L’approccio in stile “man-in-the-middle” della VPN Onavo

Se oggi Meta chiede agli utenti di pagare affinché non avvenga alcun trattamento dei propri dati, solo qualche anno fa Facebook invitava gli utenti a scaricare un’app per ricevere un compenso economico in cambio dell’apertura delle porte (digitali) all’analisi dei propri dati di navigazione. Soldi in cambio, dunque, dei dati. Il tutto seguendo un approccio “man-in-the-middle“, alla base di parte dei più pericolosi attacchi informatici. A ufficializzare questa strategia, sempre nel 2016, è un carteggio di mail scambiate tra i vertici e gli ingegneri della piattaforma social e le loro interazioni anche con gli sviluppatori che si occupavano dell’app VPN Onavo Protect, quella utilizzata per spiare i dati di Snapchat, Amazon e YouTube.

LEGGI ANCHE > Come Facebook spiava i dati di Snapchat (ma anche Amazon e YouTube) all’insaputa degli utenti

Questo tipo di approccio, quindi Facebook ha agito in modo consapevole, è confermato da alcuni scambi di e-mail successivi alla prima inviata direttamente da Mark Zuckerberg.

Sintetizziamo: hanno sviluppato kit, che possono essere installati su iOS e Android, in grado di intercettare il traffico di specifici sotto-domini e che permettevano a Facebook di leggere il traffico criptato sulle altre app. Dunque, consentendo a Facebook di misurare l’utilizzo delle app da parte degli utenti. E qui la conferma: «Questo è un approccio “man-in-the-middle”». A parlare, come si evince dai documenti giudiziari, è Danny Ferrante (uno dei dirigenti) che risponde a una mail inviata da Javier Oliver, attuale COO di Meta. Dunque, tutti gli attori protagonisti di questa vicenda erano a conoscenza di ciò che stavano facendo.

Onavo Protect e il man-in-the-middle, di cosa stiamo parlando

Ovviamente, non si trattava di un “attacco informatico“, anche se questa tecnica viene spesso utilizzata con questo obiettivo al fine di carpire le informazioni criptate nelle comunicazioni (non solo tra utenti, ma anche tra un utente e un server) e trarne delle indicazioni per estorcere denaro. Di fatto, però, si può parlare di una sorta di spyware. Infatti, l’app VPN Onavo Protect funzionava installando un certificato di sicurezza (SSL) sul dispositivo dell’utente. Tutto ciò permetteva all’applicazione di decriptare il traffico internet dell’utente prima che venisse crittografato e inviato su internet. Nel caso specifico, sull’app di Snapchat (poi di Amazon e di YouTube). In sostanza, Onavo Protect agiva nelle funzioni intermediario (da qui il concetto di “uomo nel mezzo) tra il dispositivo utilizzato dall’utente per la sua navigazione e le app in questione. Dunque, era in grado vedere tutti i dati che venivano inviati e ricevuti.