Nove milioni di internauti avvezzi all’uso di Chrome potrebbero essere stati spiati per colpa, paradossalmente, di un antivirus: Avg. Il problema è una vulnerabilità di WebTuneUp, una estensione di Avg AntiVirus per il browser di Google, mirata a creare un ulteriore livello di sicurezza allertando l’utente in caso di siti sospetti. Peccato che, come scoperto da un ricercatore di Google Project Zero, Tavis Ormandy, diversi bug tappezzassero l’applicazione, consentendo a eventuali malintenzionati di spiare e sottrarre dati agli utenti.
Parliamo al passato perché, a breve distanza dalla segnalazione arrivata tramite una “email arrabbiata” di Ormandy, Avg ha prontamente corretto le vulnerabilità. Ma poiché non è chiaro da quanto tempo i vizi software di WebTuneUp fossero in circolazione, potrebbero esserci state delle vittime fra i nove milioni di internauti Chrome che utilizzano l’estensione.
A detta di Ormandy, WebTuneUp rendeva accessibili cookie da cui estrarre “la cronologia e altri dati personali su Internet”. Un sito malevolo contenente JavaScript, inoltre, avrebbe potuto sfruttare l’estensione per accedere ad altri siti Web in cui l’utente fosse loggato, incluse caselle di posta di tipo webmail. Con un attacco man-in-the-middle, un malintenzionato avrebbe anche potuto inserire del codice JavaScript in pagine Web allo scopo di neutralizzare la crittografia Ssl.
Sebbene qui si tratti di un prodotto immateriale che opera attraverso il Web, la vicenda fa tornare alla mente quella (ben più spinosa e complessa) dei firewall di Juniper Networks, il cui sistema operativo è risultato compromesso da una linea di codice backdoor, forse creata da un soggetto esterno all’azienda per scopi di spionaggio. Pur nella loro diversità, questi due episodi rappresentano un paradossale scacco alla sicurezza, un evento in cui chi dovrebbe difendere l’utente invece mette a rischio la sua privacy.