La portata della fuga di notizie, descritta da un team dell’Università di Vienna, dimostra quanto possa essere pericolosa la familiare funzione di ricerca contatti delle app di messaggistica più diffuse.

WhatsApp ha sempre enfatizzato la facilità di aggiunta di nuove persone: basta inserire un numero di telefono nella propria rubrica e il servizio rivela immediatamente se la persona è registrata sull’app, rivelandone nome, foto e profilo parziale. Tuttavia, questa semplicità è diventata la base per una delle più grandi raccolte di dati utente della storia, e tutto ciò è avvenuto senza hackeraggi o aggirando barriere tecniche.

Ricercatori austriaci hanno deciso di testare se la ricerca automatizzata di numeri di telefono potesse rivelare esattamente chi stava usando WhatsApp. Hanno avviato il processo e, nel giro di poche ore, è diventato chiaro che non c’erano praticamente limiti. Il servizio consentiva un numero illimitato di richieste tramite la versione web e, di conseguenza, il team è stato in grado di creare un database di 3,5 miliardi di numeri, raccogliendo essenzialmente informazioni su ogni utente WhatsApp del pianeta. Per quasi il 57% dei record, sono stati in grado di ottenere foto del profilo e per quasi un terzo, stati testuali, che molte persone usano come breve presentazione di sé.

Secondo gli stessi ricercatori, questa sarebbe stata la più grande fuga di dati di numeri di telefono ed elementi di profili pubblici mai registrata se i dati non fossero stati raccolti esclusivamente per scopi accademici. Hanno segnalato la scoperta in primavera e cancellato l’intero set di dati, ma il sistema è rimasto completamente vulnerabile fino a ottobre, il che significa che un’operazione simile avrebbe potuto essere eseguita da chiunque, dagli spammer alle agenzie governative che monitorano le attività indesiderate sui propri cittadini.

Nonostante le rassicurazioni di Meta sull’implementazione di misure di sicurezza sempre più efficaci contro la raccolta massiva di dati, il team di Vienna afferma di non aver effettivamente riscontrato alcuna limitazione. Hanno sottolineato che WhatsApp aveva segnalato un problema simile già nel 2017: il ricercatore olandese Laurent Kloese aveva descritto un sistema per la verifica massiva dei numeri e aveva dimostrato che poteva raccogliere non solo le informazioni del profilo, ma anche il tempo trascorso online. Anche allora, l’azienda aveva affermato che tutto funzionava nel rispetto delle impostazioni di privacy standard .

Confrontando i risultati attuali con quelli di otto anni fa, si nota quanto sia aumentato il rischio. Mentre in precedenza c’erano decine di milioni di record potenzialmente accessibili, ora più di un terzo della popolazione mondiale utilizza il servizio e il numero stesso ha da tempo cessato di essere casuale. I ricercatori sottolineano che un numero di telefono non può fungere da identificatore segreto: gli intervalli di numeri sono limitati, il che significa che gli attacchi brute-force sono sempre possibili, a meno che non vi siano limiti rigorosi al numero di richieste.

Il team ha anche studiato le caratteristiche dei profili per Paese. Negli Stati Uniti, dei 137 milioni di numeri raccolti, il 44% degli utenti aveva foto pubbliche, mentre circa un terzo aveva stati testuali. In India, dove WhatsApp è significativamente più utilizzato, il 62% dei profili su 750 milioni era pubblico. In Brasile, la cifra era quasi la stessa: il 61% su 206 milioni. Più il servizio è popolare, meno persone modificano le proprie impostazioni sulla privacy e più ampia è la cerchia di coloro che rendono pubbliche le proprie immagini e descrizioni.

Di particolare preoccupazione è stata la scoperta di milioni di numeri di telefono in Paesi in cui WhatsApp è ufficialmente bloccato. I ricercatori hanno trovato 2,3 milioni di tali record in Cina e 1,6 milioni in Myanmar. Queste informazioni consentono alle autorità locali di rintracciare le persone che aggirano i divieti e, in alcuni casi, di utilizzarle come base per un’azione penale. Ci sono segnalazioni di persone detenute in Cina semplicemente per aver utilizzato l’app.

Durante l’analisi delle chiavi utilizzate nel protocollo di crittografia end-to-end per recuperare i messaggi, il team ha notato un’altra anomalia: un numero significativo di valori duplicati. Alcune chiavi sono state utilizzate centinaia di volte e circa due dozzine di numeri di telefono americani erano associati a una chiave nulla. I ricercatori sospettano che si tratti di client WhatsApp di terze parti non ufficiali, utilizzati attivamente da gruppi di truffatori. Ciò è indicato anche dal comportamento di alcuni account con chiavi duplicate: sembravano chiaramente strumenti per frodi o messaggi di massa.

L'articolo WhatsApp, maxi–fuga di dati: 3,5 miliardi di numeri “rubati” dai ricercatori dell’Università di Vienna proviene da Red Hot Cyber.

La polizia olandese ha riferito di aver condotto un’operazione su larga scala contro un servizio di hosting “a prova di bomba” non meglio identificato, confiscando circa 250 server fisici nei data center dell’Aia e di Zoetermeer.

Migliaia di server virtuali sono stati successivamente disattivati. I media ritengono che si tratti di hosting CrazyRDP. Le forze dell’ordine non hanno rivelato il nome del servizio, ma è operativo dal 2022 ed è stato coinvolto in oltre 80 indagini sulla criminalità informatica, sia nei Paesi Bassi che all’estero.

Secondo gli investigatori, la società di hosting offriva ai propri clienti l’anonimato e garantiva la non collaborazione con la polizia. Le sue risorse ospitavano ransomware, botnet, campagne di phishing e persino contenuti relativi ad abusi sessuali su minori.

Gli investigatori stanno attualmente conducendo un’analisi forense delle apparecchiature sequestrate per identificare gli operatori e i clienti del servizio.

Questo servizio offriva ai clienti servizi VPS e RDP senza KYC o registri, e la registrazione richiedeva solo nome utente e password. La pubblicazione sottolinea che veniva spesso raccomandato come affidabile sul darknet.

Il 12 novembre, tutti i post sul canale Telegram ufficiale di CrazyRDP sono stati cancellati e gli iscritti sono stati reindirizzati a un nuovo canale che discuteva dell’improvvisa chiusura del servizio. I clienti hanno segnalato che alcuni di loro avevano oltre 30 server ospitati sulla piattaforma.

Molti hanno sospettato un exit scam: il supporto tecnico di CrazyRDP ha inizialmente segnalato problemi al data center, ma poi ha semplicemente smesso di rispondere.

L'articolo La polizia olandese smantella servizio di hosting ‘a prova di bomba’ per cybercriminali proviene da Red Hot Cyber.

Difficile mantenere la sanità mentale con tutto quello che succede in giro...

spreaker.com/episode/dk-10x11-…

Il 18 novembre 2025, alle 11:20 UTC, una parte significativa dell’infrastruttura globale di Cloudflare ha improvvisamente cessato di instradare correttamente il traffico Internet, mostrando a milioni di utenti di tutto il mondo una pagina di errore HTTP che riportava un malfunzionamento interno della rete dell’azienda.

L’interruzione ha colpito una vasta gamma di servizi – dal CDN ai sistemi di autenticazione Access – generando un’ondata anomala di errori 5xx. Secondo quanto riportato da Cloudflare che lo riporta con estrema trasparenza, la causa non è stata un attacco informatico ma un errore tecnico interno, scatenato da una modifica alle autorizzazioni di un cluster database.

Cloudflare ha precisato fin da subito che nessuna attività malevola, diretta o indiretta, è stata responsabile dell’incidente. L’interruzione, come riporta il comunicato di post mortem, è stata innescata da un cambiamento a un sistema di permessi di un database ClickHouse che, per un effetto collaterale non previsto, ha generato un file di configurazione anomalo utilizzato dal sistema di Bot Management.

Tale “feature file”, contenente le caratteristiche su cui si basa il modello di machine learning anti-bot dell’azienda, ha improvvisamente raddoppiato le sue dimensioni a causa della presenza di numerose righe duplicate.

Questo file, aggiornato automaticamente ogni pochi minuti e propagato rapidamente a tutta la rete globale di Cloudflare, ha superato il limite previsto dal software del core proxy, causando un errore critico.

Il sistema che esegue l’instradamento del traffico – noto internamente come FL e nella sua nuova versione FL2 – utilizza infatti limiti rigidi per la preallocazione di memoria, con un massimo fissato a 200 feature. Il file corrotto ne conteneva più del doppio, facendo scattare un “panic” del modulo Bot Management e interrompendo l’elaborazione delle richieste.

Nei primi minuti dell’incidente, l’andamento irregolare degli errori ha portato i team di Cloudflare a sospettare inizialmente un massiccio attacco DDoS: il sistema sembrava infatti riprendersi spontaneamente per poi ricadere nel guasto, un comportamento insolito per un errore interno.

Questa fluttuazione era dovuta alla natura distribuita dei database coinvolti. Il file veniva generato ogni cinque minuti e, poiché solo alcune parti del cluster erano state aggiornate, il sistema produceva alternativamente file “buoni” e file “difettosi”, propagandoli istantaneamente a tutti i server.

Nell blog si legge :

“Ci scusiamo per l’impatto sui nostri clienti e su Internet in generale. Data l’importanza di Cloudflare nell’ecosistema Internet, qualsiasi interruzione di uno qualsiasi dei nostri sistemi è inaccettabile. Il fatto che ci sia stato un periodo di tempo in cui la nostra rete non è stata in grado di instradare il traffico è profondamente doloroso per ogni membro del nostro team. Sappiamo di avervi deluso oggi“.

Con il passare del tempo, l’intero cluster è stato aggiornato e le generazioni di file “buoni” sono cessate, stabilizzando il sistema nello stato di errore totale. A complicare ulteriormente la diagnosi è intervenuta una coincidenza inaspettata: il sito di stato di Cloudflare, ospitato esternamente e quindi indipendente dall’infrastruttura dell’azienda, è risultato irraggiungibile nello stesso momento, alimentando il timore di un attacco coordinato su più fronti.

La situazione ha iniziato a normalizzarsi alle 14:30 UTC, quando gli ingegneri hanno individuato la radice del problema e interrotto la propagazione del file corrotto. È stato quindi distribuito manualmente un file di configurazione corretto e forzato un riavvio del core proxy. La piena stabilità dell’infrastruttura è stata ripristinata alle 17:06 UTC, dopo un lavoro di recupero dei servizi che avevano accumulato code, latenze e stati incoerenti.

Diversi servizi chiave hanno subito impatti significativi: il CDN ha risposto con errori 5xx, il sistema di autenticazione Turnstile non riusciva a caricarsi, Workers KV restituiva errori elevati e l’accesso alla dashboard risultava bloccato per la maggior parte degli utenti. Anche il servizio Email Security ha visto diminuire temporaneamente la propria capacità di rilevare lo spam a causa della perdita di accesso a una fonte IP reputazionale. Il sistema di Access ha registrato un’ondata di fallimenti di autenticazione, impedendo a molti utenti di raggiungere le applicazioni protette.

L’interruzione ha evidenziato vulnerabilità legate alla gestione distribuita della configurazione e alla dipendenza da file generati automaticamente con aggiornamenti rapidi. Cloudflare ha ammesso che una parte delle deduzioni del suo team durante i primi minuti dell’incidente si è basata su segnali fuorvianti – come il down del sito di stato – che hanno ritardato la corretta diagnosi del guasto. L’azienda ha promesso un piano di intervento strutturato per evitare che un singolo file di configurazione possa nuovamente bloccare segmenti così ampi della sua rete globale.

Cloudflare ha riconosciuto con grande trasparenza la gravità dell’incidente, sottolineando come ogni minuto di interruzione abbia un impatto significativo sull’intero ecosistema Internet, dato il ruolo centrale che la sua rete svolge.

L’azienda ha annunciato che questo primo resoconto sarà seguito da ulteriori aggiornamenti e da una revisione completa dei processi interni di generazione delle configurazioni e gestione degli errori di memoria, con l’obiettivo dichiarato di evitare che un evento simile possa ripetersi.

L'articolo Cloudflare blackout globale: si è trattato di un errore tecnico interno. Scopriamo la causa proviene da Red Hot Cyber.

You’ve probably seen the inflatable frogs, the dance parties, the naked bike ride. Maybe you’ve also seen the darker images: a federal officer aiming a weapon at protesters, or federal agents hurling tear gas and flash bangs into peaceful demonstrations at a Portland, Oregon, immigration facility.

Local journalists have been attacked for bringing images like these to the world. They’re being tear-gassed and shot with crowd-control munitions by federal agents simply for doing their jobs.

Photojournalist John Rudoff is among them. He’s been covering these protests since June, photographing both peaceful marches and violent responses from federal officers that often follow.

On Oct. 11, while documenting a protest, Rudoff was struck by a stinger grenade, even though he was clearly identifiable as press. He was bruised, but not deterred.

“If you cover protests, you’re going to have discomfort and hazard. Period. That’s just the way it is,” Rudoff told us. “They shoot 20-year-old girls, and they shoot 70-year-old men, and they shoot people in wheelchairs, and they shoot blind people,” he added, referring to federal agents using crowd-control munitions. “The word impunity seems to be coined for them.”

Despite the danger, Rudoff refuses to stop documenting. “The entire media ecosystem has been covered with the administration’s rantings about the war-ravaged hellscape of Portland, and the city is burning down, and ICE officers are being attacked, and on and on and on,” he said. “I feel some obligation to try and counter this frankly preposterous narrative that the city’s burning down. It isn’t.”

Independent journalist Kevin Foster, who has also been covering the Portland protests, shares that sense of duty and outrage. “It’s clear the Trump administration wants to paint Portland as a war zone to seize more control, but it’s a lot harder to do that when I’m showing you all the dancing inflatable frogs,” he told us. “At the end of the day, someone needs to be there to document abuses of power.”

Foster has felt the danger up close while reporting from protests. “I’ve seen other press members shot with pepper balls, I’ve had flash bangs go off at my feet, and tear gas canisters explode above my head,” he said. But he continues to work to keep the public informed, reporting on federal agents’ heavy use of force and escalatory tactics at the protests.

For Foster, the concerns go beyond federal agents at protests. “Right-wing influencers and agitators have reportedly doxxed people,” Foster said. “With the state of the presidency and the history of authoritarianism, I do sometimes worry about persecution as well, especially given that a lot of my coverage subverts the narrative produced by right-wing media.”

The incident in Portland that got the most attention involved Katie Daviscourt, a reporter for the conservative news site The Post Millennial. She reported being hit in the face by someone swinging a flagpole at a protest, blackening her eye. Police let the suspect go, prompting feigned outrage from the White House.

Holding federal agents accountable

Violence against the press, from any direction, is an attack on the First Amendment itself, especially when enabled by law enforcement. Unfortunately, those purportedly appalled by the Daviscourt incident have not shown similar concern over federal law enforcement attacks on journalists who don’t further their preferred political narratives.

Since the Portland protests began in June, for instance, photojournalist Mason Lake has been struck by crowd-control munitions twice, pepper-sprayed, and had a rifle aimed at him. Yet federal officials haven’t condemned these attacks, or the attack on Rudoff.

“It’s very disconcerting to see how free press has been trampled,” Lake told the U.S. Press Freedom Tracker, a project of Freedom of the Press Foundation (FPF). “The best we can do is push back and make sure the truth isn’t run over.”

In other cities, like Chicago, Illinois, and Los Angeles, California, federal court orders protect journalists from such assaults. But Portland currently has no such order. Legal precedent from 2020 protests in Portland recognized reporters’ First Amendment right to cover protests and shielded them from dispersal orders. But it has done little to rein in federal agents today.

“They have to be sued, and they have to be enjoined, and they have to be criminally prosecuted until they stop doing it,” suggested Rudoff.

Until that happens, however, journalists must keep speaking up, not just about what they see, but also for being attacked for witnessing it. “Most attacks on journalists aren’t reported,” explained Rudoff. But, he added, “I don’t know a single journalist out there who hasn’t been shot or hit or knocked over or tear-gassed or pepper-sprayed. It’s everybody.”

Foster put it even more bluntly: “Many Americans seem to have this impression that brutalizing protesters and targeting the press only happens in other countries. If that notion hasn’t shattered for you yet, wait until your ears are ringing from flash bangs and you’re enveloped in a cloud of tear gas so thick you can’t see 15 feet.”

This isn’t some distant dictatorship. It’s the city of Portland. And the First Amendment is under siege.

freedom.press/issues/journalis…

Following a major public outcry, a clarification in the EU’s controversial “Chat Control” law appeared to secure a victory for privacy advocates. However, a group of 18 of Europe’s top cybersecurity and privacy academics has now issued a stark warning that the latest proposal still contains “high risks to society without clear benefits for children.”

Their open letter arrives just before the EU Council’s ambassadors are set to endorse the proposal on November 19. An endorsement would lock in the EU governments’ position, likely leading to a formal adoption in December and setting the stage for tense negotiations with the European Parliament in the new year.

The controversy centers on the Child Sexual Abuse Regulation (CSAR). After widespread protests, mandatory scanning of private communications was removed from the EU Council’s draft. A further clarification on November 13 confirmed that “Nothing in this Regulation should be understood as imposing any detection obligations on providers.”

This led privacy advocates like former Pirate Party MEP Patrick Breyer to declare a partial victory: “We’ve prevented mandatory Chat Control through the back door. But anonymity-breaking age checks and ‘voluntary’ mass scanning are still planned. The fight continues next year!”

Now, cybersecurity experts from institutions including ETH Zurich, KU Leuven, and the Max Planck Institute are amplifying that warning, arguing that two core elements of the revised Council proposal create new, unacceptable dangers.

Key Concerns Raised by Experts:

1. Flawed ‘voluntary’ AI Chat Control Creates Dangerous False Positives
The experts warn that unlike the previous Council’s proposal, the new text expands scanning of private communications to include automated text analysis, using AI to identify ambiguous “grooming” behaviours. They argue this will create a dragnet that ensnares innocent people. “Current AI technology is far from being precise enough to undertake these tasks with guarantees for the necessary level of accuracy.”

The letter states that this expanded scope “only opens the door to surveil and examine a larger part of conversations, without any guarantee of better protection.” It warns of a “high risk of diminishing overall protection by flooding investigators with false accusations that prevent them from investigating the real cases.”

2. Mandatory Age Verification Systems That Discriminate and Invade Privacy
The Council’s proposal would mandate age verification and assessment for app stores and private messaging services, promising that such measures “should preserve privacy”. The academics describe this as dangerous and unworkable: “Age assessment cannot be performed in a privacy-preserving way with current technology due to reliance on biometric, behavioural or contextual information… In fact, it incentivizes (children’s) data collection and exploitation. We conclude that age assessment presents an inherent disproportionate risk of serious privacy violation and discrimination, without guarantees of effectiveness.”

The alternative approach of requiring official documents for age verification would cut off a “substantial fraction of the population” from essential online services, including vulnerable individuals who may not have easy access to digital IDs.

Perhaps most concerning, the experts warn that age verification measures are easily circumvented and could push children toward more dangerous platforms: “Age verification controls can be easily evaded, by using providers outside the EU or VPNs to avoid geolocation checks… Both cases can result in higher risks for children because these alternate services are likely to present security risks (weak or absent encryption) and extensive tracking practices, sometimes for malicious purposes.”

Outlook:

If the Council does not heed the academics’ warnings, age checks and ‘voluntary’ mass scanning are set to become a central battleground in next year’s negotiations with the European Parliament, whose mandate seeks to remove mandatory age checks and limit scanning to the communications of criminal suspects only.

According to a leaked government memo, Italy also raised concerns last week, questioning whether voluntary chat surveillance can adequately safeguard user privacy. The Italian government fears the tool could be expanded to cover other crimes, which makes it difficult for them to support the proposal. Poland, too, reserved further examination.

About the Signatories:
The letter is signed by 18 distinguished professors and researchers in cybersecurity, cryptography, and data privacy from leading universities and research centers across Europe, including Aarhus University (Denmark), École Polytechnique (France), CISPA Helmholtz Center for Information Security (Germany), ETH Zurich (Switzerland), and KU Leuven (Belgium).

Read the scientists’ open letter: csa-scientist-open-letter.org/…

See also Patrick Breyer’s assessment

patrick-breyer.de/en/eu-chat-c…