La violazione della privacy di Wind

[Gabriele - onenet]

http://www.kensan.it/articoli/Servizi_in_abbonamento.php
I servizi in abbonamento che i gestori telefonici, Wind, Tim, Vodafone,
Tre, offrono ai propri clienti abbonandoli tramite un click sbagliato,
sono una truffa che viola anche la privacy.
Nella immagine potete vedere il vostro numero di telefono: ma il numero
di cellulare non era un dato sensibile? Possibile che una pagina web lo
possa mostrare?

Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero di
telefono, non penso sia normale:
http://www.corriere.it/inapp/index.shtml

Ora mando la schermata all'urp del Garante Privacy.

Metto in cross-post il NG it.diritto.internet e follow-up perché l'argomento è
interessante e penso sia più di competenza leguleia :)

Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per cui deve
essere per forza il gestore telefonico a passare i dati.


Gabriele

[Paolo B.]

Tecnicamente come cavolo lo ricevono il numero? Io non l'ho trovato in
nessuna variabile d'ambiente....

[Sandro kensan]

Post by Paolo B.
Tecnicamente come cavolo lo ricevono il numero? Io non l'ho trovato in
nessuna variabile d'ambiente....

Una API che mette a disposizione la Wind e altri gestori.

[Sandro kensan]

Post by Gabriele - onenet

http://www.kensan.it/articoli/Servizi_in_abbonamento.php
I servizi in abbonamento che i gestori telefonici, Wind, Tim, Vodafone,
Tre, offrono ai propri clienti abbonandoli tramite un click sbagliato,
sono una truffa che viola anche la privacy.
Nella immagine potete vedere il vostro numero di telefono: ma il numero
di cellulare non era un dato sensibile? Possibile che una pagina web lo
possa mostrare?

Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero
http://www.corriere.it/inapp/index.shtml
Ora mando la schermata all'urp del Garante Privacy.
Metto in cross-post il NG it.diritto.internet e follow-up perché
l'argomento è interessante e penso sia più di competenza leguleia :)
Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per
cui deve essere per forza il gestore telefonico a passare i dati.

Aggiungo che la mia SIM è dentro una chiavetta 3g la quale è collegata
via USB a un router il quale è collegato via ethernet al mio PC per cui
non esiste il modo per il mio PC per venire a conoscenza del mio numero
telefonico che è nella SIM. L'unico modo è quello di avere il mio IP e
da questo venire a conoscenza, tramite la wind, del mio numero. In
pratica la wind mette a disposizione una API a chi offre i servizi in
abbonamento come spiegato nel mio testo.

[Giacomo Verdi]

Post by Sandro kensan
Aggiungo che la mia SIM è dentro una chiavetta 3g la quale è collegata
via USB a un router il quale è collegato via ethernet al mio PC per cui
non esiste il modo per il mio PC per venire a conoscenza del mio numero
telefonico che è nella SIM.

Neanche se la sim fosse direttamente nella chiavetta o nel telefono da
cui navighi, se è per questo. Il "device" dentro cui inserisci la sim
conosce il codice della sim, non il numero telefonico; infatti il numero
telefonico è associato alla sim in maniera "virtuale" presso
l'operatore, è il motivo per cui puoi cambiare numero senza cambiare sim
e cambiare sim senza cambiare numero.

[Massy]

Post by Gabriele - onenet

http://www.kensan.it/articoli/Servizi_in_abbonamento.php

[CUT]

Post by Gabriele - onenet
Il numero di telefono non è un dato "sensibile", ma pur sempre
personale. Ho provato dalla connessione del cell ed hai ragione! Si
http://www.corriere.it/inapp/index.shtml

Su nessuno dei due siti appare il mio numero (Tre), e ci mancherebbe
altro...!
Sul primo appare un "+39320" e poi il numero censurato (io ho 338)
Sul secondo non mi appare nulla di nulla (solo la possibilità di inserirlo
il mio numero.
Secondo me o avete dei cookie di quei siti (o siti collegati) a cui vi siete
collegati/abbonati in passato, oppure è il completamento automatico di
chrome tipo...
Dall'indirizzo IP non possono risalire in alcun modo al numero di cell
(anche perchè la stragrande maggioranza degli utenti ha IP dinamico....

--

[Luca]

Post by Massy

Post by Gabriele - onenet

http://www.kensan.it/articoli/Servizi_in_abbonamento.php

[CUT]

Post by Gabriele - onenet
Il numero di telefono non è un dato "sensibile", ma pur sempre
personale. Ho provato dalla connessione del cell ed hai ragione! Si
http://www.corriere.it/inapp/index.shtml

Su nessuno dei due siti appare il mio numero (Tre), e ci mancherebbe
altro...!

Si vede che hanno smesso, dopo le denunce.

Post by Massy
Secondo me o avete dei cookie di quei siti (o siti collegati) a cui vi siete
collegati/abbonati in passato, oppure è il completamento automatico di
chrome tipo...

No, purtroppo.

Post by Massy
Dall'indirizzo IP non possono risalire in alcun modo al numero di cell

Infatti, il numero glielo passa direttamente il provider con cui sei connesso.

[Luca]

Post by Luca

Post by Massy

Post by Gabriele - onenet

http://www.kensan.it/articoli/Servizi_in_abbonamento.php

[CUT]

Post by Gabriele - onenet
Il numero di telefono non è un dato "sensibile", ma pur sempre
personale. Ho provato dalla connessione del cell ed hai ragione! Si
http://www.corriere.it/inapp/index.shtml

Su nessuno dei due siti appare il mio numero (Tre), e ci mancherebbe
altro...!

Si vede che hanno smesso, dopo le denunce.

Dimenticavo, mi è successo pochi giorni fa con un link di repubblica.it. Non
riesco a ritrovarlo, ma si tratta al massimo di quattro-cinque giorni fa.

[Lex Tutor]

Post by Luca
Si vede che hanno smesso, dopo le denunce.

Dai e ridai, ruba e riruba.. prima o poi la gente si stanca.

[Luca]

Post by Gabriele - onenet

http://www.kensan.it/articoli/Servizi_in_abbonamento.php
I servizi in abbonamento che i gestori telefonici, Wind, Tim, Vodafone,
Tre, offrono ai propri clienti abbonandoli tramite un click sbagliato,
sono una truffa che viola anche la privacy.
Nella immagine potete vedere il vostro numero di telefono: ma il numero
di cellulare non era un dato sensibile? Possibile che una pagina web lo
possa mostrare?

Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero di
http://www.corriere.it/inapp/index.shtml

Non è solo Wind e non è la prima volta che mi capita. Io ho un router con simm
TIM, e anche loro comunicano il numero. Sono evidentemente i SP che hanno
preso accordi con i gestori del sito e gli passano il numero di cellulare
usato per la connessione.

Non so se la condanna recentemente inflitta ai vari gestori riguardi questi
casi, ma se anche fosse è chiaro che non è servita a nulla.

[Antonio]

quanto meno il sito del Corriere ti avvisa dell'abbonamento e mostra un
modulo. ci sono servizi che basta che (non) clicchi un banner e ti abbonano

[Giacomo Verdi]

Post by Antonio
quanto meno il sito del Corriere ti avvisa dell'abbonamento e mostra un
modulo. ci sono servizi che basta che (non) clicchi un banner e ti abbonano

pero' ci sono alcuni operatori che permettono di disabilitare questi
servizi premium

[Sandro kensan]

Post by Giacomo Verdi
pero' ci sono alcuni operatori che permettono di disabilitare questi
servizi premium

Esatto, il call center della Wind mi ha disabilitato i servizi a
sovraprezzo ma mi ha anche avvisato che questo non è di alcuna garanzia
che non mi ritrovi in futuro con lo stesso problema di servizi in
abbonamento sottoscritti per avere fatto un click di troppo.

Insomma il blocco non blocca nulla.

[ObiWan]

:: On Wed, 01 Jul 2015 09:34:13 +0200
:: (it.diritto.internet)

Post by Giacomo Verdi
servizi premium

ecco, questo è il nocciolo della questione; sotto la voce "servizi
premium" vengono fatte passare porcate (a pagamento) di ogni genere e
mi chiedo seriamente se qualcuno abbia mai investigato sul reale valore
(dal punto di vista dell'utente) di tali "servizi" rapportandolo al
costo degli stessi; credo che ne potrebbero emergere dati interessanti

[Leonardo Serni]

Post by Gabriele - onenet
Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero di
http://www.corriere.it/inapp/index.shtml

Curiosita', questo URL qua cosa ti dice? (A me - 3 Business - dice "NULL").

http://paycheck.corriere.it/inapp3/services/mobile/gpu

Post by Gabriele - onenet
Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per cui deve
essere per forza il gestore telefonico a passare i dati.

Ovvio. A partire dal semplice IP, senza bisogno di cookie né altro. Come dire
che sanno chi sei e, grazie alla cella a cui sei agganciato, anche dove sei -
senza bisogno di GPS o del tuo consenso.

Però vedi il lato positivo: non ti mandano i malvagy cookie di profilazione.

Leonardo

[Giacomo Verdi]

Post by Leonardo Serni
Ovvio. A partire dal semplice IP, senza bisogno di cookie né altro. Come dire
che sanno chi sei e, grazie alla cella a cui sei agganciato, anche dove sei -
senza bisogno di GPS o del tuo consenso.

E che cavolo. Ci mette piu' tempo la polizia giudiziaria a chiedere
l'utenza corrispondente ad un IP (magari ci vuole pure la richiesta del
PM controfirmata dal GIP) che non una ditta privata?

[Sandro kensan]

Post by Giacomo Verdi

Post by Leonardo Serni
Ovvio. A partire dal semplice IP, senza bisogno di cookie né
altro. Come dire che sanno chi sei e, grazie alla cella a cui sei
agganciato, anche dove sei - senza bisogno di GPS o del tuo
consenso.

E che cavolo. Ci mette piu' tempo la polizia giudiziaria a chiedere
l'utenza corrispondente ad un IP (magari ci vuole pure la richiesta del
PM controfirmata dal GIP) che non una ditta privata?

Esatto, è questo il punto.

[Leonardo Serni]

Post by Giacomo Verdi

Post by Leonardo Serni
Ovvio. A partire dal semplice IP, senza bisogno di cookie né altro. Come dire
che sanno chi sei e, grazie alla cella a cui sei agganciato, anche dove sei -
senza bisogno di GPS o del tuo consenso.

E che cavolo. Ci mette piu' tempo la polizia giudiziaria a chiedere
l'utenza corrispondente ad un IP (magari ci vuole pure la richiesta del
PM controfirmata dal GIP) che non una ditta privata?

Credo che il workflow sia questo:

richiesta PG --> PM --> GIP --> Provider --> LOG --> dato

Nel caso in esame e' probabilmente invece:

bonifico --> richiesta --> Provider --> dato

E' logico che un circuito piu' corto, e oltretutto fatto in automatico, venga
completato in un tempo molto minore. Gia' solo il passaggio PM --> GIP con la
relativa firma autografa prende cinque minuti anche se hanno le scrivanie una
di fronte all'altra, che e' un caso irrealisticamente ottimista.

Inoltre nel secondo caso ci sono di mezzo dei quattrini, che com'e' noto sono
un lubrificante universale.

Mi fa sganasciare dalle risate l'idea di quelli che scrivono commenti anonimi
agli articoli, che il giorno che esagerano gli telefonano direttamente.

"Pronto? Senta... circa il commento anonimo che ha inviato pochi
secondi fa mentre era al bar..."

Leonardo

[Lex Tutor]

Post by Giacomo Verdi
E che cavolo. Ci mette piu' tempo la polizia giudiziaria a chiedere
l'utenza corrispondente ad un IP (magari ci vuole pure la richiesta del
PM controfirmata dal GIP) che non una ditta privata?

Benvenuto in itaGlia. ROTFL

[Sandro kensan]

Post by Leonardo Serni
Curiosita', questo URL qua cosa ti dice? (A me - 3 Business - dice "NULL").
http://paycheck.corriere.it/inapp3/services/mobile/gpu

Con wind dice null.

[Gabriele - onenet]

Post by Leonardo Serni

Post by Gabriele - onenet
Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero di
http://www.corriere.it/inapp/index.shtml

Curiosita', questo URL qua cosa ti dice? (A me - 3 Business - dice "NULL").
http://paycheck.corriere.it/inapp3/services/mobile/gpu

Ciao Leonardo,

da Wind dice "null".

Ora però spieghi :)

Post by Leonardo Serni

Post by Gabriele - onenet
Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per cui deve
essere per forza il gestore telefonico a passare i dati.

Ovvio. A partire dal semplice IP, senza bisogno di cookie né altro. Come dire
che sanno chi sei e, grazie alla cella a cui sei agganciato, anche dove sei -
senza bisogno di GPS o del tuo consenso.

Non aspettavo altro...

Post by Leonardo Serni
Però vedi il lato positivo: non ti mandano i malvagy cookie di profilazione.

:D

E via di segnalazione sarcastica al Garante.

Gabriele

[Leonardo Serni]

Post by Gabriele - onenet

Post by Leonardo Serni
Curiosita', questo URL qua cosa ti dice? (A me - 3 Business - dice "NULL").
http://paycheck.corriere.it/inapp3/services/mobile/gpu

Ciao Leonardo,
da Wind dice "null".
Ora però spieghi :)

Be', e' facile: ho ravanato nel codice perche' ero curioso di vedere se la API
era implementata in uno dei file Javascript (ovvero a seconda di cosa richiede
quel file, arriva una cosa o un'altra)... non ci ho dedicato molto, ma credevo
che la chiamata cruciale fosse quella.

Magari e' uno specchietto per le allodole, oppure richiede un parametro oppure
un referer o un HTTP knock... o un cookie <grin> per funzionare.

Leonardo

[Stefo]

Post by Leonardo Serni
ho ravanato nel codice

Pure io, l'URL è strutturato così
http://paycheck.corriere.it/inapp3/services/mobile/gpu?op=OPERATORE&pu=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

L'operatore sembra essere opzionale, quell'hash (?) come secondo parametro sembra essere fisso e non variare con l'indirizzo IP.
Come si può andare più a fondo?

[Leonardo Serni]

Post by Stefo

Post by Leonardo Serni
ho ravanato nel codice

Pure io, l'URL è strutturato così
http://paycheck.corriere.it/inapp3/services/mobile/gpu?op=OPERATORE&pu=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
L'operatore sembra essere opzionale, quell'hash (?) come secondo parametro sembra essere fisso e non variare con l'indirizzo IP.
Come si può andare più a fondo?

Io proverei ad attivare il tethering su un dispositivo mobile (con SIM
"visibile" al sito) e poi tramite Firebug da un PC connesso via mobile
guardare il traffico.

Leonardo

[Stefo]

Post by Leonardo Serni
Io proverei ad attivare il tethering su un dispositivo mobile (con SIM
"visibile" al sito) e poi tramite Firebug da un PC connesso via mobile
guardare il traffico.

Si fatto anche quello ma si torna sempre a quell'URL. La controprova è che se attivo la VPN il numero scompare.

[Lex Tutor]

Post by Gabriele - onenet
Metto in cross-post il NG it.diritto.internet e follow-up perché l'argomento è
interessante e penso sia più di competenza leguleia :)
Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per cui deve
essere per forza il gestore telefonico a passare i dati.

Quello che avete descritto è un comportamento avente chiara rilevanza
PENALE, nel senso che i gestori telefonici vi infilano il loro pene
nel vostro portafoglio per rubarvi *soldi*.

E' previsto e punito dall'art. 167 Codice Privacy, ovvero l'illecito
commercio di dati personali altrui (anche comuni, come appunto un
numero di telefonia mobile) che, in cambio di soldi e senza il vostro
consenso preventivo, viene ceduto a terze ditte, a loro volta
rivenditrici di servizi telematici, che comprano quel dato allo scopo
di appiopparvi addebiti sul credito, di solito rubando o truffando.

Ci starebbe anche la ricettazione ex art. 648 Codice Penale dal mio
punto di vista, a carico sia dei gestori telefonici che delle ditte
acquirenti.

BTW, il meccanismo descritto si regge chiaramente sul consenso e sulla
collaborazione FATTIVA delle vittime, che si rifiutano di denunciare
cose del genere pur subendo dei veri e propri FURTI di credito
telefonico, aspettandosi sempre che sia qualcun altro ad AGIRE.

Poi mi stupisco del fatto che A ME invece nessuno ruba più nulla da
tempo...

[Leonardo Serni]

Post by Lex Tutor
BTW, il meccanismo descritto si regge chiaramente sul consenso e sulla
collaborazione FATTIVA delle vittime, che si rifiutano di denunciare
cose del genere pur subendo dei veri e propri FURTI di credito
telefonico, aspettandosi sempre che sia qualcun altro ad AGIRE.

Incidentalmente... scrivendo una bella raccomandata a ${GESTORE}, con copia
a chi di dovere, nell'unico caso che conosco il maltolto è stato restituito
sotto forma di credito telefonico sul mese successivo. Non sono sicurissimo
ma mi pare l'abbiano anche arrotondato ai 10 EUR successivi. Sara' stato un
due anni fa, forse tre.

Quindi, per quanto mi riguarda, mi sento di raccomandare la denuncia.

Leonardo

[Luca]

Post by Leonardo Serni
Incidentalmente... scrivendo una bella raccomandata a ${GESTORE}, con copia
a chi di dovere, nell'unico caso che conosco il maltolto è stato restituito
sotto forma di credito telefonico sul mese successivo. Non sono sicurissimo
ma mi pare l'abbiano anche arrotondato ai 10 EUR successivi. Sara' stato un
due anni fa, forse tre.
Quindi, per quanto mi riguarda, mi sento di raccomandare la denuncia.

Allora, se ho capito bene, il gestore telefonico passa il mio CLI al sito web
per farmi spillare dei quattrini. Quindi direi equivale al mio vicino che vede
un ladro che si arrampica sulla mia finestra in mia assenza e gli dice "perché
tutta quella fatica? Ho le chiavi di quell'appartamento, il mio vicino me le
lascia sempre per sicurezza, venga giù da quella grondaia che gliele do". E il
ladro: "Grazie buon uomo, tenga due euro per il disturbo". Poi io torno, trovo
la casa svaligiata, mi incazzo col vicino e quello mi rimborsa il furto di
tasca sua. Magari le cifre del business sono diverse, e a forza di fare il
giochetto con tutto il palazzo il vicino ci guadagna. Bella roba.

[Leonardo Serni]

Post by Luca

Post by Leonardo Serni
Incidentalmente... scrivendo una bella raccomandata a ${GESTORE}, con copia
a chi di dovere, nell'unico caso che conosco il maltolto è stato restituito
sotto forma di credito telefonico sul mese successivo. Non sono sicurissimo
ma mi pare l'abbiano anche arrotondato ai 10 EUR successivi. Sara' stato un
due anni fa, forse tre.
Quindi, per quanto mi riguarda, mi sento di raccomandare la denuncia.

Allora, se ho capito bene, il gestore telefonico passa il mio CLI al sito web
per farmi spillare dei quattrini. Quindi direi equivale al mio vicino che vede
un ladro che si arrampica sulla mia finestra in mia assenza e gli dice "perché
tutta quella fatica? Ho le chiavi di quell'appartamento, il mio vicino me le
lascia sempre per sicurezza, venga giù da quella grondaia che gliele do".

Le analogie sono sempre pericolose, e questa poi e' sbagliata. E' forse piu'
simile a un vicino che dia le chiavi a uno sconosciuto che sostiene di dover
pulire i tuoi tappeti su tua richiesta.

Poi i tappeti li pulisce magari davvero, e te li riporta anche, corredati di
esosa parcella; solo che non avevi chiesto di pulirli.

Il vicino cioe' sa che esistono i truffatori e magari sospetta perfino delle
intenzioni dello sconosciuto, ma due euro son sempre due euro e in fondo lui
sicuro sicuro non e': lo sconosciuto dice che l'hai autorizzato. E qualcuno,
dicono, c'e' davvero, che si fa pulire i tappeti in quel modo.

Nel caso del tizio sulla grondaia invece l'intento ladresco e' evidente, non
c'e' ragionevole possibilita' di equivoco.

Quel che dovrebbe fare il vicino e' chiederti conferma... o chiederti magari
prima l'elenco di quelli cui puo' dare le chiavi.

Io non denunciai il fatto che avessero diffuso il mio numero di telefono, ma
proprio il fatto che m'avessero puppato i quattrini :-)

Leonardo

[Lex Tutor]

Post by Luca
Allora, se ho capito bene,

No, hai capito male in un punto, ma cambia poco nella sostanza.

Post by Luca
il gestore telefonico passa il mio CLI al sito web
per farmi spillare dei quattrini.

Questa è una giusta descrizione del fatto.
Ed è qui la nuce dell'illecito dato che questo "passaggio" NON può
assolutamente essere fatto SENZA il tuo consenso preventivo; dunque
ENTRAMBI I SOGGETTI SANNO PERFETTAMENTE CHE STANNO COMMERCIANDO
QUALCOSA DI ILLECITO (ex art. 648 codice penale).

Post by Luca
Quindi direi equivale al mio vicino che vede
un ladro che si arrampica sulla mia finestra in mia assenza e gli dice "perché
tutta quella fatica?

E' qui che ti sbagli, perché la casa è tua, la linea telefonica NO.
Sia il numero sia la linea sono di Wind, è Wind che la conosce, la
gestisce, ha l'infrastruttura, anche tecnica, e la licenza statale di
sfruttamento delle radiofrequenze.
Tu sei solo una sorta di "affittuario".
Direi che l'analogia più simile sarebbe stata con una camera di
albergo o uno di quei residence per più lunghe permanenze, dotati
anche di servizi vari (dalla reception alla prostituta in camera, per
esempio...), che anche io uso spesso.

Post by Luca
Ho le chiavi di quell'appartamento, il mio vicino me le
lascia sempre per sicurezza, venga giù da quella grondaia che gliele do".

Guarda che NON è stato il "vicino" a dare la chiavi, ma è stato
direttamente il concierge del tuo residence/hotel/whatever...!

Post by Luca
E il
ladro: "Grazie buon uomo, tenga due euro per il disturbo". Poi io torno, trovo
la casa svaligiata, mi incazzo col vicino e quello mi rimborsa il furto di
tasca sua. Magari le cifre del business sono diverse, e a forza di fare il
giochetto con tutto il palazzo il vicino ci guadagna. Bella roba.

Qui invece è tutto giusto e se consideri che il
"residence/hotel/whatever.." di Wind si è appena fuso con quello di 3
per superare la soglia dei 30 milioni di clienti, capisci anche tu
QUANTO possa rendere RUBARE 2/3 neuri al mese a ciascuno di essi...
;-)

[o***@gmail.com]

Per fortuna c'è qualcun altro che se ne sta (pre)occupando.