost-tapping avviene tramite i canali Telegram associati alla piattaforma Huione Guarantee. Nonostante l’annuncio della sua chiusura a maggio, la sua infrastruttura continua a funzionare ed è utilizzata dai criminali. Inoltre, le piattaforme alternative Xinbi Guarantee e Tudou Guarantee sono attive e offrendo servizi simili per incassare fondi rubati.

Gli esperti avvertono che la combinazione di professionalità e portata di tali programmi oltre i confini nazionali li rende una seria sfida per le forze dell’ordine in Asia e altrove.

L'articolo Ghost-tapping: come i truffatori asiatici riciclano denaro con dalle carte di credito rubate proviene da il blog della sicurezza informatica.

Gli ingegneri cinesi hanno annunciato lo sviluppo di un tubo a onda progressiva (TWT) in miniatura che potrebbe rivoluzionare le capacità dei sistemi di guerra elettronica e dei radar moderni. Questo speciale tipo di tubo a vuoto amplifica i segnali a radiofrequenza nella gamma delle microonde ed è da tempo considerato un elemento chiave dei sistemi radar e dei collegamenti di comunicazione satellitare. La caratteristica principale del TWT è che l’onda elettromagnetica interagisce con il fascio di elettroni lungo l’intera lunghezza della spirale, garantendo un’ampia larghezza di banda e un’elevata efficienza.

Per lungo tempo, l’introduzione su larga scala dei TWT è stata ostacolata dalle loro dimensioni: integrare centinaia e migliaia di tali moduli in array di antenne a fasatura variabile era tecnicamente difficile. Tuttavia, gli specialisti cinesi sono riusciti a ridurre le dimensioni di un potente TWT della gamma X-Ku a 20 millimetri di altezza, ovvero meno della metà dello spessore degli analoghi occidentali. Secondo quanto riportato dai media, la nuova lampada ha dimensioni paragonabili a quelle di una pistola ed è in grado di amplificare impulsi a microonde nell’intervallo da 8 a 18 gigahertz, erogando oltre 500 watt di potenza attraverso sottili conduttori a spirale.

Strutturalmente, un tubo a onda progressiva è un cilindro con un cannone elettronico che forma il catodo, le piastre anodiche, un collettore e una spirale (o sistema di risonatori). Il segnale a radiofrequenza in ingresso viene inviato a un’estremità della spirale e il segnale amplificato viene prelevato dall’estremità opposta. Per aumentare il tempo di interazione del fascio di elettroni con il campo elettromagnetico, viene utilizzata una cosiddetta struttura di rallentamento: le più comuni sono una spirale e un sistema di risonatori accoppiati. Queste soluzioni consentono di “adattare” la velocità di propagazione del campo alla velocità degli elettroni, il che è fondamentale per un’amplificazione efficace.

La ricerca è stata guidata da Shi Xuechun, scienziato presso il Beijing Institute of Vacuum Electronics, parte della China Electronics Technology Group Corporation. A giugno, il team di ricerca ha pubblicato i risultati sulla rivista peer-reviewed Vacuum Electronics. L’articolo ha evidenziato progressi significativi nei TWT miniaturizzati in Cina, con maggiore larghezza di banda, potenza ed efficienza.

Nei test di laboratorio, il nuovo TWT ha mostrato dimensioni di 185 × 30 × 20 mm con una potenza di uscita di oltre 549 watt, un guadagno di 26 dB e un’efficienza dinamica di trasmissione del fascio di elettroni superiore al 97% sull’intero raggio. Tali parametri garantiscono un notevole aumento della portata e della precisione di rilevamento nei sistemi di difesa aerea e missilistica. Allo stesso tempo, l’efficienza di soppressione e la portata dei sistemi di guerra elettronica multiraggio risultano significativamente aumentate.

Gli autori del lavoro sottolineano che negli array di antenne a fase il numero di elementi radianti si misura in centinaia o migliaia, e sono le dimensioni del TWT a influenzare direttamente i parametri critici del sistema, dai lobi laterali del diagramma di radiazione al peso totale e alla possibilità di installazione su diverse piattaforme. La miniaturizzazione e l’aumento dell’efficienza consentono a tali moduli di essere integrati in moderni complessi multifunzionali di nuova generazione, tra cui sistemi di comunicazione satellitare e radar a lungo raggio.

Pertanto, lo sviluppo degli ingegneri cinesi non solo dimostra l’indipendenza tecnologica del Paese nel campo dell’elettronica del vuoto, ma apre anche la strada alla creazione di sistemi di guerra elettronica più potenti e compatti, in grado di fornire un vantaggio strategico in un conflitto militare.

L'articolo Guerra Elettronica. La Cina sviluppa una lampada che blocca i radar nemici per chilometri proviene da il blog della sicurezza informatica.

I ricercatori hanno registrato che una falla critica nell’implementazione dello stack SSH di Erlang/Open Telecom Platform ha iniziato a essere sfruttata attivamente già all’inizio di maggio 2025; circa il 70% dei rilevamenti si è verificato su firewall che proteggevano i segmenti industriali . La campagna è iniziata dopo il rilascio delle correzioni: le patch sono apparse ad aprile nelle versioni OTP-27.3.3, OTP-26.2.5.11 e OTP-25.3.2.20.

Alla vulnerabilità è stato assegnato l’identificatore CVE-2025-32433 e un punteggio CVSS massimo di 10,0. Riguarda la mancanza di autenticazione nell’implementazione nativa di SSH: avendo accesso di rete al servizio Erlang/OTP, un aggressore può eseguire codice arbitrario senza credenziali. Considerando che l’SSH integrato è responsabile non solo delle sessioni crittografate, ma anche del trasferimento di file e dell’esecuzione di comandi remoti, tale difetto minaccia direttamente tutte le istanze aperte.

Nel giugno 2025, il CISA ha aggiunto il CVE-2025-32433 al catalogo KEV , confermando la presenza di exploit pubblici. Gli analisti dell’Unità 42 di Palo Alto Networks, Adam Robbie, Yiheng An, Malaw Vyas, Cecilia Hu, Matthew Tennis e Zhanghao Chen , sottolineano che una falla in questo sottosistema apre le porte a exploit senza password, rendendo i nodi vulnerabili facili bersagli.

La telemetria mostra che oltre l’85% dei tentativi è stato effettuato nei settori medico, agricolo, dei media e dell’alta tecnologia. La geografia è ampia: Stati Uniti, Canada, Brasile, India, Australia e altre regioni. Sono state osservate brevi serie di richieste intensive, rivolte principalmente alle reti OT, e gli aggressori hanno cercato di raggiungere sia le consuete porte IT sia i servizi industriali specializzati.

Le infiltrazioni riuscite utilizzavano reverse shell per ottenere accesso remoto e insediarsi all’interno dell’infrastruttura della vittima, dopodiché iniziavano le operazioni di ricognizione, estrazione dei dati e spostamento tra i nodi. L’identità del gruppo dietro l’ondata non è ancora stata accertata.

I servizi aperti sulle porte comuni ai sistemi industriali mostrano che nelle reti OT di tutto il mondo permane un’enorme superficie di attacco. La natura degli attacchi varia, ma il quadro generale è lo stesso: brevi periodi di attività, una chiara propensione verso l’OT e tentativi di sfruttare sia i gateway IT che quelli industriali, tutti elementi che suggeriscono sofisticate tattiche offensive volte a rilevare rapidamente i punti vulnerabili prima che gli amministratori possano distribuire gli aggiornamenti.

L'articolo Vulnerabilità critica da score 10 in Erlang/Open Telecom Platform: exploit attivi in aumento proviene da il blog della sicurezza informatica.

While talking computers are old hat today, in 1978, a talking toy like the Speak and Spell was the height of novel tech. [Kevin] found a vintage one, but it didn’t work. It looked like someone had plugged in the wrong power adapter, leading to, undoubtedly, one or more unhappy children. There was some damage that suggests someone had already tried to repair it, but without success.

In addition to effecting the repair, [Kevin] took lots of pictures, so if you ever wanted to peek inside one of these, this is your chance. The case had no screws, just clips, although apparently some of the newer models did have some screws.

In addition to a sophisticated speech synthesizer, the gadget had a sophisticated power supply to drive the vacuum fluorescent display. The power supply board had a suspicious burn mark and a cracked TO-92 transistor.

[Kevin] found that someone had reversed a schematic for a similar power board used in a different version of the toy, but it was close enough. The simple switching power supply used a handful of bipolar transistors. The cracked transistor was one of a pair, so to be safe, both needed replacement. After all, the transistor failing either put a high load on the uncracked transistor or, perhaps, it cracked because the other transistor failed first.

Oddly, after that repair, the device would work with an AC adapter, but not with batteries. The battery voltage is a little lower, so with a little simulation and some changes in components, the device works again, even with weaker batteries. You can see the startup sequence on a scope in the video below.

If you want to explore Speak and Spells yourself, don’t miss the bibliography at the end of the post. Some people swear by these toys. Other people make them swear. If you’d rather build something new than repair, there’s help for you.

youtube.com/embed/dADi1DFhypU?…

hackaday.com/2025/08/18/silent…

We’re all used to emulating older computers here, and we’ve seen plenty of projects that take a cheap microcontroller and use it to emulate a classic home computer or gaming platform. They’re fun, but serve mostly as a way to relive old toys.

As microcontrollers become faster though it’s inevitable that the machines they can emulate become more powerful too, so we’re moving into the realm of emulating productivity machines from years past. An example is [Ilya Maslennikov]’s pico-286, which as its name suggests, is a 286 PC emulator for the Raspberry Pi Pico.

It has an impressive set of sound and video card emulations, can drive either a VGA or an HDMI monitor, and uses a PS/2 keyboard and mouse. If DOS games are your thing it should provide what you want, but it’s caught our eye because there was a time when a 286 DOS PC was a productivity machine. There’s a huge library of still-useful software for DOS, and thus the prospect of a handheld DOS PC still has some appeal. We’d love to see someone put this in a badge.

MS-DOS may no longer be for sale, but there are several ways to land an open-source DOS in 2025. FreeDOS is something of a powerhouse.

hackaday.com/2025/08/18/the-pc…

The Allen key turns 115 this year. It’s strange to believe that in all that time, no one has come up with an adjustable version, but apparently true. Luckily [Chronova Engineering] has taken up the challenge in his latest video.

The video is a fascinating glimpse at the toolmaker’s art–manual machining and careful human judgement. Humans being the fallable creatures we are, the design goes through a few iterations. After the first failure in metal, [Chronova] falls back on 3D printing to rapidly prototype the next six iterations. Given how much work goes into manually machining the designs, we can only imagine the time savings that represents.

The final version is has classic hexagonal rod split in two, so that a chisel-shaped rod can spread the two prongs out to engage the sides of the Allen bolt. Even with that settled, the prongs and wedge had to be redesigned several times to find exact shape and heat-treatment that would work. At this point the range is anything between 4 mm and 6 mm, which is admittedly narrow, but [Chronova Engineering] believes the mechanism has the potential to go wider.

The design is not being patented, but the drawings are available via the [Chronova Engineering] Patreon if you really need an adjustable Allen key and don’t feel like reverse-engineering the mechanism from video. It’s a much larger project than we’ve featured from this channel before– enormous, really, compared to steam engines that fit on pencil erasers or electric motors that squeeze through the eye of a needle.

Our thanks hall-of-fame tipster [Keith Olson] for letting us know about this one. If you want a slice of that fame for yourself, the tips line is always open.

youtube.com/embed/8IewMXUzt7U?…

hackaday.com/2025/08/18/adjust…

Like many of us, [Ben] has too many 3D printers. What do you do with the old ones? In his case, he converted it into a robotic camera rig. See the results, including footage from the robot, in the video below. In addition to taking smooth video, the robot can spin around to take photos for photogrammetry.

In fact, the whole thing started with an idea of building a photogrammetry rig. That project didn’t go as well as planned, but it did lead to this interesting project.

Motion control used to be exotic, but 3D printers really put it in the mainstream. The printer has motors, lead screws, gears, and belts. Of course, there are plenty of 3D printed parts, too. He did buy a few new pieces of extrusion and some longer belts. In addition, he had to upgrade one stepper to one that uses gears.

The camera tilts plus or minus 90 degrees on what used to be the X axis. The Y axis moves the camera forward and backward. The Z axis still moves up and down, but the extruder motor has a new job.

The extruder motor rotates the target object. Originally, the plan was to spin the camera, but that was difficult since the ring is 18 inches across. In addition to reliably moving it, there’s the wire management to worry about, too. So even though the original plan was to rotate the camera, the final project rotates the object on a turntable.

After prototyping with the 3D printer, he had an outside service CNC many of the parts in metal, both for the appearance and for the rigidity. But we imagine it would be fine with good-quality 3D printed parts.

Overall, a nice way to upcycle an old printer. We didn’t see the design files for any of the parts, but you’d probably have to customize your approach anyway. We’ve seen plenty of these camera rigs. Some of them recycle other tech.

youtube.com/embed/Qk4X3khyoXI?…

hackaday.com/2025/08/18/i-3d-p…

The Becquerel (Bq) is an SI unit of radioactivity: one becquerel is equivalent to one radioactive decay per second. That absolutely does not make it equivalent to one hertz — the random nature of radioactive decay means you’ll never get one pulse every second — but it does make it interesting. [mihai.cuciuc] certainly thought so, when he endeavored to create a clock that would tick at one becquerel.

The result is an interesting version of a Vetinari Clock, first conceived of by [Terry Pratchett] in his Discworld books. In the books, the irregular tick of the clock is used by Lord Vetinari as a form of psychological torture. For some reason, imposing this torture on ourselves has long been popular amongst hackers.

Without an impractical amount of shielding, any one-becquerel source would be swamped by background radiation, so [mihai] had to get creative. Luckily, he is the creator of the Pomelo gamma-ray spectroscope, which allowed him to be discriminating. He’s using an Am-241 source, but just looking for the characteristic 59.5 KeV gamma rays was not going to cut it at such a low count rate. Instead he’s using two of the Pomelo solid-state scintillation as a coincidence detector, with one tuned for the Am-241’s alpha emissions. When both detectors go off simultaneously, that counts as an event and triggers the clock to tick.

How he got exactly one becquerel of activity is a clever hack, too. The Am-241 source he has is far more active than one decay per second, but by varying the distance from the gamma detector he was able to cut down to one detection per second using the inverse square law and the shielding provided by Earth’s atmosphere. The result is a time signal that is a stable one hertz… if averaged over a long enough period. For now, anyway. As the Am-241 decays away, its activity decreases, and [mihai] admits the clock loses about 0.4 seconds per day.

While we won’t be giving the prize for accuracy in this contest, we are sure Lord Vetinari would be proud. The Geiger-counter sound effect you can hear in the demo video embedded below is great touch. It absolutely increases the psychic damage this cursed object inflicts.

youtube.com/embed/x_zuBJ4F6ZQ?…

hackaday.com/2025/08/18/2025-o…

Boston Police (BPD) continue their efforts rollout more surveillance tools. This time on social media.

Tuesday, August 19th, the Boston Public Safety Committee will hold a hearing on the Boston 2024 Surveillance Technology Report including police usage of three new tools to monitor social media posts. Any tool BPD uses will feed into the Boston Regional Information Center (BRIC) and Federal agencies such as ICE, CBP and the FBI.

If you want to tell the Boston Public Safety committee to oppose this expansion of surveillance, please show up on the 19th virtually. Details are posted, but to sign up to speak, email ccc.ps@boston.gov and they will send you a video conference link. We especially encourage Boston Pirates to attend and speak against this proposal. The Docket # is 1357.

masspirates.org/blog/2025/08/1…

Automotive headlights started out burning acetylene, before regular electric lightbulbs made them obsolete. In due time, halogen bulbs took over, before the industry began to explore even newer technologies like HID lamps for greater brightness. Laser headlights stood as the next leap forward, promising greater visibility and better light distribution.

Only, the fairytale didn’t last. Just over a decade after laser headlights hit the market, they’re already being abandoned by the manufacturers that brought them to fruition. Laser headlights would end up fighting with one hand behind their back, and ultimately became irrelevant before they ever became the norm.

Bright Lights

Laser headlights were first announced by BMW in 2013, with the German company promising the technology would be available on its new halo car, the i8. Fellow German rivals Audi would end up pipping the Bavarians to the punch, launching the limited-production Audi R8 LMX with laser headlights just months before the i8 entered production. Both brands would later bring the technology to a range of luxury models, including sedans and SUVs.
Long-throw laser lights became an option on premium Audi and BMW vehicles. Credit: Audi
The prime selling point of laser headlights was that they could project a very bright, very focused beam a long way down the road. As we’ve explored previously, they achieved this by using blue lasers to illuminate yellow phosphors, creating a vibrant white light that could be bounced off a reflector and directed up to 600 m ahead of the vehicle. They weren’t so useful for low-beams, with that duty usually passed off to LEDs. However, they were perfect to serve as an ultra-efficient long-throw high beam that wouldn’t disrupt other road users, albeit with the aid of steerable headlamp assemblies and camera-based tracking systems.

Laser headlights were more expensive to produce, but were also far more capable than any conventional bulb in terms of throw distance. They were also more compact than just about any other automotive lighting technology, giving automotive designers far more freedom when creating a car’s front end. They were even able to outperform LEDs in the efficiency stakes. And yet, both Audi and BMW would come to abandon the technology.
A comparison from 2014 between BMW’s LED high beam (left) and laser high beam (right). Notice the far greater throw of the laser high beam. Credit: BMW
The culprit? Regulations. In particular, headlight rules enforced in the United States. The Federal Motor Vehicle Safety Standard rule 108 deems that headlight intensity must not exceed 150,000 candela, while beam range must not exceed 250 meters. These rules effectively mean that laser headlights can’t outperform older technologies without falling afoul of US regulations. The rules stand in stark contrast to European regulations, which allow headlights to reach up to 430,000 candela. In an echo of the sealed beam era, US regulations were once again stymying European innovation by being firmly stuck in the past.

Of course, US regulations don’t apply everywhere. European automakers could have kept pursuing laser headlight technology, however, other factors have also come into play. LED headlight technology has continued to improve, with newer models improving brightness and light distribution. Adaptive matrix LED headlights also allow sections of the headlight beam to be turned on and off at will to provide the best illumination without dazzling other road users.
It’s widely considered that Audi beat BMW to market with the laser headlights on the limited-edition R8 LMX, but BMW was the first to enter real series production with laser headlights on the i8. Credit: BMW
To that end, laser headlights are facing decline. While a few models in the Audi and BMW lineups still feature the headlights, both automakers are phasing them out for the future. Speaking on the matter last year, BMW’s large-car product manager, Andreas Suhrer, noted that solely LED-based designs were the future. “At the moment, we still have laser lighting on the G26 and the X7, but we don’t have future plans,” Suhrer stated. “The G60 and G61 do not have it, and the new 7 Series does not have it. I don’t think it’s completely done, but for the next models, we are making the LED Matrix lights our focus. The laser lights are pretty good with absolute range but the latest generation of Matrix LED lights does a better distribution.” Meanwhile, Audi released statements in 2024 noting that there were no plans to implement laser lighting modules in future product.

Ultimately, laser headlights were an expensive, fancy solution to a minor problem. Better high beams are surely a good thing, but given how rarely most motorists use them, they’re hardly a critical feature. Combine their high price and limited usability with the fact that one of the world’s largest car markets just made them useless, and it hardly made sense for Audi or BMW to continue pursuing this unique technology. They will go down as a luxury car curio, to be written about by bloggers every few decades as a reminder of what was once deemed cutting edge.

hackaday.com/2025/08/18/how-la…

Of all the plastics that surround us on the daily, the one we hear least about in the 3D printing world is probably polypropylene (PP). Given that this tough, slightly flexible thermoplastic has characteristics you might want for your prints, the question is: why? [Lost in Tech] is not answering that question in a recent video; instead he’s showing us what we’re missing out on with a review of the material.

A look at the Material Safety Data Sheet and available material has [Lost in Tech] suggesting it won’t be (much) more toxic for you than PLA, but you still wouldn’t want to huff the fumes. The biggest issue printing PP is getting it to stick — glass beds and PEI are not your friend, but polypropylene tape is easy to find and makes a fine print surface. He reviews a few other options, but it looks like plain old tape is still your best bet if you can’t get a hold of a Prusa PP bed. The other big issue is shrinkage, but that’s hardly unique to PP and can be accounted for in the model.

Just because it can be used, that doesn’t mean it should be. [Lost in Tech] does make a good case for why you might want to use PP — for one thing, it doesn’t string much, in part because it’s not hygroscopic. That makes it great for those of us in humid climes who don’t want to always faff around with dry boxes, but also wonderful for parts that will be in touch with water. Polypropylene also has great chemical resistance for even scarier chemicals than dihydrogen monoxide. The “killer app” though, at least as far as [Lost in Tech] is concerned, is to use polypropylene with compliant mechanisms: it’s incredibly resilient to bending, and doesn’t fatigue easily. You might even call it a “flexible” filament, but unlike with TPU, you get a nice hard plastic to go with that flexibility.

If you’re interested in this somewhat-forgotten filament, we featured a “getting started” guide last year. You can even make your own polypropylene filament using non-medical “COVID” masks, but do be sure to wash them first. What do you think? Is it time to give PP another chance, or has the 3D printing world moved on?

youtube.com/embed/yN09iY9OXlc?…

hackaday.com/2025/08/18/should…

Un ricercatore esperto in sicurezza informatica ha scoperto che centinaia di server TeslaMate in tutto il mondo trasmettono apertamente i dati dei veicoli Tesla senza alcuna protezione. Ciò significa che la telemetria delle auto – dalle coordinate precise e dai percorsi alle abitudini dei proprietari e persino ai programmi di ricarica – è stata esposta al pubblico.

TeslaMate è un popolare strumento open source che si connette all’API ufficiale Tesla e raccoglie le informazioni più dettagliate sull’auto. Il sistema registra i dati GPS, lo stato della batteria, la cronologia dei viaggi, le letture della temperatura dell’abitacolo e altri parametri. Per visualizzare le statistiche, viene utilizzata una combinazione di un’interfaccia web sulla porta 4000 e un pannello Grafana sulla porta 3000. Tuttavia, per impostazione predefinita, l’applicazione non richiede autenticazione ed è automaticamente collegata a tutte le interfacce di rete. Se avviata su un server con IP pubblico, tutte le informazioni diventano disponibili a qualsiasi utente della rete.

Utilizzando una scansione globale degli indirizzi IPv4 sulla porta aperta 4000, il ricercatore ha individuato circa 900 installazioni di questo tipo in diversi continenti. Di conseguenza, gli estranei avevano accesso ai percorsi esatti dei proprietari, alle coordinate delle auto parcheggiate, agli indirizzi residenziali e ai dati relativi all’assenza delle auto dalle loro posizioni abituali.

Grazie ai dati raccolti, è stato possibile tracciare un quadro completo della vita quotidiana dei proprietari e persino identificare i periodi di vacanza. Ciò che è particolarmente allarmante è che, grazie a questi dati, i criminali possono pianificare furti o effrazioni in anticipo, sapendo quando i proprietari sono assenti.

Per dimostrare la portata del problema, il ricercatore ha lanciato il sito web teslamap.io , che mappa tutte le auto trovate connesse a server TeslaMate non protetti. In alcune regioni, in particolare nelle aree metropolitane di Nord America, Europa e Asia, questi formano dei cluster, poiché contengono numerose installazioni non protette.

Gli esperti raccomandano di adottare misure di protezione immediate. Come minimo, utilizzare un reverse proxy (ad esempio, Nginx) con password, limitare l’accesso solo tramite localhost, impostare regole firewall corrette, modificare le credenziali predefinite di Grafana e, se possibile, bloccare l’accesso al pannello tramite VPN.

Gli sviluppatori di TeslaMate hanno confermato il problema e promesso di introdurre l’autenticazione integrata “di default” nelle versioni future. Tuttavia, mentre centinaia di installazioni continuano a funzionare senza protezione, i dati riservati sulle auto rimangono di pubblico dominio. Ciò evidenzia la rilevanza del problema delle fughe di dati nella realtà moderna.

L'articolo Non trovi la tua Tesla? Nessun problema: c’è Free TeslaMate proviene da il blog della sicurezza informatica.

L’azienda tecnologica Proton, che conta già 100 milioni di utenti in tutto il mondo, si è ritrovata al centro di due grandi notizie. Innanzitutto, il lancio della sua intelligenza artificiale generativa, Lumo, che promette la privacy assoluta per gli utenti. In secondo luogo, l’amministratore delegato Andy Yen ha annunciato in un’intervista a Le Temps la sospensione degli investimenti in Svizzera.

Il motivo era una possibile riforma della normativa svizzera sulla sorveglianza delle comunicazioni. Secondo Yen, le modifiche proposte porterebbero a una sorveglianza di massa e obbligherebbero le aziende private a spiare i propri utenti nell’interesse dello Stato. Di conseguenza, Proton non investe più nel Paese e sta spostando gli investimenti strategici in Europa. L’azienda utilizzerà 100 milioni di franchi per costruire data center in Germania e Norvegia.

Yen ha spiegato che il mercato dell’intelligenza artificiale generativa è attualmente controllato da Stati Uniti e Cina: Google Gemini, ChatGPT, DeepSeek, Microsoft Copilot. Questo, ha osservato, è un ripetersi dell’errore della fine degli anni ’90, quando le aziende statunitensi dominavano la ricerca online, dando vita al “capitalismo della sorveglianza“. Proton ha deciso di offrire un’alternativa europea basata sui principi della privacy.

Ian ha sottolineato che, a differenza della ricerca, l’intelligenza artificiale non si limita a mostrare risultati, ma instaura un dialogo, studia la personalità, le opinioni politiche, gli interessi e persino le paure. “Oggi vedo come le persone, compresi i bambini, stanno iniziando a parlare con l’intelligenza artificiale come se fosse una compagna“, ha affermato. Pertanto, la questione della privacy diventa critica.

La principale differenza con Lumo, secondo Ian, è il suo sistema di crittografia. “La cronologia delle tue conversazioni è solo tua, nessuno, nemmeno Proton, vi ha accesso“, ha affermato. Lo stesso Ian ha ammesso di esitare a volte a porre domande sensibili all’IA, non sapendo cosa accadrà ai suoi dati. Lumo elimina questo problema, consentendo di utilizzare l’IA senza timore di perdere la privacy.

Ha definito il progetto Lumo il passo più rischioso degli 11 anni di storia di Proton. Ian ha ammesso che il mercato richiede aggiornamenti costanti e una qualità paragonabile a quella di Google o Microsoft, e che i concorrenti dispongono di risorse incomparabilmente maggiori. Ma ha ricordato che un tempo Proton Mail era considerato impossibile e persino ridicolo.

Ian ha spiegato: “Esistono molti modelli open source avanzati disponibili al pubblico e noi li utilizziamo in combinazione per garantire la massima qualità possibile. In seguito, dovremo sviluppare anche i nostri modelli. È costoso, ma i costi stanno diminuendo rapidamente: ciò che prima costava decine di miliardi presto costerà milioni”. Ha aggiunto che Proton sta costruendo la propria infrastruttura di chip e server, che prevede di ampliare dopo il lancio.

Tuttavia, questa infrastruttura non sarà disponibile in Svizzera. Proton sta investendo 100 milioni di franchi in data center in Germania e Norvegia. Yen ha sottolineato che la decisione è già stata presa ed è irreversibile. Ha aggiunto di aver recentemente scritto al Consigliere federale Beat Jans chiedendo chiarimenti e garanzie che le preoccupazioni del settore saranno prese in considerazione, ma di non aver ricevuto risposta.

Ian ha osservato che l’azienda non può attendere la decisione finale delle autorità: il processo politico è lento e il mercato dell’IA si sta sviluppando rapidamente. Inoltre, la Commissione Europea ha dichiarato l’IA una priorità strategica e investirà 20 miliardi di euro nei prossimi 12 mesi per creare 15 “fabbriche di IA”. “Se non inizio a costruire ora, tra sei mesi non sarò in grado di trovare né personale né attrezzature: tutto sarà assorbito da ingenti investimenti in Europa o negli Stati Uniti”, ha affermato.

Ha inoltre chiarito che l’investimento da 100 milioni di franchi di Proton è solo l’inizio. “Rappresenta solo il 10% del totale. Entro la fine del decennio, il nostro piano di investimenti complessivo supererà il miliardo di franchi”, ha affermato Yen. “Tra dieci anni, ci sarà un concorrente europeo per Google e le aziende tecnologiche cinesi, e noi vogliamo essere quell’azienda. È una necessità politica e sociale difendere i valori europei, come il diritto alla privacy“, ha sottolineato.

L'articolo Proton lascia la Svizzera per l’Europa! 100 milioni di euro per l’intelligenza artificiale Lumo proviene da il blog della sicurezza informatica.

Un ex moderatore del forum del dark web XSS, noto come Rehub, ha lanciato la propria piattaforma chiamata Rehubcom. La mossa coincide con l’arresto dell’amministratore di XSS a Kiev e la chiusura del dominio del forum, nonché con l’uscita di DamageLib, aprendo la strada all’emergere di nuovi concorrenti nel dark web. Rehubcom potrebbe essere uno di questi sostituti, colmando rapidamente il vuoto lasciato dallo stesso XSS.

XSS, originariamente chiamato DaMaGeLaB, era un forum apparso sul dark web ed è stato uno dei forum più antichi e influenti nel mondo della criminalità informatica.

Qui venivano scambiati exploit, malware, accesso a reti aziendali e database di fughe di notizie . Il forum aveva regole rigide e una struttura interna che lo rendeva comodo per i gruppi di criminalità informatica organizzata. In vari periodi, grandi gruppi di ransomware come REvil e LockBit hanno fatto pubblicità su questa piattaforma, fino a quando l’amministrazione non ha introdotto restrizioni alla discussione sui ransomware nel 2021.

Il 22 luglio 2025, le forze dell’ordine ucraine hanno arrestato un amministratore XSS noto come Toha. Era responsabile non solo del forum stesso, ma anche del server Jabber thesecure.biz, che forniva comunicazioni private ai partecipanti. Si stima che milioni di euro siano transitati attraverso le sue attività. Dopo l’arresto, il dominio xss.is è stato sequestrato, ma sono presto comparsi nuovi mirror e un indirizzo onion, sollevando preoccupazioni sul possibile controllo della risorsa da parte delle agenzie di intelligence.

In questo contesto, il lancio di Rehubcom sembra logico: piattaforme di questo tipo compaiono sempre dove quelle vecchie chiudono. La comunità del dark web si adatta molto rapidamente alle perdite infrastrutturali e le nuove risorse attirano immediatamente l’attenzione dei criminali informatici. Il pericolo di questi forum è che diventino canali per la distribuzione di strumenti dannosi, l’organizzazione di attacchi e il ricatto delle vittime, trasformandosi in nodi chiave del moderno ecosistema della criminalità informatica.

La storia di Rehubcom dimostra che l’ambiente della criminalità informatica non conosce soste: persino arresti e chiusure di alto profilo rallentano solo temporaneamente il fenomeno, ma non lo fermano, trasformando la lotta contro tali siti in una continua corsa contro l’ombra.

L'articolo Dopo la chiusura di XSS arriva Rehubcom. Il Dark Web non si ferma proviene da il blog della sicurezza informatica.

Dear Friend of Press Freedom,

It’s the 143rd day that Rümeysa Öztürk is facing deportation by the United States government for writing an op-ed it didn’t like, and the 62nd day that Mario Guevara has been imprisoned for covering a protest. After more than two months in detention, press freedom groups are again demanding Guevara’s immediate release. Read on for more, and click here to subscribe to our other newsletters.

LAPD lies about attack on reporters

Last Friday, officers from the Los Angeles Police Department wantonly violated a court order by assaulting, detaining, and jailing journalists covering a protest.

Then, the LAPD falsely told California station KABC-TV that two people were detained at the protest for “pretending to be media.” The two were, in fact, journalists, but you wouldn’t know it from KABC-TV’s report, which uncritically parroted the LAPD’s claims.

Journalists must be skeptical of LAPD statements about its treatment of the press. The department knows that it violates the First Amendment and California law to detain or interfere with journalists covering protests, but it does it anyway. It won’t stop until the press reports accurately on all of the LAPD’s abuses, and the public makes clear that it won’t stand for them.

Read more here.

Israel kills journalists in Gaza to silence reporting

Two weeks ago, the Committee to Protect Journalists reported on the Israeli Defense Forces’ threats to Anas al-Sharif, meant to scare him into ceasing reporting. He didn’t, and now he’s dead.

Al-Sharif was one of four Al Jazeera staff correspondents and two freelancers killed by the IDF in an Aug. 10 targeted strike. The others were Mohammed Qreiqeh, Ibrahim Zaher, Mohammed Noufal, Moamen Aliwa, and Mohammad al-Khaldi.

“Israel is killing journalists for exposing its atrocities in Gaza,” said Freedom of the Press Foundation (FPF) director of advocacy Seth Stern. “We can’t let our leaders get away with mere performative condemnations while the money and weapons Israel uses to exterminate journalists and other civilians keep flowing.”

Read the full statement here.

Two years since ‘a massive failure’ of the justice system in Kansas

This week marked two years since the shocking police raid on the Marion County Record and the death of Record co-owner Joan Meyer, who passed away the day after the raid.

FPF spoke to investigative journalist Jessica McMaster, whose award-winning coverage of the raid for KSHB-TV in Kansas City, Missouri, had us glued to her social media feed for weeks.

“This was a massive failure by several people within the justice system,” McMaster said, speaking about the raid. “I think it’s hard for a lot of us to grasp that so many people, in positions of power, failed in such spectacular fashion to do their jobs.”

Read the full interview here.

How a climate change researcher makes FOIA work

Rachel Santarsiero, director of the Climate Change Transparency Project at the National Security Archive, knows how to use the Freedom of Information Act to uncover information the government would rather keep secret. This week, FPF’s Daniel Ellsberg Chair on Government Secrecy Lauren Harper spoke to Santarsiero, who shared her expert FOIA tips.

“The key with any agency is sending targeted requests asking for specific types of documents, a date range, and the office or official who would’ve been responsible for the records,” Santarsiero explained.

Santarsiero also recommends that requesters build relationships with FOIA officers, always appeal denials, and check federal website reading rooms and other publicly available source materials. “You’ll be surprised what you can find hiding in plain sight,” she said.

Read the whole interview here.

What we’re reading

Eyewitness to Gaza’s death traps: Whistleblower Anthony Aguilar in conversation with Defending Rights & Dissent (Defending Rights & Dissent). With journalists being killed or shut out in Gaza, whistleblowers are even more important. Watch Anthony Aguilar’s firsthand account of blowing the whistle on the Gaza Humanitarian Foundation.

Trump administration outlines plan to throw out an agency’s FOIA requests en masse (404Media). This is “an underhanded attempt to close out as many FOIA requests as possible, because who in their right mind checks the federal register regularly?” FPF’s Harper said.

Appeals court upholds block on Indiana’s 25-foot police buffer law, citing vagueness (Indiana Capital Chronicle). Hopefully, Tennessee’s and Louisiana’s “buffer” laws will be next, and other states will think twice before passing these unconstitutional laws.

Sorry, scanner listeners: BPD is encrypting its transmissions starting this weekend (Boston.com). Just like in New York City, encrypting police radio transmissions and adding a delay makes it harder for journalists to report and the public to stay informed.

freedom.press/issues/lapd-lies…

404 Media

2025-08-13 21:53:37

Trump Administration Outlines Plan to Throw Out an Agency's FOIA Requests En Masse

The Department of Energy (DOE) said in a public notice scheduled to be published Thursday that it will throw out all Freedom of Information Act (FOIA) requests sent to the agency before October 1, 2024 unless the requester proactively emails the agency to tell it they are still interested in the documents they requested. This will result in the improper closure of likely thousands of FOIA requests if not more; government transparency experts told 404 Media that the move is “insane,” “ludicrous,” a “Pandora’s Box,” and “an underhanded attempt to close out as many FOIA requests as possible.”

The DOE notice says “requesters who submitted a FOIA request to DOE HQ at any time prior to October 1, 2024 (FY25), that is still open and is not under active litigation with DOE (or another Federal agency) shall email StillInterestedFOIA@hq.doe.gov to continue processing of the FOIA request […] If DOE HQ does not receive a response from requesters within the 30-day time-period with a DOE control number, no further action will be taken on the open FOIA request(s), and the file may be administratively closed.” A note at the top of the notice says it is scheduled to be formally published in the Federal Register on Thursday.

The agency will send out what are known as “still interested” letters, which federal agencies have used over the years to see if a requester wants to withdraw their request after a certain period of inactivity. These types of letters are controversial and perhaps not legal, and previous administrations have said that they should be used rarely and that requests should only be closed after an agency made multiple attempts to contact a requester over multiple methods of communication. What the DOE is doing now is sending these letters to submitters of all requests prior to October 1, 2024, which is not really that long ago; it also said it will close the requests of people who do not respond in a specific way to a specific email address.

FOIA requests—especially complicated ones—can often take months or years to process. I have outstanding FOIA requests with numerous federal agencies that I filed years ago, and am still interested in getting back, and I have gotten useful documents from federal agencies after years of waiting. The notion that large numbers of people who filed FOIA requests as recently as September 2024, which is less than a year ago, are suddenly uninterested in getting the documents they requested is absurd and should be seen as an attack on public transparency, experts told 404 Media. The DOE’s own reports show that it often does not respond to FOIA requests within a year, and, of course, a backlog exists in part because agencies are not terribly responsive to FOIA.

“If a requester proactively reaches out and says I am withdrawing my request, then no problem, they don’t have to process it,” Adam Marshall, senior staff attorney at the Reporters Committee for Freedom of the Press, told me. “The agency can’t say we’ve decided we’ve gotten a lot of requests and we don’t want to do them so we’re throwing them out.”

“I was pretty shocked when I saw this to be honest,” Marshall added. “I’ve never seen anything like this in 10 years of doing FOIA work, and it’s egregious for a few reasons. I don’t think agencies have the authority to close a FOIA request if they don’t get a response to a ‘still interested’ letter. The statute doesn’t provide for that authority, and the amount of time the agency is giving people to respond—30 days—it sounds like a long time but if you happen to miss that email or aren’t digging through your backlogs, it’s not a lot of time. The notion that FOIA requesters should keep an eye out in the Federal Register for this kind of notice is ludicrous.”

The DOE notice essentially claims that the agency believes it gets too many FOIA requests and doesn’t feel like answering them. “DOE’s incoming FOIA requests have more than tripled in the past four years, with over 4,000 requests received in FY24, and an expected 5,000 or more requests in FY25. DOE has limited resources to process the burgeoning number of FOIA requests,” the notice says. “Therefore, DOE is undertaking this endeavor as an attempt to free up government resources to better serve the American people and focus its efforts on more efficiently connecting the citizenry with the work of its government.”

Lauren Harper of the Freedom of the Press Foundation told me in an email that she also has not seen any sort of precedent for this and that “it is an underhanded attempt to close out as many FOIA requests as possible, because who in their right mind checks the federal register regularly, and it should be challenged in court. (On that note, I am filing a FOIA request about this proposal.)”

“The use of still interested letters isn't explicitly allowed in the FOIA statute at all, and, as far as I know, there is absolutely zero case law that would support the department sending a mass ‘still interested’ letter via the federal register,” she added. “That they are also sending emails is not a saving grace; these types of letters are supposed to be used sparingly—not as a flagrant attempt to reduce their backlog by any means necessary. I also worry it will open a Pandora's Box—if other agencies see this, some are sure to follow.”

Marshall said that FOIA response times have been getting worse for years across multiple administrations (which has also been my experience). The Trump administration and the Department of Government Efficiency (DOGE) have cut a large number of jobs in many agencies across the government, which may have further degraded response times. But until this, there hadn’t been major proactive attempts taken by the self-defined “most transparent administration in history” to destroy FOIA.

“This is of a different nature than what we have seen so far, this affirmative, large-scale effort to purport to cancel a large number of pending FOIA requests,” Marshall said.

Limitations on Use of “Still-Interested” Inquiries

^{www.justice.gov}