Poker onlineDa oltre un mese si stanno moltiplicando gli annunci su Facebook di persone che si ritrovano vittime di attacchi hacker che coinvolgono mail private, profili social, Skrill e account di gioco. La frequenza inizia ad essere preoccupante e riguarda sempre più giocatori di poker online.
Abbiamo chiesto ad un amico della redazione di Assopoker, Paolo Giulio “DocPoker” Mattioni, lumi sulla vicenda che sta seguendo con attenzione da settimane. Giulio è un appassionato di tecnologia e social, conosce bene questi nuovi casi e con qualche nozione in più della media, ci suggerisce anche alcune controindicazioni per cercare di mettersi al riparo da certe spiacevoli evenienze. Suggerimenti che potrebbero tornarvi molto utili. DocPoker ha preparato un tutorial interessante e lo ringraziamo per la collaborazione.
Cosa sta succedendo Giulio?
Da un paio di mesi a questa parte si stanno moltiplicando in maniera esponenziale le segnalazioni di attacchi hacker ai profili di un gran numero di giocatori di poker. Le modalità sono più o meno sempre le stesse: si passa dal controllo della mail di registrazione a Facebook per poi impossessarsi del profilo dell’utente.
Quali sono le conseguenze immediate?
Da lì partono richieste di denaro, ricariche o altro ad amicizie ignare di star interagendo con un hacker e non con il reale utente. Inoltre, evidentemente riuscendo a recuperare informazioni precise finalizzate ad espandere il controllo su altri profili e utenze, gli hacker riescono a impadronirsi anche (ma non sempre) di account di PokerStars o dell’account di Skrill. Questo ovviamente può portare a spiacevolissime conseguenze.
Come fanno ad “entrare” ?
Purtroppo le modalità per impossessarsi di una mail possono essere molteplici: le mail si ritrovano facilmente su internet, soprattutto in un panorama ristretto come quello del poker italiano e, una volta conosciuto l’account nominale, per scoprire la password ci sono diversi metodi. C’è chi riesce a risolvere la normale procedura di “recupero account” fornendo le risposte alle domande d’emergenza, ci sono metodologie dette di “brute force” che permettono di inserire un “vocabolario” di termini finché non si indovina la password, ci sono i casi di phising (una volta i più comuni, invero) dove, cliccando su un link ricevuto in mail e creduto affidabile perché proveniente da un sito web noto (i “classici” sono i siti delle Poste o delle banche, per capirsi) ci si trova reindirizzati a siti di facciata identici a quelli “veri”, ma che invece servono solo a carpire i propri dati personali inseriti nella convinzione di trovarsi nel sito corretto.
Altre strategie?
Altra problematica sempre più comune è registrarsi a siti con la solita mail e utilizzare la solita password; se domani aprissi un sito web “Pokeristi d’Italia contro i server truccati” (…) e vi implementassi un forum per condividere le varie esperienze dei giocatori convinti che ogni scoppio è una truffa, sono sicuro che in fase di registrazione molti utilizzerebbero mail e password già utilizzate altrove; da lì il loro utilizzo fraudolento è un attimo.
Altra possibile fonte di dati sensibili sempre più comune e molto diffusa soprattutto nell’ambito pokeristico è l’appartenere a Gruppi su Facebook; ci sono tool analitici che riescono a carpire un sacco di dati dei vari iscritti (non necessariamente le password, si intenda!) e da quelli è un attimo ad agevolare il successivo lavoro di hacking.
Sempre tramite link malevoli nelle mail, c’è anche la possibilità di ritrovarsi installato sul proprio PC un keylogger, programma che registra ogni digitazione sulla propria tastiera per inviare poi il tutto all’hacker di turno. Ovviamente, digitando tutti i dettagli di ogni utenza e account vari, la gravità di tale evenienza è palese.
Una cosa sempre più comune (ma da sempre sottovalutata) è la leggerezza con la quale spesso ci si connette a WiFi gratuiti pubblici o, nel caso di giocatori di poker, nei casinò e nei circoli privati; esistono programmi che, nel momento in cui ci si connette “nudi” a queste reti, possono “entrare” in ogni PC connesso e fare danni (intercettare i dati in transito, rubare codici, dati, finanche installare programmi, etc.). Non c’è colpa diretta di chi offre il servizio: non sono certo i gestori di un bar, di un circolo o del casinò che si mettono a “frugare” nel vostro PC, ma, se non vi proteggete, per un malintenzionato connesso alla stessa rete e con i programmi adatti, non è impossibile ottenere dati “pericolosamente” sensibili se non direttamente i dati di accesso.
Cosa possiamo fare per difenderci?
Partendo dalle basi, direi prima di tutto di differenziare le mail per ogni servizio. Sconsiglio di utilizzare la stessa mail per registrarci, per esempio, a Facebook, su Skrill e per creare un account di gioco su un sito di poker.
Nella malaugurata ipotesi che si perdesse il controllo della succitata mail, saremmo in guai molto seri. Quindi, visto che la mail di registrazione su Facebook non si può cambiare e quella di Skrill nemmeno (è funzionale all’utilizzo del servizio stesso), almeno cambiate quella del vostro conto gioco direttamente nella lobby (come nel caso di PokerStars) o contattando il reparto sicurezza del proprio concessionario.
E’ palese che, se la mail è quella che riceve codici di recupero di altri account ed è il riferimento per tutta la propria “vita digitale”, il mancato accesso alla stessa è il guaio più grosso che ci possa capitare.
Differenziarle è il minimo per non ritrovarsi nelle classiche braghe di tela se si perde il controllo della propria mail principale; mi son ritrovato l’altra settimana a fare consulenza ad un amico che, trovatosi “sbattuto fuori” dalla propria mail dall’hacker che aveva cambiato password, dopo 5 tentativi, è stato bloccato direttamente l’account. La stessa mail era anche quella per il recupero della password su Facebook e ovviamente riceveva dei codici di sblocco che non si potevano più leggere! Contattato il servizio clienti del dominio della mail in questione, la risposta corrispondeva più o meno ad un laconico “arrangiatevi”.
E’ sufficiente? Ci sono altre metodologie di difesa?
Sufficiente no! Ma la tecnologia ci viene incontro. Bisogna rendersi conto che la “vita digitale” sta sempre più espandendosi nel nostro quotidiano. Non solo i social, ma anche i vari servizi di home banking, servizi digitali personalizzati e altro rendono obbligatoria una maggiore consapevolezza degli strumenti che utilizziamo ogni giorno.
Usare un PC tutti i giorni per i task più comuni, cosa normalissima per ogni pokerista, non rende un utente un esperto di informatica come guidare un auto tutti i giorni non ci rende piloti di Formula 1. Bisogna comunque cercare di tenere il passo e adeguarsi ai tempi che corrono.
Tornando alle metodologie di difesa, quella più comune, semplice ma non per questo meno efficace è l’autenticazione a due fattori .
Come funziona?
L’autenticazione a due fattori tenta di risolvere il limite della password singola richiedendo un codice aggiuntivo prima che si possa accedere al proprio account. In questo modo, anche se un hacker ha la vostra password, avrà comunque bisogno di decifrare un secondo codice, il che rende molto più difficile la sua azione criminale. Di solito il codice in questione è una sequenza numerica ricevuta sul proprio smartphone.
Nel caso di Gmail, ecco un breve tutorial su come attivarlo:
Accedere al proprio account Gmail e digitare l’indirizzo https://myaccount.google.com
Nella pagina, troverete l’accesso alla sezione “Accesso e sicurezza” (vedi pic 1)
(Pic 2) scrollare verso il basso fino ad individuare l’opzione “Verifica in due passaggi” e cliccare.
Una volta attivata, avrete la seguente pagina di conferma (vedi pic 3) con segnato il numero di cellulare al quale verrà inviato il codice di sicurezza; se all’account non è ancora legato nessun numero di cellulare, vi verrà richiesto di farlo in corso di attivazione con relativa verifica dello stesso.
La stessa procedura di attivazione la possiamo seguire anche per i propri profili Facebook, cliccando la freccia alla destra estrema della nostra pagina e selezionando “impostazioni”.
Selezioneremo “Protezione e accesso”
La pagine successiva ci darà la possibilità di attivare l’opzione dell’autenticazione a due fattori e, non meno importante, ci darà anche una panoramica sugli accessi (quali device e da quale località) al nostro profilo Facebook; state ben attenti nell’ipotesi che vediate terminali diversi dal vostro o località che non possono essere la vostra!
E quando ci si collega ad un WiFi pubblico cosa dobbiamo fare per proteggerci?
Per quanto riguarda il come proteggerci quando noi giocatori di poker ci connettiamo ad una rete WiFi pubblica per giocare i nostri MTT dal cellulare o dal tablet, se proprio non possiamo utilizzare il bundle dati della nostra offerta (sarebbe la cosa più sicura!), anche in questo caso la tecnologia ci viene in soccorso: è consigliabile nascondersi dietro una VPN. Per Android e iOS personalmente utilizzo e consiglio l’app ProtonVPN (link https://play.google.com/store/apps/details?id=com.protonvpn.android&hl=it ), una app gratuita che instrada il proprio traffico web su server sicuri e criptati che rendono in pratica impossibile intercettare i dati scambiati.
Ribadisco che l’app è ovviamente gratuita e non è illegale di per sé; lo diventa quando viene utilizzata per far risultare il proprio accesso da una località geografica piuttosto che un’altra finalizzata all’accesso a piattaforme di gioco altrimenti non disponibili dalla propria località. Lo stesso discorso di massima attenzione va fatto anche per i PC: se potete, evitate accuratamente di connettervi a WiFi pubblici senza le necessarie protezioni poiché vi state esponendo a rischi potenzialmente elevatissimi. Oggi i gestori italiani offrono bundle dati enormi a costi risibili che permettono serenamente l’utilizzo degli stessi o giocando sul cellulare e tablet o sfruttando lo stesso cellulare come modem in tethering con il PC.
Provocazione... Sembra tutto complicato; ma è davvero necessario o stiamo esagerando?
Assolutamente necessario; come si diceva prima, oggi la vita digitale implica un sacco di dati personali messi potenzialmente in pericolo, primi fra tutti quelli delle app che gestiscono i propri soldi. Tutelarsi il più possibile è più che un dovere una necessità sempre più attuale. Oggi nessuno lascerebbe la porta di casa aperta e i propri soldi sul tavolo; nella vita digitale non prendere determinate precauzioni sarebbe esattamente lo stesso.
Purtroppo la categoria dei poker players è una facile preda perché si sa che girano soldi e che spesso i protagonisti non hanno necessariamente competenze informatiche adeguate, ma, quando giri migliaia di euro al mese, ritengo obbligatorio che ci si debba un minimo informare o, alla peggio, rivolgersi a chi, dotato di maggiori competenze, può darci una mano.
Ringraziamo Paolo Giulio per questo suo intervento ed il prezioso tutorial ed esortiamo tutti i nostri lettori a prendere adeguate contromisure per tutelare i rispettivi account.
