Welcome

Welcome to this site dedicated to the IST MODEL Technology, an innovative PATENTED technology designed to guarantee the highest levels of security during communications and transactions over the Internet.

Benvenuti in questo sito dedicato alla Tecnologia IST MODEL, progettata per garantire il più alto livello di sicurezza nelle comunicazioni e transazioni su Internet.
IST MODEL è una tecnologia innovativa brevettata.

IST Model - A short Introduction.pdf

giovedì 30 novembre 2017

Point Of Sale are not immune to cybercrime, they are attacked on a daily basis


Several malware are specialized in attacking Point Of Sale (POS) used to pay with credit card. In 2014 there were more than 50 different malware variant.
POS are attacked on a daily basis. Just a few name of them:  BlackPOS, Alina, Dexter, JackPOS, VSkimmer

Molti software maligni sono specializzati nell'attaccare i Point Of Sale (POS) utilizzari per pagare con carta di credito. Nel 2014 vi erano più di 50 differenti varianti di malware.
I POS sono attaccati giornalmente. Solo alcuni nomi: BlackPOS, Alina, Dexter, JackPOS, VSkimmer

Reference
https://en.wikipedia.org/wiki/BlackPOS_Malware
https://www.theinnovationgroup.it/wp-content/uploads/2015/04/Cybersecurity-Summit-2015-Milano-Raoul-Chiesa-PUBLIC.pdf
https://en.wikipedia.org/wiki/Alina_(malware)
https://www.cnet.com/news/new-dexter-malware-strikes-point-of-sale-systems/
https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/jackpos
http://www.xylibox.com/2013/01/vskimmer.html
https://www.agendadigitale.eu/infrastrutture/pos-allarme-malware-in-italia-ecco-i-pericoli/

venerdì 17 novembre 2017

Phishing over SSL/TSL, Phishing sites exploit trust in valid SSL certificates


Certificate authorities aren’t scrutinizing who gets their SSL certificates, and now a large number of phishing sites have legitimate certificates, said Netcraft.
Netcraft has blocked phishing attacks on more than 47,500 sites with a valid TLS certificate between 1st January and 31st March 2017. On 19,700 of these, Netcraft blocked the whole site rather than a specific subdirectory. 61% of the sites that were entirely blocked were using certificates issued by Let's Encrypt, and 36% by Comodo.

Le autorità di certificazione non esaminano chi ottiene i loro certificati SSL, e ora un gran numero di siti di phishing hanno certificati legittimi, ha affermato Netcraft.
Netcraft ha bloccato gli attacchi di phishing su oltre 47.500 siti con un certificato TLS valido tra il 1 ° Gennaio e il 31 Marzo 2017. Su 19.700 di questi, Netcraft ha bloccato l'intero sito anziché una sottodirectory specifica. Il 61% dei siti completamente bloccati utilizzava i certificati emessi da Let's Encrypt e il 36% da Comodo.

Reference
https://news.netcraft.com/archives/2017/04/12/lets-encrypt-and-comodo-issue-thousands-of-certificates-for-phishing.html
https://www.infoworld.com/article/2992605/security/phishing-sites-exploit-trust-in-valid-ssl-certificates.html
https://www.scmagazineuk.com/ssl-encrypted-malware-doubles-this-year-phishing-over-ssltls-up-400/article/679607/

lunedì 30 ottobre 2017

Are 95% of HTTPS web servers still vulnerable to MITM attacks?


Encrypted communications are an essential requirement for banks and other financial websites, but HTTPS alone is not sufficient to defend these sites against man-in-the-middle attacks. Astonishingly, many banking websites lurk amongst the 95% of HTTPS servers that lack a simple feature that renders them still vulnerable to pharming and man-in-the-middle attacks. This missing feature is HTTP Strict Transport Security (HSTS), and only 1 in 20 secure servers currently make use of it, even though it is supported by practically all modern browsers.
Each secure website that does not implement an HSTS policy can be attacked simply by hijacking an HTTP connection that is destined for it. This is a surprisingly feasible attack vector, as there are many ways in which a user can inadvertently end up connecting via HTTP instead of HTTPS.

Le comunicazioni criptate sono un requisito essenziale per le banche e per altri siti finanziari, ma HTTPS da solo non è sufficiente per difendere questi siti da attacchi Man In The Middle. Sorprendentemente molti siti web bancari fanno parte di quel circa 95% di server HTTPS che non dispongono di una semplice funzionalità che li rende ancora vulnerabili ad attacchi pharming e Man In The Middle. Questa funzionalità mancante è HTTP Strict Transport Security (HSTS) ed attualmente solamente 1 su 20 server sicuri ne fanno uso, anche se è supportata da praticamente tutti i browser.
Ogni sito web sicuro che non implementa la policy HSTS può essere attaccato semplicemente dirottando una connessione HTTP a lui destinata. Questo è un vettore di attacco sorprendentemente fattibile, poiché vi sono molti modi con cui un utente può inavvertitamente connettersi con HTTP invece che con HTTPS. 

Reference

lunedì 11 settembre 2017

Disconcerting news about Cloud Storage with no security


Disconcerting news regarding security of some of the major Cloud infrastructures
  • Thousands of files containing personal data from former US military, intelligence and contractor personnel have been exposed online without any protection for months
  • Thousands of sensitive files have been found without protection on an Amazon cloud server
  • 600GB of sensitive data available on the Internet by the BroadSoft communications company, including millions of Time Warner customer records


Notizie sconcertanti sulla sicurezza di alcune tra le maggiori infrastruture Cloud
  • Migliaia di file contenenti i dati personali di ex militari statunitensi, personale dell’intelligence e contractor sono stati esposti online senza alcuna protezione per mesi
  • Ancora, migliaia di file sensibili sono stati trovati senza protezione su un server cloud di Amazon
  • 600 GB di dati sensibili disponibili su Internet dall’azienda di comunicazione BroadSoft, tra cui milioni di record dei clienti dell’azienda Time Warner


Reference
http://cybersecurity.startupitalia.eu/55464-20170908-cloud-storage-dati-senza-protezione-una-lunga-lista-di-incidenti-che-impone-una-riflessione
https://www.upguard.com/breaches/cloud-leak-tigerswan
http://gizmodo.com/thousands-of-job-applicants-citing-top-secret-us-govern-1798733354
http://securityaffairs.co/wordpress/56919/breaking-news/1-37bn-records-data-leak.html

mercoledì 19 luglio 2017

Hackshit platform, phishing as a service for "everyone"


Experts from the security company Netskop have discovered a new platform PhaaS (Phishing-as-a-Service) named Hackshit which can enable less experienced cybercriminal with poor skills to launch phishing campaigns.

Gli esperti dell'azienda di sicurezza Netskop hanno individuato una nuova piattaforma PhaaS (Phishing-as-a-Service) di nome Hackshit, che può consentire a cybercriminali anche senza esperienza tecnica di lanciare campagne di phishing.

Reference

venerdì 31 marzo 2017

Security Summit 2017, the Clusit alarm: more investments in Cybersecurity



According to the Clusit Report 2017 presented at the Security Summit 2017, it is necessary to invest more in technology and training for Cyberecurity in our country, following a strong increment of phishing and social engineering attacks.
The human factor continues to be the weak link in the security chain, together with the low propensity to invest for increasing current levels of security.

Secondo il Rapporto Clusit 2017 presentato al Security Summit 2017, è necessario investire di più in tecnologia e formazione per Cyberecurity nel nostro paese, a seguito di incrementi a quattro cifre degli attacchi di phishing e social engineering.
Il fattore umano continua ad essere l’anello debole della catena della sicurezza, insieme alla scarsa propensione ad effettuare investimenti per aumentare gli attuali livelli di sicurezza.

Reference

lunedì 16 gennaio 2017

The most harmful cyber attacks of 2016


Richard Stennion (author of There Will Be Cyberwar) said that "2016 will be remembered as the most important year in the evolution of the nation state attacks," and that the cyber espionage has long been one of the most important tools for hackers and intelligence, inviting everyone to improve their computer security level for the new year.

Richard Stennion (autore di There Will Be Cyberwar) ha detto che “il 2016 sarà ricordato come l’anno più importante per l’evoluzione dei nation state attacks,” e che lo spionaggio cibernetico è da tempo uno degli strumenti più importanti per hacker e servizi segreti, invitando tutti a migliorare il proprio livello di sicurezza informatica per il nuovo anno.

Reference
http://cybersecurity.startupitalia.eu/53770-20161230-gmail-yahoo-linkedin-attacchi-informatici-2016