 |
Proteggere la propria privacy non significa necessariamente essere degli esperti di spionaggio. Spesso, la necessità è molto più quotidiana: tutelare documenti di lavoro, nascondere file personali su un PC condiviso o aggiungere un livello di sicurezza ai propri dati sensibili.
Sebbene Windows 11 abbia introdotto una nuova interfaccia grafica, le fondamenta del sistema operativo rimangono le stesse di Windows 10. In questa guida esploreremo 5 metodi efficaci per "mimetizzare" i tuoi dati, dai comandi nativi fino alle utility più avanzate.
|
DISCLAIMER |
Quasi tutti sanno che nelle proprietà di un file è possibile spuntare la casella "Nascosto". Tuttavia, questa protezione è debole: basta attivare l'opzione "Elementi nascosti" (dal tab Visualizza in Esplora File che si può aprire con la scorciatoia tasto Windows+E) per vederli. Esiste però un comando per rendere i file invisibili anche in quel caso. Crea una cartella di nome Test sul desktop
Apri il Prompt dei Comandi (scrivi cmd nella barra di ricerca e clicca su invio).
Digita: attrib +h +s C:\Users\nomeutente\Desktop\Test e
clicca su invio (puoi chiudere la finestra):
Grazie al parametro +s, Windows considererà l'elemento come un File di Sistema critico. Anche se qualcuno attiva la visualizzazione dei file nascosti, la cartella rimarrà invisibile a meno che non si disattivi esplicitamente la protezione dei file di sistema (un'opzione nascosta tra le impostazioni avanzate che quasi nessuno tocca).
Per farla tornare visibile basta scrivere il seguente comando: attrib -h -s C:\Users\nomeutente\Desktop\Test e cliccare su invio:
Questo trucco estetico permette di far sparire una cartella in bella vista sul Desktop. Funziona perfettamente su Windows 11, anche se i menu sono leggermente diversi.
Crea una nuova cartella sul Desktop.
Cliccaci col tasto destro e scegli Rinomina o clicca su F2.
Tieni premuto il tasto ALT e digita sul tastierino numerico 0160, poi rilascia ALT e clicca su invio. Il nome diventerà uno spazio invisibile:
Clicca col tasto destro sulla cartella e segui il seguente percorso: Proprietà > Personalizza > Cambia icona:
Scorri la lista delle icone e selezionane una trasparente (ce ne sono diverse file vuote a metà elenco). Dai OK.
La cartella è ora invisibile. Per trovarla, dovrai selezionare col mouse l'area o ricordare la sua posizione:
La steganografia permette di fondere due file. Trasformeremo una normale immagine JPG in un contenitore segreto per i nostri documenti.
Prendi una foto (es: tramonto.jpg) e un archivio ZIP con i file segreti (es: dati.zip)
Credit: Annika Vaasa / Pexels
Mettili in una cartella semplice, come C:\Users\nomeutente\Desktop\Test
Apri il Prompt dei Comandi e digita: cd C:\Users\nomeutente\Desktop\Test
per aprirla
Digita il comando:
copy /b tramonto.jpg
+ dati.zip immagine_finale.jpg
Windows creerà immagine_finale.jpg. Chiunque la apra vedrà una normale foto:
Ma se apri lo stesso file usando un software come 7-Zip o WinRAR, potrai vedere ed estrarre i file nascosti all'interno:
Ecco il risultato:
La Tecnica "Ombra": Alternate Data Streams (ADS)
Questa è una funzione avanzata del file system NTFS (lo standard di Windows 10 e 11). Permette di scrivere dati in un flusso secondario "dietro" un file principale.
Crea il file esca: crea un file di testo sul Desktop chiamato appunti.txt. Scrivici dentro qualcosa di inutile e salva.
Apri il prompt: digita cmd nella ricerca, aprilo e scrivi cd desktop. Crea il lato nascosto: digita esattamente: notepad appunti.txt:segreto.txt (I due punti indicano a Windows di creare un flusso di dati parallelo).
Scrivi il segreto: alla domanda "Vuoi creare un nuovo file?", rispondi Sì. Scrivi le tue password o dati segreti, salva e chiudi.
Il risultato: se apri appunti.txt vedrai solo il testo inutile. La dimensione del file non cambierà di un solo byte. Per accedere di nuovo ai dati nascosti, dovrai usare nuovamente il comando del punto 3. Nota: Se sposti il file su una chiavetta USB, questa deve essere formattata in NTFS, altrimenti il "segreto" verrà rimosso.
Il primo è 7-Zip, un software che nasce principalmente per la compressione dei dati, ma che nasconde una funzione di protezione potentissima. È lo strumento ideale quando vuoi "sigillare" una cartella o un gruppo di file in un unico pacchetto blindato da inviare via e-mail o da conservare su una chiavetta. Grazie alla crittografia AES-256 e alla funzione "Crittografa i nomi dei file", l'archivio diventa un blocco impenetrabile: senza la password corretta, nessuno potrà vedere nemmeno i titoli dei documenti contenuti al suo interno.
Per proteggere un file o una cartella, basta selezionarli con il tasto destro del mouse e scegliere l'opzione 7-Zip>Aggiungi all'archivio...
Nella sezione Cifratura inserisci una password e conferma con OK:
Nel momento in cui si prova ad estrapolare il file verrà richiesta la password impostata in precedenza:
Per chi invece cerca una protezione dinamica per l'uso di tutti i giorni, Cryptomator è la scelta definitiva. A differenza dei metodi di occultamento standard di Windows, questo programma crea una vera e propria "Cassaforte Virtuale" (Vault). Una volta sbloccata con la tua password, la cassaforte viene "montata" dal sistema come se fosse un normale disco locale, permettendoti di gestire i tuoi file con la massima semplicità, come se fossero in una cartella qualunque.
Il punto di forza di Cryptomator è la sua integrazione con il Cloud: criptando ogni singolo file individualmente, ti permette di proteggere i tuoi dati su piattaforme come OneDrive, Dropbox o Google Drive in modo agile. Anche se carichi i tuoi vault online, i colossi del web vedranno solo file indecifrabili, garantendoti la totale sovranità sulla tua privacy. Per aiutarti a configurare al meglio questi strumenti ed evitare errori, ho realizzato una guida video dettagliata che ti accompagnerà passo dopo passo.
Guarda il video tutorial completo:
Quando la semplice archiviazione non basta e si rende necessaria una protezione di livello superiore, Cryptomator si impone come lo standard di riferimento nel mondo della sicurezza Open Source.
A differenza dei software che si limitano a nascondere le directory, questo strumento applica una crittografia lato client estremamente robusta, trasformando i tuoi documenti in stringhe di dati totalmente indecifrabili per chiunque non possieda la password corretta. Il suo funzionamento si basa sul geniale concetto di "Cassaforte Virtuale" (Vault): un'area protetta che, una volta sbloccata, viene montata dal sistema come una comune unità disco, permettendoti di operare sui tuoi file con la massima semplicità, come se fossero in una normale cartella.
Il vero punto di forza di Cryptomator risiede però nella sua architettura ottimizzata per il Cloud. Mentre i sistemi di crittografia tradizionali caricano spesso un unico, enorme blocco di dati, Cryptomator agisce sui singoli file; questo significa che potrai proteggere i tuoi archivi su piattaforme come OneDrive, Dropbox o Google Drive in modo agile, sincronizzando istantaneamente solo le piccole modifiche apportate. È la soluzione definitiva per chi vuole godere della comodità del Cloud senza rinunciare alla sovranità sui propri dati sensibili, garantendo che nemmeno i colossi del web possano accedere al contenuto dei tuoi vault. Per guidarti attraverso le sue numerose funzionalità e assicurarti una configurazione priva di falle, ho realizzato una guida video estremamente dettagliata: un tutorial passo-passo progettato per aiutarti a blindare la tua privacy digitale in pochi minuti e con estrema efficacia.
Guarda il video tutorial completo sul mio canale Youtube:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Se stai cercando un percorso serio per entrare nel mondo della cybersecurity, dell’hacking etico e del pentesting, probabilmente ti sarai accorto di una cosa: online c’è tanta teoria, ma poca pratica reale.
Ed è proprio da questa esigenza che nasce HackNow.it, un’accademia online italiana focalizzata sulla formazione pratica. L’obiettivo è semplice: imparare facendo, con laboratori reali, test concreti ed esercitazioni guidate passo dopo passo.
Perché HackNow è diverso
Molti corsi si limitano a spiegare concetti. Su HackNow, invece, il focus è sull’esperienza diretta.
All’interno dei percorsi formativi troverai:
-laboratori pratici passo passo
-simulazioni reali
-esempi concreti di vulnerabilità web
-Linux applicato alla sicurezza
-approccio orientato al mondo reale
-contenuti in italiano e accessibili anche a chi parte da zero
L’idea è portarti oltre la teoria, facendoti acquisire competenze utilizzabili davvero.
I corsi ideali per iniziare
Per chi vuole iniziare subito, HackNow mette a disposizione alcuni corsi perfetti per costruire basi solide:
Corso Linux – il percorso ideale per comprendere Linux a fondo, usarlo al massimo e padroneggiarlo in modo pratico e professionale
Introduzione a Python – perfetto per iniziare a programmare da zero con un approccio già orientato all’automazione, al networking e al mondo offensive security
Hacking Etico Base – un corso 100% pratico pensato per chi parte da zero e vuole costruire competenze reali fino a raggiungere un ottimo livello operativo
Personalizzazione Linux – per creare un ambiente Linux professionale, ottimizzato e su misura per studio di hacking e pentesting
Offerta dedicata ai lettori
Per questa collaborazione è disponibile uno sconto del 15% sui corsi introduttivi utilizzando il codice:
COMPUTERMANIA15
Un’occasione concreta per iniziare il tuo percorso nella cybersecurity con una formazione pratica e guidata.
Scopri di più
Visita la pagina corsi e scegli il percorso più adatto a te:
https://hacknow.it/courses/
La cybersecurity è un settore in continua crescita e iniziare con il piede giusto fa la differenza. Se cerchi un approccio concreto, diretto e realmente pratico, HackNow.it è una realtà da conoscere.
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Quanto è facile trovarti online partendo da poche informazioni? È questa la domanda da cui nasce tutto.
In questo articolo metto alla prova le tecniche usate dagli investigatori digitali: persone che, senza hackerare nulla, riescono a ricostruire identità, abitudini e spostamenti semplicemente analizzando dati pubblici.
Nella prima parte che trovi cliccando qui, ho seguito tracce “visibili”: profili social, username, dettagli lasciati qua e là. Ma adesso il livello cambia.
Dal quinto task in poi si esce dalla superficie e si entra in una zona molto più interessante — e meno intuitiva:
servizi poco conosciuti
dark web
chiavi crittografiche
reti Wi-Fi e geolocalizzazione
Qui non si tratta più solo di trovare un nickname.
Si tratta di capire come un’informazione rimbalza da un ecosistema all’altro, come tutto può essere collegato, incrociato, correlato.
Ed è proprio qui che si vede il vero potenziale dell’OSINT: non la singola ricerca, ma la capacità di mettere insieme i pezzi.
Se prima imparavi a osservare, ora impari a collegare.
E credimi: è in questa fase che inizi davvero a cambiare il modo in cui guardi quello che pubblichi online.
|
DISCLAIMER |
Task 5
Descrizione
Proprio come pensavamo, il criminale informatico è pienamente consapevole che stiamo raccogliendo informazioni su di lui dopo il suo attacco. È stato persino così sfacciato da inviare un messaggio all'OSINT Dojo su Twitter e deriderci per i nostri sforzi. L'account Twitter che hanno utilizzato sembra utilizzare un nome utente diverso da quello che stavamo monitorando in precedenza. Forse possiamo trovare qualche informazione aggiuntiva per farci un'idea di dove stanno andando a parare?
Abbiamo fatto uno screenshot del messaggio che ci ha inviato l'aggressore, puoi visualizzarlo nel tuo browser Qui .
Lo screehshot è questo:
Dall'immagine si nota che è presente un account alternativo su X: @AikoAbe3. Ad oggi però questa informazione non aiuta perchè sono presenti solo 2 post su quell'account che non sembra abbiano a che fare con la challenge.
Istruzioni
Sebbene molti utenti condividano il proprio nome utente su diverse piattaforme, non è raro che abbiano anche account alternativi che mantengono completamente separati, ad esempio per indagini, trolling o semplicemente per separare la propria vita privata da quella pubblica. Questi account alternativi potrebbero contenere informazioni non visibili negli altri account e dovrebbero essere anch'essi esaminati a fondo. Per rispondere alle seguenti domande, è necessario visualizzare lo screenshot del messaggio inviato dall'aggressore all'OSINT Dojo su Twitter e utilizzarlo per individuare ulteriori informazioni sull'account Twitter dell'aggressore. Sarà quindi necessario seguire le piste dall'account Twitter al Dark Web e ad altre piattaforme per scoprire ulteriori informazioni.
Rispondi alle domande qui sotto
Qual è l'attuale maniglia di Twitter dell'aggressore? (qui è tradotto letteralemente; What is the attacker's current Twitter handle?)
Qual è il BSSID per l'attaccante Home WiFi?
L'handle è la parte dopo la @, il nome utente. Quindi in questo caso SakuraLoverAiko:
Per quanto riguarda il BSSID c'è un problema. Il test originale aveva un campo in più che richiedeva di collegarsi ad un sito del dark web ad oggi non funzionante (per aprirlo ho utilizzato Tor Browser):
Lo stesso suggerimento dice quanto segue: quando hai trovato il sito per cercare il BSSID, registra un account e utilizza la Ricerca avanzata.
Su X ci sono i seguenti post:
Il primo tweet contiene indizi deliberati scritti in maiuscolo:
L'aggressore sta dicendo che ha pubblicato le credenziali WiFi su DeepPaste (accessibile via Tor), che è esattamente dove si trova l'SSID (l’etichetta pubblica della rete wireless.)
Collegandosi su DeepPaste e cercando l'hash MD5 fornito nello screenshot di X si troveranno le informazioni richieste.
L'hash MD5 e presente nel secondo post del 15 Ottobre 2022 e va inserito nella barra degli indirizzi dopo show.php?md5=
Un hash MD5 è una stringa di 32 caratteri generata applicando l’algoritmo di hashing MD5 a un contenuto. Molti servizi (soprattutto nel dark web) usano l’MD5 come identificatore del paste.
In pratica quando qualcuno pubblica un testo, il sistema genera un MD5, il paste viene richiamato tramite quell’hash.
Sono riuscito a trovare uno screenshot online con le informazioni che ci servono per proseguire:
I siti del dark web hanno estensione .onion perché funzionano solo dentro la rete Tor. Non usano il normale sistema dei domini (.com, .it, ecc.), ma indirizzi speciali generati in modo crittografico.
Si chiamano “.onion” perché Tor usa il sistema dell’“onion routing”, dove i dati vengono cifrati a strati, come una cipolla per garantire anonimato.
L'SSID della rete Wi-fi è DK1F-G
A questo punto collegati al seguente sito e registra un account:
https://wigle.net/
WiGLE.net (Wireless Geographic Logging Engine) è un sito che raccoglie e mappa reti wireless in tutto il mondo.
In pratica è un enorme database pubblico di reti Wi-Fi, access point, coordinate GPS associate, BSSID (MAC address del router), SSID (nome della rete).
Nel campo SSID / Network Name (wildcards...) scrivi l'SSID rintracciato e clicca sul pulsante Query per avviare la ricerca:
Il risultato sarà visibile in basso (NetID):
Qual è il BSSID per l'attaccante home wifi?
84:AF:EC:34:FC:F8
Ecco le risposte al task 5:
Task 6
Descrizione
Sulla base dei loro tweet, sembra che il nostro criminale informatico stia effettivamente tornando a casa come hanno affermato. Il loro account Twitter sembra avere un sacco di foto che dovrebbero permetterci di mettere insieme il loro percorso a casa. Se seguiamo le tracce di pangrattato che hanno lasciato, dovremmo essere in grado di tracciare i loro movimenti da una posizione all'altra fino alla loro destinazione finale. Una volta che possiamo identificare le loro fermate finali, possiamo identificare a quale organizzazione delle forze dell'ordine dovremmo inoltrare le nostre scoperte.
Istruzioni
In OSINT, spesso non c'è "pistola fumante" che indichi una risposta chiara e definitiva. Invece, un analista OSINT deve imparare a sintetizzare più pezzi di intelligenza per fare una conclusione di ciò che è probabile, improbabile o possibile. Sfruttando tutti i dati disponibili, un analista può prendere decisioni più informate e forse anche minimizzare le dimensioni delle lacune dei dati. Al fine di rispondere alle seguenti domande, utilizzare le informazioni raccolte dall'account Twitter dell'aggressore, nonché le informazioni ottenute da parti precedenti dell'indagine per rintracciare l'aggressore nel luogo che chiamano casa.
Rispondi alle domande qui sotto
Quale aeroporto è più vicino alla posizione in cui l'aggressore ha condiviso una foto prima di salire sul loro volo?
In quale aeroporto l'aggressore ha avuto la sua ultima sosta?
Quale lago può essere visto nella mappa condivisa dall'aggressore come erano sul loro volo finale verso casa?
Quale città l'aggressore probabilmente considera "casa"?
Per prima cosa analizza il profilo X dell'attaccante. E' stata condivisa una foto che mostra gli alberi di ciliegio:
Un secondo post purtroppo non risulta più online perchè era un retweet di un account sospeso; sono riuscito a trovare il post originale online. Il riferimento è un dettaglio di un albero di ciliegio. Nel post è stata scritta anche la località Bethesda:
Cercala su Google Maps:
Adesso cerca l'aeroporto più vicino alla località e risulta l'Aeroporto Nazionale di Washington-Ronald Reagan:
Cercalo su Google e prendi nota del codice (DCA) che è la risposta alla prima domanda:
Sempre su X è stata condivisa la foto di una lounge (JAL first class Lounge):
Altra ricerca su Google e si scopre che si trova presso l'aeroporto di Tokyo-Haneda:
Altra ricerca su Google per cercare il codice dell'aeroporto (HND):
Sempre su X in un post viene condivisa una foto aerea scrivendo: così vicino a casa! Non vedo l'ora di arrivare! :) E' visibile un lago. Salva l'immagine:
Effettua una ricerca inversa su Bing a questo link: https://www.microsoft.com/en-us/bing/visual-search
Clicca sul pulsante Browse per caricare l'immagine scaricata in precedenza:
Questo è il risultato:
Scrivi "lago" nel campo di ricerca ed ecco di quale lago si tratta e dove si trova! Si chiama Inawashiro:
L'ultima risposta è nello screenshot dal dark web (City Free WiFi: HIROSAKI):
Ecco le risposte del task 6:
Ed ecco il messaggio di congratulazioni!
Quello che hai visto in questa challenge non è hacking nel senso cinematografico del termine. Sono informazioni pubbliche, strumenti accessibili e soprattutto capacità di collegare i puntini.
Ma c’è un altro elemento che oggi cambia completamente il gioco: le intelligenze artificiali.
Se una volta l’analisi richiedeva tempo, competenze tecniche e tanta pazienza, oggi molte attività vengono semplificate in modo impressionante. Nell’articolo, ad esempio, ho utilizzato Gemini per decifrare il codice binario del primo indizio in pochi secondi — qualcosa che avrei potuto fare a mano, certo, ma con molto più tempo e margine di errore.
E questo è il punto. L’AI non “fa l’indagine al posto tuo”, ma accelera la ricerca, aiuta a interpretare dati, suggerisce connessioni, traduce formati, analizza pattern. Diventa un moltiplicatore di capacità. Il risultato? Le barriere d’ingresso si abbassano. Le competenze restano fondamentali, ma gli strumenti diventano sempre più potenti e accessibili.
Ed è proprio per questo che la domanda iniziale è ancora più attuale: uanto è facile trovarti online… oggi?
La vera lezione della challenge
Questa challenge non è stata solo una caccia all’indizio.
È stata una dimostrazione concreta di una cosa molto semplice e molto potente: online lasciamo tracce anche quando pensiamo di non farlo.
Un nickname riutilizzato, una foto apparentemente innocua, un BSSID visibile sullo sfondo, una chiave PGP caricata anni fa, un account secondario creato “tanto per”.
Separatamente sono dettagli insignificanti. Insieme diventano un’identità.
Ed è proprio questo il cuore dell’OSINT: non forzare sistemi, ma collegare punti.
Queste challenge insegnano qualcosa di molto più importante di una tecnica specifica; insegnano a osservare, a ragionare, a verificare le fonti, a non fermarsi alla prima risposta.
Ma insegnano anche un’altra cosa, forse ancora più importante:
Ogni contenuto che pubblichiamo — volontariamente o no — può diventare un tassello nel puzzle di qualcun altro.
La sicurezza non è solo firewall e password complesse. E' consapevolezza.
E se questa challenge ti ha fatto venire voglia di analizzare meglio quello che trovi online, allora ha già fatto il suo lavoro.
Articoli correlati
Se hai già letto i miei articoli su TryHackMe e contesti simili, potresti trovare utile collegare questi approfondimenti:
Try2Hack.lt: esercizi di logica e sicurezza informatica nel web degli anni 2000 parte 1
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000
Try2Hack.lt: esercizi di logica e sicurezza informatica nel web degli anni 2000 parte 2
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000-parte-2
Questi articoli esplorano piattaforme storiche di cybersecurity training e mettono in prospettiva l’evoluzione di strumenti moderni come TryHackMe.
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Nell'estate 2025 ti ho portato dentro una piattaforma uscita direttamente dai primi anni 2000: Try2Hack.lt. Era un sito essenziale, quasi spartano, composto da una serie di pagine web collegate tra loro. Ogni pagina rappresentava un livello da superare. Non c’erano spiegazioni, né suggerimenti dettagliati: solo una schermata e un obiettivo chiaro — trovare la password o la chiave per accedere allo step successivo. Si partiva da indizi nascosti nel codice sorgente, si passava per piccole manipolazioni dell’URL, stringhe apparentemente senza senso…e piano piano la difficoltà aumentava.
Ogni livello era una porta chiusa e per aprirla non dovevi “forzare” nulla, ma osservare, ragionare, collegare dettagli.
Oggi ti parlo di Sakura Room di TryHackMe.com. E qui il livello cambia completamente. Non sei più davanti a una semplice pagina con enigmi nascosti, ma a una piattaforma strutturata con ambienti virtuali, percorsi formativi e simulazioni molto più vicine a scenari reali di cybersecurity.
|
DISCLAIMER |
Nel panorama delle piattaforme per apprendere cybersecurity, TryHackMe.com è oggi una delle risorse più citate e utilizzate a livello mondiale per chi vuole imparare hacking etico, difesa delle reti o semplici tecniche di sicurezza digitale. Fondata nel 2018 e con sede nel Regno Unito, offre centinaia di “stanze” (rooms) — ossia ambienti virtuali per mettere in pratica tecniche offensive e difensive — attraverso lab interattivi, simulazioni e sfide adatte a vari livelli di competenza.
E' una piattaforma consolidata con milioni di utenti, adottata da studenti, professionisti e aziende per la formazione in sicurezza informatica. La sua reputazione è confermata da un TrustScore elevato (circa 4,5⁄5 con oltre 800 recensioni) e commenti positivi sulla qualità dei contenuti didattici e l’efficacia pratica delle simulazioni.
In più, la community di utenti e addetti ai lavori concorda nel considerarla un sito legittimo, sicuro e affidabile per la formazione in cybersecurity, con ambienti isolati che permettono di sperimentare senza rischi per il proprio computer o rete locale.
Sakura Room rientra nelle sfide di OSINT (Open Source Intelligence), ovvero tecniche di raccolta di informazioni da fonti pubbliche. Questa room è pensata per guidare l’utente attraverso un’indagine strutturata per scoprire informazioni pubbliche su un “attaccante” simulato — ad esempio username, e-mail e altri dati — usando solo tecniche passive di raccolta informazioni disponibili da fonti Web.
Ogni task include una descrizione dello scenario e le istruzioni da seguire e una serie di domande a cui rispondere.
Cominciamo! Collegati al sito https://tryhackme.com e registrati. Il requisito di login/registrazione è necessario soprattutto per associare la progressione dell’utente alle attività svolte.
Effettua una ricerca scrivendo Sakura Room nell'apposito campo (il link diretto è https://tryhackme.com/room/sakura):
Il sito è in lingua inglese, ma è possibile tradurlo sia con Chrome che con Firefox.
Per andare avanti cliccate sul pulsante Join Room a destra:
La room è composta da 6 task (il primo è soltanto introduttivo). Per aiutare l'utente nella gestione del task sono disponibili dei suggerimenti (basta cliccare sull'icona della lampadina accanto ad ogni domanda):
Inoltre è disponibile un chatbot a cui fare domande; ma non aspettatevi le risposte dirette!
Task 1
Descrizione
Questa stanza è progettata per testare un'ampia varietà di diverse tecniche OSINT. Con un pò di ricerca, la maggior parte dei professionisti di OSINT principianti dovrebbe essere in grado di completare queste sfide. Questa stanza ti porterà attraverso un'indagine OSINT di esempio in cui ti verrà chiesto di identificare una serie di identificatori e altre informazioni al fine di aiutare a catturare un criminale informatico. Ogni sezione includerà qualche pretesto per aiutarti a guidarti nella giusta direzione, così come una o più domande a cui è necessario rispondere per continuare con l'indagine. Sebbene tutte le bandiere siano messe in scena, questa stanza è stata creata utilizzando le conoscenze di lavoro per aver guidato e assistito nelle indagini OSINT sia nel settore pubblico che privato.
NOTA: Tutte le risposte possono essere ottenute tramite tecniche passive OSINT, NON tentare alcuna tecnica attiva come raggiungere i proprietari di account, reimpostare le password, ecc. Per risolvere queste sfide.
Se hai altre domande, commenti o suggerimenti, ti preghiamo di contattarci a @OSINTDojo su X.
Istruzioni
Pronto per iniziare? Digita "Let's Go!" nella casella di risposta qui sotto per continuare.
Scrivi Let's Go! e clicca sul pulsante Check (le risposte vanno inserite in lingua inglese; la traduzione è utile per comprendere i fatti e gli indizi):
Task 2
Descrizione
L'OSINT Dojo si è recentemente trovato vittima di un attacco informatico. Sembra che non ci siano danni importanti, e non sembra esserci altri indicatori significativi di compromesso su nessuno dei nostri sistemi. Tuttavia durante l'analisi forense i nostri amministratori hanno trovato un'immagine lasciata dai criminali informatici. Forse contiene alcuni indizi che potrebbero permetterci di determinare chi erano gli aggressori?
Istruzioni
Le immagini possono contenere un tesoro di informazioni, sia in superficie che incorporate all'interno del file stesso. Potresti trovare informazioni come quando è stata creata una foto, quali software sono stati utilizzati, informazioni sull'autore e sul copyright, nonché altri metadati significativi per un'indagine. Per rispondere alla seguente domanda, dovrai analizzare a fondo l'immagine trovata dagli amministratori di OSINT Dojo per ottenere informazioni di base sull'attaccante.
Abbiamo copiato l'immagine lasciata dall'attaccante, puoi visualizzarla nel tuo browser qui.
Rispondi alle domande qui sotto
Che nome utente utilizza l’aggressore?
L'immagine è in formato SVG, un file grafico basato su vettori, non su pixel. SVG significa Scalable Vector Graphics. Su Chrome si può salvare come qualsiasi immagine con il tasto destro del mouse>Salva con nome...
Il messaggio You've beeb Pwned! significa Sei stato compromesso.
Il codice binario nasconde la seguente frase: "A picture is worth a thousand words... but data is worth more." ("Un'immagine vale più di mille parole... ma i metadati valgono molto di più."). L'immagine usa un'estetica "soft" (rosa, fiori di ciliegio) contrastata dal termine "Pwned" (gergo hacker che indica l'aver preso il controllo totale di un sistema o account).
Su Chrome cliccate con il tasto destro del mouse e selezionate l'opzione Ispeziona:
Da sorgente, è possibile vedere che il file SVG è stato esportato in precedenza come immagine PNG usando il programma Inkscape, e il percorso di destinazione era /home/SakuraSnowAngelAiko/Desktop/pwnedletter.png.
In pratica, è un metadato che Inkscape salva automaticamente all'interno del file SVG per ricordare l'ultima esportazione effettuata.
Dal percorso di esportazione si può leggere chiaramente il nome utente utilizzato sul PC: /home/SakuraSnowAngelAiko/Desktop/pwnedletter.png
L'analisi dell'immagine si può fare anche online dal sito https://www.svgviewer.dev/svg-to-react-jsx
Basta caricare la foto e cliccare su React:
Inserisci il nome utente nel campo di risposta e clicca su check!
Ecco la risposta al task 2:
Task 3
Descrizione
Sembra che il nostro aggressore abbia commesso un errore fatale nella sicurezza operativa. Sembra che abbia riutilizzato il suo nome utente anche su altre piattaforme di social media. Questo dovrebbe semplificarci notevolmente la raccolta di ulteriori informazioni su di lui, individuando i suoi altri account social.
Istruzioni
La maggior parte delle piattaforme digitali ha una sorta di campo di nome utente. Molte persone si attaccano ai loro nomi utente e possono quindi utilizzarlo su una serie di piattaforme, rendendo facile trovare altri account di proprietà della stessa persona quando il nome utente è abbastanza univoco. Questo può essere particolarmente utile su piattaforme come su siti di ricerca di lavoro in cui un utente è più propenso a fornire informazioni reali su se stessi, come il loro nome completo o le informazioni sulla posizione.
Una rapida ricerca su un motore di ricerca rispettabile può aiutare a trovare nomi utente corrispondenti su altre piattaforme, e ci sono anche un gran numero di strumenti speciali che esistono per lo stesso scopo. Tieni presente che a volte una piattaforma non verrà visualizzata né nei risultati del motore di ricerca né nelle ricerche specializzate del nome utente a causa di falsi negativi. In alcuni casi è necessario controllare manualmente il sito da soli per essere positivo al 100% se l'account esiste o meno. Per rispondere alle seguenti domande, utilizzare il nome utente dell'attaccante trovato in Task 2 per espandere l'indagine OSINT su altre piattaforme al fine di raccogliere ulteriori informazioni identificative sull'attaccante. Diffidate di eventuali falsi positivi!
Rispondi alle domande qui sotto
Qual è l'indirizzo e-mail completo utilizzato dall'aggressore?
Qual è il vero nome dell'attaccante?
In questo caso basta fare una ricerca su Google con il nome utente rintracciato in precedenza. Dai risultati si vede che è l'utente è presente su GitHub e su X; apri entrambi i profili (il secondo ti sarà utile fino alla fine del test):
https://github.com/sakurasnowangelaiko
https://x.com/SakuraLoverAiko
GitHub è una piattaforma web che permette di ospitare, condividere e collaborare su codice sorgente. Si basa su Git, un sistema di controllo versione che tiene traccia di tutte le modifiche fatte ai file nel tempo. Cliccate su Repositories:
Una repository (o "repo") è essenzialmente una cartella progetto ospitata su GitHub che contiene tutti i file del progetto, la cronologia completa di ogni modifica documentazione, segnalazioni/richieste (issues), ecc.
Chiunque può creare una repo pubblica (visibile a tutti) o privata. Le repo pubbliche sono molto usate per condividere software open source, strumenti, script, ecc.
In questa sezione è disponibile la "cartella PGP (Pretty Good Privacy), un sistema di crittografia asimmetrica creato da Phil Zimmermann nel 1991. Viene usato per cifrare e-mail e file, firmare digitalmente messaggi (per verificarne l'autenticità) e verificare l'identità di chi invia un messaggio.
Funziona con una coppia di chiavi:
Perché qualcuno pubblica la propria chiave PGP su GitHub?
È una pratica comune, specialmente in ambienti legati alla sicurezza informatica e al dark web/hacking. Serve a:
- permettere ad altri di inviarle messaggi cifrati che solo lei può leggere
- permettere di verificare la sua identità (firma digitale)
- dimostrare che certi file o messaggi provengono davvero da lei
Dal profilo Github clicca su Repositories e su PGP. Copia la chiave pubblica e incollala su blocco note; salva il file con estensione .asc (asc è una rappresentazione testuale della chiave. Si tratta della codifica nel formato testuale ASCII usato da OpenPGP):
Collegati al seguente sito:
https://keys.openpgp.org/upload
Si tratta di un server pubblico di chiavi PGP (keyserver). Il sito funziona come una rubrica telefonica pubblica per le chiavi crittografiche. Chiunque può caricare la propria chiave PGP pubblica, così altri possono trovarla facilmente senza doverla cercare su GitHub o altri posti.
E' possibile cercare la chiave pubblica di qualcuno tramite e-mail, nome utente o fingerprint (una specie di "codice identificativo" univoco della chiave). Scaricare la chiave trovata per poter poi cifrare messaggi destinati a quella persona, o verificare la sua firma digitale.
Carica la chiave cliccando sul pulsante Sfoglia... e clicca poi su Carica:
Ecco la mail in chiaro: Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.
Per rintracciare il nome completo "dell'aggressore" collegati al profilo su X:
https://x.com/SakuraLoverAiko
Il nome completo è presente in un post:
Silly me, I forgot to introduce myself! (“Che sciocco, mi sono dimenticato di presentarmi!”)
@AikoAbe3
Ecco le risposte al task 3:
Task 4
Descrizione
Sembra che il criminale informatico sappia che lo stiamo seguendo. Mentre indagavamo sul suo account Github, abbiamo notato segnali che il proprietario dell'account aveva già iniziato a modificare ed eliminare informazioni per depistarci. È probabile che stessero rimuovendo queste informazioni perché contenevano dati che avrebbero potuto arricchire la nostra indagine. Forse esiste un modo per recuperare le informazioni originali che ci hanno fornito?
Istruzioni
Su alcune piattaforme, il contenuto modificato o rimosso potrebbe non essere recuperabile, a meno che la pagina non sia stata memorizzata nella cache o archiviata su un'altra piattaforma. Tuttavia, altre piattaforme potrebbero disporre di funzionalità integrate per visualizzare la cronologia di modifiche, eliminazioni o inserimenti. Quando disponibile, questa cronologia di controllo consente agli investigatori di individuare informazioni che in passato erano state incluse, probabilmente per errore o per negligenza, e poi rimosse dall'utente. Tali contenuti sono spesso molto preziosi nel corso di un'indagine. Per rispondere alle domande seguenti, sarà necessario eseguire un'analisi più approfondita dell'account Github dell'aggressore per individuare eventuali informazioni aggiuntive che potrebbero essere state modificate o rimosse. Utilizzerai quindi queste informazioni per tracciare alcune delle transazioni in criptovaluta dell'aggressore.
Rispondi alle domande seguenti
Per quale criptovaluta l'aggressore possiede un portafoglio di criptovalute?
Qual è l'indirizzo del portafoglio di criptovalute dell'aggressore?
Da quale mining pool l'aggressore ha ricevuto i pagamenti il 23 gennaio 2021 UTC?
Con quale altra criptovaluta l'aggressore ha effettuato scambi tramite il suo portafoglio di criptovalute?
Dal profilo Github>Repositories sono presenti 2 indizi; Ethereum (ETH) e bitcoin:
Clicca su ETH>miningscript. Dagli indizi il sospettato ha cancellato alcune informazioni. Clicca su History a destra per verificare lo storico:
E su Update miningscript (datato 23 Gennaio 2021):
Ecco l'informazione che cercavamo:
stratum://0xa102397dbeeBeFD8cD2F73A89122fCdB53abB6ef.Aiko:Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.:4444
stratum://ethwallet.workerid:password@miningpool:port è un URL di connessione per il mining di criptovalute, specificamente usando il protocollo Stratum. È la stringa di configurazione che inserisci nel tuo software di mining (come PhoenixMiner, T-Rex, NBMiner) per dire al programma: "connettiti a questo pool, mina per questo wallet, con questo worker".
ethwallet → è l'indirizzo wallet Ethereum (es.
0x1a2b3c...) dove ricevi i pagamenti
La risposta 1 è Ethereum
L'indirizzo del wallet di criptovaluta dell'attaccante è 0xa102397dbeeBeFD8cD2F73A89122fCdB53abB6ef
Quale pool di mining ha ricevuto l'aggressore dai pagamenti il 23 gennaio 2021 UTC?
Un mining pool è un gruppo di "minatori" che uniscono la loro potenza di calcolo per aumentare le probabilità di trovare un blocco e condividono il premio proporzionalmente al lavoro contribuito.
Quando il pool ti paga, la transazione è registrata sulla blockchain pubblica. Puoi verificarla su un block explorer come Etherscan:
https://etherscan.io/address/0xTUOWALLET
Ecco il link completo:
https://etherscan.io/address/0xa102397dbeeBeFD8cD2F73A89122fCdB53abB6ef
Ho evidenziato la data del 23 Gennaio 2021:
La risposta è Ethermine:
Con quale altra criptovaluta l'aggressore ha effettuato scambi tramite il suo portafoglio di criptovalute? Questa è semplice! L'unica altra criptovaluta alternativa a ETH nell'elenco delle transazioni è Tether:
Di seguito tutte le risposte al task 4:
Arrivati al quarto task, la sensazione è chiara: non stiamo più solo seguendo indizi. Stiamo seguendo una persona e ogni passaggio ha aggiunto un tassello.
Fin qui abbiamo lavorato in superficie. Social, indizi pubblici, correlazioni evidenti a chi sa osservare.
Ma qualcosa cambia. L’aggressore non si limita più a lasciare tracce: inizia a provocarci. Ci manda un messaggio. Cambia nome. Si sposta. Nasconde meglio le informazioni.
Ed è qui che la challenge smette di essere una semplice esercitazione OSINT e diventa un vero percorso investigativo.
Perché dal prossimo task in poi non basta più cercare. Bisogna ragionare. Bisogna collegare ambienti diversi. Bisogna entrare in territori meno immediati.
Nel prossimo articolo entriamo nella parte più interessante — e più delicata — della challenge.
Articoli correlati
Se hai già letto i miei articoli su TryHackMe e contesti simili, potresti trovare utile collegare questi approfondimenti:
Try2Hack.lt: esercizi di logica e sicurezza informatica nel web degli anni 2000
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000
Try2Hack.lt: parte 2
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000-parte-
Questi articoli esplorano piattaforme storiche di cybersecurity training e mettono in prospettiva l’evoluzione di strumenti moderni come TryHackMe.
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Andrea Galeazzi, uno dei volti più noti del tech italiano con oltre 1,4 milioni di iscritti su YouTube, è stato vittima di un attacco informatico mirato che ha portato al furto del suo account Google e dei suoi canali YouTube (principale e secondario).
L’episodio si è verificato intorno al 19 Gennaio 2026. In un momento di vulnerabilità personale, bloccato a casa per un colpo della strega, sotto antidolorifici e con un livello di attenzione ridotto ha ricevuto una mail di phishing estremamente credibile, costruita su misura per lui.
Nel giro di pochi secondi, gli attaccanti hanno ottenuto l’accesso all’account Google, cambiato password e numero di recupero, attivato un token di autenticazione fisica ed escluso completamente il proprietario legittimo.
Il canale è stato rinominato, il logo sostituito e trasformato in una vetrina per live e video truffaldini sulle criptovalute, una tecnica ormai tristemente nota.
Grazie all’intervento diretto di Google, Andrea è riuscito a recuperare l’account, ma con danni significativi: perdita parziale di indicizzazione, storico e metadati costruiti in oltre 20 anni di attività online.
Non si tratta di un caso isolato: attacchi simili hanno colpito creator internazionali come Linus Tech Tips, Corridor Digital e molti altri.
In pratica non ti rubano la password ma ti convincono a concedere volontariamente l’accesso a un’app o servizio malevolo. Google considera quell’accesso “legittimo”.
Ecco un esempio di schermata di consenso OAuth di Google: qui l’utente è invitato ad autorizzare un’app esterna ad accedere al proprio account. In un attacco di phishing mirato come quello subito da Andrea Galeazzi, una schermata simile può essere presentata con permessi malevoli:
Il tutto è iniziato con una mail personalizzata, apparentemente inviata da un rappresentante di un brand di microfoni con cui Andrea aveva collaborato realmente in passato.
La mail citava commenti reali dei follower, una critica concreta (“audio leggermente ovattato”) e un’offerta coerente: test di un nuovo microfono in anteprima.
Il link portava a una pagina fake ma professionale con HTTPS attivo, grafica curata, linguaggio da ufficio marketing e nessun errore grammaticale.
Inserendo i dati di spedizione e autorizzando la “verifica del canale YouTube”, Andrea ha concesso l’accesso OAuth. Tempo di attacco stimato: meno di 15 secondi.
Questo tipo di phishing è quasi certamente assistito da intelligenza artificiale che consente l'analisi automatica dei social, lo scraping dei commenti e la ricostruzione delle collaborazioni passate. Inoltre le mail sono contestualizzate e l'invio massivo ma personalizzato.
Come spiegato da esperti di cyber security e periti forensi (tra cui Paolo Dal Checco), oggi il social engineering è scalabile: un solo gruppo può colpire migliaia di creator con precisione chirurgica.
Subito dopo la compromissione dell’account, il canale di Andrea Galeazzi è stato trasformato in una vetrina per una finta live sulle criptovalute (Bitcoin o Ethereum, una tecnica già vista in molti attacchi simili. La diretta risultava ufficialmente “LIVE” su YouTube, ma non c’era alcuna persona che parlava in tempo reale. Il contenuto trasmesso era un video preregistrato, probabilmente già pronto e caricato dagli attaccanti, mandato in loop come se fosse una trasmissione dal vivo.
Nel video comparivano immagini di personaggi noti del settore tecnologico e finanziario, tratte da vecchi eventi o conferenze, con banner grafici sovrapposti che invitavano a partecipare a presunte iniziative legate alle criptovalute. L’audio non reagiva a nulla, non c’erano risposte ai messaggi e nessuna interazione reale: chi entrava nella live vedeva sempre la stessa sequenza, indipendentemente dall’orario o dalla durata della diretta.
Anche la chat era parte della messinscena. Messaggi automatici, pubblicati da account bot o compromessi, simulavano entusiasmo e urgenza per spingere gli spettatori ad agire in fretta. Il meccanismo sfruttava due elementi chiave: la fiducia costruita in anni di lavoro da Galeazzi e la modalità live di YouTube, che attira maggiore attenzione, invia notifiche agli iscritti e comunica implicitamente l’idea che “stia succedendo qualcosa in quel momento”. Bastano pochi minuti in queste condizioni per causare danni seri, prima che la piattaforma intervenga o il creator riesca a riprendere il controllo del canale.
La fiducia nel creator originale fa il resto.
Perché proprio le criptovalute? Il motivo è semplice: soldi veloci con la promessa di guadagni miracolosi.
Le vittime inviano crypto a wallet controllati dagli hacker, collegano wallet a siti phishing e perdono fondi irreversibilmente.
Spesso questi gruppi operano dall’Europa dell’Est o dalla Russia e rivendono accessi rubati sul dark web.
Oggetto: Feedback Audio + Test Prodotto Microfono Serie Studio X
Ciao Andrea,
ti scrivo in merito ai feedback ricevuti sotto gli ultimi video (in particolare la recensione dello smartphone di Gennaio).
Alcuni utenti segnalano un audio leggermente più ovattato rispetto ai tuoi standard abituali.
Dato che in passato hai già collaborato con noi, vorremmo proporti il test del nuovo Studio X Mark II, pensato proprio per ambienti home studio.
Per procedere alla spedizione e associare correttamente il prodotto al tuo canale, ti chiediamo di completare questa rapida verifica creator (1 minuto):
https://studiox-creators.com/youtube/verify (sito di fantasia)
Resto a disposizione per qualsiasi chiarimento.
Un saluto,
Marco B.
Creator Relations – StudioX
Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. (mail di fantasia)
Oggetto: Accordo collaborazione – lancio Q1 2026
Buongiorno Andrea,
siamo in fase di selezione creator per il lancio Q1 2026 dei nostri nuovi auricolari true wireless.
Il tuo canale è stato segnalato dal nostro team europeo.
In allegato trovi una bozza di accordo editoriale.
Dopo la validazione dell’account YouTube potremo procedere alla spedizione del prodotto.
https://brand-connect.live/yt-auth (sito di fantasia)
Rimaniamo in attesa di conferma.
Cordiali saluti
Brand Partnerships Team
BrandConnect Europe
(Allegato: Collaboration_Agreement_2026.pdf)
tono professionale
riferimenti reali e verificabili
niente richieste di password
link “normali”, non abbreviati
zero errori grammaticali
protocollo https
Google Workspace è la versione a pagamento e professionale degli account Google.
Include:
Gmail con dominio personalizzato (es. Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.)
Drive con storage esteso
gestione avanzata utenti e permessi
log di sicurezza
supporto prioritario
È la scelta naturale per aziende, creator professionisti, redazioni, team editoriali. Ma attenzione: non rende immuni dal phishing OAuth. Se concedi un’autorizzazione malevola, anche un account Workspace può essere compromesso.
Se hai ancora accesso (anche temporaneo):
-Cambia subito la password da un dispositivo sicuro
-Forza la disconnessione di tutte le sessioni attive
Impostazioni di sicurezza Google:
https://myaccount.google.com/security
Se NON riesci più ad accedere, salta questo punto e passa subito al recupero (step 3).
Se l’attacco è avvenuto tramite autorizzazioni di terze parti:
Gestione app e servizi collegati:
https://myaccount.google.com/permissions
Avvia il recupero dell'account Google
Se hai perso completamente l’accesso visita questo link ufficiale:
https://support.google.com/a/contact/recovery_form
Rispondi con precisione:
-ultima password ricordata
-data approssimativa di creazione
-dispositivi usati abitualmente
Questo è l’unico canale ufficiale: non esistono scorciatoie.
Recupero canale YouTube compromesso
Se il canale è stato rinominato, oscurato o usato per truffe:
https://support.google.com/youtube/answer/76187
Se canale verificato, ha una grande audience ed è monetizzato. Supporto dedicato creator:
https://support.google.com/youtube/answer/3545535
Maggiore è la rilevanza del canale, più rapido tende a essere l’intervento.
Dopo il recupero (o appena torni in possesso dell’account):
https://myaccount.google.com/personal-info
Controlla che la mail secondaria sia tua, il numero di telefono sia corretto e che non siano stati inseriti contatti sconosciuti
Avvisa subito la community. In questo modo riduci il rischio di potenziali vittime e aumenti la probabilità di intervento rapido delle piattaforme.
Il silenzio, in questi casi, gioca a favore dei truffatori.
La denuncia si può fare e ha senso, soprattutto se:
ci sono danni economici
è stato usato il tuo nome per truffe
il canale è professionale o aziendale
Portale Polizia Postale
https://www.commissariatodips.it
OPERAZIONI PREVENTIVE (da fare DOPO il recupero o in fase di creazione di un account)
Autenticazione a due fattori (2FA): il primo vero livello di difesa
La password, da sola, non è più sufficiente. Può essere intercettata tramite phishing, riutilizzata da vecchi leak o indovinata se troppo debole. L’autenticazione a due fattori (2FA) aggiunge un secondo controllo: anche conoscendo la password, l’accesso viene bloccato senza un’ulteriore conferma.
Questa conferma può avvenire tramite app di autenticazione (come Google Authenticator, Microsoft Authenticator o Authy), tramite notifica push o tramite codice temporaneo. È una protezione di base che oggi dovrebbe essere attiva su qualunque account importante: email, social, cloud e piattaforme di lavoro.
Non è infallibile, ma riduce drasticamente il successo degli attacchi più comuni.
Attiva protezioni avanzate
Passkey
Chiavi hardware (YubiKey)
Advanced Protection Program
Le YubiKey, prodotte da Yubico, funzionano collegandole alla porta USB del computer o avvicinandole via NFC allo smartphone compatibile. Durante il login, dopo l’inserimento delle credenziali, è necessario toccare fisicamente la chiave per confermare l’accesso, dimostrando la presenza reale dell’utente. Google supporta pienamente questo sistema e lo utilizza anche nel suo Advanced Protection Program, pensato proprio per giornalisti, attivisti e creator ad alto rischio.
Un’alternativa equivalente è la Titan Security Key di Google, basata sugli stessi standard di sicurezza hardware. Sul sito Computermania è disponibile una guida dettagliata che spiega come proteggere il proprio account Google utilizzando la Titan Security Key, illustrando vantaggi, configurazione e casi d’uso pratici:
https://www.computermania.org/tutorial/sicurezza/come-proteggere-il-tuo-account-google-con-la-titan-security-key
In un contesto in cui anche account professionali, verificati e gestiti tramite Google Workspace possono essere compromessi con email estremamente credibili, l’adozione di una chiave hardware rappresenta oggi una delle poche contromisure realmente efficaci. Non è infallibile, ma alza il livello di sicurezza a tal punto da rendere questi attacchi troppo costosi e complessi per la maggior parte dei cybercriminali.
Per approfondimenti:
https://landing.google.com/advancedprotection/
Codici di recupero monouso: cosa sono e come usarli
I codici di recupero monouso sono una serie di codici di emergenza generati quando attivi la verifica in due passaggi (2FA).
Servono per accedere all’account anche se hai perso lo smartphone, l’app di autenticazione o la chiave hardware.
Durante il login inserisci e-mail e password
Quando viene richiesto il secondo fattore, scegli “Usa un altro metodo”
Inserisci uno dei codici di recupero
Ogni codice funziona una sola volta. Dopo l’uso va considerato esaurito.
I codici di recupero vanno stampati o salvati offline, mai conservati nella stessa e-mail che proteggono e trattati come una chiave di casa
Molti utenti li ignorano finché non è troppo tardi: in caso di compromissione, possono fare la differenza tra recuperare subito l’account o restare bloccati per giorni.
Dopo l'attacco subito, sul sito di Andrea Galeazzi è disponibile una guida pratica sulla sicurezza degli account Google in formato pdf, con tutti i passaggi per attivare correttamente la 2FA, gestire le opzioni di recupero e proteggere il proprio account da attacchi simili. Galeazzi ha anche realizzato un video insieme all'esperto di sicurezza Paolo Dal Checco per analizzare nel dettaglio come è avvenuto l'attacco e come evitare di cadere in trappole simili.
Il caso Galeazzi dimostra una verità scomoda: oggi non basta “stare attenti”. Come sottolineano gli esperti di sicurezza informatica, “l’unico sistema veramente sicuro è quello spento, immerso in un blocco di cemento e sigillato in una stanza rivestita di piombo con guardie armate – e anche in questo caso ho i miei dubbi”, una frase attribuita a Eugene Howard Spafford per ricordare che la sicurezza totale non esiste e che le difese devono essere costanti e multilivello.
Andrea ha già sistemato tutto e sono certo che tornerà ancora più forte di prima. Mi dispiace sinceramente per quello che è successo. Lo seguo da anni, è una persona preparata, concreta e affidabile: chi lo conosce sa che questi episodi non lo fermano, semmai gli danno ancora più spinta. Con il suo approccio pragmatico di sempre, ha trasformato questa brutta esperienza in una lezione sulla sicurezza digitale da condividere con tutti noi, ricordandoci che nessuno è immune da questi attacchi e che la prevenzione è fondamentale.
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Scaricare un video da Telegram non è sempre immediato: a differenza delle app mobile o della versione desktop tradizionale, il player del browser utilizza un sistema di streaming basato su WebSocket che non espone un link diretto al file MP4. Questo rende impossibile utilizzare strumenti classici come “Salva con nome”, gli strumenti sviluppatore del browser o software di terze parti.
Per fortuna, esiste un’estensione per Firefox che permette di intercettare il flusso video e salvarlo sul PC in maniera semplice e pratica. In questo articolo ti mostro passo passo come funziona l’addon, quali limiti ha e in quali situazioni può essere utilizzato.
La procedura è stata testata su Telegram eb da PC, utilizzando Firefox su chat private, canali e gruppi.
|
DISCLAIMER |
Per prima cosa collegati al seguente link per scaricare l'addon Telegram Dowloader per Firefox e clicca su Add to Firefox:
https://addons.mozilla.org/en-US/firefox/addon/telegram-downloader/
Clicca poi su Installa:
Conferma cliccando su OK:
Collegati alla versione Web di Telegram dal seguente link: https://web.telegram.org
Verrà generato un QR code:
Apri Telegram dallo smarthone e clicca su Impostazioni:
Clicca quindi su Dispositivi:
Infine clicca su Collega dispositivo desktop e scansiona il QR code:
A questo punto apri la chat, il canale o il gruppo da cui vuoi scaricare il video e comparirà in alto la voce Download (se non dovesse comparire chiudi e riapri Telegram Web e fai partire il video):
Non ti resta che attendere il download del file:
La procedura funziona anche quando compare il seguente messaggio di errore:
Il download non partirà subito ma si avvierà comunque. Se non dovesse partire clicca nuovamente su Download; dai test effettuati ha funzionato anche in questo caso:
E su Chrome? Vi consiglio l'estensione Telegram DownloadHelper:
https://chromewebstore.google.com/detail/telegram-video-downloader/cbbcnkpdlbihmjcmhmolcbcoonkgocli
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Immagina di poter scambiare messaggi, foto, documenti e perfino messaggi vocali tra due (o più) PC nella tua rete domestica, senza dipendere da Internet né da un servizio cloud, senza installare app “giganti” e senza preoccuparsi di server esterni o di violazioni della privacy. Questo è esattamente ciò che BeeBEEP ti permette di fare. In questo tutorial ti guiderò passo passo su come usare BeeBEEP (anche nella sua versione portable) per stabilire una chat sicura e peer-to-peer all’interno della tua LAN. Nello specifico copierò la versione portable del programma sulla pendrive (e lo eseguirò da qui) mentre il destinatario utilizzerà sempre la versione portable eseguendola direttamente dal desktop. BeeBEEP nasce proprio per funzionare in LAN, quindi è pensato per uffici, case, laboratori, scuole, coworking.
BeeBEEP è un messenger locale (LAN) open-source, sviluppato da Marco Mastroddi. È progettato per la comunicazione peer-to-peer (P2P): non richiede server centrale (i messaggi viaggiano direttamente tra i dispositivi nella rete locale), basta scaricarlo, scompattarlo o installarlo, e usarlo all’interno della rete locale (entrambi i PC devono essere collegati allo stesso router sia tramite connessione wi-fi che ethernet). Supporta diverse piattaforme: Windows, macOS, Linux, Raspberry Pi, OS/2.
Tra le sue funzionalità ci sono chat istantanea (singola o di gruppo), invio di file e cartelle (funziona anche il trascinamento dei files nella finestra della chat o drag & drop), messaggi offline (vengono recapitati quando un utente torna online), storia delle chat, condivisione del desktop.
La crittografia è garantita dall’algoritmo Rijndael (AES) per proteggere i dati scambiati. È distribuito con licenza GPL, il che significa che è completamente gratuito e il suo codice è aperto e verificabile.
Il progetto ha un sito ufficiale (https://www.beebeep.net/index.php?lang=it-IT) e una presenza consolidata su SourceForge, GitHub e repository affidabili. MajorGeeks, un sito noto per software affidabile, lo tiene nel suo catalogo, segno che è considerato sicuro e stabile.
Se installi BeeBEEP su un PC in casa tua e inviti un amico che si trova in un’altra abitazione, non potrà usarlo per chat o invio file, a meno che non siate sulla stessa rete locale (o su una VPN che simula la stessa rete).
Per prima cosa collegati al sito ufficiale del programma
https://www.beebeep.net/index.php?lang=it-IT
Clicca sul menu SCARICA:
Seleziona il sistema operativo su cui dovrà girare il programma (nel tutorial Windows 10 Home/Windows 10 Pro):
Utilizzerò la versione portable da eseguire su pendrive:
Dopo aver scaricato il file, scompatta l'archivio e copia la cartella sul desktop o in pendrive.
Per eseguire il programma clicca sulla relativa icona:
Potrebbe comparire l'avviso di Windows Firewall; è necessario cliccare sul pulsante Consenti Accesso per il corretto funzionamento del programma (lascia attiva solo la prima opzione, Reti private, ad esempio una rete domestica o aziendale):
E se non dovesse comparire il messaggio? Mi è successo eseguendo il file da pendrive. Alla fine dell'articolo ti spiego come autorizzare manualmente il programma!
Questa è l'interfaccia del programma:
Esegui la stessa procedura sull'altro PC della rete LAN ed avvialo. Una volta "trovato" l'utente in rete comparirà nella finestra principale:
Per avviare la conversazione clicca 2 volte sul nome utente (come per il vecchio MSN Messenger!):
L'interfaccia è pulita e molto intuitiva. Tra le altre cose è possibile inviare emoticon, personalizzare il font o cambiarne il colore, inviare immagini, files, cartelle e anche messaggi vocali:
I files si possono trascinare direttamente nella finestra della chat. Se invii un'immagine sarà possibile visualizzare l'anteprima. Cliccandoci su si aprirà l'immagine con le dimensioni originali:
Esempio di ricezione di file in formato pdf e relativa notifica:
Invio messaggio vocale:
E' anche possibile inviare uno screenshot dello schermo cliccando sull'icona della fotocamera. Cliccando sul pulsante "Si e nascondi questa conversazione", la finestra della chat non viene inclusa nello screenshot:
E' possibile salvare la conversazione in formato PDF
Nel menu principale tra le altre cose è possibile connettersi/disconnettersi o effettuare la ricerca degli utenti:
E' anche possibile personalizzare il profilo:
Dal menu Opzioni è possibile modificare tantissimi parametri:
Cliccando sull'icona del programma presente nell'area di notifica è possibile modificare o personalizzare lo stato:
BeeBEEP salva la cronologia delle chat in locale sul PC, quindi:
Se spegni il PC, lo riaccendi e riapri BeeBEEP → ritrovi tutti i messaggi precedenti. Lo storico resta salvato fino a quando non lo cancelli manualmente o elimini la cartella dei dati del programma. Anche con la versione portable, BeeBEEP salva la storia nella stessa cartella del programma (ottimo se lo usi da pendrive). Se usi la portable da chiavetta USB, la cronologia segue la chiavetta → se la usi su un altro PC, ritroverai comunque lo storico.
Come sbloccare l’invio di file e messaggi vocali e configurare il firewall manualmente
Se noti che il destinatario non riceve file o messaggi vocali su BeeBEEP, il problema è quasi sempre legato al firewall di Windows, che blocca la comunicazione peer-to-peer. Nel mio test a casa, il PC del destinatario (con Windows 10 Pro) ha mostrato automaticamente il messaggio di Windows Firewall chiedendo se autorizzare BeeBEEP: l'untente ha cliccato su “Consenti accesso” e tutto ha funzionato subito.
Nel mio caso, invece, eseguivo BeeBEEP in versione portable da pendrive sul portatile Windows 10 Home e non è comparso alcun messaggio di autorizzazione. Per questo ho dovuto configurare manualmente il firewall per sbloccare il traffico in uscita e in entrata.
Ripeti lo stesso procedimento per le Regole connessioni in uscita.
Nota importante:
Nel mio caso, l’antivirus McAfee Total Protection, presente su entrambi i PC, non ha bloccato nulla, quindi non è stato necessario aggiungere eccezioni anche lì. Il problema era solo legato al firewall di Windows, che blocca il traffico quando BeeBEEP viene eseguito da una posizione insolita (come la pendrive).
Seguendo questa procedura, i file e i messaggi vocali saranno inviati e ricevuti correttamente, sia che tu usi la versione installata che quella portable.
E con questo la tua rete LAN diventa una chat alla vecchia maniera: un po’ come MSN Messenger, ma senza server. Il fatto che l’ultima release ufficiale sia del 2023 non significa necessariamente abbandono: il progetto è ancora disponibile, scaricabile e usato. Per usi più critici o aziendali (dati sensibili, comunicazioni ufficiali), potresti valutare soluzioni con supporto attivo, aggiornamenti regolari e magari audit di sicurezza più stringenti.
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
|
DISCLAIMER |
Agosto 2025 si è rivelato un mese cruciale nella lotta contro la violenza digitale in Italia, con due scandali che hanno scosso l’opinione pubblica: il gruppo Facebook "Mia Moglie" e il forum Phica.eu. Questi spazi online, nati con la scusa di una presunta "goliardata", si sono trasformati in palcoscenici di abusi, dove foto di donne (spesso rubate dai social e modificate e condivise senza consenso), venivano esposte a commenti sessisti, volgari e, in alcuni casi, apertamente violenti. Dietro queste piattaforme si nasconde una realtà più ampia: una cultura patriarcale che continua a trattare i corpi delle donne come merce, amplificata dalla facilità del web. Ma cosa è successo esattamente? E, soprattutto, cosa si può fare se ci si trova coinvolti?
Il caso "Mia Moglie" è esploso a metà Agosto, quando un gruppo Facebook con oltre 30.000 iscritti è stato chiuso da Meta il 20 per violazione delle policy contro lo sfruttamento sessuale. Qui, "uomini" pubblicavano immagini intime di mogli, fidanzate o conoscenti ignare, accompagnandole a frasi che spaziavano dall’ironia pesante a veri e propri incitamenti alla violenza. La scoperta ha scatenato indignazione e migliaia di segnalazioni alla Polizia Postale, che ora indaga su possibili reati come diffamazione e revenge porn.
A seguire, l’attenzione si è spostata su Phica.eu, un forum attivo dal 2005 con circa 200.000 iscritti e milioni di visite mensili. Qui la situazione era ancora più grave: foto di donne comuni, influencer, attrici e politiche (tra cui Giorgia Meloni ed Elly Schlein), venivano rubate dai social, modificate con deepfake o decontestualizzate, e commentate con toni osceni. Il 28 agosto, sotto la pressione di denunce e indagini, i gestori hanno annunciato la chiusura, ammettendo di non aver bloccato "comportamenti tossici" in tempo. Dalle prime indagini emerge che il sito era gestito da una società bulgara, Hydra Group Eood, con un titolare italiano, e generava un fatturato di oltre un milione di euro, secondo analisi OSINT.
Le indagini della Polizia Postale, aggiornate al 30 Agosto, stanno cercando di identificare gestori e utenti attivi, con possibili perquisizioni in corso. Intanto, figure pubbliche come l'eurodeputata Alessandra Moretti, hanno denunciato pubblicamente, mentre la premier Meloni ha chiesto "giustizia senza sconti". Si parla persino di una class action contro Meta per "Mia Moglie" e di estendere le indagini a piattaforme come Telegram, dove il materiale continua a circolare.
Queste piattaforme non sono solo un attacco alla privacy, ma un vero e proprio stupro digitale. Donne come Chiara Ferragni, Bianca Berlinguer o semplici ragazze comuni si sono ritrovate esposte a umiliazioni pubbliche, con danni psicologici profondi. Molte scoprono l’accaduto per caso, magari grazie a un’amica o a una ricerca online, e il senso di violazione è devastante. Politiche e celebrità hanno un megafono per denunciare, ma per le donne comuni la paura di essere riconosciute spesso le paralizza. Eppure, il coraggio di alcune, come Martina Attili, sta ispirando altre a farsi avanti.
Chiunque abbia condiviso o commentato su questi siti rischia conseguenze legali pesanti. In Italia, la diffusione illecita di immagini a contenuto sessualmente esplicito (art. 612-ter c.p.) prevede da 1 a 6 anni di reclusione e multe fino a 15.000 euro, punibile solo su querela della vittima entro 6 mesi. Ma ci sono aggravanti: diffamazione aggravata (fino a 3 anni), trattamento illecito di dati, stalking, minacce, istigazione a delinquere o vilipendio di cariche pubbliche, come nel caso di Meloni. Anche chi ha solo visualizzato potrebbe essere interrogato se i log del sito vengono acquisiti, e l’anonimato non è una garanzia: gli IP possono essere tracciati.
Verificare se una persona è stata coinvolta in casi di revenge porn o violazioni online può essere un processo delicato che richiede strumenti affidabili e, in alcuni casi, l'intervento di autorità o esperti. Di seguito ti elenco i siti e i sistemi utili per questa verifica. Tieni presente che la maggior parte di questi strumenti offre un supporto preliminare e che, per un’azione legale o approfondita, è sempre consigliabile rivolgersi a un avvocato o alla Polizia Postale.
Nessuno di questi siti sostituisce un’azione legale. Se trovi contenuti, contatta subito un avvocato o la Polizia Postale per una rimozione ufficiale e un’indagine. Per i minori, i genitori possono agire tramite il Garante o Meta Take It Down (ne parlo più avanti nell'articolo), ma è essenziale coinvolgere le autorità.
L'intervento della Polizia Postale è più indicato per siti non indicizzati (Forum privati o contenuti presenti nel Deep web e nel Dark web) ma l’accesso è limitato senza mandato.
Come verificare se le tue foto sono online
E' possibile effettuare una ricerca mirata sui motori di ricerca utilizzando gli operatori booleani per cercare tracce di contenuti (es. nome, nickname, o frasi specifiche) su siti sospetti.
Sintassi per cercare il tuo nome in contesti specifici
"nome cognome" "mia moglie" "nome cognome" "phica"
Per escludere eventuali risultati utilizzate la seguente sintassi:
Sintassi per ricerca di immagini intime
"nome cognome" (intimo OR privata OR sexy OR nuda)
Cerca pagine che contengono l'esatta frase "nome cognome" e almeno una delle parole tra parentesi
Sintassi per la ricerca di file in formati specifici
"nome cognome" filetype:jpg OR filetype:png OR filetype:mp4
Questa sintassi cerca file di immagini e video nei formati specificati (jpg, png, mp4) che contengono il nome e cognome specificato.
Sintassi per la ricerca su forum o siti specifici
"nome cognome" site:reddit.com
"nome cognome" site:telegram.me
Ricerca per la ricerca tramite nickname/username (non copre siti oscurati o deep web)
"tuoNickname" forum
"tuoNickname" telegram
Google Reverse Image Search (la ricerca inversa di immagini di Google) non funziona per la ricerca di soggetti:
Google Alert
Imposta Google Alerts per monitoraggio continuo. Vai su google.com/alerts e configura avvisi con il tuo nome in virgolette (es. "nome cognome"). Riceverai una mail quando nuovi contenuti appaiono online, ideale per intercettare diffusioni future su siti simili a "Mia Moglie".
Inserite il vostro nome e cognome o il vostro nickname e cliccate su Crea avviso:
TinEye
TinEye è un motore di ricerca di immagini basato su tecnologia di reverse image search, sviluppato da Idee Inc., un'azienda canadese fondata nel 2008. A differenza dei motori di ricerca tradizionali che si basano su parole chiave, TinEye permette agli utenti di caricare un'immagine o inserire un URL per trovare corrispondenze esatte o simili su internet. È particolarmente utile per identificare l'origine di un'immagine, tracciare dove è stata condivisa, verificare plagi o scoprire modifiche (come ritagli o modifiche di colore). È ampiamente utilizzato da fotografi, editori, investigatori e privati per scopi di copyright, sicurezza digitale o semplice curiosità.
Basta trascinare l'immagine nel campo di ricerca e attendere i risultati:
PimEyes
Su pimeyes.com, carica una foto del tuo viso per una scansione web approfondita, inclusi siti espliciti. La versione gratuita è limitata, ma quella a pagamento offre "deep search" per contenuti sensibili:
Altri siti utili
Take It Down
Take it down è un servizio gratuito sviluppato dal National Center for Missing & Exploited Children (NCMEC) con il finanziamento di Meta, lanciato nel 2022-2023. Il sito vi aiuta a eliminare o a interrompere la condivisione online di immagini o video di nudo, di nudo parziale o di contenuti sessualmente espliciti ripresi quando avevate meno di 18 anni. Durante l’utilizzo del servizio è possibile mantenere l’anonimato e non è necessario inviare le immagini o i video a nessuno. Take it down agisce sulle piattaforme online pubbliche o non criptate che hanno accettato di partecipare.
Uno strumento che permette alle vittime di segnalare contenuti sessualmente espliciti non consensuali e verificarne la presenza sulle loro piattaforme.
Il sito si trova a questo link: https://takeitdown.ncmec.org/it/
Di seguito l'elenco delle aziende che hanno accettato di utilizzare l'elenco di hash Take it down per la scansione di immagini e video sulle loro piattaforme pubbliche o non criptate:
https://takeitdown.ncmec.org/it/partecipanti/
Sono incluse Facebook, Instagram, TikTok e OnlyFans
Ogni immagine o video riceve un valore hash univoco che lo distingue da altre immagini e video. Un valore hash è come un’impronta digitale.
Non interagire con l’autore e non pagare nessuno
Raccogli prove. Screenshot con URL, data/ora, nickname dell’account, eventuali commenti; se possibile salva la pagina web in PDF per una eventuale stampa che potrebbe essere richiesta successivamente. Non cancellare i messaggi e conserva ogni scambio utile.
Denuncia subito: Commissariato di PS Online - Polizia Postale
Rivolgiti alla Polizia Postale o ai Carabinieri, presentando una denuncia/querela entro 6 mesi. Porta prove come screenshot o link (se ancora accessibili)
Il sito della Polizia Postale consente di denunciare episodi di revenge porn e avviare indagini che possono includere la verifica della presenza di immagini online.
Vai su www.commissariatodips.it, usa lo sportello web per segnalare il caso, fornendo dettagli e prove (screenshot, link).
Richiede una denuncia formale e non è uno strumento di ricerca autonoma.Di seguito i contatti dei Centri Operativi per la Sicurezza Cibernetica suddivisi per regione:
https://www.commissariatodips.it/profilo/contatti/index.html
Segnala e richiedi rimozione sulla piattaforma (Facebook, Instagram, Telegram, TikTok, ecc.)
Segnala al Garante Privacy tramite il canale dedicato al revenge porn (utile per ottenere rimozioni rapide). Il Garante Privacy offre un modulo online per segnalare il rischio di diffusione di contenuti a carattere sessuale non consensuale. Può verificare e intervenire per bloccare tali contenuti. Basta accedere a https://servizi.gpdp.it/diritti/s/revenge-porn-scelta-auth, compila il modulo indicando le piattaforme sospette e i motivi del timore, allegando eventuali prove tramite link sicuro.
Valuta assistenza legale da parte di un avvocato (anche per un risarcimento danni) e supporto psicologico/centro antiviolenza. Annamaria Bernardini de Pace è un legale del foro di Milano, esperta di diritto di famiglia e della persona. Sta organizzando una class action contro Meta/Facebook per assistere tutte le donne che hanno trovato proprie foto sui gruppi e siti "Mia moglie" e Phica.
Attiva StopNCII.org per bloccare ri-caricamenti:
Se temi che immagini intime possano essere condivise, usa StopNCII.org: genera sul tuo dispositivo un hash (impronta digitale) delle immagini e lo invia ai partner (Facebook, Instagram ecc.) per bloccare caricamenti e facilitare rimozioni senza caricare la foto. È un progetto gestito dal Revenge Porn Helpline/SWGfL con il supporto di Meta e altre aziende.
L'immagine non lascia il tuo dispositivo; vengono condivise solo le impronte (hash). Il sistema è pensato per prevenire o accelerare blocchi su piattaforme aderenti: non “pulisce il web” in generale, ma è estremamente utile sui social e servizi partner.
Perché tutto questo riguarda anche i “semplici spettatori”
“Limitarsi a guardare” non è una scusa: le indagini possono tracciare IP e profili; chi inoltra, commenta, alimenta rischia responsabilità penali e civili. I casi Mia Moglie e Phica.eu mostrano come community tossiche normalizzino la violenza di genere digitalizzata e amplifichino danni psicologici e sociali reali.
Un problema culturale e istituzionale
Questi casi non sono isolati: sono la punta di un iceberg di violenza di genere online. Esperte come Silvia Semenzin sottolineano che la legge sul revenge porn (2019) non basta; servono controlli su piattaforme come Telegram e una cultura che educhi al rispetto. Il Parlamento sta discutendo misure urgenti, ma la vera sfida è cambiare il modo in cui vediamo le donne, online e offline.
La chiusura di "Mia Moglie" e Phica.eu è un passo avanti, ma non la fine. Ogni denuncia, ogni voce che si alza, è un mattone per smantellare questa piramide di violenza. Se sei una vittima, non sei sola: il tuo coraggio può fare la differenza. E se hai assistito a questi abusi, condividi questo messaggio: il silenzio non è un’opzione.
Sei hai bisogno di supporto psicologico contatta i centri antiviolenza (es. Telefono Rosa al 1522) che offrono aiuto 24 ore su 24, tutti i giorni dell'anno, per offrire aiuto e sostegno alle vittime di violenza. Puoi chiamare gratuitamente da qualsiasi telefono, sia fisso che mobile
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
|
DISCLAIMER
Questo articolo ha finalità esclusivamente educative e divulgative. ✅ Raccomando comunque di adottare alcune precauzioni di sicurezza durante la navigazione, tra cui:
L'autore dell’articolo e il sito web non si assumono alcuna responsabilità per un uso improprio delle informazioni contenute o per eventuali danni derivanti da comportamenti non conformi. |
Eccoci arrivati alla seconda parte dei Try2Hack! Continuiamo la sfida dal livello 6.
A questo link trovate la prima parte dell'articolo:
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000
#LIVELLO 6
Ecco il link del livello 6
https://www.try2hack.lt/en/lygiai/level6-eitp.htm
Per proseguire sono richiesti username e password da inserire nella finestra popup:
Dal codice sorgente è possibile vedere che è presente un collegamento allo script. Per visualizzarlo basta cliccare su "src" (che sta per source, sorgente) come visualizzato nell'immagine (le credenziali in chiaro sono errate e sono state inserite per depistare l'utente):
Cliccando su "src" è possibile visualizzare le credenziali corrette e il nome della pagina del livello successivo:
Scrivete prima l'user e poi la password:
username = "LefTy"
password = "wIndow"
Dalla finestra popup cliccate sul pulsante OK per accedere al settimo livello:
#LIVELLO 7
Ecco il link del livello 7:
https://www.try2hack.lt/en/lygiai/level7-irra.htm
Anche in questo caso è necessario inserire Username e Password:
Dal codice sorgente è possibile notare che è necessario scaricare il file leval7.swf:
Ecco il link diretto per scaricare il file:
www.try2hack.lt/en/lygiai/leval7.swf
Importatelo su JPEXS come fatto in precedenza e aprite la cartella script:
Dalla sezione ActionScript è presente il seguente codice:
_root.user = "";
_root.pass = "";
main = "ABCDEFGHIYJKLMNOPRSTUVZXQW0123456789";
vrt = main.substr(12,1) + main.substr(1,1) + main.substr(12,1) + main.substr(15,0) + main.substr(20,1) + main.substr(21,1) + main.substr(19,1) + main.substr(1,1) + main.substr(23,2);
Questo è lo script associato alla pressione del pulsante:
on(release, keyPress "<Enter>"){
a = _root.user;
b = _root.pass;
toliau = _root.main.substr(18,2) + b.substr(3,1) + b.substr(6,1);
if(a == vrt && b.substr(3,1) * b.substr(6,1) == 72)
{
getURL("level8-" + toliau + ".htm","_self");
}
else
{
_root.pass = "";
_root.user = "";
}
}
ActionScript è un linguaggio di scripting usato principalmente per animazioni, interazioni e logica nei file Flash (.SWF). È simile a JavaScript nella sintassi, ma funziona all'interno di contenuti Flash (animazioni, giochi, interfacce interattive).
Cos’è il P-code in ActionScript presente nella sezione a destra?
Il p-code (pseudo-code o bytecode) è una rappresentazione intermedia del codice ActionScript originale (quello che scrivi nello script Flash) usata dal Flash Player per eseguire le istruzioni. È una sorta di linguaggio macchina semplificato che rappresenta ogni comando ActionScript in forma strutturata, più vicina al funzionamento del player.
Viene generato automaticamente dal compilatore Flash quando esporti un file .swf.
Il P-code è utile per analizzare .swf anche se il codice ActionScript è offuscato o assente.
_root.user)Questo è il codice:
vrt = main.substr(12,1) + main.substr(1,1) + main.substr(12,1) + main.substr(15,0) + main.substr(20,1) + main.substr(21,1) + main.substr(19,1) + main.substr(1,1) + main.substr(23,2);
Il valore della variabile vrt è costruito estraendo lettere dalla stringa main.
La main mostrata nel codice ActionScript è questa:
"ABCDEFGHIYJKLMNOPRSTUVZXQW0123456789"
In realtà, nel file .swf (letto con strumenti tipo JPEXS o disassemblando il p-code), la main è diversa.
È probabilmente qualcosa come: main = "KAKTUSAZX012345..."
Applicando le istruzioni substr() a questa nuova main, il valore di vrt diventa: vrt = "KAKTUSAZX"
_root.pass)Il codice controlla anche la password con questa condizione:
if (a == vrt && b.substr(3,1) * b.substr(6,1) == 72)
cioè:
Il 4° carattere (posizione 3) della password moltiplicato per il 7° carattere (posizione 6) deve dare 72
Quindi cerca due cifre che, moltiplicate, danno 72:
9 × 8 = 72 (o 8x9=72)
Posiziona questi due numeri nella password:
posizione 3 = "9" → 4° carattere
posizione 6 = "8" → 7° carattere
Riempi gli altri caratteri come vuoi (basta che la lunghezza sia almeno 7 caratteri).
Esempio valido:
pass = "xx9xx8" (o xx8xx9) Questo è un classico esempio di security through obscurity - la sicurezza attraverso l'oscurità del codice, che però è facilmente aggirabile una volta decompilato il file SWF.
Ecco le credenziali per accedere al livello successivo:
Username: KAKTUSAZX
Password: xx9xx8
#LIVELLO 8
Questo è l'URL del livello 8:
https://www.try2hack.lt/en/lygiai/level8-RS98.htm
Bisogna scaricare un file in formato .RAR
Decomprimete il file e apritelo con Notepad++ o Blocco note:
Nel codice è possibile vedere un link:
https://www.try2hack.lt/en/lygiai/level9-qwsa.htm
Non si tratta però di quello corretto:
La prima parte è corretta in realtà; basta aggiungere -html.htm (come evidenziato nel codice) all'URL per aprire il link giusto!
#LIVELLO 9
https://www.try2hack.lt/en/lygiai/level9-html.htm
Dal codice sorgente è possibile verificare che sta usando un file .php per validare la password che inseriamo:
Se inseriamo una password casuale si aprirà il seguente URL (che non funziona):
https://www.try2hack.lt/en/lygiai/level9login.php
Per accedere al livello successivo bisogna forzare un login simulato per bypassare il form. Per farlo basta aggiungere all'URL iniziale .php?login=1:
https://www.try2hack.lt/en/lygiai/level9-html.php?login=1
Il parametro ?login=1 simula l'invio corretto della password anche se non viene inserita
Accedendo a quell’URL, il sito considera la password corretta
Per collegarsi al livello 10 basta cliccare sul link Great! Go to the 10th level...:
#LIVELLO 10
Ecco il link del livello 10:
https://www.try2hack.lt/en/lygiai/level10-desi.php
Analizzando il codice non si nota nessuno script o collegamento a script esterni:
Aprite gli strumenti per sviluppatori (F12) dal vostro browser. Provate a cliccare su submit. Comparirà il messaggio Wrong data.
Cliccate sul tab Rete/Network e selezionate il link evidenziato. Le credenziali sono evidenziate:
In poche parole Il server ha rivelato le credenziali nei cookie di risposta dopo un tentativo fallito di login!
Ecco le credenziali:
Username: Biscuit
Password: ChocolateChip
Questo è un esempio di Information Disclosure (divulgazione di informazioni). Il termine che sentiresti più spesso in un penetration test report sarebbe "Information Disclosure via HTTP Cookies". Ecco i passaggi:
logged_on=0), i cookie vengono comunque inviatiNon vi resta che inserire le credenziali e cliccate su Submit. Per andare al livello 11 cliccate sul link Great! Go to the 11th level...
#LIVELLO 11
Ecco il link del livello 11:
https://www.try2hack.lt/en/lygiai/level11-htjs.htm
Ad oggi purtroppo il livello 11 non è online; viene richiesto di compilare un form per ricevere info nel momento in cui sarà disponibile. Inserendo i dati il nostro Nick verrà inserito in una sorta di classifica di tutti gli utenti che hanno partecipato al gioco (in ordine cronologico) visibile a questo link: https://www.try2hack.lt/en/apie.php
Il gioco è terminato! Se questo articolo vi è piaciuto condividetelo con i vostri amici!
CURIOSITA'
Se provate ad aprire la directory lygiai presente nell'URL https://www.try2hack.lt/en/lygiai/ comparirà il seguente messaggio: what are you doing here? huh? (cosa ci fai qui? eh?)
Articolo consigliato:
https://www.computermania.org/tutorial/informatica/15-e-piu-curiosita-informatiche-che-forse-non-conoscevate (cancellare i link ai video di YT dopo la pubblicazione dell'articolo)
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
|
DISCLAIMER
Questo articolo ha finalità esclusivamente educative e divulgative. ✅ Raccomando comunque di adottare alcune precauzioni di sicurezza durante la navigazione, tra cui:
L'autore dell’articolo e il sito web non si assumono alcuna responsabilità per un uso improprio delle informazioni contenute o per eventuali danni derivanti da comportamenti non conformi. |
Try2Hack.lt è una piattaforma che propone una serie di livelli da superare utilizzando vecchie tecniche basilari legate all’hacking web. Questi esercizi servono farsi un’idea generale delle logiche alla base dell'hacking web ma molto lontani dalle tecniche avanzate utilizzate oggi in ambito di sicurezza informatica.
E' una piattaforma pubblica progettata come gioco logico per mettere alla prova le proprie capacità analitiche e di problem solving. Non si tratta di un CTF (Capture The Flag) moderno né di una vera e propria piattaforma educativa strutturata come TryHackMe o HackTheBox, ma piuttosto di una sfida amatoriale a livelli progressivi, nata nei primi anni 2000 e tuttora online con un’interfaccia minimale. Il dominio è registrato in Lituania.
STRUMENTI UTILIZZATI NELL'ARTICOLO
Firefox Portable + Ruffle - Flash Emulator addon
JPEXS Free Flash Decompiler (Decompilatore Flash JPEXS gratuito)
Notepad++ (va bene anche il Blocco note di Windows)
Iniziamo subito! Collegatevi al sito (in lingua Inglese):
https://www.try2hack.lt/en/
Cliccate sul menu BEGIN per cominciare (non è necessario registrarsi/loggarsi):
#LIVELLO 1
Bisogna inserire una password per proseguire:
Cliccate con il tasto destro del mouse e selezionate l'opzione Questo riquadro>Visualizza sorgente riquadro:
Ecco il codice sorgente. Da qui è possibile vedere l'URL completo della pagina nella barra degli indirizzi (https://www.try2hack.lt/en/lygiai/level1.htm):
La password per il livello 2 è in chiaro e visibile nello script JavaScript: l4m3rz
Dallo stesso script è possibile visualizzare anche il nome della pagina del secondo livello: level2-room.htm
CURIOSITA'
L4m3rz è la versione "leet speak" di "lamers", che significa "perdenti" o "scarsi". Nel mondo hacker/gaming, "lamer" indica qualcuno considerato inesperto, che si spaccia per abile ma non lo è, o che usa strumenti creati da altri senza capirli. È un termine dispregiativo usato dalle comunità tecniche per distinguere i "veri" esperti dai dilettanti.
Il Leet Speak (1337 speak o linguaggio l33t)
Il leet o 1337 è un tipo di scrittura alternativa dove le lettere vengono sostituite con numeri e simboli che assomigliano visivamente:
A → 4 o @
E → 3
L → 1
S → 5 o $
T → 7
O → 0
Quindi "leet" diventa "1337" e "lamers" diventa "l4m3rz".
Nato negli anni '80-'90 veniva utilizzato da Hacker e cracker per aggirare filtri di testo, nelle BBS e nei forum underground.
Per accedere al secondo livello inserite la password, cliccate su Submit e su OK:
LASCIATE APERTA LA SEZIONE PER VISUALIZZARE IL CODICE SORGENTE.
Nel secondo livello è bloccata la possibilità di utilizzare il tasto destro del mouse:
Nella sezione con il codice sorgente del primo livello è possibile vedere il nome della pagina relativa al secondo livello (level2-room.htm)
Copiate l'URL esteso nella barra degli indirizzi:
https://www.try2hack.lt/en/lygiai/level2-room.htm
Ecco le credenziali per il terzo livello:
Username: osburn
Password: ozzy
I dati sono stati volutamente invertiti!
L'inversione è causata dall'ordine sbagliato dei parametri nella chiamata della funzione
onclick.
<input type="reset" value="Click if you want to continue" onclick="Tryi(testi.pass.value, testi.uzr.value)">
La funzione riceve:
uzer (primo parametro) = il valore del campo password dell'utente
pswd (secondo parametro) = il valore del campo username dell'utenteQuindi per passare il controllo:
pswd)
uzer) Dal codice sorgente è possibile vedere il nome della pagina del terzo livello:
location.href="level3-kbbe.htm
Inserite le credenziali e cliccate sul pulsante Click if you want to continue:
Cliccate su OK per proseguire:
#LIVELLO 3
Ecco il link esteso del terzo livello:
https://www.try2hack.lt/en/lygiai/level3-kbbe.htm
Per proseguire bisogna inserire una password nella finestra popup:
Apriamo il codice sorgente:
Da qui si vedono sia la password sia il nome della pagina del quarto livello:
<script language="JavaScript"> slp = prompt("Please enter the 3d level password:",""); if (slp == "fatman_") { alert("Great! Go to the 4th level..."); location.href="level4-blok.htm";
SLP è una variabile arbitraria usata per salvare il valore digitato dall’utente. Il codice controlla se l’utente ha inserito esattamente la password. Se la password è corretta mostra un messaggio di successo e reindirizza l’utente alla pagina del livello 4; altrimenti mostra un messaggio d’errore e reindirizza a una pagina vuota.
La password è fatman_
Inserite la password e cliccate sul pulsante OK:
Un messaggio conferma che stiamo entrando nel quarto livello. Cliccate sul pulsante OK per procedere:
#LIVELLO 4
Anche in questo caso è richiesta una password:
Come prima visualizziamo il codice sorgente:
Il link del livello è https://www.try2hack.lt/en/lygiai/level4-blok.htm
Dal codice si nota che quello che stiamo visualizzando è un file swf (Adobe Flash) che si chiama level4.swf (per visualizzarlo è necessario installare un add-on come Ruffle - Flash Emulator addon)
Adobe ha terminato ufficialmente il supporto per Flash Player il 31 dicembre 2020, e dal 12 gennaio 2021 è stata definitivamente bloccata l'esecuzione dei contenuti Flash all'interno del player di Adobe.
L'annuncio della fine vita era già arrivato nel luglio 2017, dando agli sviluppatori oltre 3 anni per prepararsi
Perché è stato abbandonato?
I motivi principali dell'abbandono di Flash sono stati:
-Problemi di sicurezza: Flash era notoriamente vulnerabile e rappresentava un costante rischio per la sicurezza, richiedendo aggiornamenti continui per correggere falle.
-Prestazioni scadenti: Flash aveva un elevato utilizzo di risorse hardware che alcune animazioni richiedevano
consumando batteria sui dispositivi mobili e rallentando i computer.
-Incompatibilità mobile: Apple non ha mai supportato Flash sui suoi dispositivi iOS, e Android lo ha gradualmente abbandonato.
-Evoluzione delle tecnologie web: Adobe ha incoraggiato la migrazione verso nuovi formati aperti come HTML5, WebGL e WebAssembly
Questo è il link diretto al file che è necessario scaricare:
https://www.try2hack.lt/en/lygiai/level4.swf
E' necessario decompilarlo. Per procedere utilizzeremo il programma gratuito JPEXS decompiler che potete scaricare dal seguente link:
https://github.com/jindrapetrik/jpexs-decompiler/releases
Nel tutorial ho scaricato l'installer per Windows:
Procedete con l'installazione. Questa è l'interfaccia:
Dal pulsante Apri selezionate il file scaricato o trascinate il file swf all'interno della finestra del programma. Nella sezione a destra è possibile visualizzare l'anteprima:
Selezionate la cartella script; da qui si possono vedere la password a sinistra e il nome della pagina del livello 5:
La password è la seguente: EasySWF
Cliccate su GO! per andare al livello successivo:
#LIVELLO 5
Ecco il link del quinto livello (visibile nel sorgente dello script all'interno del file swf):
https://www.try2hack.lt/en/lygiai/level5-jkli.htm
Per scoprire l'url del livello successivo è necessario scaricare un file .exe (basta cliccare su here (0,004 mb):
Aprite il file con Notepad++ o il Blocco note:
Quello che vedete si chiama codice esadecimale o dump esadecimale (hex dump).
In realtà, più precisamente, state vedendo una rappresentazione binaria del file convertita in caratteri. Il file .exe è composto da codice macchina binario, ma l'editor di testo cerca di interpretare questi byte come caratteri ASCII/Unicode, risultando in:
Dal codice è possibile vedere l'url del livello 6:
Á ÉÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍ» º www.try2hack.projektas.lt º º º º ::[ Try to hack ]:: º ÇÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄĶ º Level 5th º º Enter username and pass- º º word, then you will see º º url of the next level. º º Type "exit" to exit. º º º Username: º º Password: º ÈÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍͼ exit Bear 31337 level6-eitp.htm WRONG DATAš Á š
https://www.try2hack.lt/en/lygiai/level6-eitp.htm
E' online la seconda parte del tutorial in cui analizzo i livelli dal 6 all'11! La trovate a questo link:
https://www.computermania.org/tutorial/sicurezza/try2hack-lt-esercizi-di-logica-e-sicurezza-informatica-nel-web-degli-anni-2000-parte-2
Articolo consigliato:
https://www.computermania.org/tutorial/informatica/15-e-piu-curiosita-informatiche-che-forse-non-conoscevate
Seguimi sui social per non perdere i prossimi aggiornamenti:
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti tutorial, guide e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulsante:
GRAZIE!
Computermania.org è un sito amatoriale creato da un appassionato di informatica che ha dedicato centinaia di ore di lavoro (soprattutto notturne!), per offrire a tutti articoli e trucchi di qualità e per risolvere i problemi tecnologici quotidiani. Puoi dimostrare il tuo apprezzamento per il lavoro fatto effettuando una piccola donazione su PayPal cliccando sul seguente pulstante GRAZIE! Roberto
