Age Verification Enforcement Concerns


Many pirates have been writing about the growing global movement to enforce age verification on social media and other online forums. We thus started asking our communities for feedback on this issue. This blog outlines the reasons for our concerns. We outline a number of studies and media that document the issue. PPI will continue to monitor this situation and attempt to submit statements at the UN and other international forums to block age verification enforcement.

Australia now leads with the world’s first national social media ban for children under 16. In January 2026 France formally passed a law to restrict minors under 15 from accessing mainstream platforms, necessitating age verification for platforms like TikTok, Instagram and Snapchat. This measure was criticized by those who highlight privacy concerns and ease of circumvention. Europe is following suit. Ireland is preparing comparable bans, which it hopes to advance at the EU level during its upcoming presidency, with many other countries also contemplating similar measures. In the UK, enforcement of age assurance systems has become a flashpoint under the Online Safety Act 2023. Within the USA as well, states have pursued distinct age-related restrictions. Virginia’s Senate Bill 854 imposes limits on minors’ social media usage.

When addressing child safety issues on Big Tech platforms, we must avoid ways that will inadvertently turn the Internet into a digital panopticon


The Brookings Warning: Safety Laws With Unintended Consequences


The Brookings Institution’s 2025 analysis of U.S. children’s online safety legislation

brookings.edu/articles/childre…

Many of the age verification laws, as we know it, have attracted intense criticism as in order for them to be practically enforceable, users will inevitably have to submit to face scans and ID checks in order to verify their age. The end result is that the gatekeepers, namely governments, platforms and third-party verification providers, will be able to retain anything that traces any given accounts to any linked face biometrics and IDs, which presents massive negative implications for the right to privacy, and also the right to free expression.

Governments of some countries, particularly Malaysia and Turkey, are even shrewder in wanting to turn the Internet into a de facto digital panopticon, which doesn’t help things at all except to benefit those in power including political elites and Big Tech companies, as the Malaysian government has announced that, by mid-2026, social media platforms must verify users’ ages using national identity cards, which reportedly make their age verification law to become the strictest in the world, which will outrightly block anyone under the age of sixteen from using social media services, and seemingly excludes the comparatively privacy-safe pathways such as age inference methods of analyzing a user’s behavior, location, and account history, along with Needemand’s BorderAge solution which reportedly can check any user’s age by looking at their hand movements, instead of their faces and IDs. Malaysia’s Communications Minister Fahmi Fadzil calls it “a good mechanism to verify that somebody is below or above the age of 16.” The stated goal is noble: shield children from scams, harmful videos, and other online dangers that have surged in recent years.

asia.nikkei.com/editor-s-picks…

biometricupdate.com/202604/mal…

thesun.my/news/malaysia-news/p…

As for Turkey, the authorities there are even more explicit in wanting to forcibly link every social media accounts to government IDs.

balkaninsight.com/2026/04/03/t…

But here is a blunt warning: give governments and Big Tech an inch on mandatory ID checks, and they will take a mile, just like what happened in Hong Kong when the National Security Law, passed in 2020, is followed by an arbitrary digital search law where anyone living in there are forced to consent to digital checks by police, including the disclosure of login credentials, under the threat of criminal penalty.

bbc.com/news/articles/ce8j9yj5…

What begins as “think of the children” can easily becomes the infrastructure for mass surveillance, political censorship, and the erosion of anonymous speech—the very freedoms the internet was built to protect. We have seen this playbook before, particularly in Russia.

Australia’s under-16 social media ban, rolled out in late 2025 with facial ID verification, was sold as child protection. Advocates for children and young people with disabilities warned it would backfire. They were right, as autistic teens who rely on platforms to communicate at their own pace, build friendships without the pressure of in-person interaction, or simply feel less alone have been cut off from their primary social outlets.

As one 14-year-old put it after losing access: “It feels like I’ve lost my friends.”


The ban isolates the very kids who need connection most, while determined teens simply create new accounts or use VPNs. The collateral damage was predictable—and ignored. Similar laws in the United States and elsewhere are already failing LGBTQ+ youth. Brookings Institution analysis shows that vague “online safety” rules—often paired with age gates—lead platforms to over-censor content about identity, mental health, and community support. For many queer and trans teens in unsupportive families, the internet is a lifeline.

Besides, social media platforms are also important for people with chronic or rare diseases, such as HIV and Long COVID, who find communities of fellow patients, activists in authoritarian countries who use social media to organize, and artists who built careers on these services. They too will get severely disadvantaged if those privacy-infringing blanket ban laws are passed across the globe.

techdirt.com/2026/02/17/austra…

theintercept.com/2026/03/05/ko… (archive.is/IbsEo)

In particular, for political activists and dissidents, along with corporate whistleblowers, the privacy-infringing laws will leave them vulnerable to harassment and repressions. Instances of transnational repressions like (this politico.eu/article/russia-spy…) will only become more common. Just as a perspective, Erika Cheung, a whistleblower who exposed Theranos’ frauds, was briefly an “anonymous source”, presumably in fear of corporate retaliation.

blogs.und.edu/und-today/2024/1…

When activists and whistleblowers are snuffed out by such a digital panopticon, the distance between what is said and what is known to be true will become an abyss. Of all the things at risk, the loss of an objective reality is perhaps the most dangerous. The death of truth is the ultimate victory of evil. When truth leaves us, either by letting it slip away or letting it ripped from our hands, we become vulnerable to the appetite of whatever monster screams the loudest.

Turkey’s decision to explicitly destroy online anonymity inevitably makes one question whether the true reason behind the push for age verification laws worldwide are really to protect the children or not. After all, if those governments are actually serious about children’s well being, they would’ve invested in things like air cleaners in schools and cures for long COVID, given that there are many researches demonstrating that long COVID had harmed children’s well being by a lot, even as governments worldwide had deemed the COVID pandemic to be long over.

thelancet.com/journals/laninf/…

nature.com/articles/s43856-025…

chicagotribune.com/2025/09/30/…

cidrap.umn.edu/covid-19/study-…

spectrumnews1.com/oh/columbus/…

A State-Level Path to Defend Digital Privacy


There is also a practical democratic strategy in the United States. In 18 states, citizens can propose constitutional amendments themselves by collecting signatures and putting the amendment directly before voters. This means that digital privacy protections do not have to wait for legislators. One possible amendment could state: “Everyone has the right not to be subjected to unreasonable governmental intrusions on digital privacy, including the right to anonymity.” Such a proposal could help protect people against privacy-intrusive age verification mandates, digital ID systems, and other forms of compulsory online identification.

ballotpedia.org/Initiated_cons…

Possible solutions to address child safety issues at Big Tech services without privacy-infringing face and ID checks.


To be extremely clear, we are not denying the fact that various issues such as enshittification on social media platforms have lead to direct impacts of mental health of their users, particularly juveniles, in light of the latest news that juries in the US have held Facebook/Meta and YouTube liable for manipulative designs—infinite scroll, autoplay, persistent notifications—that hook children into compulsive use. However, we firmly believe that improving child safety on these platforms should not come at the cost of accidentally turning the digital world into a totalitarian panopticon which will only benefit the elites after all. The problem is not that children are online; it is that platforms are engineered to exploit them for profit.

Amnesty International called the verdict “landmark,” demanding fundamental changes to platform architecture rather than blunt bans or ID mandates.

hardresetmedia.com/p/new-court…

amnestyusa.org/press-releases/…

Even prominent critics of social media harms, such as Jonathan Haidt in The Anxious Generation, have expressed reservations about universal government-mandated ID checks. Haidt rightly stresses the importance of parenting and cultural solutions alongside regulation. Blanket surveillance is not the answer. There are privacy-preserving ways to protect children. Pirates propose smarter, targeted alternatives that respect civil liberties:

  • Age-appropriate hardware and network-level controls. Issue or certify restricted devices for children that can only connect to IP addresses and subnets explicitly registered for kid-safe content. Websites voluntarily publish their age-appropriate endpoints to national (or even international) registries. Children’s devices query these registries for DNS and routing, while firewalls enforce strict allow-lists. Non-compliant sites are easily detected and penalized—automated, scalable, and requiring zero per-user ID checks or facial scans. Parents, schools, and device makers decide what enters the network; governments do not gatekeep speech.
  • A free opt in walled garden for kids with maximum protection within it to stop kids being exposed to content they shouldn’t be & severe penalties including incarceration & heavy financial fines for those who deliberately put prohibited content within it. A possible solution for that is for ICANN to introduce a .kid domain which can be only acquired by services that have been vetted as child-safe. This would be easy for default whitelists in DNS filters for parenting control applications on routers and so on.
  • Platforms must assess whether their service is “likely accessed by minors” (using public data on user base, without invasive per-user checks). If so, apply privacy by default settings: Upon account creation, their account creation should be made private by default (content hidden from non-connections), geolocation off by default, no behavioral profiling for recommendations or ads to minors, data minimization (collect/retain only what’s strictly necessary), and no “nudges” to weaken privacy settings or share extra data. Any changes in privacy settings should happen after user are given due warnings. To mitigate unintended consequences (i.e. harsh inactive account deletion policies which will cause the erosion of historical integrity in the long term as they will inevitably affect accounts of now-deceased users), older accounts can be exempted or grandfathered from the default settings.
  • Targeted safety tools. Expand trusted flagger programs for rapid CSAM removal. Prohibit or limit manipulative design patterns (autoplay, infinite scroll tweaks, fake urgency) that exploit developing brains. Demand interoperability so third-party parental controls and filtering extensions can integrate seamlessly.
  • Prohibit profiling-based ads for anyone inferred as a minor (via context or self-declaration) and ban behavioral ads platform-wide to remove the core incentive for mass data collection. Enforce strict data minimization and ban selling/inferring age data via brokers.
  • Algorithmic accountability – In the US, the bipartisan Algorithm Accountability Act introduced by Senators Mark Kelly and John Curtis offers a model: impose a duty of care on recommendation algorithms so companies can be sued for foreseeable harms like addiction, self-harm amplification, or radicalization. Furthermore, there should be options to limit the user feeds to posts by followed users in chronological order.

kelly.senate.gov/newsroom/pres…

Beyond child safety: other issues in Big Tech platforms that need to be addressed


Beyond children, Big Tech’s enshittification demand fixing as harsh inactive-account deletion policies (especially Google’s) erase digital lives and undermine historical memory. Even worse, inadequate human support for lockouts in Facebook and Google leaves ordinary users stranded, as countless stories on forums like r/facebookdisabledme attest.

reddit.com/r/facebookdisabledm…

reddit.com/r/GMail/comments/1i…

For harsh inactive-account deletion policies, we have already opined our thoughts and solutions in this previous article (pp-international.net/2026/02/d…) which include mandating some large scale web services that can conceivably include Apple, AOL, Bluesky, Discord, Facebook, Github, Google (including YouTube), Mastodon.social, Microsoft, Instagram, LinkedIn, Proton, Pinterest, Reddit, Roblox, Steam, Threads, TikTok, Twitch, WordPress, X, and Yahoo, to have thanatosensitivistic functions which lets users to decide what to do with their accounts if they die. It’d be great if there’s an European Citizens’ Initiative to tackle the issue. As for inadequate human support in account lockout situations at large-scale social media platforms, particularly Facebook and Google, we believe that there should be a legislation or a measure that will mandate these services to provide adequate amounts of support for its users.

The Pirate Party has always stood for a free, open internet where innovation serves people, not the other way around. We reject the false choice between child safety and civil liberties. We can—and must—build systems that protect the vulnerable without handing governments and corporations the keys to every citizen’s digital identity. Plans like Malaysia’s and Turkey’s are not protections; they’re the thin end of the wedge. Pirates say: not one inch. Here we’re also calling for digital blackouts on various platforms, like what happened during the anti-SOPA protests in 2012, along with real life demonstrations to protest against those privacy-intrusive laws.

Let us choose freedom, creativity, and genuine accountability instead. The open internet is worth defending—for our children and for ourselves.

Babak Tubis, Member of the Boards of PPi and the German Piratenpartei comments: “By now, 1984 is long outdated. 2026 shows just how much more the big tech companies have taken over this role, whilst governments hunger for this knowledge instead of fulfilling the mandate they received from their citizens.”


Keeping Our Kids Safe Without Losing Our Privacy Online


Have you noticed the news lately? Countries around the world—like Australia, France, and soon maybe others in Europe—are passing laws to keep young people off social media. The goal is to protect kids from online harm.

That sounds great, right? But there is a huge catch.

The Hidden Trap: The “Digital Panopticon”


To stop teenagers from using these apps, governments are telling Big Tech companies to check our ages. How do they do that? By asking everyone to upload a government ID or scan their face.

If this happens, the internet becomes a “digital panopticon”—a place where you are constantly watched. If we give platforms and governments our private IDs, we lose our right to be anonymous online.

This does not just hurt our privacy. It hurts people who truly need the internet:

  • Vulnerable Youth: LGBTQ+ teenagers or kids with disabilities often rely on the internet to find friends and support when they feel alone in the real world.
  • Whistleblowers and Activists: People who speak out against bad companies or unfair governments need anonymity to stay safe. If everyone must show an ID, speaking the truth becomes dangerous.


The Real Problem: Addictive Design


The core issue is not that children are using the internet. The real problem is how these platforms are built.

Big Tech companies design their apps to be addictive. They use endless scrolling, auto-playing videos, and manipulative algorithms to keep us glued to our screens so they can make more money. Banning users does not fix this broken system.

Solutions: What We Can Do as Users


We do not have to choose between child safety and our civil rights. As internet users, here is what we can do and what we should demand:

  • Demand “Privacy by Default”: We should push for rules that force apps to be safe from the very beginning. When a minor creates an account, tracking, location sharing, and targeted ads should be turned off automatically.
  • Use Local Tech Solutions: Parents can use network-level blocks, special child-safe routers, or devices designed just for kids. This keeps children safe without handing over our biometric data to big corporations.
  • Support Algorithm Accountability: We must demand that platforms are held responsible for the harm their algorithms cause. We should have the option to see simple, chronological feeds instead of manipulative, algorithm-driven content.
  • Speak Up for the Open Web: Support organizations like the Pirate Party or other digital rights groups. Join protests or digital blackouts to show politicians that we will not trade our privacy for flawed safety laws.


The Bottom Line


We can build an internet that protects young people without turning it into a massive surveillance machine. Let’s fix the broken platforms, not punish the users. Digital rights matter!

————————————————————————————————–

The following message was prepared by members of the PPI Discord community and PPI Board. It does not necessarily reflect the views of all PPI members, but we hope it does. If any of our members have competing ideas about this issue or any other issue that they would like us to broadcast, please share them with us. We are happy to broadcast a variety of ideological opinions and diverse issues. Our goal is to create positive communication to solve problems.


pp-international.net/2026/05/s…

The Pirate Post ha ricondiviso questo.

c’t-Podcast Auslegungssache: Im Gespräch mit c't-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich erläutert @roofjoke Ingo Dachwitz, wie die Recherche zu den Databroker Files funktionierte heise.de/hintergrund/Auslegung…
Questa voce è stata modificata (2 mesi fa)
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

VECT 2.0 Ransomware Permanently Destroys Files Over 128 KB Due to Encryption Flaw
#CyberSecurity
securebulletin.com/vect-2-0-ra…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Qilin Ransomware Adopts Stealthy RDP History Enumeration to Map Victim Networks
#CyberSecurity
securebulletin.com/qilin-ranso…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Phoenix PhaaS Platform Weaponizes SMS to Impersonate Banks, Telecoms, and Delivery Firms Worldwide
#CyberSecurity
securebulletin.com/phoenix-pha…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

PowerToys 0.99: Grab And Move, Power Display e miglioramenti a Command Palette
#tech
spcnet.it/powertoys-0-99-grab-…
@informatica


PowerToys 0.99: Grab And Move, Power Display e miglioramenti a Command Palette


Microsoft ha rilasciato PowerToys 0.99, un aggiornamento ricco di novità per sviluppatori e utenti avanzati di Windows. Il protagonista di questa release è l’introduzione di due nuove utility in anteprima: Grab And Move e Power Display, insieme a una serie di miglioramenti significativi a Command Palette e al Dock. Vediamo nel dettaglio cosa cambia.

Grab And Move: trascina le finestre da qualsiasi punto


Chi lavora su monitor grandi o con molte finestre aperte conosce bene il problema: per spostare una finestra bisogna mirare con precisione alla barra del titolo, spesso sottile pochi pixel. Grab And Move risolve questo limite permettendo di trascinare qualsiasi finestra tenendo premuto Alt + Click sinistro ovunque sulla finestra stessa.

Lo stesso vale per il ridimensionamento: Alt + Click destro avvia l’operazione di resize dal punto esatto in cui si trova il cursore, senza dover raggiungere i bordi della finestra. Per chi già usa Alt come modificatore di sistema, è possibile passare al tasto Win come alternativa.

Grab And Move è particolarmente utile in questi scenari:

  • Monitor ad alta risoluzione dove le barre del titolo sono sottilissime in scala DPI
  • Finestre che sono finite parzialmente fuori schermo e sono difficili da afferrare
  • Applicazioni che nascondono la barra del titolo o usano layout custom
  • Workflow con tante finestre sovrapposte dove la precisione è critica

L’utility si integra con il sistema di impostazioni di PowerToys, supporta le Group Policy (GPO) per ambienti aziendali e include una pagina OOBE per la prima configurazione.

Power Display: controllo monitor dal system tray


La seconda novità di rilievo è Power Display, una utility che porta il controllo hardware dei monitor direttamente nel system tray di Windows, eliminando la necessità di cercare i pulsanti fisici sul retro dello schermo.

Una volta abilitata, un’icona nella tray apre un flyout che mostra i monitor collegati al sistema. Per i display compatibili, Power Display permette di regolare:

  • Luminosità e contrasto
  • Volume audio del monitor
  • Profilo colore

Una delle funzionalità più interessanti è la gestione dei profili: è possibile salvare configurazioni complete (es. «modalità sviluppo» con alta luminosità e temperatura colore neutra, oppure «serata» con luminosità ridotta e toni caldi) e passare da uno all’altro con un clic singolo dal flyout.

Power Display si integra anche con Light Switch: nella configurazione di Light Switch è possibile associare un profilo monitor al cambio di tema chiaro/scuro, così quando Windows passa automaticamente al tema scuro la sera, anche il monitor si adatta.

Command Palette e Dock: Compact mode e cronologia calcolatrice


Command Palette riceve in questa release una serie di miglioramenti alla stabilità e alle performance, insieme a nuove funzionalità:

  • Compact Dock: quando il Dock è posizionato in alto o in basso, è ora disponibile una modalità compatta che nasconde il sottotitolo, rendendo il layout più essenziale e meno ingombrante.
  • Cronologia della calcolatrice: i calcoli vengono ora salvati in modo persistente, con la possibilità di riutilizzare, eliminare o cancellare le voci precedenti. È anche possibile configurare l’azione primaria e sostituire la query premendo Invio.
  • Pinning migliorato: quando si aggiunge un comando al Dock, un nuovo dialogo consente di scegliere la posizione e se mostrare o nascondere titolo e sottotitolo.
  • Supporto nuovi content type: le estensioni possono ora esporre contenuti di tipo plain text e image viewer direttamente nel pannello dei contenuti.
  • Affidabilità: corretti due crash legati alla digitazione, migliorato il caricamento delle estensioni in modo che un’estensione difettosa non mandi in crash l’intera lista, e aggiunto il supporto a Windows Terminal profile pinning.

Il Dock ora supporta anche la modalità always-on-top, tenendosi visibile sopra le altre finestre — utile per chi lo usa come launcher rapido.

Come aggiornare


PowerToys 0.99 è disponibile tramite Windows Package Manager (WinGet) oppure direttamente dalla pagina delle release su GitHub. Se avete già PowerToys installato, l’aggiornamento automatico dovrebbe proporvelo a breve nelle impostazioni dell’app.

winget upgrade Microsoft.PowerToys

Le due nuove utility (Grab And Move e Power Display) sono in anteprima e disabilitate di default: dovrete attivarle manualmente dalle impostazioni di PowerToys per cominciare a usarle.

Conclusioni


PowerToys 0.99 si conferma come uno strumento imprescindibile per chi usa Windows in modo intensivo. Grab And Move risolve un problema di usabilità quotidiana che molti utenti conoscono, mentre Power Display porta finalmente un controllo centralizzato dei monitor senza software proprietari. Gli aggiornamenti a Command Palette completano un rilascio solido che vale l’aggiornamento immediato.

Fonte: PowerToys 0.99 is here – Windows Command Line Blog (Niels Laute, Microsoft)


The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Critical Wireshark Update Patches 40+ Vulnerabilities Including Remote Code Execution Flaws
#CyberSecurity
securebulletin.com/critical-wi…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

18 estensioni browser AI come RAT e Spyware: Unit 42 smonta la facciata dei tool GenAI per la produttività
#CyberSecurity
insicurezzadigitale.com/18-est…


18 estensioni browser AI come RAT e Spyware: Unit 42 smonta la facciata dei tool GenAI per la produttività


Con la diffusione esplosiva degli strumenti di intelligenza artificiale generativa, il Chrome Web Store è diventato il nuovo vettore privilegiato per la distribuzione di malware camuffato da produttività. Il team Unit 42 di Palo Alto Networks ha pubblicato il 30 aprile 2026 una ricerca sistematica che documenta 18 estensioni browser ad alto rischio — commercializzate come assistenti AI per email, coding e ricerca — che nascondono Remote Access Trojan (RAT), attacchi meddler-in-the-middle (MitM), infostealer e spyware a tutti gli effetti. Google ha rimosso o emesso avvisi sulle estensioni segnalate, ma la ricerca espone un problema strutturale: il modello di permessi delle estensioni browser, combinato con la fiducia degli utenti verso i tool AI, crea una superficie di attacco lato client difficile da presidiare.

Perché le estensioni AI sono un bersaglio ideale


Le estensioni browser operano all’interno del processo trusted del browser con permessi concessi dall’utente. Possono leggere e modificare contenuti web, intercettare richieste di rete, accedere ai cookie e comunicare con server esterni — le stesse capacità di strumenti legittimi come ad blocker, password manager e tool per sviluppatori. La distinzione tra uno strumento legittimo e uno malevolo è invisibile all’utente medio.

L’AI generativa amplifica il rischio in modo qualitativo. Quando un utente digita un prompt in un servizio AI come ChatGPT o Claude, condivide routinariamente codice proprietario, bozze di comunicazioni riservate e piani strategici. Un’estensione posizionata tra l’utente e il servizio AI intercetta dati di valore incomparabilmente superiore ai metadati di navigazione tradizionalmente presi di mira dal browser malware. Unit 42 ha rilevato campioni specifici che prendono di mira i prompt inviati a ChatGPT prima che lascino il dispositivo, esfiltrandoli verso domini a bassa reputazione.

Le tecniche di attacco documentate da Unit 42


L’analisi retrospettiva di Unit 42 ha identificato cinque tecniche ricorrenti nelle 18 estensioni ad alto rischio:

1. WebSocket C2 persistente


Le estensioni stabiliscono connessioni WebSocket bidirezionali verso server C2 remoti. La connessione si riconnette automaticamente agli interrupt di rete e persiste attraverso i riavvii del browser senza richiedere iniezione di processo. Il traffico appare come normale traffico HTTPS dal punto di vista della rete. L’esempio più esplicito è “Chrome MCP Server – AI Browser Control”: mascherato da tool di automazione basato su Model Context Protocol, è di fatto un RAT completo che si connette a wss://mcp-browser.qubecare[.]ai/chrome, con la listing che riportava falsamente “100% local processing – your data never leaves your browser”.

2. Browser API Hooking


Gli script di contenuto sostituiscono le API native del browser (window.fetch o XMLHttpRequest) per intercettare le richieste di rete prima della trasmissione. In questo modo l’estensione può leggere il payload di qualsiasi richiesta — incluse quelle cifrate — prima che lascino la pagina. Questa tecnica permette la cattura di prompt, credenziali di form e token di sessione.

3. Osservazione passiva del DOM


Gli script di contenuto monitorano passivamente le modifiche al Document Object Model (DOM) in applicazioni target come Gmail o Notion. L’estensione legge il contenuto renderizzato — testo in chiaro di email composte, note, messaggi — e lo trasmette in chiaro a server esterni. Unit 42 ha documentato casi in cui il contenuto delle email e gli OTP vengono esfiltrati tramite questa tecnica prima ancora dell’invio.

4. Traffic Proxying via PAC


Alcune estensioni configurano le impostazioni proxy del browser tramite file PAC (Proxy Auto-Configuration) per instradare il traffico attraverso infrastrutture controllate dall’attaccante. Questo approccio non richiede permission esplicite per i singoli siti e opera in modo trasparente per l’utente.

5. Decifrazione HTTPS via Chrome Debugger Protocol


La tecnica più sofisticata: alcune estensioni agganciano il Chrome Debugger Protocol per leggere il corpo delle risposte HTTPS già decifrate. Questo bypassa la protezione della cifratura transport-layer, consentendo l’intercettazione di qualsiasi risposta HTTPS — incluse risposte delle API AI, contenuti bancari e dati di sessione autenticati.

Il ruolo degli LLM nella produzione industriale di malware browser


Un dato particolarmente significativo: diversi campioni analizzati da Unit 42 contenevano fingerprint di codice generato da LLM. I threat actor stanno utilizzando strumenti di code generation AI per accelerare lo sviluppo di estensioni malevole e scalare le campagne. Questo abbassa drasticamente la barriera tecnica per la produzione di browser malware sofisticato e rende obsoleta la correlazione tra qualità del codice e minaccia reale. La stessa tecnologia che promette produttività agli utenti legittimi viene weaponizzata per costruire più velocemente gli strumenti del crimine informatico.

Le estensioni analizzate (case study)


Tra le 18 estensioni documentate da Unit 42 con comportamenti ad alto rischio, i principali case study includono: Chrome MCP Server – AI Browser Control (RAT completo via WebSocket), Supersonic AI (infostealer di prompt), Reverse Recruiting (esfiltrazione di dati di profilo e comunicazioni), Chat AI for Chrome (intercettazione conversazioni AI), e l’estensione di traduzione Huiyi (spyware con DOM observation). Tutti si presentavano come tool di produttività AI legittimi con descrizioni convincenti sullo store Chrome.

Qualche raccomandazione


  • Gestione centralizzata delle estensioni: le organizzazioni dovrebbero implementare policy di allowlisting delle estensioni browser tramite Chrome Enterprise o equivalente, vietando l’installazione autonoma da parte degli utenti su dispositivi aziendali.
  • Principio del minimo privilegio per le estensioni: auditare i permessi richiesti da tutte le estensioni installate. Un’estensione che chiede accesso a debugger, webRequest, proxy e storage.sync contemporaneamente dovrebbe essere trattata con estrema cautela.
  • Diffidare delle promesse di privacy locale: affermazioni come “100% local processing” non sono verificabili dall’utente e sono state documentate come false in almeno un caso della ricerca.
  • Monitoraggio del traffico di rete: le connessioni WebSocket persistenti verso domini a bassa reputazione da processi browser sono un segnale di allarme rilevabile a livello di proxy/firewall aziendale.
  • Aggiornare le policy di sicurezza per includere esplicitamente le estensioni browser AI come superficie di rischio, alla stregua di software di terze parti installato.

Fonte primaria: Unit 42, Palo Alto Networks, “That AI Extension Helping You Write Emails? It’s Reading Them First”, 30 aprile 2026. Le 18 estensioni sono state segnalate a Google, che ha rimosso o inviato avvisi ai proprietari per violazione delle policy.


The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

LAPSUS$ colpisce Checkmarx: 95 GB di codice sorgente su dark web e la supply chain dei tool di sicurezza nel mirino
#CyberSecurity
insicurezzadigitale.com/__tras…


LAPSUS$ colpisce Checkmarx: 95 GB di codice sorgente su dark web e la supply chain dei tool di sicurezza nel mirino


Quando a essere violato è uno dei principali vendor di sicurezza applicativa — uno strumento usato per rilevare vulnerabilità nel codice altrui — le implicazioni si estendono ben oltre l’azienda stessa. Il gruppo LAPSUS$ ha pubblicato sul dark web 95 gigabyte di dati riservati di Checkmarx, inclusi codice sorgente, chiavi API e credenziali di database. È l’ultimo capitolo di una campagna supply chain orchestrata da un attore noto come TeamPCP, che da settimane sta sistematicamente compromettendo l’ecosistema degli strumenti di sviluppo e sicurezza.

Cosa è stato esfiltrato


Il 25 aprile 2026, LAPSUS$ ha rivendicato pubblicamente l’attacco a Checkmarx, pubblicando un archivio di circa 95 GB che include codice sorgente dei repository GitHub privati dell’azienda (tra cui componenti di KICS, il motore open source per la scansione di configurazioni cloud e IaC), un database dei dipendenti con informazioni personali e credenziali interne, chiavi API per servizi di terze parti e integrazioni, e credenziali di database MongoDB e MySQL dell’ambiente di sviluppo.

Checkmarx ha confermato l’autenticità del dump in un advisory pubblicato il 26 aprile, precisando che i repository GitHub compromessi sono separati dall’ambiente di produzione per i clienti e che nessun dato cliente è stato esposto direttamente. Tuttavia, la presenza di chiavi API e credenziali nei file esfiltrati amplia significativamente la superficie di attacco potenziale.

Il vettore: la campagna supply chain TeamPCP


L’accesso ai sistemi di Checkmarx non è stato ottenuto tramite un attacco diretto, ma attraverso la compromissione della supply chain di sviluppo software. La data del breach originale è il 23 marzo 2026, quando TeamPCP ha iniettato codice malevolo in componenti dell’ecosistema Checkmarx disponibili pubblicamente. Le immagini Docker KICS ufficiali su Docker Hub sono state sostituite con versioni trojanizzate contenenti uno stealer di credenziali: gli sviluppatori che le utilizzavano nelle pipeline CI/CD scaricavano automaticamente il malware. Parallelamente, due estensioni VS Code correlate a Checkmarx pubblicate su marketplace sono state compromesse con funzionalità di esfiltrazione che operavano silenziosamente in background.

Il nome TeamPCP emerge anche in connessione con le 73 estensioni malicious su Open VSX scoperte a fine aprile, suggerendo una campagna coordinata e ad ampio raggio contro l’intero ecosistema degli strumenti DevSecOps. Il modello è chiaro: compromettere prima gli strumenti che gli sviluppatori di sicurezza usano quotidianamente, per poi risalire — tramite le credenziali rubate — ai sistemi più preziosi.

Chi è LAPSUS$


LAPSUS$ è un gruppo di cybercrime con una storia operativa peculiare: composto prevalentemente da giovani hacker (diversi dei quali minorenni all’epoca degli attacchi), il gruppo si è distinto tra il 2021 e il 2022 per una serie di operazioni ad alto profilo contro Nvidia, Samsung, Okta, Microsoft e Uber, utilizzando principalmente tecniche di social engineering e SIM swapping piuttosto che exploit tecnici sofisticati. Dopo una serie di arresti nel 2022-2023, il gruppo sembrava smantellato. La ricomparsa nel 2026, questa volta sfruttando l’infrastruttura supply chain di TeamPCP come vettore di accesso iniziale, dimostra una capacità di adattamento e riorganizzazione che rende LAPSUS$ una minaccia ancora attiva.

Timeline dell’incidente


  • 23 marzo 2026: TeamPCP compromette le immagini Docker KICS e le estensioni VS Code; furto delle credenziali Checkmarx GitHub
  • Fine marzo – inizio aprile 2026: esfiltrazione massiva dei 95 GB di repository privati
  • 25 aprile 2026: LAPSUS$ pubblica il data dump sul dark web e rivendica l’attacco
  • 26 aprile 2026: Checkmarx pubblica un advisory confermando la violazione e bloccando l’accesso al repository compromesso
  • 29 aprile 2026: il dump viene diffuso pubblicamente in forum accessibili, aumentando il rischio di sfruttamento secondario delle chiavi API esposte


Implicazioni per gli utenti Checkmarx e i team DevSecOps


La violazione di Checkmarx solleva preoccupazioni su più livelli. In primo luogo, l’esposizione del codice sorgente dei motori di analisi potrebbe consentire ad attori malevoli di identificare potenziali vulnerabilità nelle logiche di scanning, aprendo la porta ad attacchi che bypassano o manipolano i risultati dell’analisi statica del codice. In secondo luogo, i team che hanno utilizzato immagini Docker KICS o le estensioni VS Code compromesse tra marzo e aprile 2026 devono considerarsi potenzialmente compromessi e procedere con un’indagine forensica.

Indicatori di Compromissione e azioni immediate

# Immagini Docker KICS compromesse (periodo a rischio: 23/03 - 26/04/2026)
checkmarx/kics:latest  # verificare hash con: docker inspect --format='{{.Id}}' checkmarx/kics:latest
checkmarx/kics:v1.7.x  # controllare con advisory ufficiale Checkmarx
# Credenziali da ruotare immediatamente se si è usato KICS Docker nel periodo a rischio:
# - Token GitHub con accesso ai repository
# - Chiavi API Checkmarx
# - Credenziali MongoDB/MySQL condivise con l'ambiente di sviluppo
# - Segreti nelle pipeline CI/CD (GitHub Actions, GitLab CI, Jenkins)
# Verifica estensioni VS Code compromesse:
# Controllare l'elenco completo nel security advisory ufficiale su checkmarx.com/blog/checkmarx-security-update-april-26/
# Log da analizzare per pull sospetti (pipeline CI/CD):
# grep -r "checkmarx/kics" .github/workflows/ .gitlab-ci.yml Jenkinsfile

Consigli per i difensori


L’attacco a Checkmarx è emblematico di una tendenza sempre più preoccupante: i tool di sicurezza stessi diventano vettori di attacco. È necessario verificare i log delle pipeline CI/CD tra il 23 marzo e il 26 aprile 2026 per identificare eventuali pull di immagini Checkmarx da Docker Hub. Qualsiasi segreto memorizzato nell’ambiente di sviluppo deve essere considerato compromesso e sostituito immediatamente. Le estensioni VS Code Checkmarx vanno rimosse e reinstallate da sorgenti verificate e firmate. Il monitoraggio del dark web nei prossimi mesi è raccomandato: i 95 GB esfiltrati contengono informazioni che potrebbero essere sfruttate per attacchi secondari a lungo termine.

Più in generale, questo incidente sottolinea l’urgenza di adottare il principio del least privilege nelle pipeline CI/CD: i processi automatizzati non dovrebbero avere accesso a credenziali di produzione. L’isolamento degli ambienti — sviluppo, staging, produzione — e la firma crittografica delle immagini container (tramite strumenti come Cosign e la policy enforcement con Kyverno o OPA) limitano significativamente il blast radius di compromissioni simili. Quando a essere attaccato è chi produce gli strumenti di difesa, l’unica risposta efficace è l’architettura zero-trust applicata anche all’infrastruttura DevSecOps.


The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Linux Kernel Zero-Day “Copy Fail” (CVE-2026-31431) Grants Root Access on Every Major Distro Since 2017
#CyberSecurity
securebulletin.com/linux-kerne…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Lazarus Group Targets macOS Users With Sophisticated “Mach-O Man” Four-Stage Malware Kit
#CyberSecurity
securebulletin.com/lazarus-gro…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Mini Shai-Hulud: TeamPCP compromette i pacchetti npm ufficiali di SAP in un attacco supply chain enterprise
#CyberSecurity
insicurezzadigitale.com/mini-s…


Mini Shai-Hulud: TeamPCP compromette i pacchetti npm ufficiali di SAP in un attacco supply chain enterprise


Il 29 aprile 2026, il gruppo TeamPCP ha compromesso i pacchetti npm ufficiali di SAP in quello che i ricercatori di Wiz hanno battezzato “Mini Shai-Hulud”: un attacco alla supply chain enterprise di estrema rilevanza che ha preso di mira gli ambienti di sviluppo e CI/CD di organizzazioni che utilizzano il Cloud Application Programming Model (CAP) e Cloud MTA di SAP. L’operazione si distingue per la sofisticazione del meccanismo di esfiltrazione e per la capacità di rubare credenziali da praticamente ogni sistema cloud aziendale utilizzato dagli sviluppatori colpiti.

SAP nell’occhio del ciclone: perché questa supply chain attack è critica


SAP è il backbone ERP di migliaia di aziende enterprise globali. Il suo Cloud Application Programming Model (CAP) è il framework ufficiale per costruire applicazioni cloud-native su SAP Business Technology Platform. Una compromissione dei pacchetti npm di SAP CAP non è, quindi, un attacco a una libreria open source di nicchia: è un’iniezione di malware nel cuore degli ambienti di sviluppo enterprise, con accesso diretto a credenziali di produzione, segreti CI/CD e infrastrutture cloud di organizzazioni Fortune 500.

La finestra temporale dell’attacco è stata precisa e calcolata: le versioni malevole dei pacchetti SAP sono state pubblicate su npm il 29 aprile 2026 tra le 09:55 UTC e le 12:14 UTC — un arco di circa due ore e mezza. Questo tipo di timing suggerisce un’operazione pianificata per massimizzare la finestra di esposizione prima che i team di sicurezza potessero reagire, sfruttando le ore mattutine dei fusi orari europei e americani durante le quali i sistemi CI/CD eseguono build automatizzate.

Anatomia dell’attacco: da preinstall script a credential stealer


Il meccanismo di attacco sfrutta una caratteristica legittima del registry npm: gli script preinstall, che vengono eseguiti automaticamente ogni volta che un pacchetto viene installato come dipendenza. I ricercatori di Socket e Wiz hanno ricostruito la catena di infezione in tre fasi distinte.

Fase 1 — Bootstrap con Bun: Lo script preinstall esegue un loader chiamato setup.mjs che scarica da GitHub il runtime JavaScript Bun. L’utilizzo di Bun anziché Node.js è un’indicazione tattica: Bun è meno monitorato dai tool di sicurezza aziendali ed è più difficile da rilevare in ambienti enterprise dove Node.js è già whitelistato. Questo scaricamento di un binary non verificato è di per sé sufficiente per classificare il pacchetto come malevolo.

Fase 2 — Execution payload offuscato: Il runtime Bun viene utilizzato per eseguire un payload denominato execution.js, pesantemente offuscato. Il payload implementa logiche di raccolta credenziali e meccanismi anti-analisi per complicare il reverse engineering.

Fase 3 — Esfiltrazione crittografata: I dati rubati vengono cifrati con una chiave RSA pubblica hardcoded nel malware e caricati su repository GitHub pubblici creati sull’account della stessa vittima — con la descrizione ironica “A Mini Shai-Hulud has Appeared” (riferimento al verme del deserto di Dune). Questa tecnica di esfiltrazione tramite GitHub è particolarmente insidiosa poiché il traffico verso github.com è raramente bloccato nelle reti aziendali.

Tipologia di credenziali rubate


Il credential stealer è progettato per aspirare qualsiasi segreto accessibile nell’ambiente dello sviluppatore o del pipeline CI/CD:

  • Token GitHub e npm — accesso ai repository e alle pipeline di deploy
  • GitHub Actions secrets — credenziali iniettate nei workflow di CI/CD
  • Chiavi SSH — accesso diretto a server e infrastruttura
  • Credenziali cloud: AWS (access key + secret), Azure (service principal), Google Cloud Platform (service account JSON), Kubernetes (kubeconfig)
  • Segreti CI/CD in memoria — variabili d’ambiente caricate nei processi attivi al momento dell’esecuzione


Attribuzione a TeamPCP: la chiave RSA come firma digitale


Wiz attribuisce l’operazione a TeamPCP con alta confidenza. L’elemento chiave è la riutilizzazione della stessa chiave RSA pubblica per cifrare i dati esfiltrati — la medesima chiave impiegata in precedenti compromissioni di librerie attribuite allo stesso gruppo. È un errore operativo significativo da parte degli attaccanti: la chiave di cifratura diventa di fatto una firma identificativa che collega tutte le campagne dello stesso operatore.

TeamPCP non è un nuovo arrivato nel panorama degli attacchi alla supply chain npm. Il gruppo ha già condotto operazioni simili contro altre librerie, dimostrando un interesse sistematico per l’ecosistema JavaScript enterprise e un pattern operativo consolidato: compromissione di pacchetti legittimi e ad alta fiducia, payload multistadio con downloader, esfiltrazione tramite servizi cloud legittimi.

Il pattern più ampio: tre supply chain attack in 48 ore


L’attacco ai pacchetti SAP non è avvenuto in isolamento. GitGuardian ha documentato come nelle stesse 48 ore abbiano colpito campagne analoghe su npm (il pacchetto tanstack contraffatto che esfiltrava file .env), PyPI e Docker Hub — suggerendo un’intensificazione coordinata delle operazioni di supply chain attack verso l’ecosistema di sviluppo software nel suo complesso. Questo tipo di attività “a grappolo” potrebbe indicare un mercato underground più attivo, o una risposta a opportunità specifiche emerse nell’ecosistema open source.

Indicatori di Compromissione (IoC)

# Pacchetti SAP npm compromessi (versioni malevole - 29 aprile 2026)
# Pubblicati tra 09:55 UTC e 12:14 UTC

# Indicatori infrastrutturali:
# - Loader: setup.mjs (scarica Bun runtime da GitHub)
# - Payload: execution.js (offuscato, eseguito via Bun)
# - Chiave RSA pubblica condivisa con altre campagne TeamPCP

# Pattern di esfiltrazione:
# - Dati caricati su repository GitHub pubblici della vittima
# - Descrizione repository: "A Mini Shai-Hulud has Appeared"
# - Dati cifrati con RSA prima dell'upload

# File target:
.env
.env.local
.env.production
~/.ssh/id_rsa
~/.aws/credentials
~/.kube/config

# Riferimenti:
# Socket: https://socket.dev/blog/sap-cap-npm-packages-supply-chain-attack
# Wiz: https://www.wiz.io/blog/mini-shai-hulud-supply-chain-sap-npm
# BleepingComputer: https://www.bleepingcomputer.com/news/security/official-sap-npm-packages-compromised-to-steal-credentials/

Raccomandazioni immediate per i difensori


Chi utilizza pacchetti SAP CAP o Cloud MTA nel proprio ambiente di sviluppo deve agire immediatamente su più fronti. Il primo passo è verificare le versioni installate nei propri progetti e disinstallare qualsiasi versione pubblicata il 29 aprile 2026: eseguire npm audit e confrontare le versioni con il changelog ufficiale SAP. In secondo luogo, è necessario trattare tutte le credenziali presenti negli ambienti di sviluppo e CI/CD come potenzialmente compromesse: ruotare token GitHub, chiavi AWS/Azure/GCP, credenziali npm e kubeconfig.

A livello organizzativo, questo attacco riporta all’attenzione la necessità di implementare policy di Software Composition Analysis (SCA) nei pipeline CI/CD, con blocco automatico di pacchetti che eseguono script preinstall o scaricano binary da sorgenti esterne. L’adozione di soluzioni come Socket, Wiz o Snyk per il monitoraggio in real-time delle dipendenze npm rappresenta oggi una misura non più opzionale per chi gestisce ambienti enterprise basati su Node.js.

Fonti: Socket Research Team, Wiz Security Blog, BleepingComputer, GitGuardian Blog — 29-30 aprile 2026.


The Pirate Post ha ricondiviso questo.

Journalismus wird weltweit immer häufiger kriminalisiert. Auch in demokratischen Ländern. Zum ersten Mal fallen in der Rangliste von Reporter ohne Grenzen über die Hälfte aller Länder in die schlechtesten Kategorien. Trump hat dabei einen weltweiten Negativ-Effekt auf die Pressefreiheit.

netzpolitik.org/2026/reporter-…

in reply to netzpolitik.org

Ob es auch mit den Aufstieg der Rechten Parteien zusammenhängt (also Rechts neben den Konservativen)?

de.statista.com/infografik/313…

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

🎙️ #KI verändert gerade alles — wie wir arbeiten, lernen, uns informieren und uns schützen. Was steckt dahinter? Und was heißt das für uns? Max #Schrems spricht darüber mit Ö3-Redakteurin Shin Chang.

• Video: youtube.com/watch?v=lP8yLUsXyf…
• Podcast: sound.orf.at/podcast/oe3/der-o…

reshared this

The Pirate Post ha ricondiviso questo.

Die EU arbeitet mit Hochdruck an der Abschiebeverordnung. ICE-ähnliche Razzien in Privatwohnungen und elektronische Fußfesseln für Menschen ohne Aufenthalt könnten Realität werden, wenn die Verordnung in dieser Form beschlossen wird – warnen Expert*innen und zivilgesellschaftliche Organisationen.

netzpolitik.org/2026/abschiebe…

The Pirate Post ha ricondiviso questo.

🗓️ Mark your calendars for an exclusive summit on resisting the EU's digital #deregulation agenda!

We're excited to announce the summit ✊🏽 "Fight for Us, not for Them": A public interest vision for EU tech policy ✊🏽

📍Tuesday 23 June 2026, 14-18.00 CEST

11 civil society orgs will convene European lawmakers, regulators, journalists, and key civil society voices to lay out our bold alternative vision for tech laws, policies and practices.

Register now to join us online ➡️
edri.org/our-work/announcing-t…

reshared this

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Bye bye #Hadopi ! Et pas merci pour toutes ces années !

Le Conseil d'État vient de donner raison à La Quadrature du Net, @FDN, @franciliens et @federationfdn. Il a enjoint au Premier ministre d'abroger une partie du décret central de la Hadopi. 🥳

laquadrature.net/2026/04/30/ha…

reshared this

Announcing the Summit “Fight for Us, not for Them”: A public interest vision for EU tech policy


Europe’s approach to governance for advancing technology in the digital age is under pressure, with “simplification” proposals hitting the heart of core digital protections. At the same time, civil society is uniquely position to co-develop EU’s vision for a public-interest tech laws, policies and practices. Today, civil society organisations announce a strategic convening between European lawmakers, regulators, journalists and key civil society voices around a vision for tech laws and practices that center public interest, data protection and other rights.

The post Announcing the Summit “Fight for Us, not for Them”: A public interest vision for EU tech policy appeared first on European Digital Rights (EDRi).

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The @EUCommission's first review of the #DMA is out. While the law remains a powerful tool, its enforcement is falling short.

Yes, there have been early wins. But widespread non-compliance by gatekeepers, weak enforcement signals & reports of political interference risk turning ambition on paper into missed opportunity in practice.

The Commission should stop “working with gatekeepers towards compliance” & instead simply require it.

✊🏾 No more leniency for lawbreakers ➡️ edri.org/our-work/if-the-dma-i…

Questa voce è stata modificata (2 mesi fa)

If the DMA is fit for purpose why are the gatekeepers winning?


The European Commission says the Digital Markets Act (DMA) was “fit for purpose” and had “positive impact.” But while it certainly has that potential, laissez-faire enforcement and political interference by the Commission undermine its effectiveness and allow gatekeepers to continue to dominate European digital markets.

The post If the DMA is fit for purpose why are the gatekeepers winning? appeared first on European Digital Rights (EDRi).

Jure Repinc reshared this.

The Pirate Post ha ricondiviso questo.

🚨 noyb hat heute eine Klage gegen die Hamburger Datenschutzbehörde eingereicht

Die Behörde hält das Vorgehen der Gesichtssuchmaschine PimEyes zwar für illegal, will aber keine wirksamen Maßnahmen ergreifen, weil das Unternehmen in Dubai ansässig sei.

👉 noyb.eu/de/no-action-taken-aga…

Questa voce è stata modificata (2 mesi fa)
in reply to noyb.eu

es scheint Methode zu werden, nach Gründen zu suchen, Arbeitsverweigerung zu rechtfertigen. In Hessen wartet man, bis der Anbieter das Geschäft einstellt, in Hamburg eben vermutlich, bis der Rechtsbrecher mit deutschem Pass in der Hand klingelt und um Beachtung fleht.
Unerwünschtes Verhalten mit Nichtbeachtung zu reduzieren und erwünschtes mit Lob zu bestärken ist zwar auch eine Methode, aber doch wohl eher für Kitas geeignet. Da funktioniert sie, weil der Reiz des Geldverdienens durch Regelbruch noch nicht dagegen spielt.

Strengthening Whistleblower Protection in the Age of AI


Democracy is built on the idea that it serves the people. Public opinion and participation are at its core. Simply put, voices matter. When people speak up about problems in the system, they need protection to maintain public trust. The EU Whistleblower Protection Directive helps protect these voices and strengthens transparency and accountability.

At its heart, the Directive recognizes that without people willing to speak up, many problems in public institutions or private organizations would stay hidden.

The Directive was introduced to establish minimum protection standards across the European Union. It aims to ensure that individuals can report wrongdoing without fear of retaliation and that such reports are taken seriously.

However, recent developments highlight an important challenge. While the Directive provides a strong legal framework, its implementation across Member States has been uneven. Differences in enforcement, limited awareness, and gaps in protection continue to affect how safe individuals feel when coming forward.

Meanwhile, the European Union is entering a new phase of regulation with the EU AI Act. As artificial intelligence is assuming a larger role in decision-making, new risks are emerging that are hard to spot from the outside. In this situation, whistleblowers are even more important because they are often the first to notice problems like bias, misuse, or system failures.

The integration of whistleblower protections with the AI regulatory framework reflects a growing recognition that effective oversight of complex technologies depends on protecting those who can expose risks from within. At the same time, it raises new questions about whether existing protections are sufficient to address emerging and often non-traditional harms.

As an organization committed to transparency, digital rights, and democratic accountability, the European Pirate Party supports the EU Whistleblower Protection Directive. However, an in-depth analysis of the framework suggests that, while well-intentioned, its provisions do not always translate into effective protection in practice. In this context, the European Pirates, supported by their research and policy teams, have responded to the European Commission’s call for evidence on the evaluation of the Directive.

The submission highlights key concerns, including:

  • The gap between legal protections and their practical enforcement
  • The need to treat retaliation as a fundamental rights issue
  • Limitations in scope, particularly in the context of digital and AI-related risks
  • Challenges related to accessibility, awareness, and trust in reporting systems

The European Pirates also set out recommendations to strengthen the Directive and ensure its continued effectiveness in a rapidly evolving technological landscape.

Read the full consultation input and position paper below:

Whistleblower CONSULTATION RESPONSEDownload


europeanpirates.eu/strengtheni…

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Azure Data Studio è in pensione: migra il tuo workflow Azure SQL su VS Code in 10 minuti
#tech
spcnet.it/azure-data-studio-e-…
@informatica


Azure Data Studio è in pensione: migra il tuo workflow Azure SQL su VS Code in 10 minuti


Se stai ancora aprendo Azure Data Studio per lavorare con Azure SQL, è arrivato il momento di fare il passo. Azure Data Studio (ADS) è andato ufficialmente in pensione il 6 febbraio 2025, e il supporto è terminato il 28 febbraio 2026. Microsoft ha indicato Visual Studio Code con l’estensione MSSQL come percorso ufficiale consigliato.

Questa guida ti aiuta a ripristinare rapidamente la produttività in VS Code: importare il setup esistente, recuperare le scorciatoie familiari come F5, e far funzionare SQL Database Projects per gestire le modifiche allo schema con sicurezza.

Perché questa migrazione conta per gli sviluppatori Azure SQL


Eseguire query è solo una parte del lavoro. La maggior parte dei team ha bisogno di workflow ripetibili per la revisione delle modifiche allo schema, la validazione in CI, e i deployment più sicuri. SQL Database Projects supporta questo stile di lavoro con “schema as code”, build validation, e un’esperienza di pubblicazione guidata direttamente in VS Code.

Rispetto ad Azure Data Studio, VS Code offre:

  • Un ecosistema di estensioni molto più ricco e aggiornato
  • Integrazione nativa con GitHub Copilot per l’assistenza SQL
  • Supporto per SQL database in Microsoft Fabric
  • Un editor più potente con refactoring, IntelliSense avanzato, e integrazione Git integrata


Step 1: Installa gli strumenti SQL essenziali per VS Code


Dalla Marketplace di VS Code, installa questi tre componenti:

Estensione MSSQL


Il tuo principale strumento per query, connessioni e workflow con il database. Cerca “SQL Server (mssql)” nel VS Code Marketplace. Questa estensione gestisce le connessioni ai server SQL Server, Azure SQL Database, Azure SQL Managed Instance e SQL database in Microsoft Fabric.

SQL Database Projects


Aggiunge il sistema di progetto e il workflow di build/publish per “schema as code”. Cerca “SQL Database Projects” nel Marketplace. Con questa estensione puoi organizzare oggetti SQL in un progetto versionabile, validare la struttura del database prima del deploy, e pubblicare in modo controllato.

.NET 8 SDK


SQL Database Projects dipende dal .NET SDK per la build. Installalo da dotnet.microsoft.com prima del primo build. L’estensione ti avviserà se manca, ma averlo pronto evita un riavvio aggiuntivo.

Step 2: Importa il tuo setup ADS esistente


L’estensione MSSQL include un ADS Migration Toolkit che trasferisce le tue connessioni salvate, i gruppi di connessioni, le impostazioni e i binding dei tasti in un unico flusso guidato. Apri l’estensione e segui il wizard.

Ripristinare F5 come abitudine muscolare


Se sei abituato a premere F5 per eseguire una query in Azure Data Studio, installa l’estensione MSSQL Database Management Keymap. Aggiunge i binding di tasti in stile ADS, incluso F5 per eseguire una query. Per l’elenco completo, consulta la documentazione “Customize keyboard shortcuts”.

Step 3: Configurare SQL Database Projects end-to-end


Questa è la parte che rende il workflow davvero solido. Segui questi passaggi nell’ordine:

1. Crea o apri un progetto SQL


Apri una cartella di progetto SQL esistente in VS Code, oppure creane uno nuovo tramite i comandi SQL Database Projects nell’editor. I file .sqlproj sono compatibili con SSDT, quindi puoi aprire progetti esistenti direttamente.

2. Esegui prima la build


Il primo traguardo deve essere una build pulita. Confermare che la toolchain è configurata correttamente prima di tentare un deploy è fondamentale. Eventuali errori di sintassi o riferimenti mancanti emergono qui, non in produzione.

3. Pubblica tramite il Publish Dialog


Fai clic destro sul progetto nel pannello Database Projects, seleziona Publish, configura il target, controlla il deployment script generato, e seleziona Publish per deployare.

La preview dello script è il punto che rende questo workflow affidabile per uso serio: vedi esattamente quale T-SQL verrà eseguito sul database prima che accada. Niente sorprese.

Problemi comuni e soluzioni


.NET SDK non trovato: Se la prima build non completa, verifica che il .NET SDK sia installato e che VS Code riesca a trovarlo. Questo è il problema più comune al primo avvio.

Target platform mismatch: Se il comportamento di publish è diverso da quello atteso, controlla il target platform del progetto nelle impostazioni .sqlproj. Molti problemi di publish dipendono dalla configurazione del progetto, non dal database in sé.

Lavorare con SQL database in Microsoft Fabric


La stessa configurazione VS Code si applica a SQL database in Microsoft Fabric, con un’aggiunta: inizia dal portale Fabric per collegare il database a Git prima di aprire il progetto localmente in VS Code. Questo garantisce che il file di progetto sia configurato correttamente per Fabric.

Item templates: per chi arriva da SSDT


Se vieni da SSDT, i template di elementi in SQL Database Projects generano stub consistenti per tabelle, stored procedure, view e altri oggetti comuni. Fai clic destro sul progetto nel pannello Database Projects e seleziona Add Item per iniziare.

Primi passi consigliati


Prova questo ciclo completo con qualsiasi schema di database piccolo:

  1. Crea o apri un SQL project
  2. Esegui la build
  3. Pubblica con script preview abilitato
  4. Apporta una modifica allo schema, ricompila, e pubblica di nuovo

Dopo questo ciclo, il workflow ti sembrerà naturale come quello di Azure Data Studio — con in più la potenza dell’ecosistema VS Code.

Conclusione


Azure Data Studio ha avuto la sua era, ma VS Code con l’estensione MSSQL è oggi il tool ufficiale e più potente per lavorare con Azure SQL. L’importazione del setup esistente richiede pochi minuti grazie all’ADS Migration Toolkit, e SQL Database Projects porta il workflow di schema management a un livello superiore rispetto a quanto era possibile in ADS.

Chi lavora con Azure SQL, SQL Server, o SQL database in Microsoft Fabric troverà in VS Code un ambiente più ricco e costantemente aggiornato. La transizione vale lo sforzo.

Fonte originale: Azure Data Studio is retired: Move your Azure SQL workflow to VS Code in 10 minutes — Iqra Shaikh, Microsoft Azure SQL Dev Corner (27 aprile 2026)


The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Europol Dismantles €50 Million Investment Fraud Network Operating Corporate-Style Scam Call Centres in Albania
#CyberSecurity
securebulletin.com/europol-dis…
The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Il pulsante di emergenza: revoca immediata dei token in .NET 10 con Duende IdentityServer
#tech
spcnet.it/il-pulsante-di-emerg…
@informatica


Il pulsante di emergenza: revoca immediata dei token in .NET 10 con Duende IdentityServer


Immagina questo scenario da incubo: il telefono di un cliente bancario viene rubato, l’app mobile è già autenticata, e il ladro ha pieno accesso al suo conto. Il supporto riceve la chiamata disperata. Ogni secondo conta. Quanto tempo ci vuole per revocare quella sessione attiva e mettere al sicuro i fondi?

Se stai usando JWT self-contained standard, la risposta onesta potrebbe essere “fino a un’ora”, a seconda della durata di validità del token. Non è accettabile. Vediamo come i Reference Token ti forniscono un vero pulsante di emergenza per queste situazioni, e come configurarli con Duende IdentityServer in .NET 10.

Il problema dei JWT self-contained


I JWT self-contained sono il cavallo di battaglia dell’autorizzazione moderna. Trasportano tutte le claim di cui un’API ha bisogno direttamente nel token. Nessuna query al database, nessuna chiamata al provider di identità. L’API valida la firma, controlla la scadenza, e il gioco è fatto. È elegante e performante.

Ma questa natura self-contained è un’arma a doppio taglio. Una volta emesso un JWT, il provider di identità non ha più nulla da dire su di esso. Il token è valido fino a quando la claim exp non dice il contrario, tipicamente 5-60 minuti. Se un dispositivo viene rubato, un account compromesso, o una minaccia rilevata, non puoi revocare quel token. Sei costretto ad aspettare che scada.

Per molte applicazioni questo compromesso è accettabile. Per ambienti ad alta sicurezza come banking, sanità o sistemi governativi, è un gap che non puoi permetterti.

Reference Token: premere il pulsante


I Reference Token ribaltano il modello. Invece di incorporare tutte le claim direttamente nel token, IdentityServer memorizza il contenuto del token lato server nel suo persisted grant store e consegna al client un identificatore opaco (un “handle”). Quando un’API riceve questo handle, chiama l’endpoint di introspection di IdentityServer per validare il token e recuperare le claim.

Questo cambia tutto. Poiché i dati del token risiedono sul server, puoi cancellarli in qualsiasi momento. La revoca è immediata. La prossima volta che l’API chiama l’endpoint di introspection, riceve "active": false, e l’accesso viene negato. Niente attese di scadenza, niente token obsoleti in circolazione.

Il compromesso? Ogni chiamata API richiede un round-trip verso l’endpoint di introspection. Per API pubbliche su scala internet, è una preoccupazione. Per servizi interni e ambienti ad alta sicurezza, è un prezzo ragionevole per la capacità di staccare la spina istantaneamente.

Configurare i Reference Token in IdentityServer


Passare a Reference Token per un client richiede una singola riga di configurazione. Quando definisci il client in Duende IdentityServer, imposta la proprietà AccessTokenType:

new Client
{
    ClientId = "banking_app",
    ClientSecrets = { new Secret("secret".Sha256()) },
    AllowedGrantTypes = GrantTypes.Code,

    // Questa è la riga chiave
    AccessTokenType = AccessTokenType.Reference,

    AllowOfflineAccess = true,
    RedirectUris = { "https://banking.example.com/signin-oidc" },
    AllowedScopes = { "openid", "profile", "accounts.read", "transfers.write" }
};

I token emessi per questo client saranno ora handle opachi invece di JWT self-contained.

Configurare l’API per l’introspection


La tua API deve sapere come validare questi token opachi. Invece del (o in aggiunta al) classico JWT validation, configuri l’introspection OAuth 2.0. Prima, definisci un API Resource con un secret:

new ApiResource("banking_api")
{
    Scopes = { "accounts.read", "transfers.write" },
    ApiSecrets = { new Secret("api_secret".Sha256()) }
};

Poi nel Program.cs della tua API, registra l’handler di introspection:
builder.Services.AddAuthentication("token")
    .AddOAuth2Introspection("token", options =>
    {
        options.Authority = "https://identity.banking.example.com";
        options.ClientId = "banking_api";
        options.ClientSecret = "api_secret";
    });

Se devi supportare sia JWT che Reference Token (magari durante una migrazione), puoi registrare entrambi gli handler e usare il forwarding per instradare i token a quello corretto:
builder.Services.AddAuthentication("token")
    .AddJwtBearer("token", options =>
    {
        options.Authority = "https://identity.banking.example.com";
        options.Audience = "banking_api";
        options.TokenValidationParameters.ValidTypes = ["at+jwt"];
        options.ForwardDefaultSelector = Selector.ForwardReferenceToken("introspection");
    })
    .AddOAuth2Introspection("introspection", options =>
    {
        options.Authority = "https://identity.banking.example.com";
        options.ClientId = "banking_api";
        options.ClientSecret = "api_secret";
    });

Revocare un token


Quando quella chiamata disperata arriva, il tuo sistema di supporto (o una pipeline automatica di rilevamento minacce) può revocare il token immediatamente usando l’endpoint di revocation di IdentityServer, che implementa la RFC 7009:

using Duende.IdentityModel.Client;

var client = new HttpClient();
var result = await client.RevokeTokenAsync(new TokenRevocationRequest
{
    Address = "https://identity.banking.example.com/connect/revocation",
    ClientId = "banking_app",
    ClientSecret = "secret",
    Token = stolenAccessToken
});

if (result.IsError)
{
    logger.LogError("Token revocation failed: {Error}", result.Error);
}

Una volta revocato, il token viene rimosso dal persisted grant store. La prossima richiesta di introspection da qualsiasi API confermerà che il token non è più attivo. L’accesso è tagliato.

Non dimenticare: dovresti anche revocare il refresh token dell’utente per impedire al client di ottenere silenziosamente un nuovo access token:

await client.RevokeTokenAsync(new TokenRevocationRequest
{
    Address = "https://identity.banking.example.com/connect/revocation",
    ClientId = "banking_app",
    ClientSecret = "secret",
    Token = refreshToken
});

Nota: sia l’introspection che la revocation emettono eventi di audit che puoi usare per implementare log di audit nei settori regolamentati.

Quando usare i Reference Token


I Reference Token non sono un sostituto universale dei JWT. Brillano in scenari specifici:

  • La revoca immediata è un requisito imprescindibile (banking, sanità, sistemi compliance-driven)
  • Comunicazione service-to-service interna dove il round-trip di introspection è trascurabile
  • Operazioni ad alto rischio dove il beneficio di sicurezza supera il costo in performance

Per API pubbliche su larga scala dove la latenza di revoca è accettabile, i JWT self-contained con breve durata rimangono una scelta solida. Puoi anche mixare i due approcci: Reference Token per client sensibili e JWT per quelli a minor rischio, tutto all’interno dello stesso deployment IdentityServer.

Conclusione


Ogni architettura di sicurezza implica compromessi. I JWT self-contained scambiano la revocabilità per la performance. I Reference Token scambiano la performance per il controllo. Per gli ambienti dove “aspetta che scada” non è una risposta accettabile, i Reference Token con Duende IdentityServer ti forniscono un vero pulsante di emergenza.

L’implementazione è semplice: una proprietà sul client, un handler di introspection sull’API, e una chiamata di revocation quando devi staccare la spina. Quando accadono incidenti di sicurezza — e accadranno — sarai felice di averlo configurato.

Fonte originale: The Emergency Stop Button – Implementing Immediate Token Revocation in .NET 10 — Khalid Abuhakmeh, Duende Software (28 aprile 2026)


The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

SonicWall SonicOS Flaws Let Attackers Bypass Firewall Access Controls and Trigger Denial of Service
#CyberSecurity
securebulletin.com/sonicwall-s…
The Pirate Post ha ricondiviso questo.

Perché le aziende di intelligenza artificiale vogliono che tu abbia paura di loro

Fermatevi se l'avete già sentita: un'azienda tecnologica afferma di aver creato una nuova intelligenza artificiale talmente potente da fare paura. A quanto pare, è troppo pericolosa per essere rilasciata nel mondo: le conseguenze sarebbero catastrofiche. Per fortuna, per ora la tengono sotto chiave. Volevano solo che lo sapeste.

bbc.com/future/article/2026042…

@aitech

The Pirate Post ha ricondiviso questo.

Weitgehend unbeachtet hat das Kabinett gestern ein Überwachungspaket beschlossen, das Orwell fast blass aussehen lässt. Darin steckt unter anderem die Fotofahndung im Netz. Dazu müssten massenweise Gesichter aus dem Netz gescrapet werden – ohne Zustimmung. Mehr dazu:

netzpolitik.org/2026/rechtlich…

in reply to chris köver

Bereitgestellt von @altbot, privat und lokal generiert mit Gemma4:26b

@ckoever Ein Bild mit schwarzem Text auf weißem Hintergrund. Der Text lautet: „5. Auf welche Daten soll beim biometrischen Internetabgleich zugegriffen werden dürfen? Für den Abgleich sollen nur solche Daten herangezogen werden dürfen, die im Internet öffentlich zugänglich sind: Also solche Daten, auf die jedermann zugreifen kann, beispielsweise aus sozialen Medien (je nach Privatsphäre-Einstellungen). Nicht umfasst sind hingegen Daten, die nur bestimmten Personengruppen zugänglich sind, beispielsweise Daten in sozialen Medien, die nur für die Kontakte einer Person bestimmt sind. Privatkommunikation über Messenger-Dienste von sozialen Medien können können nicht von der Maßnahme erfasst werden. Auch Echtzeitdaten, wie beispielsweise Live-Streams, können und dürfen hierbei nicht erfasst werden.“

🌱 Energieverbrauch: 0.332 Wh

The Pirate Post ha ricondiviso questo.

💶 Weiterhin keine Einigung beim D€ in Sicht. Das EU-Parlament verschiebt die ursprünglich für den 5. Mai angesetzte Abstimmung. Anna Ströbele Romero und ich berichten für @netzpolitik_feed welchen wichtigen Konflikt die Abgeordneten schon begraben haben und blicken auf drei Aspekte, bei denen noch Gesprächsbedarf ist.

Hier zu lesen: netzpolitik.org/2026/eu-ringt-…

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

GLITTER CARP e SEQUIN CARP: la Cina spia giornalisti e attivisti con phishing mirato e OAuth abuse
#CyberSecurity
insicurezzadigitale.com/glitte…


GLITTER CARP e SEQUIN CARP: la Cina spia giornalisti e attivisti con phishing mirato e OAuth abuse


Si parla di:
Toggle

Il Citizen Lab dell’Università di Toronto ha pubblicato un rapporto dettagliato che svela due distinti gruppi di hacker allineati con la Repubblica Popolare Cinese — denominati GLITTER CARP e SEQUIN CARP — responsabili di una campagna sistematica di sorveglianza digitale e phishing contro giornalisti investigativi, attivisti uiguri, tibetani, taiwanesi e hongkonghesi. La ricerca, condotta in collaborazione con l’International Consortium of Investigative Journalists (ICIJ), rappresenta un’ulteriore conferma della pervasività della repressione digitale transnazionale (DTR) orchestrata da Pechino.

Il contesto: la repressione digitale transnazionale della Cina


La Cina ha una lunga storia di persecuzione dei propri oppositori all’estero. Dagli anni ’90, le autorità di Pechino hanno minacciato, intimidito e fisicamente attaccato cittadini cinesi residenti all’estero che esprimevano dissenso verso il Partito Comunista. Nel corso dei decenni, la platea dei bersagli si è ampliata per includere esponenti delle diaspore tibetana, uigura, taiwanese e hongkonghese — i cosiddetti “Cinque Veleni” secondo la terminologia del CCP — oltre ai praticanti del Falun Gong e ai giornalisti che ne documentano le attività.

Il rapporto del Citizen Lab (Report No. 193, pubblicato il 27 aprile 2026) analizza come questa repressione si sia evoluta verso un modello di Military-Civil Fusion: attacchi state-sponsored eseguiti da contractor civili privati, con una netta divisione del lavoro tra i vari gruppi coinvolti. GLITTER CARP e SEQUIN CARP rappresentano due nodi distinti di questa rete, con TTP differenti ma finalità complementari.

GLITTER CARP: phishing massivo e furto di credenziali email


GLITTER CARP è attivo almeno dall’aprile 2025 e conduce una campagna di phishing ad ampio spettro, ma chirurgicamente mirata in termini di selezione delle vittime. Il gruppo ha colpito il World Uyghur Congress, lo Uyghur Human Rights Project (UHRP), TibCERT (la rete di risposta agli incidenti per la comunità tibetana), il media taiwanese Watchout e numerosi attivisti individuali come Carmen Lau, figura di spicco dell’attivismo hongkonghese.

Le tecniche adottate rivelano un’accurata preparazione operativa. In un caso emblematico, l’attivista uiguro-canadese Mehmet Tohti ha ricevuto un messaggio apparentemente proveniente da un noto regista uiguro, con una richiesta di visionare un documentario in anteprima. Il link non conduceva ad alcun video, ma a una pagina di login Google contraffatta. Il Citizen Lab ha inoltre identificato l’uso sistematico di tracking pixel nascosti nelle email di phishing, per verificare che il messaggio venisse aperto prima di procedere con la fase successiva dell’attacco.

L’infrastruttura di GLITTER CARP è stata documentata anche da Proofpoint, che ha osservato il riuso degli stessi domini e delle stesse identità impersonate in attacchi contro molteplici target. Il Citizen Lab ha identificato oltre cento domini correlati, alcuni dei quali probabilmente impiegati in operazioni non ancora rese pubbliche. L’obiettivo primario del gruppo sembra essere l’accesso iniziale ad account email, suggerendo un contratto specializzato all’interno del sistema Military-Civil Fusion che delega la compromissione dei dispositivi ad altri attori.

SEQUIN CARP: OAuth abuse e spionaggio dei giornalisti ICIJ


SEQUIN CARP opera con metodologie più sofisticate e ha come bersaglio principale i giornalisti dell’ICIJ impegnati nell’indagine “China Targets” — un progetto che documenta le pratiche di repressione transnazionale del CCP. La giornalista Scilla Alecci, coordinatrice del progetto, è stata oggetto di almeno tre tentativi di compromissione tra giugno 2025 e marzo 2026.

Il vettore d’attacco distintivo di SEQUIN CARP è il phishing OAuth: anziché rubare password, il gruppo induce le vittime a concedere autorizzazioni di accesso a email e calendario a un’applicazione di terze parti apparentemente legittima. Questa tecnica è particolarmente insidiosa perché:

  • Non richiede la conoscenza della password della vittima
  • Il token OAuth mantiene l’accesso anche dopo un cambio di password
  • L’accesso persiste finché la vittima non revoca manualmente il permesso dall’elenco delle app autorizzate
  • Le attività di lettura delle email non lasciano tracce nei log di accesso tradizionali

Per rendere credibili i propri approcci, SEQUIN CARP costruisce personas elaborate basate su narrative reali. In un caso, gli attaccanti hanno impersonato Bai Bin, un ex funzionario di un tribunale di Pechino la cui storia era già stata riportata da media cinesi, usando la sua identità per avvicinare la giornalista Alecci con una richiesta di informazioni apparentemente plausibile. Nonostante le capacità tecniche avanzate, il gruppo ha commesso errori operativi significativi che hanno permesso al Citizen Lab di tracciarne l’infrastruttura.

Attribuzione e implicazioni geopolitiche


Il Citizen Lab valuta con alta confidenza che entrambi i gruppi operino in favore della Repubblica Popolare Cinese, inserendosi nel pattern più ampio di repressione digitale transnazionale documentato negli ultimi anni. La coesistenza di due attori distinti con TTP differenti ma target sovrapposti suggerisce un ecosistema di contractor specializzati che risponde a mandati governativi specifici — un modello coerente con il sistema Military-Civil Fusion del governo cinese.

Proofpoint aveva già documentato attività correlate a GLITTER CARP contro altri soggetti legati agli interessi di Pechino, rafforzando l’ipotesi di una campagna coordinata e continuativa piuttosto che di operazioni episodiche. La duplice attenzione sull’ICIJ — con due attori separati che perseguono strategie diverse — evidenzia quanto l’organizzazione e i suoi giornalisti siano percepiti come minacce significative dalla leadership cinese.

Indicatori di Compromissione (IoC)

# Infrastruttura GLITTER CARP (domini impersonation identificati dal Citizen Lab)
# Categorie principali di impersonation:
# - Servizi Google (login, accounts, security-alerts)
# - Pagine ICIJ false
# - Profili di attivisti noti impersonati

# Tattiche SEQUIN CARP - OAuth Abuse
# Endpoint di autorizzazione OAuth abusati per accesso persistente a Gmail
# Tipologia di permessi richiesti: mail.read, calendar.readonly
# Vettore: email di spear-phishing con link a pagina di consent OAuth fake

# Tracking pixel:
# - Pixel nascosti nelle email per confermare apertura messaggio
# - Utilizzati come trigger per avanzamento attacco

# Referenza report completo:
# https://citizenlab.ca/research/how-chinese-actors-use-impersonation-and-stolen-narratives-to-perpetuate-digital-transnational-repression/

Come proteggersi: raccomandazioni per i difensori


Il Citizen Lab fornisce indicazioni pratiche per chi opera in ambienti ad alto rischio. In primo luogo, è fondamentale effettuare revisioni periodiche delle applicazioni OAuth autorizzate nel proprio account Google o Microsoft, revocando immediatamente qualsiasi accesso non riconosciuto o non più necessario. L’uso di chiavi di sicurezza hardware (FIDO2/WebAuthn) come secondo fattore di autenticazione rappresenta la misura più efficace contro i tentativi di phishing tradizionali, poiché il token fisico non può essere replicato su siti contraffatti.

Per i giornalisti e gli attivisti ad alto rischio, il Citizen Lab raccomanda l’adozione di strumenti come Access Now’s Digital Security Helpline e una formazione specifica sui pattern di spear-phishing legati alla repressione cinese. La verifica dell’identità dei contatti attraverso canali alternativi prima di cliccare su qualsiasi link — anche apparentemente proveniente da persone conosciute — rimane la misura preventiva più critica in questo contesto operativo.

Fonte primaria: Citizen Lab Report No. 193, “Tall Tales: How Chinese Actors Use Impersonation and Stolen Narratives to Perpetuate Digital Transnational Repression”, 27 aprile 2026. In collaborazione con ICIJ.


EDRi-gram, 30 April 2026


What has the EDRi network been up to over the past few weeks? Find out the latest digital rights news in our bi-weekly newsletter. In this edition: Young people across Europe say social media bans won’t fix broken platforms

The post EDRi-gram, 30 April 2026 appeared first on European Digital Rights (EDRi).

The Pirate Post ha ricondiviso questo.

Das Europäische Parlament sucht eine gemeinsame Position zum Digitalen Euro. Ein besonders umstrittener Vorschlag ist nun erst einmal vom Tisch, Themen wie Datenschutz und sogenannte Haltelimits aber noch offen. Viel Zeit für eine Einigung bleibt nicht mehr.

netzpolitik.org/2026/eu-ringt-…

Bastian’s Night #474 April, 30th


Every Thursday of the week, Bastian’s Night is broadcast from 21:30 CEST/DST.

Bastian’s Night is a live talk show in German with lots of music, a weekly round-up of news from around the world, and a glimpse into the host’s crazy week in the pirate movement.


If you want to read more about @BastianBB: –> This way


piratesonair.net/bastians-nigh…

The Pirate Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CCC unterstützt Klage gegen Hamburger Datenschutzbehörde: Aufsicht ohne Wirkung bei rechtswidrigen Praktiken von #PimEyes ccc.de/de/updates/2026/biometr…

reshared this

The Pirate Post ha ricondiviso questo.

🚨 Today, noyb has filed a lawsuit against the Hamburg data protection authority.

While the authority considers the practices of the facial recognition search engine PimEyes to be illegal, it refuses to take effective action.

More info 👇
noyb.eu/en/no-action-taken-aga…

reshared this