In 2021, Google and Amazon signed a $1.2 billion contract to provide Israel’s government advanced cloud computing and AI services — tools that have facilitated Israel’s two-year onslaught on the Gaza Strip.
Details of the lucrative contract, known as Project Nimbus, were kept secret. A new investigation, in partnership with Local Call and The Guardian, can reveal that both Google and Amazon submitted to highly unorthodox “controls” that Israel inserted into the deal to allay concerns over the secrecy of its data.
Project Nimbus was designed to enable Israel to transfer vast quantities of data onto the cloud servers of the tech giants. But even two years before October 7, Israeli officials drafting the contract had already anticipated the potential for legal challenges against Google and Amazon regarding the use of their technology in the occupied West Bank and Gaza.
According to leaked Israeli Finance Ministry documents obtained by The Guardian — including a finalized version of the contract — and sources familiar with the negotiations, the deal prohibits Google and Amazon from restricting Israel’s use of their products, even if it breaches their terms of service. The contract also obliges the two tech giants to secretly notify Israel if foreign courts order them to hand over data stored on their cloud platforms, in the event of claims that Israel has used the technology to violate the human rights of Palestinians — effectively sidestepping their legal obligations.
This arrangement stands in contrast to the case of Microsoft, which recently revoked the Israeli military’s access to parts of its Azure platform after +972, Local Call, and The Guardian revealed that it had stored a trove of intercepted Palestinian phone calls, in violation of its terms of service. Under Project Nimbus, however, Google and Amazon are forbidden from taking such action.
This investigation builds on a series of joint exposés revealing how major U.S.-based tech companies have become deeply entangled in Israel’s wars and mass surveillance apparatus.
https://www.972mag.com/project-nimbus-contract-google-amazon-israel/
Categoria: News
LAVORO: DAL GARANTE PRIVACY NUOVE TUTELE PER LA EMAIL DEI DIPENDENTI
Varato un Documento di indirizzo sulla conservazione dei metadati
I datori di lavoro pubblici e privati che per la gestione della posta elettronica utilizzano programmi forniti anche in modalità cloud da oggi hanno a disposizione nuove indicazioni utili a prevenire trattamenti di dati in contrasto con la disciplina sulla protezione dei dati e le norme che tutelano la libertà e la dignità dei lavoratori.
Il Garante per la protezione dei dati personali ha infatti adottato un documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” rivolto ai datori di lavoro pubblici e privati.
Il documento nasce a seguito di accertamenti effettuati dall’Autorità Garante per la protezione dei dati personali dai quali è emerso che alcuni programmi e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori anche in modalità cloud, sono configurati in modo da raccogliere e conservare – per impostazione predefinita, in modo preventivo e generalizzato – i metadati relativi all’utilizzo degli account di posta elettronica dei dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail). In alcuni casi è emerso anche che i sistemi non consentono ai datori di lavoro di disabilitare la raccolta sistematica dei dati e ridurre il periodo di conservazione.
Con il documento odierno il Garante chiede quindi ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti in cloud o as-a-service) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Periodo considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della posta elettronica in uso al lavoratore.
I datori di lavoro che per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro). L’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante può infatti comportare un indiretto controllo a distanza dell’attività del lavoratore.
Chinese vs dutch military
Chinese state-backed hackers broke into a computer network that’s used by the Dutch armed forces by targeting Fortinet FortiGate devices.
“This [computer network] was used for unclassified research and development (R&D),” the Dutch Military Intelligence and Security Service (MIVD) said in a statement. “Because this system was self-contained, it did not lead to any damage to the defense network.” The network had less than 50 users.
The intrusion, which took place in 2023, leveraged a known critical security flaw in FortiOS SSL-VPN (CVE-2022-42475, CVSS score: 9.3) that allows an unauthenticated attacker to execute arbitrary code via specially crafted requests.
Successful exploitation of the flaw paved the way for the deployment of a backdoor dubbed COATHANGER from an actor-controlled server that’s designed to grant persistent remote access to the compromised appliances.
Cloudflare databreach
Cloudflare has revealed that it was the target of a likely nation-state attack in which the threat actor leveraged stolen credentials to gain unauthorized access to its Atlassian server and ultimately access some documentation and a limited amount of source code.
The intrusion, which took place between November 14 and 24, 2023, and detected on November 23, was carried out “with the goal of obtaining persistent and widespread access to Cloudflare’s global network,” the web infrastructure company said, describing the actor as “sophisticated” and one who “operated in a thoughtful and methodical manner.”
As a precautionary measure, the company further said it rotated more than 5,000 production credentials, physically segmented test and staging systems, carried out forensic triages on 4,893 systems, reimaged and rebooted every machine across its global network.
