I lettori dei principali siti Web come Vice News , CNET , The Verge , Neowin e altri sono stati esposti a rischi per la sicurezza dal 2015 perché gli annunci pubblicati dalla piattaforma ^{(platform use)}pubblicitaria PowerLinks^{(PowerLinks advertising)} utilizzano certificati SSL scaduti . Ecco cosa sta succedendo, a cosa ti stai esponendo quando leggi pubblicazioni che includono annunci PowerLinks e cosa puoi fare per stare al sicuro:

Gli annunci offerti tramite PowerLink hanno certificati SSL scaduti a ottobre 2015^{(October 2015)}

Durante la lettura di diversi siti Web sul mio personal computer, ho notato che la mia soluzione di sicurezza^{(security solution)} si lamentava del fatto che il mio browser stava tentando di comunicare su un canale crittografato con un certificato non attendibile. Il mio antivirus non poteva garantire l'autenticità del dominio a cui era stata stabilita la connessione crittografata e ciò rappresentava per me un rischio^{(security risk)} per la sicurezza. Inizialmente, ho ignorato questo avviso e ho continuato a leggere. Tuttavia, dopo averlo visto su diversi grandi siti web, ho iniziato a prestare attenzione e ho studiato le cose in modo più dettagliato.

Sono stato sorpreso di scoprire che questo avviso è mostrato su grandi pubblicazioni online ed è sempre causato da annunci pubblicati da pw.powerlinks.com. Tutti hanno un certificato SSL^{(SSL certificate)} scaduto nell'ottobre 2015^{(October 2015)} , come puoi vedere di seguito.

Per verificare se questo fosse vero e non solo un falso allarme, ho provato un altro prodotto di sicurezza^{(security product)} di prim'ordine e i risultati sono stati gli stessi. Ho navigato in più siti e ho notato che lo stesso problema si ripeteva per alcuni grandi nomi del mondo dell'editoria^{(publishing world)} .

Cosa offre PowerLinks agli^{(PowerLinks offer)} editori?

Secondo il loro sito Web ufficiale, PowerLinks ha un portafoglio completo di soluzioni e servizi pubblicitari. Offrono un Ad Server per i siti nel loro portafoglio di clienti, una piattaforma Ad Exchange^{(Ad Exchange platform)} , annunci nativi (in-text, in-video, in-image, in-feed e in-display) e altro ancora.

Perchè questo è un problema? I problemi a cui siamo esposti quando i siti Web visualizzano annunci con certificati SSL scaduti^(SSL)

Se non hai installato una buona soluzione di sicurezza^{(security solution)} , potresti non notare mai questo problema. Tuttavia, se utilizzi un buon antivirus che scansiona il tuo traffico HTTP^{(HTTP traffic)} in tempo reale, sarai infastidito da una richiesta di sicurezza^{(security prompt)} su diverse pubblicazioni multimediali di grandi dimensioni che utilizzano i servizi pubblicitari forniti da PowerLinks .

Lasciando da parte il fattore fastidio^{(annoyance factor)} , abbiamo chiesto a Catalin Patrascu (capo del dipartimento di sicurezza e monitoraggio delle informazioni^{(Information Security and Monitoring Department)} presso il team nazionale rumeno di risposta agli incidenti per la sicurezza informatica^{(National Computer Security Incident Response Team)} ) dei rischi per la sicurezza associati a questi annunci e ha dichiarato quanto segue:

"Teoricamente, la verifica dei certificati SSL può essere eseguita anche se sono scaduti. Per gli utenti che si abituano a questo errore e non controllano il certificato SSL ogni volta che ottengono l'errore, c'è il rischio di essere reindirizzati a dannosi pagine e diventando il bersaglio di attacchi man-in-the-middle"^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Un'altra cosa importante da considerare è che questi annunci tengono traccia anche dei dati degli utenti e del comportamento degli utenti. Questi dati vengono inviati attraverso un canale non sicuro^{(insecure channel)} , rendendolo vulnerabile all'intercettazione da parte di parti indesiderate.

I siti Web interessati da questo problema includono: The Verge , Vice News , CNET e altri

Non conosciamo l'elenco esatto dei siti Web interessati da questo problema. Partiamo dal presupposto che tutti i clienti PowerLinks siano a rischio. Finora, abbiamo identificato questo problema su grandi pubblicazioni dei media come The Verge , Vice News , CNET , Neowin e altri^{(Neowin and others)} . Questi siti Web hanno decine di milioni di lettori ogni mese e la sicurezza del loro pubblico è stata messa a rischio ogni giorno in cui hanno pubblicato annunci PowerLinks , da ^(PowerLinks)ottobre 2015^{(October 2015)} .

Questo problema è causato da una semplice negligenza da parte di PowerLink

Quello di cui abbiamo a che fare qui è pura negligenza. Questi certificati SSL non sono scaduti da un paio di giorni o un mese. Sono scaduti dal 2015 e PowerLinks non sta facendo il suo lavoro nell'offrire soluzioni pubblicitarie sicure sia alle pubblicazioni online che ai lettori di tali pubblicazioni. Il loro team tecnico non si è accorto che la loro piattaforma pubblicitaria^{(advertising platform)} utilizza certificati SSL scaduti da anni e non ha fatto nulla per risolvere questo problema mettendo a rischio milioni di lettori. I creatori di malware^{(Did malware)} hanno sfruttato questo problema? Questa è una buona domanda e non siamo sicuri che PowerLinks possa rispondere. Alla fine, non si sono nemmeno presi cura delle basi come le date di scadenza.

Quali^{(Which security)} prodotti di sicurezza mi hanno aiutato a scoprire questo problema?

La prima volta che ho riscontrato questo problema è stato durante la navigazione in alcuni dei siti Web menzionati in precedenza e ho utilizzato ESET Smart Security come antivirus.

Questo problema è stato confermato anche da Kaspersky Total Security , come puoi vedere di seguito.

Siamo lieti che questi prodotti abbiano svolto il loro lavoro informandoci e proteggendoci dalle vulnerabilità della sicurezza della piattaforma pubblicitaria PowerLinks e aiutandoci a svelare cosa sta succedendo. È un'ulteriore prova che dovresti sempre installare un prodotto antivirus^{(antivirus product)} di terze parti e interrompere la navigazione sul Web, non protetto. Se sei curioso di saperne di più sui rischi connessi alla navigazione sul Web senza protezione, leggi questo esperimento che abbiamo eseguito: Come infettare il tuo PC Windows^{(Windows PC)} mentre navighi sul Web gratuitamente.

Cosa abbiamo fatto per aiutare i lettori e le pubblicazioni interessati da questo problema di sicurezza^{(security issue)} ?

Prima^(First) di tutto, abbiamo scritto questo articolo per informare tutti su questo argomento. Abbiamo anche chiesto a PowerLinks un commento ufficiale. Tuttavia, la loro e-mail di contatto ufficiale non funziona e tutto ciò che abbiamo ricevuto è un errore di notifica dello stato^{(Status Notification Failure)} di consegna , che puoi vedere di seguito.

Abbiamo inviato questo articolo a tutte le pubblicazioni dei media che abbiamo riscontrato che sono interessate, nonché a PowerLinks , utilizzando i loro canali di social media. Ci auguriamo che non ignorino il nostro messaggio e adottino misure per risolvere questo problema.

UPDATE (03/21/2017): Siamo finalmente riusciti a ricevere il nostro messaggio inviato a PowerLinks e abbiamo ricevuto la seguente risposta da Branden Smythe , VP Business Development :

"Ho ricevuto la notifica che hai contattato PowerLinks. Affronteremo le preoccupazioni che hai postato a breve."^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Oggi abbiamo ricontrollato i siti Web in cui abbiamo riscontrato i problemi che abbiamo descritto e le cose ora funzionano bene. Sembra che PowerLinks abbia eseguito i passaggi necessari per garantire la pubblicazione degli annunci^{(ad delivery)} su tutti i siti Web, il che è fantastico. Si spera^(Hopefully) che impareranno da questo problema e si prenderanno più cura delle basi della sicurezza come la data di scadenza^{(expiration date)} dei certificati SSL .

Cosa puoi fare per proteggerti da annunci PowerLinks non sicuri?^(PowerLinks)

Se la tua soluzione di sicurezza^{(security solution)} si lamenta dei certificati SSL scaduti utilizzati dagli annunci ^(SSL)PowerLinks , dovresti bloccarli. Se non disponi di un antivirus che scansiona il tuo traffico HTTP^{(HTTP traffic)} in tempo reale , dovresti eseguire questi siti Web utilizzando modalità di navigazione private che bloccano anche gli annunci non sicuri o trovano un altro modo per bloccarli. Non siamo fan del blocco degli annunci sui siti Web che abbiamo menzionato perché la pubblicità è ciò che mantiene queste pubblicazioni in grado di fornire a tutti ottimi contenuti. Si spera che questo problema venga risolto presto e tutti possiamo goderci le nostre pubblicazioni preferite, in sicurezza, senza bloccare la loro pubblicità e consentire loro di guadagnare dal proprio lavoro.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major websites like Vice News, CNET, The Verge, Neowin and more, have been exposеd to securіty risks since 2015 because the ads they run from the PowerLinks advertising platform use expired SSL certificates. Here's what iѕ going оn, what you are exposing yourself to when reading publіcations that include PоwerLinks ads and what you can do to stay safe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary di Cisco: organizzazioni che lavorano con informazioni riservate, utilizzano Wi-Fi crittografato, VPN e app crittografate

• Sicurezza informatica attraverso l'istruzione: Kaspersky Interactive Protection Simulation

• Premi - Il prodotto antivirus più popolare dell'anno 2017

• Cosa c'è di nuovo nell'aggiornamento di Windows 10 di novembre 2019?

• Nuove funzionalità in arrivo in Windows Defender in Windows 10 Creators Update

• Come usare Windows USB/DVD Download Tool | Digital Citizen

• 13 cose migliori su Windows 10

• 4 app che ti aiutano a diagnosticare lo stato di salute del tuo dispositivo Android

• 8 motivi per cui Cyberghost VPN è una delle migliori VPN sul mercato

• Confronto: qual è il miglior antivirus per dispositivi Windows, nel 2018?

• ReadyBoost funziona? Migliora le prestazioni per i PC più lenti?

• Premi: Il prodotto antivirus più popolare dell'anno 2018

• Come avviare Windows 10 in Safe Mode con Networking

• Dovresti acquistare un antivirus, una suite di sicurezza Internet o una suite di sicurezza totale?

• Le 5 migliori pratiche fastidiose dei fornitori di antivirus

• Premi - Il prodotto antivirus più innovativo del 2017

• Le migliori caratteristiche di Windows 11: 8 grandi cose a riguardo

• Come modificare, chiarire ed eliminare le variabili di ambiente in Windows

• Premi: Il miglior prodotto antivirus gratuito dell'anno 2018

• 9 criteri importanti da utilizzare nella scelta del software antivirus