Notizia flash sulla cybersicurezza: i ricercatori scoprono vulnerabilità di sicurezza in DeepSeek per iOS

Il 20 gennaio, la startup cinese DeepSeek ha scosso l’intero settore dell’IA a livello globale, e non solo: anche diversi mercati finanziari ne hanno risentito, dopo che l’azienda ha dichiarato che la sua nuova serie di modelli di ragionamento, chiamata “R1”, potesse funzionare a un costo molto più basso e con un consumo energetico decisamente inferiore rispetto ai chatbot basati sull’IA sviluppati dai colossi tecnologici OpenAI e Google.

Ora, a meno di un mese da questo annuncio senza precedenti, i contraccolpi di DeepSeek si fanno di nuovo sentire in tutto il mondo. Questa volta, però, non si tratta di un’abile operazione di marketing, ma di un avviso urgente lanciato dal fornitore di sicurezza per app mobili NowSecure.

Molteplici rischi per sicurezza e privacy

Il 6 febbraio, i ricercatori di NowSecure hanno pubblicato i risultati di un’analisi approfondita che ha rivelato molteplici rischi per la sicurezza e la privacy nell’app iOS di DeepSeek. Tra queste vulnerabilità figurano:

• Trasmissione dei dati non crittografata: l’app trasmette dati sensibili su Internet senza crittografia, rendendoli vulnerabili a intercettazione e manipolazione.
• Chiavi di crittografia debili e codificate manualmente: l’app utilizza la crittografia obsoleta Triple DES, riutilizza i vettori di inizializzazione e codifica le chiavi di crittografia direttamente nel codice, violando così le best practice consolidate per la protezione dei dati.
• Archiviazione dei dati non sicura: l’app archivia in modo non sicuro nome utente, password e chiavi di crittografia, aumentando il rischio di furto delle credenziali.
• Raccolta estesa di dati: l’app raccoglie dati sull’utente e sul dispositivo, che possono essere utilizzati da malintenzionati per il tracciamento e la re-identificazione di dati anonimi.
• I dati vengono inviati in Cina: gli utenti dell’app potrebbero non essere consapevoli del fatto che i loro dati vengono trasmessi a server controllati da ByteDance, l’azienda cinese proprietaria di TikTok. Ciò suscita preoccupazioni riguardo alle pratiche di governance dei dati sotto la giurisdizione cinese, incluse le forme di sorveglianza senza mandato.
• Controlli sulla privacy di iOS disabilitati: l’app elude le funzionalità di sicurezza di Apple e non dispone dei manifesti sulla privacy obbligatori, aumentando l’esposizione a tracciamento e fingerprinting.

Fino a quando queste vulnerabilità non saranno risolte, NowSecure invita tutte le organizzazioni a vietare immediatamente l’uso di DeepSeek, che è stata scaricata milioni di volte dalla sua uscita ed è attualmente la terza app “produttività” più popolare sull’App Store (dopo diversi giorni al primo posto). Le organizzazioni dovrebbero invece individuare una soluzione IA alternativa che offra funzionalità simili, ma con migliori pratiche di sicurezza, privacy e governance dei dati.

NowSecure consiglia inoltre alle organizzazioni che non desiderano, o non possono, sostituire DeepSeek in questo momento, di ridurre l’esposizione al rischio ricorrendo a un modello open source con una soluzione ospitata oppure implementando un modello self-hosted.

Utenti Android: attenzione

Il fondatore di NowSecure Andrew Hoog ha dichiarato che, sebbene il suo team di ricerca non abbia ancora completato l’analisi approfondita di DeepSeek per Android, ritiene che la struttura di base dovrebbe essere funzionalmente simile alla versione iOS. Se questo si rivelasse esatto, sarebbe presente la maggior parte, o la totalità, delle stesse vulnerabilità.

Ulteriori preoccupazioni

NowSecure non è l’unica azienda a lanciare l’allarme sulla sicurezza di DeepSeek:

• I ricercatori di Check Point Software hanno scoperto che malintenzionati stanno sfruttando DeepSeek e Quen (una raccolta di modelli linguistici di grandi dimensioni sviluppati da Alibaba Cloud) per creare contenuti dannosi.
• I ricercatori di Cisco hanno scoperto che DeepSeek ha registrato un tasso di successo degli attacchi del 100%, il che significa che non è riuscita a bloccare nemmeno un prompt dannoso.
• I ricercatori di Wiz hanno scoperto che un database di DeepSeek accessibile pubblicamente consentiva il controllo completo delle operazioni sul database, inclusa la possibilità di accedere a dati interni, tra cui un milione di righe di flussi di log contenenti informazioni altamente sensibili.

Sebbene queste vulnerabilità non riguardino direttamente l’app iOS di DeepSeek, esse solleveranno comunque interrogativi preoccupanti sul profilo di sicurezza, sulle politiche e sulle pratiche dell’azienda, ai quali è necessario dare risposta.

Approfondimento e consigli di William Matos, Operations Security Specialist di Devolutions

I risultati emersi dai ricercatori di NowSecure sono seri e stanno spingendo diversi Paesi e organizzazioni in tutto il mondo a vietare o indagare su DeepSeek a causa dei suoi potenziali rischi per la privacy e la sicurezza.

In Devolutions, la sicurezza è la nostra priorità assoluta, e lo è fin dal primo giorno. Non facciamo compromessi né scorciatoie quando si tratta di proteggere i dati in transito o a riposo, oppure di tutelare la privacy e la riservatezza dei nostri utenti. In altre parole: prendiamo la sicurezza sul serio quanto la nostra community globale di utenti, molti dei quali sono professionisti della sicurezza informatica altamente esperti.

Di seguito un confronto tra le funzionalità di sicurezza di Devolutions Cloud e DeepSeek iOS (nota: sebbene Devolutions Cloud sia una soluzione di gestione delle password basata sul cloud e DeepSeek un chatbot basato sull’IA, questo confronto illustra chiaramente il nostro impegno superiore verso la sicurezza e la protezione dei dati degli utenti):

• Robustezza della crittografia Devolutions Cloud: AES-256 e TLS 1.2/1.3 per la protezione dei dati DeepSeek iOS: crittografia debole (3DES, chiavi codificate manualmente)

• Sicurezza della trasmissione dei dati Devolutions Cloud: completamente crittografata end-to-end DeepSeek iOS: dati trasmessi su Internet senza crittografia

• Infrastruttura cloud Devolutions Cloud: ospitata su piattaforme cloud sicure e conformi (ISO 27001, SOC2) DeepSeek iOS: invia dati a Volcano Engine (server di ByteDance)

• Architettura zero-knowledge Devolutions Cloud: nessuno (nemmeno Devolutions) può accedere alle password archiviate DeepSeek iOS: raccoglie dati sull’utente e sul dispositivo senza consenso

• Conformità e privacy Devolutions Cloud: conforme a GDPR, SOC 2, ISO 27001 DeepSeek iOS: elude la sicurezza di Apple (ATS), violando le best practice

• Proprietà e controllo dei dati Devolutions Cloud: controllati dall’utente, tutti i dati appartengono all’organizzazione DeepSeek iOS: dati archiviati su server esterni, fuori dal controllo dell’utente

Inoltre, Devolutions non opera secondo il principio della “sicurezza tramite occultamento”. La trasparenza è uno dei valori fondamentali della nostra azienda, e si manifesta in diversi modi, ad esempio:

• La nostra libreria crittografica è open source e disponibile online su Github per il controllo pubblico.
• Pubblichiamo regolarmente report e certificazioni di sicurezza di terze parti, come ISO/IEC 27001 e SOC2, nella sezione Sicurezza e conformità del nostro sito.
• Elenchiamo gli avvisi per tutte le vulnerabilità di sicurezza note sul nostro sito web. Ogni avviso include le misure di correzione e le soluzioni alternative, un punteggio di gravità secondo il Common Vulnerability Scoring System (CVSS) e un numero Common Vulnerabilities and Exposures (CVE). Gli utenti possono anche abbonarsi per ricevere gli ultimi avvisi via e-mail.
• Gestiamo un programma di Bug Bounty che incoraggia e incentiva i ricercatori a tentare di “attaccare e violare” i nostri prodotti, in modo da poter rafforzare in modo proattivo le vulnerabilità e correggere errori di codifica e programmazione.
• Tutti gli utenti attuali e potenziali sono invitati a contattarci per qualsiasi domanda relativa alla sicurezza delle nostre soluzioni, oppure alle politiche e alle pratiche della nostra organizzazione.

Prospettive future

In appena poche settimane, DeepSeek ha cambiato e accelerato in modo drastico la corsa all’IA. Tuttavia, il potenziale e le promesse dei chatbot basati sull’IA (tra cui, ma non solo, DeepSeek) possono essere realizzati pienamente soltanto quando sono radicati in modo fondamentale in una sicurezza solida. Spetta quindi ai fornitori, ai governi e ai membri della community globale della sicurezza (di cui l’eccellente lavoro dei ricercatori di NowSecure in questo caso è un esempio lampante) garantire che gli standard di sicurezza elevati vengano rispettati in modo costante.

In definitiva, non dobbiamo perdere di vista la verità che, indipendentemente dal fatto che venga acclamato come “rivoluzionario”, “epocale”, “trasformativo” o con qualsiasi altro aggettivo ambizioso ed entusiasmante, un prodotto che, per progettazione o per negligenza, metta a rischio i dati degli utenti e mini la loro fiducia, non è (ancora) una soluzione valida da adottare, ma un problema serio da risolvere.

Condividete la vostra opinione

Vi invitiamo a condividere le vostre opinioni, esperienze e previsioni su DeepSeek, o su qualsiasi altro chatbot basato sull’IA. Lasciate un commento qui sotto.