Newsgroup: it.diritto.internet
Titolo: Re: La violazione della privacy di Wind

 possa mostrare?
 
 
Il numero di telefono non è un dato "sensibile", ma pur sempre personale.
Ho provato dalla connessione del cell ed hai ragione! Si vede il numero di 
telefono, non penso sia normale:
http://www.corriere.it/inapp/index.shtml
 
 
Ora mando la schermata all'urp del Garante Privacy.
 
Metto in cross-post il NG it.diritto.internet e follow-up perché l'argomento è 
interessante e penso sia più di competenza leguleia :)
 
Aggiungo che non sono abbonato, né iscritto al sito del Corriere, per cui deve 
essere per forza il gestore telefonico a passare i dati.
 
 
Gabriele


Aggiungo che la mia SIM è dentro una chiavetta 3g la quale è collegata
via USB a un router il quale è collegato via ethernet al mio PC per cui
non esiste il modo per il mio PC per venire a conoscenza del mio numero
telefonico che è nella SIM. L'unico modo è quello di avere il mio IP e
da questo venire a conoscenza, tramite la wind, del mio numero. In
pratica la wind mette a disposizione una API a chi offre i servizi in
abbonamento come spiegato nel mio testo.
-- 
Sandro kensan 
www.kensan.it
 & 
www.qiqi.it
 geek site
Saluto gli agenti della NSA - Hello NSA - 
www.nsa.gov
 

 nessuna variabile d'ambiente....
 
Una API che mette a disposizione la Wind e altri gestori.


 
http://www.corriere.it/inapp/index.shtml
 
 
Non è solo Wind e non è la prima volta che mi capita. Io ho un router con simm
TIM, e anche loro comunicano il numero. Sono evidentemente i SP che hanno
preso accordi con i gestori del sito e gli passano il numero di cellulare
usato per la connessione. 
 
Non so se la condanna recentemente inflitta ai vari gestori riguardi questi
casi, ma se anche fosse è chiaro che non è servita a nulla.
 
-- 
Luca - e-mail: p.stevens at 
libero.it
 

quanto meno il sito del Corriere ti avvisa dell'abbonamento e mostra un 
modulo. ci sono servizi che basta che (non) clicchi un banner e ti abbonano
 
-- 
Antonio
 
 

essere per forza il gestore telefonico a passare i dati.
 
Ovvio. A partire dal semplice IP, senza bisogno di cookie né altro. Come dire
che sanno chi sei e, grazie alla cella a cui sei agganciato, anche dove sei -
senza bisogno di GPS o del tuo consenso.
 
Però vedi il lato positivo: non ti mandano i malvagy cookie di profilazione.
 
Leonardo
-- 
 
Some say the world will end in fire; / some say in ice.
From what I’ve tasted of desire, / I hold with those who favor fire.
But if it had to perish twice, / I think I know enough of hate
To say that for destruction ice / Is also great, / And would suffice.

 servizi premium
 
Esatto, il call center della Wind mi ha disabilitato i servizi a
sovraprezzo ma mi ha anche avvisato che questo non è di alcuna garanzia
che non mi ritrovi in futuro con lo stesso problema di servizi in
abbonamento sottoscritti per avere fatto un click di troppo.
 
Insomma il blocco non blocca nulla.


 
http://paycheck.corriere.it/inapp3/services/mobile/gpu
 
 
Con wind dice null.


 PM controfirmata dal GIP) che non una ditta privata?
 
Esatto, è questo il punto.


 Però vedi il lato positivo: non ti mandano i malvagy cookie di profilazione.
 
:D
 
E via di segnalazione sarcastica al Garante.
 
Gabriele
 

Ora però spieghi :)
 
Be', e' facile: ho ravanato nel codice perche' ero curioso di vedere se la API
era implementata in uno dei file Javascript (ovvero a seconda di cosa richiede
quel file, arriva una cosa o un'altra)... non ci ho dedicato molto, ma credevo
che la chiamata cruciale fosse quella.
 
Magari e' uno specchietto per le allodole, oppure richiede un parametro oppure
un referer o un HTTP knock... o un cookie <grin> per funzionare.


PM controfirmata dal GIP) che non una ditta privata?
 
Credo che il workflow sia questo:
 
	richiesta PG --> PM --> GIP --> Provider --> LOG --> dato
 
Nel caso in esame e' probabilmente invece:
 
	bonifico --> richiesta --> Provider --> dato
 
E' logico che un circuito piu' corto, e oltretutto fatto in automatico, venga
completato in un tempo molto minore. Gia' solo il passaggio PM --> GIP con la
relativa firma autografa prende cinque minuti anche se hanno le scrivanie una
di fronte all'altra, che e' un caso irrealisticamente ottimista.
 
Inoltre nel secondo caso ci sono di mezzo dei quattrini, che com'e' noto sono
un lubrificante universale.
 
Mi fa sganasciare dalle risate l'idea di quelli che scrivono commenti anonimi
agli articoli, che il giorno che esagerano gli telefonano direttamente.
 
	"Pronto? Senta... circa il commento anonimo che ha inviato pochi
	 secondi fa mentre era al bar..."


PM controfirmata dal GIP) che non una ditta privata?
 
Benvenuto in itaGlia. ROTFL
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

essere per forza il gestore telefonico a passare i dati.
 
Quello che avete descritto è un comportamento avente chiara rilevanza
PENALE, nel senso che i gestori telefonici vi infilano il loro pene
nel vostro portafoglio per rubarvi *soldi*.
 
E' previsto e punito dall'art. 167 Codice Privacy, ovvero l'illecito
commercio di dati personali altrui (anche comuni, come appunto un
numero di telefonia mobile) che, in cambio di soldi e senza il vostro
consenso preventivo, viene ceduto a terze ditte, a loro volta
rivenditrici di servizi telematici, che comprano quel dato allo scopo
di appiopparvi addebiti sul credito, di solito rubando o truffando.
 
Ci starebbe anche la ricettazione ex art. 648 Codice Penale dal mio
punto di vista, a carico sia dei gestori telefonici che delle ditte
acquirenti.
 
BTW, il meccanismo descritto si regge chiaramente sul consenso e sulla
collaborazione FATTIVA delle vittime, che si rifiutano di denunciare
cose del genere pur subendo dei veri e propri FURTI di credito
telefonico, aspettandosi sempre che sia qualcun altro ad AGIRE.
 
Poi mi stupisco del fatto che A ME invece nessuno ruba più nulla da
tempo...


telefonico, aspettandosi sempre che sia qualcun altro ad AGIRE.
 
Incidentalmente... scrivendo una bella raccomandata a ${GESTORE}, con copia
a chi di dovere, nell'unico caso che conosco il maltolto è stato restituito
sotto forma di credito telefonico sul mese successivo. Non sono sicurissimo
ma mi pare l'abbiano anche arrotondato ai 10 EUR successivi. Sara' stato un
due anni fa, forse tre.
 
Quindi, per quanto mi riguarda, mi sento di raccomandare la denuncia.


 Quindi, per quanto mi riguarda, mi sento di raccomandare la denuncia.
 
Allora, se ho capito bene, il gestore telefonico passa il mio CLI al sito web
per farmi spillare dei quattrini. Quindi direi equivale al mio vicino che vede
un ladro che si arrampica sulla mia finestra in mia assenza e gli dice "perché
tutta quella fatica? Ho le chiavi di quell'appartamento, il mio vicino me le
lascia sempre per sicurezza, venga giù da quella grondaia che gliele do". E il
ladro: "Grazie buon uomo, tenga due euro per il disturbo". Poi io torno, trovo
la casa svaligiata, mi incazzo col vicino e quello mi rimborsa il furto di
tasca sua. Magari le cifre del business sono diverse, e a forza di fare il
giochetto con tutto il palazzo il vicino ci guadagna. Bella roba.


lascia sempre per sicurezza, venga giù da quella grondaia che gliele do".
 
Le analogie sono sempre pericolose, e questa poi e' sbagliata. E' forse piu'
simile a un vicino che dia le chiavi a uno sconosciuto che sostiene di dover
pulire i tuoi tappeti su tua richiesta.
 
Poi i tappeti li pulisce magari davvero, e te li riporta anche, corredati di
esosa parcella; solo che non avevi chiesto di pulirli.
 
Il vicino cioe' sa che esistono i truffatori e magari sospetta perfino delle
intenzioni dello sconosciuto, ma due euro son sempre due euro e in fondo lui
sicuro sicuro non e': lo sconosciuto dice che l'hai autorizzato. E qualcuno,
dicono, c'e' davvero, che si fa pulire i tappeti in quel modo.
 
Nel caso del tizio sulla grondaia invece l'intento ladresco e' evidente, non
c'e' ragionevole possibilita' di equivoco.
 
Quel che dovrebbe fare il vicino e' chiederti conferma... o chiederti magari
prima l'elenco di quelli cui puo' dare le chiavi.
 
Io non denunciai il fatto che avessero diffuso il mio numero di telefono, ma
proprio il fatto che m'avessero puppato i quattrini :-)


 servizi premium
 
ecco, questo è il nocciolo della questione; sotto la voce "servizi
premium" vengono fatte passare porcate (a pagamento) di ogni genere e
mi chiedo seriamente se qualcuno abbia mai investigato sul reale valore
(dal punto di vista dell'utente) di tali "servizi" rapportandolo al
costo degli stessi; credo che ne potrebbero emergere dati interessanti
 
 
 

giochetto con tutto il palazzo il vicino ci guadagna. Bella roba.
 
Qui invece è tutto giusto e se consideri che il
"residence/hotel/whatever.." di Wind si è appena fuso con quello di 3
per superare la soglia dei 30 milioni di clienti, capisci anche tu
QUANTO possa rendere RUBARE 2/3 neuri al mese a ciascuno di essi...
;-)


Per fortuna c'è qualcun altro che se ne sta (pre)occupando.

> ho ravanato nel codice 
Pure io, l'URL è strutturato così
http://paycheck.corriere.it/inapp3/services/mobile/gpu?op=OPERATORE&pu=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
 
 
L'operatore sembra essere opzionale, quell'hash (?) come secondo parametro sembra essere fisso e non variare con l'indirizzo IP.
Come si può andare più a fondo?

> 
http://www.corriere.it/inapp/index.shtml
 
 
Su nessuno dei due siti appare il mio numero (Tre), e ci mancherebbe 
altro...!
Sul primo appare un "+39320" e poi il numero censurato (io ho 338)
Sul secondo non mi appare nulla di nulla (solo la possibilità di inserirlo 
il mio numero.
Secondo me o avete dei cookie di quei siti (o siti collegati) a cui vi siete 
collegati/abbonati in passato, oppure è il completamento automatico di 
chrome tipo...
Dall'indirizzo IP non possono risalire in alcun modo al numero di cell 
(anche perchè la stragrande maggioranza degli utenti ha IP dinamico....
 
-- 
 
 

 Dall'indirizzo IP non possono risalire in alcun modo al numero di cell 
 
Infatti, il numero glielo passa direttamente il provider con cui sei connesso.


 Si vede che hanno smesso, dopo le denunce.
 
Dimenticavo, mi è successo pochi giorni fa con un link di 
repubblica.it
. Non
riesco a ritrovarlo, ma si tratta al massimo di quattro-cinque giorni fa.



Io proverei ad attivare il tethering su un dispositivo mobile (con SIM
"visibile" al sito) e poi tramite Firebug da un PC connesso via mobile
guardare il traffico.
 
Leonardo
 
-- 
 
Now suppose -just suppose- I could show you a way to
manufacture a wall that would do the same job... but
was only one inch thick.

 guardare il traffico.
 
Si fatto anche quello ma si torna sempre a quell'URL. La controprova è che se attivo la VPN il numero scompare.

Si vede che hanno smesso, dopo le denunce.
 
Dai e ridai, ruba e riruba.. prima o poi la gente si stanca.
