Dalla met\u00e0 di gennaio 2020, i clienti delle maggiori banche retail italiane hanno subito una campagna di frode perpetrata per mezzo di tre tecniche di social engineering molto efficaci: smishing, phishing, vishing. Quello che emerge dalle analisi \u00e8 il profilo di un attacco sistemico che sfrutta il cambio di metodo di accesso tradizionale, avvenuto il 14 settembre 2019 con l\u2019adozione della Strong Customer Authentication (SCA) prevista dalla PSD2. Tale obbligo ha quindi aumentato l\u2019utilizzo degli smartphone per usufruire dei servizi della propria banca. La campagna di attacco \u00e8 ancora in corso a distanza di 10 mesi dalla sua prima rilevazione. Inoltre, l’emergenza sanitaria ha accelerato l’utilizzo di strumenti digitali per la gestione remota delle operazioni da parte di imprese e persone, non consentendo di avere il tempo sufficiente a informare gli utilizzatori riguardo le minacce e rischi informatici associati ad essi, mediante opportuni corsi di awareness di cyber security o materiale informativo.<\/p>\n\n\n\n
La strategia d\u2019attacco dei truffatori prevede il recupero del codice OTP al fine di abilitare la SCA su un nuovo dispositivo ed avere il controllo completo dell\u2019operativit\u00e0 del home banking della vittima.<\/p>\n\n\n\n
Il principale scenario di attacco prevede, da parte dei truffatori, l\u2019invio di SMS, apparentemente provenienti dalla banca, che contiene uno \u201cshort link\u201d (\u00e8 una tecnica utilizzata per abbreviare lunghi indirizzi web, detti URL, in link di pochi caratteri) . Una volta cliccato, il link indirizza l\u2019utente verso un sito clone della banca, con schermate di accesso e di richiesta dati del tutto simili a quelle ufficiali della banca, come ad esempio la conferma del numero della carta d\u2019identit\u00e0. I truffatori ottengono cos\u00ec in tempo reale le informazioni necessarie per effettuare l\u2019accesso home banking delle vittime e per compiere operazioni fraudolente, per esempio la disposizione di bonifici. Qualora la vittima si fosse accorta di aver inserito, perlopi\u00f9 per poca accortezza, informazioni sul sito clone della banca e avesse interrotto il processo di inserimento dei dati, questa sarebbe stata ricontatta telefonicamente dai truffatori da un numero, in apparenza, della banca. Altri scenari prevedono solo il contatto telefonico con la vittima, spesso i truffatori si fingono operatori o dipendenti di uffici antifrode per conquistare meglio la fiducia della vittima. Per realizzare la strategia d\u2019attacco sono state adoperate tre tecniche di social engineering: Smishing<\/strong>, Phishing<\/strong>, Vishing<\/strong>. <\/p>\n\n\n\n La campagna di attacco inizia mediante invio di un SMS recante un messaggio simile al seguente: \u201cAbbiamo limitato le sue utenze web per mancata sicurezza. Le attiva al seguente link: http:\/\/bit.ly\/BancaACME\u201d (BancaACME viene utilizzato nell\u2019articolo come esempio, qualsiasi riferimento a cose o persone \u00e8 puramente casuale). Il messaggio SMS viene recapitato nella stessa coda dei messaggi ufficiali della banca, poich\u00e9 attraverso la tecnica di \u201csms sender id spoofing\u201d \u00e8 possibile inviare sms \u201cspeciali\u201d che consentono di far visualizzare (al destinatario) il mittente sotto forma di un nome, ad esempio \u201cBanca ACME\u201d invece del numero telefonico del mittente. Gli SMS giunti al destinatario sono perci\u00f2 archiviati per \u201cnome\u201d visualizzato e non per numero mittente (questa \u00e8 la gestione degli sms standard dei cellulari). Gli short link sono spesso adottati dalle banche in comunicazioni ufficiali poich\u00e9 consentono ai rispettivi uffici marketing di superare limiti tecnologici e grafici delle applicazioni utilizzate. La vittima non ha cos\u00ec sufficienti elementi sospetti per reputare il messaggio fraudolento.<\/p>\n\n\n\n Al fine di raccogliere dati della potenziale vittima i truffatori predispongono siti di phishing (siti clone) con una grafica molto simile a quella originale. I truffatori selezionano le pagine di interesse sul sito ufficiale della banca e ne scaricano una copia locale. Successivamente modificano tali copie al fine di registrare i dati inseriti nei form delle pagine (es. credenziali). Queste pagine modificate vengono ospitate su server fuori dal contesto europeo (es. Stati Uniti, Sud Africa, etc.) per mezzo dell\u2019acquisto di servizi di hosting a basso costo. Il dominio del sito clone \u00e8 comprato da una societ\u00e0 differente da quello di hosting. Tale tattica permette al sito clone di rimanere attivo per pi\u00f9 giorni (se in possesso di denuncia la segnalazione di abuso \u00e8 pi\u00f9 veloce). Vi sono alcuni aspetti interessanti riguardo ai siti clone della campagna in analisi: <\/p>\n\n\n\n Le potenziali vittime che hanno avuto difficolt\u00e0 nell\u2019inserire i dati sul sito clone sono chiamate dai truffatori, in apparenza, con il numero della banca, mediante la tecnica di \u201ccaller id spoofing\u201d, per ottenere a voce i dati necessari per proseguire la frode. Spesso i truffatori simulano di chiamare dal numero verde delle banche, di solito utilizzato dal servizio clienti per ricevere le chiamate (inbound), cos\u00ec da convincere anche le vittime pi\u00f9 sospettose a fidarsi, poich\u00e9 con una semplice ricerca su Google possono verificare il numero. Inoltre, i truffatori, qualora abbiano informazioni riguardo la carta di credito della vittima recuperata tramite data breach su siti di e-commerce o virus informatici, chiamano fingendosi l\u2019ufficio frodi della banca affermando di aver notato transazioni sospette della carta di credito e che per procedere al blocco delle stesse \u00e8 necessario comunicare il codice di autorizzazione arrivato via SMS (chiaramente \u00e8 l\u2019esatto opposto). <\/p>\n\n\n\n I truffatori una volta in possesso di tutti i dati, mediante uno smartphone scaricano l\u2019app ufficiale della banca, attivano la Strong Customer Authentication (SCA) prevista dalla normativa PSD2 in modo da essere autonomi nel confermare le operazioni sul conto corrente della vittima. Le transazioni fraudolente avvengono vicino all\u2019orario di cut-off e massimizzando l\u2019importo (anche con svincoli di conti deposito). Le vittime non hanno cos\u00ec il tempo necessario per procedere al blocco dei bonifici. Una volta spostati i soldi su conti (spesso) esteri con una serie di versamenti vengono spostati su altri conti e spesso divisi in pi\u00f9 tranche e su conti di “money mule”. Da questi conti i soldi vengono prelevati fisicamente e trasportati nel paese che ospita la mente dell’operazione (per approfondimenti consiglio di vedere l’inchiesta di fal\u00f2 https:\/\/www.rsi.ch\/la1\/programmi\/informazione\/falo\/Mafie-hacker-e-spalloni-digitali-13228011.html<\/a>).<\/p>\n\n\n\n La prima domanda che ci si pone \u00e8 da dove i truffatori abbiano estratto i numeri di telefono e se hanno compromesso dei sistemi informatici per ottenerli. Dalle analisi dei log degli attaccanti emerge che solo il 45% delle informazioni inserite sui siti clone sono riconducibili a clienti di quella banca. Il bacino di utenza \u201csporco\u201d induce a ritenere che quei dati siano stati ricavati da campagne di phishing precedenti o raccolti mediante virus informatici presenti sui PC delle vittime.\u00a0<\/p>\n\n\n\n L\u2019assenza di flessibilit\u00e0 normativa nella possibilit\u00e0 di compiere azioni in tempi brevi come la chiusura di un sito clone in poche ore senza il supporto di una denuncia o la possibilit\u00e0 di effettuare sicurezza offensiva sui siti dei criminali (es. ricercare vulnerabilit\u00e0 sui siti clone che consentano di cancellarne il contenuto) costituisce un \u201ccavallo di frisia\u201d che \u00e8 assente sul campo della criminalit\u00e0. <\/p>\n\n\n\n La scelta di utilizzare lo smartphone come secondo fattore di autenticazione, porta con s\u00e9 la conseguenza che il numero di cellulare assume un ruolo fondamentale nel certificare l\u2019identit\u00e0 degli utenti, basandosi sull\u2019assunzione che siano solo loro a gestirlo. Si prevede un aumento di attacchi di tipo SIM Swapping, ovvero la possibilit\u00e0 di trasferire un numero di cellulare ad un\u2019altra SIM da parte di operatori telefonici poco scrupolosi nell\u2019accertare il legittimo proprietario. \u00c8 quindi necessario cominciare a disegnare un processo comune tra gli operatori telefonici da adottare per l\u2019utilizzo sicuro delle funzioni di sms e di migrazione dei numeri di telefono. <\/p>\n\n\n\n In conclusione, a mio parere, bisognerebbe vedere le frodi perpetrate con strumenti esterni alle banche come un attacco informatico all\u2019ordine del giorno, qualcosa di assolutamente normale e che deve essere combattuto con una flessibilit\u00e0 al pari di quella subita, altrimenti rischiamo di essere un \u201cportafoglio\u201d a disposizione della criminalit\u00e0.<\/p>\n","protected":false},"excerpt":{"rendered":" Dalla met\u00e0 di gennaio 2020, i clienti delle maggiori banche retail italiane hanno subito una campagna di frode perpetrata per mezzo di tre tecniche di social engineering molto efficaci: smishing, phishing, vishing. Quello che emerge dalle analisi \u00e8 il profilo di un attacco sistemico che sfrutta il cambio di metodo di accesso tradizionale, avvenuto il […]<\/p>\n","protected":false},"author":1,"featured_media":305,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"templates\/template-full-width.php","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-303","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog"],"_links":{"self":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/303","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/comments?post=303"}],"version-history":[{"count":6,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/303\/revisions"}],"predecessor-version":[{"id":311,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/303\/revisions\/311"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/media\/305"}],"wp:attachment":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/media?parent=303"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/categories?post=303"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/tags?post=303"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Primo step – Smishing <\/h2>\n\n\n\n
Secondo step – Phishing <\/h2>\n\n\n\n
Terzo step – Vishing<\/strong> <\/h2>\n\n\n\n
La frode <\/h2>\n\n\n\n
L\u2019ombra del data breach <\/h2>\n\n\n\n
Cui prodest? <\/h2>\n\n\n\n
Conclusioni <\/h2>\n\n\n\n